สัญญาประมวลผลข้อมูลส่วนบุคคล (DPA) — ร่าง v0.1 รอที่ปรึกษากฎหมายตรวจ
คู่สัญญา: องค์กรผู้ใช้ ("ผู้ควบคุมข้อมูล") และ [ชื่อนิติบุคคล] ("ผู้ประมวลผลข้อมูล") ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
1. ขอบเขต: ผู้ประมวลผลประมวลผลข้อมูลลูกค้าประกันและผู้สมัครงานที่ผู้ควบคุมบันทึกในแพลตฟอร์ม เพื่อให้บริการตามข้อตกลงการใช้บริการเท่านั้น
2. คำสั่ง: ประมวลผลตามคำสั่งที่เป็นลายลักษณ์อักษรของผู้ควบคุม (รวมถึงการตั้งค่าในแพลตฟอร์ม) ไม่ใช้เพื่อวัตถุประสงค์อื่น
3. การรักษาความลับ: บุคลากรที่เข้าถึงข้อมูลผูกพันด้วยหน้าที่รักษาความลับ; การเข้าถึงฝ่ายสนับสนุนต้องมีบันทึก
4. มาตรการความปลอดภัย: ตามภาคผนวก ก (แยกองค์กร, บทบาท, MFA, บันทึกการใช้งาน, สำรองข้อมูลเข้ารหัส, การกู้คืนที่ทดสอบ)
5. ผู้ประมวลผลช่วง: รายชื่อในภาคผนวก ข (โฮสติ้ง, LINE, ผู้ให้บริการชำระเงิน) แจ้งล่วงหน้า [30 วัน] ก่อนเพิ่ม ผู้ควบคุมคัดค้านได้ ผู้ให้บริการ AI ที่ผู้ควบคุมเลือกและใส่คีย์เองไม่ใช่ผู้ประมวลผลช่วงของเรา
6. สิทธิเจ้าของข้อมูล: ผู้ประมวลผลจัดเครื่องมือส่งออก/ลบ และช่วยตอบคำขอภายใน [10 วันทำการ]
7. เหตุละเมิด: แจ้งผู้ควบคุมโดยไม่ชักช้าและไม่เกิน [48 ชั่วโมง] หลังทราบ พร้อมข้อมูลเท่าที่มี
8. การตรวจสอบ: ผู้ควบคุมขอรายงานมาตรการได้ปีละครั้ง หรือตรวจสอบเมื่อมีเหตุอันควร
9. สิ้นสุดสัญญา: คืนข้อมูล (ZIP ส่งออก) และลบภายใน [90 วัน] เว้นแต่กฎหมายกำหนดให้เก็บ
10. การโอนข้ามแดน: [ระบุที่ตั้งเซิร์ฟเวอร์ และมาตรการหากอยู่นอกประเทศไทย]
ภาคผนวก ก มาตรการความปลอดภัย · ภาคผนวก ข ผู้ประมวลผลช่วง · ภาคผนวก ค ประเภทข้อมูลและเจ้าของข้อมูล