ข้อตกลงการประมวลผลข้อมูลฉบับนี้ (“DPA”) เป็นส่วนเพิ่มเติมของข้อตกลงระหว่างบริษัทและลูกค้า ซึ่งอธิบายถึงบทบาทของแต่ละฝ่ายในการประมวลผลและควบคุมข้อมูลส่วนบุคคลที่ลูกค้ามอบให้แก่บริษัทในฐานะส่วนหนึ่งของบริการสมัครสมาชิก คำศัพท์ใดๆ ที่ขึ้นต้นด้วยตัวพิมพ์ใหญ่ซึ่งไม่ได้นิยามไว้ในที่นี้ ให้มีความหมายตามที่กำหนดไว้ในข้อตกลง ข้อตกลงการประมวลผลข้อมูลฉบับนี้จะสิ้นสุดลงโดยอัตโนมัติเมื่อข้อตกลงสิ้นสุดหรือหมดอายุลง ไม่มีสิ่งใดในข้อตกลงการประมวลผลข้อมูลฉบับนี้ที่จะส่งผลกระทบต่อการบังคับใช้กฎหมายและเขตอำนาจศาลภายใต้ข้อตกลง ซึ่งใช้บังคับกับข้อเรียกร้องทั้งหมดที่เกิดขึ้นภายใต้ข้อตกลงและข้อตกลงการประมวลผลข้อมูลฉบับนี้.
1. คำจำกัดความ
“พันธมิตร”การควบคุม“ หมายถึง นิติบุคคลใดๆ ที่ฝ่ายหนึ่งควบคุม อีกฝ่ายหนึ่งควบคุมอีกฝ่าย หรืออยู่ภายใต้การควบคุมร่วมกันของทั้งสองฝ่าย สำหรับวัตถุประสงค์ของคำจำกัดความนี้ ”การควบคุม” หมายถึง การมีส่วนได้เสียมากกว่า 50% ในนิติบุคคลนั้น.
“ข้อตกลง”หมายถึงข้อตกลงระหว่างบริษัทและลูกค้าสำหรับการให้บริการแบบสมัครสมาชิก”.
“บริษัท”หมายถึงนิติบุคคลของบริษัทที่ระบุไว้ในแบบฟอร์มคำสั่งซื้อและ/หรือขอบเขตงานที่เกี่ยวข้อง”.
“กลุ่มบริษัท”หมายถึง Dilicheck SL และบริษัทในเครือ”.
“ลูกค้า”หมายถึงนิติบุคคลของลูกค้าที่ระบุไว้ในแบบฟอร์มคำสั่งซื้อและ/หรือขอบเขตงานที่เกี่ยวข้อง”.
“กฎหมายคุ้มครองข้อมูล”กฎหมายคุ้มครองข้อมูลส่วนบุคคล’ หมายถึง กฎหมาย ข้อบังคับ คำสั่ง หรือแนวทางปฏิบัติใดๆ ที่เกี่ยวข้องกับการคุ้มครอง การประมวลผล การจัดเก็บ การถ่ายโอน หรือความปลอดภัยของข้อมูลส่วนบุคคล ความเป็นส่วนตัว หรือสิทธิของเจ้าของข้อมูลในเขตอำนาจศาลใดๆ ที่คู่สัญญาดำเนินงานหรือให้บริการ ซึ่งรวมถึงแต่ไม่จำกัดเพียง ระเบียบว่าด้วยการคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป (EU) 2016/679 (“EU GDPR”) และกฎหมายคุ้มครองข้อมูลหรือความเป็นส่วนตัวอื่นๆ ที่คล้ายคลึงกันในเขตอำนาจศาลใดๆ ที่มีการประมวลผลข้อมูลส่วนบุคคลภายใต้ข้อตกลงนี้ และกฎหมายและข้อบังคับอื่นๆ ที่คล้ายคลึงกันในปัจจุบันหรืออนาคต (ทั้งหมดที่แก้ไข ปรับปรุง หรือประกาศใช้ใหม่เป็นครั้งคราว).
“เจ้าของข้อมูล”ข้อมูลส่วนบุคคล” หมายถึง บุคคลธรรมดาใดๆ ที่สามารถระบุตัวตนได้โดยตรงหรือโดยอ้อม ผ่านการใช้ข้อมูลส่วนบุคคล ซึ่งรวมถึงแต่ไม่จำกัดเพียงบุคคลต่างๆ เช่น ลูกค้า พนักงาน ผู้ใช้ ผู้รับเหมา หรือบุคคลอื่นๆ ที่สามารถระบุตัวตนได้.
“ข้อมูลส่วนบุคคล”ข้อมูล” หมายถึง ข้อมูลใดๆ ในทุกรูปแบบ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้ บุคคลที่สามารถระบุตัวตนได้ คือ บุคคลที่สามารถระบุตัวตนได้โดยตรงหรือโดยอ้อม โดยอ้างอิงจากปัจจัยอย่างน้อยหนึ่งอย่าง รวมถึงแต่ไม่จำกัดเพียง ชื่อ หมายเลขประจำตัว ข้อมูลตำแหน่งที่ตั้ง ตัวระบุออนไลน์ หรือปัจจัยเฉพาะที่เกี่ยวข้องกับอัตลักษณ์ทางกายภาพ สรีรวิทยา พันธุกรรม จิตใจ เศรษฐกิจ วัฒนธรรม หรือสังคมของบุคคลนั้น.
“กำลังประมวลผล”ข้อมูลส่วนบุคคล” หมายถึง การดำเนินการใดๆ หรือชุดของการดำเนินการใดๆ ที่กระทำกับข้อมูลส่วนบุคคล หรือชุดของข้อมูลส่วนบุคคล ไม่ว่าจะโดยวิธีการอัตโนมัติหรือไม่ก็ตาม เช่น การรวบรวม การบันทึก การจัดระเบียบ การจัดโครงสร้าง การจัดเก็บ การปรับเปลี่ยนหรือแก้ไข การเรียกค้น การปรึกษา การใช้งาน การเปิดเผยโดยการส่ง การเผยแพร่ หรือการทำให้พร้อมใช้งานในรูปแบบอื่น การจัดเรียงหรือการรวม การจำกัด การลบ หรือการทำลาย.
“ข้อกำหนดสัญญามาตรฐาน”หมายถึงข้อกำหนดสัญญามาตรฐานสำหรับการถ่ายโอนข้อมูลจากผู้ควบคุมข้อมูลในเขตเศรษฐกิจยุโรปไปยังผู้ประมวลผลข้อมูลที่ตั้งอยู่นอกเขตเศรษฐกิจยุโรป ซึ่งออกโดยคณะกรรมาธิการยุโรปและมีผลบังคับใช้ ณ วันที่ของ DPA นี้ ตามที่ระบุไว้ใน http s : / / e ur – l อดีต . สหภาพยุโรป eu / l เช่นอัล –เนื้อหา /EN / TXT /PDF /? uri = CELEX : 32021 D 0914
“ประเทศที่สาม”หมายถึงประเทศใดก็ตามที่ไม่มีระบบที่รับประกันการคุ้มครองที่เพียงพอ”.
2. ขอบเขตของ DPA
ในส่วนที่เกี่ยวข้องกับข้อมูลส่วนบุคคลใดๆ ที่ลูกค้าได้ให้ไว้แก่บริษัทตามข้อตกลงนี้ บริษัทจะเป็นผู้ประมวลผล และลูกค้าจะเป็นผู้ควบคุมข้อมูล.
3. การประมวลผลข้อมูลส่วนบุคคล
- ในกรณีที่บริษัททำหน้าที่เป็นผู้ประมวลผลข้อมูลในนามของลูกค้า ตามวัตถุประสงค์ของข้อตกลงนี้:
- ประเภทของข้อมูลส่วนบุคคลและหมวดหมู่ของเจ้าของข้อมูล ได้แก่ ชื่อ นามสกุล ที่อยู่อีเมล หมายเลขโทรศัพท์ ที่อยู่ทางไปรษณีย์ และ
- ลักษณะ/วัตถุประสงค์ของการประมวลผลคือเพื่อให้บริษัทสามารถให้บริการตัวแทนสหภาพยุโรปภายใต้มาตรา 27 ของ GDPR ซึ่งรวมถึงการจัดการและอำนวยความสะดวกในการร้องขอของเจ้าของข้อมูล และระยะเวลาของการประมวลผลจะเป็นไปตามระยะเวลาของข้อตกลง.
- บริษัทฯ จะต้องปฏิบัติตามพันธกรณีภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล และโดยเฉพาะอย่างยิ่งจะต้องดำเนินการดังต่อไปนี้:
- ประมวลผลข้อมูลส่วนบุคคลเฉพาะในขอบเขตที่จำเป็นสำหรับวัตถุประสงค์ที่ระบุไว้ในที่นี้ และเป็นไปตามคำแนะนำเป็นลายลักษณ์อักษรของลูกค้าในกรณีที่เกี่ยวข้อง;
- ดำเนินการตามมาตรการทางเทคนิคและองค์กรที่เหมาะสมตามกฎหมายคุ้มครองข้อมูล เพื่อให้มั่นใจได้ถึงระดับความปลอดภัยที่เหมาะสมกับความเสี่ยงที่เกิดจากการประมวลผลดังกล่าว;
- การประมวลผลข้อมูลส่วนบุคคลใดๆ ในประเทศที่สามผ่านทางบริษัทในเครือหรือผู้รับเหมาช่วงของบริษัทจะต้องเป็นไปตามข้อกำหนดของข้อสัญญามาตรฐานเท่านั้น;
- ตรวจสอบให้แน่ใจว่าพนักงานหรือบุคคลอื่นใดที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลนั้นอยู่ภายใต้ข้อผูกพันด้านการรักษาความลับที่เหมาะสม;
- ไม่ว่าจ้างบุคคลที่สามเพื่อดำเนินการตามภาระผูกพันในการประมวลผลภายใต้ข้อตกลงนี้โดยไม่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากลูกค้าก่อน และเพื่อวัตถุประสงค์ของมาตรา (v) นี้ คู่สัญญาทั้งสองฝ่ายตกลงว่า บริษัทอาจว่าจ้างพันธมิตรผู้ให้บริการโฮสติ้งเพื่อดำเนินการตามภาระผูกพันในการประมวลผลตามข้อตกลง และหน่วยงานในกลุ่มบริษัทอาจดำเนินการตามภาระผูกพันในการประมวลผลตามมาตรา (ii) ข้างต้นได้เช่นกัน;
- แจ้งให้ลูกค้าทราบโดยเร็วที่สุดเท่าที่จะเป็นไปได้ เกี่ยวกับคำขอหรือข้อร้องเรียนใดๆ ที่ได้รับจากเจ้าของข้อมูล โดยไม่ตอบสนองต่อคำขอนั้น (เว้นแต่จะได้รับอนุญาตจากลูกค้าหรือเป็นไปตามกฎหมายที่เกี่ยวข้อง) และให้ความช่วยเหลือลูกค้าด้วยมาตรการทางเทคนิคและองค์กรเท่าที่ทำได้ เพื่อให้ลูกค้าสามารถปฏิบัติตามภาระผูกพันในส่วนที่เกี่ยวกับคำขอและข้อร้องเรียนดังกล่าวได้;
- ตามคำขอของลูกค้า และโดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่มีอยู่ของบริษัท ให้ความช่วยเหลือลูกค้าในการปฏิบัติตามข้อผูกพันภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล (ถ้ามี) ในส่วนที่เกี่ยวกับ: (ก) การนำมาตรการทางเทคนิคและองค์กรที่เหมาะสมมาใช้; (ข) ในกรณีที่เกี่ยวข้อง การแจ้งการละเมิดข้อมูลส่วนบุคคลต่อหน่วยงานกำกับดูแลที่เกี่ยวข้อง และ/หรือการสื่อสารการละเมิดดังกล่าวไปยังเจ้าของข้อมูลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่บังคับใช้; และ (ค) ในกรณีที่จำเป็น การดำเนินการ และ/หรือการตรวจสอบ และหากเหมาะสม การปรึกษาหารือกับหน่วยงานกำกับดูแลที่เกี่ยวข้องเกี่ยวกับการประเมินผลกระทบด้านการคุ้มครองข้อมูล;
- ตามคำขอของลูกค้า ให้จัดหาข้อมูลทั้งหมดที่จำเป็นเพื่อแสดงให้เห็นว่าบริษัทปฏิบัติตามวรรค 3 นี้ และ
- เมื่อสัญญาฉบับนี้สิ้นสุดหรือหมดอายุลง ให้ทำลายข้อมูลส่วนบุคคลทั้งหมดและลบสำเนาข้อมูลส่วนบุคคลที่มีอยู่ทั้งหมด เว้นแต่จะได้รับการกำหนดไว้เป็นอย่างอื่นตามกฎหมายที่เกี่ยวข้อง.
4. ข้อผูกพันของลูกค้า
ลูกค้ายืนยันว่าตนมีอำนาจที่จำเป็น (ในกรณีที่จำเป็น) จากเจ้าของข้อมูลที่เกี่ยวข้องทั้งหมด เพื่อให้บริษัทสามารถใช้และประมวลผลข้อมูลส่วนบุคคลดังกล่าวได้ตามข้อตกลง ลูกค้าจะต้องปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้องทั้งหมด รวมถึง: (i) การแจ้งให้เจ้าของข้อมูลทราบและเปิดเผยข้อมูลที่เหมาะสมทั้งหมดเกี่ยวกับลูกค้า บริษัท และบุคคลที่สามที่กระทำการแทนลูกค้า การเก็บรวบรวม การใช้ การประมวลผล และการถ่ายโอนข้อมูลส่วนบุคคล (ii) การได้รับสิทธิ์ที่จำเป็นทั้งหมดและความยินยอมที่บังคับใช้ได้จากเจ้าของข้อมูล เพื่ออนุญาตให้บริษัทประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ในการปฏิบัติตามภาระผูกพันของบริษัท หรือตามที่ได้รับอนุญาตภายใต้ข้อตกลง และ (iii) การได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลและปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้องทั้งหมด หากลูกค้าเก็บรวบรวมหรือถ่ายโอนข้อมูลส่วนบุคคลประเภทพิเศษใดๆ ลูกค้ารับทราบว่าบริการสมัครสมาชิกของบริษัทไม่ได้ออกแบบมาเพื่อเก็บรวบรวมหรือประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษใดๆ.
5. การถ่ายโอนข้อมูลระหว่างประเทศ
- คู่สัญญาทั้งสองฝ่ายรับทราบว่า การให้บริการอาจเกี่ยวข้องกับการโอนข้อมูลส่วนบุคคลจากเขตเศรษฐกิจยุโรป (“EEA”) ไปยังเขตอำนาจศาลนอก EEA ที่ไม่มีระดับการคุ้มครองข้อมูลที่เพียงพอตามความหมายของกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง (“ประเทศที่สาม”) ผู้ประมวลผลข้อมูลจะต้องตรวจสอบให้แน่ใจว่าการโอนข้อมูลดังกล่าวเป็นไปตามกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง และอยู่ภายใต้มาตรการคุ้มครองที่เหมาะสมซึ่งออกแบบมาเพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลยังคงได้รับการคุ้มครองในระดับที่เทียบเท่ากับที่กำหนดไว้ภายใต้ GDPR.
- การถ่ายโอนข้อมูลจากโปรเซสเซอร์ไปยังคอนโทรลเลอร์
ในกรณีที่ผู้ประมวลผลข้อมูลส่งต่อข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลในประเทศที่สามที่เกี่ยวข้องกับการให้บริการ:
(ก) คู่สัญญาทั้งสองฝ่ายตกลงว่าการโอนดังกล่าวจะอยู่ภายใต้บังคับของข้อกำหนดสัญญามาตรฐาน (มติการดำเนินการของคณะกรรมาธิการ (EU) 2021/914);
(b) คู่สัญญาทั้งสองฝ่ายตกลงกันโดยเฉพาะว่า ข้อ 4 (ผู้ประมวลผลข้อมูลไปยังผู้ควบคุมข้อมูล) ของข้อกำหนดสัญญามาตรฐานจะมีผลบังคับใช้;
(ค) ผู้ประมวลผลจะทำหน้าที่เป็นผู้ส่งออกข้อมูล และผู้ควบคุมจะทำหน้าที่เป็นผู้นำเข้าข้อมูลตามวัตถุประสงค์ของข้อกำหนดสัญญามาตรฐาน;
(d) ข้อกำหนดสัญญามาตรฐานได้ถูกรวมเข้าไว้ใน DPA นี้โดยการอ้างอิง และได้ระบุไว้อย่างครบถ้วนในภาคผนวก IV และจะถือเป็นส่วนหนึ่งของข้อตกลงนี้โดยสมบูรณ์.
- การโอนไปยังผู้ประมวลผลย่อย
ในกรณีที่ผู้ประมวลผลหลักว่าจ้างผู้ประมวลผลย่อยที่ตั้งอยู่ในประเทศที่สาม:
(ก) ผู้ประมวลผลข้อมูลต้องตรวจสอบให้แน่ใจว่าการโอนข้อมูลดังกล่าวอยู่ภายใต้มาตรการคุ้มครองที่เหมาะสมตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล;
(b) ในกรณีที่เกี่ยวข้อง มาตรการคุ้มครองดังกล่าวจะต้องรวมถึงการดำเนินการตามข้อกำหนดสัญญามาตรฐาน รวมถึงโมดูล 3 (ผู้ประมวลผลต่อผู้ประมวลผล) ระหว่างผู้ประมวลผลและผู้ประมวลผลย่อยที่เกี่ยวข้อง;
(ค) ผู้ประมวลผลจะต้องกำหนดภาระผูกพันตามสัญญาแก่ผู้ประมวลผลย่อยทั้งหมด ซึ่งจะต้องไม่น้อยกว่าภาระผูกพันที่กำหนดไว้ในข้อตกลงการประมวลผลข้อมูลนี้;
(d) ผู้ประมวลผลยังคงต้องรับผิดชอบอย่างเต็มที่ต่อผู้ควบคุมข้อมูลสำหรับการปฏิบัติตามภาระผูกพันของผู้ประมวลผลย่อยของตน.
- มาตรการคุ้มครองเพิ่มเติมและการประเมินผลกระทบจากการถ่ายโอน
ผู้ประมวลผลจะต้อง:
(ก) ดำเนินการตามมาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคลระหว่างการถ่ายโอนและการประมวลผลในภายหลัง ซึ่งรวมถึงมาตรการที่เหมาะสม เช่น การเข้ารหัสระหว่างการส่ง การควบคุมการเข้าถึง มาตรการลดปริมาณข้อมูล;
(ข) ประเมินเป็นรายกรณีตามความจำเป็น ว่ากฎหมายและแนวปฏิบัติของประเทศที่สามอาจส่งผลกระทบต่อประสิทธิผลของมาตรการคุ้มครองที่นำมาใช้ รวมถึงข้อกำหนดสัญญามาตรฐานหรือไม่;
(ค) เมื่อได้รับการร้องขออย่างสมเหตุสมผล ให้จัดหาข้อมูลที่จำเป็นอย่างสมเหตุสมผลแก่ผู้ควบคุมข้อมูลเพื่อแสดงให้เห็นถึงการปฏิบัติตามข้อนี้ รวมถึงประเด็นที่เกี่ยวข้องกับการประเมินผลกระทบการโอนย้ายใดๆ.
- การเปลี่ยนแปลงในกรอบกฎหมาย
หาก (ก) ข้อกำหนดสัญญามาตรฐานถูกเพิกถอน แก้ไข หรือแทนที่ หรือ (ข) หน่วยงานกำกับดูแลที่มีอำนาจหรือศาลตัดสินว่ามาตรการคุ้มครองที่ใช้เป็นหลักฐานไม่เพียงพออีกต่อไป คู่สัญญาจะต้องให้ความร่วมมือโดยสุจริตเพื่อนำกลไกการถ่ายโอนข้อมูลทางเลือกหรือมาตรการเสริมที่จำเป็นมาใช้เพื่อให้มั่นใจได้ว่าสอดคล้องกับกฎหมายคุ้มครองข้อมูล และหากไม่สามารถนำกลไกดังกล่าวมาใช้ได้ ผู้ควบคุมข้อมูลอาจระงับหรือยุติการถ่ายโอนข้อมูลที่ได้รับผลกระทบโดยไม่มีบทลงโทษ.
- ลำดับความสำคัญของมาตรการคุ้มครอง
ในกรณีที่เกิดข้อขัดแย้งใดๆ ระหว่างข้อตกลงคุ้มครองข้อมูลส่วนบุคคลฉบับนี้กับข้อกำหนดในสัญญามาตรฐาน ข้อกำหนดในสัญญามาตรฐานจะมีผลบังคับใช้เหนือกว่าเท่าที่จำเป็นเพื่อให้มั่นใจได้ว่ามีการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง.
6. โปรเซสเซอร์ย่อย
- ลูกค้ายินยอมให้บริษัทว่าจ้างผู้ประมวลผลข้อมูลย่อยที่เป็นบุคคลที่สาม (รวมเรียกว่า “ผู้ประมวลผลข้อมูลย่อย”) รวมถึงบริษัทในกลุ่ม เพื่อประมวลผลข้อมูลส่วนบุคคลในนามของบริษัท รายชื่อผู้ประมวลผลข้อมูลย่อยปัจจุบันของบริษัทแสดงอยู่ในเอกสารนี้ และจะมีการปรับปรุงเป็นระยะ บริษัทจะพยายามอย่างเต็มที่ที่จะแจ้งให้ลูกค้าทราบถึงการเปลี่ยนแปลงที่สำคัญใดๆ เกี่ยวกับผู้ประมวลผลข้อมูลย่อย เพื่อให้ลูกค้ามีโอกาสคัดค้านการเปลี่ยนแปลงดังกล่าวอย่างสมเหตุสมผล หากลูกค้าสามารถแสดงให้เห็นได้อย่างสมเหตุสมผลว่าการแต่งตั้งผู้ประมวลผลข้อมูลย่อยรายใหม่จะมีผลกระทบในทางลบอย่างมีนัยสำคัญต่อความสามารถของบริษัทในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง ลูกค้าจะต้องแจ้งให้บริษัททราบเป็นลายลักษณ์อักษรภายในสิบ (10) วันทำการนับจากนั้น โดยระบุเหตุผลที่สมเหตุสมผลในการคัดค้านการใช้ผู้ประมวลผลข้อมูลย่อยรายใหม่.
- เมื่อได้รับคำคัดค้านเป็นลายลักษณ์อักษรจากลูกค้าเกี่ยวกับการเปลี่ยนแปลงที่สำคัญของผู้รับช่วงงานประมวลผลข้อมูลของบริษัท ลูกค้าและบริษัทจะร่วมมือกันโดยไม่ชักช้าเกินควรเพื่อเสนอแนะทางเลือกอื่น หากเงื่อนไขต่อไปนี้ครบถ้วน ก) ไม่พบทางเลือกอื่นที่ยอมรับได้และสมเหตุสมผลร่วมกัน ข) ลูกค้ามีสิทธิในการยกเลิกสัญญาภายใต้กฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง และ ค) ลูกค้าได้แจ้งเป็นลายลักษณ์อักษรโดยทันทีตามมาตรานี้ ลูกค้าอาจยกเลิกสัญญาได้เฉพาะบริการที่ไม่สามารถให้บริการได้โดยบริษัทหากไม่ใช้ผู้รับช่วงงานประมวลผลข้อมูลรายใหม่ เว้นแต่จะถูกห้ามโดยกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง ในกรณีที่ลูกค้าบอกเลิกสัญญาก่อนกำหนด บริษัทสามารถเก็บรักษาหรือเรียกเก็บเงินค่าบริการจนถึงสิ้นสุดระยะเวลาสัญญาปัจจุบันของลูกค้าสำหรับบริการที่ถูกยกเลิกได้.
- บริษัทฯ จะกำหนดเงื่อนไขการคุ้มครองข้อมูลที่คล้ายคลึงกันให้กับผู้รับช่วงดำเนินการดังกล่าว และบริษัทฯ ยังคงต้องรับผิดชอบต่อการละเมิดข้อตกลงการคุ้มครองข้อมูล (DPA) ที่เกิดจากผู้รับช่วงดำเนินการ ในกรณีที่การละเมิดดังกล่าวเกิดจากความประมาทเลินเล่อหรือการละเว้นการกระทำของบริษัทฯ.
7. การตรวจสอบบัญชี
เมื่อได้รับการร้องขอเป็นลายลักษณ์อักษรและโดยมีการแจ้งล่วงหน้าอย่างสมเหตุสมผล (ไม่น้อยกว่าสามสิบวัน) บริษัทจะจัดหาข้อมูลทั้งหมดที่จำเป็นอย่างสมเหตุสมผลให้แก่ลูกค้าเพื่อแสดงให้เห็นถึงการปฏิบัติตามข้อผูกพันที่กำหนดไว้ใน DPA นี้ และเพื่อให้สามารถดำเนินการตรวจสอบสิ่งอำนวยความสะดวกในการประมวลผลของบริษัทได้อย่างสมเหตุสมผล รวมถึงการตรวจสอบที่ดำเนินการโดยลูกค้า ผู้ตรวจสอบอิสระรายอื่นที่ได้รับมอบหมายจากลูกค้า หรือโดยหน่วยงานกำกับดูแล ลูกค้าอาจดำเนินการตรวจสอบหรือตรวจสอบกิจกรรมการประมวลผลของบริษัทได้หนึ่งครั้งต่อช่วงเวลาสิบสอง (12) เดือน ผ่านแบบสอบถามตามด้วยการโทรติดตามตามที่จำเป็น เว้นแต่จะกำหนดไว้เป็นอย่างอื่นโดยกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง หรือในกรณีที่มีการละเมิดข้อมูลส่วนบุคคลที่ได้รับการยืนยันซึ่งส่งผลกระทบต่อข้อมูลส่วนบุคคลของลูกค้า บริษัทตกลงว่าหน่วยงานกำกับดูแลมีสิทธิที่จะดำเนินการตรวจสอบสิ่งอำนวยความสะดวกในการประมวลผลของบริษัทในขอบเขตเดียวกันและอยู่ภายใต้เงื่อนไขเดียวกันกับที่หน่วยงานกำกับดูแลจะใช้กับการตรวจสอบผู้ควบคุมข้อมูลภายใต้กฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง บริษัทจะแจ้งให้ลูกค้าทราบโดยทันทีเกี่ยวกับการมีอยู่ของกฎหมายที่ใช้บังคับกับตนเองหรือผู้ประมวลผลย่อยที่ได้รับอนุมัติใด ๆ ที่ป้องกันการดำเนินการตรวจสอบตามวรรคนี้ ในกรณีดังกล่าว ลูกค้ามีสิทธิที่จะระงับการถ่ายโอนข้อมูลส่วนบุคคลใดๆ ได้.
8. ความรับผิดชอบ
ความรับผิดของแต่ละฝ่ายภายใต้ข้อตกลง DPA นี้จะอยู่ภายใต้ข้อจำกัดและข้อยกเว้นที่ระบุไว้ในข้อกำหนดมาตรฐานการสมัครสมาชิกและบริการหลัก หรือข้อตกลงที่คล้ายคลึงกันซึ่งทำขึ้นระหว่างคู่สัญญา.
9. กฎหมายที่ใช้บังคับ
ข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้อยู่ภายใต้บังคับของกฎหมายที่ระบุไว้ในข้อกำหนดมาตรฐานการสมัครใช้บริการหรือข้อตกลงที่คล้ายคลึงกันซึ่งทำขึ้นระหว่างคู่สัญญา.