ข้อตกลงเพิ่มเติมว่าด้วยการประมวลผลข้อมูล

1. คำนิยาม

คำว่า ผู้ควบคุม, ผู้ประมวลผล, ผู้ประมวลผลช่วง, เจ้าของข้อมูล, ข้อมูลส่วนบุคคล, การประมวลผล และ การละเมิดข้อมูลส่วนบุคคล มีความหมายตาม UK GDPR และ EU GDPR “กฎหมายคุ้มครองข้อมูล” หมายถึง UK GDPR, EU GDPR (ข้อบังคับ 2016/679), กฎหมายคุ้มครองข้อมูลสหราชอาณาจักร 2018 และกฎหมายคุ้มครองข้อมูลหรือความเป็นส่วนตัวอื่นที่ใช้บังคับ

2. บทบาทและขอบเขต

สำหรับข้อมูลตามข้อตกลง ลูกค้าเป็นผู้ควบคุมและ Clavio เป็นผู้ประมวลผล หรือเป็นผู้ประมวลผลช่วงหากลูกค้าเองเป็นผู้ประมวลผลให้ผู้ใช้ปลายทาง Clavio ประมวลผลเพื่อให้และสนับสนุนบริการเท่านั้น เรื่อง ระยะเวลา ลักษณะ วัตถุประสงค์ ประเภทข้อมูล และกลุ่มเจ้าของข้อมูลระบุในภาคผนวก A ด้านล่าง

3. หน้าที่ผู้ประมวลผล (มาตรา 28)

Clavio ต้อง:

• คำสั่งที่บันทึกไว้ — ประมวลผลตามคำสั่งลูกค้าที่บันทึกไว้เท่านั้น รวมถึงในข้อตกลงและ DPA เว้นแต่กฎหมายกำหนดเป็นอย่างอื่น ซึ่ง Clavio จะแจ้งลูกค้าก่อนเมื่อกฎหมายอนุญาต
• การรักษาความลับ — ให้ผู้ที่ได้รับอนุญาตประมวลผลข้อมูลมีหน้าที่รักษาความลับอย่างเหมาะสม
• ความปลอดภัย — ใช้มาตรการทางเทคนิคและองค์กรตามข้อ 6 และภาคผนวก B (มาตรา 32)
• ผู้ประมวลผลช่วง — ว่าจ้างตามข้อ 5 เท่านั้น
• ช่วยเหลือด้านสิทธิเจ้าของข้อมูล — คำนึงถึงลักษณะการประมวลผลและช่วยลูกค้าด้วยมาตรการเหมาะสมเพื่อตอบคำขอเข้าถึง แก้ไข ลบ จำกัด โอนย้าย และคัดค้าน
• ช่วยให้ปฏิบัติตามกฎหมาย — ช่วยลูกค้าปฏิบัติตามมาตรา 32–36 เรื่องความปลอดภัย แจ้งเหตุละเมิด ประเมินผลกระทบ และปรึกษาล่วงหน้า โดยคำนึงถึงข้อมูลที่ Clavio มี
• ลบหรือคืน — ตามที่ลูกค้าเลือก ลบหรือคืนข้อมูลทั้งหมดเมื่อสิ้นสุดบริการ และลบสำเนาที่มี เว้นแต่กฎหมายกำหนดให้เก็บ (ดูข้อ 8)
• การตรวจสอบ — ให้ข้อมูลที่จำเป็นเพื่อแสดงการปฏิบัติตามมาตรา 28 และอนุญาตรวมทั้งร่วมมือในการตรวจสอบหรือเข้าตรวจโดยลูกค้าหรือผู้ตรวจที่ลูกค้ามอบหมาย ภายใต้ข้อตกลงความลับและความปลอดภัยที่สมเหตุสมผล

4. การละเมิดข้อมูลส่วนบุคคล

Clavio ต้องแจ้งลูกค้าโดยไม่ล่าช้าเกินสมควรหลังทราบการละเมิดที่กระทบข้อมูลลูกค้า และให้ข้อมูลที่มีอย่างสมเหตุสมผลเพื่อช่วยลูกค้าปฏิบัติหน้าที่แจ้งหน่วยงานกำกับและเจ้าของข้อมูลตามมาตรา 33 และ 34

5. ผู้ประมวลผลช่วง

ลูกค้าให้การอนุญาตทั่วไปให้ Clavio ว่าจ้างผู้ประมวลผลช่วงเพื่อให้บริการ รายชื่อปัจจุบันอยู่ในนโยบายความเป็นส่วนตัวและด้านล่าง Clavio จะกำหนดหน้าที่คุ้มครองข้อมูลที่เทียบเท่า DPA นี้ในสาระสำคัญแก่แต่ละราย และยังรับผิดชอบการปฏิบัติงานของพวกเขา Clavio จะแจ้งการเปลี่ยนแปลงที่ตั้งใจทำและให้โอกาสลูกค้าคัดค้านด้วยเหตุคุ้มครองข้อมูลที่สมเหตุสมผล

• Anthropic — เรียบเรียงข้อความถอดเสียงด้วย AI ประมวลผลข้อความและเนื้อหาที่พูด
• OpenAI (Whisper) — ถอดเสียงเป็นข้อความ ประมวลผลไฟล์เสียงพูด
• Groq — อาจถอดเสียงเมื่อกำหนดค่าให้ใช้ ประมวลผลเสียงและข้อมูลอนุมานที่เกี่ยวข้องตามตัวควบคุมข้อมูลของบัญชีที่ใช้บังคับ
• Lemon Squeezy — ประมวลผลการชำระและบิลสมาชิกในฐานะ Merchant of Record จัดการข้อมูลบัญชีและตัวตน เช่น ชื่อ อีเมล ข้อมูลบิลและการจ่าย และประเทศเพื่อภาษี
• Apple — เข้าสู่ระบบและยืนยันตัวตน ประมวลผลข้อมูลบัญชีและตัวตน
• Google — เข้าสู่ระบบและยืนยันตัวตน ประมวลผลข้อมูลบัญชีและตัวตน
• Railway — โฮสต์แอปและโครงสร้างฐานข้อมูล อาจประมวลผลทุกประเภทในภาคผนวก A
• GitLab — ส่งมอบซอฟต์แวร์และเครื่องมือปฏิบัติการ ประมวลผลข้อมูลวินิจฉัยและการดำเนินงาน

6. มาตรการความปลอดภัย (มาตรา 32)

Clavio รักษามาตรการทางเทคนิคและองค์กรที่เหมาะสม รวมถึงเข้ารหัสระหว่างส่งด้วย TLS เก็บเฉพาะโทเคนยืนยันตัวตนที่แฮชแล้วแทนรหัสผ่าน ควบคุมการเข้าถึงตามความจำเป็น ใช้ผู้ให้โครงสร้างพื้นฐานที่น่าเชื่อถือ และแนวปฏิบัติที่มุ่งรักษาความลับ ความครบถ้วน ความพร้อมใช้ และความทนทานของบริการต่อเนื่อง สรุปอยู่ในภาคผนวก B

7. การโอนระหว่างประเทศ

หาก DPA นี้เกี่ยวข้องกับการโอนข้อมูลออกนอกสหราชอาณาจักรหรือ EEA ไปประเทศที่ไม่มีคำวินิจฉัยความเพียงพอ คู่สัญญาตกลงใช้มาตรการคุ้มครองตามมาตรา 46 ได้แก่ ข้อสัญญามาตรฐานของคณะกรรมาธิการยุโรป (EU 2021/914) และสำหรับสหราชอาณาจักร UK International Data Transfer Agreement / UK Addendum ซึ่งรวมไว้โดยอ้างอิงและเติมรายละเอียดจากภาคผนวก เราลงนามข้อเหล่านี้เป็นมาตรฐานโดยไม่เจรจาแก้ไข

8. ระยะเวลา การลบ และการคืน

DPA ใช้ตราบที่ Clavio ประมวลผลแทนลูกค้า เมื่อบริการสิ้นสุดหรือหมดอายุ Clavio จะลบหรือคืนข้อมูลตามลูกค้าเลือกและลบสำเนาที่มี โดยมีข้อยกเว้นช่วงหมุนเวียนสำรองสั้น ๆ และการเก็บตามกฎหมาย

9. ภาคผนวก A — รายละเอียดการประมวลผล

• เรื่องและลักษณะ: ให้บริการป้อนตามคำบอกด้วย AI ได้แก่ รับ ส่ง ถอด และเรียบเรียงเสียง รวมถึงจัดการบัญชีและสมาชิก
• วัตถุประสงค์: ส่งมอบบริการแก่ลูกค้าและผู้ใช้ที่ได้รับอนุญาต
• ระยะเวลา: ตลอดข้อตกลงบวกช่วงปิดงานที่จำกัดตามข้อ 8
• กลุ่มเจ้าของข้อมูล: ผู้ใช้ที่ลูกค้าอนุญาต เช่น พนักงานหรือสมาชิกทีม
• ประเภทข้อมูล: ข้อมูลบัญชีและตัวตน เช่น ตัวระบุผู้ใช้ ชื่อ อีเมล รวมที่อยู่ส่งต่อส่วนตัว Apple; เสียงบันทึกและข้อความถอด; สมาชิก บิล และการชำระที่ Merchant of Record ของเรา Lemon Squeezy จัดการ รวมประเทศเพื่อภาษี; การใช้งาน วินิจฉัย และข้อมูลอุปกรณ์หรือระบบปฏิบัติการ
• ข้อมูลประเภทพิเศษ: เสียงบันทึกที่ประมวลผลชั่วคราวเพื่อสร้างข้อความ ไม่ใช้ฝึกโมเดล AI

10. ภาคผนวก B — สรุปมาตรการความปลอดภัย

• เข้ารหัสข้อมูลส่วนบุคคลระหว่างส่งด้วย TLS
• ยืนยันตัวตนผ่านผู้ให้บริการตัวตนที่ลงชื่อเข้าใช้ เก็บโทเคนแฮชเท่านั้น ไม่เก็บรหัสผ่าน
• ควบคุมระบบและข้อมูลตามบทบาทและความจำเป็นต้องรู้
• ใช้โครงสร้างพื้นฐานและผู้ประมวลผล AI ช่วงที่น่าเชื่อถือ ผ่านการตรวจความปลอดภัย ภายใต้เงื่อนไขคุ้มครองข้อมูล
• บันทึกและเฝ้าระวังเพื่อตรวจและตอบสนองเหตุความปลอดภัย พร้อมขั้นตอนแจ้งการละเมิดข้อมูลแก่ลูกค้า
• มาตรการเพื่อคืนความพร้อมใช้และการเข้าถึงข้อมูลอย่างทันท่วงทีหลังเหตุการณ์

11. ติดต่อ

หากต้องการขอ ลงนาม หรือสอบถาม DPA ติดต่อ office@justetools.co.uk