Quy định bổ sung áp dụng cho Việt Nam
Bản quy định bổ sung áp dụng cho Việt Nam này là một phần của Tuyên bố về Bảo vệ dữ liệu cá nhân của MSD liên quan đến bất kỳ thông tin cá nhân nào được thu thập hoặc xử lý tại Việt Nam. Khi đề cập tại Bản quy định bổ sung này, “MSD” được biết đến là Merck & Co., Inc., Rahway, NJ, USA tại Hoa Kỳ và Canada, các bên kế thừa, công ty con, phòng/ban/bộ phận, và các công ty thuộc cùng tập đoàn trên phạm vi toàn cầu của Merck & Co., Inc., Rahway, NJ, USA tại Hoa Kỳ và Canada, cụ thể bao gồm:

Văn phòng đại diện MERCK SHARP & DOHME (ASIA) LTD. tại TP. Hà Nội
Phòng số CP2.15.02B, Tầng 15, Tháp 02, tòa nhà Capital Place
Số 29 đường Liễu Giai, phường Ngọc Hà, TP. Hà Nội

Công ty TNHH MSD HH Việt Nam
Lầu 16, tòa nhà mPlaza,
39 Lê Duẩn, Phường Sài Gòn, TP. Hồ Chí Minh

1. Đối tượng áp dụng:
Các điều khoản của Bản quy định bổ sung áp dụng cho Việt Nam này được áp dụng cho các tổ chức và cá nhân sau đây:

1. Cơ quan, tổ chức hoặc cá nhân Việt Nam;
2. Cơ quan, tổ chức hoặc cá nhân nước ngoài tại Việt Nam;
3. Cơ quan, tổ chức hoặc cá nhân nước ngoài trực tiếp xử lý hoặc có liên quan đến việc xử lý dữ liệu cá nhân tại Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước.

2. Phân loại dữ liệu cá nhân:
MSD có thể thu thập và xử lý dữ liệu cá nhân như được đề cập tại Phụ lục quốc gia, trong đó có thể bao gồm cả các dữ liệu cá nhân cơ bản và/hoặc dữ liệu cá nhân nhạy cảm.

Để làm rõ, chúng tôi xin trình bày chi tiết về dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm dưới đây:

Dữ liệu cá nhân cơ bản nghĩa là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, bao gồm:

1. Họ, chữ đệm, tên khai sinh, tên gọi khác (nếu có);
2. Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích;
3. Giới tính;
4. Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ;
5. Quốc tịch;
6. Hình ảnh của cá nhân;
7. Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe;
8. Tình trạng hôn nhân;
9. Thông tin về mối quan hệ gia đình (cha mẹ, con, vợ, chồng);
10. Thông tin về tài khoản số của cá nhân;
11. Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể mà không phải là dữ liệu cá nhân nhạy cảm.

Dữ liệu cá nhân nhạy cảm nghĩa là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, bao gồm:

1. Quan điểm về chính trị, tôn giáo, tín ngưỡng;
2. Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;
3. Tình trạng sức khỏe;
4. Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;
5. Dữ liệu sinh trắc học, đặc điểm di truyền;
6. Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân;
7. Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;
8. Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân;
9. Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác;
10. Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng;
11. Vị trí của cá nhân được xác định qua dịch vụ định vị;
12. Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.

3. Yêu cầu phải có sự đồng ý của chủ thể dữ liệu:
Sự đồng ý mà MSD có được từ chủ thể dữ liệu phải thể hiện sự rõ ràng, khẳng định việc cho phép xử lý dữ liệu cá nhân của chủ thể dữ liệu và tuân thủ nghiêm chỉnh mẫu đơn chấp thuận của chủ thể dữ liệu theo quy định của luật hiện hành.

Chấp thuận phải được tự nguyện đưa ra trên cơ sở chủ thể dữ liệu đã hiểu đầy đủ (i) mục đích xử lý dữ liệu cá nhân; (ii) loại dữ liệu cá nhân được xử lý; (iii) bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân; (iv) các quyền và nghĩa vụ của chủ thể dữ liệu; và (v) dữ liệu được xử lý là dữ liệu cá nhân nhạy cảm, nếu có.

Ngoài ra, sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng và cụ thể và phải bảo đảm khả năng kiểm chứng được về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý, bao gồm bằng văn bản, cuộc gọi ghi âm, cú pháp đồng ý qua tin nhắn, qua thư điện tử, trên trang thông tin điện tử, nền tảng, ứng dụng có thiết lập kỹ thuật xin sự đồng ý, hoặc các các phương thức khác phù hợp. Sự đồng ý của chủ thể dữ liệu phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.

MSD không thiết lập phương thức mặc định đồng ý hoặc tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu. Các thiết lập mặc định sẵn có đảm bảo nguyên tắc bảo vệ dữ liệu cá nhân, tôn trọng các quyền của chủ thể dữ liệu cá nhân. Sự im lặng hoặc không phản hồi không được MSD coi là sự đồng ý. Điều quan trọng là, sự đồng ý phải được tiến hành cho từng mục đích. Khi có nhiều mục đích, MSD sẽ liệt kê các mục đích để chủ thể dữ liệu đồng ý với một hoặc nhiều mục đích nêu ra. MSD không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận với chủ thể dữ liệu.

Chúng tôi được phép xử lý dữ liệu cá nhân mà không cần có sự đồng ý của chủ thể dữ liệu trong các trường hợp sau:

1. Để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc người khác trong trường hợp cấp bách; bảo vệ quyền hoặc lợi ích chính đáng của mình, của người khác hoặc lợi ích của Nhà nước, của cơ quan tổ chức một cách cần thiết trước hành vi xâm phạm lợi ích nói trên. Bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba có trách nhiệm chứng minh trường hợp này;
2. Để giải quyết tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật;
3. Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật;
4. Thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật;
5. Trường hợp khác theo quy định của pháp luật.

Trong trường hợp quý vị chia sẻ dữ liệu cá nhân của người khác cho MSD, quý vị phải bảo đảm đã thông báo và xin được chấp thuận hợp lý theo quy định của pháp luật để truyền dữ liệu và để MSD thực hiện các hoạt động xử lý tiếp theo đối với dữ liệu. Quý vị sẽ phải bồi thường cho MSD mọi chi phí, phí, phí tổn hoặc tổn thất phát sinh mà MSD phải gánh chịu do quý vị không tuân thủ luật và quy định hiện hành về bảo vệ thông tin cá nhân khi chia sẻ thông tin của người khác cho MSD.

Trường hợp xử lý dữ liệu cá nhân của trẻ em, MSD sẽ phải bảo đảm rằng việc xử lý dữ liệu cá nhân của trẻ em phải có sự đồng ý của trẻ em trong trường hợp trẻ em từ đủ 7 tuổi trở lên đến dưới 16 tuổi và cũng phải có sự đồng ý của cha mẹ hoặc người giám hộ, trừ trường hợp được miễn theo quy định của pháp luật. Trường hợp xử lý dữ liệu cá nhân của trẻ em dưới 7 tuổi, cần có sự đồng ý của cha mẹ hoặc người giám hộ, trừ trường hợp được miễn theo quy định của pháp luật.

4. Quyền của chủ thể dữ liệu:
Chủ thể dữ liệu sẽ có các quyền sau đây theo quy định của pháp luật hiện hành:

1. Quyền được biết. Chủ thể dữ liệu được biết về hoạt động xử lý dữ liệu cá nhân của mình.
2. Quyền đồng ý. Chủ thể dữ liệu được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác.
3. Quyền truy cập. Chủ thể dữ liệu có quyền yêu cầu xác nhận về việc dữ liệu cá nhân của chủ thể dữ liệu có đang được xử lý hay không và nếu có, có quyền truy cập vào dữ liệu cá nhân. Ngoài ra, chủ thể dữ liệu cũng có quyền yêu cầu chúng tôi cung cấp bản sao dữ liệu cá nhân của chủ thể dữ liệu.
4. Quyền chỉnh sửa. Chủ thể dữ liệu có quyền yêu cầu chúng tôi chỉnh sửa dữ liệu cá nhân về chủ thể dữ liệu mà chủ thể dữ liệu cho rằng không chính xác. Chủ thể dữ liệu cũng có quyền yêu cầu chúng tôi hoàn tất dữ liệu mà chủ thể dữ liệu cho rằng chưa hoàn chỉnh. Quyền này luôn luôn được áp dụng.
5. Quyền xóa dữ liệu. Quyền này cũng được coi là “quyền được lãng quên’ và, nói một cách đơn giản, quyền này cho phép chủ thể dữ liệu yêu cầu xóa hoặc gỡ bỏ dữ liệu của chủ thể dữ liệu khi không còn cơ sở pháp lý nào để chúng tôi tiếp tục sử dụng dữ liệu. Đây không phải là quyền xóa dữ liệu được áp dụng chung cho mọi trường hợp mà vẫn có những ngoại lệ, chẳng hạn như khi chúng tôi có nghĩa vụ pháp lý phải lưu giữ dữ liệu của chủ thể dữ liệu.
6. Quyền hạn chế xử lý dữ liệu. Chủ thể dữ liệu có quyền yêu cầu chúng tôi hạn chế xử lý dữ liệu cá nhân của chủ thể dữ liệu khi có nghi ngờ phạm vi, mục đích xử lý dữ liệu cá nhân hoặc tính chính xác của dữ liệu cá nhân, trừ trường hợp luật có quy định khác.
7. Quyền chuyển dữ liệu. Quyền này áp dụng cho dữ liệu cá nhân mà chủ thể dữ liệu đã cung cấp cho chúng tôi và/hoặc dữ liệu cá nhân do chúng tôi xử lý. Chủ thể dữ liệu có quyền yêu cầu chúng tôi chuyển dữ liệu cá nhân của chủ thể dữ liệu cho tổ chức khác hoặc gửi dữ liệu cho chủ thể dữ liệu.
8. Quyền rút lại sự đồng ý. Trường hợp chủ thể dữ liệu đã đồng ý cho phép chúng tôi xử lý dữ liệu cá nhân của chủ thể dữ liệu, chủ thể dữ liệu có quyền rút lại sự đồng ý của mình tại bất kỳ thời điểm nào. Việc thực hiện yêu cầu rút lại sự đồng ý không áp dụng đối với việc xử lý dữ liệu đã được thực hiện theo sự đồng ý của chủ thể dữ liệu trước khi chủ thể dữ liệu rút lại sự đồng ý.
9. Quyền phản đối xử lý dữ liệu. Chủ thể dữ liệu có quyền phản đối việc xử lý dữ liệu cá nhân của chủ thể dữ liệu tại bất kỳ thời điểm nào, trừ trường hợp luật có quy định khác. Nếu chủ thể dữ liệu phản đối việc xử lý dữ liệu, chúng tôi sẽ dừng xử lý dữ liệu trừ trường hợp luật có quy định khác.
10. Quyền khiếu nại, tố cáo, khởi kiện. Chủ thể dữ liệu cá quyền khiếu nại, tố cáo, khởi kiện theo quy định của pháp luật để bảo vệ dữ liệu cá nhân của mình.
11. Quyền yêu cầu bồi thường thiệt hại. Chủ thể dữ liệu có quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp chủ thể dữ liệu có thỏa thuận khác với chúng tôi hoặc luật có quy định khác.
12. Quyền yêu cầu bảo vệ. Chủ thể dữ liệu có quyền yêu cầu cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật hiện hành.

Trường hợp chủ thể dữ liệu muốn thực hiện quyền bảo vệ dữ liệu của mình, chủ thể dữ liệu có thể nộp yêu cầu theo Mẫu yêu cầu dành cho Chủ thể Dữ liệu, theo đó chủ thể dữ liệu có thể yêu cầu truy cập, sửa hoặc xóa thông tin cá nhân của mình hoặc yêu cầu thực hiện các quyền khác liên quan đến việc xử lý dữ liệu cá nhân của mình. Nếu chủ thể dữ liệu có bất kỳ câu hỏi hay thắc mắc về việc chúng tôi sử dụng thông tin cá nhân của chủ thể dữ liệu, vui lòng liên hệ với chúng tôi theo địa chỉ email sau: vnprivacy@msd.com.

Trong phạm vi có thể, MSD sẽ phản hồi yêu cầu của chủ thể dữ liệu trong thời hạn pháp luật quy định. Tuy nhiên, có thể có một số trường hợp khi MSD không thể kịp thời phản hồi chủ thể dữ liệu, trong trường hợp đó, MSD sẽ nhanh chóng thông báo cho chủ thể dữ liệu việc phản hồi muộn và sẽ cập nhật với chủ thể dữ liệu về tình trạng yêu cầu của chủ thể dữ liệu.

5. Nghĩa vụ của chủ thể dữ liệu:
Chủ thể dữ liệu sẽ có các nghĩa vụ sau đây theo quy định của pháp luật hiện hành:

1. Tự bảo vệ dữ liệu cá nhân của mình;
2. Tôn trọng, bảo vệ dữ liệu cá nhân của người khác;
3. Cung cấp đầy đủ, chính xác dữ liệu cá nhân của mình theo quy định của pháp luật, theo hợp đồng hoặc khi đồng ý cho phép xử lý dữ liệu cá nhân của mình;
4. Chấp hành pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng, chống hoạt động xâm phạm dữ liệu cá nhân.

6. Mua bán dữ liệu:
Trong mọi trường hợp MSD sẽ không thực hiện việc mua bán dữ liệu cá nhân, trừ khi được cho phép rõ ràng theo pháp luật hiện hành.

7. Sử dụng trí tuệ nhân tạo:
Chủ thể dữ liệu xác nhận và đồng ý rằng chúng tôi có thể sử dụng các công nghệ xử lý tự động, bao gồm trí tuệ nhân tạo (AI) và phân tích dữ liệu, theo Tuyên bố về Bảo vệ dữ liệu cá nhân của MSD. Mặc dù các công nghệ này được sử dụng nhằm nâng cao hiệu quả, chất lượng việc xử lý dữ liệu cá nhân và trải nghiệm chủ thể dữ liệu, chúng có thể ảnh hưởng đến cách một số nội dung, tính năng, sản phẩm, dịch vụ, thông tin liên lạc hoặc khuyến nghị được hiển thị hoặc cung cấp cho chủ thể dữ liệu. Trong phạm vi pháp luật cho phép, bạn có thể yêu cầu từ chối tham gia hoặc không tham gia vào các hoạt động xử lý tự động.

8. Cơ quan có thẩm quyền: 
Liên quan đến việc xử lý dữ liệu cá nhân theo quy định tại Luật Bảo Vệ Dữ Liệu Cá Nhân số 91/2025/QH15 do Quốc Hội ban hành ngày 26 tháng 6 năm 2025 và các nghị định có liên quan, cơ quan có thẩm quyền giám sát và quản lý là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (“A05”) thuộc Bộ Công An.