1. 适用范围与定义
本政策适用于 Huayuesc（huayuesc.vn）的全部服务，包括 B2B 网站、移动应用（iOS/Android 即将推出），以及与河内总部 + 广州采购代表处华越团队的所有线下互动。定义：「个人数据」= 可直接/间接识别某一个人的信息（依第 13/2023 号法令第 2 条）。「用户」= 采购商（越南个人/企业）、供应商（中国供应商）、访客（未注册）。「数据控制方」= 华越（越南）供应链有限公司（税号 0111453693，总部位于河内市春芳坊宝玉大厦）。「数据处理方」= 经授权的服务提供商（云托管、支付处理商、物流合作伙伴）。「同意」= 依第 13/2023 号法令第 11 条作出的知情、自愿且明确的许可。
“安全不是一个勾选框——它是一个过程。华越承诺就越南采购商数据如何在越中跨境处理保持透明，没有秘密，没有刁难人的法律术语。”
2. 我们收集的信息
我们收集 5 大类数据：（A）账户信息——姓名、邮箱、电话、公司、税号、收货地址、密码（已用 bcrypt 哈希）。（B）交易信息——询价、订单、收藏的产品、付款记录（仅状态，不存储卡号——由合作支付处理商处理）、物流单号、争议历史。（C）设备与日志信息——IP 地址、用户代理、操作系统、浏览器、语言、访问时间、已浏览的页面（保留 90 天，用于分析 + 安全审计）。（D）通信内容——通过平台与供应商的聊天、视频通话记录（仅在用户确认时保存）、经系统发送的邮件、评价中的评论。（E）第三方信息——通过 Google/Apple/Facebook 登录时，华越获取：邮箱、姓名、头像（仅限您在 OAuth 同意页面授权共享的字段）。不收集：身份证/护照号（KYC 要求的 ≥$10K 交易除外）、生物识别信息、医疗数据、宗教、政治观点（属第 13/2023 号法令第 2.4 条定义的「敏感个人数据」）。
3. 处理目的与法律依据
华越依第 13/2023 号法令第 11 条基于 4 项法律依据处理数据：（1）同意——您注册时勾选「我同意」，可随时撤回。（2）履行合同——处理为提供约定 B2B 服务所必需的数据（询价、下单、运输、售后）。（3）法律义务——依越南《税收管理法》保存税务凭证 10 年，依第 123/2020/NĐ-CP 号法令保存电子发票。（4）正当利益——防范欺诈、保障系统安全、改进产品（仅在不侵害您基本权益时适用）。具体目的：提供与个性化服务、撮合采购商与供应商、处理支付与运输、发送交易通知、防范欺诈/滥用、通过聚合数据分析改进产品、营销（仅限采购商选择加入时）、遵守法律及主管机关要求。
4. Cookies 与追踪技术
Huayuesc 使用 4 类 cookies，政策清晰，并在 /info/quan-ly-cookies 提供 cookies 管理面板：（a）必要 cookies——维持登录、询价购物车、语言，依第 13/2023 号法令第 6 条无需同意（服务所必需）。例如：csr_session、csr_locale、csr_csrf。（b）分析 cookies——Google Analytics 4（匿名化 IP）、Hotjar 会话回放（遮蔽敏感字段）、Mixpanel 漏斗分析。需选择加入。保留 24 个月。（c）营销 cookies——Facebook Pixel、Google Ads、LinkedIn Insight、TikTok Pixel。需选择加入。保留 12 个月。（d）供应商合作 cookies——仅在您点击供应商产品页时激活（个别情况）。首次访问时出现 cookie 同意横幅，提供 3 种选择：全部同意 / 仅必要 / 自定义。可随时在 /buyer-center/settings/privacy 更改选择。
5. 与第三方共享
华越与5类第三方共享数据，每类均签有数据处理协议（DPA），约束其遵守第13/2023号法令及等同GDPR：（1）供应商——仅共享完成订单所需的最少信息（联系人姓名、公司、收货地址、所需SKU）；不直接共享邮箱/电话——所有通信经华越中继转发。（2）越南和中国的合作银行，用于交易保障托管账户服务；支付处理商用于国际支付——其仅能看到处理交易及履行KYC所需的最少信息。（3）物流合作伙伴及海防港清关合作伙伴——共享收货地址、物流单号及海关申报内容。（4）服务提供商——AWS新加坡（托管）、Cloudflare（CDN、防DDoS）、Twilio（短信OTP）、SendGrid（事务性邮件）、Sentry（错误追踪，已清除个人身份信息）。（5）国家机关——仅在有书面合法要求时（搜查令、起诉公函），华越每年发布透明度报告，公布收到的请求数量。绝不向数据中介或第三方出售数据用于营销。
6. 越中跨境数据传输
华越跨越南—中国境运营：越南采购商的数据可能被传输至广州采购代表处，以便华越团队协助采购、验厂、验货及处理争议。跨境数据传输受3层保护：（i）标准合同条款（SCCs）——华越（越南）供应链有限公司河内总部与广州代表处之间的内部文件，遵循越南司法部的参考范本。（ii）传输加密——所有越中往返流量经TLS 1.3、证书固定，无法被拦截。（iii）依第13/2023号法令第25条向信息安全局办理跨境数据传输登记——华越正在完成登记手续。您有权要求华越不将数据传输至中国——我们将予以尊重，但可能因此限制实地验厂服务（该服务由广州团队执行）。
7. 存储与数据生命周期
华越个人数据生命周期遵循「最少必要」原则：（a）活跃账户——持续存储，按您的要求更新。（b）非活跃账户≥18个月——发送预警邮件，若随后90天内无响应则自动删除。（c）已完成订单——依越南税务义务保留明细7年，之后匿名化。（d）交易凭证及发票——依《税收管理法》保留10年。（e）通信日志（聊天、邮件）——为争议解决保留24个月，之后永久删除。（f）服务器日志——90天，之后聚合进分析报告（不含个人身份信息）。（g）Cookies——按第4条所述的存活时间。当您要求注销账户时（第9条所列权利），华越将在30天内彻底删除并邮件确认，并应请求出具「删除证明」（供需要审计留痕的企业使用）。
8. 技术与组织安全措施
技术安全措施：（1）传输加密——TLS 1.3，具前向保密、HSTS预加载、证书透明度监控。（2）存储加密——静态数据库采用AES-256-GCM，密钥经AWS KMS管理并每90天轮换。（3）密码哈希——bcrypt，工作因子12加逐用户加盐及pepper。（4）入侵检测——Cloudflare第7层WAF、针对登录模式的AI异常检测、自动限速拦截暴力破解。（5）内部访问权限——最小权限原则、基于角色的访问控制（RBAC）、所有有权访问生产环境的华越员工强制启用2FA。（6）审计日志——所有数据访问均记录时间戳、IP、用户、操作；日志保存于一次写入系统12个月。（7）渗透测试——每年2次，由独立安全合作方执行。（8）漏洞赏金计划——向privacy@huayuesc.vn报告漏洞，按严重程度奖励$100-5,000。组织措施：华越员工签署NDA并每季度参加安全培训；AWS新加坡及越南数据中心通过ISO 27001；事件响应流程RTO 4小时、RPO 1小时；每小时自动备份及每日异地备份。
9. 您依第 13/2023 号法令享有的 11 项权利
依第13/2023号法令第9–22条，您对自己的个人数据享有11项基本权利：（1）知情权——知悉收集了哪些数据、目的及存储期限。（2）同意权——同意或拒绝处理。（3）查阅权——要求查看自己的数据（30天内导出JSON/CSV文件）。（4）撤回同意权——随时撤回，无需说明理由。（5）删除权——「被遗忘权」，30天内删除账户及全部数据（依税法须保存的凭证除外）。（6）限制处理权——要求华越在处理投诉期间暂停处理数据。（7）数据可携权——要求将数据转移至其他服务商。（8）反对权——反对用于营销、画像的处理。（9）申诉权——向信息安全局（信息传媒部）或向我们提出申诉。（10）赔偿请求权——如华越违规造成损害。（11）自我保护权——自行采取数据保护措施（改密码、开2FA、退出cookie）。如需行使任何权利，请发邮件至privacy@huayuesc.vn——7个工作日内回复，30天内处理完毕。
10. 保护 16 岁以下儿童
Huayuesc是面向企业的B2B平台，不面向16岁以下儿童。注册时，用户须确认已年满18岁（或居住国法律规定的成年年龄）。如发现儿童账户，华越将立即停用并在7天内删除全部数据。家长如发现子女已创建账户，可联系privacy@huayuesc.vn——我们将核实并优先删除，不收取费用。
11. 数据事件与通报流程
数据事件响应计划（Data Breach Response Plan）遵守第13/2023号法令第23条：（步骤1）发现——安全团队7×24、全年365天监控，或收到来自漏洞赏金/员工/合作伙伴的报告。（步骤2）控制——在4小时内确定范围、止住泄露、锁定受影响系统。（步骤3）评估——安全取证确定多少用户受影响、涉及哪些数据、严重程度。（步骤4）通报主管机关——自发现起72小时内，按标准模板向信息安全局（信息传媒部）提交报告。（步骤5）通知用户——72小时内向所有受影响用户发送邮件/短信，说明事件、泄露数据、补救措施及建议（改密码、开2FA、监控账户）。（步骤6）修复——修补漏洞、全系统审计、30天内公开复盘报告。（步骤7）赔偿——若用户能证明直接损失，华越有透明的赔偿政策。
12. 政策修订与联系 DPO
本政策由华越每年至少审阅1次，并在法律、技术或服务变更时更新。当前版本为v1.0，自2026/01/01生效。旧版本归档于/info/privacy-policy/lich-su供查阅。如有实质性变更（影响用户权益），华越将通过以下方式通知：（a）提前至少30天向所有活跃用户发送邮件。（b）在网站/应用上展示横幅60天。（c）若变更数据处理目的，则要求用户重新授权同意。联系DPO（数据保护官）：邮箱privacy@huayuesc.vn（72小时内回复）、热线+86 181-2225-6999（工作时间）、信函「DPO——华越（越南）供应链有限公司」，地址：越南河内市春芳坊清林街02号宝玉大厦07层。独立申诉主管机关：信息安全局（信息传媒部），河内市阮攸街18号——网站ais.gov.vn。
- ✓数据控制方法人主体：华越（越南）供应链有限公司（税号0111453693）
- ✓遵守第13/2023/NĐ-CP号法令（越南）+ PIPL 2021（中国）+ 适用时的GDPR
- ✓致力于达到ISO/IEC 27001:2022标准
- ✓TLS 1.3（传输）+ AES-256-GCM（静态）加密，密码采用bcrypt
- ✓数据主体11项权利——7天回复，30天处理
- ✓越中跨境传输经SCCs + 正在向信息安全局登记
- ✓每年2次渗透测试 + 漏洞赏金$100-5,000
- ✓依第13/2023号法令第23条，数据泄露72小时内通报
- ✓DPO：privacy@huayuesc.vn——热线+86 181-2225-6999
❓ 常见问题
华越会把我的数据出售给第三方吗？▾
绝对不会。华越的商业模式依靠供应链服务（交易佣金、物流费、清关费），而非出售数据。我们不会与数据中介、营销聚合商或任何与您交易无直接关联的第三方共享数据。
我可以要求删除全部数据吗？▾
可以。请发邮件至privacy@huayuesc.vn，主题为「数据删除请求——[账户姓名/邮箱]」。华越将核实身份（通过OTP），在30天内彻底删除，并应请求出具「删除证明」。请注意：依越南《税收管理法》，税务凭证（发票）须保存10年——这部分无法删除。
我的数据会被传输到中国吗？▾
有可能，如果您的交易需要华越广州代表处协助（验厂、验货、处理争议）。越中跨境数据传输受内部标准合同条款（SCCs）和TLS 1.3加密保护；华越正依第13/2023号法令第25条向越南信息安全局完成登记。您有权要求不传输——发邮件给DPO，我们将予以尊重，尽管可能因此限制实地验厂服务。
如果华越被黑，我的密码安全吗？▾
安全。华越采用bcrypt哈希，工作因子12 + 逐用户加盐 + pepper——即便数据库泄露，破解密码也需要数十亿年的算力。不过仍建议您：（1）设置强且唯一的密码，（2）在/buyer-center/settings/security开启2FA，（3）若听闻您使用同一邮箱的其他网站发生事故，请及时改密码。
我收到自称华越的陌生邮件——如何辨别真伪？▾
华越官方邮件始终来自@huayuesc.vn域名。交易邮件来自no-reply@huayuesc.vn。来自DPO/HR的邮件域名为@huayuesc.vn。如有疑虑，请将该邮件转发至privacy@huayuesc.vn，我们将在4小时内核实。黄金法则：华越绝不会通过邮件/电话索要密码。