สัญญาการประมวลผลข้อมูล

เงื่อนไขเหล่านี้มีผลผูกพันผู้สมัครสมาชิก ในฐานะผู้ควบคุมข้อมูล ที่ดำเนินธุรกิจเป็นครั้งคราวและเพื่อบริการที่จำกัด หรือตามข้อตกลงที่ถาวร ซี ซีคเกอร์ กระบี่ รีสอร์ท, ในฐานะผู้ประมวลผล คำจำกัดความทั้งหมดของคำที่ใช้ในเอกสารนี้ มาจากมาตรา 4 ของกฎระเบียบทั่วไปว่าด้วยการคุ้มครองข้อมูลของสหภาพยุโรป (GDPR) และพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของประเทศไทย (PDPA).

การประมวลผลข้อมูลส่วนบุคคลของผู้ควบคุม

ผู้ประมวลผลจะประมวลผลข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลเพื่อวัตถุประสงค์ตามที่ผู้ควบคุมข้อมูลกำหนดเท่านั้น ผู้ประมวลผลจะไม่อนุญาตให้มีการประมวลผล ถ่ายโอน ปรับเปลี่ยน แก้ไข หรือเปลี่ยนแปลงข้อมูลของผู้ควบคุมข้อมูล หรือเปิดเผย หรืออนุญาตให้เปิดเผยข้อมูลของผู้ควบคุมข้อมูลแก่บุคคลภายนอกใด ๆ นอกเหนือไปจากการปฏิบัติตามคำแนะนำที่บันทึกเป็นลายลักษณ์อักษรของผู้ควบคุมข้อมูล ผู้ประมวลผลจะแจ้งให้ผู้ควบคุมข้อมูลทราบถึงข้อกำหนดทางกฎหมายใด ๆ ก่อนการประมวลผลข้อมูลส่วนบุคคล และจะปฏิบัติตามคำแนะนำของผู้ควบคุมข้อมูลเพื่อจำกัดขอบเขตการเปิดเผย.

ความน่าเชื่อถือและการไม่เปิดเผยข้อมูล

ผู้ประมวลผลจะต้องดำเนินการตามสมควรเพื่อให้แน่ใจในความน่าเชื่อถือของพนักงาน ตัวแทน หรือผู้รับจ้างที่มีสิทธิ์เข้าถึงข้อมูลส่วนบุคคลของผู้ควบคุม โดยในแต่ละกรณีต้องแน่ใจว่าการเข้าถึงนั้นจำกัดเฉพาะบุคคลที่ต้องการเข้าถึงเท่านั้น ผู้ประมวลผลต้องรับรองว่าบุคคลทุกคนที่ประมวลผลข้อมูลส่วนบุคคลของผู้ควบคุมได้รับการแจ้งเกี่ยวกับลักษณะที่เป็นความลับ การดำเนินการตามข้อผูกพันการรักษาความลับ และยืนยันตัวตนโดยกระบวนการเข้าถึงที่ปลอดภัย.

ความปลอดภัยของข้อมูลส่วนบุคคล

โดยคำนึงถึงสถานะความก้าวหน้าของเทคโนโลยี ประโยชน์ และค่าใช้จ่ายในการนำมาใช้ รวมถึงลักษณะที่ครอบคลุมและบริบทของวัตถุประสงค์ของการประมวลผล ตลอดจนความเสี่ยงต่อสิทธิเสรีภาพของบุคคลธรรมดา ผู้ประมวลผลข้อมูลจะใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อให้แน่ใจว่าระดับความปลอดภัยนั้นเหมาะสมกับความเสี่ยง ซึ่งอาจรวมถึงการปกปิดข้อมูลส่วนบุคคลด้วยการเข้ารหัส (pseudonymization) และการเข้ารหัส (encryption) การรับรองความลับ ความถูกต้องครบถ้วน ความพร้อมใช้งานและความยืดหยุ่นของระบบ รวมถึงความสามารถในการกู้คืนการเข้าถึงได้ในกรณีที่เกิดเหตุการณ์ขึ้น.

การประมวลผลย่อย

ผู้ควบคุม authorizes ผู้ประมวลผลให้ว่าจ้างผู้ประมวลผลช่วง ผู้ประมวลผลจะต้องให้รายละเอียดการประมวลผลแก่ผู้ควบคุม ซึ่งจะดำเนินการโดยผู้ประมวลผลแต่ละราย ปฏิบัติการตรวจสอบสถานะ (due diligence) รับรองการคุ้มครองในระดับเดียวกัน และรับผิดชอบอย่างเต็มที่ต่อความล้มเหลวใดๆ ของผู้ประมวลผลช่วง.

สิทธิของเจ้าของข้อมูล

ผู้ประมวลผลข้อมูลต้องช่วยเหลือผู้ควบคุมข้อมูลในการปฏิบัติตามข้อผูกพันในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลภายใต้ GDPR และ PDPA ซึ่งรวมถึง:

• แจ้งผู้ควบคุมข้อมูลโดยทันทีหากได้รับการร้องขอจากเจ้าของข้อมูล หน่วยงานกำกับดูแล หรือหน่วยงานที่มีอำนาจอื่น;
• ให้ความร่วมมือตามที่ผู้ควบคุมร้องขอ เพื่อปฏิบัติตามการใช้สิทธิ์ การประเมิน หรือการสืบสวน;
• ให้ความช่วยเหลือตามที่ผู้ควบคุมข้อมูลร้องขออย่างสมเหตุสมผล เพื่อปฏิบัติตามคำร้องภายในระยะเวลาที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด;
• การดำเนินการตามมาตรการทางเทคนิคและองค์กรเพิ่มเติมเพื่อให้สามารถตอบสนองต่อข้อร้องเรียนหรือการสื่อสารที่เกี่ยวข้องได้อย่างมีประสิทธิภาพ.

การละเมิดข้อมูลส่วนบุคคล

ผู้ประมวลผลข้อมูลส่วนบุคคลจะแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบโดยทันทีโดยไม่มีความล่าช้าอันสมควร และไม่ว่ากรณีใดๆ ภายในยี่สิบสี่ (24) ชั่วโมง หลังจากที่ได้ทราบหรือมีเหตุอันควรสงสัยเกี่ยวกับการละเมิดข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคลจะให้ข้อมูลที่เพียงพอเพื่อให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถปฏิบัติตามภาระผูกพันในการรายงาน รวมถึง:

• ลักษณะของการละเมิด, ประเภทและจำนวนของเจ้าของข้อมูลและระเบียนที่เกี่ยวข้อง;
• ชื่อและรายละเอียดการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของผู้ประมวลผล หรือผู้ติดต่อที่เกี่ยวข้อง;
• ความเสี่ยงโดยประมาณและผลที่ตามมาที่น่าจะเกิดขึ้นจากการละเมิด;
• มาตรการที่ดำเนินการหรือเสนอให้ดำเนินการเพื่อแก้ไขการละเมิด.

เป็นไปตามข้อกำหนด GDPR และ PDPA การแจ้งเตือนจะต้องดำเนินการภายใน 24 ชั่วโมงเท่าที่จะเป็นไปได้ และในทุกกรณีต้องไม่เกินเจ็ดสิบสอง (72) ชั่วโมงหลังจากได้รับการทราบถึงการละเมิด.

การลบหรือส่งคืนข้อมูล

เมื่อสิ้นสุดการประมวลผลหรือข้อตกลง ผู้ประมวลผลจะต้องดำเนินการภายใน 90 วัน โดย: (i) คืนข้อมูลส่วนบุคคลทั้งหมดของผู้ควบคุมข้อมูลไปยังผู้ควบคุมข้อมูลผ่านการถ่ายโอนที่ปลอดภัยและลบสำเนาอื่นๆ หรือ (ii) ลบข้อมูลทั้งหมดอย่างปลอดภัย ตามคำแนะนำของผู้ควบคุมข้อมูล ผู้ประมวลผลอาจเก็บรักษาข้อมูลส่วนบุคคลได้เฉพาะในกรณีที่กฎหมายกำหนด โดยรับรองการรักษาความลับและการใช้งานที่จำกัด.

สิทธิในการตรวจสอบ

โปรเซสเซอร์จะต้องจัดให้มีการควบคุมข้อมูลทั้งหมดที่จำเป็นเพื่อแสดงให้เห็นถึงการปฏิบัติตามข้อกำหนดเหล่านี้ และจะอนุญาตให้มีการตรวจสอบและตรวจตราโดยผู้ควบคุมหรือผู้ตรวจสอบที่ได้รับการแต่งตั้งในสถานที่ที่เกี่ยวข้อง.

การโอนเงินระหว่างประเทศ

ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องไม่โอนข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคลออกนอกประเทศไทยหรือเขตเศรษฐกิจยุโรป (EEA) ไปยังประเทศที่สาม เว้นแต่จะได้รับอนุญาตโดยชัดแจ้งจากผู้ควบคุมข้อมูลส่วนบุคคลและอยู่ภายใต้มาตรการคุ้มครองที่เหมาะสมตาม GDPR และ PDPA.

ข้อกำหนดทั่วไป

ข้อกำหนดในการประมวลผลข้อมูลนี้ให้บังคับตามและตีความตามกฎหมายแห่งราชอาณาจักรไทย โดยเฉพาะอย่างยิ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ในกรณีที่การประมวลผลข้อมูลส่วนบุคคลเกี่ยวข้องกับเจ้าของข้อมูลซึ่งอยู่ในสหภาพยุโรป บทบัญญัติของกฎระเบียบการคุ้มครองข้อมูลทั่วไป (GDPR) จะนำมาใช้บังคับด้วย.

การละเมิดข้อกำหนดเหล่านี้ถือเป็นการละเมิดข้อตกลงหลักในสาระสำคัญ ในกรณีที่มีความขัดแย้ง ข้อกำหนดการประมวลผลข้อมูลเหล่านี้จะมีผลเหนือกว่าที่เกี่ยวกับภาระผูกพันในการคุ้มครองข้อมูล หากข้อกำหนดใดถูกตัดสินว่าไม่ถูกต้องหรือไม่สามารถบังคับใช้ได้ ส่วนที่เหลือจะมีผลบังคับใช้อย่างเต็มที่.