ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล
1. คู่สัญญาและการมีผลใช้บังคับ
ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลนี้ (DPA) จัดทำระหว่างบริษัท เอฟจีซี จำกัด ในฐานะผู้ประมวลผลข้อมูล กับธุรกิจลูกค้าที่ระบุในใบสั่งซื้อที่ยอมรับร่วมกันในฐานะผู้ควบคุมข้อมูล มีผลเมื่อรวมเป็นส่วนหนึ่งของใบสั่งซื้อหรือได้รับการยอมรับแยกต่างหากจากทั้งสองฝ่าย การเผยแพร่หรืออ่านหน้านี้ไม่ทำให้เกิดข้อตกลงการประมวลผล สำหรับการประมวลผลแทนลูกค้า DPA นี้มีผลเหนือข้อกำหนดบริการทั่วไปที่ขัดกัน โดยอาจมีภาคผนวกคุ้มครองข้อมูลที่ตกลงเฉพาะเพิ่มเติม
2. รายละเอียดการประมวลผล
ข้อตกลงนี้ครอบคลุมการให้บริการ PorThorOS ที่ลูกค้าสมัคร ตลอดระยะเวลาที่ตกลงและกระบวนการคืนหรือลบข้อมูลภายหลัง กิจกรรมรวมถึงรับข้อมูลจากช่องทางที่อนุญาต จัดระเบียบ โฮสต์ เรียกดู เข้าถึง จัดทำรายงาน ส่งออก และลบ เจ้าของข้อมูลอาจเป็นเจ้าของธุรกิจ พนักงาน ผู้จัดหา ลูกค้า และผู้ป่วย ข้อมูลอาจรวมข้อมูลระบุตัวตนและติดต่อ สิทธิ์ใช้งาน บันทึกการขายและสต็อก ตลอดจนข้อมูลสุขภาพหรือใบสั่งจ่ายเมื่อเปิดใช้ ใบสั่งซื้อที่ยอมรับร่วมกันต้องระบุขอบเขตที่เปิดใช้และประเภทข้อมูลเพิ่มเติม
3. คำสั่งและการเก็บข้อมูลโดยชอบด้วยกฎหมาย
FGC ต้องประมวลผลข้อมูลลูกค้าตามคำสั่งที่ชอบด้วยกฎหมายและมีหลักฐานเท่านั้น รวมถึงใบสั่งซื้อและการใช้ฟีเจอร์ที่ได้รับอนุญาต เว้นแต่กฎหมายกำหนดเป็นอย่างอื่น FGC ต้องแจ้งลูกค้าเมื่อจำเป็นต้องดำเนินการต่างจากคำสั่งตามกฎหมาย เว้นแต่ถูกห้าม และแจ้งเมื่อเห็นว่าคำสั่งไม่ชอบด้วยกฎหมาย ลูกค้าต้องจัดให้มีฐานกฎหมาย ประกาศ ความยินยอมที่จำเป็น และจำกัดข้อมูลอ่อนไหวเฉพาะการใช้ที่จำเป็นและได้รับอนุญาต DPA นี้ไม่ใช่สิ่งทดแทนความยินยอมผู้ป่วยหรือข้อยกเว้นตามกฎหมาย
4. การรักษาความลับและความปลอดภัย
FGC ต้องจำกัดการเข้าถึงเฉพาะบุคลากรที่ได้รับอนุญาตและมีหน้าที่รักษาความลับ และใช้มาตรการทางเทคนิคและองค์กรที่เหมาะกับข้อมูลและความเสี่ยง รวมถึงการจัดการสิทธิ์ การจัดการข้อมูลอย่างปลอดภัย และการตอบสนองเหตุการณ์ คู่สัญญาต้องบันทึกข้อกำหนดความปลอดภัยเฉพาะบริการก่อนประมวลผลข้อมูลอ่อนไหว ลูกค้าต้องจัดการผู้ใช้ อุปกรณ์ และข้อมูลเข้าสู่ระบบของตน DPA นี้ไม่ใช่การรับรองมาตรฐานความปลอดภัยหรือการรับประกันระยะเวลากู้คืน
5. ผู้ประมวลผลช่วงและการโอนระหว่างประเทศ
ก่อนใช้ผู้ประมวลผลช่วงกับข้อมูลลูกค้า FGC ต้องแจ้งชื่อ บทบาท และสถานที่ประมวลผล และได้รับอนุญาตเป็นลายลักษณ์อักษรจากลูกค้าแบบเฉพาะหรือทั่วไป หากเป็นการอนุญาตทั่วไป FGC ต้องแจ้งการเปลี่ยนแปลงล่วงหน้าและให้โอกาสคัดค้านอย่างสมเหตุสมผลด้วยเหตุคุ้มครองข้อมูล FGC ต้องกำหนดหน้าที่ประมวลผลที่เทียบเท่าแก่ผู้ประมวลผลช่วงและยังรับผิดชอบการปฏิบัติหน้าที่เหล่านั้น การโอนออกนอกประเทศไทยต้องมีกลไกที่ชอบด้วยกฎหมายและมาตรการคุ้มครอง ต้องให้รายชื่อผู้ให้บริการและรายละเอียดการโอนประกอบการตกลงประมวลผล ผู้ให้บริการวิเคราะห์เว็บไซต์ไม่ได้รับอนุญาตให้ประมวลผลบันทึกผู้ป่วยโดยอัตโนมัติ
6. เหตุละเมิดข้อมูลส่วนบุคคล
FGC ต้องแจ้งลูกค้าโดยไม่ชักช้าเกินสมควรเมื่อทราบเหตุละเมิดที่กระทบข้อมูลลูกค้า ข้อมูลที่แจ้งต้องรวมลักษณะและขอบเขต ข้อมูลและบุคคลที่ได้รับผลกระทบเท่าที่ทราบ ผลที่อาจเกิดขึ้น มาตรการบรรเทา และผู้ติดต่อ โดยอาจทยอยแจ้งตามข้อมูลที่มี FGC ต้องร่วมมือในการสอบสวนและควบคุมเหตุ ลูกค้ายังคงรับผิดชอบการแจ้งหน่วยงานและบุคคลในฐานะผู้ควบคุมข้อมูลโดยมี FGC ช่วยเหลือ และ FGC ยังคงรับผิดชอบหน้าที่ตามกฎหมายของตน
7. คำขอใช้สิทธิ์และความช่วยเหลือด้านการปฏิบัติตามกฎหมาย
FGC ต้องส่งต่อคำขอเกี่ยวกับข้อมูลที่ลูกค้าควบคุมให้ลูกค้าโดยเร็ว และไม่ตัดสินใจเองเว้นแต่กฎหมายกำหนดหรือได้รับคำสั่ง โดยคำนึงถึงการประมวลผลและข้อมูลที่มี FGC ต้องช่วยเรื่องการเข้าถึง แก้ไข ลบ จำกัด โอนย้ายข้อมูล การแจ้งเหตุ และการประเมินความเสี่ยงที่เกี่ยวข้อง FGC ต้องเก็บบันทึกการประมวลผลที่จำเป็นและให้ข้อมูลที่สมเหตุสมผลเพื่อแสดงการปฏิบัติตามข้อตกลง รวมถึงการตรวจสอบตามสัดส่วนที่ตกลงพร้อมมาตรการปกป้องข้อมูลลูกค้ารายอื่น
8. การคืน การลบ และการเก็บตามกฎหมาย
เมื่อสิ้นสุดบริการหรือได้รับคำสั่งที่ชอบด้วยกฎหมาย FGC ต้องคืนหรือลบข้อมูลส่วนบุคคลตามที่ลูกค้าสั่ง ภายใต้ข้อกำหนดเก็บรักษาตามกฎหมาย ก่อนปิดบัญชี คู่สัญญาต้องบันทึกวิธีส่งออก กำหนดส่งและลบ การจัดการข้อมูลสำรอง และบันทึกที่ต้องเก็บ สำเนาที่เก็บต้องได้รับการคุ้มครองและจำกัดการใช้ตามวัตถุประสงค์การเก็บ โดย FGC ต้องยืนยันการดำเนินการเสร็จเมื่อร้องขอ ข้อพิพาทค่าบริการไม่ยกเว้นหน้าที่คุ้มครองข้อมูลตามกฎหมาย
9. ผู้ติดต่อและการประมวลผลของ FGC เอง
ลูกค้าต้องกำหนดผู้มีอำนาจสั่งการและผู้ติดต่อกรณีเหตุการณ์ พร้อมปรับข้อมูลให้เป็นปัจจุบัน ส่งคำขอและแจ้งเหตุไปที่ hello@porthoros.com โดยระบุธุรกิจและไม่แนบข้อมูลอ่อนไหวเกินจำเป็น การประมวลผลของ FGC เองเพื่อดูแลบริการ เรียกเก็บเงิน และความปลอดภัยอธิบายในนโยบายความเป็นส่วนตัว ไม่ใช่การอนุญาตให้นำบันทึกผู้ป่วยไปใช้ในการตลาด
10. กฎหมาย การเปลี่ยนแปลง และรายละเอียดใบสั่งซื้อ
DPA นี้อยู่ภายใต้กฎหมายไทยและกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ การเปลี่ยนแปลงต้องผ่านกระบวนการตกลงที่เกี่ยวข้อง ไม่ใช่เพียงอัปเดตเว็บไซต์ ก่อนยอมรับใบสั่งซื้อที่เกี่ยวกับข้อมูลส่วนบุคคล คู่สัญญาต้องบันทึกตัวตนลูกค้า ขอบเขต ผู้ติดต่อที่ได้รับอนุญาต ผู้ประมวลผลช่วงและสถานที่ ข้อกำหนดความปลอดภัย และการคืนหรือลบข้อมูล มีฉบับภาษาไทยและอังกฤษ โดยลำดับความสำคัญของภาษาที่ตกลงต้องอยู่ในใบสั่งซื้อ
