ข้อตกลงการประมวลผลข้อมูล

สารบัญ

1. 1. ขอบเขต บทบาท และคำนิยาม
2. 2. รายละเอียดการประมวลผล
3. 3. คำสั่งของลูกค้า
4. 4. การรักษาความลับของบุคคลที่ได้รับอนุญาต
5. 5. มาตรการด้านความปลอดภัย
6. 6. ผู้ประมวลผลช่วง
7. 7. ที่ตั้งของข้อมูลและการโอนข้อมูลระหว่างประเทศ
8. 8. การช่วยเหลือเกี่ยวกับคำขอของเจ้าของข้อมูลส่วนบุคคล
9. 9. การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล
10. 10. การประเมินผลกระทบและการหารือกับหน่วยงานกำกับดูแล
11. 11. ข้อมูลและการตรวจสอบ
12. 12. การคืนและการลบข้อมูล
13. 13. คำขอจากรัฐบาล
14. 14. ความรับผิด
15. 15. ระยะเวลาและลำดับความสำคัญ
16. 16. ผู้ติดต่อด้านการคุ้มครองข้อมูลและบันทึกการประมวลผล
17. ภาคผนวก 1: รายละเอียดการประมวลผล
18. ภาคผนวก 2: มาตรการทางเทคนิคและมาตรการเชิงองค์กร
19. ภาคผนวก 3: ผู้ประมวลผลช่วง

เวอร์ชัน: 1.2 · เผยแพร่เมื่อ: 16 ตุลาคม ค.ศ. 2026 · มีผลใช้บังคับ: เมื่อมีการยอมรับสำหรับพื้นที่ทำงานใหม่; สำหรับพื้นที่ทำงานที่ยอมรับเวอร์ชันก่อนหน้า ณ วันที่ STAK ระบุไว้ในหนังสือแจ้งตามข้อ 20 ของข้อกำหนดการให้บริการสำหรับลูกค้า · ฉบับที่ถือเป็นหลัก: ภาษาอังกฤษ (ข้อ 23.9 ของข้อกำหนดการให้บริการสำหรับลูกค้า)

ออกโดย: STAK Global, LLC ซึ่งเป็นบริษัทจำกัดความรับผิด (limited liability company) ที่จัดตั้งขึ้นในรัฐเดลาแวร์ สหรัฐอเมริกา (หมายเลขแฟ้ม 10798493) และเป็นเจ้าของ STAK (ستاك) และบริการ ติดต่อ: [email protected].

1. ขอบเขต บทบาท และคำนิยาม

1.1 ข้อตกลงการประมวลผลข้อมูลนี้เป็นส่วนหนึ่งที่แยกจากกันไม่ได้ของสัญญาตามข้อ 3.1 ของข้อกำหนดการให้บริการสำหรับลูกค้า STAK (“ข้อกำหนด”) ข้อตกลงนี้กำกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้าโดย STAK ถ้อยคำที่นิยามไว้ในข้อกำหนดมีความหมายเช่นเดียวกันในข้อตกลงการประมวลผลข้อมูลนี้.

1.2 ลูกค้าเป็นผู้ควบคุมข้อมูลส่วนบุคคลของลูกค้า และ STAK เป็นผู้ประมวลผลข้อมูลส่วนบุคคลที่ประมวลผลข้อมูลนั้นแทนลูกค้าและตามคำสั่งของลูกค้า.

• ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลหมายถึงฐานะที่เทียบเท่าตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับ เช่น หน่วยควบคุมและหน่วยประมวลผลในราชอาณาจักรซาอุดีอาระเบีย.
• หากลูกค้าประมวลผลข้อมูลในฐานะผู้ประมวลผลแทนผู้ควบคุมรายอื่น STAK จะประมวลผลในฐานะผู้ประมวลผลที่ปฏิบัติการแทนลูกค้า และไม่ใช่ผู้ประมวลผลช่วงตามความหมายของข้อ 1.3 ลูกค้าต้องดูแลให้คำสั่งของตนสอดคล้องกับคำสั่งของผู้ควบคุมรายนั้น.
• STAK ประมวลผลข้อมูลบัญชีในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ตามที่อธิบายไว้ในนโยบายความเป็นส่วนตัว และข้อตกลงการประมวลผลข้อมูลนี้ไม่ใช้กับข้อมูลดังกล่าว การอ้างถึงนี้และการอ้างถึงในภาคผนวก 3 ไม่ก่อให้เกิดหน้าที่ตามสัญญาภายใต้ข้อ 3.2 ของข้อกำหนด.

1.3 ถ้อยคำต่อไปนี้มีความหมายตามที่ระบุไว้ถัดจากแต่ละรายการ:

• ข้อมูลส่วนบุคคลของลูกค้า: ข้อมูลส่วนบุคคลที่มีอยู่ในข้อมูลของลูกค้า รวมถึงข้อมูลเกี่ยวกับลูกค้าปลายทาง พนักงาน ซัพพลายเออร์ และผู้ใช้ของลูกค้า ไม่รวมข้อมูลบัญชี.
• ข้อมูลส่วนบุคคลที่มีความอ่อนไหว: ข้อมูลสุขภาพและข้อมูลทางคลินิก และข้อมูลใดที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับจัดว่ามีความอ่อนไหว.
• การประมวลผล: การดำเนินการใด ๆ ที่กระทำต่อข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม บันทึก จัดเก็บ เรียกค้น ใช้ เปิดเผย โอน และลบข้อมูลนั้น.
• ผู้ประมวลผลช่วง: ฝ่ายใดที่ STAK ว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้าเพื่อวัตถุประสงค์ในการให้บริการ.
• เจ้าของข้อมูลส่วนบุคคล: บุคคลธรรมดาที่ข้อมูลส่วนบุคคลนั้นเกี่ยวข้องด้วย.
• เหตุการณ์ด้านความปลอดภัย: เหตุการณ์ใดที่คุกคาม หรือสงสัยว่าคุกคาม การรักษาความลับ ความสมบูรณ์ หรือความพร้อมใช้งานของบริการ.
• เหตุละเมิดข้อมูลส่วนบุคคล: การละเมิดความปลอดภัยใด ๆ ที่นำไปสู่การทำลาย สูญหาย หรือเปลี่ยนแปลงโดยไม่ตั้งใจหรือโดยมิชอบด้วยกฎหมาย หรือการเปิดเผยหรือเข้าถึงโดยไม่ได้รับอนุญาต ซึ่งข้อมูลส่วนบุคคลของลูกค้า.
• ข้อมูลสำรอง: สำเนาใด ๆ ของข้อมูลของลูกค้าที่จัดทำขึ้นเพื่อการกู้คืนตามข้อ 12.3 และภาคผนวก 2.
• สภาพแวดล้อมการใช้งานจริง: ระบบและฐานข้อมูลที่บริการทำงานอยู่และที่ลูกค้าใช้ ไม่รวมข้อมูลสำรอง.
• กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับ: กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้กับการประมวลผล ตามที่ใช้บังคับในแต่ละกรณี รวมถึงต่อไปนี้:
  • ในรัฐคูเวต: กฎหมายฉบับที่ 20 ปี ค.ศ. 2014 ว่าด้วยธุรกรรมอิเล็กทรอนิกส์ และระเบียบว่าด้วยการคุ้มครองความเป็นส่วนตัวของข้อมูล กรอบการกำกับดูแลคลาวด์คอมพิวติ้ง และนโยบายการจำแนกประเภทข้อมูลที่ออกโดยหน่วยงานกำกับดูแลการสื่อสารและเทคโนโลยีสารสนเทศ ตามขอบเขตของแต่ละฉบับ;
  • กฎหมายคุ้มครองข้อมูลส่วนบุคคลของราชอาณาจักรซาอุดีอาระเบีย ซึ่งออกโดยพระราชกฤษฎีกาเลขที่ (M/19) ลงวันที่ 9/2/1443 ฮ.ศ. ตามที่แก้ไขเพิ่มเติม ระเบียบปฏิบัติ และระเบียบว่าด้วยการโอนข้อมูลส่วนบุคคลออกนอกราชอาณาจักร;
  • ในสหรัฐอาหรับเอมิเรตส์: พระราชกฤษฎีกากฎหมายสหพันธ์เลขที่ (45) ปี ค.ศ. 2021 ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กฎหมายสหพันธ์เลขที่ (2) ปี ค.ศ. 2019 ว่าด้วยการใช้เทคโนโลยีสารสนเทศและการสื่อสารในด้านสุขภาพ และกฎหมายคุ้มครองข้อมูลของ Dubai International Financial Centre และ Abu Dhabi Global Market สำหรับผู้ที่อยู่ภายใต้บังคับของกฎหมายเหล่านั้น;
  • กฎหมายเลขที่ (30) ปี ค.ศ. 2018 ว่าด้วยการประกาศใช้กฎหมายคุ้มครองข้อมูลส่วนบุคคลของราชอาณาจักรบาห์เรน;
  • กฎหมายเลขที่ (13) ปี ค.ศ. 2016 ว่าด้วยการคุ้มครองความเป็นส่วนตัวของข้อมูลส่วนบุคคลของรัฐกาตาร์;
  • กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ออกโดยพระราชกฤษฎีกาเลขที่ (6/2022) ของสุลต่านโอมาน;
  • กฎระเบียบคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป (กฎระเบียบ (EU) 2016/679) ในกรณีที่ใช้กับลูกค้า;
  • กฎระเบียบคุ้มครองข้อมูลทั่วไปของสหราชอาณาจักรและ Data Protection Act 2018; กฎหมายสหพันธ์สวิสว่าด้วยการคุ้มครองข้อมูล; California Consumer Privacy Act ตามที่แก้ไขเพิ่มเติม และกฎหมายความเป็นส่วนตัวระดับรัฐแบบครอบคลุมอื่นของสหรัฐอเมริกา; Personal Information Protection and Electronic Documents Act ของแคนาดาและกฎหมายระดับมณฑล; Lei Geral de Proteção de Dados ของบราซิล (กฎหมายเลขที่ 13.709/2018); Digital Personal Data Protection Act, 2023 ของอินเดีย; กฎหมายเลขที่ 6698 ของตุรกีว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล; กฎหมายเลขที่ 151 ปี ค.ศ. 2020 ของอียิปต์; Protection of Personal Information Act, 2013 ของแอฟริกาใต้; Personal Data Protection Act 2012 ของสิงคโปร์; Privacy Act 1988 ของออสเตรเลีย; และกฎหมายคุ้มครองข้อมูลส่วนบุคคลอื่นใดที่ใช้กับการประมวลผล.

2. รายละเอียดการประมวลผล

ภาคผนวก 1 กำหนดหัวข้อเรื่อง ระยะเวลา ลักษณะ และวัตถุประสงค์ของการประมวลผล ประเภทของเจ้าของข้อมูลส่วนบุคคล และประเภทของข้อมูลส่วนบุคคล.

3. คำสั่งของลูกค้า

3.1 STAK ประมวลผลข้อมูลส่วนบุคคลของลูกค้าตามคำสั่งที่เป็นลายลักษณ์อักษรของลูกค้าเท่านั้น คำสั่งดังกล่าวได้แก่:

• สัญญา;
• การตั้งค่าพื้นที่ทำงาน;
• การกระทำที่ผู้ใช้ดำเนินการภายในบริการ;
• คำสั่งเป็นลายลักษณ์อักษรอื่นใดที่คู่สัญญาตกลงกัน.

3.2 STAK อาจประมวลผลข้อมูลนอกเหนือจากคำสั่งเหล่านี้ได้ หากกฎหมายที่ใช้บังคับกำหนด โดยจะแจ้งลูกค้าล่วงหน้า เว้นแต่กฎหมายห้ามการแจ้ง.

3.3 STAK จะแจ้งลูกค้าหากเห็นว่าคำสั่งใดฝ่าฝืนกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับ STAK อาจปฏิเสธที่จะปฏิบัติตามคำสั่งนั้นจนกว่าลูกค้าจะแก้ไขเพื่อขจัดการฝ่าฝืน หรือยืนยันเป็นลายลักษณ์อักษรพร้อมคำชี้แจงฐานทางกฎหมายที่ STAK ยอมรับได้โดยสมเหตุสมผล.

3.4 ลูกค้ารับผิดชอบต่อความชอบด้วยกฎหมายของคำสั่งของตน และต่อการมีฐานทางกฎหมายในการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลของลูกค้า ซึ่งรวมถึงการแจ้งเจ้าของข้อมูลส่วนบุคคลและการขอความยินยอมจากเจ้าของข้อมูลในกรณีที่จำเป็น รวมถึงความยินยอมต่อการโอนข้อมูลของเจ้าของข้อมูลตามข้อ 7.

4. การรักษาความลับของบุคคลที่ได้รับอนุญาต

STAK จำกัดการเข้าถึงข้อมูลส่วนบุคคลของลูกค้าไว้เฉพาะพนักงานและผู้รับจ้างที่จำเป็นต้องใช้ในการทำงาน และผูกพันบุคคลเหล่านั้นให้รักษาความลับ พนักงานและผู้รับจ้างของ STAK เข้าถึงข้อมูลของลูกค้าเฉพาะในกรณีต่อไปนี้ และการเริ่มการเข้าถึงสภาพแวดล้อมการใช้งานจริงทุกครั้งจะถูกบันทึกไว้:

• (a) เพื่อให้การสนับสนุนที่ลูกค้าร้องขอ;
• (b) เพื่อดำเนินงานและบำรุงรักษาบริการและกู้คืนบริการจากข้อมูลสำรอง;
• (c) เพื่อสอบสวนเหตุการณ์ด้านความปลอดภัยหรือการสงสัยว่ามีการฝ่าฝืนนโยบายการใช้งานที่ยอมรับได้;
• (d) ในกรณีที่กฎหมายกำหนด.

5. มาตรการด้านความปลอดภัย

5.1 STAK ใช้มาตรการทางเทคนิคและมาตรการเชิงองค์กรที่เหมาะสมเพื่อคุ้มครองข้อมูลส่วนบุคคลของลูกค้า โดยคำนึงถึงลักษณะและความเสี่ยงของการประมวลผล มาตรการเหล่านี้รวมถึงอย่างน้อยมาตรการในภาคผนวก 2.

5.2 STAK อาจปรับปรุงมาตรการเหล่านี้ โดยมีเงื่อนไขว่าระดับการคุ้มครองโดยรวมต้องไม่ลดลง.

5.3 ลูกค้ารับผิดชอบต่อมาตรการรักษาความปลอดภัยที่อยู่ในความควบคุมของตนเอง เช่น การจัดการผู้ใช้และสิทธิ์การเข้าถึง การเปิดใช้การยืนยันตัวตนสองขั้นตอน การรักษาความปลอดภัยอุปกรณ์และเครื่องมือของตน และการเก็บรักษาข้อมูลที่ส่งออกให้ปลอดภัย.

6. ผู้ประมวลผลช่วง

6.1 ลูกค้าอนุญาตให้ STAK ว่าจ้างผู้ประมวลผลช่วงที่ระบุไว้ในภาคผนวก 3.

6.2 STAK ต้องทำสัญญาเป็นลายลักษณ์อักษรกับผู้ประมวลผลช่วงแต่ละราย สัญญานั้นต้องกำหนดหน้าที่ด้านการคุ้มครองข้อมูลที่ให้ระดับการคุ้มครองเหมาะสมกับการประมวลผลและเทียบเท่ากับข้อตกลงการประมวลผลข้อมูลนี้โดยสาระสำคัญ STAK ยังคงรับผิดต่อลูกค้าสำหรับการปฏิบัติหน้าที่ของผู้ประมวลผลช่วงของ STAK.

6.3 STAK จะแจ้งลูกค้าเกี่ยวกับผู้ประมวลผลช่วงรายใหม่ล่วงหน้าอย่างน้อย 30 วันก่อนที่ผู้ประมวลผลช่วงรายนั้นจะเริ่มประมวลผลข้อมูลส่วนบุคคลของลูกค้า ภายในบริการหรือทางอีเมล.

6.4 ในระหว่างระยะเวลาแจ้งล่วงหน้า ลูกค้าอาจคัดค้านผู้ประมวลผลช่วงรายใหม่เป็นลายลักษณ์อักษรด้วยเหตุผลด้านการคุ้มครองข้อมูลที่สมเหตุสมผล หากคู่สัญญาไม่อาจตกลงทางแก้ไขได้ ลูกค้าอาจบอกเลิกการสมัครใช้บริการที่ได้รับผลกระทบ หรือสัญญา ก่อนที่การประมวลผลจะเริ่ม และรับเงินคืนค่าบริการที่ชำระล่วงหน้าสำหรับระยะเวลาที่เหลือ.

6.5 ผู้ให้บริการที่เชื่อมต่อซึ่งลูกค้าเชื่อมต่อผ่านบัญชีของลูกค้าเองไม่ใช่ผู้ประมวลผลช่วงของ STAK ซึ่งรวมถึงผู้ให้บริการชำระเงิน Meta ในส่วนที่เกี่ยวกับบัญชี WhatsApp Business ของลูกค้าเอง และแพลตฟอร์มจัดส่ง การส่งข้อมูลให้ผู้ให้บริการเหล่านี้ตามคำสั่งของลูกค้าเป็นการโอนที่ทำตามการกำหนดของลูกค้าและในนามของลูกค้า.

6.6 ข้อมูลจะถูกส่งให้ผู้ให้บริการฟีเจอร์ AI เฉพาะเมื่อผู้ใช้ขอใช้ฟีเจอร์ดังกล่าว เมื่อผู้ใช้อัปโหลดเอกสารให้ฟีเจอร์ดังกล่าวอ่าน เช่น ใบเสร็จ หรือเมื่อระบบอัตโนมัติที่ผู้ใช้ตั้งค่าไว้ดำเนินขั้นตอนที่ใช้ AI และจะส่งเฉพาะข้อมูลที่จำเป็นต่อการดำเนินการตามคำขอหรือขั้นตอนนั้น ผู้ให้บริการต้องไม่ใช้ข้อมูลนั้นฝึกโมเดลของตน ข้อมูลส่วนบุคคลที่มีความอ่อนไหวจะถูกส่งให้ผู้ให้บริการเฉพาะเมื่อคำขอหรือขั้นตอนนั้นเองมีข้อมูลดังกล่าว.

7. ที่ตั้งของข้อมูลและการโอนข้อมูลระหว่างประเทศ

7.1 บริการโฮสต์อยู่ และข้อมูลส่วนบุคคลของลูกค้าถูกจัดเก็บเป็นหลัก ในสภาพแวดล้อมการใช้งานจริงของ Amazon Web Services ในภูมิภาคแฟรงก์เฟิร์ต สหพันธ์สาธารณรัฐเยอรมนี ข้อมูลสำรองเก็บไว้ในภูมิภาคเดียวกัน และมีการทำสำเนาไปยังภูมิภาคแยกต่างหากของ Amazon Web Services ในสาธารณรัฐไอร์แลนด์.

7.2 ลูกค้ารับทราบสิ่งต่อไปนี้ และอนุญาตโดยชัดแจ้งต่อการโอนที่เกิดขึ้น:

• (a) การโฮสต์เกิดขึ้นในสหภาพยุโรป ซึ่งอาจอยู่นอกประเทศที่ลูกค้าจัดตั้งขึ้นหรือประกอบธุรกิจ;
• (b) Cloudflare ประมวลผลทราฟฟิกเครือข่ายผ่านเครือข่ายทั่วโลกของตนตลอดเวลา;
• (c) ผู้ประมวลผลช่วงรายอื่นที่ระบุไว้ในภาคผนวก 3 ประมวลผลข้อมูลในประเทศอื่น รวมถึงสหรัฐอเมริกา เฉพาะเมื่อมีการใช้บริการที่เกี่ยวข้อง;
• (d) พนักงานของ STAK อาจเข้าถึงข้อมูลจากรัฐคูเวต เฉพาะในกรณีที่กำหนดไว้ในข้อ 4.

7.3 สำหรับการโอนข้อมูลส่วนบุคคลของลูกค้าออกนอกประเทศที่เก็บรวบรวมข้อมูลนั้น STAK ใช้มาตรการคุ้มครองต่อไปนี้:

• (a) สัญญาที่อ้างถึงในข้อ 6.2 รวมถึงข้อสัญญามาตรฐานที่ STAK ทำไว้กับผู้ประมวลผลช่วงนอกสหภาพยุโรป;
• (b) การเข้ารหัสระหว่างการส่งและขณะจัดเก็บ;
• (c) กลไกการโอนที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับรับรองในกรณีที่กฎหมายนั้นกำหนด รวมถึงกลไกในข้อ 7.6.

7.4 ลูกค้าต้องขอความยินยอมหรือการอนุญาตใด ๆ ที่กฎหมายของประเทศของลูกค้ากำหนดสำหรับการโอนข้อมูลส่วนบุคคลของลูกค้าออกนอกประเทศนั้น ไม่ว่าจากหน่วยงานกำกับดูแลหรือจากเจ้าของข้อมูลส่วนบุคคล STAK จัดหาข้อมูลที่จำเป็นสำหรับเรื่องนี้เมื่อมีการร้องขอ.

7.5 STAK อาจย้ายการโฮสต์หลักหรือข้อมูลสำรองไปยังภูมิภาคอื่นหลังจากแจ้งลูกค้าล่วงหน้าอย่างน้อย 30 วัน และลูกค้าอาจคัดค้านตามข้อ 6.4 โดยการบอกเลิกใด ๆ ตามข้อนั้นมีผลก่อนวันที่ย้าย การให้บริการชั่วคราวจากข้อมูลสำรองในสาธารณรัฐไอร์แลนด์หลังสูญเสียภูมิภาคโฮสต์หลักไม่ใช่การย้ายตามข้อนี้ และ STAK จะแจ้งลูกค้าโดยไม่ชักช้า.

7.6 กลไกการโอนที่กฎหมายกำหนด: โดยไม่กระทบข้อ 7.4:

• (a) ในกรณีที่กฎระเบียบคุ้มครองข้อมูลทั่วไปของสหภาพยุโรปใช้กับลูกค้า ข้อสัญญามาตรฐานที่รับรองโดยการตัดสินใจเพื่อการบังคับใช้ (EU) 2021/914 ของคณะกรรมาธิการยุโรป (“SCC ของ EU”) ถูกรวมไว้ในข้อตกลงการประมวลผลข้อมูลนี้โดยการอ้างอิง ได้แก่ โมดูลสอง (ผู้ควบคุมถึงผู้ประมวลผล) ในกรณีที่ลูกค้าเป็นผู้ควบคุม และโมดูลสาม (ผู้ประมวลผลถึงผู้ประมวลผล) ในกรณีที่ลูกค้าประมวลผลข้อมูลให้ผู้ควบคุมรายอื่น ลูกค้าเป็นผู้ส่งออกข้อมูลและ STAK เป็นผู้นำเข้าข้อมูล ข้อ 7 (docking clause) ใช้บังคับ ตามข้อ 9(a) ให้ใช้ตัวเลือกที่ 2 (การอนุญาตทั่วไปเป็นลายลักษณ์อักษร) โดยใช้ระยะเวลาแจ้งล่วงหน้าตามข้อ 6.3 ถ้อยคำทางเลือกในข้อ 11(a) ไม่ใช้บังคับ ตามข้อ 17 และ 18 ให้ใช้กฎหมายและศาลของสาธารณรัฐไอร์แลนด์ หน่วยงานกำกับดูแลที่มีอำนาจกำหนดตามข้อ 13 ภาคผนวกของข้อสัญญาเหล่านั้นให้เติมโดยภาคผนวก 1, 2 และ 3 ข้อสัญญาเหล่านั้นมีผลเหนือกว่าสัญญาหากทั้งสองขัดแย้งกัน.
• (b) ในกรณีที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลของราชอาณาจักรซาอุดีอาระเบียใช้กับลูกค้า ข้อสัญญามาตรฐานสำหรับการโอนข้อมูลส่วนบุคคลที่ออกโดย Saudi Data and Artificial Intelligence Authority แม่แบบที่สอง (ผู้ควบคุมถึงผู้ประมวลผล) ถูกรวมไว้ในข้อตกลงการประมวลผลข้อมูลนี้โดยการอ้างอิง ลูกค้าเป็นผู้ส่งออกข้อมูลและ STAK เป็นผู้นำเข้าข้อมูล และภาคผนวกท้ายของข้อสัญญาเหล่านั้นให้เติมโดยภาคผนวก 1, 2 และ 3 STAK ให้ข้อมูลที่ลูกค้าต้องใช้สำหรับการประเมินความเสี่ยงในการโอนซึ่งลูกค้าต้องดำเนินการตามระเบียบว่าด้วยการโอนข้อมูลส่วนบุคคลออกนอกราชอาณาจักร ข้อสัญญาเหล่านั้นมีผลเหนือกว่าสัญญาหากทั้งสองขัดแย้งกัน.
• (c) ในกรณีที่พระราชกฤษฎีกากฎหมายสหพันธ์เลขที่ (45) ปี ค.ศ. 2021 ของสหรัฐอาหรับเอมิเรตส์ใช้กับลูกค้า STAK ใช้บทบัญญัติ มาตรการ และการควบคุมของกฎหมายนั้นกับข้อมูลที่โอน เท่าที่ใช้กับผู้ประมวลผล.
• (d) ในกรณีที่กฎระเบียบคุ้มครองข้อมูลทั่วไปของสหราชอาณาจักรใช้กับลูกค้า International Data Transfer Addendum ของ SCC ของ EU ที่ออกโดย UK Information Commissioner (เวอร์ชัน B1.0 มีผลตั้งแต่ 21 มีนาคม ค.ศ. 2022 ตามที่แก้ไขเพิ่มเติมในภายหลัง) ถูกรวมไว้โดยการอ้างอิง ตารางที่ 1 ถึง 3 ให้เติมด้วยรายละเอียดของคู่สัญญาในสัญญาและภาคผนวก 1 ถึง 3 สำหรับตารางที่ 4 คู่สัญญาฝ่ายใดอาจยุติ Addendum ได้ตามที่ส่วนที่ 19 ของ Addendum อนุญาต.
• (e) ในกรณีที่กฎหมายสหพันธ์สวิสว่าด้วยการคุ้มครองข้อมูลใช้กับลูกค้า SCC ของ EU ใช้บังคับโดยมีการเปลี่ยนแปลงดังนี้: คณะกรรมาธิการคุ้มครองข้อมูลและสารสนเทศแห่งสหพันธ์สวิสเป็นหน่วยงานกำกับดูแลที่มีอำนาจสำหรับการโอนที่อยู่ภายใต้กฎหมายนั้น; การอ้างถึง GDPR รวมถึงกฎหมายนั้น; และ “รัฐสมาชิก” ให้อ่านโดยให้เจ้าของข้อมูลในสวิตเซอร์แลนด์ยื่นข้อเรียกร้องในสวิตเซอร์แลนด์ได้.
• (f) ในกรณีที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับอื่นกำหนดให้ใช้เครื่องมือการโอนเฉพาะ เช่น ข้อสัญญามาตรฐานของหน่วยงานคุ้มครองข้อมูลแห่งชาติของบราซิล หรือสัญญามาตรฐานตามกฎหมายเลขที่ 6698 ของตุรกี STAK ลงนามหรือรวมเครื่องมือนั้นไว้ตามคำขอของลูกค้า โดยเติมรายละเอียดจากภาคผนวก 1 ถึง 3.
• (g) ในกรณีที่ California Consumer Privacy Act หรือกฎหมายความเป็นส่วนตัวระดับรัฐของสหรัฐอเมริกาในทำนองเดียวกันใช้บังคับ STAK ทำหน้าที่เป็นผู้ให้บริการ ผู้รับจ้าง หรือผู้ประมวลผลของลูกค้า STAK ไม่ขายหรือแบ่งปันข้อมูลส่วนบุคคลของลูกค้า STAK ไม่เก็บรักษา ใช้ หรือเปิดเผยข้อมูลนั้นเพื่อวัตถุประสงค์อื่นนอกจากการให้บริการตามสัญญา หรือนอกความสัมพันธ์ทางธุรกิจโดยตรงกับลูกค้า STAK ไม่นำข้อมูลนั้นไปรวมกับข้อมูลส่วนบุคคลจากแหล่งอื่น เว้นแต่ที่กฎหมายเหล่านั้นอนุญาต STAK ปฏิบัติตามกฎหมายเหล่านั้นและให้ระดับการคุ้มครองความเป็นส่วนตัวเท่าที่กฎหมายเหล่านั้นกำหนด STAK จะแจ้งลูกค้าหากไม่สามารถปฏิบัติตามหน้าที่เหล่านี้ได้อีกต่อไป ลูกค้าอาจดำเนินการอันสมควรเพื่อหยุดและแก้ไขการใช้ที่ไม่ได้รับอนุญาตใด ๆ STAK รับรองว่าเข้าใจข้อจำกัดเหล่านี้.

7.7 ข้อมูลที่ต้องอยู่ในประเทศใดประเทศหนึ่ง: ลูกค้าต้องไม่เก็บข้อมูลที่กฎหมายที่ใช้บังคับกำหนดให้จัดเก็บหรือประมวลผลภายในประเทศใดประเทศหนึ่งไว้ในบริการ เว้นแต่บริการแสดงตามข้อ 9.5 ของข้อกำหนดว่ามีการโฮสต์ในประเทศนั้นสำหรับแอปที่เกี่ยวข้อง ข้อนี้เป็นไปตามข้อ 13.4 ของข้อกำหนดและข้อ 5.4 ของนโยบายการใช้งานที่ยอมรับได้.

8. การช่วยเหลือเกี่ยวกับคำขอของเจ้าของข้อมูลส่วนบุคคล

8.1 บริการมีเครื่องมือให้ลูกค้าดู ส่งออก และแก้ไขข้อมูลส่วนบุคคลของลูกค้าปลายทางของลูกค้า เครื่องมือสำหรับลบข้อมูลนั้นโดยแทนที่ตัวตนของบุคคลด้วยนามแฝงพร้อมกับเก็บบันทึกที่กฎหมายกำหนดให้เก็บ และเครื่องมือสำหรับดูและแก้ไขข้อมูลของพนักงานของลูกค้า ลูกค้าใช้เครื่องมือเหล่านี้เพื่อตอบสนองคำขอของเจ้าของข้อมูลส่วนบุคคล และ STAK ช่วยเหลือตามข้อ 8.3 ในเรื่องที่เครื่องมือเหล่านั้นไม่ครอบคลุม รวมถึงการส่งออกและลบข้อมูลพนักงาน.

8.2 หาก STAK ได้รับคำขอโดยตรงจากเจ้าของข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลส่วนบุคคลของลูกค้า STAK จะส่งต่อให้ลูกค้าโดยไม่ชักช้า และตอบสนองตามคำสั่งของลูกค้าเท่านั้น.

8.3 STAK ให้ความช่วยเหลืออันสมควรแก่ลูกค้าในเรื่องที่เครื่องมือที่มีอยู่ไม่ครอบคลุม.

9. การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

9.1 STAK จะแจ้งลูกค้าโดยไม่ชักช้าเกินสมควรหลังจากทราบถึงเหตุละเมิดข้อมูลส่วนบุคคลใด ๆ ที่กระทบข้อมูลส่วนบุคคลของลูกค้า โดยจะแจ้งภายใน 24 ชั่วโมงนับแต่ทราบเหตุหากสามารถทำได้ และไม่ว่ากรณีใดภายใน 48 ชั่วโมง.

9.2 หนังสือแจ้งประกอบด้วย เท่าที่มีข้อมูล:

• (a) ลักษณะของการละเมิด;
• (b) ประเภทของข้อมูลและของเจ้าของข้อมูลส่วนบุคคล และจำนวนโดยประมาณ;
• (c) ผลที่อาจเกิดขึ้น;
• (d) มาตรการที่ดำเนินการแล้วและที่เสนอเพื่อจัดการกับการละเมิด;
• (e) จุดติดต่อที่ STAK.

STAK จะให้ข้อมูลเพิ่มเติมทันทีที่มีข้อมูล.

9.3 STAK ดำเนินมาตรการอันสมควรทันทีเพื่อควบคุมการละเมิดและจำกัดผลกระทบ STAK ให้ความร่วมมือกับลูกค้าในการแจ้งหน่วยงานกำกับดูแลและเจ้าของข้อมูลส่วนบุคคลในกรณีที่ลูกค้าต้องดำเนินการ โดยคำนึงถึงกำหนดเวลาที่กฎหมายกำหนดสำหรับลูกค้า ในกรณีที่กฎหมายที่ใช้บังคับกำหนดให้ STAK เองต้องแจ้งหน่วยงานกำกับดูแลเกี่ยวกับการละเมิด STAK จะดำเนินการภายในระยะเวลาที่กำหนดและแจ้งลูกค้า.

9.4 หนังสือแจ้งการละเมิดของ STAK หรือความร่วมมือของ STAK ในการจัดการกับการละเมิดไม่ถือเป็นการยอมรับความผิดหรือความรับผิด.

10. การประเมินผลกระทบและการหารือกับหน่วยงานกำกับดูแล

เมื่อลูกค้าร้องขอ STAK จะให้ข้อมูลอันสมควรที่จำเป็นต่อการประเมินผลกระทบด้านการคุ้มครองข้อมูลหรือการหารือกับหน่วยงานกำกับดูแล เท่าที่เกี่ยวข้องกับบริการ.

11. ข้อมูลและการตรวจสอบ

11.1 เมื่อลูกค้าร้องขอ STAK จะให้ข้อมูลที่จำเป็นโดยสมเหตุสมผลเพื่อแสดงการปฏิบัติตามข้อตกลงการประมวลผลข้อมูลนี้ ซึ่งรวมถึงเอกสารด้านความปลอดภัยและคำตอบแบบสอบถามด้านความปลอดภัยปีละหนึ่งชุด.

11.2 ลูกค้าอาจดำเนินการตรวจสอบโดยค่าใช้จ่ายของตนเอง หรือให้ผู้ตรวจสอบอิสระที่ผูกพันตามหน้าที่รักษาความลับดำเนินการ ในกรณีต่อไปนี้:

• (a) ในกรณีที่หน่วยงานกำกับดูแลกำหนด;
• (b) หลังเกิดเหตุละเมิดข้อมูลส่วนบุคคลที่กระทบข้อมูลของลูกค้า;
• (c) ในกรณีที่ข้อมูลที่ให้ตามข้อ 11.1 ไม่เพียงพอ.

การตรวจสอบอยู่ภายใต้เงื่อนไขต่อไปนี้:

• ลูกค้าแจ้ง STAK เกี่ยวกับการตรวจสอบล่วงหน้าอย่างน้อย 30 วัน.
• การตรวจสอบดำเนินการในเวลาทำการของวันทำการ.
• การตรวจสอบตามข้อย่อย (c) ดำเนินการได้ไม่เกินปีละหนึ่งครั้ง.
• การตรวจสอบใดไม่ครอบคลุมสถานที่ของผู้ประมวลผลช่วง ใบรับรองและรายงานอิสระของผู้ประมวลผลช่วงเพียงพอแทน.
• การตรวจสอบใดไม่รวมการเข้าถึงข้อมูลของลูกค้ารายอื่นหรือสิ่งใดที่กระทบความปลอดภัยของลูกค้ารายอื่น.

12. การคืนและการลบข้อมูล

12.1 ลูกค้าอาจส่งออกข้อมูลส่วนบุคคลของลูกค้าได้ทุกเมื่อ และเป็นเวลา 30 วันหลังจากสัญญาสิ้นสุดลง ตามข้อ 19.5 ของข้อกำหนด.

12.2 หลังช่วงเวลาส่งออก STAK ลบข้อมูลส่วนบุคคลของลูกค้าออกจากสภาพแวดล้อมการใช้งานจริงภายใน 30 วัน เว้นแต่กฎหมายที่ใช้บังคับกำหนดให้เก็บไว้ และภายใต้การระงับการลบตามข้อ 19.5 ของข้อกำหนดในขณะที่ STAK ได้รับแจ้งเรื่องข้อพิพาททางศาล การสอบสวน หรือคำขอจากหน่วยงานผู้มีอำนาจ.

12.3 ข้อมูลสำรองเก็บไว้ตามระยะเวลาเก็บรักษาต่อไปนี้:

• (a) การกู้คืน ณ จุดเวลาใดก็ได้และข้อมูลสำรองรายวัน: 35 วันนับแต่วันที่จัดทำข้อมูลสำรองแต่ละชุด;
• (b) ข้อมูลสำรองเชิงตรรกะรายคืนของฐานข้อมูล (database dump): 35 วัน;
• (c) ข้อมูลสำรองรายเดือน: 12 เดือนนับแต่วันที่จัดทำข้อมูลสำรองแต่ละชุด;
• (d) ไฟล์ที่อัปโหลดเวอร์ชันก่อนหน้า: 90 วันนับแต่วันที่ถูกแทนที่หรือลบ.

กฎที่ใช้กับข้อมูลสำรองเหล่านี้:

• ข้อมูลสำรองรายวันและรายเดือนและสำเนาเก็บไว้ในตู้นิรภัยข้อมูลสำรอง (backup vault) ซึ่งนโยบายของตู้นั้นป้องกันไม่ให้ผู้ใดรวมถึงพนักงานของ STAK เองลบข้อมูลสำรองก่อนสิ้นสุดระยะเวลาเก็บรักษาหรือเปลี่ยนแปลงระยะเวลานั้น และการล็อกในโหมดการปฏิบัติตามข้อกำหนด (compliance mode) ของผู้ให้บริการโฮสต์ป้องกันการลบข้อมูลสำรองใด ๆ อย่างน้อยใน 35 วันแรก.
• ข้อมูลสำรองเชิงตรรกะรายคืนได้รับการป้องกันจากการเปลี่ยนแปลงและการลบจนกว่าจะสิ้นสุดระยะเวลาเก็บรักษา.
• STAK ไม่ลบข้อมูลสำรองใดก่อนสิ้นสุดระยะเวลาเก็บรักษา แม้ลูกค้าจะร้องขอ.
• ข้อมูลสำรองทั้งหมดถูกเก็บไว้โดยไม่ใช้งาน และใช้เพื่อการกู้คืนทางเทคนิคเท่านั้น ภายใต้ข้อ 12.4 หรือในกรณีที่กฎหมายกำหนด.
• ข้อมูลสำรองทั้งหมดที่มีข้อมูลที่ถูกลบจะหมดอายุเมื่อสิ้นสุดระยะเวลาเหล่านี้ คือภายใน 12 เดือนอย่างช้าที่สุด และข้อมูลที่ถูกลบนั้นจะถูกทำลายอย่างถาวร.
• เมื่อมีการร้องขอ STAK จะแจ้งลูกค้าถึงวันที่ข้อมูลสำรองชุดสุดท้ายที่มีข้อมูลที่ถูกลบหมดอายุ เพื่อให้ลูกค้าแจ้งเจ้าของข้อมูลส่วนบุคคลได้.

12.4 หาก STAK กู้คืนข้อมูลสำรองในช่วงระยะเวลาดังกล่าว STAK จะดำเนินการลบข้อมูลตามข้อ 8.1 และการลบตามข้อ 12.2 ที่ทำหลังวันที่ของข้อมูลสำรองนั้นซ้ำอีกครั้งก่อนที่ข้อมูลจะพร้อมใช้งาน โดยใช้บันทึกของการดำเนินการเหล่านั้นที่ STAK เก็บไว้.

13. คำขอจากรัฐบาล

หาก STAK ได้รับคำขอที่มีผลผูกพันจากหน่วยงานของรัฐหรือหน่วยงานตุลาการให้เปิดเผยข้อมูลส่วนบุคคลของลูกค้า STAK จะแจ้งลูกค้า เว้นแต่กฎหมายห้ามการแจ้ง STAK จำกัดการเปิดเผยให้อยู่ในขั้นต่ำเท่าที่คำขอกำหนด และคัดค้านคำขอที่ STAK เห็นโดยสมเหตุสมผลว่าผิดกฎหมาย โดยวิธีการทางกฎหมายที่มี.

14. ความรับผิด

ความรับผิดของคู่สัญญาแต่ละฝ่ายภายใต้ข้อตกลงการประมวลผลข้อมูลนี้ รวมถึงความรับผิดต่ออีกฝ่ายหนึ่งภายใต้ข้อสัญญามาตรฐานในข้อ 7.6 อยู่ภายใต้บทบัญญัติเรื่องการจำกัดความรับผิดในข้อ 16 ของข้อกำหนด เท่าที่ข้อเหล่านั้นอนุญาต และโดยไม่กระทบสิทธิของเจ้าของข้อมูลส่วนบุคคลภายใต้ข้อสัญญาเหล่านั้น.

15. ระยะเวลาและลำดับความสำคัญ

15.1 ข้อตกลงการประมวลผลข้อมูลนี้ใช้ตลอดเวลาที่ STAK ประมวลผลข้อมูลส่วนบุคคลของลูกค้า.

15.2 หากข้อตกลงการประมวลผลข้อมูลนี้ขัดแย้งกับข้อกำหนด ให้ข้อตกลงนี้มีผลเหนือกว่าในเรื่องที่เกี่ยวกับข้อมูลส่วนบุคคลของลูกค้า.

15.3 หากกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่ใช้บังคับกำหนดหน้าที่บังคับที่เข้มงวดกว่าข้อตกลงการประมวลผลข้อมูลนี้ หน้าที่นั้นใช้บังคับภายในขอบเขตของหน้าที่นั้น.

16. ผู้ติดต่อด้านการคุ้มครองข้อมูลและบันทึกการประมวลผล

STAK ได้แต่งตั้งผู้ติดต่อด้านการคุ้มครองข้อมูลซึ่งติดต่อได้ทางอีเมลที่ [email protected] STAK เก็บบันทึกกิจกรรมการประมวลผลที่ดำเนินการแทนลูกค้า และจัดส่งให้หน่วยงานกำกับดูแลที่มีอำนาจในกรณีที่กฎหมายกำหนด.

ภาคผนวก 1: รายละเอียดการประมวลผล

• หัวข้อเรื่อง: การให้บริการแก่ลูกค้าตามข้อกำหนด.
• ระยะเวลา: ระยะเวลาของสัญญา ช่วงเวลาส่งออกและลบข้อมูลหลังจากนั้นตามข้อ 12 ระยะเวลาเก็บรักษาข้อมูลสำรองในข้อ 12.3 และระยะเวลาเก็บรักษาของผู้ประมวลผลช่วงที่กำหนดไว้ในภาคผนวก 3.
• ลักษณะและวัตถุประสงค์:
  • การจัดเก็บและโฮสต์ข้อมูลของลูกค้า;
  • การประมวลผลการขาย คำสั่งซื้อ การจอง และใบแจ้งหนี้;
  • การจัดการสินค้าคงคลัง การบัญชี ทรัพยากรบุคคล และเงินเดือน;
  • การส่งข้อความที่ลูกค้าร้องขอผ่านบัญชีของลูกค้าเองที่มีกับผู้ให้บริการที่เชื่อมต่อ หรือผ่านผู้ให้บริการส่งข้อความที่ STAK ใช้เมื่อระบุไว้ในภาคผนวก 3 แล้ว;
  • การให้บริการฟีเจอร์ AI เมื่อมีการใช้งาน;
  • ข้อมูลสำรอง ความปลอดภัย และบริการสนับสนุน.
• ประเภทของเจ้าของข้อมูลส่วนบุคคล:
  • ลูกค้าปลายทาง แขก และผู้ป่วยของลูกค้า;
  • พนักงานและผู้สมัครงานของลูกค้า;
  • ผู้ใช้;
  • ซัพพลายเออร์ของลูกค้าและผู้ติดต่อของซัพพลายเออร์เหล่านั้น;
  • คนขับและพนักงานส่งของ.
• ประเภทของข้อมูลส่วนบุคคล:
  • ข้อมูลระบุตัวตนและข้อมูลติดต่อ เช่น ชื่อ โทรศัพท์ อีเมล ที่อยู่ และสถานที่จัดส่ง;
  • บันทึกธุรกรรม คำสั่งซื้อ การจอง และใบแจ้งหนี้;
  • ข้อมูลอ้างอิงที่เชื่อมโยงกับการชำระเงิน โดยไม่มีหมายเลขบัตรครบถ้วน;
  • ข้อมูลสะสมแต้ม ความชอบ และความยินยอม;
  • ข้อมูลเกี่ยวกับพนักงานของลูกค้า เช่น หมายเลข Civil ID รายละเอียดถิ่นที่อยู่ เงินเดือน หมายเลขบัญชีธนาคารระหว่างประเทศ (IBAN) การเข้างาน และการลา;
  • รูปภาพและเอกสารที่ลูกค้าอัปโหลด;
  • บันทึกข้อความและบันทึกการตรวจสอบ.
• ข้อมูลส่วนบุคคลที่มีความอ่อนไหว: ข้อมูลสุขภาพและข้อมูลทางคลินิกเมื่อใช้แอปคลินิก ภายใต้ข้อ 7.7 และข้อ 13.4 ของข้อกำหนด ซึ่งกำหนดว่าห้ามใช้ฟีเจอร์ระเบียนผู้ป่วยกับผู้ป่วยที่รับบริการสุขภาพในรัฐคูเวตหรือสหรัฐอาหรับเอมิเรตส์ และข้อมูลสุขภาพในแฟ้มทรัพยากรบุคคล เช่น ใบรับรองแพทย์ ระเบียนทางคลินิกและแฟ้มทรัพยากรบุคคลเข้ารหัสด้วยคีย์แยกต่างหาก และข้อมูลนี้ผู้ใช้ที่มีบทบาทที่ได้รับอนุญาตให้ดูเท่านั้นจึงจะมองเห็น รหัสการวินิจฉัยและหัตถการในการเรียกร้องสินไหมประกันภัยและการขออนุมัติล่วงหน้า รวมถึงภาพบัตรประกันภัย ได้รับการคุ้มครองด้วยการเข้ารหัสฐานข้อมูลและที่เก็บข้อมูลในภาคผนวก 2.

ภาคผนวก 2: มาตรการทางเทคนิคและมาตรการเชิงองค์กร

1. การเข้ารหัส:
   • ข้อมูลระหว่างการส่งถูกเข้ารหัสด้วย TLS เวอร์ชัน 1.2 หรือใหม่กว่า และมีการตรวจสอบตัวตนของเซิร์ฟเวอร์ฐานข้อมูลในทุกการเชื่อมต่อ.
   • ข้อมูลที่จัดเก็บในฐานข้อมูล ดิสก์ ไฟล์ ข้อมูลสำรอง และที่เก็บความลับถูกเข้ารหัสด้วย AES-256 โดยใช้คีย์ที่จัดการผ่าน AWS Key Management Service (AWS KMS) หรือโดยผู้ให้บริการโฮสต์.
   • แฟ้มทรัพยากรบุคคลและระเบียนทางคลินิกถูกเข้ารหัสเพิ่มเติมภายในแอปพลิเคชันด้วยคีย์แยกต่างหาก และรายละเอียดการเชื่อมต่อสำหรับผู้ให้บริการที่เชื่อมต่อถูกเก็บไว้ในที่เก็บความลับแยกต่างหากซึ่งเข้ารหัสด้วยคีย์แยกต่างหาก.
2. การแยกข้อมูลของลูกค้าแต่ละราย: ทุกระเบียนของข้อมูลของลูกค้ามีตัวระบุของธุรกิจที่ระเบียนนั้นเป็นของ นโยบายความปลอดภัยระดับแถว (row-level security) ในฐานข้อมูลใช้กับบทบาทของแอปพลิเคชัน และบทบาทของแอปพลิเคชันไม่มีสิทธิ์ข้ามนโยบายเหล่านั้น ข้อจำกัดคีย์ผสมป้องกันไม่ให้ระเบียนของธุรกิจหนึ่งถูกเชื่อมโยงกับระเบียนของอีกธุรกิจหนึ่ง.
3. การควบคุมการเข้าถึง:
   • การเข้าถึงให้ตามหลักการให้สิทธิ์น้อยที่สุด.
   • การเข้าถึงสภาพแวดล้อมการใช้งานจริงจำกัดเฉพาะพนักงาน STAK ที่ระบุชื่อ ต้องใช้การยืนยันตัวตนหลายปัจจัย และการเริ่มการเข้าถึงทุกครั้งจะถูกบันทึกไว้.
   • การเข้าถึงเซิร์ฟเวอร์ในฐานะผู้ดูแลระบบทำได้ผ่าน AWS Systems Manager เท่านั้น โดยไม่มีการเข้าสู่ระบบโดยตรง (SSH).
4. ความปลอดภัยในการเข้าสู่ระบบของผู้ใช้:
   • สำหรับผู้ใช้ บริการมีพาสคีย์ (passkey) แอปยืนยันตัวตน และรหัสยืนยันที่ส่งไปยังโทรศัพท์ที่ยืนยันแล้ว.
   • สำหรับลูกค้า บริการมีบทบาทและสิทธิ์ที่ปรับแต่งได้ การเข้าถึงที่จำกัดตามสาขา และในแพ็กเกจที่รวมไว้ มีกฎเซสชันที่ไม่มีการใช้งานและการแจ้งเตือนเจ้าของเมื่อมีการเข้าสู่ระบบจากอุปกรณ์ใหม่.
5. บันทึกการตรวจสอบ: มีการเก็บบันทึกการตรวจสอบการเปลี่ยนแปลงซึ่งผู้ใช้ใดก็ไม่อาจแก้ไขหรือลบได้ บันทึกนี้ระบุผู้กระทำ เวลา แหล่งที่มา และที่อยู่ IP เมื่อลูกค้าลบข้อมูลส่วนบุคคลของลูกค้าปลายทางรายหนึ่งตามข้อ 8.1 รายการต่าง ๆ จะสูญเสียรายละเอียดที่ระบุตัวบุคคลนั้น แต่ยังคงบันทึกว่ามีการทำอะไร โดยใคร และเมื่อใด บันทึกการตรวจสอบจะถูกลบพร้อมข้อมูลของลูกค้าตามข้อ 12 รายการทางบัญชีเชื่อมโยงกันเป็นห่วงโซ่ซึ่งเผยให้เห็นการแก้ไขใด ๆ.
6. ข้อมูลสำรองและการกู้คืน:
   • ข้อมูลสำรองอัตโนมัติแบบต่อเนื่องรองรับการกู้คืน ณ จุดเวลาใดก็ได้ภายใน 35 วัน;
   • ข้อมูลสำรองรายวันเก็บไว้ 35 วันและข้อมูลสำรองรายเดือนเก็บไว้ 12 เดือน และคัดลอกไปยังภูมิภาคทางภูมิศาสตร์แยกต่างหากในสาธารณรัฐไอร์แลนด์ นโยบายของตู้นิรภัยข้อมูลสำรองป้องกันการลบก่อนสิ้นสุดระยะเวลาเก็บรักษาหรือการเปลี่ยนแปลงระยะเวลานั้น และการล็อกในโหมดการปฏิบัติตามข้อกำหนด (compliance mode) ป้องกันการลบข้อมูลสำรองใด ๆ อย่างน้อยใน 35 วันแรก;
   • ข้อมูลสำรองเชิงตรรกะของฐานข้อมูลจัดทำทุกคืนและเก็บไว้ 35 วันในที่เก็บข้อมูลที่ป้องกันการเปลี่ยนแปลงและการลบ;
   • การกู้คืนฐานข้อมูลจากข้อมูลสำรองได้รับการทดสอบทุกเดือน.
7. ข้อมูลการชำระเงิน: บริการถูกออกแบบมาให้ STAK ไม่เก็บหมายเลขบัตรครบถ้วน การชำระเงินทำบนหน้าที่โฮสต์โดยผู้ให้บริการชำระเงิน หรือบนเครื่องรับบัตรและแอปรับบัตรที่ได้รับการรับรองของผู้ให้บริการเหล่านั้น หน้าจอของบริการไม่มีช่องสำหรับป้อนข้อมูลบัตร และบริการให้ลูกค้าสแกนช่องข้อความอิสระเพื่อหาหมายเลขบัตรที่ป้อนผิดพลาดเพื่อให้ลบออกได้.
8. เครือข่ายและโครงสร้างพื้นฐาน: ฐานข้อมูลทำงานในเครือข่ายส่วนตัวที่สาธารณะเข้าถึงไม่ได้ อยู่หลังไฟร์วอลล์ ไฟร์วอลล์สำหรับเว็บแอปพลิเคชันและการป้องกันการโจมตีแบบปฏิเสธการให้บริการ (denial-of-service) จัดให้ผ่าน Cloudflare.
9. การจัดการช่องโหว่และการพัฒนาอย่างปลอดภัย: มีการตรวจทานโค้ดและรันการทดสอบอัตโนมัติก่อนการปล่อยทุกครั้ง ไลบรารีซอฟต์แวร์ได้รับการตรวจสอบ และอัปเดตความปลอดภัยถูกติดตั้งโดยไม่ชักช้า.
10. การเฝ้าติดตามและการตอบสนองต่อเหตุการณ์:
    • โครงสร้างพื้นฐานคลาวด์ถูกเฝ้าติดตามโดยอัตโนมัติตลอดเวลา พร้อมการแจ้งเตือนทันที;
    • การดำเนินการด้านการดูแลระบบทุกรายการบนโครงสร้างพื้นฐานคลาวด์ถูกบันทึกไว้ และภัยคุกคามและสิทธิ์ที่เกินจำเป็นถูกตรวจพบโดยอัตโนมัติผ่านบริการเฉพาะของ Amazon (AWS CloudTrail, GuardDuty และ IAM Access Analyzer);
    • มีขั้นตอนที่เป็นลายลักษณ์อักษรสำหรับการตอบสนองต่อเหตุการณ์ด้านความปลอดภัยและสำหรับการแจ้งตามข้อ 9.
11. ความต่อเนื่องทางธุรกิจ: มีแผนความต่อเนื่องและแผนกู้คืนที่สอดคล้องกับเป้าหมายการกู้คืนในข้อตกลงระดับการให้บริการ.
12. บุคลากร: พนักงานและผู้รับจ้างของ STAK ผูกพันตามหน้าที่รักษาความลับและได้รับการอบรมเพื่อสร้างความตระหนักด้านความปลอดภัย.
13. การลบอย่างปลอดภัย: ข้อมูลถูกลบตามข้อ 12 และผู้ให้บริการโฮสต์ทำลายสื่อบันทึกตามมาตรฐานของตน.

ภาคผนวก 3: ผู้ประมวลผลช่วง

ผู้ให้บริการที่ใช้เฉพาะเมื่อเปิดใช้งาน. ปัจจุบัน STAK ตั้งค่าผู้ให้บริการต่อไปนี้ไว้แต่ไม่ได้ใช้ประมวลผลข้อมูลส่วนบุคคลของลูกค้า STAK จะเริ่มใช้ผู้ให้บริการรายใดรายหนึ่งเหล่านี้ก็ต่อเมื่อได้แจ้งตามข้อ 6.3 ล่วงหน้าอย่างน้อย 30 วัน และหนังสือแจ้งจะระบุว่าผู้ให้บริการประมวลผลข้อมูลที่ใด และเก็บข้อมูลนานเท่าใด.

เมื่อ STAK เปิดใช้หมายเลข WhatsApp ของตนเองแล้ว Meta จะส่งรหัสเข้าสู่ระบบถึงผู้ใช้และรหัสยืนยันถึงลูกค้าปลายทางที่ยืนยันหมายเลขโทรศัพท์บนหน้าสาธารณะจากหมายเลขนั้น ในการดำเนินการดังกล่าว Meta ประมวลผลข้อมูลที่ STAK ประมวลผลในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามนโยบายความเป็นส่วนตัว ไม่ใช่ข้อมูลส่วนบุคคลของลูกค้า.

นอกจากผู้ให้บริการข้างต้นแล้ว STAK ไม่ใช้ผู้ให้บริการข้อความสั้น การแจ้งเตือนแบบพุช กระเป๋าเงินดิจิทัล หรือการค้นหาที่อยู่ การยืนยัน และการทำแผนที่เพื่อประมวลผลข้อมูลส่วนบุคคลของลูกค้า.