Thỏa thuận xử lý dữ liệu

This Data Processing Addendum ("DPA") applies between TEKRAVEL TRAVEL AND TECHNOLOGIES - FZCO ("Tekravel", "we", "us" or "our") and every business that uses Tekravel ("you"), and forms part of the agreement under which you use the platform: the Platform Terms and Conditions you accept in your Admin Panel. It sets out how we process personal data for you when we host your booking website and provide the platform to you, as the UAE Personal Data Protection Law (Federal Decree-Law No. 45 of 2021) requires and, where they apply, Article 28 of the EU and UK GDPR. Words such as "personal data", "processing", "controller", "processor", "data subject" and "personal data breach" have the meaning the applicable data protection law gives them, and a "sub-processor" is a service provider we engage to process personal data for you.

1. 1Phạm vi và vai trò

   This DPA applies whenever we process personal data for you in providing Tekravel: on your booking website, in the Admin Panel, through our APIs and in the bookings made through them. For that data, you are the controller and we are your processor. If you act for another business, for example as its sub-agent, you confirm that your instructions to us are authorised by that business. This DPA does not cover the personal data we handle as a controller for our own purposes, such as your account and sign-in records, the verification and sanctions screening of your business, our billing and support, and the security of the platform. Our Privacy Policy describes that. When a booking is made, the travel suppliers concerned (airlines, reservation systems, hotel, package and attraction suppliers) receive the traveller details they need to issue and service it. They handle those details under their own terms and privacy policies and are not our sub-processors.

2. 2Đối tượng, thời hạn, tính chất và mục đích xử lý

   • Subject matter: hosting and running your booking website and providing the Tekravel platform to you. • Duration: as long as we provide the platform to you, and after that for as long as we keep the data (see "Deletion or return at the end" below). • Nature: collecting, recording, storing, organising, retrieving, using, transmitting and erasing personal data by automated means, and passing it to the suppliers and service providers that a booking or a service needs. • Purpose: to run your website and Admin Panel, search for and book travel services, process the payments made on your website, issue tickets and vouchers, send the messages you set up, support you and keep the platform secure, and for no other purpose.

3. 3Dữ liệu cá nhân và chủ thể dữ liệu

   Các chủ thể dữ liệu gồm: • khách hàng của bạn và những du khách mà họ đặt chỗ cho, bao gồm trẻ em và trẻ sơ sinh có thông tin do một người lớn cung cấp khi đặt chỗ cho các em; • những người liên hệ với bạn qua website của bạn, chẳng hạn để hỏi thông tin hoặc trò chuyện; • nhân viên, đại lý cấp dưới và những người dùng khác của bạn, đối với dữ liệu về họ mà bạn quản lý trong bảng điều khiển quản trị. Dữ liệu cá nhân có thể bao gồm: • họ tên, địa chỉ email, số điện thoại và địa chỉ bưu chính; • ngày sinh, giới tính, quốc tịch, và số hộ chiếu hoặc giấy tờ tùy thân kèm ngày hết hạn; khi bạn bật tính năng quét hộ chiếu, bao gồm cả ảnh quét; • đặt chỗ: lịch trình, thời gian lưu trú khách sạn, mã đặt chỗ, số hội viên và các yêu cầu đặc biệt, vốn có thể tiết lộ thông tin về sức khỏe hoặc tôn giáo, chẳng hạn lựa chọn suất ăn hoặc yêu cầu hỗ trợ; • thanh toán: số tiền, trạng thái và mã tham chiếu, cùng thương hiệu, bốn chữ số cuối và ngày hết hạn của thẻ đã lưu; số thẻ đầy đủ do nhà cung cấp dịch vụ thanh toán xử lý, không phải chúng tôi; • tài khoản khách hàng: tên người dùng, mã băm mật khẩu, nhật ký đăng nhập, địa chỉ IP và thông tin thiết bị; • tin nhắn: trò chuyện, email, SMS, tin nhắn WhatsApp và Telegram, và các tệp mà mọi người gửi.

4. 4Chỉ xử lý theo chỉ dẫn của bạn

   We process the personal data only on your documented instructions. Your instructions are this DPA, the agreement under which you use the platform and the platform contract; the settings you choose and what you and your users do in the Admin Panel and through our APIs; and any other written instruction you give us that is consistent with them. We do not use the data for any other purpose of our own, we do not sell it, and we do not use it to train artificial intelligence models. If a law we are subject to requires us to process the data in another way, we tell you before we do, unless that law forbids it. If we believe an instruction breaks the applicable data protection law, we tell you straight away, and we may hold off carrying it out until you confirm or change it.

5. 5Trách nhiệm của bạn với tư cách bên kiểm soát dữ liệu

   Bạn chịu trách nhiệm về: • việc có cơ sở pháp lý cho dữ liệu cá nhân bạn thu thập trên website của mình và yêu cầu chúng tôi xử lý, và việc cho khách hàng biết bạn sử dụng dữ liệu đó như thế nào, thường là trong chính sách bảo mật riêng của website của bạn; • việc chỉ thu thập dữ liệu mà các đặt chỗ và dịch vụ của bạn cần, và chỉ thu thập dữ liệu nhạy cảm khi một đặt chỗ cần đến, trong các trường mà nền tảng cung cấp cho mục đích đó; • việc bảo đảm người đặt chỗ cho trẻ em hoặc du khách khác được phép cung cấp thông tin của họ; • tính hợp pháp của các chỉ dẫn của bạn và tính chính xác của dữ liệu bạn nhập; • việc chọn các thiết lập và vai trò người dùng phù hợp với doanh nghiệp của bạn, và giữ an toàn cho thông tin đăng nhập của người dùng của bạn.

6. 6Bảo mật thông tin

   Chỉ những nhân viên và nhà thầu cần dữ liệu cá nhân để cung cấp, hỗ trợ hoặc bảo vệ nền tảng mới có thể truy cập dữ liệu đó, và chỉ trong phạm vi công việc của họ yêu cầu. Mỗi người trong số họ đều chịu nghĩa vụ bảo mật theo văn bản hoặc theo luật định, nghĩa vụ này tiếp tục có hiệu lực sau khi họ kết thúc công việc cho chúng tôi, và đều được đào tạo về bảo vệ dữ liệu và an ninh.

7. 7Biện pháp an ninh

   Chúng tôi bảo vệ dữ liệu cá nhân trước việc bị phá hủy, mất mát, thay đổi, tiết lộ hoặc truy cập một cách ngẫu nhiên hoặc trái pháp luật bằng các biện pháp kỹ thuật và tổ chức phù hợp với mức độ rủi ro, có tính đến trình độ công nghệ hiện có, chi phí và tính chất của việc xử lý. Các biện pháp này bao gồm: • mã hóa khi truyền tải (HTTPS) và khi lưu trữ; • tài khoản người dùng riêng cho từng cá nhân, kiểm soát truy cập theo vai trò và cấp quyền tối thiểu, cho nhân viên của chúng tôi và người dùng của bạn; • tách biệt về mặt logic dữ liệu của mỗi đối tác với dữ liệu của các đối tác khác; • mật khẩu chỉ được lưu dưới dạng mã băm không thể đảo ngược, và thông tin xác thực cổng thanh toán không bao giờ được hiển thị lại sau khi đã lưu; • nhật ký đăng nhập, các thay đổi thực hiện trong bảng điều khiển quản trị và các yêu cầu API; • bảo vệ chống bot trên các biểu mẫu công khai; • sao lưu cơ sở dữ liệu thường xuyên để có thể khôi phục dữ liệu sau sự cố; • cập nhật phần mềm thường xuyên, và kiểm tra mã nguồn của chúng tôi cũng như phần mềm mà mã nguồn phụ thuộc để phát hiện các vấn đề an ninh; • đào tạo về bảo vệ dữ liệu và an ninh cho nhân viên của chúng tôi; • quy trình được lập thành văn bản để phát hiện, điều tra và ứng phó với các sự cố an ninh. Chúng tôi có thể thay đổi các biện pháp này khi công nghệ và rủi ro thay đổi, nhưng không bao giờ theo cách làm giảm mức độ bảo vệ tổng thể.

8. 8Bên xử lý dữ liệu phụ

   You give us a general authorisation to engage sub-processors. Our current sub-processors are named in our sub-processor list, published on our website at /subprocessors, with what each one does, the personal data it receives, where it is based and how transfers are protected. Your Master, and any top-level master above it, may access your Admin Panel to support you, handle cases and supervise its part of the network. When it accesses personal data that we process for you, it acts as our sub-processor: we bind it by written contract as we bind our other sub-processors. Your Admin Panel shows your Master's name and contact details, and we tell you on request where it is based and which top-level master is above it. Moving you to a different Master, or placing a new top-level master above it, is a change of sub-processor for your data: we tell you, and you can object, as the next paragraph describes. A Master that stops acting for us is a case in which we must act sooner to keep the service running. Before a new sub-processor starts processing your data, we update that list and tell you by email or in the Admin Panel at least 30 days in advance, unless we must act sooner for security reasons or to keep the service running, in which case we tell you as soon as we can. You can object on reasonable data protection grounds by writing to [email protected] within that period. We will discuss your concerns in good faith and look for a solution; if we cannot find one, you may stop using the service concerned or close your account without any penalty, and we refund, pro rata, any fee you paid in advance for that service or for a period after your account closes. We bind every sub-processor, by written contract, to data protection obligations that protect the personal data at least as well as this DPA, in particular on security, confidentiality and using the data only to provide its services to us. We remain liable to you for our sub-processors' work as for our own.

9. 9Chuyển dữ liệu quốc tế

   We and our sub-processors may process the personal data outside the country where it was collected, including outside the United Arab Emirates, as our sub-processor list shows for each sub-processor. We transfer it only as the UAE Personal Data Protection Law allows: to countries with an adequate level of protection, or with appropriate safeguards such as contractual commitments. Where the EU or UK GDPR applies, we transfer the data only to a country covered by an adequacy decision or under the standard contractual clauses approved by the European Commission (with the UK addendum for UK data), which we sign with the sub-processor concerned. Where the transfer from you to us itself needs such safeguards, those clauses (module two, or module three if you are a processor yourself) and the UK addendum apply between you and us and form part of this DPA, with this DPA providing the details they require.

10. 10Hỗ trợ bạn thực hiện nghĩa vụ

    Có tính đến tính chất của việc xử lý và thông tin mà chúng tôi có, chúng tôi hỗ trợ bạn: • trả lời các yêu cầu từ khách hàng của bạn và các chủ thể dữ liệu khác thực hiện quyền của họ. Bạn có thể tìm tài khoản và đặt chỗ của họ trong bảng điều khiển quản trị; khi một yêu cầu cần điều mà bảng điều khiển quản trị không cung cấp, chẳng hạn xóa tài khoản hoặc xuất dữ liệu của tài khoản, bạn có thể yêu cầu chúng tôi hỗ trợ. Nếu một yêu cầu được gửi trực tiếp đến chúng tôi, chúng tôi sẽ chuyển cho bạn không chậm trễ quá mức và không tự trả lời, trừ khi bạn yêu cầu chúng tôi làm vậy; • thực hiện đánh giá tác động bảo vệ dữ liệu, và tham vấn cơ quan bảo vệ dữ liệu khi pháp luật yêu cầu, bằng cách cung cấp cho bạn thông tin về hoạt động xử lý và các biện pháp an ninh của chúng tôi mà bạn cần một cách hợp lý; • đáp ứng các nghĩa vụ của bạn về an ninh và vi phạm dữ liệu cá nhân, như mô tả trong DPA này. Nếu bạn cần hỗ trợ vượt quá những gì nền tảng và DPA này cung cấp, chúng tôi có thể tính một khoản phí hợp lý, được thỏa thuận trước với bạn.

11. 11Vi phạm dữ liệu cá nhân

    If we become aware of a personal data breach affecting the personal data we process for you, we tell you as soon as we become aware of it, and in any case within forty-eight (48) hours, by email to the address on your account. We tell you, as far as we know it at the time and in stages if we cannot tell you everything at once: • what happened and when; • the categories and approximate number of data subjects and records concerned; • the likely consequences; • what we have done or propose to do to deal with the breach and reduce its possible harm; • who you can contact for more information. We take reasonable steps to contain and investigate the breach, keep you informed, and help you notify the authorities and the people affected where the law requires. Telling you about a breach is not an admission of fault or liability.

12. 12Xóa hoặc trả lại khi kết thúc

    When we stop providing the platform to you, you can ask us for a copy of your customers' personal data that we still hold, in a common machine-readable format. We decide, at our discretion, whether we keep, delete or anonymise the personal data we process for you, and for how long. We make no commitment to keep it for any period or to delete it by any date, so export what you need while you use the platform. We keep bookings, invoices, payments and accounting records, including the traveller and customer details on them (such as names, itineraries, ticket numbers and amounts), for at least seven (7) years after the end of the tax period they belong to. We keep them protected and use them only for the reason we keep them.

13. 13Thông tin và kiểm toán

    Chúng tôi cung cấp cho bạn thông tin cần thiết một cách hợp lý để chứng minh rằng chúng tôi đáp ứng các nghĩa vụ theo DPA này, chẳng hạn bản mô tả các biện pháp an ninh, danh sách các bên xử lý dữ liệu phụ và câu trả lời cho các bảng câu hỏi an ninh hợp lý. Nếu thông tin đó không đủ, hoặc cơ quan bảo vệ dữ liệu yêu cầu, bạn có thể tự mình kiểm toán việc tuân thủ của chúng tôi hoặc thông qua một kiểm toán viên độc lập chịu nghĩa vụ bảo mật và không phải là đối thủ cạnh tranh của chúng tôi. Bạn phải thông báo bằng văn bản cho chúng tôi trước ít nhất 30 ngày và thỏa thuận trước với chúng tôi về phạm vi, thời điểm và thời lượng của cuộc kiểm toán. Cuộc kiểm toán phải diễn ra trong giờ làm việc thông thường, không được làm gián đoạn dịch vụ của chúng tôi hoặc cho phép truy cập dữ liệu của các đối tác khác, và do bạn chịu chi phí. Bạn có thể kiểm toán chúng tôi một lần trong mỗi mười hai tháng, trừ khi một vi phạm dữ liệu cá nhân đã ảnh hưởng đến dữ liệu của bạn hoặc cơ quan bảo vệ dữ liệu yêu cầu kiểm toán.

14. 14Trách nhiệm pháp lý và thứ tự ưu tiên

    Our liability under this DPA is limited in the same way as our liability for the platform as a whole. We are not liable for indirect, incidental, special or consequential loss, or for loss of profit, revenue, business, goodwill or data. Our total liability to you for all claims together, under this DPA and otherwise in connection with the platform, is limited to the greater of (a) the fees you paid us in the twelve months before the event that gave rise to the claim and (b) USD 500. These limits do not apply to fraud, wilful misconduct or gross fault, or where the law does not allow liability to be limited. Nothing in this DPA limits the rights that data subjects have under the law. On the processing of personal data, this DPA prevails over any other terms between you and us where they differ, including the Platform Terms and Conditions. The platform contract may add further data protection commitments, and where it protects the personal data more, it prevails. This DPA applies for as long as we process personal data for you; the obligations that by their nature continue, such as confidentiality, survive its end. This DPA is governed by the laws of the Emirate of Dubai and the federal laws of the United Arab Emirates applicable in Dubai, except where the standard contractual clauses or the UK addendum require another law. A dispute under it is resolved in the same way as other disputes about the platform: it is subject to the exclusive jurisdiction of the onshore courts of the Emirate of Dubai (the Dubai Courts), and not of the courts of the Dubai International Financial Centre. This does not apply to a dispute arising from the standard contractual clauses or the UK addendum, which is resolved by the courts those clauses require (for the standard contractual clauses, the courts of an EU Member State; for the UK addendum, the courts of England and Wales), and it does not limit a data subject's right to bring proceedings before the courts those clauses allow.