ข้อตกลงการประมวลผลข้อมูล

ข้อตกลงการประมวลผลข้อมูลนี้ (“DPA”) ทำขึ้นระหว่าง BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “เรา”) และลูกค้าที่ยอมรับข้อกำหนดการให้บริการของ LumaKol (“ลูกค้า”, “คุณ”)

DPA นี้เป็นส่วนหนึ่งของข้อกำหนดการให้บริการสำหรับลูกค้าทุกราย และใช้บังคับทุกครั้งที่ LumaKol ประมวลผลข้อมูลส่วนบุคคลในนามของลูกค้า ไม่ว่าจะภายใต้ Digital Personal Data Protection Act, 2023 ของอินเดีย GDPR, UK GDPR หรือกฎหมายคุ้มครองข้อมูลอื่นใด DPA มีผลโดยอัตโนมัติ คุณไม่จำเป็นต้องลงนาม

หากลูกค้าต้องการสำเนาที่ลงนามโดยทั้งสองฝ่ายไว้เป็นหลักฐาน ขอได้ที่ [email protected] ในกรณีที่ DPA นี้และข้อกำหนดการให้บริการขัดแย้งกันในเรื่องการคุ้มครองข้อมูลส่วนบุคคล ให้ DPA นี้มีผลเหนือกว่า

• “กฎหมายคุ้มครองข้อมูล” หมายถึง กฎหมายคุ้มครองข้อมูลทุกฉบับที่ใช้บังคับกับการประมวลผล รวมถึง Digital Personal Data Protection Act, 2023 ของอินเดียและกฎที่ออกภายใต้พระราชบัญญัตินี้ (“DPDP Act”) EU General Data Protection Regulation 2016/679 (GDPR) UK GDPR และ UK Data Protection Act 2018 และ California Consumer Privacy Act ฉบับแก้ไข (“CCPA”)
• “ข้อมูลส่วนบุคคลของลูกค้า” หมายถึง ข้อมูลส่วนบุคคลที่ LumaKol ประมวลผลในนามของลูกค้าเพื่อให้บริการ
• “ผู้ควบคุมข้อมูล” “ผู้ประมวลผล” “เจ้าของข้อมูล” “การละเมิดข้อมูลส่วนบุคคล” และ “การประมวลผล” มีความหมายตามที่กำหนดในกฎหมายคุ้มครองข้อมูล ในกรณีที่ DPDP Act ใช้บังคับ “ผู้ควบคุมข้อมูล” หมายถึง Data Fiduciary “ผู้ประมวลผล” หมายถึง Data Processor และ “เจ้าของข้อมูล” หมายถึง Data Principal
• “ผู้ประมวลผลข้อมูลช่วง” หมายถึง บุคคลที่สามที่ LumaKol ว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้า
• “SCCs” หมายถึง ข้อสัญญามาตรฐานที่คณะกรรมาธิการยุโรปอนุมัติใน Implementing Decision (EU) 2021/914 และ “ภาคผนวกของสหราชอาณาจักร” หมายถึง International Data Transfer Addendum ที่ออกโดย UK Information Commissioner

คำอื่นที่ขึ้นต้นด้วยตัวพิมพ์ใหญ่ในต้นฉบับมีความหมายตามที่กำหนดในข้อกำหนดการให้บริการ

ลูกค้าเป็นผู้ควบคุมข้อมูลส่วนบุคคลของลูกค้า และ LumaKol เป็นผู้ประมวลผล ในกรณีที่ลูกค้าเป็นผู้ประมวลผลที่ดำเนินการแทนผู้ควบคุมรายอื่น LumaKol จะเป็นผู้ประมวลผลข้อมูลช่วงของลูกค้า และลูกค้ามีหน้าที่ส่งต่อคำสั่งที่เกี่ยวข้อง

LumaKol เป็นผู้ควบคุมข้อมูลแยกต่างหากสำหรับข้อมูลส่วนบุคคลที่จำเป็นในการดำเนินบัญชีของลูกค้า เช่น ชื่อผู้ใช้ รายละเอียดการลงชื่อเข้าใช้ และบันทึกการเรียกเก็บเงิน นโยบายความเป็นส่วนตัวครอบคลุมข้อมูลนั้น ไม่ใช่ DPA นี้

ในกรณีที่ CCPA ใช้บังคับ ลูกค้าเป็น “ธุรกิจ” และ LumaKol เป็น “ผู้ให้บริการ” ของลูกค้า LumaKol จะไม่ขายหรือแชร์ข้อมูลส่วนบุคคลของลูกค้า จะไม่เก็บรักษา ใช้ หรือเปิดเผยข้อมูลเพื่อวัตถุประสงค์อื่นนอกจากการให้บริการ หรือนอกความสัมพันธ์ทางธุรกิจโดยตรงกับลูกค้า และจะไม่รวมข้อมูลเข้ากับข้อมูลส่วนบุคคลจากแหล่งอื่น เว้นแต่ CCPA อนุญาต LumaKol จะแจ้งลูกค้าหากไม่สามารถปฏิบัติตามหน้าที่เหล่านี้ได้อีก

ลูกค้ามีหน้าที่ต้องมีฐานทางกฎหมาย (ภายใต้ DPDP Act คือความยินยอมหรือการใช้งานที่ชอบด้วยกฎหมาย) สำหรับการประมวลผล รับผิดชอบความถูกต้องของข้อมูลส่วนบุคคลของลูกค้า แจ้งข้อมูลที่กฎหมายกำหนดแก่ผู้ที่ลูกค้าติดต่อ และปฏิบัติตามกฎหมายว่าด้วยการโทรเพื่อการตลาดและการบันทึกเสียงการโทรด้วยตนเอง

• เรื่อง: การให้บริการ LumaKol ซึ่งเป็น CRM การโทรที่ทีมของลูกค้าใช้จัดการลีด โทรจากโทรศัพท์มือถือของตนเอง และบันทึกผลของแต่ละสาย
• ระยะเวลา: ตราบที่ลูกค้าใช้บริการ และหลังจากนั้นจนกว่าข้อมูลจะถูกลบตามหัวข้อ “การลบและการส่งคืน”
• ลักษณะ: การเก็บรวบรวม การจัดเก็บ การจัดระเบียบ การเรียกค้น การแสดงผล การส่งไปยังผู้ใช้และอุปกรณ์ของลูกค้า และการลบ
• วัตถุประสงค์: เพื่อให้บริการ รักษาความปลอดภัย และสนับสนุนบริการสำหรับลูกค้า และไม่ใช้เพื่อวัตถุประสงค์อื่นใด

LumaKol ประมวลผลข้อมูลส่วนบุคคลของลูกค้าตามคำสั่งที่เป็นลายลักษณ์อักษรของลูกค้าเท่านั้น ข้อกำหนดการให้บริการ DPA นี้ และการใช้งานและการตั้งค่าบริการของลูกค้าถือเป็นคำสั่งดังกล่าว LumaKol จะแจ้งลูกค้าหากเห็นว่าคำสั่งใดขัดต่อกฎหมายคุ้มครองข้อมูล เว้นแต่กฎหมายห้ามไม่ให้แจ้ง

หากกฎหมายกำหนดให้ LumaKol ประมวลผลข้อมูลส่วนบุคคลของลูกค้าด้วยวิธีอื่น LumaKol จะแจ้งลูกค้าก่อนดำเนินการ เว้นแต่กฎหมายห้ามไม่ให้แจ้ง

LumaKol ดูแลให้ทุกคนที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้ามีหน้าที่รักษาความลับ การเข้าถึงข้อมูลส่วนบุคคลของลูกค้าของพนักงานจำกัดเท่าที่จำเป็นต่อการดำเนินและสนับสนุนบริการ และมีการบันทึกไว้

LumaKol มีมาตรการทางเทคนิคและเชิงองค์กรที่เหมาะสมกับความเสี่ยง ได้แก่

• การเข้ารหัสข้อมูลระหว่างส่ง (TLS) การเข้ารหัสฐานข้อมูลขณะจัดเก็บ และการเข้ารหัส AES-256 ชั้นที่สองสำหรับข้อมูลลับ เช่น โทเค็นและรหัสผ่านของกล่องจดหมายที่เชื่อมต่อ
• การแยกข้อมูลของลูกค้าแต่ละรายตามพื้นที่ทำงาน โดยทุกคิวรีถูกกรองตามพื้นที่ทำงานของลูกค้า
• รหัสผ่านแฮชด้วย Argon2id และโทเค็นเซสชันจัดเก็บเป็นแฮชเท่านั้น
• การจำกัดอัตราและการล็อกการลงชื่อเข้าใช้
• การเข้าถึงตามบทบาทในผลิตภัณฑ์ พร้อมตัวเลือกปิดบังหมายเลขโทรศัพท์ จำกัดการส่งออก และจำกัดผู้ที่ฟังบันทึกเสียงได้
• บันทึกการตรวจสอบการดำเนินการที่อ่อนไหวแบบเพิ่มได้อย่างเดียว
• การยืนยันตัวตนแบบหลายปัจจัยสำหรับพนักงาน LumaKol พร้อมบันทึกการเข้าถึงข้อมูลในระบบจริง
• ข้อมูลสำรองสำหรับกู้คืนหลังความล้มเหลว ซึ่งจะหมดไปภายในประมาณสี่สัปดาห์

LumaKol อาจปรับปรุงมาตรการเหล่านี้ได้ ตราบที่ระดับการคุ้มครองโดยรวมไม่ลดลง

ลูกค้าอนุญาตให้ LumaKol ว่าจ้างผู้ประมวลผลข้อมูลช่วงตามที่อธิบายไว้ในตารางด้านล่าง LumaKol ผูกพันผู้ประมวลผลข้อมูลช่วงแต่ละรายด้วยสัญญาเป็นลายลักษณ์อักษรให้มีหน้าที่คุ้มครองข้อมูลไม่น้อยกว่า DPA นี้ และยังคงรับผิดชอบต่อลูกค้าสำหรับการปฏิบัติงานของผู้ประมวลผลข้อมูลช่วงแต่ละราย รายชื่อผู้ประมวลผลข้อมูลช่วงปัจจุบันจะให้แก่ลูกค้ารายใดก็ได้ที่ขอที่ [email protected] และเป็นส่วนหนึ่งของ DPA นี้

ก่อนที่ผู้ประมวลผลข้อมูลช่วงรายใหม่จะเริ่มประมวลผลข้อมูลส่วนบุคคลของลูกค้า LumaKol จะแจ้งเจ้าของพื้นที่ทำงานทางอีเมลล่วงหน้าอย่างน้อย 30 วัน พร้อมระบุชื่อ ลูกค้าคัดค้านได้ด้วยเหตุผลด้านการคุ้มครองข้อมูลที่สมเหตุสมผลภายในระยะเวลานั้น หากคู่สัญญาแก้ไขข้อคัดค้านไม่ได้ ลูกค้าอาจหยุดใช้ส่วนของบริการที่ได้รับผลกระทบหรือยุติการสมัครสมาชิก

เมื่อแอป iPhone เปิดตัว บริการของแพลตฟอร์ม iPhone เองจะส่งพุชแจ้งเตือนของแอป เราจะเพิ่มบริการนั้นในรายการนี้พร้อมการแจ้งล่วงหน้าตามที่อธิบายข้างต้นก่อนที่จะเกิดขึ้น Google Drive, Sheets และ Calendar ปฏิทิน Microsoft Outlook และโฆษณาลีดของ Facebook และ Instagram ยังเชื่อมต่อไม่ได้

บันทึกเสียงการโทรจัดเก็บบนเซิร์ฟเวอร์ของ LumaKol บันทึกเสียงพูดและรูปถ่ายการเยี่ยมลูกค้าจะบันทึกไว้ใน Google Drive ของสมาชิกทีมที่เชื่อมต่อไว้ ไม่ใช่บนเซิร์ฟเวอร์ของ LumaKol

อีเมลที่ลูกค้าส่งถึงลีดของตนเองส่งผ่านกล่องจดหมายของลูกค้าเอง (การตั้งค่า → อีเมล) ไม่ใช่ผ่านผู้ให้บริการอีเมลของ LumaKol ระบบที่ลูกค้าเชื่อมต่อเอง เช่น เว็บไซต์ของลูกค้า แหล่งที่มาของลีด ไคลเอนต์ API และปลายทางเว็บฮุก ได้รับข้อมูลตามคำสั่งของลูกค้าและไม่ใช่ผู้ประมวลผลข้อมูลช่วงของ LumaKol

บริการนี้ให้ลูกค้าค้นหา แก้ไข ส่งออก และลบข้อมูลของลีด และบล็อกการโทรหาลีดต่อไปได้ เพื่อให้ลูกค้าตอบคำขอของเจ้าของข้อมูลส่วนใหญ่ได้เอง ในกรณีที่ทำไม่ได้ LumaKol จะช่วยเมื่อได้รับคำขอ โดยคำนึงถึงลักษณะของการประมวลผล

หาก LumaKol ได้รับคำขอโดยตรงจากเจ้าของข้อมูลเกี่ยวกับข้อมูลส่วนบุคคลของลูกค้า LumaKol จะส่งต่อให้ลูกค้าโดยไม่ชักช้า และจะไม่ตอบคำขอนั้น เว้นแต่ได้รับคำสั่งจากลูกค้า

LumaKol จะให้ความช่วยเหลือตามสมควรในการประเมินผลกระทบด้านการคุ้มครองข้อมูลของลูกค้าและการปรึกษาหารือกับหน่วยงานกำกับดูแลด้วย ในขอบเขตที่เกี่ยวข้องกับการประมวลผลของ LumaKol

LumaKol จะแจ้งลูกค้าโดยไม่ชักช้า และไม่ว่ากรณีใดภายใน 48 ชั่วโมงหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคลที่ส่งผลต่อข้อมูลส่วนบุคคลของลูกค้า เพื่อให้ลูกค้าปฏิบัติหน้าที่ของตนเองในการรายงานต่อหน่วยงานกำกับดูแลและแจ้งบุคคลที่ได้รับผลกระทบ เช่น ภายใน 72 ชั่วโมงตาม GDPR และกฎของ DPDP Act การแจ้งจะอธิบายเท่าที่ทราบในขณะนั้นถึงลักษณะของการละเมิด ประเภทและจำนวนโดยประมาณของบุคคลและรายการข้อมูลที่ได้รับผลกระทบ ผลที่อาจตามมา และมาตรการที่ดำเนินการแล้วหรือที่เสนอ และจะระบุผู้ติดต่อสำหรับข้อมูลเพิ่มเติม

LumaKol จะแจ้งความคืบหน้าแก่ลูกค้าเมื่อทราบข้อมูลเพิ่มเติม และจะดำเนินการตามสมควรเพื่อควบคุมการละเมิดและจำกัดผลกระทบ การแจ้งการละเมิดไม่ถือเป็นการยอมรับความผิด

ระหว่างการสมัครสมาชิก ลูกค้าส่งออกลีดเป็น CSV และอ่านข้อมูลผ่าน API สาธารณะได้ เมื่อลูกค้าปิดพื้นที่ทำงาน หรือข้อมูลถึงสิ้นสุดระยะเวลาการเก็บรักษาตามเงื่อนไขการชำระเงินหลังการยกเลิกหรือการหยุดชั่วคราวเนื่องจากไม่ชำระเงิน LumaKol จะลบข้อมูลส่วนบุคคลของลูกค้าออกจากบริการ

สำเนาในข้อมูลสำรองจะหมดอายุตามรอบและถูกลบเมื่อหมดอายุ LumaKol อาจเก็บข้อมูลไว้เฉพาะในกรณีที่กฎหมายกำหนด และเก็บเฉพาะข้อมูลนั้น ภายใต้การคุ้มครองตาม DPA นี้ นานเท่าที่กฎหมายกำหนด

เมื่อได้รับคำขอที่สมเหตุสมผล LumaKol จะจัดให้มีข้อมูลที่จำเป็นเพื่อแสดงว่าปฏิบัติตามหน้าที่ภายใต้ DPA นี้และมาตรา 28 ของ GDPR เช่น คำตอบเป็นลายลักษณ์อักษรต่อแบบสอบถามด้านความปลอดภัย

ในกรณีที่ข้อมูลดังกล่าวไม่เพียงพอ ลูกค้าอาจตรวจสอบการปฏิบัติตามของ LumaKol ด้วยตนเองหรือผ่านผู้ตรวจสอบอิสระที่มีหน้าที่รักษาความลับ โดยแจ้งเป็นลายลักษณ์อักษรล่วงหน้าอย่างน้อย 30 วัน ในเวลาทำการ ไม่เกินปีละครั้ง เว้นแต่หน่วยงานกำกับดูแลกำหนดหรือหลังเกิดการละเมิดข้อมูลส่วนบุคคล และลูกค้าเป็นผู้รับผิดชอบค่าใช้จ่าย คู่สัญญาจะตกลงขอบเขตล่วงหน้าเพื่อไม่ให้การตรวจสอบรบกวนบริการหรือเปิดเผยข้อมูลของลูกค้ารายอื่น

LumaKol ประมวลผลข้อมูลส่วนบุคคลของลูกค้าในอินเดีย ในสิงคโปร์และญี่ปุ่นซึ่งเป็นที่โฮสต์บริการ และในประเทศที่ผู้ประมวลผลข้อมูลช่วงดำเนินงาน ในกรณีที่เกี่ยวข้องกับการโอนข้อมูลส่วนบุคคลออกนอก EEA หรือออกนอกสหราชอาณาจักร ไปยังประเทศที่ไม่มีคำวินิจฉัยความเพียงพอหรือระเบียบที่เกี่ยวข้อง คู่สัญญาตกลงว่า

• สำหรับข้อมูลใน EEA ให้ใช้ SCCs ซึ่งรวมเข้าเป็นส่วนหนึ่งของ DPA นี้โดยการอ้างอิง ได้แก่ Module Two (ผู้ควบคุมถึงผู้ประมวลผล) ในกรณีที่ลูกค้าเป็นผู้ควบคุมข้อมูล และ Module Three (ผู้ประมวลผลถึงผู้ประมวลผล) ในกรณีที่ลูกค้าเป็นผู้ประมวลผล พร้อมข้อสัญญาเข้าร่วม (docking clause) ที่เป็นทางเลือก ทางเลือกที่ 2 (การอนุญาตทั่วไป) ในข้อ 9 และกฎหมายที่ใช้บังคับและศาลของไอร์แลนด์ในข้อ 17 และ 18
• สำหรับข้อมูลในสหราชอาณาจักร ให้ใช้ภาคผนวกของสหราชอาณาจักร ซึ่งรวมเข้าโดยการอ้างอิง โดยกรอกตารางด้วยข้อมูลใน DPA นี้
• ข้อมูลที่ SCCs กำหนดให้มีในภาคผนวก คือข้อมูลในหัวข้อ “คู่สัญญา” “เรื่อง ระยะเวลา ลักษณะ และวัตถุประสงค์” “เจ้าของข้อมูลและข้อมูลส่วนบุคคล” “มาตรการรักษาความปลอดภัย” และ “รายชื่อผู้ประมวลผลข้อมูลช่วง” ข้างต้น

ในกรณีที่ DPDP Act ใช้บังคับ LumaKol จะไม่โอนข้อมูลส่วนบุคคลของลูกค้าไปยังประเทศหรือดินแดนที่รัฐบาลอินเดียจำกัดไว้

หาก SCCs หรือภาคผนวกของสหราชอาณาจักรขัดแย้งกับ DPA นี้ ให้ SCCs หรือภาคผนวกมีผลเหนือกว่า LumaKol กำหนดให้ผู้ประมวลผลข้อมูลช่วงคุ้มครองการโอนต่อด้วยมาตรการคุ้มครองที่เหมาะสม

ความรับผิดของคู่สัญญาแต่ละฝ่ายภายใต้ DPA นี้อยู่ภายใต้ข้อจำกัดในข้อกำหนดการให้บริการ เว้นแต่กฎหมายคุ้มครองข้อมูลหรือ SCCs ไม่อนุญาตให้จำกัดความรับผิด

DPA นี้มีผลตราบที่ LumaKol ประมวลผลข้อมูลส่วนบุคคลของลูกค้า หน้าที่ที่โดยลักษณะควรมีผลต่อไป เช่น การรักษาความลับและการลบ จะยังคงมีผลหลังสิ้นสุด LumaKol อาจปรับปรุง DPA นี้ให้สอดคล้องกับการเปลี่ยนแปลงของกฎหมายหรือบริการ โดยจะไม่ลดการคุ้มครองข้อมูลส่วนบุคคลของลูกค้า และวันที่ “อัปเดตล่าสุด” ด้านบนแสดงเวอร์ชันปัจจุบัน

คำถามเกี่ยวกับ DPA นี้ การแจ้งตาม DPA และคำขอสำเนาที่ลงนามโดยทั้งสองฝ่าย ส่งถึง [email protected]

ขอสำเนาที่ลงนาม: เขียนถึง [email protected] พร้อมชื่อนิติบุคคลและที่อยู่ขององค์กรคุณ แล้วเราจะส่ง DPA นี้กลับไปพร้อมลายมือชื่อของเรา