ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล

Data Processing Agreement (DPA)

สำหรับบริการแพลตฟอร์ม BACKOFFICE IQ by PowerAI

ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลฉบับนี้ (“ข้อตกลง”) ทำขึ้นเมื่อวันที่ [วันที่] ระหว่าง

[ชื่อบริษัทลูกค้า] ทะเบียนนิติบุคคลเลขที่ [เลขทะเบียน] สำนักงานตั้งอยู่เลขที่ [ที่อยู่ลูกค้า] ซึ่งต่อไปในข้อตกลงนี้เรียกว่า “ผู้ควบคุมข้อมูลส่วนบุคคล” หรือ “ลูกค้า” ฝ่ายหนึ่ง กับ

บริษัท ศาลาแดง จำกัด สำนักงานตั้งอยู่ ชั้น 6 อาคารคิวเฮ้าส์ เพลินจิต เลขที่ 598 ถนนเพลินจิต แขวงลุมพินี เขตปทุมวัน กรุงเทพมหานคร 10330 ในฐานะผู้พัฒนาและให้บริการแพลตฟอร์ม BACKOFFICE IQ by PowerAI ซึ่งต่อไปในข้อตกลงนี้เรียกว่า “ผู้ประมวลผลข้อมูลส่วนบุคคล” หรือ “ผู้ให้บริการ” อีกฝ่ายหนึ่ง

โดยที่ลูกค้าใช้บริการแพลตฟอร์ม BACKOFFICE IQ by PowerAI (“แพลตฟอร์ม”) ในการประมวลผลเอกสารทางบัญชีและภาษี ซึ่งอาจมีข้อมูลส่วนบุคคลของพนักงาน คู่ค้า ลูกค้า หรือบุคคลอื่นที่อยู่ในความรับผิดชอบของลูกค้า คู่สัญญาจึงตกลงทำข้อตกลงฉบับนี้ขึ้นเพื่อกำหนดสิทธิและหน้าที่ในการประมวลผลข้อมูลส่วนบุคคลให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“PDPA”) โดยข้อตกลงนี้ถือเป็นส่วนหนึ่งของสัญญาให้บริการหลักระหว่างคู่สัญญา

ข้อ 1 คำนิยาม

เว้นแต่จะกำหนดไว้เป็นอย่างอื่น คำที่ใช้ในข้อตกลงนี้ให้มีความหมายตามที่นิยามไว้ใน PDPA

• “ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม
• “ข้อมูลของลูกค้า” หมายถึง ข้อมูลและเอกสารทั้งหมดที่ลูกค้าหรือผู้ใช้งานในองค์กรของลูกค้าอัปโหลด นำเข้า หรือเชื่อมต่อเข้าสู่พื้นที่ทำงาน (workspace) ของลูกค้าบนแพลตฟอร์ม รวมถึงข้อมูลที่ระบบสกัดออกจากเอกสารดังกล่าว
• “การประมวลผล” หมายถึง การดำเนินการใด ๆ กับข้อมูลส่วนบุคคล เช่น เก็บรวบรวม บันทึก จัดเก็บ ปรับปรุง ใช้ เปิดเผย ส่งต่อ หรือลบ
• “ผู้ประมวลผลช่วง” (Sub-processor) หมายถึง บุคคลที่สามซึ่งผู้ให้บริการมอบหมายให้ประมวลผลข้อมูลของลูกค้าแทนหรือในนามของผู้ให้บริการ

ข้อ 2 บทบาทของคู่สัญญาและขอบเขตการประมวลผล

2.1 สำหรับข้อมูลของลูกค้า ลูกค้าเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” และผู้ให้บริการเป็น “ผู้ประมวลผลข้อมูลส่วนบุคคล” ตามมาตรา 6 แห่ง PDPA

2.2 รายละเอียดการประมวลผล ได้แก่ ลักษณะ วัตถุประสงค์ ประเภทข้อมูลส่วนบุคคล และประเภทเจ้าของข้อมูล เป็นไปตามที่ระบุใน ภาคผนวก 1

2.3 ลูกค้ารับรองว่าตนมีฐานทางกฎหมายที่ถูกต้องในการเก็บรวบรวมและส่งข้อมูลส่วนบุคคลเข้าสู่แพลตฟอร์ม รวมถึงได้แจ้งหรือได้รับความยินยอมจากเจ้าของข้อมูล (แล้วแต่กรณี) ตามที่ PDPA กำหนด

ข้อ 3 หน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล

ผู้ให้บริการตกลงดำเนินการตามมาตรา 40 แห่ง PDPA ดังนี้

3.1 ประมวลผลข้อมูลของลูกค้าเฉพาะตามคำสั่งที่ได้รับจากลูกค้าเท่านั้น ซึ่งรวมถึงคำสั่งที่ให้ผ่านการใช้งานฟังก์ชันของแพลตฟอร์มตามปกติ (เช่น การอัปโหลดเอกสาร การกดอนุมัติ การตั้งค่าการเชื่อมต่อ) เว้นแต่เป็นการปฏิบัติตามกฎหมาย

3.2 จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตาม ภาคผนวก 3 และตามมาตรฐานขั้นต่ำที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

3.3 จัดทำและเก็บรักษาบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Records of Processing) ตามที่กฎหมายกำหนด

3.4 ดูแลให้บุคลากรที่เข้าถึงข้อมูลของลูกค้ามีหน้าที่รักษาความลับ ทั้งระหว่างและภายหลังการจ้างงาน และเข้าถึงข้อมูลได้เท่าที่จำเป็นต่อการปฏิบัติหน้าที่ (need-to-know basis)

3.5 ไม่เปิดเผยหรือโอนข้อมูลของลูกค้าให้แก่บุคคลที่สาม เว้นแต่เป็นผู้ประมวลผลช่วงตามข้อ 5 เป็นไปตามคำสั่งของลูกค้า หรือเป็นการปฏิบัติตามกฎหมาย

ข้อ 4 ข้อจำกัดการใช้ข้อมูล และการพัฒนาโมเดล AI

4.1 ผู้ให้บริการจะไม่ใช้ข้อมูลของลูกค้าเพื่อวัตถุประสงค์อื่นนอกเหนือจากการให้บริการตามข้อตกลงนี้ และจะไม่นำข้อมูลของลูกค้าไปใช้ฝึกฝนหรือพัฒนาโมเดลปัญญาประดิษฐ์ (AI model training) เว้นแต่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากลูกค้าล่วงหน้า [ต้องยืนยันนโยบายจริงกับทีมพัฒนา — ทั้งของแพลตฟอร์มเองและเงื่อนไขของผู้ให้บริการ AI ภายนอกที่ใช้]

4.2 ผู้ให้บริการอาจใช้ข้อมูลเชิงสถิติที่ผ่านการทำให้ไม่สามารถระบุตัวบุคคลได้แล้ว (anonymized/aggregated data) เพื่อปรับปรุงคุณภาพบริการ โดยข้อมูลดังกล่าวไม่ถือเป็นข้อมูลส่วนบุคคลภายใต้ PDPA

ข้อ 5 ผู้ประมวลผลช่วง (Sub-processors)

5.1 ลูกค้าตกลงให้ผู้ให้บริการใช้ผู้ประมวลผลช่วงตามรายชื่อใน ภาคผนวก 2

5.2 ผู้ให้บริการจะจัดให้ผู้ประมวลผลช่วงมีข้อผูกพันด้านการคุ้มครองข้อมูลไม่ต่ำกว่าที่กำหนดในข้อตกลงนี้ และยังคงรับผิดต่อลูกค้าในการกระทำของผู้ประมวลผลช่วงเสมือนเป็นการกระทำของตนเอง

5.3 หากมีการเพิ่มหรือเปลี่ยนแปลงผู้ประมวลผลช่วง ผู้ให้บริการจะแจ้งให้ลูกค้าทราบล่วงหน้าไม่น้อยกว่า 30 วัน หากลูกค้ามีเหตุอันสมควร ลูกค้ามีสิทธิคัดค้านเป็นลายลักษณ์อักษร และคู่สัญญาจะหารือร่วมกันโดยสุจริต

ข้อ 6 การส่งหรือโอนข้อมูลไปต่างประเทศ

6.1 ลูกค้ารับทราบและตกลงว่าการให้บริการอาจมีการจัดเก็บหรือประมวลผลข้อมูลบนโครงสร้างพื้นฐานคลาวด์ที่ตั้งอยู่นอกประเทศไทย ได้แก่ [ระบุประเทศ/region ของ Firebase และผู้ให้บริการ AI — ต้องยืนยันกับทีมพัฒนา]

6.2 การส่งหรือโอนข้อมูลไปต่างประเทศ ผู้ให้บริการจะดำเนินการให้เป็นไปตามมาตรา 28 และมาตรา 29 แห่ง PDPA เช่น โอนไปยังประเทศปลายทางที่มีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ หรือจัดให้มีมาตรการคุ้มครองที่เหมาะสม

ข้อ 7 การให้ความช่วยเหลือแก่ผู้ควบคุมข้อมูลส่วนบุคคล

7.1 หากเจ้าของข้อมูลส่วนบุคคลใช้สิทธิตาม PDPA (เช่น ขอเข้าถึง แก้ไข ลบ หรือโอนย้ายข้อมูล) ต่อผู้ให้บริการโดยตรง ผู้ให้บริการจะส่งต่อคำขอนั้นให้ลูกค้าโดยไม่ชักช้า และจะไม่ตอบสนองคำขอเอง เว้นแต่ได้รับคำสั่งจากลูกค้า

7.2 ผู้ให้บริการจะให้ความช่วยเหลือตามสมควรแก่ลูกค้าในการปฏิบัติหน้าที่ตาม PDPA รวมถึงการตอบสนองการใช้สิทธิของเจ้าของข้อมูล และการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (DPIA) ทั้งนี้ แพลตฟอร์มมีเครื่องมือให้ลูกค้าเข้าถึง แก้ไข และลบข้อมูลในพื้นที่ทำงานของตนได้เองเป็นหลัก

ข้อ 8 การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

8.1 หากผู้ให้บริการทราบถึงเหตุการละเมิดข้อมูลส่วนบุคคลที่กระทบต่อข้อมูลของลูกค้า ผู้ให้บริการจะแจ้งให้ลูกค้าทราบโดยไม่ชักช้า และไม่เกิน 48 ชั่วโมง นับแต่ทราบเหตุ [กำหนดเวลาปรับได้ — ควรสั้นกว่า 72 ชม. เพื่อให้ลูกค้าแจ้ง สคส. ได้ทันตามมาตรา 37(4)]

8.2 การแจ้งจะระบุลักษณะของเหตุ ประเภทและจำนวนโดยประมาณของข้อมูล/เจ้าของข้อมูลที่ได้รับผลกระทบ ผลกระทบที่อาจเกิดขึ้น และมาตรการที่ได้ดำเนินการหรือเสนอให้ดำเนินการ เท่าที่ทราบในขณะนั้น

ข้อ 9 การตรวจสอบ

9.1 ผู้ให้บริการจะจัดเตรียมข้อมูลที่จำเป็นตามสมควรเพื่อแสดงการปฏิบัติตามข้อตกลงนี้เมื่อลูกค้าร้องขอ

9.2 ลูกค้าหรือผู้ตรวจสอบที่ลูกค้าแต่งตั้ง (ซึ่งไม่ใช่คู่แข่งทางการค้าของผู้ให้บริการ) มีสิทธิตรวจสอบการปฏิบัติตามข้อตกลงนี้ได้ปีละไม่เกิน 1 ครั้ง โดยแจ้งล่วงหน้าเป็นลายลักษณ์อักษรไม่น้อยกว่า 15 วันทำการ ในเวลาทำการปกติ และต้องไม่กระทบต่อความปลอดภัยของข้อมูลลูกค้ารายอื่นบนระบบ multi-tenant

ข้อ 10 การคืนหรือลบข้อมูลเมื่อสิ้นสุดบริการ

10.1 เมื่อสัญญาให้บริการหลักสิ้นสุดลง ลูกค้ามีสิทธิเลือกให้ผู้ให้บริการส่งคืนข้อมูลของลูกค้าในรูปแบบที่ใช้งานได้ทั่วไป และ/หรือลบข้อมูลของลูกค้าออกจากระบบ ภายใน 30 วันนับแต่วันที่ได้รับแจ้ง

10.2 ผู้ให้บริการอาจเก็บรักษาข้อมูลบางส่วนต่อไปเท่าที่กฎหมายกำหนด (เช่น ข้อมูลทางบัญชีและภาษีตามระยะเวลาที่กฎหมายที่เกี่ยวข้องบังคับ) โดยข้อมูลดังกล่าวยังอยู่ภายใต้ข้อผูกพันตามข้อตกลงนี้จนกว่าจะถูกลบ

ข้อ 11 ความรับผิด

11.1 ความรับผิดของคู่สัญญาภายใต้ข้อตกลงนี้ให้เป็นไปตามข้อจำกัดความรับผิดในสัญญาให้บริการหลัก [ถ้าสัญญาหลัก/Terms of Service ยังไม่มีข้อ Limitation of Liability ต้องเพิ่มก่อน]

11.2 ข้อจำกัดความรับผิดจะไม่ใช้บังคับกับความเสียหายที่เกิดจากการจงใจหรือประมาทเลินเล่ออย่างร้ายแรงของฝ่ายที่ก่อความเสียหาย

ข้อ 12 ระยะเวลา และกฎหมายที่ใช้บังคับ

12.1 ข้อตกลงนี้มีผลใช้บังคับตราบเท่าที่ผู้ให้บริการยังประมวลผลข้อมูลของลูกค้าภายใต้สัญญาให้บริการหลัก

12.2 ข้อตกลงนี้อยู่ภายใต้บังคับและตีความตามกฎหมายแห่งราชอาณาจักรไทย ศาลไทยเป็นศาลที่มีเขตอำนาจพิจารณาข้อพิพาท

12.3 หากข้อความใดในข้อตกลงนี้ขัดหรือแย้งกับสัญญาให้บริการหลักในประเด็นการคุ้มครองข้อมูลส่วนบุคคล ให้ถือตามข้อตกลงนี้

คู่สัญญาได้อ่านและเข้าใจข้อความในข้อตกลงนี้โดยตลอดแล้ว จึงลงลายมือชื่อไว้เป็นหลักฐาน

ภาคผนวก 1 — รายละเอียดการประมวลผลข้อมูลส่วนบุคคล

เรื่องที่ประมวลผล: การให้บริการแพลตฟอร์มงานบัญชีหลังบ้านด้วย AI (BACKOFFICE IQ by PowerAI) ครอบคลุมโมดูล AP-Automate, AR-Automate, Bank Transaction, Bank Reconcile, EDMS, การดึงเอกสารจากกรมสรรพากร (RD) และสำนักงานประกันสังคม (SSO) รวมถึงการเชื่อมต่อระบบ POS

ลักษณะการประมวลผล: รับอัปโหลดเอกสาร → จัดประเภทเอกสารอัตโนมัติ → แปลงเป็นภาพ → อ่านและสกัดข้อมูลด้วย OCR/AI → จับคู่ลูกค้า/ผู้ขายจากข้อมูลหลัก → ให้เจ้าหน้าที่ของลูกค้าตรวจสอบและอนุมัติ → ส่งข้อมูลเข้าระบบบัญชีปลายทาง (Express/ERP) → จัดเก็บเอกสารอัตโนมัติใน EDMS

วัตถุประสงค์: เพื่อประมวลผลเอกสารทางบัญชีและภาษี จัดเก็บเอกสาร และนำส่งข้อมูลเข้าระบบบัญชี ตามคำสั่งของลูกค้าเท่านั้น

ประเภทข้อมูลส่วนบุคคล: ชื่อ-นามสกุล, เลขประจำตัวผู้เสียภาษี/เลขบัตรประชาชน, ที่อยู่, ข้อมูลติดต่อ, ข้อมูลบัญชีธนาคารและรายการเดินบัญชี, ข้อมูลรายได้/ค่าจ้างและภาษีหัก ณ ที่จ่าย (ภ.ง.ด.1/3/53), ข้อมูลผู้ประกันตน (สปส.1-10) ตามที่ปรากฏในเอกสารที่ลูกค้าอัปโหลด

ประเภทเจ้าของข้อมูล: พนักงานและบุคลากรของลูกค้า, พนักงานของบริษัทที่เป็นลูกค้าของสำนักงานบัญชี, คู่ค้า/ผู้ขาย/ลูกค้าซึ่งเป็นบุคคลธรรมดา, กรรมการและผู้มีอำนาจลงนาม

ข้อมูลอ่อนไหว: โดยหลักแพลตฟอร์มไม่มีวัตถุประสงค์ในการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 ลูกค้ามีหน้าที่ไม่อัปโหลดข้อมูลอ่อนไหวเว้นแต่จำเป็นและมีฐานทางกฎหมายรองรับ

ระยะเวลาการประมวลผล: ตลอดอายุสัญญาให้บริการหลัก และตามข้อ 10 ของข้อตกลงนี้

ภาคผนวก 2 — รายชื่อผู้ประมวลผลช่วง (Sub-processors)

ภาคผนวก 3 — มาตรการรักษาความมั่นคงปลอดภัย (Technical & Organisational Measures)

• การเข้ารหัสข้อมูลขณะส่งผ่านเครือข่าย (encryption in transit) และข้อมูลรับรองระบบภายนอกจัดเก็บแบบเข้ารหัส
• การควบคุมการเข้าถึงตามบทบาท (Role-Based Access Control) — สิทธิ์ระดับ OWNER / ADMIN / สมาชิก ต่อพื้นที่ทำงาน
• การแยกข้อมูลระหว่างพื้นที่ทำงานของลูกค้าแต่ละราย (tenant isolation) บนระบบ multi-tenant
• การยืนยันตัวตนผู้ใช้งานผ่านระบบยืนยันตัวตนมาตรฐาน (Firebase Authentication)
• [ต้องยืนยันเพิ่มกับทีมพัฒนา: encryption at rest, การสำรองข้อมูล (backup/DR), access log/audit log, การทดสอบความปลอดภัย, นโยบายรหัสผ่าน/2FA]

— จบร่างเอกสาร —