ข้อตกลงการประมวลผลข้อมูล (GDPR)

คำแปลนี้จัดทำขึ้นเพื่อความสะดวกเท่านั้น ฉบับภาษาอังกฤษเป็นฉบับที่มีผลผูกพันตามกฎหมาย และให้ถือฉบับภาษาอังกฤษเป็นหลักในกรณีที่ทั้งสองฉบับมีความแตกต่างกัน

ข้อตกลงการประมวลผลข้อมูลฉบับนี้ (ต่อไปนี้เรียกว่า “DPA”) ใช้บังคับในกรณีที่ Taskworld ประมวลผลข้อมูลส่วนบุคคลในนามของลูกค้าในส่วนที่เกี่ยวข้องกับ Ongo Audit และการประมวลผลของลูกค้าอยู่ภายใต้บังคับของระเบียบทั่วไปว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (EU General Data Protection Regulation) (Regulation (EU) 2016/679) (ต่อไปนี้เรียกว่า “GDPR”) หรือ UK GDPR DPA นี้เป็นส่วนหนึ่งของสัญญาลูกค้าระหว่างลูกค้ากับนิติบุคคล Taskworld ที่เกี่ยวข้อง

7.1 คำนิยาม คำที่มีการนิยามความหมายเฉพาะให้มีความหมายตามที่กำหนดไว้ในสัญญาลูกค้า หรือหากมิได้นิยามไว้ในสัญญาดังกล่าว ให้มีความหมายตามที่กำหนดไว้ใน GDPR “Taskworld” หมายถึง นิติบุคคล Taskworld ที่เกี่ยวข้องซึ่งเป็นคู่สัญญาในสัญญาลูกค้า

7.2 บทบาท ลูกค้าเป็นผู้ควบคุมข้อมูลส่วนบุคคล และ Taskworld เป็นผู้ประมวลผลข้อมูลส่วนบุคคล ในส่วนที่เกี่ยวกับข้อมูลส่วนบุคคลของลูกค้าที่มีการประมวลผลในส่วนที่เกี่ยวข้องกับบริการ คู่สัญญาแต่ละฝ่ายจะปฏิบัติตามหน้าที่ของตนตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับ

7.3 เรื่อง ระยะเวลา ลักษณะ และวัตถุประสงค์ของการประมวลผล

เรื่องที่ประมวลผล: การให้บริการ Ongo Audit และบริการที่เกี่ยวข้อง
ระยะเวลา: ตลอดระยะเวลาของสัญญาลูกค้า รวมถึงระยะเวลาใด ๆ ที่จำเป็นสำหรับการส่งคืนหรือการลบข้อมูลตามที่กำหนดไว้ด้านล่าง
ลักษณะและวัตถุประสงค์: การโฮสต์ การจัดเก็บ การรับส่ง การประมวลผล การแสดงผล และการทำให้ข้อมูลส่วนบุคคลของลูกค้าพร้อมใช้งานไม่ว่าด้วยวิธีอื่นใด เพื่อให้ผู้ใช้ที่ได้รับอนุญาตสามารถดำเนินการตรวจสอบ การตรวจประเมิน และการรายงานเหตุการณ์ได้ รวมถึงการให้การสนับสนุน การรักษาความปลอดภัย และการวิเคราะห์ที่เกี่ยวข้องสำหรับบริการ
ประเภทของเจ้าของข้อมูลส่วนบุคคล: ผู้ใช้ที่ได้รับอนุญาต (พนักงาน ผู้รับจ้าง และตัวแทนของลูกค้า) และบุคคลที่ลูกค้าเลือกนำข้อมูลของบุคคลนั้นมารวมไว้ในคำตอบในแบบฟอร์ม ภาพถ่าย และข้อมูลการส่งแบบฟอร์มอื่น ๆ
ประเภทของข้อมูลส่วนบุคคล: ข้อมูลระบุตัวตน ข้อมูลการติดต่อ ข้อมูลการยืนยันตัวตน ข้อมูลอุปกรณ์ ข้อมูลทางเทคนิค ข้อมูลการส่งแบบฟอร์ม ข้อมูลตำแหน่งทางภูมิศาสตร์ ข้อมูลภาพถ่าย ข้อมูลการใช้งาน ข้อมูลการวินิจฉัย และข้อมูลการสนับสนุน ตามที่อธิบายไว้ในนโยบายความเป็นส่วนตัว

7.4 คำสั่งของลูกค้า Taskworld จะประมวลผลข้อมูลส่วนบุคคลของลูกค้าตามคำสั่งของลูกค้าที่มีการบันทึกเป็นหลักฐานเท่านั้น รวมถึงในเรื่องการโอนข้อมูลไปยังต่างประเทศ เว้นแต่ในกรณีที่กฎหมายที่ใช้บังคับกำหนดให้ต้องดำเนินการ (ซึ่งในกรณีดังกล่าว Taskworld จะแจ้งข้อกำหนดทางกฎหมายนั้นให้ลูกค้าทราบก่อนการประมวลผล เว้นแต่กฎหมายนั้นห้ามไว้) สัญญาลูกค้า ใบสั่งซื้อ และการตั้งค่าบริการที่มีการบันทึกไว้ ถือเป็นคำสั่งทั้งหมดของลูกค้า

7.5 การรักษาความลับ Taskworld จะดูแลให้บุคลากรที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้าผูกพันตามหน้าที่ในการรักษาความลับที่เหมาะสม

7.6 ความปลอดภัย Taskworld จะจัดให้มีและคงไว้ซึ่งมาตรการทางเทคนิคและมาตรการเชิงองค์กรที่เหมาะสม ซึ่งออกแบบมาเพื่อให้มีระดับความปลอดภัยที่เหมาะสมกับความเสี่ยง โดยคำนึงถึงเทคโนโลยีที่ทันสมัย ค่าใช้จ่ายในการดำเนินการ ตลอดจนลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล มาตรการที่มีผลใช้บังคับอยู่รวมถึงมาตรการที่กำหนดไว้ในหน้าความปลอดภัย และเอกสารด้านความปลอดภัยฉบับปัจจุบันของ Taskworld ณ ขณะนั้น ซึ่งสามารถขอรับได้ทาง security@taskworld.com

7.7 ผู้ประมวลผลข้อมูลส่วนบุคคลช่วง

ลูกค้าอนุญาตให้ Taskworld ใช้ผู้ประมวลผลข้อมูลส่วนบุคคลช่วงในการให้บริการ ทั้งนี้ ภายใต้เงื่อนไขในข้อ 7.7 นี้
รายชื่อผู้ประมวลผลข้อมูลส่วนบุคคลช่วงที่ได้รับอนุญาตในปัจจุบันเผยแพร่ไว้ในหน้าผู้ประมวลผลข้อมูลส่วนบุคคลช่วงของเรา และให้ถือเป็นส่วนหนึ่งของ DPA นี้โดยการอ้างอิง
Taskworld จะกำหนดหน้าที่ด้านการคุ้มครองข้อมูลให้ผู้ประมวลผลข้อมูลส่วนบุคคลช่วงแต่ละรายต้องปฏิบัติ โดยมีระดับการคุ้มครองไม่น้อยกว่าที่กำหนดไว้ใน DPA นี้
Taskworld จะแจ้งให้ลูกค้าทราบล่วงหน้าถึงการเปลี่ยนแปลงใด ๆ ที่ประสงค์จะทำต่อรายชื่อผู้ประมวลผลข้อมูลส่วนบุคคลช่วง โดยการปรับปรุงหน้าผู้ประมวลผลข้อมูลส่วนบุคคลช่วง (และทางอีเมล ในกรณีที่ลูกค้าได้สมัครรับการแจ้งเตือนไว้) ลูกค้าอาจคัดค้านได้ด้วยเหตุผลอันสมควรด้านการคุ้มครองข้อมูลภายในสิบสี่ (14) วันนับแต่วันที่ได้รับแจ้ง หากคู่สัญญาไม่สามารถตกลงหาทางแก้ไขร่วมกันได้ ลูกค้าอาจบอกเลิกสัญญาลูกค้าในส่วนที่ได้รับผลกระทบได้

7.8 สิทธิ์ของเจ้าของข้อมูลส่วนบุคคล โดยคำนึงถึงลักษณะของการประมวลผล Taskworld จะช่วยเหลือลูกค้าด้วยมาตรการทางเทคนิคและมาตรการเชิงองค์กรที่เหมาะสมเท่าที่จะสามารถทำได้ ในการปฏิบัติตามหน้าที่ของลูกค้าในการตอบสนองต่อคำขอของเจ้าของข้อมูลส่วนบุคคลตามมาตรา 12–22 ของ GDPR หากเจ้าของข้อมูลส่วนบุคคลยื่นคำขอต่อ Taskworld โดยตรง Taskworld จะส่งต่อคำขอนั้นให้แก่ลูกค้าโดยไม่ชักช้าเกินสมควร และจะไม่ตอบสนองต่อคำขอนั้นเอง เว้นแต่เพื่อยืนยันการได้รับคำขอและแนะนำให้เจ้าของข้อมูลส่วนบุคคลติดต่อลูกค้า

7.9 การละเมิดข้อมูลส่วนบุคคล Taskworld จะแจ้งให้ลูกค้าทราบโดยไม่ชักช้าเกินสมควร (และไม่ว่ากรณีใดภายในเจ็ดสิบสอง (72) ชั่วโมง) นับแต่ทราบถึงการละเมิดข้อมูลส่วนบุคคลที่กระทบต่อข้อมูลส่วนบุคคลของลูกค้า และจะให้ข้อมูลตามที่ลูกค้าร้องขอตามสมควรเพื่อปฏิบัติตามหน้าที่ของลูกค้าตามมาตรา 33 และ 34 ของ GDPR

7.10 การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล Taskworld จะให้ความช่วยเหลือตามสมควรแก่ลูกค้าในการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล และในการปรึกษาหารือล่วงหน้ากับหน่วยงานกำกับดูแลในกรณีที่จำเป็น ทั้งนี้ ในแต่ละกรณีเฉพาะในส่วนที่เกี่ยวกับบริการเท่านั้น

7.11 การส่งคืนและการลบข้อมูล เมื่อมีการบอกเลิกสัญญาลูกค้า Taskworld จะส่งคืนหรือลบข้อมูลส่วนบุคคลของลูกค้าตามที่ลูกค้าเลือก ทั้งนี้ ภายใต้กรอบเวลาที่กำหนดไว้ในสัญญาลูกค้าและนโยบายความเป็นส่วนตัว เว้นแต่ในกรณีที่กฎหมายที่ใช้บังคับกำหนดให้ต้องเก็บรักษาไว้

7.12 การตรวจสอบ Taskworld จะจัดให้ลูกค้าได้รับข้อมูลที่จำเป็นต่อการแสดงให้เห็นถึงการปฏิบัติตาม DPA นี้ และจะยินยอมให้มีและให้ความร่วมมือในการตรวจสอบ รวมถึงการตรวจตรา ซึ่งดำเนินการโดยลูกค้าหรือผู้ตรวจสอบอิสระที่ลูกค้ามอบหมาย ทั้งนี้ ในแต่ละกรณีต้องมีการแจ้งล่วงหน้าตามสมควร อยู่ภายใต้หน้าที่ในการรักษาความลับ และจำกัดไม่เกินหนึ่ง (1) ครั้งต่อรอบระยะเวลาสิบสอง (12) เดือน (หรือบ่อยกว่านั้นหากหน่วยงานกำกับดูแลกำหนด หรือภายหลังเกิดเหตุการณ์ด้านความปลอดภัยที่กระทบต่อข้อมูลส่วนบุคคลของลูกค้า) ลูกค้าอาจอาศัยใบรับรองที่มีอยู่แล้วจากบุคคลภายนอก (เช่น รายงาน ISO 27001 หรือ SOC 2) ที่ Taskworld จัดให้ แทนการตรวจสอบ ณ สถานที่ได้ ในกรณีที่สมเหตุสมผล

7.13 การโอนข้อมูลไปยังต่างประเทศ ในกรณีที่ Taskworld โอนข้อมูลส่วนบุคคลของลูกค้าออกนอก EEA สหราชอาณาจักร หรือเขตอำนาจอื่นที่มีข้อจำกัดด้านการโอนข้อมูลที่ใช้บังคับ Taskworld จะดูแลให้มีมาตรการคุ้มครองที่เหมาะสม รวมถึงข้อสัญญามาตรฐานของสหภาพยุโรป (EU Standard Contractual Clauses) หรือข้อตกลงเพิ่มเติมว่าด้วยการโอนข้อมูลระหว่างประเทศของสหราชอาณาจักร (UK International Data Transfer Addendum) แล้วแต่กรณี ซึ่งให้ถือเป็นส่วนหนึ่งของ DPA นี้โดยการอ้างอิง

7.14 ความรับผิด ความรับผิดของคู่สัญญาแต่ละฝ่ายภายใต้ DPA นี้อยู่ภายใต้บังคับของข้อจำกัดความรับผิดในสัญญาลูกค้า

7.15 การขัดกัน ในกรณีที่ DPA นี้ขัดหรือแย้งกับสัญญาลูกค้า ให้ใช้บังคับตาม DPA นี้ในส่วนที่เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้า

ภาคผนวก ก — มาตรการทางเทคนิคและมาตรการเชิงองค์กร มาตรการที่อธิบายไว้ในหน้าความปลอดภัย ซึ่งเสริมด้วยเอกสารด้านความปลอดภัยฉบับปัจจุบันของ Taskworld ณ ขณะนั้น ซึ่งสามารถขอรับได้ทาง security@taskworld.com

ภาคผนวก ข — ผู้ประมวลผลข้อมูลส่วนบุคคลช่วงที่ได้รับอนุญาต รายชื่อผู้ประมวลผลข้อมูลส่วนบุคคลช่วงที่ได้รับอนุญาตในปัจจุบันเผยแพร่และดูแลไว้ในหน้าผู้ประมวลผลข้อมูลส่วนบุคคลช่วงของเรา