CHÍNH SÁCH BẢO MẬT

CARPA, Đơn vị Tổ chức Sự kiện (Promoter)

1. GIỚI THIỆU

Carpa (“Carpa”, “chúng tôi”) là đơn vị tổ chức sự kiện (promoter) chịu trách nhiệm sản xuất, quảng bá và vận hành các chương trình biểu diễn, hòa nhạc và sự kiện giải trí trực tiếp. Chính sách Bảo mật này (“Chính sách”) mô tả cách Carpa thu thập, sử dụng, tiết lộ và bảo vệ Dữ liệu Cá nhân của khách hàng khi tham gia các sự kiện do Carpa tổ chức, bao gồm cả việc mua gói thành viên (MBS) và các sản phẩm vé khác.
Chính sách này áp dụng cho việc bạn sử dụng dịch vụ của Carpa, bao gồm mua vé, tham dự sự kiện, sử dụng website/ứng dụng của Carpa, tham gia khảo sát do Carpa hoặc nghệ sĩ tổ chức, và tương tác với Carpa qua các kênh mạng xã hội hoặc chăm sóc khách hàng.
Chính sách này được xây dựng trên cơ sở tham khảo thông lệ ngành tổ chức sự kiện quốc tế và tuân thủ pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, cụ thể là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 và các văn bản hướng dẫn Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ về bảo vệ dữ liệu cá nhân (“Nghị định 356”) và các văn bản hướng dẫn liên quan.
Trong quá trình tổ chức sự kiện, Carpa có thể hợp tác với các đối tác địa điểm (venue), đại lý vé, nhà tài trợ và nghệ sĩ biểu diễn. Việc xử lý dữ liệu bởi các đối tác này có thể tuân theo chính sách bảo mật riêng của họ; Carpa khuyến khích khách hàng tham khảo thêm các chính sách liên quan khi được cung cấp.

2. DỮ LIỆU CÁ NHÂN CHÚNG TÔI THU THẬP

“Dữ liệu Cá nhân” là bất kỳ thông tin nào dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Carpa có thể thu thập các loại dữ liệu sau theo mục đích tại Mục 3:

● Thông tin định danh và liên hệ: họ tên, ngày sinh, giới tính, địa chỉ email, số điện thoại, địa chỉ liên hệ, ảnh đại diện (nếu có).
● Thông tin vé và giao dịch: mã vé/RFID, loại vé (bao gồm MBS), số lượng vé, ngày mua, lịch sử mua vé, thông tin thanh toán (được xử lý qua cổng thanh toán/đại lý vé bên thứ ba, Carpa không lưu trữ toàn bộ số thẻ thanh toán).
● Thông tin kỹ thuật: địa chỉ IP, loại thiết bị, hệ điều hành, trình duyệt, cookie và dữ liệu hoạt động khi truy cập website/ứng dụng của Carpa.
● Thông tin khảo sát: câu trả lời, ý kiến, mức độ hài lòng khi khách hàng tham gia các khảo sát do Carpa hoặc nghệ sĩ thực hiện (ví dụ: khảo sát dành riêng cho người mua MBS).
● Thông tin do khách hàng chủ động cung cấp: yêu cầu hỗ trợ đặc biệt (ví dụ: hỗ trợ tiếp cận cho người khuyết tật), nội dung liên hệ chăm sóc khách hàng, phản hồi, khiếu nại.
● Dữ liệu hình ảnh/âm thanh: ghi hình từ camera an ninh (CCTV) tại khu vực sự kiện, nhằm mục đích đảm bảo an toàn và an ninh trật tự.
● Dữ liệu từ bên thứ ba: thông tin nhận từ đại lý vé, nền tảng bán vé, hoặc đối tác đồng tổ chức khi khách hàng mua vé qua các kênh đó.
Carpa không chủ động thu thập dữ liệu cá nhân nhạy cảm (như tình trạng sức khỏe, tôn giáo, giấy tờ tùy thân, dữ liệu sinh trắc học) trừ khi thực sự cần thiết để xử lý yêu cầu hỗ trợ đặc biệt hoặc xử lý sự cố an toàn tại sự kiện. Trong các trường hợp này, Carpa sẽ thông báo và xin sự đồng ý rõ ràng của khách hàng theo quy định tại Nghị định 356, trừ trường hợp pháp luật cho phép xử lý mà không cần sự đồng ý.

3. MỤC ĐÍCH VÀ CƠ SỞ PHÁP LÝ CỦA VIỆC XỬ LÝ DỮ LIỆU

Carpa xử lý Dữ liệu Cá nhân cho các mục đích sau, trên cơ sở pháp lý tương ứng:

Mục đích xử lý	Cơ sở pháp lý
Xác thực và giao vé, bao gồm xử lý các sản phẩm vé MBS	Thực hiện hợp đồng / giao dịch mua bán vé
Liên lạc về thông tin sự kiện, thay đổi lịch trình, hoặc mời tham gia khảo sát (ví dụ: khảo sát dành cho người mua MBS do nghệ sĩ thực hiện)	Thực hiện hợp đồng và/hoặc sự đồng ý của khách hàng
Đảm bảo an ninh, trật tự, an toàn tại sự kiện; phòng chống gian lận vé	Lợi ích hợp pháp của Carpa và lợi ích công cộng
Cải thiện chất lượng dịch vụ, phân tích trải nghiệm khách hàng	Lợi ích hợp pháp của Carpa
Gửi thông tin tiếp thị về sự kiện sắp tới	Sự đồng ý của khách hàng
Tuân thủ nghĩa vụ pháp lý, lưu trữ chứng từ kế toán, giải quyết khiếu nại	Tuân thủ quy định pháp luật

4. KHẢO SÁT DÀNH CHO KHÁCH HÀNG MUA MBS

Đối với khách hàng đã mua sản phẩm vé MBS, Carpa có thể phối hợp với nghệ sĩ hoặc đại diện nghệ sĩ để gửi khảo sát nhằm tìm hiểu trải nghiệm và mong muốn của người hâm mộ. Việc tham gia khảo sát là hoàn toàn tự nguyện.
● Thông tin thu thập qua khảo sát chỉ được sử dụng cho mục đích nghiên cứu trải nghiệm khách hàng và cải thiện chương trình tương tác với người hâm mộ trong tương lai.
● Câu trả lời khảo sát có thể được chia sẻ ở dạng tổng hợp, ẩn danh với nghệ sĩ/ê-kíp sản xuất; Carpa sẽ không chia sẻ thông tin định danh cá nhân trừ khi khách hàng đồng ý rõ ràng.

5. TIẾT LỘ VÀ CHIA SẺ DỮ LIỆU

Carpa có thể chia sẻ Dữ liệu Cá nhân với các nhóm bên nhận sau, trong phạm vi cần thiết cho các mục đích nêu tại Mục 3:
● Đối tác địa điểm tổ chức sự kiện (venue) và nhà cung cấp dịch vụ hậu cần liên quan đến sự kiện.
● Đại lý bán vé và đơn vị xử lý thanh toán.
● Nghệ sĩ hoặc đại diện nghệ sĩ, trong trường hợp cần thiết để thực hiện khảo sát hoặc chương trình tương tác với người hâm mộ.
● Nhà cung cấp dịch vụ công nghệ (nền tảng bán vé, lưu trữ dữ liệu, phân tích website, dịch vụ email/SMS marketing).
● Đơn vị bảo vệ/an ninh phục vụ tại sự kiện.
● Cơ quan nhà nước có thẩm quyền, khi có yêu cầu hợp pháp theo quy định pháp luật.
● Bên mua lại hoặc kế thừa, trong trường hợp Carpa thực hiện tái cấu trúc, sáp nhập hoặc chuyển nhượng một phần/toàn bộ hoạt động kinh doanh.
Carpa không bán Dữ liệu Cá nhân của khách hàng cho bên thứ ba vì mục đích thương mại độc lập. Việc chia sẻ dữ liệu cho mục đích tiếp thị của bên thứ ba chỉ thực hiện khi có sự đồng ý rõ ràng của khách hàng.

6. COOKIE VÀ CÔNG NGHỆ THEO DÕI

Website và ứng dụng của Carpa có thể sử dụng cookie và công nghệ tương tự cho các mục đích sau:
● Cookie thiết yếu: cần thiết để website hoạt động cơ bản (ví dụ: duy trì phiên đăng nhập, giỏ hàng vé).
● Cookie chức năng: ghi nhớ tùy chọn của người dùng để cải thiện trải nghiệm.
● Cookie phân tích: giúp Carpa hiểu cách khách hàng sử dụng website nhằm cải thiện dịch vụ.
● Cookie tiếp thị: hỗ trợ hiển thị quảng cáo phù hợp trên các nền tảng của Carpa hoặc đối tác quảng cáo (chỉ khi khách hàng đồng ý).
Khách hàng có thể quản lý hoặc từ chối cookie không thiết yếu thông qua cài đặt trình duyệt hoặc bảng tùy chọn cookie trên website của Carpa (nếu có).

7. CHUYỂN GIAO DỮ LIỆU RA NƯỚC NGOÀI

Trong trường hợp Carpa hợp tác với đối tác quốc tế (ví dụ: nền tảng bán vé, nhà cung cấp dịch vụ lưu trữ dữ liệu, hoặc nhà tổ chức nước ngoài đồng sản xuất sự kiện), Dữ liệu Cá nhân có thể được chuyển giao ra ngoài lãnh thổ Việt Nam. Khi đó, Carpa sẽ:
● Thực hiện đánh giá tác động chuyển dữ liệu ra nước ngoài theo quy định tại Nghị định 356, khi thuộc trường hợp bắt buộc.
● Ký kết thỏa thuận bảo mật/xử lý dữ liệu với bên nhận dữ liệu ở nước ngoài, đảm bảo mức độ bảo vệ tương đương.
● Chỉ chuyển giao phạm vi dữ liệu cần thiết cho mục đích hợp tác cụ thể.

8. QUYỀN CỦA CHỦ THỂ DỮ LIỆU

Theo quy định tại Nghị định 356, khách hàng (chủ thể dữ liệu) có các quyền sau đối với Dữ liệu Cá nhân của mình:
● Quyền được biết về việc xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác.
● Quyền đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.
● Quyền truy cập để tự kiểm tra hoặc yêu cầu Carpa cho phép tự kiểm tra dữ liệu cá nhân của mình.
● Quyền rút lại sự đồng ý đã cho, tại bất kỳ thời điểm nào.
● Quyền xóa dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.
● Quyền hạn chế xử lý dữ liệu cá nhân, trong một khoảng thời gian nhất định theo yêu cầu.
● Quyền được cung cấp dữ liệu cá nhân của mình (quyền dữ liệu di động), trừ trường hợp pháp luật có quy định khác.
● Quyền phản đối việc xử lý dữ liệu cá nhân nhằm ngăn chặn hoặc hạn chế tiết lộ dữ liệu hoặc sử dụng cho mục đích quảng cáo, tiếp thị.
● Quyền tự bảo vệ theo quy định của pháp luật, hoặc yêu cầu cơ quan, tổ chức có thẩm quyền thực hiện các phương thức bảo vệ quyền dân sự.
Để thực hiện các quyền trên, khách hàng vui lòng liên hệ Carpa theo thông tin tại Mục 12. Carpa sẽ phản hồi yêu cầu trong thời hạn hợp lý và phù hợp với quy định pháp luật, sau khi xác minh danh tính người yêu cầu.

9. BẢO MẬT DỮ LIỆU VÀ XỬ LÝ SỰ CỐ

Carpa áp dụng các biện pháp kỹ thuật và tổ chức hợp lý nhằm bảo vệ Dữ liệu Cá nhân khỏi truy cập, sử dụng hoặc tiết lộ trái phép, bao gồm:
● Kiểm soát và phân quyền truy cập hệ thống nội bộ.
● Ký thỏa thuận bảo mật với các nhà cung cấp dịch vụ xử lý dữ liệu thay mặt Carpa.
Trường hợp xảy ra sự cố vi phạm quy định về bảo vệ dữ liệu cá nhân, Carpa sẽ thông báo cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) trong thời hạn 72 giờ kể từ khi xảy ra sự cố theo quy định tại Nghị định 356, đồng thời thông báo cho các chủ thể dữ liệu bị ảnh hưởng khi cần thiết.
Không có phương thức truyền tải hoặc lưu trữ dữ liệu điện tử nào an toàn tuyệt đối; Carpa cam kết nỗ lực hợp lý để giảm thiểu rủi ro nhưng không thể đảm bảo an toàn tuyệt đối.

10. TRẺ EM

Dịch vụ của Carpa không hướng đến trẻ em dưới 16 tuổi. Trường hợp sự kiện phù hợp với mọi lứa tuổi, việc mua vé và cung cấp thông tin cho trẻ em dưới 16 tuổi cần có sự đồng ý và giám sát của cha, mẹ hoặc người giám hộ hợp pháp theo quy định tại Nghị định 356. Carpa không cố ý thu thập Dữ liệu Cá nhân của trẻ em ngoài phạm vi cần thiết để cung cấp dịch vụ (ví dụ: đăng ký vé trẻ em đi kèm người lớn).

11. THÔNG TIN LIÊN HỆ

Nếu có câu hỏi, yêu cầu thực hiện quyền, hoặc khiếu nại liên quan đến Chính sách Bảo mật này, vui lòng liên hệ:

Đơn vị chịu trách nhiệm	Carpa Investment Holdings
Địa chỉ	31/F Tower Two Times Square, 1 Matheson Street, Causeway Bay, Hongkong
Email liên hệ về bảo mật	info@carpaglobal.com
Số điện thoại	+(84) 368335050
Đầu mối phụ trách bảo vệ dữ liệu (nếu có)	(Ms.) Nguyễn Minh Trang

Khách hàng cũng có quyền khiếu nại, tố cáo tới cơ quan nhà nước có thẩm quyền về bảo vệ dữ liệu cá nhân theo quy định pháp luật hiện hành.

12. WEBSITE VÀ DỊCH VỤ CỦA BÊN THỨ BA

Website/ứng dụng của Carpa có thể chứa liên kết đến website của đối tác địa điểm, đại lý vé, hoặc nhà tài trợ. Chính sách này không áp dụng cho các website/dịch vụ của bên thứ ba; khách hàng nên tham khảo chính sách bảo mật riêng của các bên đó trước khi cung cấp thông tin.

13. THAY ĐỔI CHÍNH SÁCH

Carpa có thể cập nhật Chính sách này theo thời gian thực để phản ánh thay đổi trong hoạt động kinh doanh hoặc quy định pháp luật. Phiên bản cập nhật sẽ được đăng tải trên website chính thức của Carpa, kèm ngày hiệu lực mới. Đối với thay đổi quan trọng ảnh hưởng đến quyền lợi của khách hàng, Carpa sẽ thông báo qua email hoặc kênh liên lạc phù hợp. Việc tiếp tục sử dụng dịch vụ sau khi Chính sách được cập nhật đồng nghĩa với việc khách hàng đã biết và chấp thuận các thay đổi đó.