ข้อตกลงเพิ่มเติมว่าด้วยการประมวลผลข้อมูล

ส่วนที่ 1

คำนิยาม

“กฎหมายคุ้มครองข้อมูล” หมายถึงกฎหมายความเป็นส่วนตัว การคุ้มครองข้อมูล และความปลอดภัยที่ใช้บังคับกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้า ซึ่งอาจรวมถึง GDPR, UK GDPR กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหพันธรัฐสวิส CCPA/CPRA และกฎหมายอื่นที่ใช้บังคับ

“ข้อมูลส่วนบุคคลของลูกค้า” หมายถึงข้อมูลส่วนบุคคลหรือข้อมูลลักษณะเดียวกันที่อยู่ภายใต้การกำกับดูแล ซึ่งลูกค้าให้หรือเปิดให้ Giftpack เข้าถึงเพื่อประมวลผลในนามลูกค้า

“GDPR” หมายถึงกฎระเบียบ (EU) 2016/679 “CCPA” หมายถึงกฎหมายความเป็นส่วนตัวผู้บริโภคแคลิฟอร์เนีย ซึ่งแก้ไขเพิ่มเติมโดยกฎหมายสิทธิความเป็นส่วนตัวแคลิฟอร์เนียและกฎระเบียบที่ออกตามกฎหมายนั้น

คำต่าง ๆ เช่น ผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล ธุรกิจ ผู้ให้บริการ ผู้รับจ้าง ข้อมูลส่วนบุคคล การประมวลผล และเจ้าของข้อมูล มีความหมายตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ

ส่วนที่ 2

บทบาทและขอบเขต

สำหรับข้อมูลส่วนบุคคลของลูกค้าที่ประมวลผลเกี่ยวกับแคมเปญที่ลูกค้าจัดการ ขั้นตอนของผู้รับ การจัดส่งตามคำสั่งซื้อ การดูแลแพลตฟอร์ม การรายงาน และบริการที่เกี่ยวข้อง ลูกค้าเป็นผู้ควบคุมข้อมูลหรือธุรกิจ และ Giftpack เป็นผู้ประมวลผลข้อมูล ผู้ให้บริการ ผู้รับจ้าง หรือบทบาทคล้ายกัน Giftpack อาจประมวลผลข้อมูลบางอย่างในฐานะผู้ควบคุมข้อมูลหรือธุรกิจอิสระเพื่อดูแลบัญชี ความปลอดภัย ป้องกันการฉ้อโกง วิเคราะห์ข้อมูล ปฏิบัติตามกฎหมาย ปรับปรุงบริการ เรียกเก็บเงิน และดำเนินงานภายใน ตามนโยบายความเป็นส่วนตัว

ส่วนที่ 3

คำสั่งของลูกค้า

Giftpack จะประมวลผลข้อมูลส่วนบุคคลของลูกค้าตามคำสั่งที่มีหลักฐานเป็นเอกสารของลูกค้าเท่านั้น รวมถึง DPA นี้ ข้อกำหนดการให้บริการ แบบฟอร์มสั่งซื้อที่ใช้บังคับ คำสั่งแคมเปญ การตั้งค่าแพลตฟอร์ม คำสั่งที่ลูกค้าส่งผ่านบริการ และคำสั่งเป็นลายลักษณ์อักษรอื่นที่คู่สัญญาตกลงกัน เว้นแต่กฎหมายกำหนดเป็นอย่างอื่น Giftpack จะแจ้งลูกค้าหากเห็นว่าคำสั่งละเมิดกฎหมายคุ้มครองข้อมูล เว้นแต่กฎหมายห้ามแจ้ง

ส่วนที่ 4

รายละเอียดการประมวลผล

ภาคผนวก A ระบุเรื่อง ระยะเวลา ลักษณะ วัตถุประสงค์ ประเภทข้อมูลส่วนบุคคล และประเภทเจ้าของข้อมูล ลูกค้ามีหน้าที่ตรวจสอบว่าคำสั่งของตนชอบด้วยกฎหมาย ได้แจ้งข้อมูลที่จำเป็น และมีสิทธิ การอนุญาต ความยินยอม และฐานทางกฎหมายที่จำเป็นให้ Giftpack ประมวลผลข้อมูลส่วนบุคคลของลูกค้า

ส่วนที่ 5

การรักษาความลับและบุคลากร

Giftpack จะดูแลให้บุคลากรที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้าอยู่ภายใต้หน้าที่รักษาความลับตามข้อตกลงหรือวิชาชีพ และได้รับคำแนะนำที่เหมาะสมเกี่ยวกับการดูแลข้อมูล

ส่วนที่ 6

มาตรการความปลอดภัย

Giftpack จะใช้และคงไว้ซึ่งมาตรการทางเทคนิคและองค์กรที่เหมาะสม เพื่อปกป้องข้อมูลส่วนบุคคลของลูกค้าจากการประมวลผลโดยไม่ได้รับอนุญาตหรือไม่ชอบด้วยกฎหมาย และการสูญหาย ทำลาย เสียหาย เปิดเผย หรือเข้าถึงโดยอุบัติเหตุ มาตรการปัจจุบันระบุในภาคผนวก B และหน้าความปลอดภัยของ Giftpack เราอาจปรับปรุงมาตรการเป็นระยะ โดยการปรับปรุงต้องไม่ลดระดับการคุ้มครองโดยรวมของข้อมูลส่วนบุคคลของลูกค้าอย่างมีนัยสำคัญ

ส่วนที่ 7

ผู้ประมวลผลข้อมูลช่วง

ลูกค้าอนุญาตให้ Giftpack ใช้ผู้ประมวลผลข้อมูลช่วงเพื่อให้บริการและสนับสนุนบริการ Giftpack จะกำหนดหน้าที่คุ้มครองข้อมูลเป็นลายลักษณ์อักษรแก่ผู้ประมวลผลข้อมูลช่วงซึ่งมีสาระสำคัญคล้ายกับ DPA นี้ เท่าที่ใช้กับบริการของผู้ประมวลผลข้อมูลช่วงนั้น Giftpack ยังคงรับผิดชอบการประมวลผลของผู้ประมวลผลข้อมูลช่วงตามที่กฎหมายคุ้มครองข้อมูลกำหนด เราจะให้ข้อมูลเกี่ยวกับผู้ประมวลผลข้อมูลช่วงเมื่อร้องขอ หรือผ่านช่องทางด้านความน่าเชื่อถือ ความปลอดภัย หรือความเป็นส่วนตัว ลูกค้าอาจคัดค้านผู้ประมวลผลข้อมูลช่วงรายใหม่ด้วยเหตุผลด้านการคุ้มครองข้อมูลที่สมควรภายในระยะเวลาที่เหมาะสมหลังได้รับแจ้ง ในกรณีที่มีการแจ้ง

ส่วนที่ 8

เหตุการณ์ด้านความปลอดภัย

Giftpack จะแจ้งลูกค้าโดยไม่ล่าช้าเกินสมควรหลังทราบถึงเหตุการณ์ด้านความปลอดภัยที่ยืนยันแล้ว ซึ่งทำให้ข้อมูลส่วนบุคคลของลูกค้าที่ประมวลผลในนามลูกค้าถูกทำลาย สูญหาย เปลี่ยนแปลง เปิดเผย หรือเข้าถึงโดยอุบัติเหตุ โดยไม่ชอบด้วยกฎหมาย หรือโดยไม่ได้รับอนุญาต Giftpack จะให้ข้อมูลที่มีอยู่อย่างสมเหตุสมผลเพื่อช่วยลูกค้าปฏิบัติหน้าที่แจ้งเหตุละเมิดข้อมูล การแจ้งเหตุไม่ถือเป็นการยอมรับความผิดหรือความรับผิด

ส่วนที่ 9

คำขอของเจ้าของข้อมูลและผู้บริโภค

โดยคำนึงถึงลักษณะการประมวลผล Giftpack จะให้ความช่วยเหลือที่สมเหตุสมผลแก่ลูกค้าผ่านมาตรการทางเทคนิคและองค์กรที่เหมาะสมเท่าที่ทำได้ เพื่อช่วยตอบคำขอใช้สิทธิของเจ้าของข้อมูล ผู้บริโภค หรือสิทธิความเป็นส่วนตัวตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ หาก Giftpack ได้รับคำขอเกี่ยวกับข้อมูลส่วนบุคคลของลูกค้าจากบุคคลโดยตรง เราอาจแนะนำให้บุคคลนั้นติดต่อลูกค้า เว้นแต่กฎหมายกำหนดให้ตอบเป็นอย่างอื่น

ส่วนที่ 10

ความช่วยเหลือในการปฏิบัติตามข้อกำหนด

Giftpack จะให้ความช่วยเหลือที่สมเหตุสมผลแก่ลูกค้าในการประเมินผลกระทบด้านการคุ้มครองข้อมูล การหารือล่วงหน้า การประเมินความปลอดภัยทางไซเบอร์ และหน้าที่อื่นด้านการปฏิบัติตามข้อกำหนด เมื่อกฎหมายคุ้มครองข้อมูลกำหนดและความช่วยเหลือที่ร้องขอเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้าโดย Giftpack เราอาจเรียกเก็บค่าธรรมเนียมที่สมเหตุสมผลสำหรับความช่วยเหลือเกินกว่าบริการสนับสนุนมาตรฐาน เว้นแต่กฎหมายที่ใช้บังคับห้ามไว้หรือตกลงเป็นอย่างอื่น

ส่วนที่ 11

การคืนและลบข้อมูล

เมื่อบริการสิ้นสุดหรือเมื่อลูกค้าร้องขอเป็นลายลักษณ์อักษร Giftpack จะลบหรือคืนข้อมูลส่วนบุคคลของลูกค้าตามข้อตกลง ฟังก์ชันของแพลตฟอร์ม และกฎหมายที่ใช้บังคับ Giftpack อาจเก็บข้อมูลส่วนบุคคลของลูกค้าตามที่กฎหมายกำหนด เพื่อบันทึกทางธุรกิจโดยชอบ ป้องกันการฉ้อโกง ความปลอดภัย ระงับข้อพิพาท ภาษี บัญชี การปฏิบัติตามข้อกำหนด หรือสำรองข้อมูล โดยข้อมูลที่เก็บไว้ยังได้รับการคุ้มครองตาม DPA นี้จนกว่าจะลบ

ส่วนที่ 12

การตรวจสอบและเอกสาร

Giftpack จะให้ข้อมูลที่จำเป็นอย่างสมเหตุสมผลเพื่อแสดงการปฏิบัติตาม DPA นี้ เมื่อกฎหมายคุ้มครองข้อมูลกำหนด ลูกค้าอาจขอตรวจสอบหรือประเมินมาตรการควบคุมที่เกี่ยวข้องของ Giftpack การตรวจสอบต้องมีขอบเขต ความถี่ เวลา และเงื่อนไขรักษาความลับที่เหมาะสม และอาจใช้รายงาน SOC 2 แบบสอบถามความปลอดภัย ใบรับรอง สรุปผล หรือเอกสารอื่นที่เหมาะสมแทนได้ การตรวจสอบ ณ สถานที่ต้องแจ้งล่วงหน้าเป็นลายลักษณ์อักษร มีขอบเขตที่สมเหตุสมผล และได้รับอนุมัติด้านความปลอดภัยและการรักษาความลับจาก Giftpack

ส่วนที่ 13

การโอนข้อมูลระหว่างประเทศ

ลูกค้าอนุญาตให้ Giftpack และผู้ประมวลผลข้อมูลช่วงประมวลผลข้อมูลส่วนบุคคลของลูกค้าในสหรัฐอเมริกาและเขตอำนาจศาลอื่นที่ Giftpack หรือผู้ประมวลผลข้อมูลช่วงดำเนินงาน เมื่อมีการโอนข้อมูลส่วนบุคคลของลูกค้าจากเขตเศรษฐกิจยุโรป สหราชอาณาจักร หรือสวิตเซอร์แลนด์ไปยังประเทศที่มีระดับการคุ้มครองไม่เพียงพอ คู่สัญญาจะใช้กลไกการโอนที่เหมาะสม ซึ่งอาจรวมถึงข้อสัญญามาตรฐาน ข้อตกลงเพิ่มเติมของสหราชอาณาจักร หรือกลไกอื่นที่ชอบด้วยกฎหมายตามความเหมาะสม คู่สัญญาตกลงให้รวมข้อสัญญามาตรฐาน (SCCs) ที่ใช้บังคับไว้โดยการอ้างอิงเมื่อจำเป็น โดย Giftpack เป็นผู้นำเข้าข้อมูลและลูกค้าเป็นผู้ส่งออกข้อมูล เว้นแต่ข้อเท็จจริงกำหนดให้ใช้รูปแบบอื่น

ส่วนที่ 14

ข้อกำหนดผู้ให้บริการและผู้รับจ้างตาม CCPA / CPRA

เมื่อ CCPA ใช้บังคับ Giftpack จะประมวลผลข้อมูลส่วนบุคคลของลูกค้าในฐานะผู้ให้บริการหรือผู้รับจ้างเพื่อวัตถุประสงค์ทางธุรกิจตามภาคผนวก A Giftpack จะไม่ขายหรือแบ่งปันข้อมูลส่วนบุคคลของลูกค้า ไม่เก็บ ใช้ หรือเปิดเผยข้อมูลนั้นเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ทางธุรกิจที่ระบุในข้อตกลงหรือตามที่ CCPA อนุญาต ไม่เก็บ ใช้ หรือเปิดเผยข้อมูลนั้นนอกความสัมพันธ์ทางธุรกิจโดยตรงกับลูกค้า เว้นแต่ CCPA อนุญาต และไม่รวมข้อมูลนั้นกับข้อมูลส่วนบุคคลที่ได้รับจากแหล่งอื่น เว้นแต่ CCPA อนุญาต Giftpack จะปฏิบัติตามหน้าที่ของผู้ให้บริการและผู้รับจ้างตาม CCPA ที่ใช้บังคับ และจะแจ้งลูกค้าหากเห็นว่าไม่อาจปฏิบัติตามหน้าที่เหล่านั้นได้อีก

ส่วนที่ 15

ข้อมูลที่ไม่ระบุตัวตนและข้อมูลรวม

Giftpack อาจประมวลผลข้อมูลที่ตัดตัวระบุ ข้อมูลรวม หรือข้อมูลนิรนาม เพื่อการวิเคราะห์ เปรียบเทียบมาตรฐาน ปรับปรุงผลิตภัณฑ์ ความเชื่อถือได้ของบริการ และการดำเนินธุรกิจ โดยข้อมูลนั้นต้องไม่ระบุลูกค้าหรือบุคคลใด และต้องจัดการตามกฎหมายที่ใช้บังคับ

ส่วนที่ 16

ลำดับความสำคัญ

หาก DPA นี้ขัดแย้งกับข้อตกลง ให้ DPA นี้มีผลเหนือกว่าในเรื่องการประมวลผลข้อมูลส่วนบุคคลของลูกค้า หากจำเป็นต้องใช้ SCCs และ SCCs ขัดแย้งกับ DPA นี้ ให้ SCCs มีผลเหนือกว่าเท่าที่กฎหมายกำหนด

ภาคผนวก A

รายละเอียดการประมวลผล

หัวข้อ	รายละเอียด
เรื่อง	การให้บริการแพลตฟอร์ม การให้ของขวัญ รางวัล จัดหา จัดการแคมเปญ สร้างการมีส่วนร่วมของผู้รับ ประสานการจัดส่ง จัดสรรเงินบริจาค/ผลกระทบ รายงาน สนับสนุน และบริการที่เกี่ยวข้องของ Giftpack
ระยะเวลา	ตลอดอายุข้อตกลงและตามที่จำเป็นสำหรับการเก็บรักษา ลบ ปฏิบัติตามกฎหมาย ระงับข้อพิพาท และสำรองข้อมูล
ลักษณะและวัตถุประสงค์	โฮสต์ จัดเก็บ จัดระเบียบ ส่ง แสดง วิเคราะห์ รักษาความปลอดภัย สนับสนุน ดำเนินคำสั่งซื้อ จัดส่ง สื่อสาร รายงาน แก้ไขปัญหา และประมวลผลข้อมูลส่วนบุคคลของลูกค้าในลักษณะอื่นเพื่อให้บริการ
เจ้าของข้อมูล	ผู้ดูแลระบบของลูกค้า ผู้ใช้ที่ได้รับอนุญาต พนักงาน ผู้รับ ผู้ใช้ปลายทาง ผู้ซื้อ ผู้บริจาค ผู้ติดต่อของผู้จัดหา ผู้ติดต่อของผู้รับประโยชน์ และบุคคลอื่นที่มีการส่งข้อมูลให้ Giftpack
ประเภทข้อมูลส่วนบุคคล	ชื่อ ข้อมูลติดต่อทางธุรกิจ ข้อมูลติดต่อส่วนบุคคลที่ให้มา ที่อยู่จัดส่ง อีเมล หมายเลขโทรศัพท์ บริษัท ตำแหน่งงาน ข้อมูลรับรองบัญชี ข้อมูลแคมเปญ ความชอบด้านของขวัญ ข้อความ กิจกรรมการแลกรับ รายละเอียดคำสั่งซื้อ เมทาดาทาการชำระเงิน สถานะการจัดส่ง การสื่อสารกับฝ่ายสนับสนุน ข้อมูลอุปกรณ์/บันทึกเหตุการณ์ และข้อมูลอื่นที่ส่งผ่านบริการ
ข้อมูลอ่อนไหว	Giftpack ไม่กำหนดให้ลูกค้าส่งข้อมูลส่วนบุคคลอ่อนไหว เว้นแต่รองรับอย่างชัดแจ้งและอนุมัติเป็นลายลักษณ์อักษร ลูกค้าต้องไม่ส่งข้อมูลอ่อนไหว เว้นแต่ได้รับอนุญาตตามข้อตกลงและกฎหมายที่ใช้บังคับ
หน้าที่ของลูกค้า	ลูกค้ารับผิดชอบฐานทางกฎหมาย การแจ้งข้อมูล การอนุญาต ความถูกต้องของข้อมูล คุณสมบัติการเข้าร่วมแคมเปญ และคำสั่ง

ภาคผนวก B

มาตรการทางเทคนิคและองค์กร

Giftpack มีมาตรการเพื่อปกป้องข้อมูลส่วนบุคคลของลูกค้า รวมถึงการควบคุมโครงสร้างพื้นฐานคลาวด์ การเข้ารหัสระหว่างส่งและขณะจัดเก็บ การควบคุมการเข้าถึงตามบทบาท การให้สิทธิ์เท่าที่จำเป็น หน้าที่รักษาความลับภายใน ความตระหนักด้านความปลอดภัย การบันทึกและเฝ้าระวังเหตุการณ์ การสแกนช่องโหว่และทดสอบเป็นระยะ กระบวนการตอบสนองต่อเหตุการณ์ การสำรองและกู้คืนระบบจากภัยพิบัติ การจัดการการเปลี่ยนแปลง การตรวจสอบผู้ขายและผู้ประมวลผลข้อมูลช่วง ตลอดจนมาตรการป้องกันทางกายภาพ การบริหาร และเทคนิคที่เหมาะสมกับลักษณะบริการ หน้าความปลอดภัยสาธารณะของ Giftpack ให้ภาพรวมระดับสูงและอาจปรับปรุงเป็นระยะ