ข้อกำหนดการประมวลผลข้อมูล

เงื่อนไขเหล่านี้มีผลบังคับใช้และผูกพันผู้สมัครสมาชิก ในฐานะผู้ควบคุม ซึ่งเป็นผู้ที่มีธุรกิจกับ MEKA Catamaran ประเทศไทย, ในฐานะผู้ประมวลผล คำนิยามของคำศัพท์ทั้งหมดที่ใช้ในเอกสารนี้ จะอ้างอิงจากมาตรา 4 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลทั่วไปของสหภาพยุโรป (GDPR) และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย (PDPA).

การประมวลผลข้อมูลส่วนบุคคลของผู้ควบคุม

ผู้ประมวลผลจะประมวลผลข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลเพื่อวัตถุประสงค์ของผู้ควบคุมข้อมูลเท่านั้น ผู้ประมวลผลจะไม่อนุญาตให้ประมวลผล โอน แก้ไข ปรับเปลี่ยน หรือเปลี่ยนแปลงข้อมูลของผู้ควบคุม หรือเปิดเผย หรืออนุญาตให้บุคคลภายนอกใดๆ เข้าถึงข้อมูลของผู้ควบคุม นอกเหนือไปจากการปฏิบัติตามคำสั่งที่บันทึกเป็นลายลักษณ์อักษรของผู้ควบคุม ผู้ประมวลผลจะต้องแจ้งให้ผู้ควบคุมข้อมูลทราบถึงข้อกำหนดทางกฎหมายใดๆ ก่อนประมวลผลข้อมูลส่วนบุคคล และปฏิบัติตามคำสั่งของผู้ควบคุมข้อมูลเพื่อจำกัดขอบเขตการเปิดเผยให้เหลือน้อยที่สุด.

ความน่าเชื่อถือและการไม่เปิดเผยข้อมูล

ผู้ประมวลผลจะต้องดำเนินการตามสมควรเพื่อสร้างความมั่นใจเกี่ยวกับความน่าเชื่อถือของพนักงาน ตัวแทน หรือผู้รับจ้างใดๆ ที่อาจเข้าถึงข้อมูลส่วนบุคคลของผู้ควบคุม โดยต้องสร้างความมั่นใจในแต่ละกรณีว่าการเข้าถึงจะจำกัดเฉพาะบุคคลที่จำเป็นต้องเข้าถึงเท่านั้น ผู้ประมวลผลจะต้องสร้างความมั่นใจว่าบุคคลทั้งหมดที่ประมวลผลข้อมูลส่วนบุคคลของผู้ควบคุมจะได้รับแจ้งถึงลักษณะที่เป็นความลับ อยู่ภายใต้ข้อผูกพันในการรักษาความลับ และได้รับการยืนยันตัวตนผ่านกระบวนการเข้าถึงที่ปลอดภัย.

ความปลอดภัยของข้อมูลส่วนบุคคล

โดยคำนึงถึงสถานะของศิลปะ ค่าใช้จ่ายในการดำเนินการ และลักษณะขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล ตลอดจนความเสี่ยงต่อสิทธิและเสรีภาพของบุคคลธรรมดา ผู้ประมวลผลจะต้องใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อให้แน่ใจว่าระดับความปลอดภัยที่เหมาะสมกับความเสี่ยง ซึ่งอาจรวมถึงการใช้ชื่อสมมติและการเข้ารหัส การรักษาความลับ ความสมบูรณ์ ความพร้อมใช้งาน และความยืดหยุ่นของระบบ และความสามารถในการกู้คืนการเข้าถึงในกรณีที่เกิดเหตุการณ์.

การประมวลผลย่อย

ผู้ควบคุมauthorize ผู้ประมวลผลให้ว่าจ้างผู้ประมวลผลช่วง ผู้ประมวลผลจะต้องให้รายละเอียดแก่ผู้ควบคุมเกี่ยวกับการประมวลผลที่จะดำเนินการโดยผู้ประมวลผลช่วงแต่ละราย, ดำเนินการตรวจสอบวิเคราะห์สถานะ, ทำให้มั่นใจในระดับการคุ้มครองที่เท่าเทียมกัน, และรับผิดชอบอย่างเต็มที่ต่อความล้มเหลวใดๆ ของผู้ประมวลผลช่วง.

สิทธิของเจ้าของข้อมูล

ผู้ประมวลผลจะช่วยเหลือผู้ควบคุมในการปฏิบัติตามข้อผูกพันในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลภายใต้ GDPR และ PDPA ซึ่งรวมถึง:

• แจ้งให้ผู้ควบคุมข้อมูลทราบทันทีหากได้รับการร้องขอจากเจ้าของข้อมูล หน่วยงานกำกับดูแล หรือหน่วยงานที่มีอำนาจอื่น;
• การให้ความร่วมมือตามที่ผู้ควบคุมร้องขอ เพื่อให้เป็นไปตามการใช้สิทธิ การประเมิน หรือการสอบสวน;
• ให้ความช่วยเหลือตามที่ผู้ควบคุมข้อมูลร้องขอตามความสมเหตุสมผล เพื่อให้สอดคล้องกับคำขอภายในระยะเวลาที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด;
• การใช้มาตรการทางเทคนิคและองค์กรเพิ่มเติมเพื่อตอบสนองต่อข้อร้องเรียนหรือการสื่อสารที่เกี่ยวข้องได้อย่างมีประสิทธิภาพ.

การละเมิดข้อมูลส่วนบุคคล

ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบโดยทันทีโดยไม่มีความล่าช้าอันไม่สมควร และไม่เกินยี่สิบสี่ (24) ชั่วโมงนับจากวันที่ทราบหรือมีเหตุอันควรสงสัยว่ามีการละเมิดข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคลจะให้ข้อมูลที่เพียงพอเพื่อให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถปฏิบัติตามภาระหน้าที่ในการรายงานได้ ซึ่งรวมถึง:

• ลักษณะของการละเมิด, ประเภทและจำนวนของเจ้าของข้อมูลและบันทึกที่เกี่ยวข้อง;
• ชื่อและรายละเอียดการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของผู้ประมวลผล หรือผู้ติดต่อที่เกี่ยวข้อง;
• ความเสี่ยงโดยประมาณและผลที่ตามมาที่น่าจะเป็นไปได้จากการละเมิด;
• มาตรการที่ดำเนินการหรือเสนอให้ดำเนินการเพื่อแก้ไขการละเมิด.

เป็นไปตามข้อกำหนดของ GDPR และ PDPA การแจ้งเตือนจะต้องดำเนินการภายใน 24 ชั่วโมงเท่าที่เป็นไปได้ และในทุกกรณีต้องไม่เกินเจ็ดสิบสอง (72) ชั่วโมงหลังจากทราบถึงการละเมิด.

การลบหรือส่งคืนข้อมูล

เมื่อสิ้นสุดการประมวลผลหรือข้อตกลง ผู้ประมวลผลจะต้องดำเนินการภายใน 90 วัน โดย (1) คืนข้อมูลส่วนบุคคลทั้งหมดของผู้ควบคุมไปยังผู้ควบคุมผ่านการถ่ายโอนที่ปลอดภัยและลบสำเนาอื่นๆ หรือ (2) ลบข้อมูลทั้งหมดอย่างปลอดภัย ตามคำแนะนำของผู้ควบคุม ผู้ประมวลผลอาจเก็บรักษาข้อมูลส่วนบุคคลไว้ได้เฉพาะในกรณีที่กฎหมายกำหนด โดยให้มั่นใจในความเป็นส่วนตัวและการจำกัดการใช้งาน.

สิทธิในการตรวจสอบ

โปรเซสเซอร์จะต้องจัดเตรียมข้อมูลทั้งหมดที่จำเป็นให้แก่คอนโทรลเลอร์เพื่อแสดงให้เห็นถึงการปฏิบัติตามข้อกำหนดเหล่านี้ และจะต้องอนุญาตให้คอนโทรลเลอร์หรือผู้ตรวจสอบที่ได้รับการแต่งตั้งทำการตรวจสอบและสำรวจสถานที่ที่เกี่ยวข้อง.

การโอนเงินระหว่างประเทศ

ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องไม่โอนข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลออกนอกประเทศไทยหรือเขตเศรษฐกิจยุโรป (EEA) ไปยังประเทศที่สาม เว้นแต่จะได้รับอนุญาตอย่างชัดแจ้งจากผู้ควบคุมข้อมูลส่วนบุคคล และอยู่ภายใต้มาตรการคุ้มครองที่เหมาะสมภายใต้ GDPR และ PDPA.

เงื่อนไขทั่วไป

ข้อกำหนดในการประมวลผลข้อมูลนี้ จะอยู่ภายใต้บังคับและตีความตามกฎหมายแห่งราชอาณาจักรไทย โดยเฉพาะพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ในกรณีที่การประมวลผลข้อมูลส่วนบุคคลเกี่ยวข้องกับเจ้าของข้อมูลที่มีถิ่นที่อยู่ในสหภาพยุโรป บทบัญญัติของกฎระเบียบการคุ้มครองข้อมูลทั่วไป (GDPR) จะนำมาใช้บังคับด้วย.

การละเมิดข้อกำหนดเหล่านี้จะถือเป็นการละเมิดข้อตกลงหลักที่เป็นสาระสำคัญ ในกรณีที่มีความขัดแย้ง ข้อกำหนดการประมวลผลข้อมูลเหล่านี้จะมีผลบังคับเหนือกว่าดังนี้ โดยเฉพาะอย่างยิ่งเกี่ยวกับพันธกรณีในการคุ้มครองข้อมูล หากส่วนใดส่วนหนึ่งของข้อกำหนดนี้ถูกตัดสินว่าไม่ถูกต้องหรือไม่สามารถบังคับใช้ได้ ส่วนที่เหลือจะยังคงมีผลบังคับใช้อย่างสมบูรณ์.