ข้อตกลงการประมวลผลข้อมูล
รายละเอียดอย่างครบถ้วนเกี่ยวกับวิธีที่เราประมวลผล จัดเก็บ และปกป้องข้อมูลส่วนบุคคลของคุณ
วันที่มีผลบังคับใช้
1 มกราคม 2025
DPA คืออะไร?
ข้อตกลงการประมวลผลข้อมูล (DPA) คือสัญญาทางกฎหมายที่กำหนดแนวทางในการจัดการข้อมูลส่วนบุคคลของคุณ ให้เป็นไปตาม GDPR และกฎระเบียบด้านความเป็นส่วนตัวอื่น ๆ
กิจกรรมการประมวลผล
วิธีที่เราประมวลผลข้อมูลส่วนบุคคลของคุณ
ผู้ประมวลผลช่วง
บริการภายนอกที่เราใช้ในการประมวลผลข้อมูล
การปฏิบัติตามข้อกำหนดและการรับรอง
มาตรฐานอุตสาหกรรมที่เราปฏิบัติตาม
GDPR
การปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป
CCPA
การปฏิบัติตามกฎหมายความเป็นส่วนตัวของรัฐแคลิฟอร์เนีย
ISO 27001
การจัดการความมั่นคงปลอดภัยของข้อมูล
SOC 2 Type II
การควบคุมระบบขององค์กรผู้ให้บริการ
สิทธิ์ของคุณภายใต้ DPA นี้
สิทธิ์ในการเข้าถึงข้อมูลส่วนบุคคลของคุณได้ตลอดเวลา
สิทธิ์ในการขอแก้ไขหรือลบข้อมูลของคุณ
สิทธิ์ในการโอนย้ายและส่งออกข้อมูล
สิทธิ์ในการร้องเรียนต่อหน่วยงานกำกับดูแล
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)
ติดต่อ DPO ของเราสำหรับคำถามเกี่ยวกับการประมวลผลข้อมูล
นโยบายที่เกี่ยวข้อง
ข้อตกลงการประมวลผลข้อมูล
ข้อตกลงการประมวลผลข้อมูลฉบับสมบูรณ์สำหรับลูกค้าระดับองค์กร ครอบคลุมการปฏิบัติตาม GDPR มาตรการรักษาความปลอดภัย และการถ่ายโอนข้อมูลระหว่างประเทศ
ภาพรวมข้อตกลงการประมวลผลข้อมูล
ข้อตกลงการประมวลผลข้อมูล (DPA) นี้ถือเป็นส่วนหนึ่งของสัญญาหลักในการให้บริการ และกำกับการประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง
วัตถุประสงค์และขอบเขต
- กำหนดบทบาทและความรับผิดชอบในการประมวลผลข้อมูล
- รับรองการปฏิบัติตาม GDPR และกฎหมายคุ้มครองข้อมูลส่วนบุคคลอื่นๆ
- กำหนดมาตรการป้องกันความปลอดภัยและมาตรการทางเทคนิค
- กำกับการถ่ายโอนข้อมูลระหว่างประเทศ
ข้อกำหนดสำคัญ
- คำนิยามของผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล
- มาตรการทางเทคนิคและมาตรการเชิงบริหารจัดการ
- การจัดการและการอนุมัติผู้ประมวลผลข้อมูลช่วง
- กลไกการถ่ายโอนข้อมูลข้ามพรมแดน
การปฏิบัติตามมาตรฐานระดับองค์กร
DPA ของเราเป็นไปตามมาตรฐานระดับองค์กรขั้นสูงสุด และได้รับการตรวจสอบโดยสำนักงานกฎหมายชั้นนำด้านสิทธิความเป็นส่วนตัว เพื่อให้มั่นใจได้ว่าสอดคล้องกับกฎระเบียบว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลระดับสากลอย่างครอบคลุม รวมถึง GDPR, CCPA, PIPEDA และกฎหมายอื่นๆ ที่เกี่ยวข้อง
กิจกรรมการประมวลผลข้อมูล
เอกสารรายละเอียดกิจกรรมการประมวลผลข้อมูลส่วนบุคคลทั้งหมดที่ดำเนินการในนามของลูกค้าระดับองค์กรของเรา
การจัดการลูกค้า
วัตถุประสงค์: การสร้างบัญชี การยืนยันตัวตน และการบริหารลูกค้าสัมพันธ์
ประเภทข้อมูล:
- ชื่อ
- อีเมล
- หมายเลขโทรศัพท์
- ข้อมูลบริษัท
- การตั้งค่าบัญชี
มาตรการความปลอดภัย:
- การเข้ารหัสข้อมูลขณะจัดเก็บ
- การควบคุมการเข้าถึง
- การตรวจสอบความปลอดภัยสม่ำเสมอ
- ข้อกำหนดการยืนยันตัวตนแบบหลายปัจจัย (MFA)
รายละเอียดการประมวลผล
การให้บริการ
วัตถุประสงค์: การจัดหาผลิตภัณฑ์ดิจิทัล การสนับสนุนทางเทคนิค และการให้บริการตามข้อตกลง
ประเภทข้อมูล:
- ข้อมูลการใช้งาน
- บันทึกข้อมูลทางเทคนิค (Logs)
- ประวัติการติดต่อฝ่ายสนับสนุน
- ข้อมูลชี้วัดประสิทธิภาพ
มาตรการความปลอดภัย:
- การเข้ารหัสแบบต้นทางถึงปลายทาง (End-to-end encryption)
- การส่งข้อมูลที่ปลอดภัย
- ระบบสำรองข้อมูลอัตโนมัติ
- ขั้นตอนการรับมือและจัดการเหตุการณ์ละเมิดความปลอดภัย
รายละเอียดการประมวลผล
การวิเคราะห์และการพัฒนาปรับปรุง
วัตถุประสงค์: การเพิ่มประสิทธิภาพการให้บริการ การติดตามประสิทธิภาพ และการยกระดับประสบการณ์ผู้ใช้งาน
ประเภทข้อมูล:
- รูปแบบการใช้งานแบบไม่ระบุตัวตน
- ข้อมูลชี้วัดประสิทธิภาพ
- สถิติการใช้งานฟีเจอร์
มาตรการความปลอดภัย:
- การทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ (Data anonymization)
- การรายงานผลในรูปแบบข้อมูลรวมเท่านั้น
- การจำกัดสิทธิ์การเข้าถึงข้อมูล
รายละเอียดการประมวลผล
การตลาดและการสื่อสาร
วัตถุประสงค์: การสื่อสารทางการตลาด จดหมายข่าว และกิจกรรมส่งเสริมการขาย
ประเภทข้อมูล:
- ที่อยู่อีเมล
- การตั้งค่าการรับข้อมูลข่าวสาร
- ข้อมูลชี้วัดการมีส่วนร่วม
มาตรการความปลอดภัย:
- ระบบจัดการความยินยอม
- แพลตฟอร์มอีเมลที่มีความปลอดภัย
- การตรวจสอบสถานะความยินยอมอย่างสม่ำเสมอ
รายละเอียดการประมวลผล
ผู้ประมวลผลข้อมูลช่วงและบุคคลภายนอก
รายชื่อผู้ประมวลผลข้อมูลช่วงทั้งหมดอย่างครบถ้วน พร้อมระบุบทบาท ที่ตั้ง และมาตรการรักษาความปลอดภัย
Amazon Web Services
บริการคลาวด์โฮสติงและโครงสร้างพื้นฐาน
ประเภทข้อมูลที่ประมวลผล:
มาตรการรักษาความปลอดภัย:
- ข้อตกลง AWS BAA
- การรับรองมาตรฐาน SOC 2 Type II
- การควบคุมพื้นที่จัดเก็บข้อมูล (Data residency)
Stripe Inc.
ระบบประมวลผลการชำระเงิน
ประเภทข้อมูลที่ประมวลผล:
มาตรการรักษาความปลอดภัย:
- PCI DSS Level 1
- ข้อสัญญามาตรฐาน (Standard Contractual Clauses)
- การแปลงข้อมูลเป็นโทเค็น (Tokenization)
Twilio SendGrid
บริการจัดส่งอีเมล
ประเภทข้อมูลที่ประมวลผล:
มาตรการรักษาความปลอดภัย:
- ข้อสัญญามาตรฐาน (Standard Contractual Clauses)
- การรับรองมาตรฐาน ISO 27001
- การเข้ารหัสข้อมูล
Google LLC
บริการวิเคราะห์ข้อมูลเว็บไซต์
ประเภทข้อมูลที่ประมวลผล:
มาตรการรักษาความปลอดภัย:
- การควบคุมความเป็นส่วนตัวของ Google Analytics 4
- การควบคุมระยะเวลาการเก็บรักษาข้อมูล
- การปกปิดที่อยู่ IP (IP Anonymization)
การอัปเดตผู้ประมวลผลข้อมูลช่วง
เราจะแจ้งให้ทราบล่วงหน้า 30 วันก่อนที่จะมีการเปลี่ยนแปลงใดๆ ในรายชื่อผู้ประมวลผลข้อมูลช่วง ลูกค้าระดับ Enterprise มีสิทธิ์คัดค้านผู้ประมวลผลข้อมูลช่วงรายใหม่ และสามารถบอกเลิกสัญญาได้หากไม่สามารถหาข้อยุติในการคัดค้านได้
กรอบการปฏิบัติตามกฎระเบียบ
แนวทางการดำเนินงานที่ครอบคลุมของเรา เพื่อให้สอดคล้องกับกฎระเบียบด้านความเป็นส่วนตัวและความปลอดภัยระดับสากล
GDPR (General Data Protection Regulation)
กฎระเบียบของสหภาพยุโรปว่าด้วยการคุ้มครองและการประมวลผลข้อมูลส่วนบุคคล
มาตรการการปฏิบัติตามข้อกำหนด:
- การคุ้มครองข้อมูลส่วนบุคคลตั้งแต่ขั้นตอนการออกแบบ (Privacy by Design)
- การดำเนินการตามสิทธิของเจ้าของข้อมูล
- ขั้นตอนการแจ้งเตือนเหตุละเมิดข้อมูล
- การตรวจสอบการปฏิบัติตามข้อกำหนดอย่างสม่ำเสมอ
CCPA (California Consumer Privacy Act)
กฎหมายรัฐแคลิฟอร์เนียที่ให้สิทธิความเป็นส่วนตัวแก่ผู้บริโภค
มาตรการการปฏิบัติตามข้อกำหนด:
- การดำเนินการตามสิทธิของผู้บริโภค
- ข้อกำหนดด้านประกาศแจ้งการคุ้มครองข้อมูลส่วนบุคคล
- กลไกการปฏิเสธไม่ให้เปิดเผยหรือขายข้อมูล (Opt-out)
- การจัดทำและบันทึกคลังรายการข้อมูล
PIPEDA (Personal Information Protection and Electronic Documents Act)
กฎหมายคุ้มครองความเป็นส่วนตัวระดับสหพันธรัฐของแคนาดาสำหรับภาคเอกชน
มาตรการการปฏิบัติตามข้อกำหนด:
- การจัดการความยินยอม
- การจำกัดวัตถุประสงค์ในการใช้ข้อมูล
- มาตรการความรับผิดชอบและตรวจสอบได้
- สิทธิในการเข้าถึงข้อมูลส่วนบุคคล
ISO 27001
มาตรฐานสากลสำหรับระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ
มาตรการการปฏิบัติตามข้อกำหนด:
- ระบบการจัดการความมั่นคงปลอดภัยสารสนเทศ
- ขั้นตอนการประเมินความเสี่ยง
- การนำมาตรการควบคุมความปลอดภัยมาใช้
- กระบวนการพัฒนาและปรับปรุงอย่างต่อเนื่อง
ทีมงานฝ่ายกฎหมายและการกำกับดูแลสำหรับลูกค้าระดับองค์กร
ทีมกฎหมายสำหรับลูกค้าระดับองค์กรของเราพร้อมประสานงานกับที่ปรึกษากฎหมายของคุณ เพื่อสรุปเงื่อนไข DPA และดูแลให้เป็นไปตามข้อกำหนดการกำกับดูแลอย่างครบถ้วน