ข้อตกลงการประมวลผลข้อมูลฉบับนี้ (“DPA”) เป็นส่วนหนึ่งของข้อตกลงที่กำกับการใช้แพลตฟอร์มและบริการ KWIGA ซึ่งรวมถึง ข้อกำหนดและเงื่อนไขของ KWIGA (“ข้อตกลง”) ระหว่าง:
TUTERIA VCC, โดยมีที่อยู่จดทะเบียนที่ 17A Vrabcha Street, Floor 1, Apt 3, 1000 Sofia, Bulgaria (“KWIGA”, “TUTERIA”, “เรา”, “พวกเรา” หรือ “ผู้ประมวลผลข้อมูล”),
และ
บุคคล บริษัท องค์กร โรงเรียน ผู้เชี่ยวชาญ ผู้สร้างหลักสูตร หรือนิติบุคคลอื่นที่ใช้บริการ KWIGA และกำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคลผ่านแพลตฟอร์ม KWIGA (“ลูกค้า”, “ผู้ใช้แพลตฟอร์ม” หรือ “ผู้ควบคุมข้อมูล”)
DPA ฉบับนี้ใช้บังคับเมื่อและเท่าที่ TUTERIA VCC ประมวลผลข้อมูลส่วนบุคคลในนามของลูกค้าที่เกี่ยวข้องกับการให้บริการ KWIGA
DPA ฉบับนี้เป็นส่วนเพิ่มเติมของข้อตกลงและต้องตีความร่วมกับ นโยบายความเป็นส่วนตัว ของ KWIGA และเอกสารสัญญาอื่นที่ใช้บังคับ
เพื่อวัตถุประสงค์ของ DPA ฉบับนี้:
“กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ” หมายถึงกฎหมายคุ้มครองข้อมูลและความเป็นส่วนตัวทั้งหมดที่ใช้บังคับกับการประมวลผลข้อมูลส่วนบุคคลภายใต้ DPA ฉบับนี้ รวมถึง Regulation (EU) 2016/679 (“GDPR”) ในกรณีที่ใช้บังคับ
“ผู้ควบคุมข้อมูล”, “ผู้ประมวลผลข้อมูล”, “เจ้าของข้อมูล”, “ข้อมูลส่วนบุคคล”, “การประมวลผล”, “การละเมิดข้อมูลส่วนบุคคล” และ “หน่วยงานกำกับดูแล” มีความหมายตามที่กำหนดไว้ใน GDPR หรือกฎหมายคุ้มครองข้อมูลที่ใช้บังคับอื่น
“ลูกค้า” หมายถึงผู้ใช้แพลตฟอร์มที่ใช้บริการ KWIGA และกำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลบริการ
“ข้อมูลบริการ” หมายถึงข้อมูลส่วนบุคคลที่อัปโหลดไปยัง รวบรวมผ่าน สร้างขึ้นภายใน หรือประมวลผลผ่านแพลตฟอร์ม KWIGA ในลักษณะอื่นโดยหรือในนามของลูกค้าที่เกี่ยวข้องกับการใช้บริการของลูกค้า
ข้อมูลบริการอาจรวมถึงข้อมูลส่วนบุคคลที่ประมวลผลผ่าน KWIGA CRM, LMS, หลักสูตร, โปรแกรมการศึกษา, ฟังก์ชันการจัดการนักเรียนและลูกค้า, เครื่องมือการสื่อสาร, ระบบอัตโนมัติ, การประเมิน และฟีเจอร์อื่นของแพลตฟอร์มที่ลูกค้าใช้
“ผู้ประมวลผลข้อมูลช่วง” หมายถึงบุคคลที่สามที่ KWIGA ว่าจ้างให้ประมวลผลข้อมูลบริการในนามของลูกค้า
ในกรณีที่ลูกค้ากำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลบริการ ลูกค้าจะทำหน้าที่เป็นผู้ควบคุมข้อมูลของข้อมูลส่วนบุคคลดังกล่าว
ลูกค้ามีหน้าที่รับผิดชอบต่อกิจกรรมการประมวลผลของตนและการปฏิบัติตามภาระผูกพันที่ใช้บังคับกับผู้ควบคุมข้อมูลภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
ในกรณีที่ TUTERIA VCC ประมวลผลข้อมูลบริการในนามของลูกค้าและตามคำสั่งของลูกค้า TUTERIA VCC จะทำหน้าที่เป็นผู้ประมวลผลข้อมูล
TUTERIA VCC จะประมวลผลข้อมูลบริการดังกล่าวตาม DPA ฉบับนี้ ข้อตกลง คำสั่งที่จัดทำเป็นเอกสารของลูกค้า และกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ..
กิจกรรมการประมวลผลบางอย่างอาจดำเนินการโดย TUTERIA VCC เพื่อวัตถุประสงค์ที่ TUTERIA VCC กำหนดโดยอิสระ
วัตถุประสงค์ดังกล่าวอาจรวมถึง ในกรณีที่ใช้บังคับ:
การบริหารจัดการและการดำเนินงานของแพลตฟอร์ม KWIGA;
ความปลอดภัยและความสมบูรณ์ของแพลตฟอร์ม;
การป้องกันการฉ้อโกงและการใช้ในทางที่ผิด;
การตรวจจับและการสืบสวนการเข้าถึงโดยไม่ได้รับอนุญาตและเหตุการณ์ด้านความปลอดภัย;
การปฏิบัติตามภาระผูกพันทางกฎหมายหรือข้อบังคับ;
การจัดการความสัมพันธ์ตามสัญญาของ TUTERIA VCC เอง;
การก่อตั้ง การใช้สิทธิ หรือการต่อสู้คดีตามข้อเรียกร้องทางกฎหมาย; และ
วัตถุประสงค์อื่นตามที่อธิบายไว้ในนโยบายความเป็นส่วนตัวของ KWIGA
ในกรณีที่ TUTERIA VCC กำหนดวัตถุประสงค์และวิธีการประมวลผลดังกล่าวโดยอิสระ TUTERIA VCC จะทำหน้าที่เป็นผู้ควบคุมข้อมูลอิสระในส่วนที่เกี่ยวกับการประมวลผลนั้น
การประมวลผลดังกล่าวอยู่ภายใต้ นโยบายความเป็นส่วนตัว ของ KWIGA และกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ และไม่ถือเป็นการประมวลผลที่ดำเนินการโดย TUTERIA VCC ในฐานะผู้ประมวลผลข้อมูลภายใต้ DPA ฉบับนี้
ข้อเท็จจริงที่ว่าลูกค้าและ TUTERIA VCC อาจประมวลผลข้อมูลบางอย่างที่เกี่ยวข้องกับเจ้าของข้อมูลคนเดียวกัน มิได้หมายความโดยตัวของมันเองว่าคู่สัญญาดำเนินการในฐานะผู้ควบคุมข้อมูลร่วม
บทบาทของแต่ละฝ่ายจะกำหนดโดยอ้างอิงถึงวัตถุประสงค์และวิธีการของกิจกรรมการประมวลผลที่เกี่ยวข้อง
ลูกค้าต้องปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับที่เกี่ยวข้องกับการเก็บรวบรวม การใช้ การเปิดเผย และการประมวลผลข้อมูลบริการอื่นของลูกค้า
ลูกค้ามีหน้าที่รับผิดชอบในการรับรองว่า:
a. ลูกค้ามีฐานทางกฎหมายที่เหมาะสมสำหรับการประมวลผลข้อมูลบริการ;
b. ข้อมูลบริการได้รับการเก็บรวบรวมโดยชอบด้วยกฎหมาย;
c. ข้อมูลบริการได้รับการเปิดเผยโดยชอบด้วยกฎหมายหรือทำให้ KWIGA สามารถเข้าถึงได้เพื่อการประมวลผลด้วยวิธีอื่น;
d. เจ้าของข้อมูลได้รับประกาศความเป็นส่วนตัวและข้อมูลใด ๆ ที่กำหนดภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ;
e. ความยินยอมใด ๆ ที่จำเป็นสำหรับกิจกรรมการประมวลผลของลูกค้าได้รับมาโดยชอบด้วยกฎหมาย;
f. คำสั่งของลูกค้าต่อ KWIGA เป็นไปตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ;
g. ลูกค้าประมวลผลเฉพาะข้อมูลส่วนบุคคลที่จำเป็นสำหรับวัตถุประสงค์อันชอบด้วยกฎหมายและถูกต้องตามกฎหมายของลูกค้า; และ
h. มีการกำหนดระยะเวลาการเก็บรักษาที่เหมาะสมสำหรับข้อมูลบริการภายใต้การควบคุมของลูกค้า
ลูกค้าต้องไม่ใช้บริการเพื่อเก็บรวบรวมหรือประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษตามความหมายของ GDPR มาตรา 9 เว้นแต่ลูกค้าได้กำหนดฐานทางกฎหมายที่มีผลใช้บังคับ และในกรณีที่กำหนด เงื่อนไขที่ใช้บังคับภายใต้ GDPR มาตรา 9 สำหรับการประมวลผลดังกล่าว
ในกรณีที่ลูกค้าใช้แบบสอบถาม แบบฟอร์ม ฟิลด์ที่กำหนดเอง เนื้อหาที่อัปโหลด หรือฟีเจอร์อื่นของบริการเพื่อเก็บรวบรวมหรือประมวลผลข้อมูลดังกล่าว ลูกค้าจะทำหน้าที่เป็นผู้ควบคุมข้อมูลและมีหน้าที่รับผิดชอบในการกำหนดความชอบด้วยกฎหมาย วัตถุประสงค์ และขอบเขตของการประมวลผลดังกล่าว การให้ข้อมูลที่จำเป็นแก่เจ้าของข้อมูล การได้รับความยินยอมโดยชัดแจ้งในกรณีที่อาศัยความยินยอม และการปฏิบัติตามข้อกำหนดอื่นทั้งหมดที่ใช้บังคับของกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
KWIGA ประมวลผลข้อมูลบริการดังกล่าวในนามของลูกค้าและตามคำสั่งที่จัดทำเป็นเอกสารของลูกค้าและ DPA ฉบับนี้
ลูกค้าสั่งให้ KWIGA ประมวลผลข้อมูลบริการตามความจำเป็นเพื่อ:
ให้บริการที่ลูกค้าเลือกและกำหนดค่า;
โฮสต์และบำรุงรักษาข้อมูลบริการ;
ให้บริการฟังก์ชัน CRM, LMS และฟังก์ชันอื่นของแพลตฟอร์ม;
ให้สิทธิ์เข้าถึงหลักสูตรและผลิตภัณฑ์อื่น;
ดูแลฟังก์ชันการทำงานที่ลูกค้าเลือก;
ให้การสนับสนุนทางเทคนิค;
บำรุงรักษาและรักษาความปลอดภัยของบริการ; และ
ปฏิบัติตามข้อตกลงและคำสั่งที่จัดทำเป็นเอกสารของลูกค้าด้วยวิธีอื่น
การใช้และการกำหนดค่าของแพลตฟอร์ม KWIGA โดยลูกค้า ซึ่งรวมถึงการตั้งค่า การดำเนินการ และฟังก์ชันการทำงานที่ลูกค้าเปิดใช้งาน ตลอดจนการสร้างและเผยแพร่หน้าเว็บ แบบฟอร์ม การแจ้งเตือน และสื่ออื่น ๆ ของลูกค้าโดยใช้แพลตฟอร์ม อาจถือเป็นคำสั่งที่จัดทำเป็นเอกสารเพื่อวัตถุประสงค์ของ DPA นี้
ลูกค้าเป็นผู้กำหนดเนื้อหาของนโยบายความเป็นส่วนตัว ประกาศความเป็นส่วนตัว แบบฟอร์ม และสื่ออื่น ๆ ของตนที่มอบให้แก่เจ้าของข้อมูลโดยใช้แพลตฟอร์มโดยอิสระ และมีหน้าที่รับผิดชอบในการตรวจสอบให้แน่ใจว่าสื่อดังกล่าวเป็นไปตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ และสะท้อนถึงการประมวลผลข้อมูลส่วนบุคคลที่เกิดขึ้นจริงของลูกค้าอย่างถูกต้อง KWIGA ไม่มีหน้าที่ต้องตรวจสอบหรืออนุมัติเนื้อหาของสื่อดังกล่าว
หาก KWIGA พิจารณาโดยสมเหตุสมผลว่าคำสั่งจากลูกค้าละเมิดกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ KWIGA จะแจ้งให้ลูกค้าทราบโดยไม่ชักช้าเกินควร
KWIGA อาจระงับการประมวลผลที่เกี่ยวข้องเท่าที่จำเป็นโดยสมเหตุสมผล จนกว่าจะมีการแก้ไข ชี้แจง หรือยืนยันว่าคำสั่งนั้นชอบด้วยกฎหมาย
KWIGA จะประมวลผลข้อมูลบริการตามคำสั่งที่จัดทำเป็นเอกสารจากลูกค้าเท่านั้น เว้นแต่การประมวลผลนั้นจำเป็นตามกฎหมายของสหภาพหรือรัฐสมาชิกที่ใช้บังคับ
ในกรณีที่ KWIGA มีหน้าที่ตามกฎหมายในการประมวลผลข้อมูลบริการนอกเหนือจากคำสั่งของลูกค้า KWIGA จะแจ้งให้ลูกค้าทราบถึงข้อกำหนดทางกฎหมายนั้นก่อนการประมวลผล เว้นแต่กฎหมายห้ามการแจ้งข้อมูลดังกล่าวด้วยเหตุผลสำคัญเกี่ยวกับประโยชน์สาธารณะ
KWIGA จะตรวจสอบให้แน่ใจว่าบุคคลที่ได้รับอนุญาตให้ประมวลผลข้อมูลบริการ:
ประมวลผลข้อมูลดังกล่าวเท่าที่จำเป็นต่อการปฏิบัติหน้าที่ของตนเท่านั้น;
อยู่ภายใต้ข้อผูกพันด้านการรักษาความลับที่เหมาะสม; และ
ได้รับสิทธิ์เข้าถึงเฉพาะเมื่อจำเป็นโดยสมเหตุสมผลเท่านั้น
KWIGA จะดำเนินมาตรการทางเทคนิคและมาตรการขององค์กรที่เหมาะสมซึ่งออกแบบมาเพื่อคุ้มครองข้อมูลบริการตามมาตรา 7 และภาคผนวก B ของ DPA นี้
โดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่ KWIGA มีอยู่ KWIGA จะให้ความช่วยเหลือแก่ลูกค้าตามสมควรในการปฏิบัติตามหน้าที่ของลูกค้าภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ซึ่งรวมถึงหน้าที่ที่เกี่ยวข้องกับ:
คำขอของเจ้าของข้อมูล;
ความมั่นคงปลอดภัยของการประมวลผล;
การละเมิดข้อมูลส่วนบุคคล;
การประเมินผลกระทบด้านการคุ้มครองข้อมูล; และ
การหารือกับหน่วยงานกำกับดูแล ตามที่ใช้บังคับ
KWIGA จะเก็บรักษาบันทึกและข้อมูลที่เกี่ยวข้องกับกิจกรรมการประมวลผลของตนเท่าที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนด
ลูกค้าในฐานะผู้ควบคุมข้อมูลมีหน้าที่รับผิดชอบหลักในการตอบสนองต่อคำขอจากเจ้าของข้อมูลที่เกี่ยวข้องกับข้อมูลบริการที่ KWIGA ประมวลผลในนามของลูกค้า
KWIGA จัดเตรียมฟังก์ชันการทำงานและ/หรือกลไกที่เหมาะสมให้แก่ลูกค้าเพื่อเข้าถึง จัดการ และส่งออกข้อมูลบริการภายใต้การควบคุมของลูกค้า และในกรณีที่ฟังก์ชันการทำงานที่เกี่ยวข้องรองรับ เพื่อแก้ไขหรือลบข้อมูลบริการดังกล่าว ทั้งนี้ ภายใต้ข้อกำหนดทางกฎหมายที่ใช้บังคับ
โดยคำนึงถึงลักษณะของการประมวลผล KWIGA จะให้ความช่วยเหลือแก่ลูกค้าตามสมควรด้วยมาตรการทางเทคนิคและมาตรการขององค์กรที่เหมาะสม เท่าที่เป็นไปได้ เพื่อให้ลูกค้าปฏิบัติตามหน้าที่ในการตอบสนองต่อคำขอของเจ้าของข้อมูล
หาก KWIGA ได้รับคำขอจากเจ้าของข้อมูลซึ่งเกี่ยวข้องเป็นหลักกับข้อมูลบริการที่ลูกค้าเป็นผู้ควบคุมข้อมูล KWIGA อาจส่งเจ้าของข้อมูลไปยังลูกค้า และตามความเหมาะสม อาจแจ้งให้ลูกค้าทราบถึงคำขอดังกล่าว
KWIGA จะไม่ตอบสนองต่อคำขอดังกล่าวโดยอิสระในนามของลูกค้า เว้นแต่:
ได้รับคำสั่งจากลูกค้า;
ได้รับอนุญาตภายใต้ข้อตกลง; หรือ
จำเป็นตามกฎหมายที่ใช้บังคับ
โดยการยอมรับ DPA ฉบับนี้ ลูกค้าได้ให้คำสั่งที่เป็นลายลักษณ์อักษรและมีผลบังคับใช้อย่างต่อเนื่องแก่ KWIGA เพื่อประมวลผล และในกรณีที่เกี่ยวข้อง ให้ลบหรือทำให้ข้อมูลบริการเป็นข้อมูลนิรนาม เพื่อตอบสนองต่อคำขอให้ลบข้อมูลจากเจ้าของข้อมูล
ในกรณีที่ KWIGA ได้รับคำขอจากเจ้าของข้อมูลที่เกี่ยวข้องกับข้อมูลบริการซึ่งลูกค้าเป็นผู้ควบคุมข้อมูล KWIGA จะแจ้งให้ลูกค้าทราบถึงคำขอดังกล่าว และเปิดโอกาสให้ลูกค้าส่งคำสั่งเพิ่มเติมที่เป็นลายลักษณ์อักษร หรือคำสั่งที่เป็นลายลักษณ์อักษรซึ่งขัดแย้งกับคำสั่งเดิม
หากลูกค้าไม่ส่งคำสั่งที่เป็นลายลักษณ์อักษรซึ่งขัดแย้งกับคำสั่งเดิมภายในสิบสี่ (14) วันตามปฏิทินนับจากวันที่ KWIGA แจ้งให้ทราบ KWIGA จะได้รับอนุญาตและได้รับคำสั่งให้ดำเนินการลบหรือทำให้ข้อมูลบริการที่เกี่ยวข้องเป็นข้อมูลนิรนาม ตาม DPA ฉบับนี้และกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ระยะเวลาสิบสี่ (14) วันตามปฏิทินดังกล่าวเป็นระยะเวลาตามสัญญาที่กำหนดไว้สำหรับการที่ลูกค้าจะส่งคำสั่งให้แก่ KWIGA และไม่ได้เป็นการกำหนดหรือแก้ไขระยะเวลาตามกฎหมายใด ๆ ที่ใช้บังคับกับลูกค้าหรือ KWIGA ภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ รวมถึง GDPR กฎหมายความเป็นส่วนตัวของผู้บริโภคแห่งรัฐแคลิฟอร์เนีย (California Consumer Privacy Act) ซึ่งรวมถึงฉบับแก้ไขเพิ่มเติม หรือกฎหมายความเป็นส่วนตัวและความปลอดภัยของข้อมูลแห่งรัฐเท็กซัส (Texas Data Privacy and Security Act)
KWIGA สามารถดำเนินการลบหรือทำให้ข้อมูลเป็นข้อมูลนิรนามดังกล่าวได้ เว้นแต่ลูกค้าได้ส่งคำสั่งที่เป็นลายลักษณ์อักษรซึ่งขัดแย้งกับคำสั่งเดิมภายในระยะเวลาสิบสี่ (14) วันตามปฏิทินที่ใช้บังคับ ข้อมูลส่วนบุคคลจะต้องไม่ถูกลบหรือทำให้เป็นข้อมูลนิรนามในขอบเขตที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับหรือ DPA ฉบับนี้กำหนดให้ต้องเก็บรักษาหรือประมวลผลข้อมูลดังกล่าวต่อไป
ลูกค้าในฐานะผู้ควบคุมข้อมูลมีหน้าที่รับผิดชอบในการกำหนดระยะเวลาเก็บรักษาที่เหมาะสมสำหรับข้อมูลบริการที่ประมวลผลเพื่อวัตถุประสงค์ที่ลูกค้ากำหนด ทั้งนี้ ภายใต้การจัดการเกี่ยวกับการเก็บรักษาและการลบข้อมูลที่กำหนดไว้ภายใต้ DPA นี้และข้อตกลง
ระยะเวลาเก็บรักษาที่แตกต่างกันอาจใช้กับข้อมูลบริการ ขึ้นอยู่กับลักษณะและวัตถุประสงค์ของข้อมูลที่เกี่ยวข้อง และฟังก์ชันการทำงานที่ใช้ประมวลผลข้อมูลดังกล่าว
ภายหลังการยกเลิกหรือสิ้นสุดอายุการสมัครสมาชิกของลูกค้า ข้อมูลบริการที่เกี่ยวข้องกับลูกค้ารายนั้นอาจได้รับการเก็บรักษาไว้นานสูงสุดเก้าสิบ (90) วันนับจากสิ้นสุดระยะเวลาการสมัครสมาชิกของลูกค้า เพื่อให้สามารถเปิดใช้งานอีกครั้ง เรียกคืนข้อมูล และยุติการใช้บริการอย่างเป็นระเบียบ
เมื่อครบกำหนดระยะเวลา 90 วันดังกล่าวข้างต้น บัญชีและ/หรือโรงเรียนที่เกี่ยวข้องอาจถูกปิดใช้งาน ซ่อน หรือทำให้ไม่สามารถเข้าถึงได้ผ่านอินเทอร์เฟซปกติของแพลตฟอร์ม KWIGA โดยไม่ลบหรือแก้ไขข้อมูลบริการที่อยู่ภายในนั้น
ข้อมูลบริการที่เกี่ยวข้องอาจได้รับการเก็บรักษาไว้เพิ่มเติมเป็นระยะเวลาสูงสุดเก้าสิบ (90) วัน เพื่อวัตถุประสงค์ในการทำให้สามารถกู้คืนได้ การแก้ไขปัญหาทางเทคนิคหรือทางสัญญา และการรับรองว่าการให้บริการเสร็จสิ้นอย่างเป็นระเบียบ
เมื่อครบกำหนดระยะเวลารวมหนึ่งร้อยแปดสิบ (180) วันนับจากการยกเลิกหรือสิ้นสุดอายุการสมัครสมาชิก ข้อมูลบริการที่เกี่ยวข้องจะถูกลบออกจากระบบที่ใช้งานอยู่ของแพลตฟอร์ม KWIGA ตามขั้นตอนการเก็บรักษาและการลบข้อมูลที่ใช้บังคับ
ขั้นตอนข้างต้นจะใช้บังคับภายใต้คำสั่งที่จัดทำเป็นเอกสารของผู้ควบคุมข้อมูลที่เกี่ยวข้อง DPA นี้ และกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ขั้นตอนดังกล่าวจะไม่ใช้กับข้อมูลส่วนบุคคลที่ TUTERIA VCC ประมวลผลโดยอิสระและโดยชอบด้วยกฎหมายในฐานะผู้ควบคุมข้อมูลอิสระตามมาตรา 5.7
โดยทั่วไป ข้อมูลบริการจะได้รับการเก็บรักษาไว้ตลอดระยะเวลาที่ลูกค้าใช้บริการ KWIGA ที่เกี่ยวข้อง และเป็นไปตาม:
คำสั่งที่จัดทำเป็นเอกสารของลูกค้า;
DPA นี้;
ข้อตกลง; และ
กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
ไม่มีสิ่งใดในมาตรานี้ที่ทำให้ลูกค้าหลุดพ้นจากความรับผิดชอบในฐานะผู้ควบคุมข้อมูลในการพิจารณาว่าข้อมูลบริการเฉพาะรายการยังคงมีความจำเป็นและควรเก็บรักษาไว้ต่อไปหรือไม่
KWIGA จัดเตรียมฟังก์ชันการทำงานและ/หรือกลไกที่เหมาะสมให้แก่ลูกค้าเพื่อเข้าถึง จัดการ และส่งออกข้อมูลบริการภายใต้การควบคุมของลูกค้า และในกรณีที่ฟังก์ชันการทำงานที่เกี่ยวข้องรองรับ เพื่อลบข้อมูลบริการดังกล่าว ทั้งนี้ ภายใต้ข้อกำหนดทางกฎหมายที่ใช้บังคับ
ในกรณีที่ลูกค้าลบข้อมูลผู้ติดต่อหรือข้อมูลบริการอื่น ๆ ด้วยตนเองผ่านแพลตฟอร์ม KWIGA ข้อมูลที่เกี่ยวข้องจะถูกลบแบบเชิงตรรกะ (soft deletion) ในขั้นต้น และจะยังคงสามารถกู้คืนได้เป็นระยะเวลาสูงสุดสามสิบ (30) วันนับจากวันที่ลบ เมื่อพ้นระยะเวลาดังกล่าว ข้อมูลส่วนบุคคลที่เกี่ยวข้องจะถูกลบออกจากระบบที่ใช้งานอยู่ของแพลตฟอร์ม KWIGA อย่างถาวร ทั้งนี้ ภายใต้ข้อกำหนดทางกฎหมายที่ใช้บังคับและการเก็บรักษาข้อมูลที่ผู้ประมวลผลข้อมูลมีสิทธิตามกฎหมายหรือมีหน้าที่ต้องเก็บรักษาไว้
ภายหลังการยกเลิกหรือสิ้นสุดอายุการสมัครสมาชิกของลูกค้า ข้อมูลบริการอาจได้รับการเก็บรักษาตามระยะเวลาและเงื่อนไขที่ระบุไว้ในมาตรา 5.2
ในช่วงเก้าสิบ (90) วันแรก ลูกค้าอาจได้รับโอกาสตามสมควรในการเรียกคืนหรือส่งออกข้อมูลบริการ ทั้งนี้ ขึ้นอยู่กับฟังก์ชันการทำงานของบริการที่เกี่ยวข้อง
เมื่อครบกำหนดระยะเวลานี้ บัญชีและ/หรือโรงเรียนที่เกี่ยวข้องอาจถูกปิดใช้งาน ซ่อน หรือทำให้ไม่สามารถเข้าถึงได้ผ่านอินเทอร์เฟซปกติของแพลตฟอร์ม KWIGA ข้อมูลบริการอาจได้รับการเก็บรักษาไว้เพิ่มเติมเป็นระยะเวลาสูงสุดเก้าสิบ (90) วันตามมาตรา 5.2
เมื่อครบกำหนดระยะเวลารวมหนึ่งร้อยแปดสิบ (180) วันนับจากการยกเลิกหรือสิ้นสุดอายุการสมัครสมาชิก ข้อมูลบริการที่เกี่ยวข้องจะถูกลบออกจากระบบที่ใช้งานอยู่ของแพลตฟอร์ม KWIGA ตามขั้นตอนการลบข้อมูลที่ใช้บังคับ DPA นี้ คำสั่งที่จัดทำเป็นเอกสารของผู้ควบคุมข้อมูล และกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
ในกรณีที่ข้อมูลบริการยังคงอยู่ชั่วคราวในระบบสำรองข้อมูล ระบบกู้คืนจากภัยพิบัติ หรือระบบที่คล้ายคลึงกันภายหลังการลบออกจากระบบที่ใช้งานอยู่ ข้อมูลดังกล่าวจะยังคงอยู่ภายใต้มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และจะไม่ถูกกู้คืนหรือนำไปใช้เพื่อการประมวลผลตามปกติ เว้นแต่จำเป็นสำหรับการกู้คืนจากภัยพิบัติ ความมั่นคงปลอดภัย การปฏิบัติตามกฎหมาย หรือวัตถุประสงค์ทางเทคนิคที่ชอบด้วยกฎหมายอื่น ๆ
สำเนาดังกล่าวจะถูกลบหรือเขียนทับตามขั้นตอนการเก็บรักษาข้อมูลสำรองที่ใช้บังคับของ KWIGA
ในกรณีที่ลูกค้าลบข้อมูลบริการด้วยตนเอง และข้อมูลดังกล่าวถูกลบออกจากระบบที่ใช้งานอยู่อย่างถาวรในภายหลัง สำเนาของข้อมูลดังกล่าวอาจยังคงอยู่ในระบบสำรองข้อมูลที่สร้างขึ้นก่อนการลบอย่างถาวรเป็นระยะเวลาเพิ่มเติมสูงสุดเจ็ด (7) วัน เมื่อพ้นระยะเวลาดังกล่าว สำเนาเหล่านั้นจะถูกลบหรือเขียนทับตามขั้นตอนการเก็บรักษาข้อมูลสำรองที่ใช้บังคับ
มาตรานี้ใช้กับข้อมูลบริการที่ TUTERIA VCC ประมวลผลในฐานะผู้ประมวลผล
มาตรานี้ไม่ได้กำหนดให้ TUTERIA VCC ต้องลบข้อมูลส่วนบุคคลที่ TUTERIA VCC ประมวลผลโดยอิสระและโดยชอบด้วยกฎหมายในฐานะผู้ควบคุมข้อมูล
ข้อมูลดังกล่าวอาจได้รับการเก็บรักษาไว้เมื่อจำเป็นสำหรับวัตถุประสงค์ที่อธิบายไว้ใน นโยบายความเป็นส่วนตัว และเป็นไปตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
ลูกค้าให้การอนุญาตทั่วไปแก่ KWIGA ในการว่าจ้างผู้ประมวลผลช่วง เมื่อมีความจำเป็นโดยสมเหตุสมผลต่อการให้บริการ การบำรุงรักษา การสนับสนุน การดำเนินงาน หรือความมั่นคงปลอดภัยของบริการ KWIGA
ก่อนอนุญาตให้ผู้ประมวลผลช่วงประมวลผลข้อมูลบริการ KWIGA จะตรวจสอบให้แน่ใจว่าผู้ประมวลผลช่วงอยู่ภายใต้ข้อผูกพันตามสัญญาด้านการคุ้มครองข้อมูลที่ให้ระดับการคุ้มครองที่เหมาะสมแก่ข้อมูลบริการ และเป็นไปตามข้อกำหนดที่ใช้บังคับกับผู้ประมวลผลช่วงภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
KWIGA ยังคงรับผิดชอบต่อการปฏิบัติตามหน้าที่ด้านการคุ้มครองข้อมูลของตนโดยผู้ประมวลผลช่วง เท่าที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนด
KWIGA จะทำให้ข้อมูลเกี่ยวกับผู้ประมวลผลช่วงที่เกี่ยวข้องพร้อมให้แก่ลูกค้าผ่านกลไกที่เหมาะสม
ในกรณีที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนด KWIGA จะแจ้งล่วงหน้าตามสมควรเกี่ยวกับการเปลี่ยนแปลงสาระสำคัญที่ตั้งใจจะดำเนินการเกี่ยวกับการเพิ่มหรือเปลี่ยนผู้ประมวลผลช่วง
ลูกค้าอาจคัดค้านตามสมควรโดยเฉพาะเกี่ยวกับข้อกังวลด้านการคุ้มครองข้อมูลที่เกิดจากผู้ประมวลผลช่วงที่เสนอ
คู่สัญญาจะดำเนินการโดยสุจริตเพื่อแก้ไขข้อคัดค้านตามสมควรดังกล่าว
ในกรณีที่ลูกค้าเปิดใช้งานหรือเชื่อมต่อการผสานรวมของบุคคลที่สามโดยอิสระโดยใช้บัญชี ข้อมูลรับรอง หรือคีย์ API ของตนเอง TUTERIA จะประมวลผลและส่งข้อมูลบริการไปยังบุคคลที่สามนั้นตามคำสั่งที่จัดทำเป็นเอกสารของลูกค้า
ลูกค้ามีหน้าที่รับผิดชอบในการพิจารณาว่าการใช้บริการของบุคคลที่สามดังกล่าวเป็นไปตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับหรือไม่ รวมถึงการจัดทำข้อตกลงตามสัญญาที่จำเป็นและมาตรการคุ้มครองการโอนข้อมูลระหว่างประเทศกับบุคคลที่สามนั้น
โดยคำนึงถึงระดับความก้าวหน้าของเทคโนโลยี ต้นทุนในการดำเนินการ ตลอดจนลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล รวมทั้งความเสี่ยงที่มีความน่าจะเป็นและความรุนแรงแตกต่างกันต่อสิทธิและเสรีภาพของบุคคล KWIGA จะดำเนินการและคงไว้ซึ่งมาตรการทางเทคนิคและมาตรการขององค์กรที่เหมาะสมซึ่งออกแบบมาเพื่อให้มีระดับความมั่นคงปลอดภัยที่เหมาะสมกับความเสี่ยง
ขึ้นอยู่กับลักษณะและความเสี่ยงของการประมวลผลที่เกี่ยวข้อง มาตรการดังกล่าวอาจรวมถึง:
a. กลไกการควบคุมการเข้าถึงและการอนุญาต;
b. มาตรการที่ออกแบบมาเพื่อรักษาการแยกและการอนุญาตที่เหมาะสมระหว่างสภาพแวดล้อมและข้อมูลของลูกค้า;
c. มาตรการการพิสูจน์ตัวตนและการจัดการการเข้าถึง;
d. การบันทึกและการติดตามตรวจสอบ;
e. มาตรการที่ออกแบบมาเพื่อตรวจจับกิจกรรมที่น่าสงสัย การใช้ในทางที่ผิด และการเข้าถึงโดยไม่ได้รับอนุญาต;
f. การควบคุมการรับส่งข้อมูลและคำขอ รวมถึงการควบคุมอัตราตามความเหมาะสม;
g. การจัดการช่องโหว่;
h. การทดสอบความปลอดภัย;
i. ขั้นตอนการตรวจจับและการตอบสนองต่อเหตุการณ์;
j. มาตรการสำรองและกู้คืนข้อมูล;
k. การควบคุมที่เกี่ยวข้องกับการเข้าถึงโดยผู้รับเหมา ผู้ให้บริการ และบุคคลอื่นที่ได้รับอนุญาต;
l. ขั้นตอนการทบทวนเหตุการณ์และอุบัติการณ์ด้านความปลอดภัย; และ
m. การทบทวนและทดสอบการควบคุมด้านความปลอดภัยทางเทคนิคและองค์กรที่เกี่ยวข้องเป็นระยะ.
ข้อมูลเพิ่มเติมเกี่ยวกับประเภทของมาตรการทางเทคนิคและองค์กรที่ KWIGA นำมาใช้กำหนดไว้ใน ภาคผนวก B.
KWIGA อาจปรับปรุงมาตรการทางเทคนิคและองค์กรเป็นครั้งคราวเพื่อให้สะท้อนถึง:
ความก้าวหน้าทางเทคโนโลยี;
ความเสี่ยงที่ระบุได้;
การเปลี่ยนแปลงของบริการ;
ผลการทบทวนด้านความปลอดภัย;
อุบัติการณ์ด้านความปลอดภัย; และ
การเปลี่ยนแปลงในกฎหมายที่ใช้บังคับ.
การเปลี่ยนแปลงดังกล่าวจะต้องไม่ลดระดับการคุ้มครองโดยรวมที่มอบให้แก่ข้อมูลบริการลงอย่างมีนัยสำคัญ.
KWIGA จะต้องแจ้งให้ลูกค้าทราบโดยไม่ชักช้าเกินสมควรหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคลที่ส่งผลกระทบต่อข้อมูลบริการที่ KWIGA ประมวลผลในนามของลูกค้า.
เท่าที่ข้อมูลที่เกี่ยวข้องมีอยู่โดยสมควรสำหรับ KWIGA การแจ้งจะต้องประกอบด้วย:
a. คำอธิบายลักษณะของการละเมิดข้อมูลส่วนบุคคล;
b. ประเภทของข้อมูลส่วนบุคคลที่ได้รับผลกระทบ;
c. ประเภทของเจ้าของข้อมูลที่ได้รับผลกระทบ;
d. จำนวนโดยประมาณของเจ้าของข้อมูลที่ได้รับผลกระทบ หากทราบ;
e. จำนวนโดยประมาณของระเบียนข้อมูลส่วนบุคคลที่ได้รับผลกระทบ หากทราบ;
f. ผลกระทบที่อาจเกิดขึ้นจากการละเมิดข้อมูลส่วนบุคคล หากสามารถระบุได้โดยสมควร;
g. มาตรการที่ดำเนินการหรือเสนอเพื่อควบคุม ตรวจสอบ และแก้ไขการละเมิดข้อมูลส่วนบุคคล; และ
h. รายละเอียดการติดต่อหรือช่องทางการติดต่อที่เหมาะสมอื่นซึ่งสามารถขอรับข้อมูลเพิ่มเติมได้.
ในกรณีที่ข้อมูลที่เกี่ยวข้องทั้งหมดไม่พร้อมใช้งานในเวลาที่แจ้งครั้งแรก KWIGA อาจให้ข้อมูลที่มีอยู่ในเบื้องต้นและเพิ่มเติมข้อมูลเป็นระยะตามความคืบหน้าของการสอบสวน.
KWIGA จะต้องดำเนินมาตรการที่เหมาะสมเพื่อ:
สอบสวนเหตุการณ์;
ระบุลักษณะและขอบเขตของเหตุการณ์;
ควบคุมเหตุการณ์;
บรรเทาผลกระทบในทางลบที่คาดการณ์ได้โดยสมควร;
เก็บรักษาพยานหลักฐานที่เกี่ยวข้อง;
แก้ไขช่องโหว่ที่ระบุได้ตามความเหมาะสม; และ
ดำเนินมาตรการที่สมเหตุสมผลซึ่งออกแบบมาเพื่อลดความเสี่ยงของการเกิดซ้ำ.
โดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่ KWIGA มีอยู่ KWIGA จะต้องให้ความช่วยเหลืออย่างสมเหตุสมผลแก่ลูกค้าในการปฏิบัติตามภาระผูกพันที่ใช้บังคับซึ่งเกี่ยวข้องกับ:
การแจ้งต่อหน่วยงานกำกับดูแล;
การสื่อสารกับเจ้าของข้อมูลที่ได้รับผลกระทบ;
การประเมินความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล; และ
การจัดทำเอกสารเกี่ยวกับการละเมิดข้อมูลส่วนบุคคล.
ลูกค้ายังคงมีหน้าที่รับผิดชอบในฐานะผู้ควบคุมข้อมูลในการพิจารณาว่าการละเมิดข้อมูลส่วนบุคคลที่ส่งผลกระทบต่อข้อมูลบริการจำเป็นต้องมี:
การแจ้งต่อหน่วยงานกำกับดูแล;
การสื่อสารไปยังเจ้าของข้อมูลที่ได้รับผลกระทบ; หรือ
การดำเนินการอื่นที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนด.
ทั้งนี้ไม่กระทบต่อภาระผูกพันทางกฎหมายอิสระใด ๆ ของ TUTERIA VCC ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลซึ่ง TUTERIA VCC ทำหน้าที่เป็นผู้ควบคุมข้อมูล.
การแจ้งหรือการให้ความร่วมมือที่เกี่ยวข้องกับการละเมิดข้อมูลส่วนบุคคลจะไม่ถือเป็นการยอมรับความผิดหรือความรับผิดของฝ่ายใดฝ่ายหนึ่งโดยลำพัง.
ในกรณีที่ข้อมูลบริการได้รับการประมวลผลภายในเขตเศรษฐกิจยุโรป (“EEA”) การประมวลผลดังกล่าวไม่ถือเป็นการโอนไปยังประเทศที่สามเพื่อวัตถุประสงค์ของหมวด V ของ GDPR.
ในกรณีที่ KWIGA หรือผู้ประมวลผลช่วงที่ได้รับอนุญาตโอนข้อมูลบริการออกนอก EEA ไปยังเขตอำนาจศาลที่ไม่ได้รับการรับรองว่าให้ระดับการคุ้มครองที่เพียงพอตามกฎหมายที่ใช้บังคับ KWIGA จะต้องรับรองว่ามีการใช้กลไกการโอนที่เหมาะสมเมื่อจำเป็น.
กลไกดังกล่าวอาจรวมถึง:
คำวินิจฉัยความเพียงพอที่รับรองโดยคณะกรรมาธิการยุโรป;
ข้อสัญญามาตรฐานที่ได้รับอนุมัติโดยคณะกรรมาธิการยุโรป;
กฎองค์กรที่มีผลผูกพัน ตามที่ใช้บังคับ; หรือ
กลไกการโอนโดยชอบด้วยกฎหมายอื่นที่ได้รับการยอมรับภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ.
ในกรณีที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนด KWIGA จะต้องดำเนินมาตรการเสริมที่เหมาะสมกับการโอนที่เกี่ยวข้องและความเสี่ยงที่เกี่ยวเนื่อง.
KWIGA จะต้องให้ข้อมูลที่สมเหตุสมผลเกี่ยวกับมาตรการคุ้มครองการโอนระหว่างประเทศที่ใช้บังคับตามคำขอของลูกค้า ในกรณีที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนด.
KWIGA จะต้องจัดให้ลูกค้ามีข้อมูลที่จำเป็นโดยสมควรเพื่อแสดงการปฏิบัติตามภาระผูกพันของ KWIGA ในฐานะผู้ประมวลผลภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ.
เมื่อมีคำขอเป็นลายลักษณ์อักษรโดยสมควร KWIGA จะต้องให้ข้อมูลที่เกี่ยวข้องเกี่ยวกับ:
การประมวลผลข้อมูลบริการของตน;
มาตรการทางเทคนิคและองค์กรที่ใช้บังคับ;
ผู้ประมวลผลช่วงที่เกี่ยวข้อง; และ
เรื่องอื่นที่จำเป็นโดยสมควรเพื่อให้ลูกค้าประเมินการปฏิบัติตาม DPA นี้ของ KWIGA.
ในกรณีที่ข้อมูลที่ KWIGA จัดให้ไม่เพียงพอโดยสมควรในการแสดงการปฏิบัติตามข้อกำหนด และในกรณีที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนดให้มีการตรวจสอบ KWIGA จะต้องอนุญาตและมีส่วนร่วมในการตรวจสอบหรือการตรวจตราโดยสมควรที่เกี่ยวข้องกับการประมวลผลข้อมูลบริการ.
เว้นแต่หน่วยงานกำกับดูแลหรือกฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนดไว้เป็นอย่างอื่น ลูกค้าจะต้อง:
แจ้งหนังสือแจ้งล่วงหน้าตามสมควรเกี่ยวกับการตรวจสอบ;
จำกัดการตรวจสอบไว้เฉพาะเรื่องที่เกี่ยวข้องกับการประมวลผลภายใต้ DPA นี้;
ดำเนินการตรวจสอบในเวลาทำการปกติเท่าที่สมควรเป็นไปได้;
หลีกเลี่ยงการรบกวนการดำเนินงานของ KWIGA โดยไม่จำเป็น; และ
ตรวจสอบให้แน่ใจว่าผู้ตรวจสอบอยู่ภายใต้ภาระผูกพันด้านการรักษาความลับที่เหมาะสม
การตรวจสอบจะไม่ทำให้ลูกค้าหรือผู้ตรวจสอบของลูกค้ามีสิทธิ์เข้าถึง:
ข้อมูลส่วนบุคคลที่เป็นของลูกค้ารายอื่น;
ข้อมูลลับของลูกค้ารายอื่น;
ข้อมูลที่อาจกระทบต่อความปลอดภัยของระบบ KWIGA;
ซอร์สโค้ดหรือทรัพย์สินทางปัญญาอื่นที่ได้รับการคุ้มครอง เว้นแต่กฎหมายที่ใช้บังคับกำหนดไว้โดยเฉพาะ; หรือ
ข้อมูลที่ไม่เกี่ยวข้องกับกิจกรรมการประมวลผลของลูกค้า
คู่สัญญาจะร่วมมือกันโดยสุจริตเกี่ยวกับคำขอตรวจสอบอันสมควรจากหน่วยงานกำกับดูแลที่มีอำนาจ
โดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่ KWIGA มีอยู่ KWIGA จะให้ความช่วยเหลืออันสมควรแก่ลูกค้าเกี่ยวกับการประเมินผลกระทบด้านการคุ้มครองข้อมูล ในกรณีที่ลูกค้าจำเป็นต้องดำเนินการประเมินดังกล่าวภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
ในกรณีที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนด KWIGA จะให้ความช่วยเหลืออันสมควรเกี่ยวกับการปรึกษาหารือล่วงหน้ากับหน่วยงานกำกับดูแลที่มีอำนาจ بشأنการประมวลผลที่ดำเนินการผ่านบริการ
คู่สัญญาแต่ละฝ่ายจะคุ้มครองข้อมูลส่วนบุคคลและข้อมูลลับที่ได้รับเกี่ยวเนื่องกับ DPA นี้จากการเปิดเผยโดยไม่ได้รับอนุญาต
KWIGA จะตรวจสอบให้แน่ใจว่าผู้รับจ้าง ผู้ให้บริการ และบุคคลอื่นที่ได้รับอนุญาตให้ประมวลผลข้อมูลบริการ อยู่ภายใต้ภาระผูกพันด้านการรักษาความลับที่เหมาะสมหรือหน้าที่ตามกฎหมายในการรักษาความลับที่ใช้บังคับ
ลูกค้าจะตรวจสอบให้แน่ใจว่าข้อมูลรับรอง สิทธิ์การเข้าถึง และฟังก์ชันการดูแลระบบที่มีให้ผ่านแพลตฟอร์ม KWIGA ถูกใช้โดยบุคคลที่ได้รับอนุญาตอย่างเหมาะสมเท่านั้น
คู่สัญญาแต่ละฝ่ายจะเก็บรักษาบันทึกที่เกี่ยวกับกิจกรรมการประมวลผลของตนตามขอบเขตที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนด
คู่สัญญาจะร่วมมือกันตามสมควรเมื่อจำเป็นเพื่อตอบสนองต่อคำขอที่ชอบด้วยกฎหมายจากหน่วยงานกำกับดูแลที่เกี่ยวข้องกับการประมวลผลภายใต้ DPA นี้
ไม่มีข้อความใดใน DPA นี้กำหนดให้คู่สัญญาฝ่ายใดต้องเปิดเผยข้อมูล ในกรณีที่การเปิดเผยดังกล่าวถูกห้ามโดยกฎหมายที่ใช้บังคับ
คู่สัญญาแต่ละฝ่ายจะรับผิดชอบต่อการปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับของตนเอง และต่อภาระผูกพันที่จัดสรรให้แก่ตนภายใต้ DPA นี้
ความรับผิดระหว่างคู่สัญญาที่เกิดขึ้นภายใต้หรือเกี่ยวเนื่องกับ DPA นี้ จะอยู่ภายใต้ข้อจำกัดและข้อยกเว้นความรับผิดที่ระบุไว้ในข้อตกลง ตามขอบเขตที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับอนุญาต
ไม่มีข้อความใดใน DPA นี้ตัดออกหรือจำกัดความรับผิด ในกรณีที่การตัดออกหรือข้อจำกัดดังกล่าวถูกห้ามโดยกฎหมายที่ใช้บังคับ
DPA นี้มีผลใช้บังคับเมื่อลูกค้าผูกพันตามข้อตกลง และ KWIGA เริ่มประมวลผลข้อมูลบริการในนามของลูกค้า
DPA นี้ยังคงมีผลใช้บังคับตราบเท่าที่ KWIGA ประมวลผลข้อมูลบริการในนามของลูกค้า
การยุติหรือการหมดอายุของข้อตกลงไม่กระทบต่อข้อกำหนดของ DPA นี้ซึ่งโดยลักษณะของข้อกำหนดนั้นมีเจตนาให้ยังคงมีผลหลังการยุติ รวมถึงข้อกำหนดเกี่ยวกับการรักษาความลับ การลบหรือการส่งคืนข้อมูลบริการ ความรับผิด และกฎหมายที่ใช้บังคับ
DPA นี้เป็นส่วนหนึ่งของข้อตกลงระหว่างลูกค้าและ TUTERIA VCC ที่กำกับดูแลการใช้บริการ KWIGA
ในกรณีที่เกิดความขัดแย้งระหว่าง DPA นี้กับข้อกำหนดอื่นของข้อตกลงเกี่ยวกับการประมวลผลข้อมูลบริการโดย TUTERIA VCC ในฐานะผู้ประมวลผล DPA นี้จะมีผลเหนือกว่าในส่วนที่เกี่ยวกับประเด็นการคุ้มครองข้อมูลที่ขัดแย้งกัน
KWIGA นโยบายความเป็นส่วนตัว กำกับดูแลกิจกรรมการประมวลผลที่ TUTERIA VCC ดำเนินการในฐานะผู้ควบคุมข้อมูล
DPA นี้กำกับดูแลการประมวลผลข้อมูลบริการที่ TUTERIA VCC ดำเนินการในนามของลูกค้าในฐานะผู้ประมวลผล
DPA นี้อยู่ภายใต้กฎหมายที่ใช้บังคับกับข้อตกลงระหว่างลูกค้าและ TUTERIA VCC โดยไม่กระทบต่อบทบัญญัติบังคับของกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
ไม่มีข้อความใดใน DPA นี้จำกัดการใช้บังคับของ GDPR หรืออำนาจและเขตอำนาจของหน่วยงานกำกับดูแลที่มีอำนาจ ในกรณีที่กฎหมายหรือเขตอำนาจดังกล่าวใช้บังคับ
KWIGA อาจปรับปรุง DPA นี้เมื่อมีความจำเป็นตามสมควรเพื่อ:
ปฏิบัติตามการเปลี่ยนแปลงของกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ;
สะท้อนการเปลี่ยนแปลงของบริการ KWIGA;
ปรับปรุงมาตรการด้านเทคนิคหรือด้านองค์กร;
ปรับปรุงการจัดการด้านการประมวลผล; หรือ
ชี้แจงสิทธิและภาระผูกพันของคู่สัญญา
ในกรณีที่การแก้ไขส่งผลกระทบอย่างมีนัยสำคัญต่อการประมวลผลข้อมูลบริการ หรือสิทธิและภาระผูกพันด้านการคุ้มครองข้อมูลของลูกค้า KWIGA จะแจ้งให้ทราบตามสมควรเมื่อกฎหมายที่ใช้บังคับหรือข้อตกลงกำหนด
คำถามเกี่ยวกับ DPA นี้ หรือการประมวลผลข้อมูลบริการของ KWIGA ในนามของลูกค้า อาจส่งไปที่:
TUTERIA VCC
17A Vrabcha Street, Floor 1, Apt 3
1000 Sofia, Bulgaria
อีเมล: support@kwiga.com
ภาคผนวกนี้เป็นส่วนหนึ่งของข้อตกลงการประมวลผลข้อมูล
การประมวลผลข้อมูลบริการโดย KWIGA ตามความจำเป็นเพื่อให้บริการ บำรุงรักษา สนับสนุน และรักษาความปลอดภัยของบริการ KWIGA ที่ลูกค้าเลือกและกำหนดค่า
ตลอดระยะเวลาที่ลูกค้าใช้บริการ KWIGA ที่เกี่ยวข้อง ภายหลังการยุติหรือการหมดอายุของการสมัครใช้บริการของลูกค้า ข้อมูลบริการเฉพาะลูกค้าอาจถูกเก็บรักษาไว้นานสูงสุดเก้าสิบ (90) วันนับจากสิ้นสุดระยะเวลาการสมัครใช้บริการของลูกค้า เพื่อให้สามารถเปิดใช้งานอีกครั้ง เรียกคืนข้อมูล และยุติบริการได้อย่างเป็นระเบียบ
ภายหลังสิ้นสุดระยะเวลานี้ ข้อมูลส่วนบุคคลที่อยู่ในข้อมูลบริการเฉพาะลูกค้า รวมถึงข้อมูลคำสั่งซื้อที่เกี่ยวข้อง จะถูกทำให้ไม่สามารถระบุตัวบุคคลได้ตามมาตรา 5 ของ DPA และกระบวนการเก็บรักษาที่ใช้บังคับของ KWIGA ภายหลังครบเก้าสิบ (90) วันเพิ่มเติมหลังการทำให้ไม่สามารถระบุตัวบุคคลได้ดังกล่าว ข้อมูลที่เกี่ยวข้องจะถูกลบอย่างถาวรจากระบบที่ใช้งานอยู่ของแพลตฟอร์ม KWIGA ตามกระบวนการเก็บรักษาและการลบที่ใช้บังคับ เว้นแต่กฎหมายที่ใช้บังคับกำหนดให้ต้องเก็บรักษาต่อไป หรือ DPA อนุญาตไว้เป็นอย่างอื่น ในกรณีที่ TUTERIA VCC ประมวลผลข้อมูลส่วนบุคคลในนามของลูกค้าในฐานะผู้ประมวลผล กระบวนการเก็บรักษาและการลบนี้จะใช้บังคับภายใต้คำสั่งที่มีเอกสารของลูกค้า ข้อตกลงการประมวลผลข้อมูลที่ใช้บังคับ และกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
ข้อมูลส่วนบุคคลที่ TUTERIA VCC ประมวลผลในฐานะผู้ควบคุมข้อมูลอิสระ อยู่ภายใต้ระยะเวลาการเก็บรักษาที่ใช้บังคับกับการประมวลผลนั้น
การประมวลผลอาจรวมถึงสิ่งต่อไปนี้ โดยขึ้นอยู่กับบริการที่ลูกค้าเลือกและกำหนดค่า:
การเก็บรวบรวม;
การบันทึก;
การจัดระเบียบ;
การจัดโครงสร้าง;
การจัดเก็บ;
การโฮสต์;
การปรับเปลี่ยน;
การเรียกคืน;
การปรึกษา;
การใช้;
การส่งต่อ;
การทำให้พร้อมใช้งาน;
การบริหารจัดการ;
การวิเคราะห์ตามคำสั่งของลูกค้า;
การจำกัด;
การส่งออก;
การลบ;
การทำให้ไม่สามารถระบุตัวบุคคลได้; และ
การประมวลผลอื่นที่จำเป็นต่อการให้บริการที่เลือกไว้
การประมวลผลข้อมูลบริการเพื่อวัตถุประสงค์ที่ลูกค้ากำหนด รวมถึง ขึ้นอยู่กับการใช้ KWIGA ของลูกค้า:
การจัดการนักเรียนและลูกค้า;
ฟังก์ชันการทำงาน CRM;
ฟังก์ชันการทำงาน LMS;
การให้บริการและการบริหารจัดการหลักสูตรและโปรแกรมการศึกษา;
การบริหารจัดการการเข้าถึงผลิตภัณฑ์ดิจิทัล;
การทดสอบ แบบทดสอบสั้น และงานที่ได้รับมอบหมาย;
การติดตามความคืบหน้าของหลักสูตร;
ใบรับรอง;
การสื่อสารกับนักเรียนและลูกค้า;
ฟังก์ชันการทำงานของอีเมลและการแจ้งเตือน;
ระบบอัตโนมัติ;
การบริหารจัดการคำสั่งซื้อ;
ฟังก์ชันการทำงานด้านการผสานรวม;
การสนับสนุนลูกค้า;
การรายงานและการวิเคราะห์ที่ลูกค้าเลือก; และ
ฟังก์ชันการทำงานอื่นที่ลูกค้าเปิดใช้งานหรือกำหนดค่า
เจ้าของข้อมูลอาจรวมถึง ขึ้นอยู่กับการใช้บริการของลูกค้า:
นักเรียน;
ผู้เรียน;
ลูกค้า;
ลูกค้าที่คาดหมาย;
สมาชิก;
ผู้เข้าร่วมหลักสูตร;
พนักงานและผู้รับจ้างของลูกค้า;
ผู้สอน;
ผู้ดูแลระบบ;
ผู้ช่วย;
ตัวแทนของลูกค้า; และ
บุคคลอื่นที่ข้อมูลส่วนบุคคลของบุคคลดังกล่าวถูกส่งไปยังหรือประมวลผลผ่านแพลตฟอร์ม KWIGA โดยหรือในนามของลูกค้า
ข้อมูลบริการอาจรวมถึง ขึ้นอยู่กับบริการที่ลูกค้าใช้:
ข้อมูลระบุตัวตนและข้อมูลโปรไฟล์
ชื่อ;
ชื่อกลาง;
นามสกุล;
รูปภาพโปรไฟล์;
ตัวระบุบัญชีหรือโปรไฟล์
ข้อมูลติดต่อ
ที่อยู่อีเมล;
หมายเลขโทรศัพท์;
รายละเอียดการติดต่ออื่นที่ลูกค้าหรือเจ้าของข้อมูลส่งมา
ข้อมูลด้านการศึกษาและการเรียนรู้
หลักสูตรและโปรแกรม;
การลงทะเบียน;
ข้อมูลการเข้าถึง;
ความคืบหน้าของหลักสูตร;
การเรียนบทเรียนเสร็จสิ้น;
คำตอบแบบทดสอบสั้นและแบบทดสอบ;
ผลการทดสอบ;
คะแนน;
งานที่ได้รับมอบหมาย;
ความคิดเห็น;
ใบรับรอง;
ผลสัมฤทธิ์;
คะแนนสะสมและสถานะ
ข้อมูล CRM และการจัดการลูกค้า
แท็ก;
กลุ่ม;
สถานะลูกค้า;
บันทึก;
ประวัติลูกค้า;
ประวัติการสื่อสาร;
ฟิลด์ที่กำหนดเองที่ลูกค้ากำหนดค่า
ข้อมูลที่เกี่ยวข้องกับคำสั่งซื้อและธุรกรรม
ตัวระบุคำสั่งซื้อ;
ผลิตภัณฑ์;
จำนวนเงิน;
สกุลเงิน;
ส่วนลด;
คูปอง;
สถานะการชำระเงิน;
วันที่ทำธุรกรรม;
ข้อมูลการคืนเงิน;
พารามิเตอร์การผ่อนชำระหรือการสมัครสมาชิก;
ข้อมูลคำสั่งซื้ออื่นที่ประมวลผลในนามของลูกค้า
KWIGA ไม่กำหนดให้ลูกค้าส่งข้อมูลความปลอดภัยของบัตรชำระเงิน เช่น หมายเลขบัตรเต็มหรือรหัส CVC ลงในช่องข้อมูล Service Data ของ CRM หรือ LMS ทั่วไป
การสื่อสาร
ข้อความ;
อีเมล;
ความคิดเห็น;
ข้อมูลที่เกี่ยวข้องกับการสนับสนุน;
การสื่อสารอื่นที่ประมวลผลผ่านฟังก์ชันการทำงานที่ลูกค้าเลือก
ข้อมูลทางเทคนิค
เท่าที่มีการประมวลผลในนามของลูกค้า:
ที่อยู่ IP;
ข้อมูลการเข้าสู่ระบบ/กิจกรรม;
ข้อมูลอุปกรณ์หรือเบราว์เซอร์;
ตัวระบุทางเทคนิค;
การประทับเวลา
บริการของ KWIGA ไม่กำหนดให้ลูกค้าประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษ อย่างไรก็ตาม Service Data อาจรวมถึงข้อมูลส่วนบุคคลประเภทพิเศษ ในกรณีที่ลูกค้าเลือกเก็บรวบรวมหรือประมวลผลข้อมูลดังกล่าวด้วยวิธีอื่นผ่านแบบสอบถาม แบบฟอร์ม ช่องข้อมูลแบบกำหนดเอง เนื้อหาที่อัปโหลด การสื่อสาร หรือคุณลักษณะอื่นของบริการที่สามารถกำหนดค่าได้
ลูกค้าเป็นผู้กำหนดเนื้อหาและวัตถุประสงค์ของการประมวลผลดังกล่าว และรับผิดชอบในการกำหนดฐานทางกฎหมายที่ใช้บังคับ และในกรณีที่จำเป็น เงื่อนไขที่ใช้บังคับภายใต้มาตรา 9 GDPR
การประมวลผลอาจเกิดขึ้นอย่างต่อเนื่องหรือเป็นระยะตลอดระยะเวลาที่ลูกค้าใช้บริการที่เกี่ยวข้อง โดยขึ้นอยู่กับฟังก์ชันการทำงานที่เลือกและคำสั่งของลูกค้า
TUTERIA VCC ใช้มาตรการทางเทคนิคและองค์กรที่ออกแบบมาเพื่อให้มีระดับความปลอดภัยที่เหมาะสมกับความเสี่ยงที่เกี่ยวข้องกับการประมวลผล Service Data
มาตรการที่อธิบายไว้ด้านล่างนี้แสดงถึงหมวดหมู่ของมาตรการรักษาความปลอดภัย และอาจมีการปรับเปลี่ยนหรือเพิ่มเติมเป็นครั้งคราวตามลักษณะของการประมวลผล พัฒนาการทางเทคโนโลยี ความเสี่ยงที่ระบุได้ และการเปลี่ยนแปลงของบริการ KWIGA
KWIGA ใช้มาตรการที่ออกแบบมาเพื่อจำกัดการเข้าถึงข้อมูลส่วนบุคคลและฟังก์ชันการทำงานของแพลตฟอร์มให้แก่ผู้ใช้ บุคคล และระบบที่ได้รับอนุญาต
มาตรการดังกล่าวอาจรวมถึง:
การพิสูจน์ตัวตนผู้ใช้;
การจัดการบทบาทและสิทธิ์;
การควบคุมการอนุญาต;
ข้อจำกัดการเข้าถึงตามบริบทของผู้ใช้หรือลูกค้าที่เกี่ยวข้อง;
การจัดการและการทบทวนสิทธิ์การเข้าถึงภายใน; และ
มาตรการที่ออกแบบมาเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตระหว่างสภาพแวดล้อมของลูกค้า
KWIGA ใช้การควบคุมทางเทคนิคที่ออกแบบมาเพื่อให้แน่ใจว่าการเข้าถึงข้อมูลลูกค้าถูกจำกัดอย่างเหมาะสมตามบริบทการอนุญาตที่ใช้บังคับของลูกค้า บัญชี โรงเรียน โครงการ หรืออื่น ๆ
มีการทบทวนและทดสอบการควบคุมการอนุญาตตามความเหมาะสมกับฟังก์ชันการทำงานที่เกี่ยวข้อง
KWIGA ใช้กลไกการบันทึกและการเฝ้าติดตามที่เหมาะสมกับการดำเนินงานและความปลอดภัยของบริการ
มาตรการเหล่านี้อาจรวมถึง:
การบันทึกของแอปพลิเคชันและระบบ;
การเฝ้าติดตามเหตุการณ์ด้านความปลอดภัย;
การตรวจจับกิจกรรมที่น่าสงสัย;
การเฝ้าติดตามข้อผิดพลาด;
การเฝ้าติดตามทราฟฟิก;
การวิเคราะห์กิจกรรมที่ผิดปกติหรืออาจเป็นการใช้งานในทางที่ผิด; และ
การเก็บรักษาบันทึกเหตุการณ์ด้านความปลอดภัยที่เกี่ยวข้อง
KWIGA ใช้มาตรการที่ออกแบบมาเพื่อตรวจจับ จำกัด และตอบสนองต่อการใช้งานในทางที่ผิด การเข้าถึงโดยไม่ได้รับอนุญาต และการใช้ฟังก์ชันการทำงานของแพลตฟอร์มในทางที่ผิดโดยอัตโนมัติ
ขึ้นอยู่กับบริการหรือปลายทางที่เกี่ยวข้อง มาตรการดังกล่าวอาจรวมถึง:
การควบคุมคำขอ;
การควบคุมอัตรา;
ข้อจำกัดการเข้าถึง;
กลไกการบล็อกอัตโนมัติหรือด้วยตนเอง;
การตรวจจับกิจกรรมที่น่าสงสัย; และ
การตรวจสอบเพิ่มเติมหรือการควบคุมการอนุญาต
KWIGA รักษากระบวนการสำหรับการระบุ การประเมิน และการแก้ไขช่องโหว่ด้านความปลอดภัย
มาตรการดังกล่าวอาจรวมถึง:
การทบทวนด้านความปลอดภัย;
การทดสอบการควบคุมการอนุญาต;
การทดสอบอัตโนมัติเมื่อเหมาะสม;
การแก้ไขช่องโหว่;
การทบทวนผลการค้นพบด้านความปลอดภัย;
การทดสอบการถดถอย; และ
การตรวจสอบยืนยันมาตรการแก้ไข
KWIGA รักษากระบวนการที่ออกแบบมาเพื่อตรวจจับ ยกระดับ ตรวจสอบ ควบคุม และแก้ไขเหตุการณ์ด้านความปลอดภัยและการละเมิดข้อมูลส่วนบุคคล
กระบวนการดังกล่าวอาจรวมถึง:
การยกระดับเหตุการณ์;
การตรวจสอบทางเทคนิค;
การเก็บรักษาและการวิเคราะห์บันทึกที่เกี่ยวข้อง;
มาตรการควบคุม;
การแก้ไข;
การประเมินความเสี่ยง;
การประเมินการแจ้งหน่วยงานกำกับดูแลและลูกค้า;
การทบทวนหลังเกิดเหตุการณ์; และ
การดำเนินการแก้ไข
บุคคลที่ได้รับอนุญาตให้เข้าถึงข้อมูลบริการอยู่ภายใต้ข้อผูกพันในการรักษาความลับที่เหมาะสม
การเข้าถึงข้อมูลส่วนบุคคลจะให้ตามความจำเป็นในการดำเนินงาน และจะถูกจำกัดเท่าที่สามารถปฏิบัติได้อย่างสมเหตุสมผล
KWIGA ดำรงไว้ซึ่งกระบวนการสำรองข้อมูลและการกู้คืนที่เหมาะสมกับบริการและโครงสร้างพื้นฐานที่เกี่ยวข้อง
ข้อมูลสำรองอยู่ภายใต้การควบคุมการเข้าถึงและการรักษาความปลอดภัยที่เหมาะสม
ข้อมูลส่วนบุคคลที่ถูกลบอาจยังคงอยู่ชั่วคราวในระบบสำรองข้อมูลจนกว่าจะถูกลบหรือเขียนทับตามขั้นตอนการเก็บรักษาข้อมูลสำรองที่ใช้บังคับ
KWIGA ใช้มาตรการที่ออกแบบมาเพื่อสนับสนุนความพร้อมใช้งานและความยืดหยุ่นของบริการให้เหมาะสมกับลักษณะและความเสี่ยงของการประมวลผลที่เกี่ยวข้อง
มาตรการทางเทคนิคและมาตรการขององค์กรอาจได้รับการทบทวนและปรับปรุงตาม:
การเปลี่ยนแปลงของแพลตฟอร์ม;
ความเสี่ยงด้านความปลอดภัยที่ระบุได้;
ข้อค้นพบเกี่ยวกับช่องโหว่;
เหตุการณ์;
การเปลี่ยนแปลงข้อกำหนดทางกฎหมายที่ใช้บังคับ; และ
พัฒนาการทางเทคโนโลยี
การปรับปรุงจะต้องไม่ลดระดับการคุ้มครองโดยรวมที่มอบให้แก่ข้อมูลบริการลงอย่างมีนัยสำคัญ