ข้อตกลงการประมวลผลข้อมูล

ขอบเขตและบทบาท

สำหรับข้อมูลส่วนบุคคลของลูกค้าที่ส่งผ่าน API เครื่องมือประมวลผลไฟล์ หรือฟังก์ชันสเปรดชีตที่เชื่อมต่อ ลูกค้าเป็นผู้ควบคุมข้อมูลส่วนบุคคล และ Onur Öztürk ผู้ประกอบกิจการเจ้าของคนเดียว (ชื่อทางการค้า: Ozan Soft) ("GenderAPI") เป็นผู้ประมวลผลข้อมูลส่วนบุคคล คู่สัญญาแต่ละฝ่ายยังคงรับผิดชอบโดยอิสระต่อข้อมูลส่วนบุคคลที่ตนประมวลผลในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ซึ่งรวมถึงการบริหารจัดการบัญชี การเรียกเก็บเงิน และข้อมูลติดต่อทางธุรกิจโดย GenderAPI

ลูกค้าเป็นผู้พิจารณาว่าข้อมูลที่ส่งเป็นข้อมูลส่วนบุคคลหรือไม่ และรับผิดชอบต่อฐานทางกฎหมาย การแจ้งให้ทราบ การอนุญาต และคำสั่งที่เกี่ยวข้อง ลูกค้าต้องไม่ส่งข้อมูลที่บริการไม่ได้ออกแบบมาเพื่อประมวลผล หรือใช้ผลการอนุมานเป็นฐานเพียงอย่างเดียวในการตัดสินใจที่ก่อให้เกิดผลทางกฎหมายหรือผลกระทบในทำนองเดียวกันอย่างมีนัยสำคัญต่อบุคคล

คำสั่งในการประมวลผล

GenderAPI จะประมวลผลข้อมูลส่วนบุคคลของลูกค้าเพื่อให้บริการ รักษาความปลอดภัย และสนับสนุนบริการเท่านั้น ตามข้อตกลง DPA นี้ การใช้บริการของลูกค้าตามที่มีการบันทึกไว้ และกฎหมายที่ใช้บังคับ GenderAPI จะแจ้งให้ลูกค้าทราบหากเห็นโดยสมเหตุสมผลว่าคำสั่งใดละเมิดกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ เว้นแต่กฎหมายห้ามการแจ้งดังกล่าว

GenderAPI จะไม่ขายข้อมูลส่วนบุคคลของลูกค้า ไม่ใช้ข้อมูลดังกล่าวเพื่อการโฆษณาตามพฤติกรรมข้ามบริบท ไม่ใช้ข้อมูลดังกล่าวเพื่อฝึกโมเดลการอนุมานส่วนตัว และไม่เก็บรักษาข้อมูลดังกล่าวไว้ในบันทึกของ AI กฎเกณฑ์การเก็บรักษาข้อมูลในนโยบายความเป็นส่วนตัวเป็นส่วนหนึ่งของคำสั่งในการประมวลผลที่มีการบันทึกไว้นี้

การรักษาความลับและความปลอดภัย

GenderAPI จะดูแลให้บุคคลที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้าอยู่ภายใต้หน้าที่รักษาความลับที่เหมาะสม และเข้าถึงข้อมูลได้เฉพาะเท่าที่จำเป็นสำหรับงานที่ได้รับมอบหมาย GenderAPI จะคงไว้ซึ่งมาตรการทางเทคนิคและเชิงองค์กรที่เหมาะสมกับลักษณะของบริการและความเสี่ยงจากการประมวลผล

• การรับส่งข้อมูลที่แลกเปลี่ยนกับบริการโดยมีการป้องกันด้วย TLS
• การจำกัดการเข้าถึงระบบใช้งานจริง ข้อมูลลูกค้า และข้อมูลสำรองที่จำกัดการเข้าถึง
• การแยกเก็บและการปกป้องข้อมูลรับรองสำหรับเข้าสู่บัญชีและคีย์ API สำหรับการใช้งานจริง
• การบันทึกเหตุการณ์ด้านความปลอดภัยและบันทึกทางเทคนิคตามกำหนดระยะเวลาการเก็บรักษาที่เผยแพร่ไว้
• การสำรองข้อมูลแบบหมุนเวียนซึ่งมีรอบการเขียนทับมาตรฐานไม่เกิน 15 วัน
• การประมวลผล AI ส่วนตัวโดยไม่นำข้อมูลลูกค้าไปฝึกโมเดล และไม่บันทึกพรอมต์หรือผลลัพธ์ของ AI
• ขั้นตอนการลดปริมาณข้อมูลให้น้อยที่สุดและการลบข้อมูลที่สอดคล้องกับกำหนดระยะเวลาการเก็บรักษาของบริการ

ผู้ประมวลผลข้อมูลช่วง

ลูกค้าให้การอนุญาตเป็นลายลักษณ์อักษรแบบทั่วไปแก่ GenderAPI ในการใช้ผู้ให้บริการที่ระบุเป็นผู้ประมวลผลข้อมูลช่วงตาม DPA ในหน้าผู้ประมวลผลข้อมูลช่วง GenderAPI จะกำหนดให้ผู้ประมวลผลข้อมูลช่วงแต่ละรายดังกล่าวปกป้องข้อมูลส่วนบุคคลของลูกค้าภายใต้หน้าที่ที่สอดคล้องกับ DPA นี้ในสาระสำคัญ เท่าที่ใช้บังคับกับบริการที่ผู้ประมวลผลข้อมูลช่วงนั้นดำเนินการ GenderAPI ยังคงรับผิดชอบต่อหน้าที่ของตนตาม DPA นี้ ผู้ให้บริการที่ใช้เฉพาะสำหรับกิจกรรมของ GenderAPI ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล เช่น การเรียกเก็บเงินหรือการติดต่อสื่อสารเกี่ยวกับบัญชี จะระบุแยกไว้ต่างหาก และไม่ถือเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของลูกค้าเพียงเพราะปรากฏอยู่ในทะเบียนผู้ให้บริการ

GenderAPI จะแจ้งล่วงหน้าอย่างน้อย 30 วันผ่านหน้าผู้ประมวลผลข้อมูลช่วง บริการ หรืออีเมลบัญชีของลูกค้า ก่อนเพิ่มหรือเปลี่ยนผู้ประมวลผลข้อมูลช่วงที่จะประมวลผลข้อมูลส่วนบุคคลของลูกค้า ลูกค้าอาจยื่นคำคัดค้านด้วยเหตุผลด้านการคุ้มครองข้อมูลที่สมเหตุสมผลและมีเอกสารประกอบภายในระยะเวลาดังกล่าว คู่สัญญาจะร่วมกันหาทางแก้ไขที่สมเหตุสมผลในเชิงพาณิชย์โดยสุจริต หากไม่มีทางแก้ไขดังกล่าว ลูกค้าอาจหยุดใช้ฟีเจอร์ที่ได้รับผลกระทบ

การให้ความช่วยเหลือและเหตุการณ์เกี่ยวกับข้อมูลส่วนบุคคล

โดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่ GenderAPI มีอยู่ GenderAPI จะให้ความช่วยเหลือตามสมควรเกี่ยวกับคำขอของเจ้าของข้อมูลส่วนบุคคล หน้าที่ด้านความปลอดภัย การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล การประเมินผลกระทบด้านการคุ้มครองข้อมูล และการปรึกษาหารือที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนด หากเจ้าของข้อมูลส่วนบุคคลติดต่อ GenderAPI เกี่ยวกับข้อมูลส่วนบุคคลของลูกค้า GenderAPI อาจส่งต่อคำขอนั้นไปยังลูกค้า เว้นแต่กฎหมายที่ใช้บังคับกำหนดให้ต้องตอบโดยตรง

GenderAPI จะแจ้งให้ลูกค้าทราบโดยไม่ชักช้าเกินสมควร และภายใน 48 ชั่วโมงในกรณีที่สามารถทำได้ตามสมควร หลังจากทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่ได้รับการยืนยันซึ่งกระทบต่อข้อมูลส่วนบุคคลของลูกค้า การแจ้งดังกล่าวจะให้ข้อมูลที่มีอยู่ซึ่งจำเป็นตามสมควรสำหรับการประเมินและการปฏิบัติตามหน้าที่ในการแจ้งของลูกค้า การแจ้งไม่ถือเป็นการยอมรับความผิดหรือความรับผิด

การส่งคืนและการลบข้อมูล

ในระหว่างระยะเวลาการให้บริการ ลูกค้าอาจเรียกดูผลลัพธ์ที่มีอยู่ผ่านฟังก์ชันของบริการที่รองรับ เมื่อมีการปิดบัญชี การสิ้นสุดการประมวลผลที่เกี่ยวข้อง หรือคำขอลบข้อมูลที่ถูกต้อง GenderAPI จะลบหรือทำให้ข้อมูลส่วนบุคคลของลูกค้าที่ยังคงอยู่ในระบบที่ใช้งานอยู่เป็นข้อมูลนิรนามอย่างไม่อาจย้อนกลับได้ภายใน 30 วัน เว้นแต่กฎหมายที่ใช้บังคับกำหนดให้ต้องเก็บรักษาไว้ ข้อมูลที่นำออกจากระบบที่ใช้งานอยู่แล้วอาจยังคงอยู่ในข้อมูลสำรองแบบหมุนเวียนที่จำกัดการเข้าถึงต่อไปอีกไม่เกิน 15 วันก่อนถูกเขียนทับโดยอัตโนมัติ

การเก็บรักษาบันทึกเกี่ยวกับการเรียกเก็บเงิน ธุรกรรม การป้องกันการฉ้อโกง หรือข้อพิพาทตามกฎหมาย ไม่ได้ให้อำนาจในการใช้เนื้อหาคำขอหรือเนื้อหาไฟล์ที่อัปโหลดของลูกค้าต่อไป กำหนดระยะเวลาการเก็บรักษาแยกตามประเภทข้อมูลในนโยบายความเป็นส่วนตัว ยังคงใช้บังคับในกรณีที่กำหนดระยะเวลาที่สั้นกว่า

การให้ข้อมูลและการตรวจสอบ

GenderAPI จะจัดให้ลูกค้าได้รับข้อมูลที่จำเป็นตามสมควรเพื่อแสดงการปฏิบัติตาม DPA นี้ โดยในเบื้องต้นผ่านนโยบาย เอกสารประกอบฉบับปัจจุบัน และแบบสอบถามด้านความปลอดภัยตามสมควร หากข้อมูลดังกล่าวไม่เพียงพอสำหรับหน้าที่ตามกฎหมาย ลูกค้าอาจขอให้มีการตรวจสอบที่ได้สัดส่วนได้ไม่เกินปีละหนึ่งครั้ง เว้นแต่ภายหลังเหตุการละเมิดที่ได้รับการยืนยันหรือเมื่อมีคำขอที่มีผลผูกพันจากหน่วยงานกำกับดูแล

การตรวจสอบต้องดำเนินการโดยแจ้งล่วงหน้าตามสมควร ในเวลาทำการปกติ และต้องไม่เปิดเผยข้อมูลของลูกค้ารายอื่นหรือกระทบต่อความปลอดภัย ลูกค้าเป็นผู้รับผิดชอบค่าใช้จ่ายในการตรวจสอบของตน เว้นแต่การตรวจสอบพบการละเมิดที่เป็นสาระสำคัญโดย GenderAPI คู่สัญญาจะตกลงกันก่อนเกี่ยวกับข้อกำหนดด้านการรักษาความลับและขอบเขตที่เหมาะสม

การโอนข้อมูลระหว่างประเทศ

ข้อมูลส่วนบุคคลของลูกค้าอาจได้รับการประมวลผลในประเทศตุรกี และในสหรัฐอเมริกาผ่านโครงสร้างพื้นฐานที่ทำสัญญาไว้ GenderAPI จะใช้กลไกการโอนข้อมูลที่ได้รับการยอมรับตามกฎหมายในกรณีที่ใช้บังคับ หากจำเป็นต้องใช้ข้อสัญญามาตรฐาน (Standard Contractual Clauses หรือ SCC) ของสหภาพยุโรปที่รับรองโดยคำวินิจฉัยในการดำเนินการของคณะกรรมาธิการยุโรป (Commission Implementing Decision (EU) 2021/914) ให้โมดูลผู้ควบคุมข้อมูลส่วนบุคคลถึงผู้ประมวลผลข้อมูลส่วนบุคคลที่ใช้บังคับถูกรวมเข้าเป็นส่วนหนึ่งของ DPA นี้ และมีผลเหนือกว่าข้อกำหนดที่ขัดแย้งกันสำหรับการโอนนั้น คู่สัญญาจะดำเนินการเลือกตัวเลือกหรือกรอกรายละเอียดในภาคผนวกที่กฎหมายกำหนดสำหรับการโอนเฉพาะของตนให้ครบถ้วนเมื่อทำ DPA

รายละเอียดการประมวลผล

สาระของการประมวลผลและระยะเวลา

การประมวลผลที่จำเป็นเพื่อให้บริการ GenderAPI ในระหว่างที่ลูกค้าใช้บริการ และในช่วงระยะเวลาอันจำกัดสำหรับการลบข้อมูล การสำรองข้อมูล ความปลอดภัย และการเก็บรักษาตามกฎหมายตามที่อธิบายไว้ใน DPA นี้และนโยบายความเป็นส่วนตัว

ลักษณะและวัตถุประสงค์ของการประมวลผล

การรับ การส่ง การวิเคราะห์ และการส่งคืนผลลัพธ์สำหรับคำขอ API ไฟล์ Excel หรือ CSV ที่อัปโหลด และการดำเนินการในสเปรดชีตที่เชื่อมต่อ รวมถึงการโฮสต์ ความปลอดภัย การแก้ไขปัญหา และการช่วยเหลือที่เกี่ยวข้อง

ประเภทของเจ้าของข้อมูลส่วนบุคคล

บุคคลที่ลูกค้าส่งชื่อ ที่อยู่อีเมล ชื่อผู้ใช้ หรือบันทึกที่เกี่ยวข้องของบุคคลนั้น ผู้ใช้ บุคลากร ผู้ติดต่อ หรือผู้ใช้ปลายทางของลูกค้า และบุคคลที่ปรากฏอยู่ในข้อมูลสเปรดชีตที่อัปโหลดหรือเชื่อมต่อ

ประเภทของข้อมูลส่วนบุคคล

ชื่อ ที่อยู่อีเมล ชื่อผู้ใช้ บริบทด้านประเทศหรือการปรับให้เข้ากับท้องถิ่น ฟิลด์สเปรดชีตที่ลูกค้าให้มา ผลการอนุมานเพศและข้อมูลค่าความเชื่อมั่น ตลอดจนเมทาดาทาในขอบเขตจำกัดเกี่ยวกับคำขอ อุปกรณ์ การยืนยันตัวตน และความปลอดภัยที่จำเป็นต่อการดำเนินการบริการ ลูกค้าต้องไม่ส่งข้อมูลส่วนบุคคลประเภทพิเศษ เว้นแต่ได้ตกลงกันไว้อย่างชัดแจ้งเป็นลายลักษณ์อักษรและกฎหมายอนุญาต