คำแปลนี้จัดทำขึ้นเพื่อความสะดวก ในกรณีที่มีความไม่สอดคล้องกัน ให้ถือฉบับภาษาอังกฤษเป็นหลัก

ข้อตกลงการประมวลผลข้อมูล

ปรับปรุงล่าสุด: 27 ตุลาคม 2569

ข้อตกลงการประมวลผลข้อมูลนี้ ("DPA") เป็นส่วนหนึ่งของข้อกำหนดการให้บริการระหว่าง DIZZUS GmbH ("ผู้ประมวลผลข้อมูล" หรือ "เรา") และลูกค้า ("ผู้ควบคุมข้อมูล" หรือ "คุณ") ที่ใช้ ConvertFly.io ("บริการ") DPA นี้ควบคุมการประมวลผลข้อมูลส่วนบุคคลโดยผู้ประมวลผลข้อมูลในนามของผู้ควบคุมข้อมูล โดยปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลแห่งสหพันธรัฐสวิส (nFADP/nLPD) และกฎระเบียบทั่วไปว่าด้วยการคุ้มครองข้อมูลของสหภาพยุโรป (GDPR) ในกรณีที่บังคับใช้

1. คำนิยาม

• ข้อมูลส่วนบุคคล: ข้อมูลใด ๆ ที่เกี่ยวกับบุคคลธรรมดาซึ่งระบุตัวได้หรืออาจระบุตัวได้ ตามที่นิยามไว้ในมาตรา 5 nFADP และมาตรา 4(1) GDPR
• การประมวลผล: การดำเนินการใด ๆ ต่อข้อมูลส่วนบุคคล (การเก็บรวบรวม การจัดเก็บ การใช้ การโอน การลบ)
• ผู้ประมวลผลข้อมูลช่วง: บุคคลที่สามที่ผู้ประมวลผลข้อมูลว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูล

2. ขอบเขตและวัตถุประสงค์

ผู้ประมวลผลข้อมูลประมวลผลข้อมูลส่วนบุคคลเพียงเพื่อวัตถุประสงค์ในการให้บริการแปลงไฟล์ตามที่อธิบายไว้ในข้อกำหนดการให้บริการเท่านั้น การประมวลผลประกอบด้วย:

• การรับและจัดเก็บไฟล์ชั่วคราวที่ผู้ควบคุมข้อมูลหรือผู้ใช้ปลายทางของผู้ควบคุมข้อมูลอัปโหลด
• การแปลงไฟล์ระหว่างรูปแบบต่าง ๆ โดยใช้เอนจินประมวลผลอัตโนมัติ
• การจัดเก็บไฟล์ผลลัพธ์จากการแปลงไว้ชั่วคราวเพื่อการดาวน์โหลด
• การเก็บรักษาบันทึกการแปลง (เฉพาะเมทาดาทา ไม่มีเนื้อหาไฟล์)

3. ประเภทของข้อมูลส่วนบุคคล

ไฟล์ที่ส่งมาเพื่อแปลงอาจมีข้อมูลส่วนบุคคล หมวดหมู่ขึ้นอยู่กับกรณีการใช้งานของผู้ควบคุมข้อมูล และอาจรวมถึง:

• ชื่อ ข้อมูลการติดต่อ หมายเลขประจำตัว
• ข้อมูลทางการเงินในสเปรดชีตหรือเอกสาร
• รูปภาพที่มีใบหน้าหรือข้อมูลส่วนบุคคล
• ข้อมูลส่วนบุคคลอื่นใดที่อยู่ในไฟล์ที่อัปโหลด

ผู้ประมวลผลข้อมูลประมวลผลเนื้อหาของไฟล์โดยอัตโนมัติด้วยซอฟต์แวร์แปลงไฟล์และเพื่อการแปลงเท่านั้น โดยจะไม่นำไปใช้เพื่อวัตถุประสงค์อื่นและจะไม่เปิดเผย

4. หน้าที่ของผู้ประมวลผลข้อมูล

ผู้ประมวลผลข้อมูลจะต้อง:

• ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่เป็นลายลักษณ์อักษรของผู้ควบคุมข้อมูลเท่านั้น (กล่าวคือ ดำเนินการแปลงตามที่ร้องขอ)
• ดูแลให้บุคคลที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่รักษาความลับ
• ใช้มาตรการรักษาความปลอดภัยทางเทคนิคและเชิงองค์กรที่เหมาะสม (ดูข้อ 7)
• ว่าจ้างผู้ประมวลผลข้อมูลช่วงเฉพาะเมื่อได้รับอนุญาตจากผู้ควบคุมข้อมูล (ดูข้อ 6)
• ช่วยเหลือผู้ควบคุมข้อมูลในการตอบสนองต่อคำขอของเจ้าของข้อมูล
• ลบข้อมูลส่วนบุคคลทั้งหมดเมื่อสิ้นสุดการให้บริการ เว้นแต่กฎหมายกำหนดให้ต้องเก็บรักษาไว้
• จัดให้มีข้อมูลทั้งหมดที่จำเป็นเพื่อแสดงการปฏิบัติตามข้อกำหนด และอนุญาตให้มีการตรวจสอบ

5. หน้าที่ของผู้ควบคุมข้อมูล

ผู้ควบคุมข้อมูลจะต้อง:

• ดูแลให้ตนมีฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคลผ่านบริการ
• แจ้งข้อมูลที่จำเป็นแก่เจ้าของข้อมูลเกี่ยวกับการใช้บริการ
• ดูแลให้ไฟล์ที่ส่งมาไม่มีข้อมูลประเภทพิเศษ (มาตรา 9 GDPR) เว้นแต่จะมีมาตรการคุ้มครองที่เหมาะสม

6. ผู้ประมวลผลข้อมูลช่วง

ผู้ควบคุมข้อมูลให้อนุญาตทั่วไปแก่ผู้ประมวลผลข้อมูลในการว่าจ้างผู้ประมวลผลข้อมูลช่วงต่อไปนี้ ผู้ประมวลผลข้อมูลจะแจ้งผู้ควบคุมข้อมูลถึงการเปลี่ยนแปลงใด ๆ ของผู้ประมวลผลข้อมูลช่วงล่วงหน้าอย่างน้อย 30 วัน

สำหรับการโอนข้อมูลออกนอกสวิตเซอร์แลนด์/เขตเศรษฐกิจยุโรป ผู้ประมวลผลข้อมูลจะดูแลให้มีมาตรการคุ้มครองที่เหมาะสม (ข้อสัญญามาตรฐานหรือคำวินิจฉัยว่ามีความเพียงพอ)

7. มาตรการรักษาความปลอดภัย

ผู้ประมวลผลข้อมูลใช้มาตรการทางเทคนิคและเชิงองค์กรดังต่อไปนี้:

• การเข้ารหัสระหว่างการรับส่ง: การสื่อสารทั้งหมดใช้ TLS 1.2 ขึ้นไป
• การเข้ารหัสข้อมูลที่จัดเก็บ: ไฟล์จัดเก็บบนโวลุมที่เข้ารหัสในระบบจัดเก็บที่ดำเนินการโดย Dizzus
• การควบคุมการเข้าถึง: การยืนยันตัวตนด้วยคีย์ API การจัดการเซสชัน และการเข้าถึงตามบทบาท
• ความปลอดภัยของ worker: คำขอระหว่าง API และ worker สำหรับการแปลงลงนามด้วย HMAC-SHA256
• การลดปริมาณข้อมูลให้น้อยที่สุด: ไฟล์นำเข้าถูกลบทันทีหลังการแปลง ไฟล์ผลลัพธ์ถูกลบหลัง 24 ชั่วโมง
• การเฝ้าติดตาม: การตรวจสอบสถานะระบบอัตโนมัติและการบันทึกล็อกแบบรวมศูนย์
• ความปลอดภัยของเครือข่าย: worker สำหรับการแปลงแยกอยู่บนเครือข่ายส่วนตัว (WireGuard mesh) การสิ้นสุด TLS และการจำกัดอัตราการเรียกใช้ดำเนินการที่ขอบเครือข่าย

8. การแจ้งเหตุการละเมิดข้อมูล

ผู้ประมวลผลข้อมูลจะแจ้งผู้ควบคุมข้อมูลโดยไม่ชักช้าเกินสมควร (และไม่ว่ากรณีใดภายใน 72 ชั่วโมง) หลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคล การแจ้งจะต้องระบุลักษณะของการละเมิด หมวดหมู่และจำนวนโดยประมาณของเจ้าของข้อมูลที่ได้รับผลกระทบ ผลที่น่าจะเกิดขึ้น และมาตรการที่ดำเนินการเพื่อจัดการกับการละเมิด

9. คำขอของเจ้าของข้อมูล

ผู้ประมวลผลข้อมูลจะช่วยเหลือผู้ควบคุมข้อมูลโดยพลันในการดำเนินการตามคำขอของเจ้าของข้อมูล (การเข้าถึง การแก้ไข การลบ การโอนย้ายข้อมูล การจำกัดการประมวลผล การคัดค้าน) เนื่องจากการประมวลผลไฟล์เป็นแบบอัตโนมัติและชั่วคราว คำขอของเจ้าของข้อมูลส่วนใหญ่จึงได้รับการตอบสนองโดยอัตโนมัติด้วยนโยบายการลบไฟล์ภายใน 24 ชั่วโมง

10. การตรวจสอบ

ผู้ควบคุมข้อมูลอาจตรวจสอบการปฏิบัติตาม DPA นี้ของผู้ประมวลผลข้อมูล การตรวจสอบจะต้องดำเนินการโดยแจ้งล่วงหน้าในระยะเวลาที่สมเหตุสมผล (อย่างน้อย 30 วัน) และในเวลาทำการปกติ ผู้ประมวลผลข้อมูลอาจเรียกเก็บค่าธรรมเนียมที่สมเหตุสมผลสำหรับการสนับสนุนการตรวจสอบที่เกินกว่าเอกสารมาตรฐาน

11. ระยะเวลาและการยุติ

DPA นี้มีผลตลอดระยะเวลาของข้อตกลงการให้บริการ เมื่อมีการยุติ ผู้ประมวลผลข้อมูลจะลบข้อมูลส่วนบุคคลทั้งหมดภายใน 30 วัน เว้นแต่กฎหมายสวิสหรือกฎหมายสหภาพยุโรปกำหนดให้ต้องเก็บรักษาไว้ ผู้ประมวลผลข้อมูลจะออกหนังสือยืนยันการลบเมื่อได้รับการร้องขอ

12. กฎหมายที่ใช้บังคับ

DPA นี้อยู่ภายใต้บังคับของกฎหมายสวิตเซอร์แลนด์ ศาลเมืองซุก ประเทศสวิตเซอร์แลนด์ มีเขตอำนาจเฉพาะ เว้นแต่กฎหมายที่มีผลบังคับกำหนดไว้เป็นอย่างอื่น

13. ติดต่อ

สำหรับคำถามเกี่ยวกับ DPA:
DIZZUS GmbH
Chamerstrasse 172, 6300 Zug, Switzerland
UID CHE-469.903.322
ติดต่อ: convertfly.io/contact
อีเมล: แสดงที่อยู่อีเมล