สรุปข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (DPA)
1. บทบาทของคู่สัญญา
- ลูกค้าเป็นผู้ควบคุมข้อมูลส่วนบุคคล สำหรับข้อมูลส่วนบุคคลในข้อมูลของลูกค้า เช่น ข้อมูลของผู้ซื้อ ผู้รับสินค้า ครีเอเตอร์ (KOL) ผู้จำหน่าย ผู้ติดต่อ และพนักงานของลูกค้าเอง ลูกค้าเป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลดังกล่าว
- เวลลิออนเป็นผู้ประมวลผลข้อมูลส่วนบุคคล สำหรับข้อมูลดังกล่าว เราประมวลผลข้อมูลเพื่อให้บริการแก่ลูกค้าและตามคำสั่งของลูกค้าเท่านั้น ตามมาตรา 40 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล
- สำหรับข้อมูลบัญชีผู้ใช้ของบุคคลที่ใช้ SellerTiger เวลลิออนเป็นผู้ควบคุมข้อมูลส่วนบุคคล ตามที่ระบุในนโยบายความเป็นส่วนตัว
2. รายละเอียดการประมวลผล
| หัวข้อ | รายละเอียด |
|---|---|
| เรื่องที่ประมวลผล | การให้บริการแพลตฟอร์มบริหารงานอีคอมเมิร์ซ SellerTiger |
| ระยะเวลา | ตลอดอายุการสมัครใช้บริการของลูกค้า รวมกับระยะเวลาการลบข้อมูลตามข้อ 8 |
| ลักษณะและวัตถุประสงค์ | การจัดเก็บและโฮสต์ข้อมูล การนำเข้าและซิงก์คำสั่งซื้อ สินค้า สต็อก ราคา และแชตจากแพลตฟอร์มที่ลูกค้าเชื่อมต่อ การจัดการ พิมพ์ และจัดส่งคำสั่งซื้อ กล่องข้อความลูกค้า งาน ปฏิทิน และการทำงานร่วมกัน รายงาน ฟีเจอร์ AI ที่ผู้ใช้ของลูกค้าเรียกใช้ และการให้การสนับสนุน |
| เจ้าของข้อมูล | ผู้ซื้อและผู้รับสินค้าของลูกค้า สมาชิกและพนักงานของลูกค้า ครีเอเตอร์และอินฟลูเอนเซอร์ ผู้จำหน่ายและผู้ติดต่อทางธุรกิจ |
| ประเภทข้อมูลส่วนบุคคล | ชื่อ ชื่อผู้ใช้บนแพลตฟอร์ม หมายเลขโทรศัพท์ อีเมล ที่อยู่จัดส่งและที่อยู่ออกใบกำกับภาษี รายละเอียดคำสั่งซื้อและสถานะการชำระเงิน ข้อความแชตและไฟล์แนบ บันทึก รายละเอียดสัญญาและค่าคอมมิชชันของครีเอเตอร์ |
| ข้อมูลที่มีความอ่อนไหว | ไม่คาดว่าจะมี ลูกค้าไม่ควรนำเข้าข้อมูลดังกล่าว เว้นแต่จำเป็นอย่างยิ่งและชอบด้วยกฎหมาย |
3. หน้าที่ของเราในฐานะผู้ประมวลผลข้อมูล
- คำสั่ง: เราประมวลผลข้อมูลของลูกค้าตามคำสั่งที่เป็นลายลักษณ์อักษรของลูกค้าเท่านั้น ได้แก่ ข้อกำหนดการให้บริการ เอกสารนี้ และการใช้งานและการตั้งค่าบริการของลูกค้า เราจะแจ้งลูกค้าหากเห็นว่าคำสั่งใดขัดต่อ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล
- การรักษาความลับ: บุคคลที่เราอนุญาตให้ประมวลผลข้อมูลของลูกค้ามีหน้าที่รักษาความลับ และเข้าถึงข้อมูลเฉพาะเมื่อจำเป็น (เช่น เพื่อให้การสนับสนุนตามที่ลูกค้าร้องขอ หรือเพื่อรักษาความปลอดภัยของบริการ)
- ความมั่นคงปลอดภัย: เรามีมาตรการทางเทคนิคและการบริหารจัดการที่เหมาะสม รวมถึงการเข้ารหัสระหว่างการรับส่ง การแฮชรหัสผ่าน การเข้ารหัสข้อมูลรับรองและคีย์ API ที่จัดเก็บ การแยกข้อมูลระหว่างพื้นที่ทำงาน การควบคุมสิทธิ์ตามบทบาท บันทึกการตรวจสอบ และการสำรองข้อมูล
- ผู้ประมวลผลข้อมูลช่วง: เราใช้เฉพาะผู้ประมวลผลข้อมูลช่วงตามข้อ 4 ภายใต้ข้อตกลงเป็นลายลักษณ์อักษรที่ให้การคุ้มครองไม่น้อยกว่าเอกสารนี้ เราจะแจ้งผู้ก่อตั้งล่วงหน้าไม่น้อยกว่า 14 วันก่อนเพิ่มหรือเปลี่ยนผู้ประมวลผลข้อมูลช่วง ลูกค้าสามารถคัดค้านด้วยเหตุผลอันสมควรด้านการคุ้มครองข้อมูล และหากเราไม่สามารถแก้ไขข้อคัดค้านได้ ลูกค้าสามารถเลิกใช้บริการส่วนที่ได้รับผลกระทบ พร้อมรับเงินค่าบริการที่ชำระล่วงหน้าคืนตามสัดส่วน
- การให้ความช่วยเหลือ: เราช่วยลูกค้าผ่านฟีเจอร์ของบริการ (ค้นหา ส่งออก แก้ไข และลบ) และผ่านฝ่ายสนับสนุน ในการตอบคำขอของเจ้าของข้อมูล และในการปฏิบัติหน้าที่ด้านความมั่นคงปลอดภัย การแจ้งเหตุละเมิด และการประเมินผลกระทบ
- การแจ้งเหตุละเมิด: เราจะแจ้งลูกค้าโดยไม่ชักช้า และภายใน 48 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ เมื่อเกิดการละเมิดข้อมูลส่วนบุคคลที่กระทบต่อข้อมูลของลูกค้า พร้อมข้อมูลเท่าที่มี เพื่อให้ลูกค้าแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ภายใน 72 ชั่วโมงในกรณีที่ต้องแจ้ง
- การบันทึกรายการ: เราจัดทำบันทึกรายการกิจกรรมการประมวลผลตามที่กฎหมายกำหนดสำหรับผู้ประมวลผลข้อมูล
- การตรวจสอบ: เราจะให้ข้อมูลที่จำเป็นเพื่อแสดงว่าเราปฏิบัติตามเอกสารนี้ ลูกค้าที่ใช้แพ็กเกจแบบชำระเงินสามารถขอตรวจสอบได้ปีละหนึ่งครั้ง โดยแจ้งเป็นหนังสือล่วงหน้า 30 วัน ด้วยค่าใช้จ่ายของลูกค้า และต้องดำเนินการในลักษณะที่คุ้มครองข้อมูลของลูกค้ารายอื่นและความปลอดภัยของระบบเรา
4. ผู้ประมวลผลข้อมูลช่วง
| ผู้ประมวลผลข้อมูลช่วง | วัตถุประสงค์ | สถานที่ |
|---|---|---|
| ผู้ให้บริการคลาวด์ ([HOSTING — รอกรอกข้อมูล]) | เซิร์ฟเวอร์ ฐานข้อมูล และพื้นที่จัดเก็บไฟล์ | [HOSTING — รอกรอกข้อมูล] |
| Anthropic, OpenAI, Google (Gemini), DeepSeek | ฟีเจอร์ AI เฉพาะเมื่อผู้ใช้เรียกใช้ ผู้ก่อตั้งสามารถเลือกผู้ให้บริการได้ในกรณีที่บริการเปิดให้เลือก | สหรัฐอเมริกา / ทั่วโลก, DeepSeek: จีน |
| Tavily | การค้นหาเว็บสำหรับฟีเจอร์ AI ที่ค้นข้อมูลสาธารณะ | สหรัฐอเมริกา |
| ผู้ให้บริการส่งอีเมล | ส่งอีเมลของระบบ (คำเชิญ การรีเซ็ตรหัสผ่าน การแจ้งเตือน) | ตามผู้ให้บริการ |
แพลตฟอร์มที่ลูกค้าเชื่อมต่อ (เช่น Shopee, Lazada, TikTok Shop, LINE, Google, Lark, BigSeller, PEAK) ไม่ใช่ผู้ประมวลผลข้อมูลช่วงของเรา การแลกเปลี่ยนข้อมูลกับแพลตฟอร์มเหล่านั้นเป็นไปตามคำสั่งของลูกค้าและภายใต้ข้อตกลงระหว่างลูกค้ากับแพลตฟอร์มนั้นเอง
5. หน้าที่ของลูกค้า
ลูกค้ามีหน้าที่ ต้องมีฐานทางกฎหมายสำหรับข้อมูลส่วนบุคคลที่นำเข้าสู่บริการ แจ้งการคุ้มครองข้อมูลส่วนบุคคลแก่ผู้ซื้อและเจ้าของข้อมูลอื่น ดูแลให้คำสั่งของตนชอบด้วยกฎหมาย จัดการสิทธิ์การเข้าถึงพื้นที่ทำงาน เก็บรักษาข้อมูลรับรองของบัญชีแพลตฟอร์มที่เชื่อมต่อให้ปลอดภัย และจัดการคำขอจากเจ้าของข้อมูลของตน (โดยเราให้ความช่วยเหลือ)
6. การส่งหรือโอนข้อมูลไปต่างประเทศ
ในกรณีที่ข้อมูลของลูกค้าถูกส่งหรือโอนไปนอกประเทศไทย (เช่น ไปยังผู้ให้บริการ AI หรือภูมิภาคของผู้ให้บริการคลาวด์) เราอาศัยหลักเกณฑ์ตามมาตรา 28 และมาตรา 29 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล เช่น ประเทศปลายทางมีมาตรฐานเพียงพอ มีมาตรการคุ้มครองตามสัญญาที่เหมาะสมกับผู้รับข้อมูล หรือเป็นการจำเป็นเพื่อปฏิบัติตามสัญญากับลูกค้า
7. คำขอจากหน่วยงานของรัฐ
หากหน่วยงานของรัฐขอข้อมูลของลูกค้าจากเรา เราจะแนะนำให้หน่วยงานนั้นติดต่อลูกค้าโดยตรงหากทำได้ และจะแจ้งลูกค้าก่อนเปิดเผย เว้นแต่กฎหมายห้าม เราจะเปิดเผยเฉพาะเท่าที่กฎหมายบังคับเท่านั้น
8. การส่งคืนและการลบข้อมูล
ระหว่างการสมัครใช้บริการแบบชำระเงิน ผู้ก่อตั้งสามารถส่งออกข้อมูลของลูกค้าได้ทุกเมื่อ เมื่อพื้นที่ทำงานถูกลบหรือการสมัครใช้บริการสิ้นสุดลง พื้นที่ทำงานจะกู้คืนได้ภายใน 30 วัน หลังจากนั้นเราจะลบข้อมูลของลูกค้าออกจากระบบที่ใช้งาน และข้อมูลสำรองจะถูกเขียนทับภายในอีก 35 วัน เว้นแต่กฎหมายไทยกำหนดให้ต้องเก็บรักษาข้อมูลบางส่วน
9. ความรับผิด
ความรับผิดของแต่ละฝ่ายตามเอกสารนี้อยู่ภายใต้ข้อจำกัดความรับผิดในข้อกำหนดการให้บริการ เว้นแต่ในกรณีที่กฎหมายไม่อนุญาตให้จำกัดความรับผิด