Điều 1. Phạm vi áp dụng

Chính sách bảo mật này áp dụng đối với hoạt động xử lý dữ liệu cá nhân do Công ty Cổ phần Tầm nhìn Quốc tế Aladdin (sau đây gọi là “ALADDIN”, “chúng tôi”) thực hiện trong quá trình cung cấp sản phẩm, dịch vụ và vận hành các kênh thuộc hệ thống của ALADDIN.

Phạm vi bao gồm dữ liệu phát sinh khi khách hàng truy cập website G.Master, đặt bàn, sử dụng dịch vụ tại nhà hàng, tham gia chương trình Aladdin Rewards, nhận ưu đãi, liên hệ chăm sóc khách hàng, tham gia tuyển dụng, khảo sát hoặc tương tác với chúng tôi trên nền tảng số và tại điểm kinh doanh.

Chính sách không điều chỉnh hoạt động xử lý dữ liệu độc lập của bên thứ ba. Khi được chuyển tới website, ứng dụng hoặc dịch vụ của bên thứ ba, bạn nên đọc chính sách bảo mật của đơn vị đó.

Điều 2. Giải thích thuật ngữ

• Dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự gắn với một con người cụ thể hoặc giúp xác định một con người cụ thể.
• Dữ liệu cá nhân cơ bản gồm các thông tin nhận dạng, liên hệ, giao dịch, tài khoản và thông tin khác theo quy định pháp luật.
• Dữ liệu cá nhân nhạy cảm là dữ liệu gắn với quyền riêng tư mà khi bị xâm phạm có thể ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân.
• Chủ thể dữ liệu là cá nhân được dữ liệu cá nhân phản ánh.
• Xử lý dữ liệu cá nhân là một hoặc nhiều hoạt động tác động tới dữ liệu như thu thập, ghi, phân tích, xác nhận, lưu trữ, chỉnh sửa, công khai, kết hợp, truy cập, truy xuất, thu hồi, mã hóa, giải mã, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa hoặc hủy.
• Bên kiểm soát dữ liệu cá nhân là tổ chức quyết định mục đích và phương tiện xử lý dữ liệu. Bên xử lý dữ liệu cá nhân là tổ chức xử lý dữ liệu thay mặt bên kiểm soát theo hợp đồng hoặc thỏa thuận.
• Sự đồng ý là việc chủ thể dữ liệu tự nguyện, rõ ràng và khẳng định cho phép xử lý dữ liệu sau khi đã được thông báo đầy đủ.

Điều 3. Bên kiểm soát dữ liệu và thông tin liên hệ

Đầu mối nêu trên tiếp nhận yêu cầu liên quan đến dữ liệu cá nhân, quyền của chủ thể dữ liệu và các câu hỏi về chính sách này.

Điều 4. Nguyên tắc và căn cứ xử lý dữ liệu

ALADDIN xử lý dữ liệu cá nhân theo các nguyên tắc hợp pháp, minh bạch, đúng mục đích đã thông báo; chỉ thu thập dữ liệu cần thiết; duy trì tính chính xác; giới hạn thời gian lưu trữ; bảo đảm an toàn, bảo mật và có trách nhiệm giải trình.

Tùy từng trường hợp, việc xử lý dựa trên một hoặc nhiều căn cứ sau:

• Sự đồng ý hợp lệ của chủ thể dữ liệu;
• Việc thực hiện hợp đồng, giao dịch hoặc yêu cầu của bạn trước khi giao kết hợp đồng;
• Nghĩa vụ pháp lý của ALADDIN;
• Bảo vệ tính mạng, sức khỏe hoặc lợi ích thiết yếu của chủ thể dữ liệu hay người khác trong trường hợp khẩn cấp;
• Các trường hợp khác được pháp luật cho phép, bao gồm việc bảo vệ quyền và lợi ích hợp pháp của ALADDIN hoặc bên liên quan mà không làm ảnh hưởng quá mức đến quyền của chủ thể dữ liệu.

Đối với hoạt động cần sự đồng ý, bạn có thể rút lại sự đồng ý bất cứ lúc nào. Việc rút lại không làm mất tính hợp pháp của hoạt động xử lý đã thực hiện trước thời điểm chúng tôi nhận được yêu cầu.

Điều 5. Các loại dữ liệu cá nhân được thu thập

Trường dữ liệu bắt buộc sẽ được thể hiện tại thời điểm thu thập. Nếu không cung cấp dữ liệu cần thiết, một số yêu cầu, giao dịch hoặc quyền lợi có thể không được thực hiện đầy đủ.

Điều 6. Nguồn thu thập dữ liệu cá nhân

Dữ liệu có thể được thu thập từ:

• Bạn trực tiếp cung cấp khi đặt bàn, đăng ký tài khoản, tham gia chương trình, điền biểu mẫu, liên hệ hỗ trợ, ứng tuyển hoặc sử dụng dịch vụ;
• Hoạt động của bạn trên website G.Master, Aladdin Rewards và các kênh số khác, thông qua cookie, nhật ký hệ thống và công nghệ tương tự;
• Các nhà hàng, đơn vị thành viên hoặc bộ phận thuộc hệ thống ALADDIN trong phạm vi cần thiết để cung cấp dịch vụ;
• Đối tác thanh toán, giao nhận, đặt chỗ, truyền thông, mạng xã hội hoặc nhà cung cấp dịch vụ khác khi bạn sử dụng tính năng có liên quan và việc chuyển dữ liệu có căn cứ hợp lệ;
• Nguồn công khai hoặc nguồn được pháp luật cho phép.

Khi cung cấp dữ liệu của người khác cho ALADDIN, bạn cần bảo đảm mình có quyền thực hiện việc đó và đã thông báo cho người liên quan theo quy định.

Điều 7. Dữ liệu cá nhân trong Aladdin Rewards

Khi tham gia Aladdin Rewards, chúng tôi có thể xử lý thông tin đăng ký, mã thành viên, điểm thưởng, hạng thành viên, lịch sử giao dịch, ưu đãi đã nhận hoặc sử dụng, dữ liệu thiết bị và vị trí nếu bạn cho phép.

Dữ liệu được dùng để tạo và xác thực tài khoản, ghi nhận giao dịch, quản lý điểm và hạng, cung cấp quyền lợi, cá nhân hóa ưu đãi, hỗ trợ thành viên, phòng chống gian lận và cải thiện chương trình.

ALADDIN có thể sử dụng nhà cung cấp nền tảng, dịch vụ lưu trữ, nhắn tin hoặc phân tích để vận hành chương trình. Các đơn vị này chỉ được xử lý dữ liệu theo chỉ dẫn, phạm vi công việc và biện pháp bảo mật đã thỏa thuận.

Điều khoản của Aladdin Rewards được áp dụng đồng thời với chính sách này. Trong trường hợp có khác biệt về việc bảo vệ dữ liệu cá nhân, quy định bảo vệ cao hơn cho chủ thể dữ liệu sẽ được ưu tiên trong phạm vi pháp luật cho phép.

Điều 8. Mục đích xử lý và thời hạn lưu trữ

ALADDIN chỉ lưu dữ liệu trong thời gian cần thiết cho mục đích đã thông báo, nghĩa vụ hợp đồng, giải quyết tranh chấp, bảo vệ quyền hợp pháp và yêu cầu của pháp luật. Thời hạn tham khảo cho các nhóm hoạt động chính như sau:

Khi hết thời hạn, dữ liệu sẽ được xóa, hủy, ẩn danh hoặc lưu trữ tách biệt nếu pháp luật yêu cầu tiếp tục bảo quản.

Điều 9. Cookie, công nghệ theo dõi và quảng cáo

Website G.Master có thể dùng cookie, pixel, SDK, nhật ký máy chủ và công nghệ tương tự để duy trì phiên truy cập, ghi nhớ lựa chọn, đo lường hiệu suất, phân tích hành vi tổng hợp, bảo đảm an ninh và cung cấp nội dung phù hợp.

Các nhóm công nghệ có thể gồm:

• Cookie thiết yếu: cần cho hoạt động, bảo mật và chức năng cơ bản của website;
• Cookie chức năng: ghi nhớ ngôn ngữ, khu vực, chi nhánh hoặc lựa chọn của người dùng;
• Cookie phân tích: giúp hiểu cách website được sử dụng và cải thiện trải nghiệm;
• Cookie quảng cáo: đo hiệu quả chiến dịch và phân phối nội dung phù hợp khi có căn cứ đồng ý.

Bạn có thể quản lý cookie qua công cụ trên website hoặc cài đặt trình duyệt. Việc tắt cookie thiết yếu có thể khiến một số chức năng không hoạt động đúng. Đối tác phân tích hoặc quảng cáo có thể đặt công nghệ riêng và chịu trách nhiệm theo chính sách của họ.

Điều 10. Chia sẻ và chuyển giao dữ liệu

ALADDIN không bán dữ liệu cá nhân. Dữ liệu chỉ được chia sẻ trong phạm vi cần thiết với:

• Đơn vị, thương hiệu, nhà hàng hoặc bộ phận thuộc hệ thống ALADDIN để thực hiện giao dịch và chăm sóc khách hàng;
• Nhà cung cấp công nghệ, lưu trữ đám mây, CRM, thanh toán, truyền thông, đặt chỗ, giao nhận, phân tích, tiếp thị, bảo mật và vận hành chương trình khách hàng thân thiết;
• Đối tác tham gia cung cấp sản phẩm, dịch vụ hoặc quyền lợi mà bạn yêu cầu;
• Cơ quan nhà nước, cơ quan tố tụng hoặc tổ chức có thẩm quyền khi pháp luật yêu cầu;
• Bên nhận chuyển nhượng trong hoạt động tái cấu trúc, sáp nhập, mua bán tài sản hoặc giao dịch doanh nghiệp hợp pháp.

Chúng tôi yêu cầu bên nhận áp dụng nghĩa vụ bảo mật, chỉ xử lý đúng mục đích, giới hạn quyền truy cập và hoàn trả hoặc xóa dữ liệu khi kết thúc công việc, trừ trường hợp pháp luật có quy định khác.

Điều 11. Chuyển dữ liệu cá nhân ra nước ngoài

Một số nhà cung cấp hạ tầng, phần mềm, phân tích hoặc dịch vụ hỗ trợ có thể đặt máy chủ hay nhân sự ở ngoài Việt Nam. Khi đó, dữ liệu có thể được lưu trữ hoặc truy cập từ quốc gia khác.

ALADDIN thực hiện việc chuyển dữ liệu ra nước ngoài theo quy định hiện hành, gồm đánh giá tác động, lập và lưu hồ sơ cần thiết, áp dụng căn cứ xử lý phù hợp, thực hiện thủ tục với cơ quan có thẩm quyền khi được yêu cầu và duy trì biện pháp bảo vệ theo hợp đồng, tổ chức và kỹ thuật.

Bạn có thể liên hệ với chúng tôi để được cung cấp thêm thông tin hợp lý về nơi tiếp nhận và biện pháp bảo vệ áp dụng cho hoạt động chuyển dữ liệu liên quan đến mình.

Điều 12. An ninh mạng và bảo vệ dữ liệu

ALADDIN áp dụng các biện pháp phù hợp với mức độ rủi ro, gồm phân quyền truy cập, xác thực, mã hóa hoặc che giấu dữ liệu khi thích hợp, sao lưu, ghi nhật ký, giám sát bất thường, quản lý nhà cung cấp, đào tạo nhân sự, kiểm thử và quy trình ứng phó sự cố.

Quyền truy cập chỉ được cấp cho người cần dữ liệu để thực hiện nhiệm vụ và có nghĩa vụ bảo mật. Hệ thống, quy trình và biện pháp bảo vệ được rà soát định kỳ để thích ứng với rủi ro và thay đổi công nghệ.

Không phương thức truyền hoặc lưu trữ điện tử nào bảo đảm an toàn tuyệt đối. Khi phát hiện sự cố có thể ảnh hưởng đến dữ liệu cá nhân, chúng tôi sẽ đánh giá, hạn chế thiệt hại, khắc phục và thông báo cho cơ quan có thẩm quyền hoặc chủ thể dữ liệu theo yêu cầu pháp luật.

Bạn có trách nhiệm bảo mật thông tin đăng nhập, không chia sẻ mã xác thực và thông báo sớm cho chúng tôi khi nghi ngờ tài khoản bị truy cập trái phép.

Điều 13. Trẻ em và người được đại diện

Đối với trẻ em, người mất hoặc hạn chế năng lực hành vi dân sự và người có khó khăn trong nhận thức, làm chủ hành vi, việc xử lý dữ liệu được thực hiện thông qua người đại diện theo pháp luật và phù hợp với quy định bảo vệ tương ứng.

Khi xử lý dữ liệu của trẻ em từ đủ 7 tuổi trở lên, chúng tôi sẽ thực hiện việc xác minh và lấy sự đồng ý theo yêu cầu của pháp luật, bao gồm sự đồng ý của trẻ em và cha, mẹ hoặc người giám hộ khi cần. Với trẻ em dưới 7 tuổi, sự đồng ý được thực hiện bởi người đại diện hợp pháp.

Nếu phát hiện dữ liệu trẻ em được cung cấp không đúng thẩm quyền hoặc không có sự đồng ý cần thiết, ALADDIN sẽ ngừng xử lý và xóa dữ liệu trong phạm vi pháp luật cho phép.

Điều 14. Quyền của chủ thể dữ liệu và thời hạn phản hồi

Theo quy định pháp luật, chủ thể dữ liệu có quyền được biết; đồng ý hoặc không đồng ý; rút lại sự đồng ý; truy cập, xem, chỉnh sửa hoặc yêu cầu cung cấp dữ liệu; yêu cầu xóa, hạn chế xử lý; phản đối việc xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường và tự bảo vệ.

Để thực hiện quyền, bạn có thể gửi yêu cầu tới contact@aladdin-jsc.com. Yêu cầu nên nêu rõ họ tên, thông tin liên hệ, quyền muốn thực hiện, dữ liệu hoặc giao dịch liên quan và tài liệu xác minh danh tính phù hợp. Chúng tôi có thể đề nghị bổ sung thông tin để ngăn ngừa việc tiết lộ dữ liệu cho người không có thẩm quyền.

Yêu cầu từ chối tiếp thị trực tiếp được ưu tiên ghi nhận trong vòng 72 giờ. Một số quyền có thể bị giới hạn khi việc xử lý cần thiết để tuân thủ pháp luật, thực hiện nghĩa vụ hợp đồng, bảo vệ quyền của người khác, phục vụ yêu cầu tố tụng hoặc thuộc trường hợp ngoại lệ hợp pháp. Nếu không thể thực hiện toàn bộ yêu cầu, chúng tôi sẽ thông báo lý do trong phạm vi được phép.

Điều 15. Liên kết và dịch vụ của bên thứ ba

Website hoặc thông tin do ALADDIN cung cấp có thể chứa liên kết tới nền tảng, ứng dụng, mạng xã hội, cổng thanh toán hoặc dịch vụ của bên thứ ba. Chúng tôi không kiểm soát cách các đơn vị độc lập đó thu thập và xử lý dữ liệu.

Việc xuất hiện liên kết không đồng nghĩa ALADDIN xác nhận chính sách bảo mật của bên thứ ba. Bạn nên kiểm tra điều khoản và chính sách của họ trước khi cung cấp dữ liệu hoặc sử dụng dịch vụ.

Điều 16. Sửa đổi chính sách

Chính sách có thể được cập nhật để phản ánh thay đổi về pháp luật, công nghệ, dịch vụ hoặc phương thức xử lý dữ liệu. Phiên bản mới sẽ được công bố trên website G.Master và ghi rõ ngày có hiệu lực.

Với thay đổi quan trọng ảnh hưởng đáng kể đến quyền của bạn, ALADDIN sẽ áp dụng hình thức thông báo phù hợp và xin lại sự đồng ý nếu pháp luật yêu cầu. Việc tiếp tục sử dụng dịch vụ sau ngày hiệu lực được hiểu theo phạm vi mà pháp luật cho phép và không thay thế sự đồng ý bắt buộc.

Điều 17. Hiệu lực và thông tin liên hệ

Chính sách bảo mật phiên bản 1.0 có hiệu lực từ ngày 01/07/2026 và được áp dụng cùng các điều khoản dịch vụ, thông báo thu thập dữ liệu hoặc thỏa thuận riêng có liên quan.