ข้อตกลงการประมวลผลข้อมูล

1. คำจำกัดความ

คำที่ขึ้นต้นด้วยตัวพิมพ์ใหญ่ที่ไม่ได้ให้คำจำกัดความไว้ที่นี่มีความหมายตามที่กำหนดไว้ใน GDPR "ข้อมูลส่วนบุคคล" "การประมวลผล" "ผู้ควบคุม" "ผู้ประมวลผล" และ "เจ้าของข้อมูล" มีความหมายตามที่ระบุไว้ใน Article 4 GDPR

2. เนื้อหาสาระและระยะเวลา

ผู้ประมวลผลประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมเพื่อให้บริการที่อธิบายไว้ในข้อกำหนดในการให้บริการเท่านั้น DPA นี้มีผลตราบเท่าที่ผู้ประมวลผลประมวลผลข้อมูลส่วนบุคคลสำหรับผู้ควบคุม

3. ลักษณะและวัตถุประสงค์ของการประมวลผล

ผู้ประมวลผลจะประมวลผลข้อมูลส่วนบุคคลเพื่อส่งมอบการอ่านที่ลึกลับ จัดเก็บเนื้อหาที่ผู้ใช้ส่ง จัดการบัญชี ประมวลผลการชำระเงิน ส่งอีเมลธุรกรรม และดำเนินการแพลตฟอร์ม

4. ประเภทของเจ้าของข้อมูล

ข้อมูลส่วนบุคคลที่ประมวลผลภายใต้ DPA นี้อาจเกี่ยวข้องกับ:

• เจ้าของบัญชีและผู้ใช้ปลายทางของบริการ
• ผู้รับการอ่านหรือของขวัญร่วมกัน
• สมาชิกจดหมายข่าว

5. ประเภทของข้อมูลส่วนบุคคล

ผู้ประมวลผลอาจประมวลผลข้อมูลส่วนบุคคลประเภทต่อไปนี้:

• บัตรประจำตัว ชื่อ ที่อยู่อีเมล ตัวระบุบัญชี
• โปรไฟล์ วันเกิด, เวลาเกิด, สถานที่เกิด (ถ้ามี)
• การใช้งาน ประวัติการอ่าน ข้อความแชท การตั้งค่า ภาษา
• การเรียกเก็บเงิน อีเมลเรียกเก็บเงิน แผน ตัวระบุผู้ให้บริการการชำระเงิน (ไม่มีการจัดเก็บข้อมูลบัตรบนเซิร์ฟเวอร์ของเรา)
• เทคนิค ที่อยู่ IP, ตัวแทนผู้ใช้, ลายนิ้วมือของอุปกรณ์, ข้อมูลบันทึก

6. หน้าที่ของผู้ประมวลผล

ผู้ประมวลผลจะต้อง:

• ประมวลผลข้อมูลส่วนบุคคลตามคำแนะนำที่เป็นเอกสารจากผู้ควบคุมเท่านั้น
• ตรวจสอบให้แน่ใจว่าบุคคลที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลถูกผูกมัดโดยการรักษาความลับ
• ใช้มาตรการทางเทคนิคและความปลอดภัยขององค์กรที่เหมาะสม (ดูส่วนที่ 9)
• ช่วยเหลือผู้ควบคุมในการตอบสนองต่อคำขอของเจ้าของข้อมูล
• แจ้งผู้ควบคุมโดยไม่ล่าช้าเกินควรเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลใด ๆ
• จัดให้มีข้อมูลทั้งหมดที่จำเป็นเพื่อแสดงให้เห็นถึงการปฏิบัติตาม DPA นี้

7. ผู้ประมวลผลย่อย

ผู้ควบคุมอนุญาตให้ผู้ประมวลผลว่าจ้างผู้ประมวลผลย่อยเพื่อให้บริการ ผู้ประมวลผลจะกำหนดข้อผูกพันในการปกป้องข้อมูลที่เป็นลายลักษณ์อักษรกับผู้ประมวลผลย่อยแต่ละรายซึ่งมีการป้องกันไม่น้อยไปกว่าใน DPA นี้ และยังคงรับผิดชอบต่อการปฏิบัติงานของพวกเขา รายชื่อตัวประมวลผลย่อยปัจจุบันสามารถขอได้จาก privacy@fortunamatata.com

8. การถ่ายโอนข้อมูลระหว่างประเทศ

ในกรณีที่ข้อมูลส่วนบุคคลถูกถ่ายโอนไปนอก EEA หรือสหราชอาณาจักร ผู้ประมวลผลจะต้องอาศัยการป้องกันที่เหมาะสม เช่น Standard Contractual Clauses (SCCs) ของคณะกรรมาธิการยุโรป และภาคผนวกการถ่ายโอนข้อมูลระหว่างประเทศของสหราชอาณาจักร พร้อมด้วยมาตรการเสริมใดๆ ที่กำหนดโดยกฎหมายที่บังคับใช้

9. มาตรการรักษาความปลอดภัย

ผู้ประมวลผลใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสม รวมถึง:

• การเข้ารหัสข้อมูลส่วนบุคคลระหว่างทาง (TLS) และที่เหลือตามความเหมาะสม
• การควบคุมการเข้าถึง สิทธิ์ตามบทบาท และการบันทึกการตรวจสอบ
• การอัปเดตความปลอดภัย การตรวจสอบการพึ่งพา และการจัดการช่องโหว่เป็นประจำ
• ขั้นตอนการสำรองข้อมูลและการกู้คืนระบบ
• การรักษาความลับของพนักงานและการฝึกอบรมการรับรู้ด้านความปลอดภัย

10. สิทธิ์ของเจ้าของข้อมูล

โดยคำนึงถึงลักษณะของการประมวลผล ผู้ประมวลผลจะช่วยเหลือผู้ควบคุมด้วยมาตรการทางเทคนิคและองค์กรที่เหมาะสมในการปฏิบัติตามภาระผูกพันในการตอบสนองต่อคำร้องขอใช้สิทธิ์ของเจ้าของข้อมูลภายใต้บทที่ 3 ของ GDPR

11. การละเมิดข้อมูลส่วนบุคคล

ผู้ประมวลผลจะแจ้งให้ผู้ควบคุมทราบโดยไม่ล่าช้าเกินควรหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคล การแจ้งเตือนจะรวมข้อมูลที่จำเป็นภายใต้มาตรา 33(3) GDPR ในขอบเขตที่มีอยู่อย่างสมเหตุสมผล

12. การตรวจสอบ

ผู้ประมวลผลจะเปิดเผยข้อมูลที่จำเป็นแก่ผู้ควบคุมเพื่อแสดงให้เห็นถึงการปฏิบัติตาม DPA นี้ และอนุญาตและมีส่วนร่วมในการตรวจสอบ รวมถึงการตรวจสอบที่ดำเนินการโดยผู้ควบคุมหรือผู้ตรวจสอบที่ได้รับคำสั่งจากผู้ควบคุม โดยขึ้นอยู่กับการแจ้งเตือนที่สมเหตุสมผล การรักษาความลับ และข้อจำกัดด้านความปลอดภัย

13. การส่งคืนหรือการลบข้อมูล

ในการยุติบริการ ผู้ประมวลผลจะลบหรือส่งคืนข้อมูลส่วนบุคคลทั้งหมดที่ประมวลผลในนามของผู้ควบคุม เว้นแต่กฎหมายที่บังคับใช้กำหนดไว้ตามตัวเลือกของผู้ควบคุม

14. ความรับผิดและกฎหมายที่ใช้บังคับ

ความรับผิดภายใต้ DPA นี้อยู่ภายใต้ข้อจำกัดที่กำหนดไว้ในข้อกำหนดในการให้บริการ DPA นี้อยู่ภายใต้กฎหมายเดียวกันกับข้อกำหนดในการให้บริการ

15. ติดต่อ

หากมีคำถามเกี่ยวกับ DPA นี้ หรือต้องการขอรายชื่อผู้ประมวลผลย่อยในปัจจุบัน โปรดติดต่อเราที่ privacy@fortunamatata.com