ข้อตกลงประมวลผลข้อมูล (DPA) KetBill

คู่สัญญา

"ผู้ควบคุมข้อมูล" คือ ร้านค้า/ผู้ใช้บริการ · "ผู้ประมวลผลข้อมูล" คือ บริษัท โทมาโต้ ไอเดียส์ จำกัด (KetBill) ข้อตกลงนี้ใช้บังคับกับข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลนำเข้าหรือให้ประมวลผลผ่านระบบ

1. ขอบเขตและรายละเอียดการประมวลผล

วัตถุประสงค์	ให้บริการออก แปลง จัดเก็บ พิมพ์ และค้นหาเอกสารทางการค้าตามคำสั่งของผู้ควบคุมข้อมูล
ประเภทข้อมูล	ชื่อ ที่อยู่ เลขผู้เสียภาษี ข้อมูลติดต่อของลูกค้าร้านค้า รายการสินค้า/บริการ มูลค่าและภาษี
เจ้าของข้อมูล	ลูกค้าและคู่ค้าของร้านค้า ผู้ติดต่อในเอกสาร
ระยะเวลา	ตลอดอายุสัญญาบริการ และระยะเวลาการเก็บรักษาตามกฎหมาย

2. หน้าที่ของผู้ประมวลผลข้อมูล

ประมวลผลข้อมูล เฉพาะตามคำสั่งที่บันทึกไว้ของผู้ควบคุมข้อมูล (รวมถึงคำสั่งผ่านการใช้งานระบบและการตั้งค่าสิทธิ์ API/MCP) และตามที่กฎหมายกำหนด
รักษาความลับ กำหนดให้บุคลากรที่เกี่ยวข้องผูกพันข้อตกลงรักษาความลับ และเข้าถึงตามหลัก least-privilege
จัดให้มีมาตรการความปลอดภัยที่เหมาะสม (ดูข้อ 5) และช่วยผู้ควบคุมข้อมูลตอบสนองคำขอใช้สิทธิ์ของเจ้าของข้อมูล
ไม่ใช้ข้อมูลของผู้ควบคุมข้อมูลเพื่อวัตถุประสงค์ของตนเอง และไม่ใช้เนื้อหาของร้านค้าไปฝึก (train) โมเดล AI ทั่วไปเว้นแต่ได้รับความยินยอมแยกต่างหาก

3. หน้าที่ของผู้ควบคุมข้อมูล

รับรองว่ามีฐานทางกฎหมายในการเก็บและส่งข้อมูลลูกค้าของตนเข้าสู่ระบบ และได้แจ้ง/ขอความยินยอมจากเจ้าของข้อมูลตามที่จำเป็น
กำหนดและดูแลสิทธิ์การเข้าถึงของ User ภายในร้านค้า รวมถึงการเปิด/ปิดสิทธิ์การเข้าถึงเพื่อการช่วยเหลือของทีมงาน

4. ผู้ประมวลผลย่อย (Sub-processors)

ผู้ควบคุมข้อมูลอนุญาตให้ใช้ผู้ประมวลผลย่อยเพื่อการให้บริการ โดยผู้ประมวลผลข้อมูลต้องผูกพันผู้ประมวลผลย่อยด้วยหน้าที่ไม่ต่ำกว่าข้อตกลงนี้ และรับผิดต่อการกระทำของผู้ประมวลผลย่อยเสมือนเป็นการกระทำของตน หมวดหมู่ผู้ประมวลผลย่อยปัจจุบัน:

หมวดหมู่	หน้าที่
Cloud / Hosting	จัดเก็บและประมวลผลข้อมูลระบบ
Payment Gateway	ประมวลผลการชำระเงินค่าบริการ
Email / Notification	ส่งอีเมลแจ้งเตือนและเอกสาร
AI Model Provider	เฉพาะเมื่อเปิด MCP AI Connect และเฉพาะข้อมูลตามสิทธิ์ที่ร้านค้าอนุญาต

การเพิ่ม/เปลี่ยนผู้ประมวลผลย่อยที่เป็นสาระสำคัญจะแจ้งล่วงหน้า และผู้ควบคุมข้อมูลมีสิทธิ์คัดค้านด้วยเหตุอันสมควร

5. มาตรการความปลอดภัย (Technical & Organizational Measures)

เข้ารหัสข้อมูลระหว่างส่ง (TLS) และควบคุมการเข้ารหัสข้อมูลที่จัดเก็บตามความเหมาะสม
การควบคุมสิทธิ์ตามบทบาท (RBAC), การยืนยันตัวตน, การจำกัดสิทธิ์พนักงาน
บันทึกการเข้าถึงและกิจกรรม (audit log) รวมถึงการเข้าถึงเพื่อการช่วยเหลือ
การสำรองข้อมูลและแผนกู้คืน (backup & recovery)

6. การแจ้งเหตุละเมิดข้อมูล

ผู้ประมวลผลข้อมูลจะแจ้งผู้ควบคุมข้อมูลโดยไม่ชักช้าเมื่อทราบเหตุละเมิดข้อมูลส่วนบุคคล พร้อมข้อมูลที่จำเป็นเพื่อให้ผู้ควบคุมข้อมูลปฏิบัติตามหน้าที่แจ้งเหตุภายใน 72 ชั่วโมงตาม PDPA

7. การช่วยเหลือด้านสิทธิ์เจ้าของข้อมูลและการตรวจสอบ (Audit)

ผู้ประมวลผลข้อมูลจะช่วยเหลือตามสมควรในการตอบคำขอใช้สิทธิ์ของเจ้าของข้อมูล และจัดให้ผู้ควบคุมข้อมูลตรวจสอบการปฏิบัติตามข้อตกลงนี้ได้ (เช่น ผ่านรายงานหรือใบรับรอง) โดยแจ้งล่วงหน้าตามสมควรและไม่รบกวนการดำเนินงานเกินจำเป็น

8. การส่งคืนและลบข้อมูลเมื่อสิ้นสุดบริการ

เมื่อสิ้นสุดบริการ ผู้ประมวลผลข้อมูลจะเปิดให้ส่งออกข้อมูล (export) ภายในระยะเวลาที่กำหนด และจะลบหรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้ เว้นแต่ต้องเก็บตามกฎหมาย

9. การโอนข้อมูลไปต่างประเทศ

หากมีการประมวลผลหรือจัดเก็บนอกประเทศไทย (เช่น บริการคลาวด์หรือ AI) ผู้ประมวลผลข้อมูลจะจัดให้มีมาตรการคุ้มครองที่เหมาะสมตาม PDPA

FAQ

คำถามที่พบบ่อย

ใน DPA นี้ใครเป็น Controller และใครเป็น Processor?

ร้านค้า/ผู้ใช้บริการเป็นผู้ควบคุมข้อมูล (Data Controller) และ บริษัท โทมาโต้ ไอเดียส์ จำกัด (KetBill) เป็นผู้ประมวลผลข้อมูล (Data Processor) โดย KetBill ประมวลผลข้อมูลเฉพาะตามคำสั่งของร้านค้าและตามที่กฎหมายกำหนด

KetBill นำข้อมูลของร้านค้าไปเทรนโมเดล AI หรือไม่?

ไม่ KetBill ไม่ใช้เนื้อหาของร้านค้าไปฝึก (train) โมเดล AI ทั่วไป และไม่ใช้ข้อมูลเพื่อวัตถุประสงค์ของตนเอง เว้นแต่ได้รับความยินยอมแยกต่างหากจากร้านค้า

เมื่อเกิดเหตุละเมิดข้อมูล KetBill แจ้งภายในกี่ชั่วโมง?

KetBill จะแจ้งร้านค้าโดยไม่ชักช้าเมื่อทราบเหตุ พร้อมข้อมูลที่จำเป็นเพื่อให้ร้านค้าปฏิบัติตามหน้าที่แจ้งเหตุภายใน 72 ชั่วโมงตาม PDPA

ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล