Bên xử lý dữ liệu phụ

Lưu trữ, phân phối và bảo mật

• Microsoft Azure

  Công việc thực hiện cho chúng tôi

  Lưu trữ nền tảng, các website đặt chỗ, bảng điều khiển đối tác và website này: máy chủ, cơ sở dữ liệu, lưu trữ tệp, bộ nhớ đệm và giám sát. Khi được bật, dịch vụ này cũng đọc hộ chiếu được quét trong một đặt chỗ.

  Dữ liệu cá nhân được nhận

  Toàn bộ dữ liệu được lưu trên nền tảng, như tài khoản, đặt chỗ, thông tin du khách, hồ sơ thanh toán, tin nhắn và tệp, cùng nhật ký yêu cầu kèm địa chỉ IP.

  Nơi đặt trụ sở

  Microsoft Corporation, Hoa Kỳ. Nền tảng được lưu trữ tại các trung tâm dữ liệu châu Âu của Microsoft, ở Hà Lan (West Europe) và Ireland (North Europe).

  Biện pháp bảo vệ khi chuyển dữ liệu

  Lưu trữ tại Liên minh châu Âu, theo Thỏa thuận bảo vệ dữ liệu của Microsoft, kèm các điều khoản hợp đồng tiêu chuẩn của EU.

• Cloudflare

  Công việc thực hiện cho chúng tôi

  Phân phối website này và các website đặt chỗ, bảo vệ chống tấn công, bản ghi tên miền và công cụ kiểm tra bot Turnstile trên các biểu mẫu. Trên các website đặt chỗ có bật tính năng này, và chỉ khi khách truy cập đồng ý, dịch vụ này còn đếm lượt xem trang mà không dùng cookie.

  Dữ liệu cá nhân được nhận

  Địa chỉ IP, chi tiết yêu cầu và các tín hiệu trình duyệt dùng cho việc kiểm tra bot; đối với thống kê trang, địa chỉ trang, trang giới thiệu (referrer) và thời gian tải.

  Nơi đặt trụ sở

  Cloudflare, Inc., Hoa Kỳ. Các yêu cầu được xử lý tại trung tâm dữ liệu Cloudflare gần khách truy cập nhất.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Thỏa thuận xử lý dữ liệu của Cloudflare, kèm các điều khoản hợp đồng tiêu chuẩn của EU.

Thanh toán

• Stripe

  Công việc thực hiện cho chúng tôi

  Card payments made to us: the platform's own invoices, add-ons and content-credit top-ups, and bookings and wallet top-ups on the platform's own booking website. We do not take payments from a travel business's customers.

  Dữ liệu cá nhân được nhận

  Name, email address, amount and the booking, invoice or top-up reference. Card details are typed into Stripe's own form and never reach us.

  Nơi đặt trụ sở

  Stripe, Inc., Hoa Kỳ, và các công ty liên kết của Stripe tại các quốc gia khác.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Thỏa thuận xử lý dữ liệu của Stripe, kèm các điều khoản hợp đồng tiêu chuẩn của EU.

Xác minh và hợp đồng

• Didit

  Công việc thực hiện cho chúng tôi

  Xác minh danh tính và công ty (KYC và KYB) khi một doanh nghiệp du lịch yêu cầu Nội dung du lịch từ chúng tôi (trước khi ký Thỏa thuận nội dung), quyền truy cập API chính thức, chia sẻ kho của mình với Mạng lưới, hoặc kinh doanh với tư cách đại lý B2B trên cửa hàng trực tuyến của chúng tôi.

  Dữ liệu cá nhân được nhận

  Giấy tờ tùy thân, ảnh selfie và kiểm tra người thật (liveness), cùng tài liệu công ty của những người sở hữu hoặc quản lý doanh nghiệp.

  Nơi đặt trụ sở

  Tây Ban Nha (Liên minh châu Âu).

  Biện pháp bảo vệ khi chuyển dữ liệu

  Đặt trụ sở tại Liên minh châu Âu, nơi GDPR được áp dụng.

• Zoho (Zoho Sign and Zoho Mail)

  Công việc thực hiện cho chúng tôi

  Ký điện tử hợp đồng nền tảng (Zoho Sign), và các hộp thư của chính chúng tôi (Zoho Mail), bao gồm hộp thư hỗ trợ và hộp thư tuyển dụng nhận hồ sơ ứng tuyển.

  Dữ liệu cá nhân được nhận

  Tên và địa chỉ email của người ký, cùng hợp đồng đã ký; các email gửi đến và gửi đi từ các hộp thư của chúng tôi, kèm tệp đính kèm, chẳng hạn sơ yếu lý lịch.

  Nơi đặt trụ sở

  Zoho Corporation, tại trung tâm dữ liệu của Zoho ở Hoa Kỳ.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Thỏa thuận xử lý dữ liệu của Zoho, kèm các điều khoản hợp đồng tiêu chuẩn của EU.

Email, tin nhắn văn bản và ứng dụng nhắn tin

• Amazon Web Services (Amazon SES và SNS)

  Công việc thực hiện cho chúng tôi

  Gửi email, và báo cáo thư bị trả lại và khiếu nại để chúng tôi ngừng gửi đến các địa chỉ không hoạt động hoặc không muốn nhận email của chúng tôi.

  Dữ liệu cá nhân được nhận

  Địa chỉ email của người nhận và nội dung email.

  Nơi đặt trụ sở

  Amazon Web Services, Inc., Hoa Kỳ, từ khu vực AWS mà chúng tôi đã chọn cho email.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Thỏa thuận xử lý dữ liệu của AWS, kèm các điều khoản hợp đồng tiêu chuẩn của EU.

• Meta (Nền tảng WhatsApp Business và Facebook)

  Công việc thực hiện cho chúng tôi

  Gửi thông báo và tin nhắn trò chuyện qua WhatsApp, nhận các tin nhắn WhatsApp mà mọi người gửi đến các số điện thoại do doanh nghiệp kết nối, và đăng nhập Facebook mở trong bảng điều khiển quản trị để kết nối tài khoản WhatsApp Business.

  Dữ liệu cá nhân được nhận

  Số điện thoại và nội dung tin nhắn, cùng phiên đăng nhập Facebook của nhân viên kết nối tài khoản.

  Nơi đặt trụ sở

  WhatsApp LLC (Meta), Hoa Kỳ.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Các điều khoản xử lý dữ liệu của WhatsApp Business, kèm các điều khoản hợp đồng tiêu chuẩn của EU.

• Telegram

  Công việc thực hiện cho chúng tôi

  Gửi thông báo và tin nhắn trò chuyện Telegram thông qua một bot Telegram.

  Dữ liệu cá nhân được nhận

  ID cuộc trò chuyện Telegram và nội dung tin nhắn.

  Nơi đặt trụ sở

  Các Tiểu vương quốc Ả Rập Thống nhất (Dubai).

  Biện pháp bảo vệ khi chuyển dữ liệu

  Đặt trụ sở tại Các Tiểu vương quốc Ả Rập Thống nhất; các điều khoản và chính sách quyền riêng tư riêng của Telegram cũng áp dụng cho các tin nhắn.

• Twilio

  Công việc thực hiện cho chúng tôi

  Gửi tin nhắn văn bản (SMS) đến hầu hết các quốc gia; không bao giờ gửi đến số điện thoại Iran.

  Dữ liệu cá nhân được nhận

  Số điện thoại và nội dung tin nhắn.

  Nơi đặt trụ sở

  Twilio Inc., Hoa Kỳ.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Thỏa thuận bảo vệ dữ liệu của Twilio, kèm các điều khoản hợp đồng tiêu chuẩn của EU.

• Vonage

  Công việc thực hiện cho chúng tôi

  Gửi tin nhắn văn bản (SMS) đến hầu hết các quốc gia; không bao giờ gửi đến số điện thoại Iran.

  Dữ liệu cá nhân được nhận

  Số điện thoại và nội dung tin nhắn.

  Nơi đặt trụ sở

  Hoa Kỳ.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Thỏa thuận xử lý dữ liệu của Vonage, kèm các điều khoản hợp đồng tiêu chuẩn của EU.

• Infobip

  Công việc thực hiện cho chúng tôi

  Gửi tin nhắn văn bản (SMS) đến hầu hết các quốc gia; không bao giờ gửi đến số điện thoại Iran.

  Dữ liệu cá nhân được nhận

  Số điện thoại và nội dung tin nhắn.

  Nơi đặt trụ sở

  Croatia (Liên minh châu Âu), với công ty ký hợp đồng tại Vương quốc Anh.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Đặt trụ sở tại Liên minh châu Âu và Vương quốc Anh; Vương quốc Anh thuộc phạm vi một quyết định về mức bảo vệ đầy đủ của EU.

• D7 Networks

  Công việc thực hiện cho chúng tôi

  Gửi tin nhắn văn bản (SMS) đến hầu hết các quốc gia; không bao giờ gửi đến số điện thoại Iran.

  Dữ liệu cá nhân được nhận

  Số điện thoại và nội dung tin nhắn.

  Nơi đặt trụ sở

  Các Tiểu vương quốc Ả Rập Thống nhất (Dubai).

  Biện pháp bảo vệ khi chuyển dữ liệu

  Đặt trụ sở tại Các Tiểu vương quốc Ả Rập Thống nhất.

• Unifonic

  Công việc thực hiện cho chúng tôi

  Chỉ gửi tin nhắn văn bản đến số điện thoại tại các quốc gia vùng Vịnh (UAE, Ả Rập Xê Út, Kuwait, Bahrain, Oman và Qatar).

  Dữ liệu cá nhân được nhận

  Số điện thoại và nội dung tin nhắn.

  Nơi đặt trụ sở

  Ả Rập Xê Út (Riyadh).

  Biện pháp bảo vệ khi chuyển dữ liệu

  Chỉ được dùng để chuyển tin nhắn đến các số điện thoại tại các quốc gia vùng Vịnh, đúng như người nhận mong đợi.

Tính năng và nội dung website

• ipwho.is

  Công việc thực hiện cho chúng tôi

  Ước tính quốc gia của một địa chỉ IP, để điền sẵn trường quốc gia trong các biểu mẫu của chúng tôi và bảo vệ việc đăng nhập.

  Dữ liệu cá nhân được nhận

  Chỉ địa chỉ IP.

  Nơi đặt trụ sở

  Máy chủ riêng của nhà cung cấp.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Chỉ nhận một địa chỉ IP, cho một lần tra cứu duy nhất.

• Google

  Công việc thực hiện cho chúng tôi

  Bản đồ văn phòng của chúng tôi trên website này, chỉ được tải sau khi bạn chọn hiển thị, và lời nhắc “Đăng nhập bằng Google” trên các website đặt chỗ, chỉ được tải sau khi khách truy cập chấp nhận cookie chức năng.

  Dữ liệu cá nhân được nhận

  Địa chỉ IP và thông tin trình duyệt, khi bản đồ hoặc lời nhắc được tải.

  Nơi đặt trụ sở

  Google LLC, Hoa Kỳ; Google Ireland Limited đối với người dùng tại Liên minh châu Âu.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Các điều khoản của Google, kèm các điều khoản hợp đồng tiêu chuẩn của EU.

• OpenStreetMap

  Công việc thực hiện cho chúng tôi

  Ô bản đồ cho bản đồ kết quả khách sạn trên các website đặt chỗ.

  Dữ liệu cá nhân được nhận

  Địa chỉ IP, thông tin trình duyệt và khu vực bản đồ được xem.

  Nơi đặt trụ sở

  OpenStreetMap Foundation, Vương quốc Anh; các ô bản đồ được phân phối qua một mạng phân phối nội dung.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Đặt trụ sở tại Vương quốc Anh, quốc gia thuộc phạm vi một quyết định về mức bảo vệ đầy đủ của EU.

• Unsplash

  Công việc thực hiện cho chúng tôi

  Ảnh trong bản trình diễn trực tiếp trên trang chủ của chúng tôi, ảnh điểm đến mặc định trong một số mẫu website, và ảnh mẫu trong studio giao diện của bảng điều khiển quản trị.

  Dữ liệu cá nhân được nhận

  Địa chỉ IP và thông tin trình duyệt, khi ảnh được tải.

  Nơi đặt trụ sở

  Canada.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Đặt trụ sở tại Canada, quốc gia thuộc phạm vi một quyết định về mức bảo vệ đầy đủ của EU.

• jsDelivr

  Công việc thực hiện cho chúng tôi

  Các tệp nhận dạng văn bản mà website đặt chỗ dùng để đọc ảnh quét hộ chiếu ngay trên thiết bị của khách truy cập; hình ảnh vẫn ở trên thiết bị.

  Dữ liệu cá nhân được nhận

  Địa chỉ IP và thông tin trình duyệt, khi các tệp được tải; không có thông tin nào về hộ chiếu.

  Nơi đặt trụ sở

  Một mạng phân phối nội dung công cộng dành cho các tệp mã nguồn mở, với máy chủ trên khắp thế giới.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Chỉ nhận yêu cầu tải các tệp, không bao giờ nhận hình ảnh hộ chiếu hay thông tin trên đó.

• Anthropic

  Công việc thực hiện cho chúng tôi

  Soạn thảo bài viết cho blog riêng của chúng tôi và cho website của các đối tác sử dụng tiện ích bổ sung AI SEO.

  Dữ liệu cá nhân được nhận

  Không có dữ liệu du khách hay khách hàng: tên trang, lĩnh vực ngách, ngôn ngữ, chủ đề, từ khóa và giọng văn của bài viết, cùng tiêu đề của tối đa 40 bài đăng gần đây của trang, kể cả bản nháp, để bài viết mới không lặp lại chúng.

  Nơi đặt trụ sở

  Anthropic, PBC, Hoa Kỳ.

  Biện pháp bảo vệ khi chuyển dữ liệu

  Không có dữ liệu du khách hay khách hàng nào được gửi đi.

Our regional representatives (Masters)

• Masters

  Công việc thực hiện cho chúng tôi

  Supporting the travel businesses assigned to them: a Master, and any top-level master above it, can access a business's partner panel to support it, handle cases and supervise its part of the network.

  Dữ liệu cá nhân được nhận

  The personal data in that business's partner panel that the task needs, such as bookings, travellers' details, customer accounts and messages.

  Nơi đặt trụ sở

  The Master assigned to the business, whose name and contact details its partner panel shows; we tell the business on request where it is based.

  Biện pháp bảo vệ khi chuyển dữ liệu

  A written contract with us with the same data protection obligations as our other sub-processors and, where the data leaves the country it was collected in, the safeguards in the international transfers section of our Data Processing Addendum (the EU standard contractual clauses, with the UK addendum, where the EU or UK GDPR applies).

Tài khoản do đối tác tự kết nối

A travel business can connect its own accounts instead of ours, such as its own SMS provider, email (SMTP) account or WhatsApp Business number. Its booking website also takes card payments only through a payment gateway that the business connects under its own contract with the payment company. Each such provider works under the business's own contract with it and is not our sub-processor for the data it handles there.

Các công ty hoạt động với tư cách độc lập

Khi có đặt chỗ, các hãng hàng không, hệ thống đặt chỗ, đơn vị tổng hợp và nhà cung cấp khách sạn, gói tour và điểm tham quan liên quan sẽ nhận các thông tin du khách cần thiết để xuất vé và phục vụ đặt chỗ đó. Họ xử lý các thông tin này theo điều khoản và chính sách quyền riêng tư của riêng họ và không phải là bên xử lý dữ liệu phụ của chúng tôi. Điều tương tự áp dụng cho Google, Apple, Facebook và Microsoft khi khách truy cập chọn đăng nhập bằng các dịch vụ này.

Thay đổi đối với danh sách này

Before a new sub-processor starts processing personal data for a travel business, we update this list and tell the business by email or in the partner panel at least 30 days in advance, so that it can object, unless we must act sooner for security reasons or to keep the service running, in which case we tell it as soon as we can, as our Data Processing Addendum describes. Questions about this list: [email protected].