ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล

ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลฉบับนี้ ("DPA") ใช้บังคับกับลูกค้าทุกรายที่ใช้งานแพลตฟอร์ม Zaapi และถือเป็นส่วนหนึ่งของข้อกำหนดในการใช้งานของ Zaapi หรือข้อตกลงอื่นใดที่ Zaapi ให้บริการภายใต้ข้อตกลงนั้น ("ข้อตกลง") หากลูกค้าได้ลงนามในข้อตกลงการประมวลผลข้อมูลแยกต่างหากกับ Zaapi ให้ใช้ข้อตกลงที่ลงนามนั้นแทน DPA ฉบับนี้ ลูกค้าที่ต้องการสำเนา DPA ที่ลงนามโดย Zaapi สามารถขอได้ที่ hello@zaapi.com ฉบับภาษาไทยนี้จัดทำขึ้นเพื่อความสะดวก หากมีความไม่สอดคล้องกัน ให้ถือตามฉบับภาษาอังกฤษเป็นหลัก

1. คู่สัญญาและขอบเขต

1.1 DPA ฉบับนี้ทำขึ้นระหว่าง Zaapi Pte. Ltd. (UEN 202041177W) เลขที่ 68 Circular Road, #02-01, Singapore 049422 ("Zaapi" หรือ "ผู้ประมวลผลข้อมูล") กับลูกค้าที่ได้ยอมรับข้อตกลง ("ลูกค้า" หรือ "ผู้ควบคุมข้อมูล") การยอมรับข้อตกลงถือว่าลูกค้ายอมรับ DPA ฉบับนี้ด้วย

1.2 DPA ฉบับนี้ใช้บังคับกับการประมวลผลข้อมูลส่วนบุคคลที่ Zaapi ดำเนินการในนามของลูกค้าผ่านแพลตฟอร์ม Zaapi ("แพลตฟอร์ม") รวมถึงข้อมูลส่วนบุคคลของลูกค้าปลายทางของลูกค้าที่ติดต่อลูกค้าผ่านช่องทางที่เชื่อมต่อกับแพลตฟอร์ม ("ข้อมูลส่วนบุคคลของลูกค้า")

1.3 หาก DPA ฉบับนี้ขัดหรือแย้งกับข้อตกลงในเรื่องการประมวลผลข้อมูลส่วนบุคคล ให้ใช้ DPA ฉบับนี้บังคับ หาก DPA ฉบับนี้ขัดหรือแย้งกับข้อสัญญามาตรฐานหรือภาคผนวกของสหราชอาณาจักรตามข้อ 7 ให้ใช้ข้อสัญญาดังกล่าวบังคับ

1.4 DPA ฉบับนี้มีผลใช้บังคับตราบเท่าที่ Zaapi ยังประมวลผลข้อมูลส่วนบุคคลของลูกค้าอยู่

2. คำนิยาม

2.1 "กฎหมายคุ้มครองข้อมูล" หมายถึง กฎหมายทั้งหมดที่ใช้บังคับกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้าภายใต้ข้อตกลง ซึ่งรวมถึง เท่าที่ใช้บังคับ: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสิงคโปร์ ค.ศ. 2012, กฎหมายคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย (รวมถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562) มาเลเซีย ฟิลิปปินส์ เวียดนาม และอินโดนีเซีย, ระเบียบการคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป 2016/679 ("GDPR"), GDPR ตามที่คงไว้ในกฎหมายของสหราชอาณาจักรและพระราชบัญญัติคุ้มครองข้อมูลของสหราชอาณาจักร ค.ศ. 2018 ("UK GDPR") และกฎหมายคุ้มครองความเป็นส่วนตัวของผู้บริโภคแห่งรัฐแคลิฟอร์เนีย ค.ศ. 2018 ตามที่แก้ไขโดยกฎหมายสิทธิความเป็นส่วนตัวแห่งรัฐแคลิฟอร์เนีย ค.ศ. 2020 และกฎระเบียบที่เกี่ยวข้อง ("CCPA")

2.2 "ข้อมูลส่วนบุคคล" "การประมวลผล" "ผู้ควบคุมข้อมูล" "ผู้ประมวลผลข้อมูล" "เจ้าของข้อมูล" และ "หน่วยงานกำกับดูแล" มีความหมายตามที่กำหนดไว้ในกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ภายใต้ CCPA "ข้อมูลส่วนบุคคล" หมายถึง "personal information" "ผู้ควบคุมข้อมูล" หมายถึง "business" และ "ผู้ประมวลผลข้อมูล" หมายถึง "service provider"

2.3 "การละเมิดข้อมูลส่วนบุคคล" หมายถึง การละเมิดมาตรการรักษาความปลอดภัยที่ทำให้ข้อมูลส่วนบุคคลของลูกค้าถูกทำลาย สูญหาย เปลี่ยนแปลง เปิดเผย หรือเข้าถึงโดยไม่ได้รับอนุญาต ไม่ว่าโดยอุบัติเหตุหรือโดยมิชอบด้วยกฎหมาย

2.4 "ผู้ประมวลผลข้อมูลช่วง" หมายถึง บุคคลภายนอกใด ๆ ที่ Zaapi ว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้า

2.5 "ข้อสัญญามาตรฐาน" หรือ "SCCs" หมายถึง ข้อสัญญามาตรฐานสำหรับการโอนข้อมูลส่วนบุคคลไปยังประเทศที่สาม ซึ่งคณะกรรมาธิการยุโรปรับรองตามคำวินิจฉัยเพื่อการบังคับใช้ (EU) 2021/914

2.6 "ภาคผนวกของสหราชอาณาจักร" หมายถึง ภาคผนวกการโอนข้อมูลระหว่างประเทศ (International Data Transfer Addendum) ต่อ SCCs ซึ่งออกโดยคณะกรรมาธิการข้อมูลข่าวสารของสหราชอาณาจักรตามมาตรา 119A แห่งพระราชบัญญัติคุ้มครองข้อมูลของสหราชอาณาจักร ค.ศ. 2018

3. บทบาทและการประมวลผลตามคำสั่ง

3.1 บทบาท สำหรับข้อมูลส่วนบุคคลของลูกค้า ลูกค้าเป็นผู้ควบคุมข้อมูล (หรือเป็นผู้ประมวลผลข้อมูล ในกรณีที่ลูกค้าดำเนินการแทนลูกค้าของตนเอง) และ Zaapi เป็นผู้ประมวลผลข้อมูล (หรือผู้ประมวลผลข้อมูลช่วง) รายละเอียดการประมวลผลระบุไว้ในภาคผนวก ก

3.2 คำสั่ง Zaapi ประมวลผลข้อมูลส่วนบุคคลของลูกค้าตามคำสั่งที่เป็นลายลักษณ์อักษรของลูกค้าเท่านั้น รวมถึงในเรื่องการโอนข้อมูลไปต่างประเทศ เว้นแต่กฎหมายที่ใช้บังคับกับ Zaapi กำหนดไว้เป็นอย่างอื่น ในกรณีดังกล่าว Zaapi จะแจ้งข้อกำหนดทางกฎหมายนั้นให้ลูกค้าทราบก่อนการประมวลผล เว้นแต่กฎหมายนั้นห้ามไว้ ข้อตกลง DPA ฉบับนี้ และการตั้งค่าและการใช้งานแพลตฟอร์มของลูกค้า ถือเป็นคำสั่งทั้งหมดของลูกค้า

3.3 Zaapi จะแจ้งให้ลูกค้าทราบหากเห็นว่าคำสั่งใดขัดต่อกฎหมายคุ้มครองข้อมูล

3.4 ความรับผิดชอบของลูกค้า ลูกค้ามีหน้าที่รับผิดชอบต่อความชอบด้วยกฎหมายของข้อมูลส่วนบุคคลของลูกค้าที่นำเข้าสู่แพลตฟอร์ม รวมถึงการแจ้งเจ้าของข้อมูลและการขอความยินยอมตามที่กฎหมายกำหนด

3.5 ไม่นำไปฝึก AI Zaapi ไม่ใช้ข้อมูลส่วนบุคคลของลูกค้าเพื่อฝึก ปรับแต่ง หรือพัฒนาโมเดล AI ใด ๆ ที่ใช้ร่วมกับลูกค้ารายอื่น Zaapi ใช้ข้อมูลส่วนบุคคลของลูกค้ากับฟีเจอร์ AI เพื่อให้บริการฟีเจอร์เหล่านั้นแก่ลูกค้าเท่านั้น

3.6 การรักษาความลับ บุคคลทุกคนที่ Zaapi อนุญาตให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้ามีหน้าที่ต้องรักษาความลับ และการเข้าถึงจำกัดเฉพาะบุคลากรที่จำเป็นต้องใช้เพื่อให้บริการ สนับสนุน หรือรักษาความปลอดภัยของแพลตฟอร์ม

3.7 บันทึกรายการ Zaapi จัดทำบันทึกรายการการประมวลผลที่ดำเนินการให้แก่ลูกค้า ตามที่กำหนดในมาตรา 30(2) ของ GDPR และ UK GDPR ในกรณีที่ใช้บังคับ

4. ข้อกำหนดสำหรับรัฐแคลิฟอร์เนีย (CCPA)

4.1 ในกรณีที่ CCPA ใช้บังคับ Zaapi ทำหน้าที่เป็นผู้ให้บริการ (service provider) ของลูกค้า ลูกค้าเปิดเผยข้อมูลส่วนบุคคลของลูกค้าให้แก่ Zaapi เพื่อวัตถุประสงค์ทางธุรกิจที่จำกัดและระบุไว้ คือการให้บริการแพลตฟอร์มตามที่อธิบายไว้ในข้อตกลงและภาคผนวก ก เท่านั้น

4.2 Zaapi จะไม่ (ก) ขายหรือแบ่งปันข้อมูลส่วนบุคคลของลูกค้า ตามความหมายของคำว่า "sell" และ "share" ใน CCPA (ข) เก็บรักษา ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้าเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ทางธุรกิจในข้อตกลง หรือนอกความสัมพันธ์ทางธุรกิจโดยตรงระหว่าง Zaapi กับลูกค้า เว้นแต่ CCPA อนุญาต หรือ (ค) รวมข้อมูลส่วนบุคคลของลูกค้าเข้ากับข้อมูลส่วนบุคคลที่ได้รับจากหรือในนามของบุคคลอื่น หรือที่เก็บรวบรวมจากการติดต่อกับผู้บริโภคโดยตรงของตนเอง เว้นแต่ CCPA อนุญาต

4.3 Zaapi ปฏิบัติตามหน้าที่ภายใต้ CCPA ที่ใช้บังคับกับผู้ให้บริการ และให้ความคุ้มครองความเป็นส่วนตัวในระดับเดียวกับที่ CCPA กำหนดให้ลูกค้าต้องปฏิบัติ Zaapi จะแจ้งลูกค้าหากพบว่าไม่สามารถปฏิบัติตามหน้าที่ดังกล่าวได้อีกต่อไป และลูกค้าอาจดำเนินการที่สมเหตุสมผลและเหมาะสมเพื่อหยุดและแก้ไขการใช้ข้อมูลส่วนบุคคลของลูกค้าโดยไม่ได้รับอนุญาต

4.4 Zaapi รับรองว่าเข้าใจและจะปฏิบัติตามข้อจำกัดในข้อ 4 นี้

5. การรักษาความปลอดภัยและการละเมิดข้อมูลส่วนบุคคล

5.1 การรักษาความปลอดภัย Zaapi จัดให้มีและคงไว้ซึ่งมาตรการทางเทคนิคและเชิงองค์กรที่เหมาะสมเพื่อคุ้มครองข้อมูลส่วนบุคคลของลูกค้า รวมถึงมาตรการตามภาคผนวก ข Zaapi อาจปรับปรุงมาตรการเหล่านี้ได้ โดยระดับการคุ้มครองโดยรวมต้องไม่ลดลง

5.2 การแจ้งเหตุละเมิด Zaapi จะแจ้งลูกค้าโดยไม่ชักช้า และไม่เกิน 48 ชั่วโมงนับแต่ทราบถึงการละเมิดข้อมูลส่วนบุคคล โดยหนังสือแจ้งจะระบุ (เท่าที่มีข้อมูล) ลักษณะของการละเมิด ประเภทและจำนวนโดยประมาณของเจ้าของข้อมูลและรายการข้อมูลที่เกี่ยวข้อง ผลกระทบที่อาจเกิดขึ้น มาตรการที่ได้ดำเนินการหรือเสนอให้ดำเนินการ และช่องทางติดต่อเพื่อขอข้อมูลเพิ่มเติม หาก Zaapi ไม่สามารถให้ข้อมูลทั้งหมดได้ในคราวเดียว Zaapi อาจให้ข้อมูลเป็นระยะได้

5.3 Zaapi จะให้ความร่วมมือกับลูกค้าในการตรวจสอบและแก้ไขการละเมิดข้อมูลส่วนบุคคล และในการปฏิบัติหน้าที่แจ้งหน่วยงานกำกับดูแลหรือเจ้าของข้อมูล การแจ้งหรือการตอบสนองของ Zaapi ต่อการละเมิดข้อมูลส่วนบุคคลไม่ถือเป็นการยอมรับว่ามีความผิดหรือต้องรับผิด

6. ผู้ประมวลผลข้อมูลช่วง

6.1 การอนุญาต ลูกค้าให้ความยินยอมเป็นลายลักษณ์อักษรเป็นการทั่วไปแก่ Zaapi ในการว่าจ้างผู้ประมวลผลข้อมูลช่วง รายชื่อผู้ประมวลผลข้อมูลช่วงปัจจุบันของ Zaapi เผยแพร่อยู่ที่ www.zaapi.com/sub-processors (ภาคผนวก ค)

6.2 การเปลี่ยนแปลง Zaapi จะปรับปรุงหน้าดังกล่าวอย่างน้อย 14 วันก่อนที่ผู้ประมวลผลข้อมูลช่วงรายใหม่จะประมวลผลข้อมูลส่วนบุคคลของลูกค้า และจะแจ้งการเปลี่ยนแปลงทางอีเมลแก่ผู้ติดต่อของลูกค้าที่ได้ลงทะเบียนรับข่าวสารโดยส่งอีเมลมาที่ hello@zaapi.com

6.3 การคัดค้าน ลูกค้าอาจคัดค้านผู้ประมวลผลข้อมูลช่วงรายใหม่ด้วยเหตุผลอันสมควรด้านการคุ้มครองข้อมูลภายในระยะเวลา 14 วันดังกล่าว คู่สัญญาจะหารือเกี่ยวกับการคัดค้านนั้นโดยสุจริต หากไม่สามารถตกลงกันได้ ลูกค้าอาจบอกเลิกบริการที่ได้รับผลกระทบโดยแจ้งเป็นลายลักษณ์อักษร

6.4 การกำหนดหน้าที่ต่อเนื่อง Zaapi ทำสัญญาเป็นลายลักษณ์อักษรกับผู้ประมวลผลข้อมูลช่วงแต่ละรายเพื่อกำหนดหน้าที่ด้านการคุ้มครองข้อมูลที่ไม่น้อยไปกว่าหน้าที่ใน DPA ฉบับนี้ เท่าที่เกี่ยวข้องกับบริการที่ผู้ประมวลผลข้อมูลช่วงนั้นให้ และ Zaapi ยังคงต้องรับผิดต่อลูกค้าสำหรับการปฏิบัติหน้าที่ดังกล่าวของผู้ประมวลผลข้อมูลช่วงแต่ละราย

7. การโอนข้อมูลระหว่างประเทศ

7.1 ข้อมูลส่วนบุคคลของลูกค้าจัดเก็บเป็นหลักในประเทศสิงคโปร์ (Amazon Web Services และ MongoDB Atlas) ผู้ประมวลผลข้อมูลช่วงบางรายประมวลผลข้อมูลส่วนบุคคลของลูกค้าในประเทศอื่นตามที่ระบุในภาคผนวก ค

7.2 Zaapi โอนข้อมูลส่วนบุคคลของลูกค้าไปต่างประเทศเฉพาะเมื่อเป็นไปตามกฎหมายคุ้มครองข้อมูลเท่านั้น รวมถึงตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสิงคโปร์ โดยดูแลให้ผู้รับข้อมูลผูกพันตามหน้าที่ที่มีผลบังคับใช้ทางกฎหมายซึ่งให้ความคุ้มครองในระดับที่เทียบเท่า

7.3 การโอนข้อมูลจากสหภาพยุโรป ในกรณีที่ GDPR ใช้บังคับและมีการโอนข้อมูลส่วนบุคคลของลูกค้าไปยัง Zaapi ในประเทศที่ไม่มีคำวินิจฉัยว่ามีมาตรฐานการคุ้มครองที่เพียงพอ ให้ถือว่า SCCs เป็นส่วนหนึ่งของ DPA ฉบับนี้ตามที่กำหนดในภาคผนวก ง โดยใช้โมดูล 2 (ผู้ควบคุมข้อมูลไปยังผู้ประมวลผลข้อมูล) ในกรณีที่ลูกค้าเป็นผู้ควบคุมข้อมูล และใช้โมดูล 3 (ผู้ประมวลผลข้อมูลไปยังผู้ประมวลผลข้อมูล) ในกรณีที่ลูกค้าเป็นผู้ประมวลผลข้อมูล

7.4 การโอนข้อมูลจากสหราชอาณาจักร ในกรณีที่ UK GDPR ใช้บังคับ ให้ใช้ SCCs ตามที่แก้ไขโดยภาคผนวกของสหราชอาณาจักร ตามที่กำหนดในภาคผนวก ง

7.5 การโอนข้อมูลต่อ ในกรณีที่ผู้ประมวลผลข้อมูลช่วงได้รับข้อมูลส่วนบุคคลของลูกค้าที่อยู่ภายใต้ GDPR หรือ UK GDPR ในประเทศที่ไม่มีคำวินิจฉัยว่ามีมาตรฐานการคุ้มครองที่เพียงพอ Zaapi จะจัดให้มีกลไกการโอนข้อมูลที่เหมาะสมกับผู้ประมวลผลข้อมูลช่วงนั้น เช่น SCCs และภาคผนวกของสหราชอาณาจักรในกรณีที่เกี่ยวข้อง

8. คำขอของเจ้าของข้อมูลและการให้ความช่วยเหลือ

8.1 แพลตฟอร์มช่วยให้ลูกค้าสามารถเข้าถึง แก้ไข ส่งออก และลบข้อมูลส่วนบุคคลของลูกค้าได้ เพื่อตอบสนองต่อคำขอของเจ้าของข้อมูล (รวมถึงคำขอภายใต้ CCPA เพื่อขอทราบ ขอลบ และขอแก้ไขข้อมูล) ในกรณีที่ลูกค้าไม่สามารถตอบสนองได้ด้วยฟีเจอร์เหล่านี้ Zaapi จะให้ความช่วยเหลือตามสมควรโดยคำนึงถึงลักษณะของการประมวลผล Zaapi อาจเรียกเก็บค่าธรรมเนียมตามสมควรสำหรับความช่วยเหลือที่นอกเหนือจากฟีเจอร์มาตรฐานของแพลตฟอร์ม เท่าที่กฎหมายคุ้มครองข้อมูลอนุญาต

8.2 หาก Zaapi ได้รับคำขอโดยตรงจากเจ้าของข้อมูลเกี่ยวกับข้อมูลส่วนบุคคลของลูกค้า Zaapi จะส่งต่อคำขอนั้นให้ลูกค้า และจะไม่ตอบคำขอนั้นนอกจากการยืนยันการรับ เว้นแต่ลูกค้าสั่งให้ดำเนินการหรือกฎหมายกำหนด

8.3 Zaapi จะให้ความช่วยเหลือตามสมควรแก่ลูกค้าในการประเมินผลกระทบด้านการคุ้มครองข้อมูลและการปรึกษาหน่วยงานกำกับดูแลล่วงหน้า โดยคำนึงถึงข้อมูลที่ Zaapi มีอยู่ ในกรณีที่กฎหมายคุ้มครองข้อมูลกำหนดให้ลูกค้าต้องดำเนินการดังกล่าว

9. การตรวจสอบ

9.1 เมื่อได้รับคำขอเป็นลายลักษณ์อักษร ไม่เกินหนึ่งครั้งในทุกระยะเวลา 12 เดือน Zaapi จะให้ข้อมูลที่จำเป็นตามสมควรเพื่อแสดงการปฏิบัติตาม DPA ฉบับนี้ เช่น คำตอบเป็นลายลักษณ์อักษรต่อแบบสอบถามด้านความปลอดภัยที่สมเหตุสมผล และนโยบายที่เกี่ยวข้องหรือสรุปผลการประเมินความปลอดภัยโดยบุคคลภายนอกที่เป็นอิสระ

9.2 Zaapi จะอนุญาตให้ลูกค้าหรือผู้ตรวจสอบอิสระที่ลูกค้ามอบหมายเข้าตรวจสอบ ณ สถานที่ เฉพาะในกรณีที่หน่วยงานกำกับดูแลกำหนด ในกรณีที่กฎหมายคุ้มครองข้อมูล (รวมถึง SCCs) กำหนด หรือภายหลังการละเมิดข้อมูลส่วนบุคคลที่เกิดจาก Zaapi การตรวจสอบดังกล่าวต้องแจ้งล่วงหน้าเป็นลายลักษณ์อักษรอย่างน้อย 30 วัน ดำเนินการในเวลาทำการ อยู่ภายใต้ข้อกำหนดด้านความปลอดภัยและการรักษาความลับที่สมเหตุสมผลของ Zaapi ไม่รวมถึงการเข้าถึงข้อมูลของลูกค้ารายอื่น และลูกค้าเป็นผู้รับผิดชอบค่าใช้จ่าย

10. การส่งคืนและการลบข้อมูล

10.1 ก่อนข้อตกลงสิ้นสุดลง ลูกค้าสามารถส่งออกข้อมูลส่วนบุคคลของลูกค้าได้โดยใช้ฟีเจอร์การส่งออกของแพลตฟอร์ม

10.2 Zaapi จะลบข้อมูลส่วนบุคคลของลูกค้าภายใน 90 วันหลังจากข้อตกลงสิ้นสุดลง เว้นแต่กฎหมายกำหนดให้ Zaapi ต้องเก็บรักษาไว้ สำเนาในข้อมูลสำรองจะถูกลบตามรอบการหมุนเวียนข้อมูลสำรองตามปกติ และยังคงได้รับความคุ้มครองภายใต้ DPA ฉบับนี้จนกว่าจะถูกลบ

11. ความรับผิดและกฎหมายที่ใช้บังคับ

11.1 ความรับผิดของคู่สัญญาแต่ละฝ่ายภายใต้ DPA ฉบับนี้อยู่ภายใต้ข้อยกเว้นและข้อจำกัดความรับผิดในข้อตกลง เว้นแต่กฎหมายคุ้มครองข้อมูลหรือ SCCs ไม่อนุญาตให้จำกัดความรับผิดดังกล่าว

11.2 DPA ฉบับนี้อยู่ภายใต้บังคับของกฎหมายสิงคโปร์ และคู่สัญญายอมรับเขตอำนาจศาลของสิงคโปร์แต่เพียงผู้เดียว ทั้งนี้ SCCs และภาคผนวกของสหราชอาณาจักรอยู่ภายใต้บังคับของกฎหมายและเขตอำนาจศาลตามที่ระบุในภาคผนวก ง

11.3 Zaapi อาจปรับปรุง DPA ฉบับนี้เป็นครั้งคราว โดยการปรับปรุงต้องไม่ลดระดับการคุ้มครองข้อมูลส่วนบุคคลของลูกค้าอย่างมีนัยสำคัญ ให้ใช้ฉบับที่เผยแพร่บนหน้านี้บังคับ

ภาคผนวก ก - รายละเอียดการประมวลผล

• เรื่องที่ประมวลผล: การให้บริการแพลตฟอร์มการสื่อสารกับลูกค้าแบบออมนิแชนแนลที่ขับเคลื่อนด้วย AI ของ Zaapi ภายใต้ข้อตกลง
• ระยะเวลา: ตลอดอายุของข้อตกลง รวมถึงระยะเวลาการลบข้อมูลตามข้อ 10
• ลักษณะและวัตถุประสงค์: การจัดเก็บ ส่งต่อ และแสดงผลบทสนทนากับลูกค้า การตอบกลับ การแปล และการสรุปโดยใช้ AI ระบบอัตโนมัติ การส่งข้อความบรอดแคสต์ การวิเคราะห์และรายงาน และการสนับสนุนลูกค้าและการแก้ไขปัญหา
• ประเภทของเจ้าของข้อมูล: ลูกค้าปลายทางและลูกค้าที่มีแนวโน้มของลูกค้าซึ่งติดต่อลูกค้าผ่านช่องทางที่เชื่อมต่อ และพนักงานของลูกค้าที่ใช้งานแพลตฟอร์ม
• ประเภทของข้อมูลส่วนบุคคล: ชื่อ ข้อมูลติดต่อ (โทรศัพท์ อีเมล บัญชีโซเชียลมีเดียและแอปส่งข้อความ) เนื้อหาข้อความและไฟล์แนบ รายละเอียดคำสั่งซื้อ การจัดส่ง และธุรกรรมจากมาร์เก็ตเพลสและร้านค้าที่เชื่อมต่อ ข้อมูลอุปกรณ์และการใช้งาน และข้อมูลส่วนบุคคลอื่นใดที่ลูกค้าหรือลูกค้าปลายทางส่งผ่านช่องทางที่เชื่อมต่อ
• ข้อมูลส่วนบุคคลที่มีความอ่อนไหว: ไม่มีเจตนาให้มีการประมวลผล ลูกค้าต้องไม่ส่งข้อมูลส่วนบุคคลที่มีความอ่อนไหว เว้นแต่ได้ตกลงกันเป็นลายลักษณ์อักษร
• ความถี่: ต่อเนื่องตลอดอายุของข้อตกลง

ภาคผนวก ข - มาตรการรักษาความปลอดภัยทางเทคนิคและเชิงองค์กร

• การเข้ารหัส: เข้ารหัสข้อมูลระหว่างการรับส่ง (TLS 1.2 ขึ้นไป) และขณะจัดเก็บ (AES-256 หรือเทียบเท่า)
• การควบคุมการเข้าถึง: การเข้าถึงตามบทบาทโดยให้สิทธิ์น้อยที่สุดเท่าที่จำเป็น การยืนยันตัวตนแบบหลายปัจจัยสำหรับการเข้าถึงสิทธิ์พิเศษ และจำกัดการเข้าถึงเฉพาะทีมวิศวกรที่จำเป็นพร้อมบันทึกการเข้าถึง
• การแยกข้อมูลระหว่างลูกค้า: ทุกรายการข้อมูลมีการระบุร้านค้าของลูกค้าและตรวจสอบในทุกคำขอ และลูกค้าสามารถจำกัดสิทธิ์พนักงานให้เข้าถึงเฉพาะบางช่องทางได้
• โครงสร้างพื้นฐาน: จัดเก็บข้อมูลกับ Amazon Web Services และ MongoDB Atlas ในประเทศสิงคโปร์ พร้อมการแบ่งส่วนเครือข่ายและการควบคุมไฟร์วอลล์
• การติดตามตรวจสอบ: การบันทึกและติดตามระบบที่ใช้งานจริง และการติดตามข้อผิดพลาดและประสิทธิภาพ
• การจัดการช่องโหว่: การอัปเดตความปลอดภัยและแพตช์อย่างสม่ำเสมอ และการประเมินความปลอดภัยของแอปพลิเคชันโดยบุคคลภายนอกที่เป็นอิสระเป็นระยะ
• ความต่อเนื่องของระบบ: ขั้นตอนการสำรองข้อมูลและการกู้คืนจากภัยพิบัติ และการแยกสภาพแวดล้อมการใช้งานจริงออกจากสภาพแวดล้อมการพัฒนา
• บุคลากร: หน้าที่รักษาความลับสำหรับพนักงานและผู้รับจ้างทุกคน และการฝึกอบรมด้านความปลอดภัยและการคุ้มครองข้อมูล
• การรับมือเหตุการณ์: กระบวนการรับมือเหตุการณ์ที่จัดทำเป็นเอกสาร ซึ่งรองรับการแจ้งเหตุละเมิดตามข้อ 5
• AI: ไม่ใช้ข้อมูลส่วนบุคคลของลูกค้าเพื่อฝึกหรือปรับแต่งโมเดล AI ที่ใช้ร่วมกัน

ภาคผนวก ค - ผู้ประมวลผลข้อมูลช่วง

รายชื่อผู้ประมวลผลข้อมูลช่วงปัจจุบัน พร้อมวัตถุประสงค์และสถานที่ตั้ง เผยแพร่อยู่ที่ www.zaapi.com/sub-processors

ภาคผนวก ง - ข้อสัญญามาตรฐานของสหภาพยุโรปและภาคผนวกของสหราชอาณาจักร

SCCs ของสหภาพยุโรป สำหรับการโอนข้อมูลตามข้อ 7.3 ให้ใช้ SCCs (โมดูล 2 หรือโมดูล 3 แล้วแต่กรณี) โดยมีรายละเอียดดังนี้

• ผู้ส่งออกข้อมูล: ลูกค้า ผู้นำเข้าข้อมูล: Zaapi
• ข้อ 7 (ข้อสัญญาการเข้าร่วม): ใช้บังคับ
• ข้อ 9(a): ทางเลือกที่ 2 (การอนุญาตเป็นลายลักษณ์อักษรเป็นการทั่วไป) โดยมีระยะเวลาแจ้งล่วงหน้า 14 วันตามข้อ 6.2
• ข้อ 11(a): ไม่ใช้ถ้อยคำที่เป็นทางเลือก
• ข้อ 13: หน่วยงานกำกับดูแลที่มีอำนาจให้เป็นไปตามข้อ 13(a)
• ข้อ 17: ทางเลือกที่ 1 ใช้กฎหมายของประเทศไอร์แลนด์ ข้อ 18(b): ศาลของประเทศไอร์แลนด์
• ภาคผนวก I.A: คู่สัญญาของ DPA ฉบับนี้ ภาคผนวก I.B: ภาคผนวก ก ของ DPA ฉบับนี้ ภาคผนวก I.C: ตามที่กำหนดในข้อ 13 ภาคผนวก II: ภาคผนวก ข ของ DPA ฉบับนี้ ภาคผนวก III: ภาคผนวก ค ของ DPA ฉบับนี้

ภาคผนวกของสหราชอาณาจักร สำหรับการโอนข้อมูลตามข้อ 7.4 ให้ใช้ภาคผนวกของสหราชอาณาจักรโดยมีรายละเอียดดังนี้

• ตารางที่ 1: คู่สัญญาคือลูกค้า (ผู้ส่งออกข้อมูล) และ Zaapi (ผู้นำเข้าข้อมูล) ตามรายละเอียดใน DPA ฉบับนี้
• ตารางที่ 2: SCCs ของสหภาพยุโรปที่ได้รับการรับรอง ตามโมดูลและทางเลือกข้างต้น
• ตารางที่ 3: ข้อมูลในภาคผนวก ก ข และ ค ของ DPA ฉบับนี้
• ตารางที่ 4: คู่สัญญาทั้งสองฝ่ายไม่มีสิทธิยุติภาคผนวกของสหราชอาณาจักรตามมาตรา 19 ของภาคผนวกนั้น
• ส่วนที่ 2: ข้อสัญญาบังคับของภาคผนวกที่ได้รับการรับรอง (แม่แบบภาคผนวก B1.0 ซึ่งออกโดยคณะกรรมาธิการข้อมูลข่าวสารของสหราชอาณาจักร)

สอบถามเกี่ยวกับ DPA ฉบับนี้: hello@zaapi.com