ข้อตกลงการประมวลผลข้อมูล

ข้อตกลงการประมวลผลข้อมูลนี้ ("DPA") เป็นส่วนหนึ่งของข้อกำหนดและเงื่อนไขระหว่างลูกค้า (ธุรกิจที่สมัครใช้งาน LetsBot หรือ "คุณ") กับ BOT FOR DIGITAL SOLUTIONS LIMITED บริษัทที่จดทะเบียนในอังกฤษและเวลส์ภายใต้เลขทะเบียน 15477940 ตั้งอยู่ที่ 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom ("LetsBot" หรือ "เรา")

เมื่อคุณยอมรับข้อกำหนดและเงื่อนไข ถือว่าคุณได้เข้าทำ DPA นี้ด้วย รวมถึงข้อสัญญาการโอนข้อมูลที่รวมไว้โดยการอ้างอิงในภาคผนวก IV ถึง VI ซึ่งมีผลใช้บังคับกับลูกค้าทุกรายโดยอัตโนมัติตั้งแต่การยอมรับ ก่อนการโอนข้อมูลส่วนบุคคลของลูกค้าใดๆ และไม่จำเป็นต้องลงนาม

สำเนาที่ลงนามและเอกสารเฉพาะ เมื่อมีคำขอทาง support@letsbot.net เราจะจัดหาสำเนา DPA นี้ที่เราลงนามแล้ว หรือข้อตกลงหรือเอกสารเฉพาะที่องค์กรของคุณต้องการ เช่น ชุดข้อสัญญาการโอนข้อมูลที่กรอกรายละเอียดครบถ้วนแล้ว

ลำดับการใช้บังคับ หากมีข้อขัดแย้ง ให้ข้อสัญญาการโอนข้อมูลในภาคผนวก IV ถึง VI มีผลเหนือกว่า ตามด้วย DPA นี้ แล้วจึงเป็นข้อกำหนดและเงื่อนไข

ภาษา DPA ฉบับภาษาอังกฤษเป็นฉบับที่มีผลบังคับ ส่วนฉบับภาษาอาหรับจัดทำขึ้นเพื่อความสะดวก สำหรับข้อสัญญามาตรฐานของ ANPD ของบราซิล ให้ข้อความภาษาโปรตุเกสอย่างเป็นทางการเป็นฉบับที่มีผลบังคับ

• ข้อมูลส่วนบุคคลของลูกค้า: ข้อมูลส่วนบุคคลที่เราประมวลผลในนามของคุณในการให้บริการ รวมถึงรายละเอียดของรายชื่อติดต่อ ข้อความ สื่อ และคำสั่งซื้อของคุณ รายละเอียดอยู่ในภาคผนวก I
• ผู้ประมวลผลข้อมูลช่วง: บุคคลภายนอกใดๆ ที่เราว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้า
• การละเมิดข้อมูลส่วนบุคคล: การละเมิดความมั่นคงปลอดภัยที่นำไปสู่การทำลาย การสูญหาย การเปลี่ยนแปลง การเปิดเผยโดยไม่ได้รับอนุญาต หรือการเข้าถึงข้อมูลส่วนบุคคลของลูกค้า โดยอุบัติเหตุหรือโดยมิชอบด้วยกฎหมาย
• กฎหมายคุ้มครองข้อมูล: กฎหมายที่ใช้บังคับกับการประมวลผล รวมถึง EU GDPR, UK GDPR และ Data Protection Act 2018, กฎหมายคุ้มครองข้อมูลส่วนบุคคลของซาอุดีอาระเบียและกฎระเบียบที่เกี่ยวข้อง, LGPD ของบราซิล และกฎหมายอียิปต์เลขที่ 151 ปี 2020 และกฎระเบียบการบังคับใช้
• คำว่า "ผู้ควบคุมข้อมูล" "ผู้ประมวลผลข้อมูล" "เจ้าของข้อมูล" และ "การประมวลผล" มีความหมายตามกฎหมายคุ้มครองข้อมูล โดย "ผู้ประมวลผลข้อมูล" รวมถึง "operador" ภายใต้ LGPD

1. คุณเป็นผู้ควบคุมข้อมูลของข้อมูลส่วนบุคคลของลูกค้า (หรือเป็นผู้ประมวลผลข้อมูลที่ดำเนินการแทนผู้ควบคุมข้อมูลรายอื่น) และเราเป็นผู้ประมวลผลข้อมูล
2. เราประมวลผลข้อมูลส่วนบุคคลของลูกค้าตามคำสั่งที่เป็นลายลักษณ์อักษรของคุณเท่านั้น รวมถึงในส่วนที่เกี่ยวกับการโอนข้อมูลไปยังประเทศอื่น คำสั่งของคุณได้แก่ ข้อกำหนดและเงื่อนไข DPA นี้ การตั้งค่าที่คุณเลือกในแผงควบคุม (เช่น ช่องทาง การเชื่อมต่อระบบ ฟีเจอร์ AI และระยะเวลาการเก็บรักษาข้อมูล) และคำสั่งเป็นลายลักษณ์อักษรอื่นใดที่เราตกลงกัน
3. หากกฎหมายกำหนดให้เราต้องประมวลผลข้อมูลส่วนบุคคลของลูกค้านอกเหนือจากคำสั่งของคุณ เราจะแจ้งให้คุณทราบก่อนดำเนินการ เว้นแต่กฎหมายนั้นห้ามไว้
4. เราจะแจ้งให้คุณทราบทันทีหากเราเห็นว่าคำสั่งใดละเมิดกฎหมายคุ้มครองข้อมูล
5. คุณมีหน้าที่รับผิดชอบในการเก็บรวบรวมข้อมูลโดยชอบด้วยกฎหมาย และต้องมีฐานทางกฎหมายในการส่งข้อความถึงรายชื่อติดต่อของคุณ รวมถึงความยินยอมใดๆ ที่ Meta หรือกฎหมายกำหนด
6. เราไม่ใช้ข้อมูลส่วนบุคคลของลูกค้าเพื่อวัตถุประสงค์ของเราเอง ไม่ขายข้อมูลดังกล่าว และไม่นำไปใช้ฝึกโมเดล AI

เฉพาะพนักงานและผู้รับจ้างที่จำเป็นต้องเข้าถึงเพื่อให้บริการ สนับสนุน หรือรักษาความปลอดภัยของบริการเท่านั้นที่เข้าถึงข้อมูลส่วนบุคคลของลูกค้าได้ และทุกคนมีหน้าที่ต้องรักษาข้อมูลดังกล่าวเป็นความลับ

บุคลากรที่เข้าถึงข้อมูลส่วนบุคคลของลูกค้าส่วนใหญ่ปฏิบัติงานในอียิปต์ ผ่านบริษัทในเครือของเรา Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م) ภายใต้คำสั่งของเรา และตามเงื่อนไขที่ให้ความคุ้มครองไม่น้อยกว่า DPA นี้

เราใช้มาตรการทางเทคนิคและเชิงองค์กรตามภาคผนวก II ทบทวนมาตรการเหล่านี้อย่างสม่ำเสมอ และจะไม่ลดระดับการคุ้มครองโดยรวมลงตลอดระยะเวลาการสมัครสมาชิกของคุณ

นอกจากนี้ เรามีพันธะที่จะดำเนินการดังนี้:

• สำรองฐานข้อมูลของเวิร์กสเปซแบบเข้ารหัส: ทุกคืนสำหรับเวิร์กสเปซแบบชำระเงิน แบบทดลองใช้ และแบบให้ใช้ฟรี และแบบหมุนเวียนทุก 10 วันสำหรับเวิร์กสเปซอื่น รวมถึงสำรองฐานข้อมูลบัญชีส่วนกลางทุกวัน ข้อมูลสำรองถูกเก็บในพื้นที่จัดเก็บส่วนตัวแยกจากเซิร์ฟเวอร์ใช้งานจริง บน Google Cloud ในสหรัฐอเมริกา (us-east1) เป็นเวลา 30 วัน แล้วจึงถูกลบ;
• ไฟล์สื่อที่แลกเปลี่ยนในการสนทนาถูกเก็บในพื้นที่จัดเก็บที่ไม่สามารถเรียกดูหรือแสดงรายการได้ และให้บริการผ่านลิงก์แบบสุ่มที่ยาวและคาดเดาได้ยาก (ยกเว้นรูปโปรไฟล์ของรายชื่อติดต่อ) ผู้ที่มีลิงก์ที่ตรงกันทุกตัวอักษรสามารถเปิดไฟล์ได้ เรากำลังย้ายสื่อไปใช้ลิงก์แบบลงนามที่มีอายุจำกัด;
• บันทึกการเข้าเวิร์กสเปซของฝ่ายสนับสนุนทุกครั้ง และการลงชื่อเข้าใช้ทุกครั้ง ไว้ในบันทึกความปลอดภัยของเวิร์กสเปซนั้น

1. การอนุญาตทั่วไป คุณอนุญาตให้เราว่าจ้างผู้ประมวลผลข้อมูลช่วงตามรายชื่อในหน้าผู้ประมวลผลข้อมูลช่วงของเรา (ภาคผนวก III)
2. การแจ้งล่วงหน้า เราจะแจ้งล่วงหน้าอย่างน้อย 30 วันก่อนเพิ่มหรือเปลี่ยนผู้ประมวลผลข้อมูลช่วง โดยส่งอีเมลถึงทุกคนที่สมัครรับการแจ้งเตือน และปรับปรุงหน้าดังกล่าว หากต้องการสมัครรับ โปรดเขียนถึง support@letsbot.net โดยใช้หัวเรื่อง "Subprocessor updates"
3. การคัดค้าน คุณอาจคัดค้านเป็นลายลักษณ์อักษรภายในระยะเวลาแจ้งล่วงหน้าด้วยเหตุผลอันสมควรด้านการคุ้มครองข้อมูล เราจะพยายามแก้ไขข้อคัดค้านของคุณ เช่น โดยไม่ใช้ผู้ประมวลผลข้อมูลช่วงรายนั้นกับข้อมูลของคุณ หากเราทำไม่ได้ คุณอาจยกเลิกบริการส่วนที่ได้รับผลกระทบ และได้รับเงินคืนสำหรับค่าธรรมเนียมที่ชำระล่วงหน้าสำหรับระยะเวลาที่เหลือ
4. การเปลี่ยนในกรณีฉุกเฉิน หากเราต้องเปลี่ยนผู้ประมวลผลข้อมูลช่วงทันทีเพื่อปกป้องความปลอดภัยหรือความต่อเนื่องของบริการ เราจะแจ้งให้คุณทราบโดยเร็วที่สุด และคุณยังคงมีสิทธิคัดค้านเช่นเดิม
5. พันธะที่เทียบเท่า เราผูกพันผู้ประมวลผลข้อมูลช่วงที่เป็นบุคคลภายนอกทุกรายด้วยสัญญาเป็นลายลักษณ์อักษรที่มีพันธะด้านการคุ้มครองข้อมูลไม่น้อยกว่า DPA นี้ และเรายังคงรับผิดต่อคุณสำหรับการปฏิบัติหน้าที่ของผู้ประมวลผลข้อมูลช่วงนั้น
6. การเชื่อมต่อระบบที่คุณเลือก เช่น Meta (WhatsApp, Messenger, Instagram) แพลตฟอร์มอีคอมเมิร์ซ และ CRM ไม่ใช่ผู้ประมวลผลข้อมูลช่วงของเรา คุณเป็นผู้เชื่อมต่อเอง และบริการเหล่านั้นประมวลผลข้อมูลภายใต้ข้อกำหนดของตนเองที่มีกับคุณ

1. เราจะแจ้งให้คุณทราบถึงการละเมิดข้อมูลส่วนบุคคลใดๆ ที่กระทบต่อข้อมูลส่วนบุคคลของลูกค้า โดยไม่ชักช้าเกินสมควร และไม่ว่ากรณีใดภายใน 24 ชั่วโมงนับแต่ที่เราทราบ นี่คือมาตรฐานของเราในทุกประเทศ
2. เราส่งการแจ้งไปยังที่อยู่อีเมลของเจ้าของบัญชี และในแผงควบคุมหากทำได้ เท่าที่มีข้อมูล การแจ้งจะอธิบายถึง: ลักษณะและสาเหตุของการละเมิด ประเภทและจำนวนโดยประมาณของเจ้าของข้อมูลและรายการข้อมูล ผลที่น่าจะเกิดขึ้น มาตรการที่ดำเนินการแล้วหรือที่เสนอเพื่อควบคุมเหตุ และช่องทางติดต่อของเรา
3. หากเรายังไม่มีข้อมูลทั้งหมดในคราวเดียว เราจะให้ข้อมูลเป็นระยะโดยไม่ชักช้าเกินสมควร และแจ้งความคืบหน้าแก่คุณอย่างสม่ำเสมอจนกว่าเหตุการณ์จะยุติ
4. เราจะช่วยคุณปฏิบัติตามหน้าที่ของคุณเองในการแจ้งหน่วยงานกำกับดูแลและเจ้าของข้อมูล รวมถึงกำหนดเวลา 72 ชั่วโมงในสหภาพยุโรป สหราชอาณาจักร และซาอุดีอาระเบีย และกำหนดเวลาสามวันทำการในบราซิล
5. การแจ้งไม่ถือเป็นการยอมรับความผิดหรือความรับผิด

1. หากเราได้รับคำขอจากเจ้าของข้อมูลเกี่ยวกับข้อมูลส่วนบุคคลของลูกค้า เราจะส่งต่อคำขอนั้นให้คุณภายใน 48 ชั่วโมง และจะไม่ตอบคำขอโดยไม่ได้รับอนุญาตจากคุณ นอกจากแจ้งว่าเราได้ส่งต่อคำขอแล้ว
2. แผงควบคุมช่วยให้คุณส่งออก แก้ไข และลบรายชื่อติดต่อ การสนทนา และข้อความได้ หากเครื่องมือเหล่านี้ไม่เพียงพอ เราจะให้ความช่วยเหลือตามสมควร
3. ความช่วยเหลือของเราคำนึงถึงกำหนดเวลาตามกฎหมายของคุณ รวมถึงหกวันทำการในอียิปต์

เราจะให้ข้อมูลที่คุณจำเป็นต้องใช้ตามสมควรในการประเมินผลกระทบด้านการคุ้มครองข้อมูล การประเมินความเสี่ยงในการโอนข้อมูล หรือการปรึกษาหารือล่วงหน้ากับหน่วยงานกำกับดูแล ในกรณีที่กฎหมายกำหนดให้คุณต้องแบ่งปันผลการประเมินผลกระทบที่เกี่ยวข้องกับเรา เราจะรับผลการประเมินนั้น

1. ระหว่างการสมัครสมาชิก คุณสามารถส่งออกข้อมูล ลบการสนทนาใดการสนทนาหนึ่ง (ซึ่งจะลบข้อความและสื่อของการสนทนานั้น) หรือลบทั้งเวิร์กสเปซจากแผงควบคุมได้ทุกเมื่อ การระบุเหตุผลเป็นทางเลือก
2. เมื่อบริการสิ้นสุดลง ข้อมูลของคุณยังคงพร้อมให้ส่งออกได้เป็นเวลา 30 วัน เมื่อเวิร์กสเปซถูกลบ เราจะลบข้อมูลส่วนบุคคลของลูกค้าออกจากระบบที่ใช้งานจริงภายใน 30 วัน รวมถึงสื่อ สำเนาที่เก็บถาวร ไฟล์และคำตอบที่จัดเก็บไว้ที่ผู้ให้บริการ AI ของเรา และข้อความที่เก็บไว้โดยบริการเชื่อมต่อผ่าน QR code ของเรา สำเนาในข้อมูลสำรองจะหมดอายุภายในอีก 30 วัน
3. เราเก็บรักษาเฉพาะข้อมูลที่กฎหมายกำหนดให้ต้องเก็บ และยังคงคุ้มครองข้อมูลนั้นภายใต้ DPA นี้จนกว่าจะถูกลบ
4. เมื่อมีคำขอ เราจะยืนยันการลบเป็นลายลักษณ์อักษร

1. เราจะจัดเตรียมข้อมูลที่จำเป็นเพื่อแสดงว่าเราปฏิบัติตาม DPA นี้ และตอบแบบสอบถามด้านความปลอดภัยที่สมเหตุสมผล
2. หากข้อมูลดังกล่าวไม่เพียงพอ คุณหรือผู้ตรวจสอบอิสระที่มีหน้าที่รักษาความลับอาจตรวจสอบเราได้หนึ่งครั้งทุก 12 เดือน โดยแจ้งล่วงหน้า 30 วัน ในเวลาทำการ และต้องไม่ทำให้ข้อมูลของลูกค้ารายอื่นตกอยู่ในความเสี่ยง ข้อจำกัดนี้ไม่ใช้บังคับภายหลังการละเมิดข้อมูลส่วนบุคคล หรือเมื่อหน่วยงานกำกับดูแลกำหนดให้มีการตรวจสอบ
3. แต่ละฝ่ายรับผิดชอบค่าใช้จ่ายของตนเอง เว้นแต่การตรวจสอบพบการละเมิดที่เป็นสาระสำคัญโดยเรา
4. เราจะให้ความร่วมมือกับหน่วยงานกำกับดูแลที่มีอำนาจ รวมถึง Saudi Data and AI Authority (SDAIA) เมื่อได้รับการร้องขอ

1. สถานที่ประมวลผลข้อมูล ข้อมูลส่วนบุคคลของลูกค้าโฮสต์อยู่บน Google Cloud ในสหรัฐอเมริกา (ภูมิภาค us-east1) เข้าถึงจากระยะไกลโดยพนักงานของเราซึ่งส่วนใหญ่ปฏิบัติงานในอียิปต์ผ่านบริษัทในเครือ และประมวลผลโดยผู้ประมวลผลข้อมูลช่วงในสถานที่ที่แสดงไว้ในหน้าของผู้ประมวลผลข้อมูลช่วง เซิร์ฟเวอร์และข้อมูลสำรองทั้งหมดของเราอยู่ในสหรัฐอเมริกา และเราไม่มีบริการโฮสต์ในภูมิภาคอื่น
2. กลไกการโอนข้อมูล ข้อสัญญาในภาคผนวก IV (สหภาพยุโรปและสหราชอาณาจักร) ภาคผนวก V (บราซิล) และภาคผนวก VI (ซาอุดีอาระเบีย) เป็นส่วนหนึ่งของ DPA นี้สำหรับลูกค้าทุกราย และใช้บังคับกับการโอนข้อมูลแต่ละครั้งที่กฎหมายที่เกี่ยวข้องใช้บังคับ
3. กฎหมายต่างประเทศที่เราอยู่ภายใต้บังคับ เราเป็นบริษัทในสหราชอาณาจักรที่อยู่ภายใต้กฎหมายสหราชอาณาจักร ข้อมูลโฮสต์อยู่กับผู้ให้บริการในสหรัฐอเมริกา และหน่วยงานของสหรัฐอเมริกาอาจกำหนดให้ผู้ให้บริการในสหรัฐอเมริกาเปิดเผยข้อมูลภายใต้กฎหมายสหรัฐอเมริกา รวมถึง CLOUD Act และมาตรา 702 ของ Foreign Intelligence Surveillance Act บริษัทในเครือของเราในอียิปต์อยู่ภายใต้กฎหมายอียิปต์ เราไม่ทราบว่ามีกฎหมายใดในบรรดากฎหมายเหล่านี้ที่ขัดขวางไม่ให้เราปฏิบัติตาม DPA นี้ และจะแจ้งให้คุณทราบโดยพลันหากสถานการณ์ดังกล่าวเปลี่ยนแปลง
4. คำขอจากหน่วยงานของรัฐ หากเราได้รับคำขอที่มีผลผูกพันจากหน่วยงานของรัฐให้เปิดเผยข้อมูลส่วนบุคคลของลูกค้า เราจะแจ้งให้คุณทราบ เว้นแต่กฎหมายห้ามไว้ ขอให้หน่วยงานนั้นติดต่อคุณโดยตรง โต้แย้งคำขอที่ไม่ชอบด้วยกฎหมายหรือเกินความจำเป็น และเปิดเผยเพียงเท่าที่จำเป็นขั้นต่ำเท่านั้น

1. เมื่อคุณเปิดใช้การตอบกลับด้วย AI เอเจนต์ AI การถอดความข้อความเสียง หรือเครื่องมือ AI เราจะส่งข้อมูลที่ฟีเจอร์นั้นต้องใช้ไปยังผู้ให้บริการ AI รายใดรายหนึ่งของเรา ซึ่งเป็นผู้ประมวลผลข้อมูลช่วงในสหรัฐอเมริกา ได้แก่ ข้อความ ประวัติการสนทนา ข้อความเสียง ไฟล์ความรู้และแคตตาล็อกสินค้า รวมถึงชื่อและหมายเลขของรายชื่อติดต่อในกรณีที่ฟีเจอร์นั้นใช้ข้อมูลดังกล่าว
2. ผู้ให้บริการ AI ของเราได้แก่ OpenAI ซึ่งเป็นผู้ให้บริการหลักและเป็นผู้ดำเนินการถอดความข้อความเสียง รวมถึงการจัดเก็บและค้นหาไฟล์ความรู้เสมอ และ Anthropic (Claude) กับ Google (Gemini API) ซึ่งเราอาจส่งงาน AI ไปให้แทน OpenAI หรือเป็นระบบสำรอง หรือส่งตัวอย่างคำขอจำนวนจำกัดเพื่อเปรียบเทียบคุณภาพของคำตอบ คำตอบที่ใช้เปรียบเทียบจะไม่ถูกส่งถึงลูกค้าของคุณ รายชื่อและกลไกการโอนข้อมูลอยู่ในหน้าผู้ประมวลผลข้อมูลช่วงของเรา
3. ภายใต้ข้อกำหนดทางธุรกิจของผู้ให้บริการเหล่านี้ ไม่มีรายใดนำข้อมูลที่ส่งผ่าน API ของตนไปฝึกโมเดล (ดู ข้อกำหนดทางธุรกิจของ OpenAI, Commercial Terms ของ Anthropic และ Gemini API Additional Terms) และเราไม่ได้เลือกเข้าร่วมการใช้งานเพื่อการฝึกโมเดลใดๆ ผู้ให้บริการแต่ละรายเก็บสำเนาชั่วคราวไว้เพื่อตรวจสอบการใช้งานในทางที่ผิดตามข้อกำหนดของตน และ OpenAI เก็บคำตอบที่ตนสร้างขึ้นไว้ตามนโยบายข้อมูล API ของตน
4. เราไม่ใช้ข้อมูลส่วนบุคคลของลูกค้าในการฝึกโมเดลใดๆ สิ่งที่ฟีเจอร์ "เรียนรู้จากประวัติ" เรียนรู้จะอยู่ภายในเวิร์กสเปซของคุณเท่านั้น
5. ฟีเจอร์เหล่านี้เป็นทางเลือกและคุณปิดได้ทุกเมื่อ เมื่อคุณลบเวิร์กสเปซ เราจะลบไฟล์ที่จัดเก็บไว้สำหรับเวิร์กสเปซนั้นที่ OpenAI
6. คุณมีหน้าที่แจ้งให้ลูกค้าของคุณทราบว่าคำตอบอาจสร้างขึ้นโดย AI ในกรณีที่กฎหมายกำหนด

1. เจ้าหน้าที่ฝ่ายสนับสนุนของเราเข้าสู่เวิร์กสเปซของคุณเพื่อให้การสนับสนุนเท่านั้น
2. การเข้าถึงทุกครั้งจะถูกบันทึกไว้ในบันทึกความปลอดภัยของเวิร์กสเปซ ซึ่งคุณตรวจสอบได้
3. หากคุณเปิดใช้การยืนยันตัวตนแบบสองขั้นตอนสำหรับเวิร์กสเปซ เจ้าหน้าที่ของเราจะเข้าได้ก็ต่อเมื่อได้รับอนุมัติอย่างชัดแจ้งจากคุณเท่านั้น

ความรับผิดของแต่ละฝ่ายภายใต้ DPA นี้อยู่ภายใต้ข้อจำกัดในข้อกำหนดและเงื่อนไข ยกเว้นความรับผิดที่ไม่อาจจำกัดได้ตามกฎหมาย และไม่กระทบต่อสิทธิของเจ้าของข้อมูลภายใต้ข้อสัญญาการโอนข้อมูลในภาคผนวก IV ถึง VI ซึ่งไม่มีข้อความใดใน DPA นี้หรือในข้อกำหนดและเงื่อนไขจำกัดสิทธิดังกล่าว

1. DPA นี้มีผลใช้บังคับตราบเท่าที่เราประมวลผลข้อมูลส่วนบุคคลของลูกค้า
2. เราอาจปรับปรุง DPA นี้ให้สอดคล้องกับกฎหมายหรือบริการ เราจะแจ้งล่วงหน้า 30 วันสำหรับการเปลี่ยนแปลงที่เป็นสาระสำคัญ และไม่มีการเปลี่ยนแปลงใดที่จะลดระดับการคุ้มครองในระหว่างระยะเวลาการสมัครสมาชิกแบบชำระเงินของคุณ
3. DPA นี้อยู่ภายใต้บังคับของกฎหมายอังกฤษและเวลส์ และศาลของอังกฤษและเวลส์มีเขตอำนาจ ยกเว้นข้อสัญญาการโอนข้อมูลแต่ละชุดในภาคผนวก IV ถึง VI ซึ่งอยู่ภายใต้บังคับของกฎหมายและศาลที่ข้อสัญญาชุดนั้นระบุไว้

สำหรับกฎหมายคุ้มครองข้อมูลส่วนบุคคลและระเบียบการบังคับใช้ (มาตรา 17):

• วัตถุประสงค์ ประเภทของข้อมูล และระยะเวลาของการประมวลผลอยู่ในภาคผนวก I
• เราแจ้งการละเมิดให้คุณทราบโดยไม่ชักช้าเกินสมควรและภายใน 24 ชั่วโมง (หัวข้อ 7)
• กฎหมายต่างประเทศที่เราอยู่ภายใต้บังคับและผลกระทบของกฎหมายเหล่านั้นอธิบายไว้ในหัวข้อ 12
• หากกฎหมายซาอุดีอาระเบียกำหนดให้เราต้องเปิดเผยข้อมูล เราจะแจ้งให้คุณทราบ
• ผู้ประมวลผลข้อมูลช่วงและผู้รับข้อมูลรายอื่นระบุไว้ในภาคผนวก III และเราจะแจ้งให้คุณทราบก่อนมีการเปลี่ยนแปลงใดๆ พร้อมสิทธิคัดค้าน (หัวข้อ 6)
• เราส่งต่อคำขอของเจ้าของข้อมูลภายใน 48 ชั่วโมง (หัวข้อ 8) และยอมรับการประเมินและการตรวจสอบ (หัวข้อ 11)
• ข้อสัญญาการโอนข้อมูล: ภาคผนวก VI

สำหรับ LGPD เราดำเนินการในฐานะ "operador":

• เราประมวลผลข้อมูลตามคำสั่งของคุณ (มาตรา 39) และเก็บบันทึกกิจกรรมการประมวลผล (มาตรา 37)
• เราใช้มาตรการรักษาความปลอดภัยตามภาคผนวก II และหน้าที่ด้านความปลอดภัยของเรายังคงมีอยู่หลังการประมวลผลสิ้นสุดลง (มาตรา 46 และ 47)
• เราแจ้งการละเมิดให้คุณทราบภายใน 24 ชั่วโมง เพื่อให้คุณแจ้ง ANPD และเจ้าของข้อมูลได้ภายในสามวันทำการ (มาตรา 48)
• เราลบข้อมูลเมื่อการประมวลผลสิ้นสุดลง ตามหัวข้อ 10 (มาตรา 16)
• ไม่มีข้อความใดใน DPA นี้จำกัดความรับผิดของเราต่อเจ้าของข้อมูลในกรณีที่ LGPD กำหนดความรับผิดนั้น
• ข้อสัญญาการโอนข้อมูล: ภาคผนวก V เมื่อมีคำขอ เราจะจัดทำสรุปการโอนข้อมูลระหว่างประเทศเป็นภาษาโปรตุเกสที่คุณสามารถเผยแพร่ให้ลูกค้าของคุณได้

สำหรับกฎหมายเลขที่ 151 ปี 2020 และระเบียบบริหารที่เกี่ยวข้อง:

• บริษัทในเครือของเราในอียิปต์คือ Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م) ทะเบียนการค้าเลขที่ 223572 (สำนักงานทะเบียน Cairo Investment) ที่อยู่ Tower 22, 3rd floor, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia ประเทศอียิปต์
• เราจะขอรับใบอนุญาตหรือการอนุญาตใด ๆ ที่กฎหมายกำหนดสำหรับการประมวลผลและการโอนข้อมูลข้ามพรมแดนของเราก่อนที่จะดำเนินการดังกล่าว และแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลที่ขึ้นทะเบียนกับศูนย์คุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Center)
• นอกเหนือจากการแจ้งให้คุณทราบภายใน 24 ชั่วโมง เราจะแจ้งเหตุละเมิดข้อมูลต่อศูนย์คุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง ในกรณีที่กฎหมายกำหนดให้เราต้องดำเนินการในฐานะผู้ประมวลผลข้อมูล โดยประสานงานร่วมกับคุณ
• เราจะทำงานร่วมกับคุณเพื่อตอบคำขอของเจ้าของข้อมูลภายในหกวันทำการ
• คุณมีหน้าที่รับผิดชอบในการขอความยินยอมจากเจ้าของข้อมูลในกรณีที่กฎหมายกำหนด รวมถึงความยินยอมสำหรับการโอนข้อมูลออกนอกประเทศอียิปต์

DPA ฉบับนี้มีข้อกำหนดตามที่มาตรา 28(3) ของ EU GDPR และ UK GDPR กำหนด ได้แก่ คำสั่ง (ข้อ 3) การรักษาความลับ (ข้อ 4) ความปลอดภัย (ข้อ 5 และภาคผนวก II) ผู้ประมวลผลข้อมูลช่วง (ข้อ 6) การช่วยเหลือในการตอบคำขอของเจ้าของข้อมูล (ข้อ 8) และด้านความปลอดภัย เหตุละเมิดข้อมูล และการประเมินผลกระทบ (ข้อ 5, 7 และ 9) การลบและการส่งคืนข้อมูล (ข้อ 10) ตลอดจนการให้ข้อมูลและการตรวจสอบ (ข้อ 11)

สหราชอาณาจักร ซึ่งเป็นที่ตั้งของบริษัทเรา ได้รับคำวินิจฉัยความเพียงพอ (adequacy decision) จากคณะกรรมาธิการยุโรป อย่างไรก็ตาม ภาคผนวก IV (ข้อสัญญามาตรฐานของสหภาพยุโรปและภาคผนวกเพิ่มเติมของสหราชอาณาจักร) ถูกรวมเข้าไว้สำหรับลูกค้าทุกราย และใช้บังคับกับการโอนข้อมูลส่วนบุคคลของลูกค้าใด ๆ ที่ EU GDPR หรือ UK GDPR ไม่อนุญาตไว้เป็นอย่างอื่น รวมถึงการโอนข้อมูลต่อของเราไปยังสหรัฐอเมริกา

มาตรการต่อไปนี้มีผลใช้บังคับอยู่ในปัจจุบัน:

• การเข้ารหัสระหว่างการรับส่ง: TLS 1.3 ที่ Cloudflare edge พร้อม HSTS และใบรับรอง TLS บนเซิร์ฟเวอร์ต้นทาง
• การเข้ารหัสข้อมูลที่จัดเก็บ: การเข้ารหัสเริ่มต้นของ Google Cloud ด้วยคีย์ที่ Google จัดการสำหรับดิสก์และบักเก็ตจัดเก็บข้อมูล รวมถึงการเข้ารหัสระดับแอปพลิเคชันสำหรับโทเค็นการเข้าถึงช่องทาง ข้อมูลลับของการเชื่อมต่อระบบและเว็บฮุก ข้อมูลลับของการยืนยันตัวตนสองขั้นตอน คำตอบแบบสำรวจ และบันทึกการให้ความยินยอม
• รหัสผ่านและโทเค็น: รหัสผ่านถูกแฮชด้วย bcrypt และโทเค็น API ถูกจัดเก็บในรูปแบบแฮช
• การแยกข้อมูล: ฐานข้อมูลแยกต่างหากสำหรับแต่ละเวิร์กสเปซ
• เครือข่าย: ฐานข้อมูลและแคชไม่สามารถเข้าถึงได้จากอินเทอร์เน็ต มีการป้องกัน DDoS และไฟร์วอลล์เว็บแอปพลิเคชันของ Cloudflare และการป้องกันบอท Turnstile บนแบบฟอร์มสาธารณะ
• การเสริมความแข็งแกร่งของเซิร์ฟเวอร์: การแยกบัญชีด้วย CageFS ไฟร์วอลล์และการสแกนมัลแวร์ของ Imunify360 และการแพตช์ความปลอดภัยเคอร์เนลแบบสด (KernelCare)
• การควบคุมการเข้าถึง: บทบาทและสิทธิ์ของผู้ใช้แต่ละราย ระบบป้องกันการลงชื่อเข้าใช้แยกต่างหากสำหรับเครื่องมือดูแลระบบภายใน การยืนยันตัวตนสองขั้นตอนที่ทุกเวิร์กสเปซใช้งานได้ และการจำกัด IP สำหรับการลงชื่อเข้าใช้
• การบันทึกล็อก: บันทึกความปลอดภัยของแต่ละเวิร์กสเปซ ครอบคลุมการลงชื่อเข้าใช้และความพยายามที่ล้มเหลว การเปลี่ยนแปลงการยืนยันตัวตนสองขั้นตอนและบทบาท การเข้าถึงโดยฝ่ายสนับสนุน และการเปลี่ยนคีย์ API
• การเชื่อมต่อระบบ: การตรวจสอบลายเซ็นของข้อมูลขาเข้าจาก Meta, Salla และ Zid และข้อมูลลับสำหรับการลงนามแยกต่างหากสำหรับเว็บฮุกขาออกใหม่แต่ละรายการ
• พื้นที่จัดเก็บส่วนตัว: เอกสาร ไฟล์แนบอีเมล การบันทึกการโทร ข้อมูลสำรอง และเวิร์กสเปซที่เก็บถาวร ถูกเก็บไว้ในบักเก็ตจัดเก็บข้อมูลส่วนตัวที่ป้องกันการเข้าถึงแบบสาธารณะ
• สื่อในการสนทนา: จัดเก็บในพื้นที่ที่ไม่สามารถเรียกดูหรือแสดงรายการได้ และให้บริการผ่านลิงก์แบบสุ่มที่ยาวและคาดเดาได้ยาก (ยกเว้นรูปโปรไฟล์ของรายชื่อติดต่อ) ขณะนี้อยู่ระหว่างการเปลี่ยนไปใช้ลิงก์ที่ลงนามแบบจำกัดเวลา
• การสำรองข้อมูล: สำรองฐานข้อมูลทุกคืนสำหรับเวิร์กสเปซที่ชำระเงิน ทดลองใช้ และได้รับสิทธิ์ใช้ฟรี หมุนเวียนทุก 10 วันสำหรับเวิร์กสเปซอื่น และสำรองฐานข้อมูลบัญชีกลางทุกวัน โดยเก็บไว้ 30 วันในพื้นที่จัดเก็บส่วนตัวในสหรัฐอเมริกา (us-east1)
• การลบข้อมูล: ลูกค้าทุกรายสามารถลบเวิร์กสเปซทั้งหมดได้จากแผงควบคุม รวมถึงสื่อ สำเนาที่เก็บถาวร และไฟล์ AI ที่ OpenAI การลบการสนทนาจะลบข้อความและสื่อของการสนทนานั้น
• การลดปริมาณข้อมูล: โดยค่าเริ่มต้น ข้อมูลขาเข้าจากแพลตฟอร์มจะถูกลบหลังจาก 14 วัน ล็อกของเซิร์ฟเวอร์หลังจาก 14 วัน และการบันทึกการโทรหลังจาก 90 วัน
• การตรวจติดตาม: การตรวจติดตามสถานะการให้บริการจากภายนอก และการตรวจติดตามหน่วยความจำ ฐานข้อมูล เซสชัน และคิวภายใน พร้อมการแจ้งเตือนแบบเรียลไทม์ ซึ่งหมายเลขโทรศัพท์และที่อยู่อีเมลจะถูกปิดบัง

รายชื่อผู้ประมวลผลข้อมูลช่วงปัจจุบัน พร้อมข้อมูลที่แต่ละรายประมวลผล ที่ตั้ง และมาตรการคุ้มครองการโอนข้อมูล เผยแพร่อยู่บนหน้าผู้ประมวลผลข้อมูลช่วงของเรา และถือเป็นส่วนหนึ่งของ DPA ฉบับนี้

ข้อสัญญามาตรฐาน (Standard Contractual Clauses) ตามคำวินิจฉัยในการบังคับใช้ของคณะกรรมาธิการ (EU) 2021/914 ถูกรวมไว้โดยการอ้างอิง:

• Module Two (ผู้ควบคุมข้อมูลไปยังผู้ประมวลผลข้อมูล) ในกรณีที่คุณเป็นผู้ควบคุมข้อมูล และ Module Three (ผู้ประมวลผลข้อมูลไปยังผู้ประมวลผลข้อมูล) ในกรณีที่คุณทำหน้าที่เป็นผู้ประมวลผลข้อมูลให้ผู้อื่น
• ข้อ 7 (docking clause): รวมไว้
• ข้อ 9(a): ทางเลือกที่ 2 (การอนุญาตเป็นลายลักษณ์อักษรแบบทั่วไป) โดยแจ้งล่วงหน้า 30 วัน
• ข้อ 11(a): ไม่ใช้ถ้อยคำที่เป็นทางเลือก
• ข้อ 13: หน่วยงานกำกับดูแลที่มีอำนาจกำหนดตามข้อ 13(a) ตามสถานการณ์ของคุณ
• ข้อ 17: ทางเลือกที่ 1 อยู่ภายใต้กฎหมายของไอร์แลนด์ ข้อ 18: ศาลของไอร์แลนด์
• ภาคผนวก I.A: คู่สัญญาตามข้อ 1 (คุณในฐานะผู้ส่งออกข้อมูล เราในฐานะผู้นำเข้าข้อมูล) ภาคผนวก I.B: ภาคผนวก I ของ DPA ฉบับนี้ ภาคผนวก I.C: ตามที่กำหนดภายใต้ข้อ 13 ภาคผนวก II: ภาคผนวก II ของ DPA ฉบับนี้ ภาคผนวก III: ภาคผนวก III ของ DPA ฉบับนี้

สำหรับการโอนข้อมูลที่อยู่ภายใต้กฎหมายสหราชอาณาจักร ภาคผนวกเพิ่มเติมว่าด้วยการโอนข้อมูลระหว่างประเทศต่อข้อสัญญามาตรฐานของสหภาพยุโรป (International Data Transfer Addendum) ของ ICO ถูกรวมไว้โดยการอ้างอิง ดังนี้ ตารางที่ 1 คู่สัญญาข้างต้น ตารางที่ 2 ข้อสัญญาที่เลือกข้างต้น ตารางที่ 3 ภาคผนวก I ถึง III ตารางที่ 4 คู่สัญญาฝ่ายใดฝ่ายหนึ่งอาจยุติภาคผนวกเพิ่มเติมได้ตามที่กำหนดไว้ในส่วนที่ 19 ของภาคผนวกเพิ่มเติมนั้น

สำหรับการโอนข้อมูลระหว่างประเทศที่อยู่ภายใต้ LGPD เมื่อยอมรับข้อกำหนดและเงื่อนไข (Terms & Conditions) คู่สัญญาตกลงนำข้อสัญญามาตรฐานในภาคผนวก II ของมติ CD/ANPD เลขที่ 19/2024 มาใช้ทั้งหมดโดยไม่มีการเปลี่ยนแปลงใด ๆ ทั้งนี้ ให้ถือตามฉบับภาษาโปรตุเกสอย่างเป็นทางการ

• หมวด I: คุณเป็นผู้ส่งออก (ผู้ควบคุมข้อมูล) และเราเป็นผู้นำเข้า (ผู้ดำเนินการ) โดยการโอนข้อมูลมีรายละเอียดตามภาคผนวก I
• หมวด III (มาตรการรักษาความปลอดภัย): ภาคผนวก II
• หมวด IV: ไม่มีข้อสัญญาเพิ่มเติม

ไม่มีข้อกำหนดอื่นใดของ DPA ฉบับนี้หรือของข้อกำหนดและเงื่อนไข (Terms & Conditions) ที่จะยกเว้น แก้ไข หรือขัดแย้งกับข้อสัญญาเหล่านี้ได้

สำหรับการโอนข้อมูลส่วนบุคคลออกนอกราชอาณาจักร เมื่อยอมรับข้อกำหนดและเงื่อนไข (Terms & Conditions) คู่สัญญาตกลงนำข้อสัญญามาตรฐานสำหรับการโอนข้อมูลส่วนบุคคลที่ออกโดยหน่วยงานข้อมูลและปัญญาประดิษฐ์แห่งซาอุดีอาระเบีย (SDAIA) แบบที่ 2 (ผู้ควบคุมข้อมูลไปยังผู้ประมวลผลข้อมูล) มาใช้โดยไม่มีการแก้ไข

• คู่สัญญา: คุณเป็นผู้ส่งออก และเราเป็นผู้นำเข้า
• ภาคผนวกที่ 1 ถึง 3 ของแบบดังกล่าว: ข้อ 1 ภาคผนวก I และภาคผนวก II ของ DPA ฉบับนี้
• ข้อสัญญาเหล่านี้อยู่ภายใต้กฎหมายของราชอาณาจักรซาอุดีอาระเบีย และศาลของราชอาณาจักรมีเขตอำนาจ ตามที่ข้อสัญญากำหนด
• เราจะแจ้งเหตุละเมิดข้อมูลให้คุณทราบภายใน 24 ชั่วโมง ส่งต่อคำขอของเจ้าของข้อมูลภายใน 48 ชั่วโมง และให้ความร่วมมือกับ SDAIA ในการตรวจสอบใด ๆ
• เราจะแจ้งให้คุณทราบว่าผู้ประมวลผลข้อมูลช่วงรายใดที่อยู่นอกราชอาณาจักรได้เข้าร่วมข้อสัญญาเหล่านี้แล้ว และรายใดยังไม่ได้เข้าร่วม ก่อนที่เราจะใช้บริการของผู้ประมวลผลข้อมูลช่วงเหล่านั้นกับข้อมูลของคุณ