ข้อตกลงการประมวลผลข้อมูล

คู่สัญญา

ผู้ควบคุมข้อมูล("ผู้ว่าจ้าง")

ผู้ประมวลผล("Alvoru")

ต่อไปนี้เรียกรวมกันว่า: "คู่สัญญา".

โดยที่

• คู่สัญญาได้ทำสัญญาหลักซึ่งAlvoruในฐานะผู้ประมวลผลจะประมวลผลข้อมูลส่วนบุคคลในนามของผู้ว่าจ้าง(ต่อไปนี้: "สัญญาหลัก");
• ตามมาตรา28วรรค3 GDPRกำหนดให้ต้องมีข้อตกลงการประมวลผลข้อมูลเป็นลายลักษณ์อักษรซึ่งกำหนดข้อตกลงเกี่ยวกับวิธีที่ผู้ประมวลผลประมวลผลข้อมูลส่วนบุคคล;
• ข้อตกลงการประมวลผลข้อมูลนี้(ต่อไปนี้: "DPA")เป็นส่วนหนึ่งของสัญญาหลักทั้งหมด

มาตรา1—คำจำกัดความ

คำที่เขียนด้วยตัวพิมพ์ใหญ่ในDPAนี้มีความหมายตามที่กำหนดไว้ในGDPRเสริมด้วยคำจำกัดความในข้อกำหนดและเงื่อนไขทั่วไปของAlvoru

มาตรา2—หัวข้อและระยะเวลา

2.1 DPAนี้ควบคุมการประมวลผลข้อมูลส่วนบุคคลโดยAlvoruตามคำสั่งของผู้ว่าจ้างในกรอบของสัญญาหลัก

2.2 DPAนี้มีผลบังคับใช้ในวันที่สัญญาหลักเริ่มต้นและสิ้นสุดโดยผลของกฎหมายเมื่อสัญญาหลักสิ้นสุดลงโดยไม่กระทบต่อบทบัญญัติที่โดยธรรมชาติมุ่งหมายให้ยังคงมีผลบังคับใช้

มาตรา3—ลักษณะและวัตถุประสงค์ของการประมวลผล

3.1ลักษณะและวัตถุประสงค์ของการประมวลผลประกอบด้วยการให้บริการที่อธิบายไว้ในสัญญาหลัก(บริการลูกค้าAIซึ่งรวมถึงแชทบอท,อีเมลและปฏิทิน)

3.2 Alvoruประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่เป็นเอกสารของผู้ว่าจ้างเท่านั้นเว้นแต่มีภาระผูกพันทางกฎหมายที่แตกต่าง(มาตรา28วรรค3 sub a GDPR)ในกรณีหลังนี้Alvoruจะแจ้งผู้ว่าจ้างก่อนการประมวลผลเว้นแต่กฎหมายนั้นห้ามด้วยเหตุผลสำคัญ

มาตรา4—ประเภทข้อมูลส่วนบุคคลและประเภทของผู้ที่เกี่ยวข้อง

ประเภทข้อมูลส่วนบุคคลพิเศษ(มาตรา9 GDPR)และข้อมูลทางอาญา(มาตรา10 GDPR)จะไม่ถูกประมวลผลเว้นแต่มีการตกลงเพิ่มเติมเป็นลายลักษณ์อักษร

มาตรา5—ภาระผูกพันของผู้ประมวลผล

5.1 Alvoruประมวลผลข้อมูลส่วนบุคคลเฉพาะเพื่อวัตถุประสงค์ตามที่กำหนดไว้ในสัญญาหลักและDPAนี้และตามคำสั่งเป็นลายลักษณ์อักษรของผู้ว่าจ้าง

5.2 Alvoruรับประกันว่าบุคคลที่ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่รักษาความลับไม่ว่าจะโดยกฎหมายหรือโดยสัญญา

5.3 Alvoruให้ความช่วยเหลือที่สมเหตุสมผลแก่ผู้ว่าจ้างโดยคำนึงถึงลักษณะของการประมวลผลในการตอบสนองต่อคำขอของผู้ที่เกี่ยวข้องเพื่อใช้สิทธิของตนตามGDPR

5.4 Alvoruจัดหาข้อมูลทั้งหมดที่จำเป็นแก่ผู้ว่าจ้างเพื่อแสดงการปฏิบัติตามมาตรา28 GDPR

5.5 ข้อห้ามการฝึกAI Alvoruจะไม่ใช้ข้อมูลส่วนบุคคลที่ประมวลผลในนามของผู้ควบคุมข้อมูลเพื่อการฝึกฝน,ปรับแต่งหรือปรับปรุงโมเดลAIในทางอื่นใดหรือเพื่อพัฒนาแอปพลิเคชันAIของตนเองหรือของบุคคลที่สาม

มาตรา6—มาตรการความปลอดภัย(มาตรา32 GDPR)

Alvoruดำเนินมาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อรับประกันระดับความปลอดภัยที่สอดคล้องกับความเสี่ยงซึ่งรวมถึง:

• การเข้ารหัสระหว่างการขนส่ง(TLS 1.2+)และการเข้ารหัสขณะจัดเก็บที่ใช้ได้;
• การควบคุมการเข้าถึงตาม least privilege;การยืนยันตัวตนสองปัจจัยสำหรับผู้ดูแลระบบ;
• ไฟร์วอลล์,fail2banและการตรวจสอบการบุกรุก;
• การสำรองข้อมูลรายวันที่เข้ารหัสด้วยระยะเวลาจัดเก็บสูงสุด90วัน;
• สิทธิ์ไฟล์แบบจำกัด(600)บนไฟล์การกำหนดค่าและไฟล์ข้อมูล;
• การบันทึกและการตรวจสอบการเข้าถึงระบบการผลิต;
• การประเมินและปรับปรุงมาตรการความปลอดภัยเป็นระยะ

มาตรา7—ผู้ประมวลผลย่อย

7.1ผู้ว่าจ้างให้ความยินยอมเป็นลายลักษณ์อักษรทั่วไปแก่Alvoruในการใช้งานผู้ประมวลผลย่อยโดยมีเงื่อนไขว่าAlvoruปฏิบัติตามบทบัญญัติอื่นๆของมาตรานี้

7.2ผู้ประมวลผลย่อยที่ใช้งานอยู่ในปัจจุบันคือ:

7.3 Alvoru กำหนดให้ผู้ประมวลผลย่อยปฏิบัติตามภาระผูกพันด้านการคุ้มครองข้อมูลเดียวกันกับที่ระบุไว้ใน DPA ฉบับนี้ (มาตรา28วรรค4 GDPR)

7.4 Alvoru จะแจ้งผู้ควบคุมข้อมูลล่วงหน้าอย่างน้อย14วันเกี่ยวกับการเปลี่ยนหรือเพิ่มผู้ประมวลผลย่อย ผู้ควบคุมข้อมูลสามารถคัดค้านโดยมีเหตุผลภายในระยะเวลาดังกล่าว หากการคัดค้านมีมูล ผู้ควบคุมข้อมูลมีสิทธิ์ยกเลิกสัญญาหลักได้โดยไม่มีค่าใช้จ่าย

มาตรา8 — การถ่ายโอนข้อมูลออกนอกเขตEER

การถ่ายโอนข้อมูลส่วนบุคคลไปยังประเทศนอกเขตเศรษฐกิจยุโรปจะดำเนินการเฉพาะบนพื้นฐานของคำตัดสินความเพียงพอ (มาตรา45 GDPR) กฎเกณฑ์องค์กรที่มีผลผูกพัน ข้อสัญญามาตรฐานของสหภาพยุโรป (มาตรา46วรรค2ข้อย่อยc GDPR) หรือหลักประกันอื่นตามที่ GDPR กำหนด พร้อมด้วยมาตรการทางเทคนิคและองค์กรเพิ่มเติมตามที่จำเป็น

มาตรา9 — สิทธิ์ของเจ้าของข้อมูล

9.1 Alvoru ให้การสนับสนุนที่เหมาะสมแก่ผู้ควบคุมข้อมูลในการจัดการคำขอของเจ้าของข้อมูล (การเข้าถึง การแก้ไข การลบ การจำกัด การโอนย้าย การคัดค้าน) ผ่านฟังก์ชันทางเทคนิคในพอร์ทัลลูกค้าและความช่วยเหลือเพิ่มเติมเมื่อจำเป็น

9.2 Alvoru จะส่งต่อคำขอของเจ้าของข้อมูลที่เข้ามายัง Alvoru โดยตรงไปยังผู้ควบคุมข้อมูลโดยไม่ชักช้า

มาตรา10 — การรั่วไหลของข้อมูล

10.1 Alvoru แจ้งผู้ควบคุมข้อมูล โดยไม่ชักช้าและภายใน48ชั่วโมงเป็นอย่างช้า หลังจากตรวจพบการละเมิดที่เกี่ยวข้องกับข้อมูลส่วนบุคคล (มาตรา33วรรค2 GDPR) เพื่อให้ผู้ควบคุมข้อมูลสามารถปฏิบัติตามหน้าที่การแจ้งภายใน72ชั่วโมงต่อ Autoriteit Persoonsgegevens ได้ทันเวลา

10.2 การแจ้งประกอบด้วยอย่างน้อย: ลักษณะของการละเมิด ประเภทและจำนวนของเจ้าของข้อมูล ประเภทและจำนวนของบันทึกที่เกี่ยวข้อง ผลกระทบที่น่าจะเกิดขึ้น และมาตรการที่ได้ดำเนินการหรือเสนอ

10.3 Alvoru ให้ความช่วยเหลือที่เหมาะสมแก่ผู้ควบคุมข้อมูลในการแจ้งต่อ Autoriteit Persoonsgegevens และต่อเจ้าของข้อมูลเมื่อเกี่ยวข้อง

มาตรา11 — การตรวจสอบ

11.1 ผู้ควบคุมข้อมูลสามารถดำเนินการตรวจสอบ (หรือให้ดำเนินการ) การปฏิบัติตาม DPA ฉบับนี้ของ Alvoru ได้ปีละหนึ่งครั้งด้วยค่าใช้จ่ายของตนเอง หลังจากแจ้งเป็นลายลักษณ์อักษรล่วงหน้าอย่างน้อย30วัน

11.2 การตรวจสอบดำเนินการโดยผู้ตรวจสอบอิสระที่มีภาระผูกพันด้านการรักษาความลับ ในเวลาทำการ และในลักษณะที่ไม่รบกวนการดำเนินธุรกิจตามปกติของ Alvoru

11.3 แทนที่จะตรวจสอบ ณ สถานที่ Alvoru สามารถใช้รายงานปัจจุบันจากบุคคลที่สามอิสระ (เช่น ISO 27001 หรือ SOC 2) ได้ ตราบเท่าที่รายงานนี้ให้ความมั่นใจที่เพียงพอตามสมควร

มาตรา12 — การยกเลิกและการลบข้อมูล

12.1 หลังจากการยกเลิกสัญญาหลัก Alvoru จะลบหรือส่งคืนข้อมูลส่วนบุคคลทั้งหมดให้แก่ผู้ควบคุมข้อมูลตามที่ผู้ควบคุมข้อมูลเลือกและตามคำขอเป็นลายลักษณ์อักษรครั้งแรก ตามมาตรา28วรรค3ข้อย่อยg GDPR

12.2 คำขอดังกล่าวสามารถยื่นได้ภายใน60วันหลังจากการยกเลิก หากไม่มีการยื่น ข้อมูลจะถูกลบโดยอัตโนมัติหลังจาก60วัน

12.3 การสำรองข้อมูลแบบออฟไลน์จะถูกลบตามกำหนดการหมุนเวียนปกติ ภายใน90วันหลังจากการยกเลิกเป็นอย่างช้า

12.4 ข้อมูลที่ Alvoru ต้องเก็บรักษาตามกฎหมายจะถูกเก็บไว้ตามระยะเวลาที่กฎหมายกำหนด

มาตรา13 — ความรับผิด

13.1 ความรับผิดของ Alvoru ภายใต้ DPA ฉบับนี้รวมอยู่ในและถูกจำกัดโดยข้อกำหนดความรับผิดของข้อกำหนดและเงื่อนไขทั่วไปที่เกี่ยวข้องกับสัญญาหลัก

13.2 บทบัญญัติบังคับของ GDPR ยังคงไม่ได้รับผลกระทบ

มาตรา13a — บันทึกกิจกรรมการประมวลผล

Alvoru เก็บบันทึกกิจกรรมการประมวลผลตามมาตรา30 GDPR บันทึกนี้ประกอบด้วยอย่างน้อย: ชื่อและข้อมูลติดต่อของ Alvoru ในฐานะผู้ประมวลผล ประเภทของการประมวลผลที่ดำเนินการในนามของผู้ควบคุมข้อมูล การถ่ายโอนไปยังประเทศที่สามและหลักประกันที่ใช้ และคำอธิบายทั่วไปของมาตรการรักษาความปลอดภัยทางเทคนิคและองค์กร บันทึกนี้พร้อมให้ Autoriteit Persoonsgegevens ตรวจสอบเมื่อร้องขอ

มาตรา14 — กฎหมายที่ใช้บังคับและข้อพิพาท

DPA ฉบับนี้อยู่ภายใต้กฎหมายเนเธอร์แลนด์ ข้อพิพาทจะถูกนำเสนอต่อศาล Overijssel สาขา Almelo

การลงนาม

ส่งเวอร์ชันที่ลงนามแล้ว (สแกนหรือลงนามดิจิทัล) ไปที่ info@alvoru.com. Alvoru จะส่งสำเนาที่ลงนามร่วมกลับคืน