1. 范围与定义
本政策适用于Huayuesc（huayuesc.vn）的全部服务，包括B2B网站、移动应用程序（iOS/Android即将推出）以及与Huayue团队在河内总部+广州采购代表处的所有线下互动。定义：'个人数据' = 可直接或间接识别个人的信息（根据第13/2023号法令第2条）。'用户' = 买方（越南个人/企业）、供应商（中国卖方）、访客（未注册）。'数据控制方' = CÔNG TY TNHH CHUỖI CUNG ỨNG HUAYUE VIỆT NAM（税号0111453693，总部位于河内Đại Mỗ的Ecolife大楼）。'数据处理方' = 授权的服务提供商（云托管、支付处理商、物流合作伙伴）。'同意' = 根据第13/2023号法令第11条，在知情、自愿且明确的情况下表示同意。
“安全不是复选框——它是一个过程。华越承诺透明地说明越南买家数据如何在中越跨境处理中流转，没有秘密，没有晦涩的法律术语。”
2. 我们收集的信息
我们收集五类主要数据：(A) 账户信息 — 姓名、电子邮件、电话号码、公司、税号、送货地址、密码（bcrypt 哈希加密）。(B) 交易信息 — 询价单、订单、收藏商品、支付历史（仅状态，不存储卡号——由合作支付处理商处理）、物流单号、纠纷历史。(C) 设备与日志信息 — IP 地址、用户代理、操作系统、浏览器、语言、访问时间、浏览页面（存储 90 天，用于分析和安全审计）。(D) 沟通内容 — 平台内与供应商的聊天、视频通话记录（仅在用户确认时保存）、系统发送的电子邮件、评论内容。(E) 第三方信息 — 通过 Google/Apple/Facebook 登录时，Huayue 获取：电子邮件、姓名、头像（仅限您在 OAuth 授权界面同意分享的字段）。不收集：身份证/护照号码（除非大额交易≥$10K 需要 KYC）、生物识别信息、医疗数据、宗教信仰、政治观点（根据第 13/2023 号法令第 2.4 条对'敏感个人数据'的定义）。
3. 处理目的与法律依据
Huayue 依据第 13/2023 号法令第 11 条的四项法律基础处理数据：(1) 同意 — 您在注册时勾选'我同意'，并有权随时撤回同意。(2) 合同履行 — 处理提供已约定的 B2B 服务（询价单、下单、运输、售后服务）所必需的数据。(3) 法律义务 — 根据越南税法保存税务凭证 10 年，根据第 123/2020/NĐ-CP 号法令保存电子发票。(4) 正当利益 — 防止欺诈、保障系统安全、改进产品（仅在未侵犯您基本权利时适用）。具体目的：提供及个性化服务、连接买卖双方、处理支付与运输、发送交易通知、防止欺诈/滥用、通过聚合数据分析改进产品、营销（仅限已选择加入的买家）、遵守法律法规及配合官方要求。
4. Cookies与跟踪技术
Huayuesc 使用四类 Cookie，政策清晰，并提供 Cookie 管理页面 (/info/quan-ly-cookies)：(a) 必要 Cookie — 维持登录、询价单购物车、语言选择，根据第 13/2023 号法令第 6 条无需同意（服务所必需）。例如：csr_session, csr_locale, csr_csrf。(b) 分析 Cookie — Google Analytics 4（IP 匿名化）、Hotjar 会话回放（屏蔽敏感字段）、Mixpanel 漏斗分析。需选择加入。存储 24 个月。(c) 营销 Cookie — Facebook Pixel、Google Ads、LinkedIn Insight、TikTok Pixel。需选择加入。存储 12 个月。(d) 供应商合作伙伴 Cookie — 仅当您点击供应商产品页面时激活（个别情况）。首次访问时出现 Cookie 同意横幅，提供三个选项：全部同意 / 仅必要 / 自定义。可随时在 /buyer-center/settings/privacy 更改选择。
5. 与第三方共享
Huayue 与五类第三方共享数据，每类均签署了数据处理协议，要求遵守第 13/2023 号法令及等效 GDPR：(1) 供应商/中国供应商 — 仅共享完成订单所需的最少信息（联系人姓名、公司、送货地址、所需 SKU）；不共享直接电子邮件/电话号码——所有沟通均通过 Huayue 中继进行。(2) 越南和中国的合作银行，提供交易保障托管账户服务；国际支付处理商——他们仅能看到处理交易和遵守 KYC 所需的最少信息。(3) 物流合作伙伴 + 海防港报关合作伙伴 — 共享送货地址、物流单号、报关内容。(4) 服务提供商 — AWS 新加坡（托管）、Cloudflare（CDN、抗 DDoS）、Twilio（短信 OTP）、SendGrid（交易邮件）、Sentry（错误跟踪，清理个人身份信息）。(5) 政府机构 — 仅在收到合法书面请求（搜查令、起诉函）时共享；Huayue 每年发布透明度报告，说明收到的请求数量。绝不会将数据出售给数据经纪商或用于营销的第三方。
6. 越中跨境数据传输
Huayue 在越中跨境运营：越南买家数据可能被传输至广州采购代表处，以便 Huayue 团队协助采购、工厂审计、验货及处理纠纷。跨境数据传输受三层保护：(i) 标准合同条款 — 河内总部与 HUAYUE VIETNAM SUPPLY CHAIN CO., LTD. 广州代表处之间的内部文件，遵循越南司法部参考模板。(ii) 传输加密 — 越中所有流量通过 TLS 1.3，证书锁定，无法拦截。(iii) 根据第 13/2023 号法令第 25 条向信息安全局进行跨境数据传输登记 — Huayue 正在完成登记手续。您有权要求 Huayue 不将数据传输至中国——我们将尊重此要求，但可能会限制现场工厂审计服务（该服务由广州团队执行）。
7. 数据存储与生命周期
华越个人数据生命周期依据“最小必要”原则：(a) 活跃账户——持续存储，按您的要求更新。(b) 非活跃账户≥18个月——发送警告邮件 + 若后续90天内无回应则自动删除。(c) 已完成订单——根据越南纳税义务详细保存7年，之后匿名化处理。(d) 交易凭证+发票——根据《税务管理法》保存10年。(e) 通信记录（聊天、邮件）——为解决争议保存24个月，之后永久删除。(f) 服务器日志——90天，之后汇总至分析报告（不含个人身份信息）。(g) Cookie——按照第4节所述生存期。当您要求删除账户（第9节权利）时，华越在30天内执行硬删除 + 通过邮件确认 + 如需要可提供“删除证明”（供需审计追踪的企业使用）。
8. 技术与组织安全措施
技术安全措施：（1）传输加密——TLS 1.3具有前向保密性、HSTS预加载、证书透明度监控。（2）存储加密——静态数据库采用AES-256-GCM，通过AWS KMS进行密钥管理，密钥轮换周期90天。（3）密码哈希——bcrypt，工作因子12+每用户盐值+胡椒。（4）入侵检测——Cloudflare第7层WAF，登录模式的AI异常检测，自动限速阻止暴力破解。（5）内部访问控制——最小权限原则、基于角色的访问控制（RBAC），所有有权访问生产环境的Huayue员工必须启用双因素认证。（6）审计日志——所有数据访问均记录时间戳、IP、用户、操作；日志存储在一次性写入系统，保留12个月。（7）渗透测试——每年2次，由独立安全合作伙伴执行。（8）漏洞悬赏计划——报告漏洞至mcy@huayuesc.com，奖金$100-5,000美元不等，视严重程度而定。组织措施：Huayue员工签署保密协议+每季度参加安全培训；数据中心AWS新加坡+越南获得ISO 27001认证；事件响应流程RTO 4小时，RPO 1小时；自动每小时备份+每日异地备份。
9. 您根据第13/2023号法令享有的11项权利
根据第13/2023号法令第9至22条，您对个人数据拥有11项基本权利：（1）知情权——了解收集了哪些数据、目的、存储时间。（2）同意权——同意或拒绝处理。（3）访问权——请求查看您的数据（30天内导出JSON/CSV文件）。（4）撤回同意权——随时撤回，无需解释。（5）删除权——'被遗忘权'，30天内删除账户及全部数据（税务法律要求保留的凭证除外）。（6）限制处理权——请求Huayue在处理投诉期间暂停处理数据。（7）数据可携权——请求将数据转移至其他提供商。（8）反对权——反对用于营销、画像的处理。（9）投诉权——向信息安全局（信息与传媒部）或向我们投诉。（10）损害赔偿请求权——若Huayue违规造成损害。（11）自我保护权——自行采取数据保护措施（更改密码、启用双因素认证、选择退出cookie）。如需行使任何权利，请发送电子邮件至mcy@huayuesc.com——7个工作日内回复，30天内完成处理。
10. 16岁以下儿童保护
Huayuesc是一个面向企业的B2B平台，不针对16岁以下儿童。注册时，用户必须确认已满18周岁（或根据居住国法律达到成年年龄）。若发现儿童账户，Huayue将立即停用并在7天内删除所有数据。家长如发现其子女已创建账户，可联系mcy@huayuesc.com——我们将优先核实并免费删除。
11. 数据安全事件与通知流程
数据泄露响应流程符合第13/2023号法令第23条：(步骤 1) 发现——安全团队24/7全年监控，或通过漏洞悬赏计划、员工、合作伙伴接收报告。(步骤 2) 遏制——4小时内确定范围、阻止泄露、锁定受影响系统。(步骤 3) 评估——安全取证确定受影响用户数、数据类型、严重程度。(步骤 4) 通知监管机构——发现后72小时内按标准模板向信息安全局（信息与传媒部）提交报告。(步骤 5) 通知用户——72小时内向所有受影响用户发送电子邮件/短信，描述事件+泄露数据+补救措施+建议（更改密码、启用双重身份验证、监控账户）。(步骤 6) 修复——修复漏洞、全面审计系统、30天内发布事后公开报告。(步骤 7) 赔偿——若用户证明直接损害，华越有透明赔偿政策。
12. 政策修订与数据保护官联系
本政策由Huayue至少每年审查一次，并在法律、技术或服务发生变化时进行更新。当前版本为v1.0，自2026年1月1日起生效。旧版本存档于/info/privacy-policy/lich-su以供参考。当发生重大变更（影响用户权益）时，Huayue将通过以下方式通知：（a）在生效前至少30天向所有活跃用户发送电子邮件。（b）在网站/应用程序上显示横幅60天。（c）若数据处理目的发生变化，要求用户重新同意。联系数据保护官：电子邮件mcy@huayuesc.com（响应时间<72小时），热线电话000-000-000（工作时间），书面信函'DPO — CT TNHH Chuỗi Cung Ứng Huayue Việt Nam'，地址：Toà nhà Ecolife, số 58 Tố Hữu, Phường Đại Mỗ, Quận Nam Từ Liêm, Thành phố Hà Nội, Việt Nam。独立投诉监管机构：信息安全局（信息与传媒部），地址：18 Nguyễn Du, Hà Nội，网址ais.gov.vn。
- ✓数据控制者：华越供应链越南有限责任公司（税号 0111453693）
- ✓遵守越南第13/2023/NĐ-CP号法令 + 中国《个人信息保护法》2021 + GDPR（如适用）
- ✓目标通过ISO/IEC 27001:2022认证
- ✓TLS 1.3传输加密 + AES-256-GCM静态加密，密码采用bcrypt哈希
- ✓数据主体11项权利——7日内响应，30日内处理
- ✓通过标准合同条款进行越南-中国跨境传输，正在向信息安全局备案
- ✓每年2次渗透测试 + 漏洞赏金100-5000美元
- ✓根据第13/2023/NĐ-CP号法令第23条，数据泄露通知时限72小时
- ✓DPO: mcy@huayuesc.com — hotline 000-000-000
❓ 常见问题
Huayue会把我的数据卖给第三方吗？▾
绝对不会。Huayue的商业模式基于供应链服务（交易佣金、物流费、报关费），而不是依靠出售数据。我们不会与数据经纪商、营销聚合商或任何与您的交易无直接关联的第三方共享数据。
我可以要求删除所有数据吗？▾
可以。发送电子邮件至mcy@huayuesc.com，主题为'Yêu cầu xoá dữ liệu — [tên/email tài khoản]'。Huayue将通过OTP验证身份，在30天内执行硬删除，并根据要求发送'删除证书'。注意：根据越南税务管理法，税务凭证（发票）必须保存10年——这部分无法删除。
我的数据会传输到中国吗？▾
可能，如果您的交易需要Huayue广州代表处支持（工厂审核、验货、处理争议）。越中跨境数据传输受内部标准合同条款（SCCs）和TLS 1.3加密保护；Huayue正在根据第13/2023号法令第25条完成向越南信息安全局的注册。您有权要求不传输——发送邮件至DPO，我们将尊重您的意愿，尽管可能会限制现场审核服务。
如果Huayue被黑客攻击，我的密码安全吗？▾
安全。Huayue使用bcrypt哈希算法，工作因子12 + 每用户salt + pepper — 即使数据库泄露，破解密码需要数十亿年的计算能力。不过，仍建议您：(1)设置强且唯一的密码；(2)在/buyer-center/settings/security启用双因素认证；(3)如果听到其他使用相同邮箱的网站出现安全问题，请更改密码。
我收到一封自称是 Huayue 的陌生邮件 — 如何验证？▾
Huayue的官方电子邮件始终来自@huayuesc.vn域名。交易电子邮件来自mcy@huayuesc.com。来自数据保护官/人力资源的电子邮件使用@huayuesc.vn域名。如有疑问，请将该电子邮件转发至mcy@huayuesc.com，我们将在4小时内验证。黄金法则：Huayue绝不会通过电子邮件/电话索要密码。
免费发送询价单，24小时内获得5-10家供应商报价。无中间商，无隐藏费用。