ข้อตกลงการประมวลผลข้อมูล

1. บทนำและขอบเขต

ข้อตกลงการประมวลผลข้อมูลฉบับนี้ ("DPA") ถือเป็นส่วนหนึ่งของข้อกำหนดในการให้บริการระหว่าง Shadow Software LLC ("ผู้ประมวลผลข้อมูล", "เรา", "ของเรา") กับผู้ขายที่ใช้แพลตฟอร์ม DabDash ("ผู้ควบคุมข้อมูล", "คุณ") ข้อตกลงนี้มีผลบังคับใช้ในทุกกรณีที่หน้าร้านของผู้ควบคุมข้อมูลเก็บรวบรวมหรือประมวลผลข้อมูลส่วนบุคคลของบุคคลที่อยู่ในเขตเศรษฐกิจยุโรป ("EEA") สหราชอาณาจักร ("UK") หรือสวิตเซอร์แลนด์ ("CH")

DPA ฉบับนี้เกิดขึ้นโดยอัตโนมัติเมื่อคุณยอมรับข้อกำหนดในการให้บริการและดำเนินงานหน้าร้านที่ให้บริการลูกค้าในเขต EEA สหราชอาณาจักร หรือสวิตเซอร์แลนด์ โดยไม่ต้องลงนามแยกต่างหาก คุณรับรองว่าคุณมีอำนาจในการเข้าทำ DPA ฉบับนี้ในนามของธุรกิจของคุณ

DPA ฉบับนี้เป็นส่วนเสริม — และไม่ได้แทนที่ — ข้อกำหนดในการให้บริการ ในกรณีที่มีข้อขัดแย้งระหว่าง DPA ฉบับนี้กับข้อกำหนดในการให้บริการในเรื่องที่เกี่ยวกับการคุ้มครองข้อมูล ให้ยึด DPA ฉบับนี้เป็นหลัก

2. คำนิยาม

ใน DPA ฉบับนี้ คำต่อไปนี้มีความหมายตามที่กำหนดไว้ด้านล่าง คำที่ขึ้นต้นด้วยตัวพิมพ์ใหญ่ซึ่งไม่ได้นิยามไว้ที่นี่ให้มีความหมายตามที่กำหนดไว้ในข้อกำหนดในการให้บริการ หรือตาม GDPR ในกรณีที่เกี่ยวข้อง

• ผู้ควบคุมข้อมูล — ผู้ขายที่กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคลที่เก็บรวบรวมผ่านหน้าร้าน DabDash ของตน
• ผู้ประมวลผลข้อมูล — Shadow Software LLC ซึ่งประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูลด้วยการดำเนินงานโครงสร้างพื้นฐานของแพลตฟอร์ม DabDash
• เจ้าของข้อมูล — บุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้ซึ่งข้อมูลส่วนบุคคลของเขาถูกประมวลผล รวมถึงลูกค้าของผู้ควบคุมข้อมูล
• ข้อมูลส่วนบุคคล — ข้อมูลใด ๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้ ตามที่นิยามไว้ใน GDPR
• การประมวลผล — การดำเนินการใด ๆ ที่กระทำต่อข้อมูลส่วนบุคคล รวมถึงการเก็บรวบรวม การจัดเก็บ การเรียกดู การใช้ การเปิดเผย หรือการลบ
• GDPR — ระเบียบ EU 2016/679 (General Data Protection Regulation) เท่าที่เกี่ยวข้อง รวมถึงการบังคับใช้ในกฎหมายของสหราชอาณาจักร ("UK GDPR") และกฎหมายของสวิตเซอร์แลนด์
• ผู้ประมวลผลช่วง — บุคคลที่สามใด ๆ ที่ผู้ประมวลผลข้อมูลว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูล
• เหตุการณ์ด้านความปลอดภัย — การเข้าถึง การเปิดเผย การเปลี่ยนแปลง หรือการทำลายข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาตที่ได้รับการยืนยันแล้วหรือมีเหตุอันควรสงสัยตามสมควร

3. บทบาทและความรับผิดชอบ

ผู้ควบคุมข้อมูลเป็นผู้รับผิดชอบแต่เพียงผู้เดียวในการ:

• กำหนดฐานทางกฎหมายสำหรับการประมวลผลข้อมูลส่วนบุคคลทั้งหมดที่เก็บรวบรวมผ่านหน้าร้านของตน
• จัดเตรียมประกาศความเป็นส่วนตัวและการเปิดเผยข้อมูลที่จำเป็นทั้งหมดให้กับลูกค้าของตน
• ขอความยินยอมที่จำเป็นทั้งหมด ในกรณีที่เลือกใช้ความยินยอมเป็นฐานทางกฎหมาย
• ดูแลให้การใช้แพลตฟอร์ม DabDash เป็นไปตามกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้องทั้งหมด
• ตอบสนองต่อคำขอของเจ้าของข้อมูล (การเข้าถึง การแก้ไขให้ถูกต้อง การลบ การโอนย้าย การคัดค้าน) ตามกฎหมายที่เกี่ยวข้อง
• ดำเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIAs) ที่จำเป็นสำหรับกิจกรรมการประมวลผลของตน

ผู้ประมวลผลข้อมูลจะประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่จัดทำเป็นเอกสารจากผู้ควบคุมข้อมูลเท่านั้น (ตามที่กำหนดไว้ในหัวข้อ 4 ด้านล่าง) และจะไม่ประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นใด

4. สาระสำคัญ ลักษณะ และวัตถุประสงค์ของการประมวลผล

ผู้ประมวลผลข้อมูลประมวลผลข้อมูลส่วนบุคคลเพียงเพื่อให้บริการแพลตฟอร์ม DabDash ตามที่อธิบายไว้ในข้อกำหนดในการให้บริการ รายละเอียดต่อไปนี้อธิบายกิจกรรมการประมวลผลที่อยู่ภายใต้ DPA ฉบับนี้:

ผู้ประมวลผลข้อมูลจะแจ้งให้ผู้ควบคุมข้อมูลทราบหากเห็นว่าคำสั่งจากผู้ควบคุมข้อมูลจะทำให้ผู้ประมวลผลข้อมูลละเมิดกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง ในกรณีดังกล่าว ผู้ประมวลผลข้อมูลอาจระงับการประมวลผลไว้จนกว่าผู้ควบคุมข้อมูลจะให้คำสั่งที่ชอบด้วยกฎหมาย

5. หน้าที่ของผู้ประมวลผลข้อมูล

ผู้ประมวลผลข้อมูลตกลงที่จะ:

1. ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่จัดทำเป็นเอกสารของผู้ควบคุมข้อมูลเท่านั้น ตามที่กำหนดไว้ใน DPA ฉบับนี้และข้อกำหนดในการให้บริการ เว้นแต่ในกรณีที่กฎหมายที่เกี่ยวข้องกำหนดให้ต้องดำเนินการเช่นนั้น
2. ดูแลให้บุคลากรทั้งหมดที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลผูกพันตามข้อผูกพันด้านการรักษาความลับที่เหมาะสม
3. ดำเนินมาตรการความปลอดภัยทางเทคนิคและเชิงองค์กรที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคลจากการประมวลผลโดยไม่ได้รับอนุญาตหรือโดยไม่ชอบด้วยกฎหมาย การสูญหาย การทำลาย หรือความเสียหายโดยอุบัติเหตุ (ดูหัวข้อ 7)
4. ไม่ว่าจ้างผู้ประมวลผลช่วงใด ๆ โดยไม่ได้แจ้งให้ผู้ควบคุมข้อมูลทราบล่วงหน้า และในกรณีที่จำเป็น ต้องได้รับความยินยอมเป็นลายลักษณ์อักษรล่วงหน้า (ดูหัวข้อ 6)
5. ช่วยเหลือผู้ควบคุมข้อมูลในการปฏิบัติตามหน้าที่ในการตอบสนองต่อคำขอของเจ้าของข้อมูล เท่าที่เป็นไปได้ในทางเทคนิคและภายในขอบเขตการควบคุมข้อมูลของผู้ประมวลผลข้อมูล
6. ช่วยเหลือผู้ควบคุมข้อมูล โดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่ผู้ประมวลผลข้อมูลมีอยู่ ในการดูแลให้เป็นไปตาม GDPR Articles 32–36 (ความปลอดภัย การแจ้งเหตุละเมิด DPIA การปรึกษาล่วงหน้า)
7. ตามที่ผู้ควบคุมข้อมูลเลือก ลบหรือส่งคืนข้อมูลส่วนบุคคลทั้งหมดเมื่อสิ้นสุดความสัมพันธ์ในการให้บริการ และลบสำเนาที่มีอยู่ เว้นแต่กฎหมายที่เกี่ยวข้องกำหนดให้ต้องเก็บรักษาไว้
8. จัดให้ผู้ควบคุมข้อมูลเข้าถึงข้อมูลทั้งหมดที่จำเป็นตามสมควรเพื่อแสดงการปฏิบัติตาม DPA ฉบับนี้ และให้ความร่วมมือในการตรวจสอบหรือตรวจตราที่ดำเนินการโดยผู้ควบคุมข้อมูลหรือผู้ตรวจสอบที่ได้รับอนุญาต โดยมีเงื่อนไขว่าผู้ควบคุมข้อมูลแจ้งล่วงหน้าตามสมควรและการตรวจสอบดังกล่าวไม่รบกวนการดำเนินงานของผู้ประมวลผลข้อมูลเกินสมควร

6. ผู้ประมวลผลช่วง

ผู้ควบคุมข้อมูลให้การอนุญาตทั่วไปเป็นลายลักษณ์อักษรแก่ผู้ประมวลผลข้อมูลในการว่าจ้างผู้ประมวลผลช่วงในประเภทต่อไปนี้เพื่อให้บริการ:

• โครงสร้างพื้นฐานคลาวด์ — บริการโฮสติ้ง การจัดเก็บ และการประมวลผล
• ผู้ประมวลผลการชำระเงิน — การเรียกเก็บค่าสมาชิกจากผู้ขายเท่านั้น — ไม่มีการประมวลผลข้อมูลการชำระเงินของลูกค้า
• อีเมลธุรกรรม — โครงสร้างพื้นฐานการส่งอีเมลสำหรับการแจ้งเตือนออเดอร์และการติดต่อสื่อสารเรื่องบัญชี
• การตรวจสอบข้อผิดพลาด — การติดตามข้อผิดพลาดของแอปพลิเคชันและการตรวจสอบประสิทธิภาพ

ผู้ประมวลผลข้อมูลจะกำหนดข้อผูกพันด้านการคุ้มครองข้อมูลให้กับผู้ประมวลผลช่วงทั้งหมดอย่างน้อยเทียบเท่ากับที่กำหนดไว้ใน DPA ฉบับนี้ ผู้ประมวลผลข้อมูลยังคงรับผิดต่อผู้ควบคุมข้อมูลสำหรับการกระทำและการละเว้นของผู้ประมวลผลช่วงของตน

ผู้ประมวลผลข้อมูลจะแจ้งให้ผู้ควบคุมข้อมูลทราบถึงการเพิ่มหรือเปลี่ยนผู้ประมวลผลช่วงที่ตั้งใจจะดำเนินการ โดยการปรับปรุง DPA ฉบับนี้หรือออกประกาศไปยังที่อยู่อีเมลที่ลงทะเบียนไว้ของผู้ควบคุมข้อมูล หากผู้ควบคุมข้อมูลคัดค้านผู้ประมวลผลช่วงรายใหม่ด้วยเหตุผลด้านการคุ้มครองข้อมูลอันสมเหตุสมผล ผู้ประมวลผลข้อมูลจะใช้ความพยายามตามสมควรในการจัดให้มีการเปลี่ยนแปลงบริการที่หลีกเลี่ยงการใช้ผู้ประมวลผลช่วงรายนั้น หากไม่สามารถดำเนินการเปลี่ยนแปลงดังกล่าวได้ภายใน 30 วัน ฝ่ายใดฝ่ายหนึ่งอาจบอกเลิกบริการได้โดยไม่มีค่าปรับด้วยการแจ้งเป็นลายลักษณ์อักษร

7. มาตรการความปลอดภัย

ผู้ประมวลผลข้อมูลดำรงไว้ซึ่งมาตรการทางเทคนิคและเชิงองค์กรที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคล ซึ่งรวมถึง:

• การเข้ารหัสข้อมูลส่วนบุคคลระหว่างการส่ง (TLS) และขณะจัดเก็บ
• การควบคุมการเข้าถึงที่จำกัดการเข้าถึงข้อมูลส่วนบุคคลให้เฉพาะบุคลากรที่ได้รับอนุญาตซึ่งมีความจำเป็นต้องทราบ
• การจัดเก็บข้อมูลรับรองบัญชีด้วยการแฮช (ไม่เคยจัดเก็บรหัสผ่านเป็นข้อความธรรมดา)
• การทดสอบความปลอดภัยและการประเมินช่องโหว่อย่างสม่ำเสมอ
• การบันทึกและการตรวจสอบการเข้าถึงระบบที่ประมวลผลข้อมูลส่วนบุคคล
• การลดข้อมูลให้น้อยที่สุด — เก็บรวบรวมเท่าที่จำเป็นสำหรับบริการเท่านั้น
• การแยกข้อมูลของผู้เช่า — ข้อมูลของผู้ขายแต่ละรายถูกแยกออกจากข้อมูลของผู้ขายรายอื่นอย่างเป็นเหตุเป็นผล

มาตรการเหล่านี้ได้รับการทบทวนและปรับปรุงเป็นระยะเพื่อสะท้อนภัยคุกคามที่เปลี่ยนแปลงไปและแนวปฏิบัติที่ดีที่สุด

8. การแจ้งเหตุการณ์ด้านความปลอดภัย

ในกรณีที่เกิดเหตุการณ์ด้านความปลอดภัยที่ได้รับการยืนยันแล้วซึ่งกระทบต่อข้อมูลส่วนบุคคลที่ประมวลผลภายใต้ DPA ฉบับนี้ ผู้ประมวลผลข้อมูลจะแจ้งให้ผู้ควบคุมข้อมูลทราบโดยไม่ชักช้าเกินควร และในกรณีที่เป็นไปได้ ภายใน 72 ชั่วโมงนับจากที่ทราบเหตุการณ์ดังกล่าว การแจ้งดังกล่าวจะรวมถึงข้อมูลต่อไปนี้เท่าที่ทราบในขณะนั้น:

• คำอธิบายลักษณะของเหตุการณ์ด้านความปลอดภัย
• ประเภทและจำนวนโดยประมาณของเจ้าของข้อมูลและรายการข้อมูลส่วนบุคคลที่ได้รับผลกระทบ
• ผลที่อาจตามมาจากเหตุการณ์ด้านความปลอดภัย
• มาตรการที่ได้ดำเนินการหรือที่เสนอเพื่อจัดการกับเหตุการณ์ด้านความปลอดภัยและบรรเทาผลกระทบ

ผู้ควบคุมข้อมูลเป็นผู้รับผิดชอบแต่เพียงผู้เดียวในการพิจารณาว่าเหตุการณ์ด้านความปลอดภัยนั้นต้องรายงานต่อหน่วยงานกำกับดูแลหรือต้องแจ้งให้เจ้าของข้อมูลที่ได้รับผลกระทบทราบตามกฎหมายที่เกี่ยวข้องหรือไม่ การที่ผู้ประมวลผลข้อมูลแจ้งเหตุการณ์ด้านความปลอดภัยไม่ถือเป็นการยอมรับความผิดหรือความรับผิด

9. การโอนย้ายข้อมูลระหว่างประเทศ

โครงสร้างพื้นฐานของแพลตฟอร์ม DabDash ดำเนินงานอยู่ในสหรัฐอเมริกา ในกรณีที่ข้อมูลส่วนบุคคลของเจ้าของข้อมูลในเขต EEA สหราชอาณาจักร หรือสวิตเซอร์แลนด์ ถูกโอนไปยังสหรัฐอเมริกาหรือเขตอำนาจอื่นที่ European Commission ไม่ได้รับรองว่ามีระดับการคุ้มครองข้อมูลที่เพียงพอ ให้ใช้กลไกการโอนต่อไปนี้:

Standard Contractual Clauses ("SCCs") ที่ได้รับการอนุมัติโดย European Commission ภายใต้ Commission Implementing Decision 2021/914 (Module Two: Controller to Processor) ถูกรวมเข้ากับ DPA ฉบับนี้โดยการอ้างอิง ในกรณีที่มีข้อขัดแย้งระหว่าง SCCs กับ DPA ฉบับนี้ ให้ยึด SCCs เป็นหลักในส่วนที่เกี่ยวกับการโอนข้อมูลในเขต EEA สำหรับการโอนของสหราชอาณาจักร ให้รวม UK International Data Transfer Addendum to the SCCs ("UK Addendum") เข้าไว้โดยการอ้างอิง สำหรับการโอนของสวิตเซอร์แลนด์ ให้ใช้ข้อกำหนดของ Swiss Federal Data Protection Act

คู่สัญญาตกลงว่า DPA ฉบับนี้และข้อกำหนดในการให้บริการรวมกันถือเป็น "คำสั่งที่จัดทำเป็นเอกสาร" ที่อ้างถึงใน SCCs

10. การช่วยเหลือเรื่องสิทธิของเจ้าของข้อมูล

ผู้ประมวลผลข้อมูลจะช่วยเหลือผู้ควบคุมข้อมูลในการตอบสนองต่อคำขอของเจ้าของข้อมูลดังต่อไปนี้:

• การเข้าถึงและการโอนย้าย — ผู้ควบคุมข้อมูลสามารถส่งออกข้อมูลลูกค้าในรูปแบบ CSV จากแดชบอร์ดการวิเคราะห์ได้ทุกเมื่อ
• การลบ — เมื่อผู้ควบคุมข้อมูลร้องขอเป็นลายลักษณ์อักษร (ยื่นผ่านแบบฟอร์มติดต่อ) ผู้ประมวลผลข้อมูลจะลบข้อมูลส่วนบุคคลของเจ้าของข้อมูลที่ระบุออกจากแพลตฟอร์มภายใน 30 วัน ภายใต้ข้อผูกพันการเก็บรักษาตามกฎหมายใด ๆ
• การแก้ไขให้ถูกต้อง — ผู้ควบคุมข้อมูลสามารถแก้ไขข้อมูลส่วนบุคคลได้โดยตรงภายในแดชบอร์ดของแพลตฟอร์ม ผู้ประมวลผลข้อมูลจะดำเนินการแก้ไขที่ผู้ควบคุมข้อมูลทำไว้โดยทันที

ผู้ควบคุมข้อมูลมีหน้าที่รับผิดชอบในการยืนยันตัวตนของเจ้าของข้อมูลที่ยื่นคำขอก่อนที่จะสั่งให้ผู้ประมวลผลข้อมูลดำเนินการตามคำขอนั้น ผู้ประมวลผลข้อมูลไม่รับผิดชอบต่อคำขอของเจ้าของข้อมูลที่ยื่นต่อผู้ประมวลผลข้อมูลโดยตรง คำขอใด ๆ เช่นนั้นจะถูกส่งต่อไปยังผู้ควบคุมข้อมูล

11. การลบและการส่งคืนข้อมูล

เมื่อสิ้นสุดอายุหรือบอกเลิกการสมัครสมาชิกของผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูลจะเก็บรักษาข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลไว้เป็นเวลา 30 วันตามที่อธิบายไว้ในข้อกำหนดในการให้บริการ ซึ่งในช่วงนี้ผู้ควบคุมข้อมูลสามารถขอส่งออกข้อมูลได้ หลังจากระยะเวลาการเก็บรักษานี้ ผู้ประมวลผลข้อมูลจะลบข้อมูลส่วนบุคคลทั้งหมดที่ประมวลผลภายใต้ DPA ฉบับนี้ออกจากระบบของตน เว้นแต่เท่าที่กฎหมายที่เกี่ยวข้องกำหนดให้ต้องเก็บรักษานานกว่านั้น ข้อมูลแบบไม่ระบุตัวตนหรือข้อมูลรวมที่ไม่สามารถระบุตัวบุคคลซ้ำได้ ไม่อยู่ภายใต้ข้อผูกพันในการลบนี้

12. ระยะเวลา

DPA ฉบับนี้มีผลบังคับใช้นับจากวันที่ผู้ควบคุมข้อมูลยอมรับข้อกำหนดในการให้บริการ และมีผลบังคับใช้ต่อเนื่องตลอดระยะเวลาของข้อกำหนดในการให้บริการ และจะสิ้นสุดลงโดยอัตโนมัติเมื่อสิ้นสุดอายุหรือบอกเลิกข้อกำหนดในการให้บริการ ภายใต้ข้อผูกพันหลังการบอกเลิกใด ๆ ที่กำหนดไว้อย่างชัดแจ้งใน DPA ฉบับนี้

13. กฎหมายที่ใช้บังคับ

DPA ฉบับนี้อยู่ภายใต้บังคับของกฎหมายแห่งรัฐ Florida สหรัฐอเมริกา ยกเว้นว่า Standard Contractual Clauses (และ UK Addendum ในกรณีที่เกี่ยวข้อง) อยู่ภายใต้บังคับของกฎหมายที่ระบุไว้ในเอกสารนั้น ไม่มีข้อความใดใน DPA ฉบับนี้ที่จำกัดสิทธิของเจ้าของข้อมูลภายใต้กฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง

14. การติดต่อ

คำถามหรือคำขอภายใต้ DPA ฉบับนี้ควรส่งไปยัง Shadow Software LLC ผ่านแบบฟอร์มติดต่อของเรา คำขอลบข้อมูลของเจ้าของข้อมูลต้องยื่นเป็นลายลักษณ์อักษรผ่านแบบฟอร์มติดต่อ พร้อมข้อมูลที่เพียงพอในการระบุตัวเจ้าของข้อมูลและหน้าร้านที่เกี่ยวข้อง