นโยบายความเป็นส่วนตัว

สัญญาการประมวลผลข้อมูลส่วนบุคคล (DPA for Outsource)

สัญญาการประมวลผลข้อมูลส่วนบุคคล (“สัญญา”) นี้ทำขึ้น เมื่อวันที่ [วันที่] โดยและระหว่าง[1]

ก.     บริษัท เอทู เทคโนโลยี จำกัด ตั้งอยู่เลขที่ [ที่อยู่จดทะเบียนของบริษัท] (“บริษัท”) ฝ่ายหนึ่ง และ

ข.     [ชื่อบริษัท] ทะเบียนนิติบุคคลเลขที่ [เลขที่ทะเบียนนิติบุคคล] ตั้งอยู่เลขที่ [ที่อยู่จดทะเบียนของบริษัท] (“ผู้รับจ้าง”) อีกฝ่ายหนึ่ง

(ต่อไป หากไม่เรียกคู่สัญญาฝ่ายใดฝ่ายหนึ่งว่า บริษัท หรือผู้รับจ้าง เป็นการเฉพาะเจาะจงแล้ว จะเรียกคู่สัญญาแต่ละฝ่ายว่า “คู่สัญญาฝ่ายใดฝ่ายหนึ่ง” และเรียกรวมกันว่า “คู่สัญญาทั้งสองฝ่าย”)

โดยที่ 

(ก)   คู่สัญญาทั้งสองฝ่ายได้ลงนามในสัญญาว่าจ้าง [รายละเอียดสัญญา ได้แก่ ชื่อสัญญา เช่น สัญญาให้บริการ และวันที่ของสัญญา] ระหว่างกัน (“สัญญาหลัก”) ทั้งนี้ ในการปฏิบัติสิทธิและหน้าที่ของคู่สัญญาทั้งสองฝ่ายภายใต้สัญญาหลักดังกล่าว คู่สัญญาทั้งสองฝ่ายตกลงรับทราบ และยอมรับว่า บริษัท มีความจำเป็นต้องเปิดเผย ส่งต่อ และแลกเปลี่ยนข้อมูลส่วนบุคคล (ตามที่จะมีการกำหนดนิยามไว้ในสัญญาฉบับนี้) ให้แก่ผู้รับจ้าง 

(ข)   ด้วยจุดประสงค์เพื่อสร้างความชัดเจนเกี่ยวกับสิทธิ หน้าที่ และความรับผิดชอบในส่วนที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลระหว่างคู่สัญญาทั้งสองฝ่าย คู่สัญญาทั้งสองฝ่ายจึงได้จัดทำสัญญาฉบับนี้ขึ้น 

ดังนั้น คู่สัญญาทั้งสองฝ่ายจึงได้ตกลงกัน ดังนี้

1.     การเปิดเผยส่งต่อข้อมูลส่วนบุคคล

1. เพื่อการปฏิบัติหน้าที่ภายใต้สัญญาหลัก บริษัท ตกลงเปิดเผย และส่งต่อข้อมูลส่วนบุคคล ให้แก่ผู้รับจ้าง และผู้รับจ้างตกลงรับเอาข้อมูลส่วนบุคคลดังกล่าว 

ทั้งนี้ เพื่อประโยชน์ในการอ้างอิง ภายใต้สัญญาฉบับนี้ “ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ 

1.2   ผู้รับจ้างรับประกันจะประมวลผลข้อมูลส่วนบุคคล ที่ได้รับการเปิดเผยและส่งต่อทั้งหมด โดยปฏิบัติให้ถูกต้องสอดคล้องกับข้อตกลงภายใต้สัญญาฉบับนี้อย่างเคร่งครัด เพื่อวัตถุประสงค์เฉพาะ ซึ่งกำหนดไว้ในสัญญาหลัก และตามข้อตกลงเป็นลายลักษณ์อักษรที่อาจมีระหว่างคู่สัญญาทั้งสองฝ่ายเท่านั้น และจะไม่ประมวลผลข้อมูลส่วนบุคคลในทางที่ไม่เป็นไปตามวัตถุประสงค์ที่ระบุไว้ในเอกสารดังกล่าว

2.     หน้าที่ของผู้รับจ้างในการประมวลผลข้อมูลส่วนบุคคล

1. ผู้รับจ้างต้องไม่เก็บ รวบรวม ใช้ คัดลอกหรือตัดทอน ประมวลผล เก็บรักษา หรือส่งต่อเปิดเผยข้อมูลส่วนบุคคลที่ได้รับ นอกเหนือจากวัตถุประสงค์ที่ระบุไว้ในข้อ 1.2 

เพื่อหลีกเลี่ยงข้อสงสัย หากผู้รับจ้างประมวลผลข้อมูลส่วนบุคคล นอกเหนือจากวัตถุประสงค์ที่ระบุไว้ ผู้รับจ้างจะมีฐานะเป็น“ผู้ควบคุมข้อมูลส่วนบุคคล” ซึ่งมีหน้าที่โดยตรงภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลต่อเจ้าของข้อมูลส่วนบุคคลดังกล่าวโดยฝ่ายเดียว และหากการประมวลผลข้อมูลดังกล่าวของผู้รับจ้าง นำไปสู่ความเสียหายไม่ว่าทางตรง ทางอ้อม ไม่ว่าลักษณะใดต่อบริษัท และทำให้บริษัท ต้องรับผิดชดใช้ค่าเสียหาย ค่าปรับ และค่าใช้จ่ายอื่นใดแทนผู้รับจ้าง เนื่องจากผลแห่งการประมวลผลข้อมูลส่วนบุคคลดังกล่าว ผู้รับจ้างต้องรับผิดและชดใช้ให้แก่บริษัท สำหรับค่าเสียหาย ค่าปรับ และค่าใช้จ่ายอื่นนั้น รวมทั้งค่าฤชาธรรมเนียมและค่าทนายความ (หากมี) แทนผู้รับจ้างทั้งสิ้น

1. ผู้รับจ้างต้องไม่เปิดเผยข้อมูลส่วนบุคคลที่ได้รับ ให้แก่บุคคลอื่น เว้นแต่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากบริษัท หรือเว้นเป็นกรณีการเปิดเผยข้อมูลให้แก่ เจ้าหน้าที่ ลูกจ้าง ตัวแทน ที่ปรึกษาของผู้รับจ้าง “เท่าที่จำเป็น” เพื่อวัตถุประสงค์ที่ระบุไว้ในข้อ 1.2 เท่านั้น 

เพื่อหลีกเลี่ยงข้อสงสัย กรณีการเปิดเผยข้อมูลส่วนบุคคลที่ดำเนินการโดยสอดคล้องกับข้อ 2.2 ผู้รับจ้างต้องรับประกันให้บุคคลที่ได้รับข้อมูลทั้งหมด ปฏิบัติหน้าที่การรักษาความมั่นคงปลอดภัยของข้อมูล ในมาตรฐานข้อกำหนดเดียวกับที่กำหนดไว้ภายใต้สัญญาฉบับนี้ และในกรณีที่บุคคลดังกล่าวปฏิบัติผิดเงื่อนไขในการรักษาความมั่นคงปลอดภัยข้อมูล ผู้รับจ้างต้องรับผิดชอบต่อบริษัท สำหรับการกระทำผิดของบุคคลดังกล่าว และต้องจัดทำมาตรการต่าง ๆ เพื่อยับยั้งบุคคลนั้นจากการฝ่าฝีน หรือกระทำโดยไม่ได้รับอนุญาตทันที

1. ผู้รับจ้างต้องไม่โอนข้อมูลส่วนบุคคลที่ได้รับ โดยไม่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากบริษัท ทั้งนี้ ในการที่จะดำเนินการโอนข้อมูลดังกล่าว ผู้รับจ้างต้องรับประกันมาตรฐานการคุ้มครองข้อมูล สำหรับข้อมูลส่วนบุคคลที่ผู้รับจ้างจะได้รับการโอนหรือที่จะสามารถเข้าถึงได้ และกรณีการส่งต่อเปิดเผยไปยังผู้รับโอนข้อมูลส่วนบุคคลต่างประเทศ ผู้รับจ้างต้องรับประกันว่า ผู้รับโอนข้อมูลส่วนบุคคลปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เทียบเท่ากับการคุ้มครองภายใต้สัญญาฉบับนี้ หรือภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับในประเทศไทย
2. ผู้รับจ้างต้องจัดทำ และเก็บรักษาบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่ได้รับ ซึ่งตนดำเนินการประมวลผลไว้ โดยต้องสอดคล้องกับหลักเกณฑ์ที่ระบุไว้ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล เพื่อให้บริษัท สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือเจ้าของข้อมูลเข้าดำเนินการตรวจสอบได้
3. ผู้รับจ้างต้องเก็บ หรือประมวลผลข้อมูลส่วนบุคคล เป็นระยะเวลาเท่าที่จำเป็น เพื่อดำเนินการตามวัตถุประสงค์ที่ระบุไว้ในข้อ 1.2 เท่านั้น และต้องทำลายหรือส่งคืนข้อมูลส่วนบุคคลให้แก่ผู้เปิดเผยข้อมูลทันที (ก) เมื่อสัญญาฉบับนี้หรือสัญญาหลักสิ้นสุดลงไม่ว่าด้วยเหตุผลใดก็ตาม และ/หรือ (ข) เมื่อได้รับคำสั่งเป็นลายลักษณ์อักษรจากบริษัท 
4. ในกรณีที่ผู้รับจ้าง มีหน้าที่ต้องเปิดเผยข้อมูลส่วนบุคคลใด ตามกฎหมาย คำสั่งศาล หรือตามข้อปฏิบัติของหน่วยงานของรัฐ ผู้รับจ้างต้องแจ้งให้บริษัท ทราบเป็นลายลักษณ์อักษรโดยเร็วที่สุด เพื่อให้บริษัท มีสิทธิคัดค้าน หรือดำเนินการเพื่อการปกป้องสิทธิอันชอบด้วยกฎหมายของตนได้ และต้องเปิดเผยเฉพาะข้อมูลเท่าที่จำเป็นเพื่อการปฏิบัติหน้าที่ของตนเท่านั้น
5. ผู้รับจ้างตกลงให้บริษัท มีสิทธิในการเข้าตรวจสอบด้วยตนเอง หรือมีสิทธิแต่งตั้งผู้ตรวจสอบอิสระเพื่อยืนยันว่าผู้รับจ้างได้ปฏิบัติตามสัญญาฉบับนี้ โดยผู้รับจ้างตกลงให้ความร่วมมือในการใช้สิทธิตรวจสอบดังกล่าวอย่างสมบูรณ์

3.     หน้าที่ของผู้รับจ้างในการรักษาความมั่นคงปลอดภัยของข้อมูล และการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

1. ผู้รับจ้างมีหน้าที่ต้องคุ้มครองความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่ตนประมวลผลภายใต้สัญญาฉบับนี้ ให้ได้ตามมาตรฐานการรักษาความมั่นคงปลอดภัยของข้อมูลในระดับที่เหมาะสม เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวโดยปราศจากอำนาจ หรือโดยมิชอบ 
2. ผู้รับจ้างมีหน้าที่แจ้งบริษัท ทราบในทันที เมื่อเกิดเหตุการณ์ละเมิดข้อมูลส่วนบุคคล รวมถึงต้องให้ความร่วมมือทุกรูปแบบ และจัดทำเอกสารทั้งหมดที่จำเป็น เพื่อแก้ไขเยียวยาการละเมิดข้อมูลส่วนบุคคลที่เกิดขึ้น และรับประกันความสมบูรณ์ในการปฏิบัติตามมาตรการรักษาความมั่นคงปลอดภัยดังกล่าวโดยเร็วที่สุด
3. ผู้รับจ้างต้องให้ความช่วยเหลือเท่าที่จำเป็นตามสมควร เพื่อให้บริษัท สามารถดำเนินการตามคำร้องขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้อง ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลได้ ภายในระยะเวลาที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด ทั้งนี้ รวมถึงแต่ไม่จำกัดเพียงหน้าที่ในการจัดทำ และเก็บรักษาบันทึกคำร้องขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล การตัดสินใจ และการดำเนินการที่ได้กระทำเพื่อตอบสนองคำร้องขอใช้สิทธิดังกล่าว
4. ในกรณีที่ผู้รับจ้างผิดเงื่อนไขของสัญญาฉบับนี้ บริษัท มีสิทธิ (1) บอกเลิกสัญญาฉบับนี้ได้ฝ่ายเดียว และ/หรือ (2) กำหนดให้ผู้รับจ้างที่ละเมิดเงื่อนไข ชดเชยความเสียหายไม่ว่าลักษณะใดที่เกิดขึ้นจากการละเมิดดังกล่าวทั้งสิ้น ให้แก่ตนได้เต็มจำนวน

4.     ข้อตกลงอื่น

1. สัญญาฉบับนี้มีผลบังคับใช้นับแต่วันลงนามโดยคู่สัญญาทั้งสองฝ่าย และมีผลบังคับใช้ตลอดไปตลอดระยะเวลาของสัญญาหลัก หรือสัญญาฉบับนี้ถูกบอกเลิกตามข้อ 3.4 ทั้งนี้ ให้หน้าที่รักษาความลับในข้อมูลส่วนบุคคลที่มีการเปิดเผยภายใต้สัญญาฉบับนี้ยังคงมีผลใช้บังคับต่อไปอีก 3 ปีภายหลังจากวันที่สัญญาฉบับนี้สิ้นสุดผลบังคับใช้

เพื่อหลีกเลี่ยงข้อสงสัย การเลิกหรือสิ้นสุดของสัญญาฉบับนี้ จะไม่กระทบความรับผิด หรือสิทธิในการเรียกค่าเสียหาย หรือใช้สิทธิอื่นใดภายใต้กฎหมายที่เกี่ยวข้องหรือสัญญาอื่น ของคู่สัญญาฝ่ายใดฝ่ายหนึ่งที่มีหรือเกิดขึ้นก่อนสัญญาฉบับนี้จะถูกบอกเลิกหรือสิ้นสุดลง รวมทั้งไม่กระทบหน้าที่ใด ๆ ที่สัญญาฉบับนี้ระบุไว้ชัดว่ายังคงมีอยู่แม้ว่าสัญญาฉบับนี้จะถูกบอกเลิก หรือสิ้นสุดลงก็ตาม

1. สัญญาฉบับนี้ถือเป็นส่วนหนึ่งของสัญญาหลัก ในกรณีที่คู่สัญญาฝ่ายใดฝ่ายหนึ่งผิดเงื่อนไขภายใต้สัญญาฉบับนี้ ให้ถือว่าคู่สัญญาฝ่ายนั้นผิดเงื่อนไขภายใต้สัญญาหลัก ทั้งนี้ ในกรณีที่มีข้อขัดแย้งระหว่างสัญญาหลักกับสัญญาฉบับนี้ ให้สัญญาฉบับนี้มีผลใช้บังคับ
2. คู่สัญญาฝ่ายใดฝ่ายหนึ่งไม่อาจโอนสิทธิ หน้าที่ ภาระผูกพัน หรือผลประโยชน์ทั้งหลาย ไม่ว่าทั้งหมดหรือแต่บางส่วนภายใต้สัญญาฉบับนี้ให้แก่บุคคลอื่น เว้นแต่จะได้รับความยินยอมเป็นหนังสือจากคู่สัญญาอีกฝ่ายหนึ่ง
3. เงื่อนไขใดภายใต้สัญญาฉบับนี้ (ไม่ว่าจะทั้งหมดหรือบางส่วน) ที่ไม่สมบูรณ์ หรือไม่มีผลบังคับใช้ภายใต้กฎหมายที่เกี่ยวข้อง จะไม่มีผลกระทบหรือก่อให้เกิดความเสียหายต่อความสมบูรณ์หรือการบังคับใช้เงื่อนไขในส่วนอื่นที่ยังคงมีผลสมบูรณ์อยู่ในสัญญาฉบับนี้ 
4. การไม่บังคับหรือร้องขอให้คู่สัญญาอีกฝ่ายหนึ่งปฏิบัติตามหน้าที่ หรือเงื่อนไขภายใต้สัญญาฉบับนี้ หรือการไม่ใช้สิทธิใด ๆ ของคู่สัญญาฝ่ายใดฝ่ายหนึ่งนั้น ไม่ถือว่าคู่สัญญาดังกล่าวเสียสิทธิ หรือสละสิทธิ์ในการร้องขอให้คู่สัญญาอีกฝ่ายหนึ่งทำการแก้ไข หรือบรรเทาความเสียหายดังกล่าว เว้นแต่การสละสิทธิ์ได้มีการทำเป็นลายลักษณ์อักษร และลงนามโดยคู่สัญญาฝ่ายที่ไม่ใช้สิทธินั้น
5. สัญญาฉบับนี้จะสามารถแก้ไขเปลี่ยนแปลงเพิ่มเติมได้ เฉพาะด้วยการตกลงเป็นลายลักษณ์อักษรโดยตัวแทนที่ชอบด้วยกฎหมายของคู่สัญญาทั้งสองฝ่าย
6. สัญญาฉบับนี้อยู่ภายใต้การบังคับและการตีความของกฎหมายไทย และคู่สัญญาจะต้องยื่นคำร้องระงับข้อพิพาทต่อศาลไทยที่มีเขตอำนาจ

เพื่อเป็นหลักฐาน คู่สัญญาทั้งสองฝ่ายได้ลงลายมือชื่อโดยผู้มีอำนาจลงนาม และประทับตราสำคัญ (ถ้ามี) ไว้เป็นสำคัญ ต่อหน้าพยาน ณ วันที่ดังที่ระบุไว้ข้างต้น