v2026.10.28 ข้อตกลงเพิ่มเติมว่าด้วยการประมวลผลข้อมูลนี้ ("DPA") เป็นส่วนหนึ่งของข้อตกลงระหว่าง Giftpack, Inc. ("Giftpack") กับลูกค้า ผู้ใช้ พาร์ทเนอร์ หรือองค์กรที่ส่งข้อมูลส่วนบุคคลให้ Giftpack หรือใช้บริการ Giftpack ("ลูกค้า") DPA นี้ใช้เมื่อ Giftpack ประมวลผลข้อมูลส่วนบุคคลในนามลูกค้าในฐานะผู้ประมวลผลข้อมูล ผู้ให้บริการ ผู้รับจ้าง หรือบทบาทคล้ายกันตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ลูกค้าอาจยอมรับ DPA นี้โดยลงนามในแบบฟอร์มสั่งซื้อ ยอมรับข้อกำหนดการให้บริการ คลิกยอมรับในแพลตฟอร์ม ส่งข้อมูลผู้รับ อนุมัติแคมเปญ หรือใช้บริการที่มีการประมวลผลข้อมูลส่วนบุคคลในนามลูกค้า หากมีข้อตกลงประมวลผลข้อมูลที่ลงนามแยกต่างหาก ให้ข้อตกลงนั้นมีผลเหนือ DPA ออนไลน์นี้เฉพาะส่วนที่ขัดแย้งกัน
ส่วนที่ 1
คำจำกัดความ
“กฎหมายคุ้มครองข้อมูล” หมายถึงกฎหมายความเป็นส่วนตัว การคุ้มครองข้อมูล และความปลอดภัยที่ใช้บังคับกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้า ซึ่งอาจรวมถึง GDPR, UK GDPR กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหพันธรัฐสวิส CCPA/CPRA และกฎหมายอื่นที่ใช้บังคับ
“ข้อมูลส่วนบุคคลของลูกค้า” หมายถึงข้อมูลส่วนบุคคลหรือข้อมูลลักษณะเดียวกันที่อยู่ภายใต้การกำกับดูแล ซึ่งลูกค้าให้หรือเปิดให้ Giftpack เข้าถึงเพื่อประมวลผลในนามลูกค้า
“GDPR” หมายถึงกฎระเบียบ (EU) 2016/679 “CCPA” หมายถึงกฎหมายความเป็นส่วนตัวผู้บริโภคแคลิฟอร์เนีย ซึ่งแก้ไขเพิ่มเติมโดยกฎหมายสิทธิความเป็นส่วนตัวแคลิฟอร์เนียและกฎระเบียบที่ออกตามกฎหมายนั้น
คำต่าง ๆ เช่น ผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล ธุรกิจ ผู้ให้บริการ ผู้รับจ้าง ข้อมูลส่วนบุคคล การประมวลผล และเจ้าของข้อมูล มีความหมายตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
ส่วนที่ 2
บทบาทและขอบเขตการใช้
สำหรับข้อมูลส่วนบุคคลของลูกค้าที่ประมวลผลเกี่ยวกับแคมเปญที่ลูกค้าจัดการ ขั้นตอนของผู้รับ การจัดส่งตามคำสั่งซื้อ การดูแลแพลตฟอร์ม การรายงาน และบริการที่เกี่ยวข้อง ลูกค้าเป็นผู้ควบคุมข้อมูลหรือธุรกิจ และ Giftpack เป็นผู้ประมวลผลข้อมูล ผู้ให้บริการ ผู้รับจ้าง หรือบทบาทคล้ายกัน Giftpack อาจประมวลผลข้อมูลบางอย่างในฐานะผู้ควบคุมข้อมูลหรือธุรกิจอิสระเพื่อดูแลบัญชี ความปลอดภัย ป้องกันการฉ้อโกง วิเคราะห์ข้อมูล ปฏิบัติตามกฎหมาย ปรับปรุงบริการ เรียกเก็บเงิน และดำเนินงานภายใน ตามนโยบายความเป็นส่วนตัว
ส่วนที่ 3
คำสั่งของลูกค้าเกี่ยวกับการประมวลผล
Giftpack จะประมวลผลข้อมูลส่วนบุคคลของลูกค้าตามคำสั่งที่มีหลักฐานเป็นเอกสารของลูกค้าเท่านั้น รวมถึง DPA นี้ ข้อกำหนดการให้บริการ แบบฟอร์มสั่งซื้อที่ใช้บังคับ คำสั่งแคมเปญ การตั้งค่าแพลตฟอร์ม คำสั่งที่ลูกค้าส่งผ่านบริการ และคำสั่งเป็นลายลักษณ์อักษรอื่นที่คู่สัญญาตกลงกัน เว้นแต่กฎหมายกำหนดเป็นอย่างอื่น Giftpack จะแจ้งลูกค้าหากเห็นว่าคำสั่งละเมิดกฎหมายคุ้มครองข้อมูล เว้นแต่กฎหมายห้ามแจ้ง
เมื่อลูกค้าหรือผู้ใช้ที่ดำเนินการภายในขอบเขตการอนุญาตของลูกค้าเปิดใช้งานแอปพลิเคชัน AI หรือการเชื่อมต่อ MCP ที่รองรับ คำสั่งอาจรวมถึงการสืบค้นและการเปิดเผยข้อมูลผ่านการเชื่อมต่อนั้นภายในสิทธิ์ของผู้ใช้ ลูกค้ายังคงรับผิดชอบต่อสิทธิ์ การแจ้งข้อมูล และฐานทางกฎหมายที่จำเป็นสำหรับการแบ่งปันข้อมูลส่วนบุคคลของลูกค้ากับแอปพลิเคชัน AI ที่ตนเลือก การเลือกแอปพลิเคชัน AI ไม่ได้เป็นการแต่งตั้งผู้ให้บริการนั้นเป็นผู้ประมวลผลข้อมูลช่วงของ Giftpack โดยตัวมันเอง คำสั่งเหล่านี้ไม่ได้อนุญาตการใช้ข้อมูลที่กฎหมายที่มีผลใช้บังคับหรือข้อกำหนดที่กำกับแพลตฟอร์มที่เชื่อมต่อห้ามไว้
ส่วนที่ 4
รายละเอียดการประมวลผลข้อมูล
ภาคผนวก A ระบุเรื่อง ระยะเวลา ลักษณะ วัตถุประสงค์ ประเภทข้อมูลส่วนบุคคล และประเภทเจ้าของข้อมูล ลูกค้ามีหน้าที่ตรวจสอบว่าคำสั่งของตนชอบด้วยกฎหมาย ได้แจ้งข้อมูลที่จำเป็น และมีสิทธิ การอนุญาต ความยินยอม และฐานทางกฎหมายที่จำเป็นให้ Giftpack ประมวลผลข้อมูลส่วนบุคคลของลูกค้า
ส่วนที่ 5
บุคลากรและหน้าที่รักษาความลับ
Giftpack จะดูแลให้บุคลากรที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้าอยู่ภายใต้หน้าที่รักษาความลับตามข้อตกลงหรือวิชาชีพ และได้รับคำแนะนำที่เหมาะสมเกี่ยวกับการดูแลข้อมูล
ส่วนที่ 6
มาตรการรักษาความปลอดภัย
Giftpack จะใช้และคงไว้ซึ่งมาตรการทางเทคนิคและองค์กรที่เหมาะสม เพื่อปกป้องข้อมูลส่วนบุคคลของลูกค้าจากการประมวลผลโดยไม่ได้รับอนุญาตหรือไม่ชอบด้วยกฎหมาย และการสูญหาย ทำลาย เสียหาย เปิดเผย หรือเข้าถึงโดยอุบัติเหตุ มาตรการปัจจุบันระบุในภาคผนวก B และหน้าความปลอดภัยของ Giftpack เราอาจปรับปรุงมาตรการเป็นระยะ โดยการปรับปรุงต้องไม่ลดระดับการคุ้มครองโดยรวมของข้อมูลส่วนบุคคลของลูกค้าอย่างมีนัยสำคัญ
ส่วนที่ 7
ผู้ประมวลผลข้อมูลช่วง
ลูกค้าอนุญาตให้ Giftpack ใช้ผู้ประมวลผลข้อมูลช่วงเพื่อให้บริการและสนับสนุนบริการ Giftpack จะกำหนดหน้าที่คุ้มครองข้อมูลเป็นลายลักษณ์อักษรแก่ผู้ประมวลผลข้อมูลช่วงซึ่งมีสาระสำคัญคล้ายกับ DPA นี้ เท่าที่ใช้กับบริการของผู้ประมวลผลข้อมูลช่วงนั้น Giftpack ยังคงรับผิดชอบการประมวลผลของผู้ประมวลผลข้อมูลช่วงตามที่กฎหมายคุ้มครองข้อมูลกำหนด เราจะให้ข้อมูลเกี่ยวกับผู้ประมวลผลข้อมูลช่วงเมื่อร้องขอ หรือผ่านช่องทางด้านความน่าเชื่อถือ ความปลอดภัย หรือความเป็นส่วนตัว ลูกค้าอาจคัดค้านผู้ประมวลผลข้อมูลช่วงรายใหม่ด้วยเหตุผลด้านการคุ้มครองข้อมูลที่สมควรภายในระยะเวลาที่เหมาะสมหลังได้รับแจ้ง ในกรณีที่มีการแจ้ง
ส่วนที่ 8
เหตุการณ์ด้านความปลอดภัย
Giftpack จะแจ้งลูกค้าโดยไม่ล่าช้าเกินสมควรหลังทราบถึงเหตุการณ์ด้านความปลอดภัยที่ยืนยันแล้ว ซึ่งทำให้ข้อมูลส่วนบุคคลของลูกค้าที่ประมวลผลในนามลูกค้าถูกทำลาย สูญหาย เปลี่ยนแปลง เปิดเผย หรือเข้าถึงโดยอุบัติเหตุ โดยไม่ชอบด้วยกฎหมาย หรือโดยไม่ได้รับอนุญาต Giftpack จะให้ข้อมูลที่มีอยู่อย่างสมเหตุสมผลเพื่อช่วยลูกค้าปฏิบัติหน้าที่แจ้งเหตุละเมิดข้อมูล การแจ้งเหตุไม่ถือเป็นการยอมรับความผิดหรือความรับผิด
ส่วนที่ 9
คำขอของเจ้าของข้อมูลและผู้บริโภค
โดยคำนึงถึงลักษณะการประมวลผล Giftpack จะให้ความช่วยเหลือที่สมเหตุสมผลแก่ลูกค้าผ่านมาตรการทางเทคนิคและองค์กรที่เหมาะสมเท่าที่ทำได้ เพื่อช่วยตอบคำขอใช้สิทธิของเจ้าของข้อมูล ผู้บริโภค หรือสิทธิความเป็นส่วนตัวตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ หาก Giftpack ได้รับคำขอเกี่ยวกับข้อมูลส่วนบุคคลของลูกค้าจากบุคคลโดยตรง เราอาจแนะนำให้บุคคลนั้นติดต่อลูกค้า เว้นแต่กฎหมายกำหนดให้ตอบเป็นอย่างอื่น
ส่วนที่ 10
ความช่วยเหลือด้านการคุ้มครองข้อมูล
Giftpack จะให้ความช่วยเหลือที่สมเหตุสมผลแก่ลูกค้าในการประเมินผลกระทบด้านการคุ้มครองข้อมูล การหารือล่วงหน้า การประเมินความปลอดภัยทางไซเบอร์ และหน้าที่อื่นด้านการปฏิบัติตามข้อกำหนด เมื่อกฎหมายคุ้มครองข้อมูลกำหนดและความช่วยเหลือที่ร้องขอเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้าโดย Giftpack เราอาจเรียกเก็บค่าธรรมเนียมที่สมเหตุสมผลสำหรับความช่วยเหลือเกินกว่าบริการสนับสนุนมาตรฐาน เว้นแต่กฎหมายที่ใช้บังคับห้ามไว้หรือตกลงเป็นอย่างอื่น
ส่วนที่ 11
การคืนและลบข้อมูล
เมื่อบริการสิ้นสุดหรือเมื่อลูกค้าร้องขอเป็นลายลักษณ์อักษร Giftpack จะลบหรือคืนข้อมูลส่วนบุคคลของลูกค้าตามข้อตกลง ฟังก์ชันของแพลตฟอร์ม และกฎหมายที่ใช้บังคับ Giftpack อาจเก็บข้อมูลส่วนบุคคลของลูกค้าตามที่กฎหมายกำหนด เพื่อบันทึกทางธุรกิจโดยชอบ ป้องกันการฉ้อโกง ความปลอดภัย ระงับข้อพิพาท ภาษี บัญชี การปฏิบัติตามข้อกำหนด หรือสำรองข้อมูล โดยข้อมูลที่เก็บไว้ยังได้รับการคุ้มครองตาม DPA นี้จนกว่าจะลบ
การเพิกถอนการอนุญาตการเชื่อมต่อกับแอปพลิเคชัน AI เป็นเรื่องแยกจากการยุติบริการหรือการขอคืนหรือลบข้อมูลส่วนบุคคลของลูกค้า บันทึกของลูกค้าที่มีอยู่เดิมยังคงอยู่ภายใต้ส่วนนี้และข้อตกลงที่มีผลใช้บังคับ นโยบายความเป็นส่วนตัว อธิบายการเก็บรักษาข้อมูลที่เกี่ยวข้องกับการเชื่อมต่อและช่องทางยื่นคำขอของบุคคล ภาระหน้าที่ในการลบข้อมูลของ Giftpack ไม่ครอบคลุมถึงการลบสำเนาที่แอปพลิเคชัน AI ที่ลูกค้าเลือกเก็บรักษาไว้โดยอิสระภายใต้ความสัมพันธ์ของแอปพลิเคชันนั้นกับลูกค้าหรือผู้ใช้ของลูกค้า
ส่วนที่ 12
การตรวจสอบและเอกสาร
Giftpack จะให้ข้อมูลที่จำเป็นอย่างสมเหตุสมผลเพื่อแสดงการปฏิบัติตาม DPA นี้ เมื่อกฎหมายคุ้มครองข้อมูลกำหนด ลูกค้าอาจขอตรวจสอบหรือประเมินมาตรการควบคุมที่เกี่ยวข้องของ Giftpack การตรวจสอบต้องมีขอบเขต ความถี่ เวลา และเงื่อนไขรักษาความลับที่เหมาะสม และอาจใช้รายงาน SOC 2 แบบสอบถามความปลอดภัย ใบรับรอง สรุปผล หรือเอกสารอื่นที่เหมาะสมแทนได้ การตรวจสอบ ณ สถานที่ต้องแจ้งล่วงหน้าเป็นลายลักษณ์อักษร มีขอบเขตที่สมเหตุสมผล และได้รับอนุมัติด้านความปลอดภัยและการรักษาความลับจาก Giftpack
ส่วนที่ 13
การโอนข้อมูลระหว่างประเทศ
ลูกค้าอนุญาตให้ Giftpack และผู้ประมวลผลข้อมูลช่วงประมวลผลข้อมูลส่วนบุคคลของลูกค้าในสหรัฐอเมริกาและเขตอำนาจศาลอื่นที่ Giftpack หรือผู้ประมวลผลข้อมูลช่วงดำเนินงาน เมื่อมีการโอนข้อมูลส่วนบุคคลของลูกค้าจากเขตเศรษฐกิจยุโรป สหราชอาณาจักร หรือสวิตเซอร์แลนด์ไปยังประเทศที่มีระดับการคุ้มครองไม่เพียงพอ คู่สัญญาจะใช้กลไกการโอนที่เหมาะสม ซึ่งอาจรวมถึงข้อสัญญามาตรฐาน ข้อตกลงเพิ่มเติมของสหราชอาณาจักร หรือกลไกอื่นที่ชอบด้วยกฎหมายตามความเหมาะสม คู่สัญญาตกลงให้รวมข้อสัญญามาตรฐาน (SCCs) ที่ใช้บังคับไว้โดยการอ้างอิงเมื่อจำเป็น โดย Giftpack เป็นผู้นำเข้าข้อมูลและลูกค้าเป็นผู้ส่งออกข้อมูล เว้นแต่ข้อเท็จจริงกำหนดให้ใช้รูปแบบอื่น
ส่วนที่ 14
ข้อกำหนดสำหรับผู้ให้บริการและผู้รับจ้างตาม CCPA / CPRA
เมื่อ CCPA ใช้บังคับ Giftpack จะประมวลผลข้อมูลส่วนบุคคลของลูกค้าในฐานะผู้ให้บริการหรือผู้รับจ้างเพื่อวัตถุประสงค์ทางธุรกิจตามภาคผนวก A Giftpack จะไม่ขายหรือแบ่งปันข้อมูลส่วนบุคคลของลูกค้า ไม่เก็บ ใช้ หรือเปิดเผยข้อมูลนั้นเพื่อวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ทางธุรกิจที่ระบุในข้อตกลงหรือตามที่ CCPA อนุญาต ไม่เก็บ ใช้ หรือเปิดเผยข้อมูลนั้นนอกความสัมพันธ์ทางธุรกิจโดยตรงกับลูกค้า เว้นแต่ CCPA อนุญาต และไม่รวมข้อมูลนั้นกับข้อมูลส่วนบุคคลที่ได้รับจากแหล่งอื่น เว้นแต่ CCPA อนุญาต Giftpack จะปฏิบัติตามหน้าที่ของผู้ให้บริการและผู้รับจ้างตาม CCPA ที่ใช้บังคับ และจะแจ้งลูกค้าหากเห็นว่าไม่อาจปฏิบัติตามหน้าที่เหล่านั้นได้อีก
ส่วนที่ 15
ข้อมูลที่ไม่สามารถระบุตัวบุคคลและข้อมูลรวม
Giftpack อาจประมวลผลข้อมูลที่ตัดตัวระบุ ข้อมูลรวม หรือข้อมูลนิรนาม เพื่อการวิเคราะห์ เปรียบเทียบมาตรฐาน ปรับปรุงผลิตภัณฑ์ ความเชื่อถือได้ของบริการ และการดำเนินธุรกิจ โดยข้อมูลนั้นต้องไม่ระบุลูกค้าหรือบุคคลใด และต้องจัดการตามกฎหมายที่ใช้บังคับ
ส่วนที่ 16
ลำดับการบังคับใช้ข้อกำหนด
หาก DPA นี้ขัดแย้งกับข้อตกลง ให้ DPA นี้มีผลเหนือกว่าในเรื่องการประมวลผลข้อมูลส่วนบุคคลของลูกค้า หากจำเป็นต้องใช้ SCCs และ SCCs ขัดแย้งกับ DPA นี้ ให้ SCCs มีผลเหนือกว่าเท่าที่กฎหมายกำหนด
ภาคผนวก A
รายละเอียดการประมวลผลข้อมูล
| หัวข้อ | รายละเอียด |
|---|---|
| เรื่อง | การให้บริการแพลตฟอร์ม การให้ของขวัญ รางวัล จัดหา จัดการแคมเปญ สร้างการมีส่วนร่วมของผู้รับ ประสานการจัดส่ง จัดสรรเงินบริจาค/ผลกระทบ รายงาน สนับสนุน และบริการที่เกี่ยวข้องของ Giftpack |
| ระยะเวลา | ตลอดอายุข้อตกลงและตามที่จำเป็นสำหรับการเก็บรักษา ลบ ปฏิบัติตามกฎหมาย ระงับข้อพิพาท และสำรองข้อมูล |
| ลักษณะและวัตถุประสงค์ | โฮสต์ จัดเก็บ จัดระเบียบ ส่ง แสดง วิเคราะห์ รักษาความปลอดภัย สนับสนุน ดำเนินคำสั่งซื้อ จัดส่ง สื่อสาร รายงาน แก้ไขปัญหา และประมวลผลข้อมูลส่วนบุคคลของลูกค้าในลักษณะอื่นเพื่อให้บริการ |
| เจ้าของข้อมูล | ผู้ดูแลระบบของลูกค้า ผู้ใช้ที่ได้รับอนุญาต พนักงาน ผู้รับ ผู้ใช้ปลายทาง ผู้ซื้อ ผู้บริจาค ผู้ติดต่อของผู้จัดหา ผู้ติดต่อของผู้รับประโยชน์ และบุคคลอื่นที่มีการส่งข้อมูลให้ Giftpack |
| ประเภทข้อมูลส่วนบุคคล | ชื่อ ข้อมูลติดต่อทางธุรกิจ ข้อมูลติดต่อส่วนบุคคลที่ให้มา ที่อยู่จัดส่ง อีเมล หมายเลขโทรศัพท์ บริษัท ตำแหน่งงาน ข้อมูลรับรองบัญชี ข้อมูลแคมเปญ ความชอบด้านของขวัญ ข้อความ กิจกรรมการแลกรับ รายละเอียดคำสั่งซื้อ เมทาดาทาการชำระเงิน สถานะการจัดส่ง การสื่อสารกับฝ่ายสนับสนุน ข้อมูลอุปกรณ์/บันทึกเหตุการณ์ และข้อมูลอื่นที่ส่งผ่านบริการ |
| ข้อมูลอ่อนไหว | Giftpack ไม่กำหนดให้ลูกค้าส่งข้อมูลส่วนบุคคลอ่อนไหว เว้นแต่รองรับอย่างชัดแจ้งและอนุมัติเป็นลายลักษณ์อักษร ลูกค้าต้องไม่ส่งข้อมูลอ่อนไหว เว้นแต่ได้รับอนุญาตตามข้อตกลงและกฎหมายที่ใช้บังคับ |
| หน้าที่ของลูกค้า | ลูกค้ารับผิดชอบฐานทางกฎหมาย การแจ้งข้อมูล การอนุญาต ความถูกต้องของข้อมูล คุณสมบัติการเข้าร่วมแคมเปญ และคำสั่ง |
| การเชื่อมต่อกับแอปพลิเคชัน AI และ MCP | การดึงข้อมูลและส่งข้อมูลส่วนบุคคลของลูกค้าที่เกี่ยวข้องตามที่ได้รับอนุญาต สำหรับการสืบค้นและการรายงานที่รองรับ ภายในบัญชี พื้นที่ทำงาน และสิทธิ์การเข้าถึงของผู้ใช้ที่เชื่อมต่อ และภายใต้คำสั่งการประมวลผลที่มีผลใช้บังคับ |
ภาคผนวก B
มาตรการทางเทคนิคและองค์กร
Giftpack มีมาตรการเพื่อปกป้องข้อมูลส่วนบุคคลของลูกค้า รวมถึงการควบคุมโครงสร้างพื้นฐานคลาวด์ การเข้ารหัสระหว่างส่งและขณะจัดเก็บ การควบคุมการเข้าถึงตามบทบาท การให้สิทธิ์เท่าที่จำเป็น หน้าที่รักษาความลับภายใน ความตระหนักด้านความปลอดภัย การบันทึกและเฝ้าระวังเหตุการณ์ การสแกนช่องโหว่และทดสอบเป็นระยะ กระบวนการตอบสนองต่อเหตุการณ์ การสำรองและกู้คืนระบบจากภัยพิบัติ การจัดการการเปลี่ยนแปลง การตรวจสอบผู้ขายและผู้ประมวลผลข้อมูลช่วง ตลอดจนมาตรการป้องกันทางกายภาพ การบริหาร และเทคนิคที่เหมาะสมกับลักษณะบริการ หน้าความปลอดภัยสาธารณะของ Giftpack ให้ภาพรวมระดับสูงและอาจปรับปรุงเป็นระยะ