ข้อตกลงการประมวลผลข้อมูล

ข้อตกลงการประมวลผลข้อมูลฉบับนี้ (“ DPA ”) เป็นส่วนหนึ่งของข้อตกลงระหว่าง ELXAO SASU (“ ผู้ประมวลผล ”) และลูกค้า (“ ผู้ควบคุมข้อมูล ”) และเป็นการดำเนินการตามมาตรา 28 ของระเบียบ (EU) 2016/679 (“ GDPR ”) และกฎหมายคุ้มครองข้อมูลของฝรั่งเศส (Loi n° 78-17 ลงวันที่ 6 มกราคม 1978 ฉบับแก้ไขเพิ่มเติม) โดยมีผลบังคับใช้ทุกครั้งที่ ELXAO ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูลในระหว่างการให้บริการ

คำจำกัดความ

คำว่า “ข้อมูลส่วนบุคคล”, “การประมวลผล”, “ผู้ควบคุมข้อมูล”, “ผู้ประมวลผลข้อมูล”, “ผู้ประมวลผลข้อมูลย่อย”, “เจ้าของข้อมูล”, “ข้อมูลประเภทพิเศษ” และ “การละเมิดข้อมูลส่วนบุคคล” มีความหมายตามที่ระบุไว้ในมาตรา 4 ของ GDPR ข้อกำหนดของข้อตกลงนี้มีผลบังคับใช้กับ DPA นี้ เว้นแต่ว่า DPA นี้จะระบุไว้โดยชัดแจ้งว่ามีผลเหนือกว่า

หัวข้อ ระยะเวลา และลักษณะของการประมวลผล

บทบาทและคำแนะนำ

ผู้ควบคุมข้อมูลเป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผล ELXAO ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่เป็นลายลักษณ์อักษรของผู้ควบคุมข้อมูลเท่านั้น ซึ่งระบุไว้ในข้อตกลง คำสั่งซื้อ ข้อตกลงระดับบริการ นโยบายความเป็นส่วนตัวของผู้ควบคุมข้อมูล และคำสั่งเป็นลายลักษณ์อักษรเฉพาะใดๆ ที่ส่งมาภายหลัง ELXAO จะแจ้งให้ผู้ควบคุมข้อมูลทราบโดยไม่ชักช้าหากพิจารณาว่าคำสั่งใดละเมิดกฎหมายคุ้มครองข้อมูล

การรักษาความลับของบุคลากร

ELXAO รับประกันว่าทุกคนที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลจะต้องผูกพันด้วยข้อผูกพันด้านการรักษาความลับที่สามารถบังคับใช้ได้ (เช่น สัญญาจ้างงาน สัญญาจ้างอิสระ หรือข้อตกลงรักษาความลับ) และได้รับการฝึกอบรมด้านการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมกับบทบาทของตน

มาตรการรักษาความปลอดภัย

ELXAO ดำเนินการตามมาตรการทางเทคนิคและองค์กรที่เหมาะสม (มาตรา 32 ของ GDPR) ซึ่งรวมถึง:

• การเข้ารหัส TLS 1.2+ ในระหว่างการส่งข้อมูล และการเข้ารหัส AES-256 เมื่อจัดเก็บในระบบจัดเก็บข้อมูลสำหรับการใช้งานจริง
• การควบคุมการเข้าถึงตามบทบาทโดยยึดหลักการให้สิทธิ์ขั้นต่ำสุด การยืนยันตัวตนแบบหลายปัจจัยเป็นสิ่งจำเป็นสำหรับผู้ดูแลระบบทุกคน
• โครงสร้างพื้นฐานที่มีความปลอดภัยสูงและตั้งอยู่ในสหภาพยุโรป พร้อมการสแกนและแก้ไขช่องโหว่อย่างสม่ำเสมอ
• การตรวจสอบโค้ด การจัดการความลับ วงจรการพัฒนาซอฟต์แวร์ที่ปลอดภัย และการแยกสภาพแวดล้อมการผลิต/การทดสอบ
• ระบบบันทึกข้อมูลแบบรวมศูนย์และมีการปกป้องความถูกต้องแม่นยำ พร้อมแจ้งเตือนเมื่อพบเหตุการณ์การตรวจสอบสิทธิ์และการส่งออกข้อมูลที่น่าสงสัย
• การสำรองข้อมูลแบบเข้ารหัส แยกตามภูมิศาสตร์ พร้อมเอกสารการทดสอบการกู้คืน
• ขั้นตอนการรับเข้า/ออกจากงานของบุคลากร โปรแกรมจัดการรหัสผ่าน แล็ปท็อปที่ปลอดภัยพร้อมการเข้ารหัสแบบเต็มดิสก์
• แผนความต่อเนื่องทางธุรกิจและแผนรับมือเหตุการณ์ฉุกเฉินต้องได้รับการทบทวนอย่างน้อยปีละครั้ง

การประมวลผลย่อย

ผู้ควบคุมข้อมูลอนุญาตให้ ELXAO ดำเนินการว่าจ้างผู้ประมวลผลย่อยเพื่อดำเนินการกิจกรรมการประมวลผลเฉพาะ (การโฮสต์ การส่งอีเมล การวิเคราะห์ แพลตฟอร์มโฆษณา เครื่องมือสนับสนุนลูกค้า แพลตฟอร์มการจัดการกิจกรรม) ELXAO มีรายชื่อผู้ประมวลผลย่อยที่เป็นปัจจุบัน ซึ่งสามารถขอได้ที่ [email protected] และจะแจ้งให้ทราบล่วงหน้าอย่างน้อยสามสิบ (30) วันก่อนการเพิ่มหรือเปลี่ยนผู้ประมวลผลย่อยใดๆ ซึ่งในระหว่างนั้นผู้ควบคุมข้อมูลอาจคัดค้านด้วยเหตุผลด้านการคุ้มครองข้อมูลที่สมเหตุสมผล ELXAO กำหนดภาระผูกพันด้านการคุ้มครองข้อมูลแก่ผู้ประมวลผลย่อยแต่ละรายไม่น้อยกว่าที่กำหนดไว้ในข้อตกลงการคุ้มครองข้อมูลนี้

การโอนเงินระหว่างประเทศ

ข้อมูลส่วนบุคคลจะถูกประมวลผลเป็นหลักภายในเขตเศรษฐกิจยุโรป (EEA) ในกรณีที่การประมวลผลเกี่ยวข้องกับการโอนย้ายไปยังนอก EEA ไปยังประเทศที่ไม่มีการตัดสินใจเรื่องความเพียงพอ ELXAO จะอาศัยมาตรการคุ้มครองที่เหมาะสมภายใต้มาตรา 46 ของ GDPR โดยเฉพาะอย่างยิ่งข้อกำหนดสัญญามาตรฐาน (SCCs) ของคณะกรรมาธิการยุโรปเมื่อวันที่ 4 มิถุนายน 2021 เสริมด้วยมาตรการเพิ่มเติมใดๆ ที่จำเป็นตามการประเมินผลกระทบของการโอนย้าย

ความช่วยเหลือแก่ผู้ควบคุม

ELXAO ให้ความช่วยเหลือแก่ผู้ควบคุมข้อมูล โดยใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสม ในการปฏิบัติตามภาระผูกพันในการตอบสนองต่อคำขอของเจ้าของข้อมูล (มาตรา 12–22 GDPR) และเพื่อให้มั่นใจว่ามีการปฏิบัติตามมาตรา 32–36 GDPR (ความปลอดภัย การแจ้งเตือนการละเมิด DPIA การปรึกษาหารือล่วงหน้า) ความช่วยเหลือมาตรฐานรวมอยู่ในบริการแล้ว งานที่เกินกว่าหนึ่ง (1) วันทำการต่อคำขออาจมีค่าใช้จ่ายตามอัตราค่าบริการวิชาชีพปัจจุบันของ ELXAO หลังจากแจ้งเป็นลายลักษณ์อักษร

การละเมิดข้อมูลส่วนบุคคล

ELXAO จะแจ้งให้ผู้ควบคุมข้อมูลทราบโดยไม่ชักช้า และในทุกกรณีภายในเจ็ดสิบสอง (72) ชั่วโมงหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคลที่ส่งผลกระทบต่อข้อมูลของผู้ควบคุมข้อมูล การแจ้งเตือนจะรวมถึงลักษณะของการละเมิด ประเภทและปริมาณโดยประมาณที่ได้รับผลกระทบ ผลที่ตามมาที่อาจเกิดขึ้น และมาตรการที่ดำเนินการหรือเสนอเพื่อแก้ไขปัญหา

การตรวจสอบ

ELXAO จะจัดหาข้อมูลที่จำเป็นเพื่อแสดงให้เห็นถึงการปฏิบัติตามข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลนี้ให้แก่ผู้ควบคุมข้อมูล เมื่อมีการร้องขออย่างสมเหตุสมผล และไม่เกินปีละครั้ง (ยกเว้นกรณีที่มีการละเมิด) ซึ่งรวมถึงรายงานประเภท ISO 27001 / SOC 2 จากผู้ประมวลผลย่อย หากมี การตรวจสอบ ณ สถานที่อาจดำเนินการโดยผู้ควบคุมข้อมูลหรือผู้ตรวจสอบบุคคลที่สามที่ตกลงร่วมกันซึ่งผูกพันด้วยการรักษาความลับ โดยผู้ควบคุมข้อมูลเป็นผู้รับผิดชอบค่าใช้จ่าย ด้วยการแจ้งล่วงหน้าอย่างสมเหตุสมผล และในระหว่างเวลาทำการ ในลักษณะที่ไม่รบกวนการดำเนินงานของ ELXAO อย่างไม่สมเหตุสมผล

การคืนค่าหรือการลบข้อมูล

เมื่อข้อตกลงสิ้นสุดลง ELXAO จะดำเนินการตามทางเลือกของผู้ควบคุมข้อมูลภายในสามสิบ (30) วัน โดยจะส่งคืนข้อมูลส่วนบุคคลทั้งหมดในรูปแบบที่มีโครงสร้าง ใช้กันทั่วไป และสามารถอ่านได้ด้วยเครื่องจักร หรือลบข้อมูลดังกล่าวออกจากระบบการผลิตและการดำเนินงานทั้งหมด สำเนาสำรองจะถูกลบตามรอบการหมุนเวียนมาตรฐาน (ไม่เกินเก้าสิบ (90) วัน) และอาจเก็บรักษาไว้เกินกว่าระยะเวลาดังกล่าวได้เฉพาะในกรณีที่กฎหมายที่เกี่ยวข้องกำหนดไว้ ซึ่งในกรณีดังกล่าว สำเนาสำรองจะยังคงอยู่ภายใต้ข้อผูกพันด้านความปลอดภัยและการรักษาความลับของข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้

ความรับผิด

บทบัญญัติเกี่ยวกับความรับผิดของ MSA มีผลบังคับใช้กับข้อเรียกร้องที่เกิดขึ้นภายใต้ DPA นี้ แต่ละฝ่ายยังคงต้องรับผิดชอบต่อเจ้าของข้อมูลและหน่วยงานกำกับดูแลตามมาตรา 82 ของ GDPR

ติดต่อ

สำหรับคำถาม คำขอ หรือการแจ้งเตือนใดๆ เกี่ยวกับการคุ้มครองข้อมูลภายใต้ข้อตกลงการคุ้มครองข้อมูลนี้ โปรดติดต่อ ELXAO ที่ [email protected]