กฎบัตรกฎหมายความเป็นส่วนตัว

วันที่ – วางจำหน่าย 01/01/2020

แก้ไขล่าสุดเมื่อ – 12/06/2023

การบังคับใช้:

เอกสารนี้ (“ข้อกำหนด”) ถือเป็นส่วนหนึ่งที่สำคัญและมีผลผูกพันทางกฎหมายของข้อตกลงบริการหลัก คำชี้แจงงาน หรือสัญญาอื่น (“ข้อตกลง”) ระหว่าง Shaip (“บริษัท”) และผู้ให้บริการ (“ผู้ขาย/ผู้ประกอบอาชีพอิสระ/ที่ปรึกษา”)

1 คำนิยาม

เพื่อวัตถุประสงค์ของข้อกำหนดเหล่านี้ คำศัพท์ต่อไปนี้จะมีความหมายตามที่กำหนดไว้ด้านล่าง:

• “กฎหมายคุ้มครองข้อมูลที่บังคับใช้” หมายถึงกฎหมาย กฎเกณฑ์ และข้อบังคับระดับนานาชาติ ระดับรัฐบาลกลาง ระดับรัฐ และระดับท้องถิ่นทั้งหมดที่บังคับใช้กับการประมวลผลข้อมูลส่วนบุคคล รวมถึงแต่ไม่จำกัดเพียง GDPR, UK GDPR, CCPA/CPRA, HIPAA, PIPEDA และ LGPD
• “ข้อมูลบริษัท” หมายถึงข้อมูล ข่าวสาร และสื่อทั้งหมด ไม่ว่าในรูปแบบหรือสื่อใดๆ ที่ผู้ขายมอบให้แก่หรือในนามของบริษัท หรือที่ผู้ขายรวบรวม สร้างขึ้น ได้มา ทำให้เป็นนามแฝง ทำให้ไม่ระบุตัวตน (หากสามารถย้อนกลับได้) หรือประมวลผลในนามของบริษัท ซึ่งรวมถึงข้อมูลโครงการและข้อมูลส่วนบุคคลใดๆ
• “การละเมิดข้อมูล” หมายถึงการละเมิดความปลอดภัยที่เกิดขึ้นจริงหรือสงสัยว่าเกิดขึ้น ซึ่งนำไปสู่การทำลาย การสูญหาย การเปลี่ยนแปลง การเปิดเผยโดยไม่ได้รับอนุญาต หรือการเข้าถึงข้อมูลของบริษัทโดยไม่ได้ตั้งใจหรือผิดกฎหมาย
• "จีดีพี" หมายถึงข้อบังคับทั่วไปเกี่ยวกับการคุ้มครองข้อมูล (EU) 2016/679
• "ข้อมูลส่วนบุคคล" หมายถึงข้อมูลใด ๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้ (“เจ้าของข้อมูล”) ที่มีอยู่ในข้อมูลของบริษัท
• “ข้อมูลส่วนบุคคลที่ละเอียดอ่อน” หมายถึงหมวดหมู่ข้อมูลใดๆ ที่ถือว่าละเอียดอ่อนภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ รวมถึงแต่ไม่จำกัดเพียงเชื้อชาติหรือชาติพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนาหรือปรัชญา การเป็นสมาชิกสหภาพแรงงาน ข้อมูลทางพันธุกรรม ข้อมูลชีวมาตร ข้อมูลเกี่ยวกับสุขภาพ หรือข้อมูลเกี่ยวกับชีวิตทางเพศหรือรสนิยมทางเพศของบุคคลธรรมดา
• “ กำลังประมวลผล” หมายถึงการดำเนินการใดๆ ที่ดำเนินการกับข้อมูลของบริษัท เช่น การรวบรวม การบันทึก การจัดระเบียบ การจัดเก็บ การดัดแปลง การดึงข้อมูล การใช้ การเปิดเผย การเผยแพร่ หรือการทำลาย
• “ข้อมูลโครงการ” หมายถึงข้อมูลเฉพาะ (เช่น เสียง รูปภาพ ข้อความ) ที่ผู้ขายรวบรวมหรือสร้างขึ้นเป็นส่วนหนึ่งของบริการที่ส่งมอบให้กับบริษัท
• “ผู้ประมวลผลย่อย” หมายถึงบุคคลที่สามที่ผู้ขายว่าจ้างให้ประมวลผลข้อมูลของบริษัท

2. บทบาทและภาระผูกพันของผู้ขาย

2.1 บทบาทในฐานะผู้ประมวลผล/ผู้ประมวลผลย่อยผู้ขายรับทราบว่าในการประมวลผลข้อมูลของบริษัท ผู้ขายทำหน้าที่เป็น “ผู้ประมวลผล” หรือ “ผู้ประมวลผลย่อย” ในนามของบริษัท ผู้ขายไม่มีกรรมสิทธิ์หรือสิทธิอิสระใดๆ ในข้อมูลของบริษัท

2.2 การประมวลผลตามคำสั่งผู้ให้บริการจะต้องประมวลผลข้อมูลของบริษัทตามคำสั่งที่ถูกต้องตามกฎหมายและบันทึกไว้ของบริษัทเท่านั้น ซึ่งรวมถึงคำสั่งที่ระบุไว้ในข้อตกลงและเอกสารขอบเขตงานที่เกี่ยวข้อง ผู้ให้บริการถูกห้ามอย่างเด็ดขาดไม่ให้ประมวลผลข้อมูลของบริษัทเพื่อวัตถุประสงค์ของตนเองหรือเพื่อวัตถุประสงค์ใดๆ ที่ไม่ได้ระบุไว้อย่างชัดเจนโดยบริษัท คำสั่งดังกล่าวจะต้องรวมถึงข้อกำหนดเกี่ยวกับการเก็บรักษาและการทำลายข้อมูล หากผู้ให้บริการเชื่อว่าคำสั่งใดๆ ละเมิดกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง ผู้ให้บริการจะต้องแจ้งให้บริษัททราบทันที

2.3 การปฏิบัติตามกฎหมายผู้ขายรับประกันและรับรองว่าจะปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้องทั้งหมดในการดำเนินการตามข้อตกลงนี้ และจะแจ้งให้บริษัททราบโดยทันทีหากกฎหมายใดขัดขวางการปฏิบัติตามหรือกำหนดให้ต้องเปิดเผยข้อมูลของบริษัท (เช่น คำขอเข้าถึงข้อมูลจากหน่วยงานรัฐ)

3. มาตรการรักษาความปลอดภัยทางเทคนิคและองค์กร

3.1 มาตรฐานความปลอดภัยผู้ขายจะต้องดำเนินการและบำรุงรักษามาตรการรักษาความปลอดภัยทางเทคนิคและองค์กรที่เหมาะสมเพื่อปกป้องข้อมูลของบริษัทจากการรั่วไหลของข้อมูล มาตรการเหล่านี้จะต้องสอดคล้องกับระดับความเสี่ยงและลักษณะของข้อมูล และอย่างน้อยที่สุดจะต้องรวมถึง:

1. การเข้ารหัสลับ: การเข้ารหัสข้อมูลทั้งหมดของบริษัททั้งที่อยู่นิ่งและระหว่างการส่ง
2. การควบคุมการเข้าถึง: การควบคุมการเข้าถึงที่เข้มงวดโดยยึดตามสิทธิ์ที่น้อยที่สุด เพื่อให้แน่ใจว่าเฉพาะบุคลากรที่ได้รับอนุญาตเท่านั้นที่มีสิทธิ์เข้าถึงข้อมูลของบริษัท
3. การลดขนาดข้อมูล: การรวบรวมและประมวลผลเฉพาะข้อมูลส่วนบุคคลขั้นต่ำที่จำเป็นสำหรับโครงการที่ระบุ
4. สภาพแวดล้อมที่ปลอดภัย: การรับรองว่าระบบทั้งหมดที่ใช้ในการประมวลผลข้อมูลของบริษัทได้รับการกำหนดค่า แพตช์ บันทึก และตรวจสอบอย่างปลอดภัย
5. การลบอย่างปลอดภัย: ดำเนินการตามกระบวนการเพื่อลบข้อมูลของบริษัทอย่างปลอดภัยและถาวรตามคำสั่งของบริษัท รวมถึงการลบข้อมูลออกจากการสำรองข้อมูล
6. ความปลอดภัยทางกายภาพ: การรักษาความปลอดภัยสถานที่ทางกายภาพและอุปกรณ์ทั้งหมดที่ใช้จัดเก็บหรือเข้าถึงข้อมูลของบริษัท
7. การทดสอบและการติดตาม: การทดสอบการเจาะระบบ การประเมินช่องโหว่ และการตรวจสอบอย่างต่อเนื่อง
8. ต่อเนื่องทางธุรกิจ: การรักษาแผนตอบสนองต่อเหตุการณ์ การกู้คืนจากภัยพิบัติ และแผนความต่อเนื่องทางธุรกิจ

4. การประมวลผลย่อย

4.1 ต้องได้รับความยินยอมล่วงหน้าผู้ขายจะไม่ว่าจ้างผู้ประมวลผลย่อยใดๆ เพื่อประมวลผลข้อมูลของบริษัทโดยไม่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากบริษัทก่อน

4.2 การถ่ายทอดภาระผูกพันหากได้รับความยินยอม ผู้ขายจะต้องทำข้อตกลงเป็นลายลักษณ์อักษรกับผู้รับช่วงดำเนินการ ซึ่งกำหนดให้ผู้รับช่วงดำเนินการมีภาระผูกพันด้านการคุ้มครองข้อมูลที่เข้มงวดเท่าเทียมหรือเข้มงวดกว่าภาระผูกพันที่ผู้ขายต้องปฏิบัติตามในข้อกำหนดเหล่านี้

4.3 รายชื่อผู้ประมวลผลย่อยผู้ขายต้องจัดทำรายชื่อผู้ประมวลผลย่อยให้เป็นปัจจุบันอยู่เสมอ และส่งให้บริษัทเมื่อได้รับการร้องขอ บริษัทสงวนสิทธิ์ที่จะคัดค้านผู้ประมวลผลย่อยใดๆ ได้ตลอดเวลา

4.4 ความรับผิดชอบเต็มจำนวนผู้ขายยังคงรับผิดชอบต่อบริษัทเต็มจำนวนสำหรับการปฏิบัติตามภาระผูกพันของผู้รับช่วงงาน และสำหรับการกระทำหรือการละเว้นการกระทำใดๆ ของผู้รับช่วงงาน

5. การแจ้งเตือนและการจัดการการละเมิดข้อมูล

5.1 การแจ้งให้ทราบทันทีผู้ขายจะต้องแจ้งให้บริษัททราบเป็นลายลักษณ์อักษรโดยไม่ชักช้า และไม่เกินยี่สิบสี่ (24) ชั่วโมงหลังจากที่ทราบถึงการละเมิดข้อมูลเป็นครั้งแรก

5.2 รายละเอียดการละเมิดข้อมูลการแจ้งเตือนจะต้องมีข้อมูลอย่างน้อยดังต่อไปนี้:

1. อธิบายลักษณะของการละเมิดข้อมูล รวมถึงหมวดหมู่และจำนวนโดยประมาณของเจ้าของข้อมูลและบันทึกข้อมูลที่เกี่ยวข้อง
2. ระบุชื่อและรายละเอียดการติดต่อของเจ้าหน้าที่คุ้มครองข้อมูลของผู้ขายหรือจุดติดต่อที่เกี่ยวข้องอื่นๆ
3. อธิบายผลที่อาจเกิดขึ้นจากการละเมิดข้อมูล
4. อธิบายมาตรการที่ผู้ขายใช้หรือเสนอให้ใช้เพื่อแก้ไขการละเมิดข้อมูลและบรรเทาผลกระทบ

5.3 การอัปเดตอย่างต่อเนื่องผู้ขายจะต้องให้ข้อมูลอัปเดตเป็นประจำจนกว่าปัญหาจะได้รับการแก้ไขอย่างสมบูรณ์

5.4 ความร่วมมือผู้ขายต้องให้ความร่วมมืออย่างเต็มที่กับบริษัทในการตรวจสอบ การแก้ไข และการแจ้งเตือนเกี่ยวกับการละเมิดข้อมูลใดๆ ผู้ขายต้องรับผิดชอบค่าใช้จ่ายทั้งหมดที่เกี่ยวข้องกับการละเมิดข้อมูลในส่วนที่เกิดจากการละเมิดข้อกำหนดเหล่านี้ของตนเอง

6. การถ่ายโอนข้อมูลระหว่างประเทศ

6.1ผู้ขายจะต้องไม่โอนย้ายข้อมูลของบริษัทข้ามพรมแดนระหว่างประเทศโดยไม่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากบริษัทก่อน ผู้ขายต้องระบุประเทศทั้งหมดที่จะประมวลผลข้อมูลของบริษัท

6.2ในกรณีที่จำเป็น ผู้ขายตกลงที่จะเข้าทำข้อตกลงตามข้อกำหนดมาตรฐาน (SCCs) ข้อบังคับขององค์กร (BCRs) ข้อตกลงเพิ่มเติมของสหราชอาณาจักร หรือกลไกอื่นใดที่บริษัทกำหนด เพื่อให้มั่นใจได้ว่าการถ่ายโอนข้อมูลเป็นไปอย่างถูกต้องตามกฎหมาย

6.3ผู้ขายต้องปฏิบัติตามข้อกำหนดเกี่ยวกับการจัดเก็บข้อมูลในท้องถิ่นตามที่เกี่ยวข้อง

7. การตรวจสอบและการตรวจสอบ

บริษัทหรือผู้ตรวจสอบบัญชีภายนอกที่ได้รับมอบหมาย มีสิทธิ์ดำเนินการตรวจสอบบัญชีโดยออกค่าใช้จ่ายเอง เพื่อยืนยันการปฏิบัติตามข้อกำหนดเหล่านี้ของผู้ขาย ผู้ขายจะต้องให้ข้อมูล เอกสารประกอบ และสิทธิ์ในการเข้าถึงสถานที่และบุคลากรที่จำเป็นทั้งหมด

ผู้ขายจะต้องดำเนินการรับรองจากบุคคลที่สามเป็นประจำ (เช่น ISO 27001, SOC 2) และ/หรือการประเมินตนเอง และแก้ไขข้อบกพร่องใดๆ ที่พบในการตรวจสอบหรือการประเมินโดยทันทีภายในกรอบเวลาที่ตกลงร่วมกัน

8. ความช่วยเหลือด้านสิทธิ์ของเจ้าของข้อมูล

ผู้ขายจะต้องแจ้งบริษัททันที และไม่เกินสี่สิบแปด (48) ชั่วโมง หากได้รับคำขอจากเจ้าของข้อมูลเพื่อใช้สิทธิ์ (เช่น การเข้าถึง การแก้ไข การลบข้อมูล การเคลื่อนย้าย) ผู้ขายจะไม่ตอบสนองต่อคำขอดังกล่าวโดยตรง เว้นแต่จะได้รับคำสั่งจากบริษัท และจะต้องให้ความช่วยเหลือที่จำเป็นทั้งหมดเพื่อให้บริษัทสามารถดำเนินการตอบกลับได้

9. การส่งคืนและการลบข้อมูล

เมื่อสิ้นสุดข้อตกลงหรือตามคำขอของบริษัท ผู้ขายจะต้องลบหรือส่งคืนข้อมูลทั้งหมดของบริษัทอย่างปลอดภัยภายในสามสิบ (30) วัน ตามที่บริษัทเลือก ผู้ขายจะต้องดำเนินการลบข้อมูลออกจากข้อมูลสำรอง และต้องแสดงหนังสือรับรองการลบข้อมูลดังกล่าวเป็นลายลักษณ์อักษร

10. หมวดหมู่พิเศษของข้อมูล

10.1 ข้อมูลด้านการดูแลสุขภาพ (HIPAA):หากผู้ขายดำเนินการประมวลผลข้อมูลสุขภาพที่ได้รับการคุ้มครอง (PHI) ผู้ขายรับทราบว่าตนเป็น “ผู้ร่วมธุรกิจ” (หรือผู้รับเหมาช่วงของผู้ร่วมธุรกิจ) ภายใต้ HIPAA ผู้ขายต้องปฏิบัติตามข้อกำหนดของ HIPAA และต้องลงนามในข้อตกลงผู้ร่วมธุรกิจ (BAA) ของบริษัท

10.2 ข้อมูลสำคัญอื่นๆ:สำหรับโครงการที่เกี่ยวข้องกับข้อมูลส่วนบุคคลที่ละเอียดอ่อน (รวมถึงข้อมูลชีวมาตรหรือข้อมูลจากเด็ก) ผู้ให้บริการต้องได้รับอนุมัติจากบริษัทและปฏิบัติตามมาตรการรักษาความปลอดภัยและขั้นตอนการจัดการข้อมูลที่เข้มงวดมากขึ้นตามที่บริษัทกำหนด

11. การชดเชยความเสียหายและความรับผิด

ผู้ขายตกลงที่จะปกป้อง ชดเชยค่าเสียหาย และถือว่าบริษัท บริษัทในเครือ เจ้าหน้าที่ และลูกค้าไม่มีส่วนรับผิดใดๆ ทั้งสิ้นจากการเรียกร้อง ความรับผิดชอบ ความเสียหาย การสูญเสีย ค่าปรับ บทลงโทษ และค่าใช้จ่ายใดๆ ทั้งสิ้น (รวมถึงค่าธรรมเนียมทนายความที่สมเหตุสมผล) ที่เกิดขึ้นจากหรือเกี่ยวข้องกับการละเมิดข้อกำหนดเหล่านี้โดยผู้ขาย พนักงาน หรือผู้ประมวลผลย่อย

ความรับผิดชอบจะไม่ถูกจำกัดสำหรับการละเมิดที่เกี่ยวข้องกับการละเมิดข้อมูล ค่าปรับตามกฎระเบียบ การประพฤติมิชอบโดยเจตนา หรือการฉ้อโกง

12 บททั่วไป

12.1 หลักการสำคัญในกรณีที่มีข้อขัดแย้งใดๆ ระหว่างข้อกำหนดของข้อตกลงและข้อกำหนดเหล่านี้ ข้อกำหนดเหล่านี้จะมีผลบังคับใช้เหนือกว่าในส่วนที่เกี่ยวกับการคุ้มครองข้อมูล

12.2 การแก้ไขข้อกำหนดเหล่านี้สามารถแก้ไขได้โดยการแก้ไขเป็นลายลักษณ์อักษรที่ลงนามโดยผู้แทนที่ได้รับอนุญาตของทั้งสองฝ่ายเท่านั้น

12.3 การคงอยู่ของข้อผูกพัน ข้อผูกพันที่เกี่ยวข้องกับการรักษาความลับ การลบข้อมูล ความรับผิด และสิทธิ์ในการตรวจสอบ จะยังคงมีผลบังคับใช้ต่อไปแม้หลังจากข้อตกลงนี้สิ้นสุดลงแล้ว

12.4 กฎหมายที่ใช้บังคับข้อกำหนดเหล่านี้อยู่ภายใต้บังคับและตีความตามกฎหมายที่ใช้บังคับซึ่งระบุไว้ในข้อตกลงนี้