ข้อตกลงการประมวลผลข้อมูล
DPA
DPA มาตรฐาน · เวอร์ชัน 1.0 · EvaluationsHub โดย Vockam SAS
คลิกที่นี่เพื่อเซ็นชื่อ ในสำเนาของคุณ
| คู่สัญญาในข้อตกลงนี้ | |
| ตัวควบคุม | [ชื่อนิติบุคคลลูกค้า] จดทะเบียนจัดตั้งใน [เขตอำนาจศาล] สำนักงานจดทะเบียนตั้งอยู่ที่ [ที่อยู่] (“ผู้ควบคุมข้อมูล”) |
| หน่วยประมวลผล | Vockam SAS สมาคมฝรั่งเศสแห่ง Actions Simplifiée (SAS) เลขทะเบียน 899272736 RCS Meaux, 1 Boulevard du huit mai 1945, 77260 La Ferté-sous-Jouarre, ฝรั่งเศส, ปฏิบัติการ EvaluationsHub (“ตัวประมวลผล”) |
| วันที่มีผล | [วันที่] |
| กฎหมายที่บังคับใช้ | กฎหมายฝรั่งเศสและ GDPR ของสหภาพยุโรป |
| อำนาจศาล | ศาลแห่งปารีส ประเทศฝรั่งเศส |
ข้อตกลงการประมวลผลข้อมูลฉบับนี้ (“DPA”) เป็นข้อตกลงการประมวลผลข้อมูลมาตรฐานที่ออกโดย Vockam SAS (ผู้ดำเนินงาน) EvaluationsHub) แก่ลูกค้า ข้อตกลงนี้เป็นส่วนหนึ่งของข้อตกลงบริการหลักหรือเงื่อนไขการให้บริการ (“ข้อตกลงหลัก”) ระหว่างคู่สัญญาข้างต้น และกำหนดเงื่อนไขที่ผู้ประมวลผลจะประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูลที่เกี่ยวข้องกับ EvaluationsHub บริการ โดยการลงนามด้านล่างนี้ ผู้ควบคุมข้อมูลยอมรับข้อกำหนดของข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้
- คำจำกัดความ
ในข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ คำศัพท์ต่อไปนี้มีความหมายดังที่ระบุไว้ด้านล่าง:
| กฎหมายคุ้มครองข้อมูล | กฎหมายที่เกี่ยวข้องกับการคุ้มครองข้อมูลและความเป็นส่วนตัวทั้งหมด รวมถึงระเบียบว่าด้วยการคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป 2016/679 (“GDPR”) กฎหมายคุ้มครองข้อมูลของฝรั่งเศส (Loi Informatique et Libertés) และกฎหมายระดับชาติที่เกี่ยวข้องใดๆ ที่ได้รับการแก้ไขหรือแทนที่ในแต่ละครั้ง |
| Personal Data | มีความหมายตามที่ระบุไว้ในมาตรา 4(1) GDPR: ข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้ |
| กระบวนการผลิต | มีความหมายตามที่ระบุไว้ในมาตรา 4(2) GDPR: การดำเนินการใดๆ ที่กระทำกับข้อมูลส่วนบุคคล |
| หัวข้อข้อมูล | บุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้ ซึ่งข้อมูลส่วนบุคคลนั้นเกี่ยวข้องด้วย |
| การละเมิดข้อมูลส่วนบุคคล | มีความหมายตามที่ระบุไว้ในมาตรา 4(12) GDPR: การละเมิดความปลอดภัยที่นำไปสู่การทำลาย การสูญหาย การเปลี่ยนแปลง การเปิดเผยโดยไม่ได้รับอนุญาต หรือการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต |
| โปรเซสเซอร์ย่อย | บุคคลที่สามใดๆ ที่ได้รับการว่าจ้างจากผู้ประมวลผลเพื่อประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูล |
| ข้อสัญญามาตรฐาน (SCCs) | คำตัดสินการดำเนินการของคณะกรรมาธิการสหภาพยุโรป (EU) 2021/914 ลงวันที่ 4 มิถุนายน 2021 ว่าด้วยข้อกำหนดสัญญามาตรฐานสำหรับการโอนข้อมูลส่วนบุคคลไปยังประเทศที่สาม ซึ่งได้รับการปรับปรุงแก้ไขเป็นระยะ |
| อี | เขตเศรษฐกิจยุโรป |
| ทอมส์ | มาตรการทางเทคนิคและองค์กรตามที่ระบุไว้ในภาคผนวก 2 |
- ขอบเขตและระยะเวลา
2.1 เนื้อหาหลัก ตัวประมวลผลนี้มีแพลตฟอร์มการจัดการความสัมพันธ์กับซัพพลายเออร์ (SRM) และการประเมินประสบการณ์ของลูกค้า (“EvaluationsHubผู้ประมวลผลจะประมวลผลข้อมูลส่วนบุคคลเฉพาะในขอบเขตที่จำเป็นสำหรับการให้บริการตามข้อตกลงหลักเท่านั้น
2.2ระยะเวลา ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลฉบับนี้จะมีผลบังคับใช้ตราบเท่าที่ผู้ประมวลผลยังคงประมวลผลข้อมูลส่วนบุคคลภายใต้ข้อตกลงหลัก ข้อตกลงนี้จะสิ้นสุดลงโดยอัตโนมัติเมื่อข้อตกลงหลักสิ้นสุดหรือหมดอายุลง ทั้งนี้ ข้อผูกพันภายใต้ข้อ 8 (การลบหรือการส่งคืนข้อมูล) ยังคงมีผลบังคับใช้ต่อไป
- ดำเนินการตามคำแนะนำเท่านั้น
3.1คำสั่งที่บันทึกไว้ ผู้ประมวลผลจะประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่บันทึกไว้จากผู้ควบคุมข้อมูลเท่านั้น ตามที่ระบุไว้ในข้อตกลงการประมวลผลข้อมูลนี้หรือข้อตกลงหลัก เว้นแต่กฎหมายของสหภาพยุโรปหรือกฎหมายของรัฐสมาชิกจะกำหนดให้ต้องกระทำเช่นนั้น ในกรณีเช่นนั้น ผู้ประมวลผลจะต้องแจ้งให้ผู้ควบคุมข้อมูลทราบถึงข้อกำหนดทางกฎหมายดังกล่าว ก่อนทำการประมวลผล เว้นแต่กฎหมายจะห้ามไว้ด้วยเหตุผลด้านผลประโยชน์สาธารณะ
3.2การแจ้งข้อขัดแย้ง หากผู้ประมวลผลเชื่อว่าคำสั่งใดๆ จากผู้ควบคุมข้อมูลจะละเมิดกฎหมายคุ้มครองข้อมูลส่วนบุคคล ผู้ประมวลผลจะต้องแจ้งให้ผู้ควบคุมข้อมูลทราบโดยทันที และอาจระงับการประมวลผลที่เกี่ยวข้องจนกว่าปัญหาจะได้รับการแก้ไข
3.3การรักษาความลับของบุคลากร ผู้ประมวลผลข้อมูลต้องตรวจสอบให้แน่ใจว่าบุคคลทุกคนที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลได้ให้คำมั่นสัญญาหรือข้อผูกพันตามกฎหมายเกี่ยวกับการรักษาความลับแล้ว
- ความปลอดภัย
4.1มาตรการที่เหมาะสม ผู้ประมวลผลข้อมูลจะต้องดำเนินการและรักษามาตรการทางเทคนิคและองค์กรที่กำหนดไว้ในภาคผนวก 2 (TOMs) มาตรการเหล่านี้จะต้องรับประกันระดับความปลอดภัยที่เหมาะสมกับความเสี่ยง โดยคำนึงถึงลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล ตลอดจนความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล
4.2การปรับปรุง TOMs ผู้ประมวลผลอาจปรับปรุงหรือแก้ไข TOMs เป็นครั้งคราว โดยที่การปรับปรุงดังกล่าวต้องไม่ลดระดับความปลอดภัยโดยรวมลงอย่างมีนัยสำคัญ ผู้ประมวลผลจะต้องแจ้งให้ผู้ควบคุมทราบถึงการลดมาตรการรักษาความปลอดภัยอย่างมีนัยสำคัญล่วงหน้าอย่างน้อย 30 วัน
4.3การฝึกอบรมบุคลากร ผู้ประมวลผลข้อมูลต้องตรวจสอบให้แน่ใจว่าบุคลากรทุกคนที่เข้าถึงข้อมูลส่วนบุคคลได้รับการฝึกอบรมอย่างเพียงพอและสม่ำเสมอเกี่ยวกับภาระผูกพันด้านการคุ้มครองข้อมูลและแนวปฏิบัติด้านความปลอดภัย
- การประมวลผลย่อย
5.1การอนุญาตทั่วไป ผู้ควบคุมข้อมูลอนุญาตเป็นลายลักษณ์อักษรให้ผู้ประมวลผลข้อมูลสามารถว่าจ้างผู้ประมวลผลข้อมูลย่อยที่ระบุไว้ในภาคผนวก 3 ได้ โดยอยู่ภายใต้เงื่อนไขในข้อ 5 นี้
5.2ข้อผูกพันของผู้ประมวลผลย่อย ก่อนที่จะว่าจ้างผู้ประมวลผลย่อยใดๆ ผู้ประมวลผลหลักจะต้องกำหนดข้อผูกพันด้านการคุ้มครองข้อมูลให้แก่ผู้ประมวลผลย่อยนั้น ซึ่งเทียบเท่ากับข้อผูกพันในข้อตกลงการประมวลผลข้อมูลฉบับนี้ โดยเฉพาะอย่างยิ่งการให้การรับประกันที่เพียงพอในการดำเนินการตามข้อกำหนดและเงื่อนไขที่เหมาะสม ผู้ประมวลผลหลักยังคงรับผิดชอบต่อผู้ควบคุมข้อมูลอย่างเต็มที่สำหรับการกระทำและการละเว้นการกระทำของผู้ประมวลผลย่อยของตน
5.3การเปลี่ยนแปลงผู้ประมวลผลย่อย ผู้ประมวลผลจะต้องแจ้งให้ผู้ควบคุมข้อมูลทราบเป็นลายลักษณ์อักษรล่วงหน้าอย่างน้อย 30 วัน เกี่ยวกับการเปลี่ยนแปลงใดๆ ที่ตั้งใจจะเกิดขึ้นกับรายชื่อผู้ประมวลผลย่อย (การเพิ่มเติมหรือการแทนที่) ผู้ควบคุมข้อมูลอาจคัดค้านการเปลี่ยนแปลงดังกล่าวด้วยเหตุผลอันสมควรภายใน 15 วันนับจากวันที่ได้รับแจ้ง หากผู้ควบคุมข้อมูลคัดค้านและผู้ประมวลผลไม่สามารถดำเนินการตามข้อคัดค้านได้ ผู้ควบคุมข้อมูลอาจยุติบริการที่เกี่ยวข้องโดยไม่มีค่าปรับใดๆ โดยแจ้งเป็นลายลักษณ์อักษร
5.4ผู้ประมวลผลย่อยนอกเขตเศรษฐกิจยุโรป (Non-EEA Sub-processors) ในกรณีที่ผู้ประมวลผลย่อยตั้งอยู่นอกเขตเศรษฐกิจยุโรปในประเทศที่คณะกรรมาธิการยุโรปไม่ได้ให้การรับรองว่ามีระดับการคุ้มครองข้อมูลที่เพียงพอ ผู้ประมวลผลจะต้องตรวจสอบให้แน่ใจว่ามีกลไกการถ่ายโอนที่เหมาะสม (เช่น SCCs) ก่อนที่จะมีการถ่ายโอนข้อมูลส่วนบุคคลใดๆ ไปยังผู้ประมวลผลย่อยนั้น กลไกการถ่ายโอนที่ได้รับการยืนยันแล้วสำหรับผู้ประมวลผลย่อยนอกเขตเศรษฐกิจยุโรปในปัจจุบันมีรายละเอียดอยู่ในภาคผนวก 3
- การถ่ายโอนข้อมูลระหว่างประเทศ
6.1การจัดเก็บข้อมูลหลัก ข้อมูลส่วนบุคคลส่วนใหญ่จะถูกจัดเก็บและประมวลผลภายในเขตเศรษฐกิจยุโรป (EEA) โดยใช้โครงสร้างพื้นฐานของ AWS ในสหภาพยุโรป (ไอร์แลนด์และแฟรงก์เฟิร์ต)
6.2การโอนข้อมูลไปยังนอกเขตเศรษฐกิจยุโรป (EEA) ในกรณีที่ข้อมูลส่วนบุคคลถูกโอนไปยังประเทศนอกเขตเศรษฐกิจยุโรปที่ไม่ได้รับการตัดสินว่ามีมาตรฐานการคุ้มครองข้อมูลที่เหมาะสม ผู้ประมวลผลข้อมูลจะต้องตรวจสอบให้แน่ใจว่ามีมาตรการคุ้มครองข้อมูลอย่างใดอย่างหนึ่งต่อไปนี้ก่อนการโอนข้อมูล: (ก) ได้มีการลงนามในข้อกำหนดสัญญามาตรฐานของสหภาพยุโรป (2021/914) กับผู้ประมวลผลข้อมูลย่อยที่เกี่ยวข้อง หรือ (ข) กลไกการโอนข้อมูลที่ชอบด้วยกฎหมายอื่นที่ได้รับการยอมรับภายใต้มาตรา 46 ของ GDPR มีผลบังคับใช้ รายละเอียดของมาตรการคุ้มครองข้อมูลที่ใช้บังคับสำหรับผู้ประมวลผลข้อมูลย่อยแต่ละรายระบุไว้ในภาคผนวก 3
6.3การแจ้งเตือน ผู้ประมวลผลจะต้องแจ้งให้ผู้ควบคุมทราบโดยทันทีหากมาตรการคุ้มครองใดๆ ที่กล่าวถึงในข้อ 6.2 สิ้นสุดลงหรือมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ
- ความช่วยเหลือเกี่ยวกับสิทธิของเจ้าของข้อมูลส่วนบุคคล
7.1คำขอจากเจ้าของข้อมูล โดยคำนึงถึงลักษณะของการประมวลผล ผู้ประมวลผลข้อมูลจะต้องให้ความช่วยเหลือแก่ผู้ควบคุมข้อมูลโดยการใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสมในการปฏิบัติตามภาระหน้าที่ในการตอบสนองต่อคำขอจากเจ้าของข้อมูลที่ใช้สิทธิของตนภายใต้บทที่ 3 ของ GDPR (รวมถึงสิทธิในการเข้าถึง การแก้ไข การลบ การจำกัด การโอนย้าย และการคัดค้าน)
7.2การส่งต่อคำขอ หากผู้ประมวลผลได้รับคำขอโดยตรงจากเจ้าของข้อมูล ผู้ประมวลผลจะต้องส่งต่อคำขอนั้นไปยังผู้ควบคุมข้อมูลภายใน 5 วันทำการ และจะไม่ตอบคำขอนั้นโดยไม่ได้รับอนุญาตเป็นลายลักษณ์อักษรจากผู้ควบคุมข้อมูลก่อน เว้นแต่กฎหมายจะกำหนดให้ต้องทำเช่นนั้น
7.3ความช่วยเหลือเพิ่มเติม ผู้ประมวลผลข้อมูลจะต้องให้ความช่วยเหลือแก่ผู้ควบคุมข้อมูลในการรับรองการปฏิบัติตามพันธะหน้าที่เกี่ยวกับ: (ก) ความปลอดภัยของการประมวลผล (มาตรา 32 GDPR); (ข) การแจ้งการละเมิดข้อมูลส่วนบุคคลต่อหน่วยงานกำกับดูแลและเจ้าของข้อมูล (มาตรา 33–34 GDPR); และ (ค) การประเมินผลกระทบด้านการคุ้มครองข้อมูลและการปรึกษาหารือล่วงหน้า (มาตรา 35–36 GDPR)
- การแจ้งเตือนการละเมิดข้อมูลส่วนบุคคล
8.1การแจ้งให้ผู้ควบคุมข้อมูลทราบ ผู้ประมวลผลข้อมูลจะต้องแจ้งให้ผู้ควบคุมข้อมูลทราบโดยไม่ชักช้าเกินควร และในทุกกรณีจะต้องไม่ชักช้าเกินควรและในทุกกรณีภายใน 72 ชั่วโมง หลังจากที่ทราบถึงการละเมิดข้อมูลส่วนบุคคลที่ส่งผลกระทบต่อข้อมูลส่วนบุคคลที่ได้รับการประมวลผลภายใต้ข้อตกลงการประมวลผลข้อมูลนี้
8.2 เนื้อหาของการแจ้งเตือน การแจ้งเตือนดังกล่าวจะต้องรวมถึงเท่าที่ทราบในขณะนั้น: (ก) คำอธิบายลักษณะของการละเมิด รวมถึงประเภทและจำนวนโดยประมาณของเจ้าของข้อมูลและบันทึกข้อมูลส่วนบุคคลที่เกี่ยวข้อง (ข) ชื่อและรายละเอียดการติดต่อของผู้ติดต่อด้านการคุ้มครองข้อมูลของผู้ประมวลผล (team@evaluationshub(c) คำอธิบายเกี่ยวกับผลกระทบที่อาจเกิดขึ้นจากการละเมิด และ (d) คำอธิบายเกี่ยวกับมาตรการที่ดำเนินการหรือเสนอเพื่อแก้ไขการละเมิด รวมถึงมาตรการบรรเทาผลกระทบ
8.3ข้อมูลเพิ่มเติม ในกรณีที่ข้อมูลบางส่วนไม่พร้อมใช้งานในขณะที่มีการแจ้งเตือนครั้งแรก ผู้ประมวลผลข้อมูลจะต้องให้ข้อมูลเพิ่มเติมเป็นระยะๆ เมื่อมีข้อมูลพร้อมใช้งาน โดยไม่ล่าช้าเกินควร
8.4การเก็บรักษาบันทึก ผู้ประมวลผลข้อมูลจะต้องจัดทำเอกสารเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลทั้งหมด รวมถึงข้อเท็จจริง ผลกระทบ และมาตรการแก้ไขที่ดำเนินการ และต้องจัดทำเอกสารดังกล่าวให้ผู้ควบคุมข้อมูลตรวจสอบได้เมื่อได้รับการร้องขอ
- ระยะเวลาการเก็บรักษาข้อมูล
9.1ระยะเวลาการเก็บรักษาข้อมูล ผู้ประมวลผลข้อมูลจะไม่เก็บรักษาข้อมูลส่วนบุคคลนานเกินกว่าที่จำเป็นสำหรับวัตถุประสงค์ที่ระบุไว้ในภาคผนวก 1 เว้นแต่จะตกลงกันเป็นอย่างอื่นเป็นลายลักษณ์อักษร ระยะเวลาการเก็บรักษาข้อมูลสูงสุดต่อไปนี้จะมีผลบังคับใช้:
| หมวดหมู่ข้อมูล | ระยะเวลาเก็บรักษา |
| ข้อมูลบัญชีผู้ใช้ที่ใช้งานอยู่ | ระยะเวลาของข้อตกลงหลัก |
| การประเมินผลการปฏิบัติงานและการวัดผล | มีอายุ 3 ปีนับจากวันที่สร้าง เว้นแต่จะมีการร้องขอให้ลบก่อนหน้านั้น |
| ข้อมูลประจำตัวในการเข้าสู่ระบบ (บันทึกการเข้าถึง) | 12 เดือนนับจากการสร้าง |
| สำเนาสำรอง | 90 วันนับจากวันที่สัญญาหลักสิ้นสุดลง |
| บันทึกการตรวจสอบ | 3 ปีนับจากวันที่สร้าง (ข้อผูกพันทางกฎหมาย) |
- การลบหรือการคืนค่าข้อมูล
10.1เมื่อสิ้นสุดสัญญา เมื่อสัญญาหลักสิ้นสุดหรือหมดอายุลง ผู้ประมวลผลข้อมูลจะต้องดำเนินการตามที่ผู้ควบคุมข้อมูลเลือก และภายใน 30 วันนับจากวันที่ได้รับคำขอเป็นลายลักษณ์อักษร ดังนี้: (ก) ส่งคืนข้อมูลส่วนบุคคลทั้งหมดให้แก่ผู้ควบคุมข้อมูลอย่างปลอดภัยในรูปแบบที่เครื่องอ่านได้ซึ่งใช้กันทั่วไป หรือ (ข) ลบและทำลายข้อมูลส่วนบุคคลทั้งหมด (และสำเนาทั้งหมด) อย่างปลอดภัย เว้นแต่กฎหมายของสหภาพยุโรปหรือรัฐสมาชิกจะกำหนดให้ต้องเก็บรักษาข้อมูลต่อไป
10.2การยืนยัน ผู้ประมวลผลจะต้องแจ้งการยืนยันเป็นลายลักษณ์อักษรเกี่ยวกับการลบหรือการส่งคืนข้อมูลแก่ผู้ควบคุมข้อมูลภายใน 30 วันนับจากวันที่ดำเนินการเสร็จสิ้น
10.3สำเนาที่เหลืออยู่ ผู้ประมวลผลข้อมูลจะต้องใช้ความพยายามอย่างสมเหตุสมผลในเชิงพาณิชย์เพื่อให้แน่ใจว่าผู้ประมวลผลข้อมูลย่อยจะลบหรือส่งคืนข้อมูลส่วนบุคคลตามข้อ 10 นี้ด้วย
- สิทธิในการตรวจสอบ
11.1ข้อมูล ผู้ประมวลผลข้อมูลจะต้องจัดหาข้อมูลทั้งหมดที่จำเป็นอย่างสมเหตุสมผลให้แก่ผู้ควบคุมข้อมูล เพื่อแสดงให้เห็นถึงการปฏิบัติตามข้อผูกพันในข้อตกลงการประมวลผลข้อมูลนี้และมาตรา 28 ของ GDPR
11.2การตรวจสอบ ผู้ประมวลผลข้อมูลต้องอนุญาตและให้ความร่วมมือในการตรวจสอบ รวมถึงการตรวจการณ์ ที่ดำเนินการโดยผู้ควบคุมข้อมูลหรือผู้ตรวจสอบที่ได้รับมอบหมายจากผู้ควบคุมข้อมูล โดยมีเงื่อนไขดังต่อไปนี้: (ก) ผู้ควบคุมข้อมูลต้องแจ้งเป็นลายลักษณ์อักษรล่วงหน้าอย่างน้อย 30 วัน; (ข) การตรวจสอบต้องดำเนินการไม่เกินหนึ่งครั้งต่อปีปฏิทิน (ยกเว้นกรณีที่สงสัยว่ามีการละเมิดข้อมูลส่วนบุคคล); (ค) การตรวจสอบต้องดำเนินการในช่วงเวลาทำการปกติและในลักษณะที่ก่อให้เกิดการรบกวนน้อยที่สุด; และ (ง) ค่าใช้จ่ายในการตรวจสอบต้องตกเป็นภาระของผู้ควบคุมข้อมูล เว้นแต่การตรวจสอบจะพบว่ามีการไม่ปฏิบัติตามข้อกำหนดอย่างมีนัยสำคัญ ในกรณีดังกล่าว ค่าใช้จ่ายจะตกเป็นภาระของผู้ประมวลผลข้อมูล
11.3การรับรอง ตามคำขอของผู้ควบคุมข้อมูล ผู้ประมวลผลจะต้องจัดส่งสำเนาใบรับรองจากหน่วยงานภายนอกที่เกี่ยวข้อง (เช่น ISO 27001 เมื่อได้รับแล้ว) หรือสรุปการประเมินความปลอดภัยแทนหรือเพิ่มเติมจากการตรวจสอบ ณ สถานที่จริง ในกรณีที่เกี่ยวข้อง ปัจจุบันผู้ประมวลผลกำลังดำเนินการขอรับการรับรอง ISO 27001
- การประเมินผลกระทบต่อการปกป้องข้อมูล
12.1ผู้ประมวลผลข้อมูลจะต้องให้ความช่วยเหลือผู้ควบคุมข้อมูลอย่างเหมาะสมในการดำเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) ตามที่กำหนดไว้ในมาตรา 35 ของ GDPR โดย: (ก) ให้ข้อมูลที่เกี่ยวข้องเกี่ยวกับการดำเนินการประมวลผล ความเสี่ยง และ TOMs ที่มีอยู่ (ข) เข้าร่วมการประชุมปรึกษาหารือโดยแจ้งล่วงหน้าอย่างเหมาะสม และ (ค) ตอบข้อซักถามเป็นลายลักษณ์อักษรที่เกี่ยวข้องกับกิจกรรมการประมวลผลที่อธิบายไว้ในภาคผนวก 1 อย่างรวดเร็ว
- ความรับผิดชอบ
13.1ข้อจำกัดความรับผิด ภายใต้ขอบเขตสูงสุดที่กฎหมายที่เกี่ยวข้องอนุญาต ความรับผิดโดยรวมทั้งหมดของผู้ประมวลผลต่อผู้ควบคุมข้อมูลภายใต้หรือที่เกี่ยวข้องกับ DPA นี้ (ไม่ว่าจะในสัญญา การละเมิด การประมาท หรืออื่นๆ) จะต้องไม่เกินค่าธรรมเนียมทั้งหมดที่ผู้ควบคุมข้อมูลได้ชำระหรือต้องชำระให้แก่ผู้ประมวลผลในช่วง 12 เดือนก่อนหน้าเหตุการณ์ที่ก่อให้เกิดการเรียกร้อง (เรียกว่า “ข้อจำกัดความรับผิด”) ในกรณีที่ข้อตกลงหลักครอบคลุมระยะเวลาน้อยกว่า 12 เดือน ณ เวลาที่มีการเรียกร้อง ข้อจำกัดความรับผิดจะเป็นค่าธรรมเนียมทั้งหมดที่ได้ชำระหรือต้องชำระภายใต้ข้อตกลงหลักจนถึงปัจจุบัน
13.2ข้อยกเว้นจากวงเงินจำกัดความรับผิด วงเงินจำกัดความรับผิดจะไม่ใช้บังคับกับ: (ก) ความรับผิดของฝ่ายใดฝ่ายหนึ่งต่อการเสียชีวิตหรือการบาดเจ็บทางร่างกายที่เกิดจากความประมาทเลินเล่อของตน (ข) ความรับผิดของฝ่ายใดฝ่ายหนึ่งต่อการฉ้อโกงหรือการแสดงข้อเท็จจริงอันเป็นเท็จโดยเจตนา หรือ (ค) ความรับผิดใดๆ ที่ไม่สามารถยกเว้นหรือจำกัดได้ตามกฎหมายที่เกี่ยวข้อง
13.3ความรับผิดร่วมกัน ในกรณีที่ทั้งสองฝ่ายต้องรับผิดชอบต่อความเสียหายที่เกิดจากการละเมิด GDPR แต่ละฝ่ายจะต้องรับผิดชอบในส่วนของความเสียหายตามมาตรา 82 ของ GDPR ข้อจำกัดความรับผิดในข้อ 13.1 จะใช้กับส่วนแบ่งความรับผิดของฝ่ายประมวลผลข้อมูลด้วย
13.4การบรรเทาความเสียหาย แต่ละฝ่ายจะต้องดำเนินการตามสมควรเพื่อบรรเทาความสูญเสียหรือความเสียหายใดๆ ที่ตนได้รับอันเป็นผลมาจากการที่อีกฝ่ายหนึ่งละเมิดข้อตกลง DPA นี้
- กฎหมายที่ใช้บังคับและเขตอำนาจศาล
14.1ข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้อยู่ภายใต้บังคับและตีความตามกฎหมายฝรั่งเศสและกฎหมายสหภาพยุโรปที่เกี่ยวข้อง รวมถึง GDPR
14.2ข้อพิพาทใดๆ ที่เกิดขึ้นจากหรือเกี่ยวข้องกับข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ จะอยู่ภายใต้เขตอำนาจศาลของกรุงปารีส ประเทศฝรั่งเศส แต่เพียงผู้เดียว เว้นแต่กฎหมายที่เกี่ยวข้องจะกำหนดไว้เป็นอย่างอื่น
- ลายเซ็น
โดยการลงนามด้านล่างนี้ คู่สัญญาทั้งสองฝ่ายตกลงยอมรับข้อกำหนดของข้อตกลงการประมวลผลข้อมูลฉบับนี้
| ในนามของผู้ควบคุมข้อมูล (ลูกค้า) | ในนามของ Vockam SAS (ผู้ประมวลผล) |
| ชื่อเต็ม: _______________________________ | ชื่อเต็ม: Bert แพสบรูกเก |
| ชื่อ: ____________________________________ | ชื่อตำแหน่ง: ผู้ก่อตั้งและซีอีโอ บริษัท ว็อกแคม เอสเอเอส |
| บริษัท: _________________________________ | บริษัท: ว็อกแคม เอสเอเอส |
| ลายเซ็น: | ลายเซ็น: |
ภาคผนวก 1 — คำอธิบายกิจกรรมการประมวลผล
| ประเภทของเจ้าของข้อมูล | • พนักงานของลูกค้าและผู้ใช้งานแพลตฟอร์มที่ได้รับอนุญาต • ตัวแทนจากซัพพลายเออร์และผู้ให้บริการของลูกค้า |
| ประเภทของข้อมูลส่วนบุคคล | • ชื่อและตำแหน่งงาน • ที่อยู่อีเมลสำหรับติดต่อทางธุรกิจ • รายละเอียดการติดต่อทางธุรกิจ (เบอร์โทรศัพท์ ที่อยู่) • ชื่อผู้จำหน่ายและลูกค้า • ข้อมูลการประเมินผลการปฏิบัติงาน • ข้อมูลประจำตัวสำหรับการเข้าสู่ระบบแพลตฟอร์ม (จัดเก็บในรูปแบบค่าแฮชแบบทางเดียวเท่านั้น ไม่มีการเก็บรักษาข้อมูลประจำตัวในรูปแบบข้อความธรรมดา) • บันทึกพฤติกรรมและการใช้งานของผู้ใช้ |
| ลักษณะของการประมวลผล | การรวบรวม จัดเก็บ เรียกใช้ ใช้ เปิดเผย (แก่ผู้ใช้ที่ได้รับอนุญาต) และลบข้อมูลส่วนบุคคล |
| วัตถุประสงค์ของการประมวลผล | เพื่ออำนวยความสะดวกในการประเมินผู้จำหน่ายและลูกค้า การประเมินความเสี่ยง และการจัดการแพลตฟอร์ม SRM ภายใต้ EvaluationsHub บริการ |
| หลักเกณฑ์ทางกฎหมาย (หลักเกณฑ์ของผู้ควบคุมข้อมูล) | ผู้ควบคุมข้อมูลมีหน้าที่รับผิดชอบในการระบุและจัดทำเอกสารพื้นฐานทางกฎหมายของตนเองสำหรับการประมวลผลภายใต้มาตรา 6 ของ GDPR (เช่น มาตรา 6(1)(b) — การปฏิบัติตามสัญญา หรือ มาตรา 6(1)(f) — ผลประโยชน์ที่ชอบด้วยกฎหมาย) EvaluationsHub ดำเนินการประมวลผลข้อมูลส่วนบุคคลตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น และไม่ได้กำหนดพื้นฐานทางกฎหมาย |
ภาคผนวก 2 — มาตรการทางเทคนิคและองค์กร (TOMs)
| วัด | การดำเนินงาน |
| การเข้ารหัสในส่วนที่เหลือ | ข้อมูลส่วนบุคคลทั้งหมดที่จัดเก็บในฐานข้อมูล AWS S3 และ RDS จะถูกเข้ารหัสด้วย AES-256 |
| การเข้ารหัสระหว่างการขนส่ง | ต้องใช้ TLS 1.2 หรือสูงกว่าสำหรับการส่งข้อมูลทั้งหมด TLS 1.0 และ 1.1 ถูกปิดใช้งาน |
| Access Control | การควบคุมการเข้าถึงตามบทบาทอย่างเข้มงวด (RBAC) การเข้าถึงข้อมูลส่วนบุคคลจะได้รับอนุญาตเฉพาะในกรณีที่จำเป็นต้องทราบเท่านั้น |
| การยืนยันตัวตน | การยืนยันตัวตนสองขั้นตอน (2FA) เป็นข้อบังคับสำหรับพนักงานและบัญชีผู้ดูแลระบบทั้งหมดที่เข้าถึงข้อมูลส่วนบุคคล |
| การจัดการข้อมูลประจำตัว | รหัสผ่านของผู้ใช้จะถูกจัดเก็บในรูปแบบแฮชแบบทางเดียวที่มีเกลือ (bcrypt หรือเทียบเท่า) เท่านั้น รหัสผ่านแบบข้อความธรรมดาจะไม่ถูกจัดเก็บหรือบันทึกไว้ |
| ถิ่นที่อยู่ของข้อมูล | ข้อมูลส่วนบุคคลทั้งหมดจะถูกจัดเก็บไว้ในภูมิภาค AWS สหภาพยุโรป (ไอร์แลนด์ / แฟรงก์เฟิร์ต) จะไม่มีการทำสำเนาข้อมูลส่วนบุคคลออกนอกเขตเศรษฐกิจยุโรป เว้นแต่จะมีกลไกการถ่ายโอนข้อมูลที่ถูกต้อง (ดูภาคผนวก 3) |
| การสำรองข้อมูลและความยืดหยุ่น | ระบบจะทำการสำรองข้อมูลอัตโนมัติทุกวัน โดยจัดเก็บไว้ใน AWS Availability Zones ภายในสหภาพยุโรป RPO: 24 ชั่วโมง RTO: 8 ชั่วโมง |
| บันทึกการตรวจสอบ | ระบบจะเก็บรักษาบันทึกการเข้าถึง การแก้ไข และการลบข้อมูลที่ไม่สามารถเปลี่ยนแปลงได้ โดยบันทึกเหล่านี้จะถูกเก็บรักษาไว้เป็นเวลา 3 ปี |
| การจัดการช่องโหว่ | มีการทดสอบความปลอดภัยเป็นประจำตามโปรแกรมความปลอดภัยของโปรเซสเซอร์ โปรเซสเซอร์กำลังดำเนินการขอรับการรับรอง ISO 27001 อย่างจริงจัง ช่องโหว่ที่สำคัญจะได้รับการแก้ไขตามลำดับความสำคัญของความเสี่ยง |
| Incident Response | มีการจัดทำและทดสอบแผนรับมือเหตุการณ์ฉุกเฉินเป็นลายลักษณ์อักษรเป็นประจำทุกปี ผู้ประมวลผลข้อมูลให้คำมั่นว่าจะแจ้งให้ผู้ควบคุมข้อมูลทราบภายใน 72 ชั่วโมงหลังจากยืนยันการละเมิดข้อมูลส่วนบุคคลแล้ว (ดูข้อ 8) |
| การจัดการซัพพลายเออร์ | ผู้รับช่วงงานประมวลผลข้อมูลจะต้องผ่านกระบวนการตรวจสอบความถูกต้องด้านการคุ้มครองข้อมูลและปฏิบัติตามข้อผูกพันด้านการคุ้มครองข้อมูลตามสัญญา ก่อนที่จะเริ่มงาน |
ภาคผนวก 3 — ผู้ประมวลผลย่อยที่ได้รับอนุมัติ
ผู้รับช่วงประมวลผลข้อมูลต่อไปนี้ได้รับอนุญาต ณ วันที่มีผลบังคับใช้ ผู้ประมวลผลจะแจ้งให้ทราบล่วงหน้า 30 วัน หากมีการเปลี่ยนแปลงใดๆ ตามข้อ 5.3
| โปรเซสเซอร์ย่อย | จุดมุ่งหมาย | ประเทศ | กลไกการถ่ายโอน | หมวดหมู่ข้อมูล |
| Amazon Web Services (AWS) | โครงสร้างพื้นฐานและบริการโฮสติ้งบนคลาวด์ | เขตเศรษฐกิจยุโรป (ไอร์แลนด์ / แฟรงก์เฟิร์ต) | ความเพียงพอ — อิงตาม EEA; มีการใช้งาน AWS DPA แล้ว | ข้อมูลส่วนตัวทั้งหมด |
| ลาย | การประมวลผลการชำระเงิน (หากมี) | สหรัฐอเมริกา | SCCs (โมดูล 2: ตัวควบคุมไปยังตัวประมวลผล) ถูกดำเนินการ | ชื่อผู้ติดต่อสำหรับการเรียกเก็บเงิน อีเมล และข้อมูลเมตาการชำระเงินเท่านั้น |
| Zoho Corporation | ระบบ CRM, แคมเปญอีเมล, แชทให้ความช่วยเหลือ | สหรัฐอเมริกา / อินเดีย | ดำเนินการ SCCs (โมดูล 2) แล้ว; เปิดใช้งานตัวเลือกการจัดเก็บข้อมูลในสหภาพยุโรปของ Zoho แล้ว หมายเหตุ: ขอบเขตของข้อมูลที่ประมวลผลโดยฟีเจอร์ AI ใดๆ ภายใน Zoho นั้นอยู่ภายใต้ข้อตกลงการคุ้มครองข้อมูลส่วนบุคคล (DPA) และเอกสารความเป็นส่วนตัวของ Zoho เอง ซึ่งสามารถดูได้ที่ zoho.com/privacy.html | ชื่อ อีเมล รายละเอียดการติดต่อทางธุรกิจ |
| บริษัท พิแทงเจนท์ เทคโนโลยีส์ | การพัฒนาและบำรุงรักษาซอฟต์แวร์ | อินเดีย | ได้มีการลงนามในข้อตกลงมาตรฐานการประมวลผลข้อมูล (โมดูล 2: จากผู้ควบคุมข้อมูลไปยังผู้ประมวลผลข้อมูล) แล้ว การเข้าถึงจำกัดเฉพาะข้อมูลที่ไม่ระบุตัวตน/ข้อมูลทดสอบเท่านั้น ไม่อนุญาตให้เข้าถึงข้อมูลส่วนบุคคลในระบบการผลิตโดยไม่ได้รับความยินยอมจากผู้ควบคุมข้อมูล | โดยปกติแล้วจะใช้ข้อมูลที่ไม่ระบุตัวตน/ข้อมูลนามแฝงเท่านั้น |
| Mixpanel | การวิเคราะห์การใช้งานแพลตฟอร์ม | สหรัฐอเมริกา | ดำเนินการตาม SCCs (โมดูล 2) แล้ว; เปิดใช้งานการจัดเก็บข้อมูลในสหภาพยุโรปแล้ว | บันทึกพฤติกรรมและการใช้งานของผู้ใช้ที่ไม่ระบุตัวตนเท่านั้น |
* EvaluationsHub (Vockam SAS) รับประกันว่ามีข้อตกลงมาตรฐานการคุ้มครองข้อมูล (SCC) และ/หรือกลไกการถ่ายโอนข้อมูลที่เทียบเท่ากับผู้รับช่วงการประมวลผลข้อมูลนอกเขตเศรษฐกิจยุโรป (EEA) ทั้งหมดที่ระบุไว้ข้างต้น สามารถขอรับสำเนา SCC ที่เกี่ยวข้องได้จากผู้ควบคุมข้อมูลโดยส่งคำขอเป็นลายลักษณ์อักษรไปยัง team@evaluationshubcom.
