ข้อกำหนดทางกฎหมาย

ข้อตกลงการประมวลผลข้อมูล

อัปเดตล่าสุด 1 พฤศจิกายน 2026

คำแปลนี้จัดทำขึ้นเพื่อความสะดวกของท่าน ฉบับภาษาอังกฤษเป็นฉบับที่มีผลผูกพันตามกฎหมาย และให้ถือฉบับภาษาอังกฤษเป็นหลักหากทั้งสองฉบับไม่ตรงกัน อ่านฉบับภาษาอังกฤษ

ข้อตกลงการประมวลผลข้อมูลนี้ (“DPA”) เป็นส่วนหนึ่งของข้อกำหนดการให้บริการระหว่างลูกค้ากับ Astrizon Technology Solutions Private Limited บริษัทที่จดทะเบียนในประเทศอินเดีย (“ผู้ประมวลผล”) ใช้บังคับทุกครั้งที่ผู้ประมวลผลประมวลผลข้อมูลส่วนบุคคลในนามของลูกค้าผ่าน Zolensa หากลูกค้าทำหน้าที่เป็นผู้ประมวลผลให้ลูกค้าของตนเอง ผู้ประมวลผลถือเป็นผู้ประมวลผลช่วงของลูกค้า และข้อกำหนดนี้ใช้บังคับตามนั้น

1. คำนิยาม

“กฎหมายคุ้มครองข้อมูล” หมายถึงกฎหมายที่ใช้กับการประมวลผล รวมถึงกฎระเบียบคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป (GDPR) UK GDPR และพระราชบัญญัติคุ้มครองข้อมูลของสหราชอาณาจักร (Data Protection Act 2018) พระราชบัญญัติกลางว่าด้วยการคุ้มครองข้อมูลของสวิตเซอร์แลนด์ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลดิจิทัลของอินเดีย ค.ศ. 2023 (DPDP Act) และกฎหมายของมลรัฐในสหรัฐอเมริกา เช่น กฎหมายคุ้มครองความเป็นส่วนตัวของผู้บริโภคแห่งรัฐแคลิฟอร์เนีย (CCPA) คำว่า “ข้อมูลส่วนบุคคล” “ผู้ควบคุมข้อมูล” “ผู้ประมวลผล” “เจ้าของข้อมูล” “การละเมิดข้อมูลส่วนบุคคล” และ “การประมวลผล” มีความหมายตามที่กำหนดใน GDPR “ข้อมูลส่วนบุคคลของลูกค้า” หมายถึงข้อมูลส่วนบุคคลที่ผู้ประมวลผลประมวลผลให้ลูกค้าผ่านบริการ

2. บทบาทและคำสั่ง

ลูกค้าเป็นผู้ควบคุมข้อมูล (หรือผู้ประมวลผลที่ดำเนินการแทนลูกค้าของตน) และผู้ประมวลผลประมวลผลข้อมูลส่วนบุคคลของลูกค้าตามคำสั่งที่เป็นลายลักษณ์อักษรของลูกค้าเท่านั้น ข้อกำหนดการให้บริการ DPA นี้ และการใช้งานและการตั้งค่าบริการของลูกค้า ถือเป็นคำสั่งดังกล่าว ผู้ประมวลผลจะแจ้งลูกค้าหากเห็นว่าคำสั่งใดฝ่าฝืนกฎหมายคุ้มครองข้อมูล รายละเอียดของการประมวลผลอยู่ในภาคผนวก I

3. การรักษาความลับ

ผู้ประมวลผลต้องดูแลให้ทุกคนที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้าผูกพันตามหน้าที่รักษาความลับ และเข้าถึงได้เท่าที่บทบาทของตนต้องใช้เท่านั้น

4. ความปลอดภัย

ผู้ประมวลผลดำเนินมาตรการทางเทคนิคและมาตรการเชิงองค์กรตามภาคผนวก II ให้เหมาะสมกับความเสี่ยง และอาจปรับปรุงมาตรการเหล่านั้นได้ตราบเท่าที่ระดับการคุ้มครองโดยรวมไม่ลดลง

5. ผู้ประมวลผลช่วง

ลูกค้าให้ความเห็นชอบทั่วไปแก่ผู้ประมวลผลช่วงที่แสดงไว้ในหน้าผู้ประมวลผลช่วง ผู้ประมวลผลจะแจ้งล่วงหน้าอย่างน้อย 30 วันเมื่อมีผู้ประมวลผลช่วงรายใหม่ โดยปรับปรุงหน้านั้นและส่งอีเมลถึงเจ้าของพื้นที่ทำงาน ลูกค้าอาจคัดค้านด้วยเหตุผลด้านการคุ้มครองข้อมูลที่สมเหตุสมผลภายในระยะเวลานั้น หากคู่สัญญาตกลงทางออกไม่ได้ ลูกค้าอาจยุติบริการที่ได้รับผลกระทบและรับเงินคืนสำหรับค่าธรรมเนียมที่ชำระล่วงหน้าในช่วงเวลาที่เหลือ ผู้ประมวลผลกำหนดหน้าที่ด้านการคุ้มครองข้อมูลให้ผู้ประมวลผลช่วงแต่ละรายในระดับที่ไม่ด้อยกว่า DPA นี้ และยังคงรับผิดชอบต่อผู้ประมวลผลช่วงเหล่านั้น

6. การโอนข้อมูลระหว่างประเทศ

ผู้ประมวลผลจัดเก็บบริการในอินเดีย และผู้ประมวลผลช่วงบางรายอยู่ในประเทศอื่น สำหรับการโอนข้อมูลส่วนบุคคลจากเขตเศรษฐกิจยุโรป คู่สัญญาตกลงตามข้อสัญญามาตรฐาน (Standard Contractual Clauses) ที่รับรองโดยคำวินิจฉัยบังคับใช้ของคณะกรรมาธิการ (EU) 2021/914 โมดูลที่สอง (ผู้ควบคุมข้อมูลถึงผู้ประมวลผล) และในกรณีที่ลูกค้าเป็นผู้ประมวลผล โมดูลที่สาม (ผู้ประมวลผลถึงผู้ประมวลผล) ซึ่งนำมาอ้างอิงเป็นส่วนหนึ่งโดยมีตัวเลือกดังนี้ ข้อ 7 ไม่ใช้บังคับ ภายใต้ข้อ 9 ใช้ตัวเลือกที่ 2 (ความเห็นชอบทั่วไป) โดยแจ้งล่วงหน้า 30 วัน ถ้อยคำเสริมในข้อ 11 ไม่ใช้บังคับ ข้อ 13 เป็นไปตามสถานที่จัดตั้งของลูกค้า ภายใต้ข้อ 17 และข้อ 18 ใช้กฎหมายและศาลของไอร์แลนด์ ภาคผนวก I และ II ของ DPA นี้เติมเต็มภาคผนวกของข้อสัญญา สำหรับการโอนจากสหราชอาณาจักร ให้ใช้ภาคผนวกการโอนข้อมูลระหว่างประเทศที่ออกโดยคณะกรรมาธิการข้อมูล (Information Commissioner) และสำหรับสวิตเซอร์แลนด์ ให้ใช้ข้อสัญญาโดยอ่านการอ้างอิงเป็นการอ้างอิงถึงกฎหมายสวิส หากข้อสัญญาเหล่านี้ขัดแย้งกับ DPA นี้ ให้ถือข้อสัญญาเป็นหลัก

7. การช่วยเหลือลูกค้า

โดยคำนึงถึงลักษณะของการประมวลผล ผู้ประมวลผลช่วยเหลือลูกค้า โดยหลักผ่านฟีเจอร์ของบริการ ในการตอบคำขอของเจ้าของข้อมูล รวมถึงด้านความปลอดภัย การแจ้งเหตุการละเมิด การประเมินผลกระทบด้านการคุ้มครองข้อมูล และการปรึกษากับหน่วยงานกำกับ หากเจ้าของข้อมูลติดต่อผู้ประมวลผลโดยตรง ผู้ประมวลผลจะส่งต่อคำขอให้ลูกค้าโดยไม่ตอบเอง เว้นแต่กฎหมายกำหนดเป็นอย่างอื่น

8. การละเมิดข้อมูลส่วนบุคคล

ผู้ประมวลผลแจ้งลูกค้าโดยไม่ชักช้า และไม่ว่ากรณีใดภายใน 48 ชั่วโมงนับจากที่ทราบถึงการละเมิดข้อมูลส่วนบุคคลที่กระทบข้อมูลส่วนบุคคลของลูกค้า พร้อมข้อมูลที่ลูกค้าต้องใช้เพื่อปฏิบัติตามหน้าที่ของตนเอง และแจ้งความคืบหน้าให้ลูกค้าทราบเมื่อทราบข้อมูลเพิ่มเติม ผู้ประมวลผลดำเนินขั้นตอนที่สมเหตุสมผลเพื่อควบคุมการละเมิดและลดผลกระทบ

9. การลบและการส่งคืน

ลูกค้าส่งออกและลบข้อมูลส่วนบุคคลของลูกค้าได้ทุกเมื่อผ่านบริการ และกำหนดระยะเวลาการเก็บรักษาของแต่ละโครงการวิจัย เมื่อข้อตกลงสิ้นสุด ผู้ประมวลผลลบข้อมูลส่วนบุคคลของลูกค้าทั้งหมด รวมถึงไฟล์ในที่จัดเก็บ ภายใน 30 วันหลังระยะเวลาการส่งออกตามข้อกำหนดการให้บริการ เว้นแต่กฎหมายกำหนดให้เก็บบางส่วนไว้ ซึ่งในกรณีนั้นผู้ประมวลผลรักษาข้อมูลดังกล่าวเป็นความลับและประมวลผลเพื่อวัตถุประสงค์นั้นเท่านั้น

10. การตรวจสอบ

ผู้ประมวลผลจัดให้ข้อมูลที่จำเป็นตามสมควรเพื่อแสดงการปฏิบัติตาม DPA นี้ ลูกค้าอาจตรวจสอบ หรือให้ผู้ตรวจสอบอิสระที่ผูกพันตามหน้าที่รักษาความลับตรวจสอบ ปีละหนึ่งครั้งโดยแจ้งล่วงหน้า 30 วัน ในเวลาทำการ และโดยไม่รบกวนบริการหรือข้อมูลของลูกค้ารายอื่น โดยลูกค้าเป็นผู้รับภาระค่าใช้จ่ายเอง หรือบ่อยกว่านั้นหากเกิดการละเมิดข้อมูลส่วนบุคคลหรือหน่วยงานกำกับกำหนด

11. กฎหมายความเป็นส่วนตัวของมลรัฐในสหรัฐอเมริกา

ในกรณีที่กฎหมายคุ้มครองความเป็นส่วนตัวของผู้บริโภคแห่งรัฐแคลิฟอร์เนีย (CCPA) หรือกฎหมายที่คล้ายกันใช้บังคับ ผู้ประมวลผลเป็นผู้ให้บริการ และจะไม่ขายหรือแบ่งปันข้อมูลส่วนบุคคลของลูกค้า ไม่เก็บ ใช้ หรือเปิดเผยนอกความสัมพันธ์ทางธุรกิจโดยตรงหรือเพื่อวัตถุประสงค์อื่นนอกจากบริการ และไม่รวมกับข้อมูลส่วนบุคคลอื่น ยกเว้นตามที่กฎหมายเหล่านั้นอนุญาต ผู้ประมวลผลจะแจ้งลูกค้าหากไม่สามารถปฏิบัติตามหน้าที่เหล่านี้ได้อีกต่อไป

12. ความรับผิดและลำดับความสำคัญ

ความรับผิดของแต่ละฝ่ายภายใต้ DPA นี้อยู่ภายใต้ข้อจำกัดในข้อกำหนดการให้บริการ เว้นแต่กรณีที่กฎหมายคุ้มครองข้อมูลไม่อนุญาต หาก DPA นี้ขัดแย้งกับข้อกำหนดการให้บริการในเรื่องการคุ้มครองข้อมูล ให้ถือ DPA นี้เป็นหลัก

13. ภาคผนวก I: รายละเอียดของการประมวลผล

14. ภาคผนวก II: มาตรการทางเทคนิคและเชิงองค์กร

• การเข้ารหัสระหว่างการส่งข้อมูลด้วย TLS สำหรับทุกการเชื่อมต่อ การบันทึกจัดเก็บเป็นส่วนตัวและให้บริการผ่านลิงก์ที่ลงนามและหมดอายุ
• รหัสผ่านแฮชด้วย Argon2id การยืนยันตัวตนสองขั้นตอนเป็นข้อบังคับสำหรับเจ้าของพื้นที่ทำงานและพนักงานแพลตฟอร์ม คีย์ของผู้ให้บริการและรหัสลับของการยืนยันตัวตนสองขั้นตอนเข้ารหัสขณะจัดเก็บ
• การเข้าถึงตามบทบาทภายในแต่ละพื้นที่ทำงาน ลูกค้าเห็นผู้เข้าร่วมด้วยรหัสเท่านั้น รายละเอียดการติดต่อจำกัดเฉพาะทีมโครงการวิจัย
• การแยกข้อมูลของลูกค้าแต่ละรายในแอปพลิเคชันตามพื้นที่ทำงาน ทุกคำขอถูกตรวจเทียบกับพื้นที่ทำงานและบทบาทของผู้ใช้
• การจำกัดอัตราคำขอสำหรับการเข้าสู่ระบบ คำเชิญ และการอัปโหลด การป้องกันการปลอมแปลงคำขอข้ามไซต์ (cross-site request forgery) และส่วนหัวด้านความปลอดภัย
• บันทึกการตรวจสอบสำหรับการเข้าสู่ระบบ คำเชิญ การยินยอม การส่งออก การดาวน์โหลด และการลบ
• การลดข้อมูลให้น้อยที่สุด: ลบข้อมูลตำแหน่งออกจากรูปภาพ ตรวจการอัปโหลดตามประเภทและขนาด ลิงก์ดาวน์โหลดหมดอายุหลังเจ็ดวัน
• การเก็บรักษาต่อโครงการวิจัยตามที่ลูกค้ากำหนด การลบผู้เข้าร่วม โครงการวิจัย และทั้งพื้นที่ทำงานรวมถึงไฟล์
• การเสริมความแข็งแกร่งของเซิร์ฟเวอร์ การอัปเดตความปลอดภัยอย่างสม่ำเสมอ ไฟร์วอลล์ และการสำรองข้อมูลที่ผู้ให้บริการโฮสติ้งดูแล
• พนักงานที่เข้าถึงข้อมูลผูกพันตามหน้าที่รักษาความลับ และเข้าถึงได้เท่าที่งานต้องใช้
• กระบวนการตรวจจับ ประเมิน และแจ้งการละเมิดข้อมูลส่วนบุคคลภายใน 48 ชั่วโมง