ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA)

1. คำนิยาม

1. คำที่ใช้ใน DPA นี้ให้มีความหมายตาม PDPA เว้นแต่กำหนดไว้เป็นอย่างอื่น โดย “ข้อมูลส่วนบุคคล” “ผู้ควบคุมข้อมูล” “ผู้ประมวลผลข้อมูล” “เจ้าของข้อมูล” และ “การประมวลผล” ให้มีความหมายตามที่กำหนดใน PDPA
2. “ข้อมูลส่วนบุคคลที่ประมวลผล” หมายถึง ข้อมูลส่วนบุคคลที่ผู้ใช้บริการนำเข้าสู่ระบบและผู้ให้บริการประมวลผลในฐานะผู้ประมวลผลข้อมูล ตามรายละเอียดใน Annex A

2. บทบาทและขอบเขตการประมวลผล

1. ผู้ใช้บริการเป็นผู้ควบคุมข้อมูล และผู้ให้บริการเป็นผู้ประมวลผลข้อมูล
2. ขอบเขต ลักษณะ วัตถุประสงค์ ระยะเวลาของการประมวลผล ประเภทข้อมูลส่วนบุคคล และกลุ่มเจ้าของข้อมูล เป็นไปตามที่ระบุใน Annex A

3. การประมวลผลตามคำสั่ง

1. ผู้ให้บริการจะประมวลผลข้อมูลส่วนบุคคลที่ประมวลผลเฉพาะตามคำสั่งอันชอบด้วยกฎหมายของผู้ใช้บริการเท่าที่จำเป็นเพื่อการให้บริการ และตามที่กำหนดใน DPA นี้ เว้นแต่กฎหมายกำหนดให้ต้องประมวลผลเป็นอย่างอื่น ซึ่งในกรณีเช่นนั้นผู้ให้บริการจะแจ้งผู้ใช้บริการเท่าที่กฎหมายอนุญาต
2. หากผู้ให้บริการเห็นว่าคำสั่งใดอาจขัดต่อ PDPA หรือกฎหมายอื่น ผู้ให้บริการจะแจ้งผู้ใช้บริการโดยไม่ชักช้า

4. การรักษาความลับ

1. ผู้ให้บริการจะกำหนดให้บุคลากรที่เข้าถึงข้อมูลส่วนบุคคลที่ประมวลผลอยู่ภายใต้หน้าที่รักษาความลับ และเข้าถึงข้อมูลเท่าที่จำเป็นต่อการปฏิบัติหน้าที่ (need-to-know)

5. มาตรการรักษาความมั่นคงปลอดภัย

1. ผู้ให้บริการจะจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามมาตรา 37(1) แห่ง PDPA และตามที่ระบุใน Annex B เพื่อป้องกันการสูญหาย การเข้าถึง การใช้ การเปลี่ยนแปลง หรือการเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต

6. ผู้ประมวลผลข้อมูลช่วง (Sub-processor)

1. ผู้ใช้บริการอนุญาตโดยทั่วไปให้ผู้ให้บริการใช้ผู้ประมวลผลข้อมูลช่วงตามรายชื่อใน Annex C เพื่อการให้บริการ
2. ผู้ให้บริการจะกำหนดให้ผู้ประมวลผลข้อมูลช่วงมีหน้าที่ในการคุ้มครองข้อมูลไม่น้อยกว่าที่กำหนดใน DPA นี้ และผู้ให้บริการยังคงรับผิดชอบต่อการดำเนินการของผู้ประมวลผลข้อมูลช่วง
3. หากมีการเปลี่ยนแปลงหรือเพิ่มผู้ประมวลผลข้อมูลช่วง ผู้ให้บริการจะแจ้งล่วงหน้าไม่น้อยกว่า 30 วัน โดยการปรับปรุงรายชื่อใน Annex C บนเว็บไซต์ของผู้ให้บริการ ซึ่งให้ถือเป็นการแจ้งตามข้อนี้ และผู้ใช้บริการมีสิทธิคัดค้านโดยมีเหตุอันสมควรภายในระยะเวลาดังกล่าว

7. การช่วยเหลือผู้ควบคุมข้อมูล

1. ผู้ให้บริการจะช่วยเหลือผู้ใช้บริการตามสมควรในการตอบสนองคำขอใช้สิทธิของเจ้าของข้อมูลตามมาตรา 30 ถึง 36 แห่ง PDPA โดยคำนึงถึงลักษณะของการประมวลผล
2. ผู้ให้บริการจะช่วยเหลือผู้ใช้บริการตามสมควรในการปฏิบัติหน้าที่ด้านความมั่นคงปลอดภัย การแจ้งเหตุละเมิด และการประเมินผลกระทบด้านการคุ้มครองข้อมูล (ถ้ามี)

8. การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

1. เมื่อผู้ให้บริการทราบว่ามีเหตุละเมิดข้อมูลส่วนบุคคลที่ประมวลผล ผู้ให้บริการจะแจ้งผู้ใช้บริการโดยไม่ชักช้า พร้อมข้อมูลที่จำเป็นตามสมควรเพื่อให้ผู้ใช้บริการปฏิบัติหน้าที่การแจ้งเหตุตามกฎหมายได้

9. การลบหรือคืนข้อมูลเมื่อสิ้นสุดบริการ

1. เมื่อสิ้นสุดการให้บริการ ผู้ให้บริการจะลบหรือคืนข้อมูลส่วนบุคคลที่ประมวลผลตามที่ผู้ใช้บริการเลือก ภายในกรอบเวลาการส่งออกและการลบข้อมูลที่กำหนดในข้อกำหนด เว้นแต่ที่ต้องเก็บรักษาไว้ตามกฎหมายหรือระบบสำรองข้อมูลตามปกติ

10. การตรวจสอบ (Audit)

1. ผู้ให้บริการจะจัดให้มีข้อมูลตามสมควรเพื่อแสดงการปฏิบัติตาม DPA นี้ และให้ความร่วมมือในการตรวจสอบที่ผู้ใช้บริการหรือผู้ตรวจสอบที่ผู้ใช้บริการมอบหมายร้องขอตามสมควร โดยแจ้งล่วงหน้าและไม่รบกวนการดำเนินงานเกินสมควร

11. การโอนข้อมูลไปต่างประเทศ

1. ผู้ให้บริการอาจประมวลผลหรือจัดเก็บข้อมูลผ่านผู้ประมวลผลข้อมูลช่วงที่มีศูนย์ข้อมูลในต่างประเทศตามที่ระบุใน Annex C โดยจะดำเนินการตามเงื่อนไขและมาตรการการโอนข้อมูลระหว่างประเทศตามมาตรา 28 และ 29 แห่ง PDPA

12. ความรับผิด

1. ความรับผิดของคู่สัญญาภายใต้ DPA นี้อยู่ภายใต้ข้อจำกัดความรับผิดที่กำหนดในข้อกำหนด เว้นแต่ความรับผิดที่กฎหมายไม่อนุญาตให้จำกัดหรือยกเว้น

13. ระยะเวลาและการมีผล

1. DPA นี้มีผลตราบเท่าที่ผู้ให้บริการประมวลผลข้อมูลส่วนบุคคลในฐานะผู้ประมวลผลข้อมูลภายใต้ข้อกำหนด

Annex A — รายละเอียดการประมวลผล

Annex B — มาตรการรักษาความมั่นคงปลอดภัย (TOMs)

• การควบคุมการเข้าถึง: การยืนยันตัวตน การกำหนดสิทธิตามบทบาท และการใช้รหัสผ่านที่ปลอดภัย
• การเข้ารหัสข้อมูล: การเข้ารหัสข้อมูลระหว่างรับส่ง (in transit) และขณะจัดเก็บ (at rest)
• การสำรองข้อมูลและการกู้คืน: การสำรองข้อมูลตามรอบ และแผนการกู้คืนระบบ
• การบันทึกและตรวจสอบ (Logging & Monitoring): การเก็บ log การเข้าถึงและการเฝ้าระวังภัยคุกคาม
• การบริหารช่องโหว่และการอัปเดต: การตรวจและปรับปรุงระบบให้ปลอดภัยอย่างสม่ำเสมอ
• การบริหารเหตุการณ์: กระบวนการรับมือและแจ้งเหตุละเมิดข้อมูล

Annex C — รายชื่อผู้ประมวลผลข้อมูลช่วง (Sub-processors)

รายชื่อข้างต้นเป็นรายชื่อ ณ วันที่ปรับปรุงล่าสุดของเอกสารฉบับนี้ หากมีการเพิ่มหรือเปลี่ยนแปลงผู้ประมวลผลข้อมูลช่วง ผู้ให้บริการจะแจ้งล่วงหน้าตามข้อ 6.3