ข้อตกลงเพิ่มเติมว่าด้วยการประมวลผลข้อมูล

ข้อตกลงเพิ่มเติมว่าด้วยการประมวลผลข้อมูลฉบับนี้ (“DPA”) เป็นส่วนหนึ่งของข้อกำหนดในการให้บริการระหว่างท่าน (“ลูกค้า” ซึ่งเป็นผู้ควบคุมข้อมูล) กับ Empire Luxury International Corporation (DBA Neuro Empire) (“NeuroCRM” ซึ่งเป็นผู้ประมวลผลข้อมูล) และกำกับการประมวลผลข้อมูลส่วนบุคคลที่อยู่ในเนื้อหาของลูกค้า ในกรณีที่มีความขัดแย้งในเรื่องการคุ้มครองข้อมูล DPA ฉบับนี้ใช้บังคับเหนือข้อกำหนด

1. บทบาทและขอบเขต

สำหรับเนื้อหาของลูกค้า ลูกค้าเป็นผู้ควบคุมข้อมูล (หรือผู้ประมวลผลข้อมูลที่ดำเนินการแทนลูกค้าของตน) และ NeuroCRM เป็นผู้ประมวลผลข้อมูล (หรือผู้ประมวลผลข้อมูลช่วง) NeuroCRM ประมวลผลเนื้อหาของลูกค้าเพียงเพื่อให้บริการและตามคำสั่งที่เป็นลายลักษณ์อักษรของลูกค้าเท่านั้น ซึ่งรวมถึงข้อกำหนด DPA ฉบับนี้ และการใช้คุณลักษณะต่าง ๆ ของบริการ NeuroCRM ทำหน้าที่เป็นผู้ควบคุมข้อมูลอิสระเฉพาะสำหรับข้อมูลบัญชี การเรียกเก็บเงิน และความปลอดภัยในขอบเขตจำกัดตามที่อธิบายไว้ในนโยบายความเป็นส่วนตัว

2. รายละเอียดของการประมวลผล

เรื่อง: การให้บริการ NeuroCRM ระยะเวลา: ระยะเวลาการสมัครใช้บริการของลูกค้ารวมกับช่วงเวลายุติการให้บริการใด ๆ ลักษณะและวัตถุประสงค์: การโฮสต์ การจัดเก็บ และการดำเนินการประมวลผลที่จำเป็นในการให้บริการตามที่ลูกค้ากำหนดค่า ประเภทของเจ้าของข้อมูล: ผู้ติดต่อ ผู้สนใจ ลูกค้า พนักงาน และบุคคลอื่น ๆ ของลูกค้าที่ลูกค้าป้อนข้อมูล ประเภทของข้อมูลส่วนบุคคล: ตามที่ลูกค้ากำหนด โดยทั่วไปได้แก่ ข้อมูลระบุตัวตนและข้อมูลติดต่อ บันทึกทางธุรกิจ และการสื่อสาร ลูกค้าต้องไม่ป้อนข้อมูลประเภทพิเศษเว้นแต่จะได้ตกลงกันเป็นลายลักษณ์อักษร

3. คำสั่งของลูกค้าและการปฏิบัติตามข้อกำหนด

NeuroCRM จะประมวลผลเนื้อหาของลูกค้าตามคำสั่งที่เป็นลายลักษณ์อักษรเท่านั้น รวมถึงการโอนข้อมูล เว้นแต่กฎหมายที่ใช้บังคับกำหนดเป็นอย่างอื่น (ในกรณีดังกล่าว NeuroCRM จะแจ้งให้ลูกค้าทราบเว้นแต่จะถูกห้าม) NeuroCRM จะแจ้งให้ลูกค้าทราบหากตามความเห็นของ NeuroCRM คำสั่งนั้นละเมิดกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ลูกค้าเป็นผู้รับผิดชอบต่อความชอบด้วยกฎหมายของเนื้อหาของลูกค้า และต่อการมีคำบอกกล่าวและความยินยอมที่จำเป็นทั้งหมด

4. การรักษาความลับของบุคลากร

NeuroCRM ดูแลให้บุคลากรที่ได้รับอนุญาตให้ประมวลผลเนื้อหาของลูกค้าผูกพันตามข้อกำหนดในการรักษาความลับ และประมวลผลข้อมูลตามคำสั่งเท่านั้น

5. มาตรการรักษาความปลอดภัย

NeuroCRM ดำเนินมาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อให้มีระดับความปลอดภัยที่เหมาะสมกับความเสี่ยง รวมถึงการเข้ารหัสระหว่างการส่งและการเข้ารหัสโทเค็นการเข้าถึงขณะจัดเก็บ การแยกผู้เช่าในเชิงตรรกะ การควบคุมการเข้าถึงและการบันทึกข้อมูล ความสามารถในการฟื้นตัวและการสำรองข้อมูล และการทบทวนเป็นประจำ สามารถขอบทสรุปได้ตามคำขอและดูได้ในนโยบายความเป็นส่วนตัว

6. ผู้ประมวลผลข้อมูลช่วง

ลูกค้าให้การอนุญาตทั่วไปแก่ NeuroCRM ในการว่าจ้างผู้ประมวลผลข้อมูลช่วง รายชื่อปัจจุบันอยู่ที่ /legal/subprocessors NeuroCRM กำหนดข้อผูกพันด้านการคุ้มครองข้อมูลแก่ผู้ประมวลผลข้อมูลช่วงแต่ละรายในระดับที่ให้ความคุ้มครองไม่น้อยไปกว่า DPA ฉบับนี้ และยังคงรับผิดชอบต่อการปฏิบัติงานของผู้ประมวลผลข้อมูลช่วงเหล่านั้น NeuroCRM จะแจ้งล่วงหน้าอย่างน้อย 30 วันสำหรับผู้ประมวลผลข้อมูลช่วงรายใหม่หรือรายทดแทนใด ๆ ลูกค้าอาจคัดค้านโดยมีเหตุผลอันสมควรด้านการคุ้มครองข้อมูล และหากคู่สัญญาไม่สามารถยุติข้อคัดค้านได้ ลูกค้าอาจยกเลิกบริการที่ได้รับผลกระทบและรับเงินคืนสำหรับค่าธรรมเนียมที่ชำระล่วงหน้าและยังไม่ได้ใช้

7. คำขอของเจ้าของข้อมูลและการให้ความช่วยเหลือ

โดยคำนึงถึงลักษณะของการประมวลผล NeuroCRM จะช่วยเหลือลูกค้าด้วยมาตรการที่เหมาะสมและในขอบเขตที่สมเหตุสมผลทางการค้า ในการตอบสนองต่อคำขอของเจ้าของข้อมูลและในการปฏิบัติตามข้อผูกพันเกี่ยวกับความปลอดภัย การแจ้งเหตุละเมิด การประเมินผลกระทบด้านการคุ้มครองข้อมูล และการปรึกษาหารือล่วงหน้า หาก NeuroCRM ได้รับคำขอโดยตรงจากเจ้าของข้อมูล NeuroCRM จะส่งต่อคำขอดังกล่าวไปยังลูกค้าและจะไม่ตอบสนองเว้นแต่ตามคำสั่งหรือตามที่กฎหมายกำหนด

8. การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

NeuroCRM จะแจ้งให้ลูกค้าทราบโดยไม่ชักช้าเกินควร และไม่ว่าในกรณีใดภายใน 24 ชั่วโมง นับแต่ทราบถึงเหตุละเมิดข้อมูลส่วนบุคคลที่ได้รับการยืนยันหรือสงสัยตามสมควรว่ามีผลกระทบต่อเนื้อหาของลูกค้า และจะให้ข้อมูลที่มีอยู่เพื่อช่วยให้ลูกค้าปฏิบัติตามข้อผูกพันในการแจ้งเหตุ พร้อมทั้งให้ข้อมูลล่าสุดเมื่อการสอบสวนดำเนินไป การแจ้งเหตุดังกล่าวมิใช่การยอมรับความผิดหรือความรับผิด การพิจารณาว่าจะแจ้งต่อหน่วยงานกำกับดูแลหรือเจ้าของข้อมูลหรือไม่ และการแจ้งดังกล่าว เป็นความรับผิดชอบของลูกค้าในฐานะผู้ควบคุมข้อมูล โดย NeuroCRM ให้ความร่วมมือตามสมควร

9. การโอนข้อมูลระหว่างประเทศ

ในกรณีที่การประมวลผลเกี่ยวข้องกับการโอนข้อมูลส่วนบุคคลออกนอก EEA สหราชอาณาจักร หรือสวิตเซอร์แลนด์ ไปยังประเทศที่ไม่มีคำวินิจฉัยว่ามีความเพียงพอ (adequacy decision) คู่สัญญานำ Standard Contractual Clauses (2021/914), Module Two (controller to processor) ของคณะกรรมาธิการยุโรปมารวมไว้ โดยกรอกข้อมูลใน DPA ฉบับนี้ ร่วมกับ UK International Data Transfer Addendum และการปรับใช้สำหรับสวิตเซอร์แลนด์ตามที่เหมาะสม หรืออีกทางหนึ่ง NeuroCRM อาจอาศัย EU-US Data Privacy Framework ในกรณีที่ได้รับการรับรอง NeuroCRM ใช้มาตรการเสริมตามที่เหมาะสม ในกรณีที่มีความขัดแย้ง SCC ใช้บังคับเหนือเฉพาะเท่าที่จำเป็น

10. บริเวณข้อมูลของรัสเซีย (152-FZ)

สำหรับข้อมูลส่วนบุคคลของบุคคลในสหพันธรัฐรัสเซีย NeuroCRM คงไว้ซึ่งบริเวณข้อมูลของรัสเซียที่แยกต่างหาก โดยมีการบันทึกและจัดเก็บข้อมูลหลักบนเซิร์ฟเวอร์ที่ตั้งอยู่ในรัสเซีย ตามกฎหมายสหพันธรัฐ ฉบับที่ 152-FZ และประมวลผลข้อมูลดังกล่าวตามคำสั่งของลูกค้าภายใต้มาตรา 6(3) ของ 152-FZ บริเวณข้อมูลนี้และกระบวนการแจ้งเหตุละเมิด (ขั้นต้นภายใน 24 ชั่วโมง และผลภายใน 72 ชั่วโมงต่อ Roskomnadzor) ดำเนินการแยกต่างหากจากสายงาน GDPR ดูนโยบายการประมวลผลข้อมูลส่วนบุคคล (รัสเซีย)

11. การตรวจสอบ

NeuroCRM จะจัดเตรียมข้อมูลที่จำเป็นเพื่อแสดงการปฏิบัติตาม DPA ฉบับนี้ และอนุญาตให้มีการตรวจสอบ เพื่อลดการหยุดชะงัก NeuroCRM อาจตอบสนองต่อคำขอตรวจสอบโดยจัดเตรียมใบรับรองหรือรายงานจากบุคคลภายนอกที่เป็นปัจจุบัน (เช่น ISO 27001 หรือ SOC 2 Type II) ในกรณีที่มี การตรวจสอบ ณ สถานที่หรือการตรวจสอบโดยละเอียดจำกัดไว้ที่ปีละหนึ่งครั้ง (ยกเว้นภายหลังเกิดเหตุละเมิด) ต้องแจ้งล่วงหน้าอย่างน้อย 30 วัน มีขอบเขตที่ตกลงร่วมกัน รักษาความลับ และดำเนินการในเวลาทำการโดยไม่รบกวนเกินสมควร

12. การคืนและการลบข้อมูล

เมื่อสิ้นสุดสัญญา ตามที่ลูกค้าเลือกภายใน 30 วัน NeuroCRM จะคืนเนื้อหาของลูกค้าในรูปแบบที่ใช้กันทั่วไปหรือลบเนื้อหาดังกล่าว และเมื่อมีคำขอ จะรับรองการลบภายในระยะเวลาอันสมควร เว้นแต่ในขอบเขตที่กฎหมายกำหนดให้เก็บรักษา การสำรองข้อมูลตามปกติจะถูกเขียนทับตามรอบการหมุนเวียนมาตรฐาน

13. ความรับผิดและลำดับการใช้บังคับ

ความรับผิดของคู่สัญญาแต่ละฝ่ายภายใต้ DPA ฉบับนี้อยู่ภายใต้ข้อจำกัดและข้อยกเว้นในข้อกำหนดในการให้บริการ รวมถึงเพดานที่เพิ่มขึ้นสำหรับการละเมิดด้านการคุ้มครองข้อมูล DPA ฉบับนี้ รวมถึง SCC ที่นำมารวมไว้ ใช้บังคับเหนือบทบัญญัติของข้อกำหนดที่ขัดแย้งกันในเรื่องการคุ้มครองข้อมูล DPA อยู่ภายใต้บังคับของกฎหมายและบทบัญญัติเรื่องการระงับข้อพิพาทของข้อกำหนดที่ใช้บังคับกับลูกค้า