ข้อตกลงประมวลผลข้อมูลส่วนบุคคล (DPA)

Data Processing Agreement / สัญญาประมวลผลข้อมูล ระหว่างผู้ควบคุมข้อมูลกับผู้ประมวลผล สำหรับบริการ PPC-IV

เอกสารนี้ใช้เป็นกรอบมาตรฐานของ PPC-IV สำหรับการว่าจ้างผู้ประมวลผลภายนอก และเปิดเผยรายชื่อผู้ประมวลผลให้เจ้าของข้อมูลทราบตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 การใช้งานเชิงพาณิชย์ควรลงนาม DPA ฉบับเต็มกับผู้ประมวลผลแต่ละรายเพิ่มเติม

1. คู่สัญญาและบทบาท

ผู้ควบคุมข้อมูล (Controller): นายพสิษฐ์ ธนาโชติอนันต์กุล — ผู้ให้บริการแพลตฟอร์ม PPC-IV
ลูกค้าองค์กร (Tenant): เป็นผู้ควบคุมข้อมูลของข้อมูลลูกค้า/ผู้ขาย/พนักงานของตนในระบบ
ผู้ประมวลผล (Processor): บุคคลหรือนิติบุคคลที่ประมวลผลข้อมูลตามคำสั่งของผู้ควบคุม

2. วัตถุประสงค์ของการประมวลผล

ประมวลผลข้อมูลเท่าที่จำเป็นเพื่อให้บริการบัญชีออนไลน์ การยืนยันตัวตน การแจ้งเตือน และการประมวลผลเอกสาร (เช่น AI-OCR) ตามที่เปิดใช้

3. พันธะของผู้ประมวลผล

ประมวลผลตามคำสั่งที่เป็นลายลักษณ์อักษรหรือการตั้งค่าระบบเท่านั้น
รักษาความลับ และจำกัดการเข้าถึงเฉพาะผู้ที่จำเป็น
ใช้มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม รวมถึงการสื่อสารผ่าน HTTPS/TLS
ไม่ใช้ข้อมูลเพื่อประโยชน์ของตนเองนอกเหนือจากขอบเขตบริการ
แจ้งเหตุละเมิดข้อมูลโดยไม่ชักช้า
ลบหรือคืนข้อมูลเมื่อสิ้นสุดบริการ เว้นแต่กฎหมายกำหนดให้เก็บ
ช่วยเหลือผู้ควบคุมในการตอบสนองสิทธิเจ้าของข้อมูลตามสมควร

4. การบังคับใช้ HTTPS / การเข้ารหัสการสื่อสาร

เว็บไซต์และการเข้าสู่ระบบของผู้ใช้: บังคับ HTTPS ในสภาพแวดล้อมจริง (HSTS + Secure cookies)
การส่งอีเมลผ่าน SMTP: ใช้ TLS หรือ SSL ตามการตั้งค่า
การส่งเอกสารไป AI-OCR / webhook: อนุญาตเฉพาะ URL ที่ขึ้นต้นด้วย https://
Google OAuth: ใช้ช่องทาง HTTPS ตามที่ผู้ให้บริการกำหนด

5. รายชื่อผู้ประมวลผลภายนอก (Sub-processors)

ผู้ประมวลผล	วัตถุประสงค์	หมวดข้อมูล	มาตรการ / DPA
ผู้ให้บริการโฮสติ้ง / คลาวด์เซิร์ฟเวอร์ ผู้ประมวลผล	เก็บและประมวลผลระบบวางแผนการผลิตออนไลน์ ฐานข้อมูล ไฟล์ และบันทึกการทำงาน	ข้อมูลองค์กร ผู้ใช้ ลูกค้า/ผู้ขาย พนักงาน เอกสารธุรกิจ	HTTPS / การเข้ารหัสการสื่อสาร และการควบคุมการเข้าถึง ต้องมีข้อตกลงประมวลผลข้อมูล (DPA) หรือเงื่อนไขสัญญาที่เทียบเท่า ที่ตั้ง/ปลายทาง: เซิร์ฟเวอร์ที่ผู้ให้บริการกำหนด (โครงสร้างคลาวด์ของ Production Flow)
ผู้ให้บริการอีเมล (SMTP) ผู้ประมวลผล	ส่งอีเมลแจ้งเตือน สมัครใช้งาน การชำระเงิน และการติดต่อ	ชื่อ อีเมล เบอร์โทร เนื้อหาอีเมลที่เกี่ยวข้องกับการให้บริการ	บังคับใช้ TLS/SSL เมื่อส่งอีเมล ต้องมี DPA หรือข้อกำหนดความเป็นส่วนตัวของผู้ให้บริการ SMTP ที่ตั้ง/ปลายทาง: ตามผู้ให้บริการ SMTP ที่ตั้งค่า
CDN / ฟอนต์ / สคริปต์สาธารณะ ผู้ประมวลผลทางเทคนิค (จำกัด)	โหลดสไตล์ ฟอนต์ และไลบรารี UI	โดยทั่วไปเป็นข้อมูลทางเทคนิค (IP / User-Agent) ตามการทำงานของเบราว์เซอร์	HTTPS ใช้บริการสาธารณะที่จำเป็นต่อการแสดงผล ที่ตั้ง/ปลายทาง: เช่น jsDelivr, Google Fonts
Production Flow platform ผู้ควบคุม / ผู้ประมวลผล (ตามบริบท)	ให้บริการ PPC-IV ผ่าน https://production-flow.org	ข้อมูลสมัครใช้งานและการใช้ระบบตามประกาศความเป็นส่วนตัว	HTTPS อยู่ภายใต้ประกาศความเป็นส่วนตัวและ DPA ของบริการ ที่ตั้ง/ปลายทาง: https://production-flow.org

6. การโอนข้อมูลไปต่างประเทศ

หากผู้ประมวลผลอยู่ต่างประเทศ เราจะใช้มาตรการคุ้มครองที่เหมาะสมตามกฎหมาย เช่น ข้อสัญญามาตรฐาน หรือเงื่อนไขการให้บริการที่เทียบเท่า DPA

7. การติดต่อ

สอบถามเรื่อง DPA หรือรายชื่อผู้ประมวลผล: