ข้อตกลงเพิ่มเติมว่าด้วยการประมวลผลข้อมูล

Realytics Corp Limited

ปรับปรุงล่าสุด: 5 สิงหาคม 2026 | มีผลบังคับใช้: 5 สิงหาคม 2026

ข้อตกลงเพิ่มเติมว่าด้วยการประมวลผลข้อมูลฉบับนี้และภาคผนวกของข้อตกลงนี้ (ต่อไปนี้เรียกว่า "DPA") สะท้อนข้อตกลงระหว่าง Realytics กับลูกค้า (ตามที่นิยามไว้ด้านล่าง) ซึ่งรวมเรียกว่า "คู่สัญญา" ("Parties") ในส่วนที่เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้าภายใต้ข้อกำหนดการให้บริการ สัญญาการสมัครใช้บริการ ใบสั่งซื้อ หรือสัญญาอื่นใดที่ทำเป็นลายลักษณ์อักษรหรือทางอิเล็กทรอนิกส์ระหว่างคู่สัญญาซึ่งอ้างอิงถึง DPA ฉบับนี้ (ต่อไปนี้เรียกว่า "สัญญา" ("Agreement"))

DPA ฉบับนี้ถูกรวมเข้าเป็นส่วนหนึ่งของสัญญาและถือเป็นส่วนอันมิอาจแยกได้ของสัญญา โดยไม่จำเป็นต้องมีการลงนามเพิ่มเติมจากคู่สัญญาฝ่ายใด สำหรับลูกค้าที่กระบวนการภายในกำหนดให้ต้องมีฉบับสำหรับลงนาม สามารถขอรับได้ที่

ในกรณีที่ DPA ฉบับนี้ขัดหรือแย้งกับสัญญา ให้ยึดถือ DPA ฉบับนี้เป็นสำคัญ ในกรณีที่ DPA ฉบับนี้ขัดหรือแย้งกับข้อสัญญามาตรฐานที่อ้างถึงในข้อ 9 ให้ยึดถือข้อสัญญามาตรฐานเป็นสำคัญ

1. คำนิยาม

คำที่ขึ้นต้นด้วยอักษรตัวใหญ่ซึ่งมิได้นิยามไว้ในที่นี้ ให้มีความหมายตามที่กำหนดไว้ในสัญญา

"บริษัทในเครือ" ("Affiliate") หมายถึง นิติบุคคลที่เป็นเจ้าของหรือควบคุม ที่ถูกเป็นเจ้าของหรือถูกควบคุมโดย หรือที่อยู่ภายใต้ความเป็นเจ้าของหรือการควบคุมร่วมกันกับนิติบุคคลที่กล่าวถึง โดย "การควบคุม" หมายถึง อำนาจในการกำหนดทิศทางการบริหารจัดการหรือกิจการของนิติบุคคล และ "ความเป็นเจ้าของ" หมายถึง ความเป็นเจ้าของที่แท้จริงในหลักทรัพย์ที่มีสิทธิออกเสียงหรือสิทธิออกเสียงในลักษณะเทียบเท่าตั้งแต่ร้อยละห้าสิบ (50%) ขึ้นไป

"กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ" ("Applicable Data Protection Law") หมายถึง กฎหมายทั้งปวงที่เกี่ยวกับการคุ้มครองข้อมูลและความเป็นส่วนตัวซึ่งใช้บังคับกับการประมวลผลภายใต้ DPA ฉบับนี้ รวมถึงกฎหมายคุ้มครองข้อมูลของยุโรป CCPA กฎหมาย Virginia Consumer Data Protection Act กฎหมาย Colorado Privacy Act กฎหมาย Connecticut Data Privacy Act กฎหมาย Utah Consumer Privacy Act และกฎหมายคุ้มครองความเป็นส่วนตัวระดับมลรัฐอื่นของสหรัฐอเมริกาที่ใช้บังคับ

"CCPA" หมายถึง กฎหมาย California Consumer Privacy Act ซึ่งแก้ไขเพิ่มเติมโดยกฎหมาย California Privacy Rights Act พร้อมด้วยกฎระเบียบที่ออกเพื่อการบังคับใช้กฎหมายดังกล่าว

"ผู้ควบคุมข้อมูล" ("Controller") หมายถึง นิติบุคคลที่กำหนดวัตถุประสงค์และวิธีการในการประมวลผลข้อมูลส่วนบุคคล รวมถึง "ธุรกิจ" (business) ตามความหมายของคำดังกล่าวภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ

"ลูกค้า" ("Customer") หมายถึง นิติบุคคลที่เข้าทำสัญญากับ Realytics เพื่อเข้าถึงหรือใช้บริการ

"ข้อมูลส่วนบุคคลของลูกค้า" ("Customer Personal Data") หมายถึง ข้อมูลส่วนบุคคลตามที่ระบุไว้ในภาคผนวก I ซึ่งลูกค้าหรือผู้ใช้ที่ได้รับอนุญาตของลูกค้าส่งเข้า อัปโหลด หรือทำให้เข้าถึงได้ผ่านบริการ หรือที่ Realytics ประมวลผลในนามของลูกค้าภายใต้สัญญา และซึ่งลูกค้าเป็นผู้ควบคุมข้อมูลหรือเป็นผู้ประมวลผลข้อมูลที่ดำเนินการในนามของผู้ควบคุมข้อมูลซึ่งเป็นบุคคลภายนอก

"เจ้าของข้อมูลส่วนบุคคล" ("Data Subject") "ประมวลผล" ("Process") "ประมวลผลแล้ว" ("Processed") และ "การประมวลผล" ("Processing") แต่ละคำให้มีความหมายตามที่กำหนดไว้ภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ

"ข้อมูลระดับสถานประกอบการ" ("Establishment-Level Data") หมายถึง ข้อมูลที่เกี่ยวข้องกับธุรกิจ แบรนด์ ร้านค้า สาขา จุดจำหน่าย สถานที่ให้บริการ หรือสถานที่ประกอบการเชิงพาณิชย์อื่น หรือนิติบุคคล และที่ Realytics มิได้ใช้เพื่อระบุตัวตน แยกแยะเจาะจง หรือจัดทำโปรไฟล์ของบุคคลธรรมดารายใด

"กฎหมายคุ้มครองข้อมูลของยุโรป" ("European Data Protection Laws") หมายถึง GDPR กฎหมาย Data Protection Act 2018 ของสหราชอาณาจักรพร้อมด้วย UK GDPR และกฎหมาย Swiss Federal Act on Data Protection ตามที่แต่ละฉบับมีการแก้ไขเพิ่มเติมหรือมีกฎหมายอื่นใช้แทน

"GDPR" หมายถึง ระเบียบ (EU) 2016/679 และระเบียบฉบับเดียวกันตามที่ได้ถูกนำมาบัญญัติเป็นส่วนหนึ่งของกฎหมายแห่งสหราชอาณาจักร

"ข้อมูลส่วนบุคคล" ("Personal Data") หมายถึง ข้อมูลส่วนบุคคลหรือสารสนเทศส่วนบุคคลตามที่นิยามไว้ภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ

"การละเมิดข้อมูลส่วนบุคคล" ("Personal Data Breach") หมายถึง การละเมิดความมั่นคงปลอดภัยอันเป็นเหตุให้ข้อมูลส่วนบุคคลที่ส่ง จัดเก็บ หรือประมวลผลด้วยประการอื่น ถูกทำลาย สูญหาย เปลี่ยนแปลง หรือถูกเปิดเผยหรือถูกเข้าถึงโดยไม่ได้รับอนุญาต ไม่ว่าโดยอุบัติเหตุหรือโดยมิชอบด้วยกฎหมาย

"ผู้ประมวลผลข้อมูล" ("Processor") หมายถึง นิติบุคคลที่ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูล รวมถึง "ผู้ให้บริการ" (service provider) ตามความหมายของคำดังกล่าวภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ

"Realytics" หมายถึง Realytics Corp Limited บริษัทที่จดทะเบียนในไซปรัสภายใต้เลขทะเบียน HE424817 มีสำนักงานจดทะเบียนตั้งอยู่ที่ 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus หรือหมายถึง Reality Analytics, Inc. ในกรณีที่สัญญาทำขึ้นกับนิติบุคคลดังกล่าว

"หน่วยงานกำกับดูแล" ("Regulator") หมายถึง หน่วยงานกำกับดูแลหรือหน่วยงานบังคับใช้กฎหมายที่มีเขตอำนาจเหนือการประมวลผล

"บริการ" ("Services") หมายถึง บริการที่ Realytics ให้แก่ลูกค้าภายใต้สัญญา

"ข้อสัญญามาตรฐาน" ("Standard Contractual Clauses") หรือ "SCCs" หมายถึง ข้อสัญญามาตรฐานที่ได้รับความเห็นชอบตามคำวินิจฉัยเพื่อการบังคับใช้ของคณะกรรมาธิการยุโรป (EU) 2021/914 ลงวันที่ 4 มิถุนายน 2021

"ผู้ประมวลผลข้อมูลช่วง" ("Sub-Processor") หมายถึง ผู้ประมวลผลข้อมูลรายใดก็ตามที่ Realytics ว่าจ้าง รวมถึงบริษัทในเครือของ Realytics เพื่อประมวลผลข้อมูลส่วนบุคคลของลูกค้า

2. บทบาทและขอบเขต

2.1 บทบาทในฐานะผู้ประมวลผลข้อมูล ในส่วนที่เกี่ยวกับข้อมูลส่วนบุคคลของลูกค้า ลูกค้าเป็นผู้ควบคุมข้อมูลและ Realytics เป็นผู้ประมวลผลข้อมูล ในกรณีที่ลูกค้าทำหน้าที่เป็นผู้ประมวลผลข้อมูลในนามของผู้ควบคุมข้อมูลซึ่งเป็นบุคคลภายนอก Realytics จะทำหน้าที่เป็นผู้ประมวลผลข้อมูลช่วงของลูกค้า และลูกค้ามีหน้าที่รับผิดชอบในการทำให้มั่นใจว่าคำสั่งที่ลูกค้าให้แก่ Realytics ได้รับอนุญาตจากผู้ควบคุมข้อมูลที่เกี่ยวข้อง Realytics จะประมวลผลข้อมูลส่วนบุคคลของลูกค้าเฉพาะตามที่กำหนดไว้ใน DPA ฉบับนี้และตามคำสั่งของลูกค้าเท่านั้น

2.2 บทบาทในฐานะผู้ควบคุมข้อมูล Realytics ทำหน้าที่เป็นผู้ควบคุมข้อมูล มิใช่ผู้ประมวลผลข้อมูล ในส่วนที่เกี่ยวกับข้อมูลการลงทะเบียนบัญชี รายละเอียดของผู้ใช้ที่ได้รับอนุญาต ข้อมูลการเรียกเก็บเงินและการชำระเงิน การติดต่อสื่อสารด้านการสนับสนุน ตลอดจนข้อมูลการใช้งานบริการและข้อมูลเทเลเมทรี ซึ่ง Realytics ประมวลผลเพื่อวัตถุประสงค์ในการให้บริการ การรักษาความมั่นคงปลอดภัย การสนับสนุน การดูแลรักษา และการปรับปรุงบริการ การบริหารความสัมพันธ์กับลูกค้า การป้องกันการฉ้อโกง ความต่อเนื่องทางธุรกิจ และการดำเนินงานหลักทางธุรกิจ เช่น การบัญชี การเรียกเก็บเงิน และการปฏิบัติตามกฎหมาย การประมวลผลข้อมูลดังกล่าวของ Realytics ในฐานะผู้ควบคุมข้อมูลได้อธิบายไว้ในนโยบายความเป็นส่วนตัวของ Realytics และมิได้อยู่ภายใต้บังคับของ DPA ฉบับนี้

2.3 ข้อมูลของ Realytics เอง ชุดข้อมูลที่ Realytics รวบรวม ได้รับอนุญาตให้ใช้สิทธิ หรือจัดทำขึ้นโดยเป็นอิสระจากลูกค้า — รวมถึงข้อมูลที่ได้จากการเก็บรวบรวมจากหน้าเว็บที่เข้าถึงได้โดยสาธารณะ ชุดข้อมูลของบุคคลภายนอกที่ได้รับอนุญาตให้ใช้สิทธิ และข้อมูลระดับสถานประกอบการ — ไม่ถือเป็นข้อมูลส่วนบุคคลของลูกค้าและไม่อยู่ภายใต้บังคับของ DPA ฉบับนี้ ไม่ว่าข้อมูลดังกล่าวจะถูกนำเสนอต่อลูกค้าผ่านบริการหรือไม่ก็ตาม

2.4 บริษัทในเครือของลูกค้า ในกรณีที่บริษัทในเครือของลูกค้าได้ซื้อการสมัครใช้บริการโดยตรงภายใต้สัญญา DPA ฉบับนี้ใช้บังคับกับการสมัครใช้บริการดังกล่าว และให้ถือว่าบริษัทในเครือแต่ละรายเป็นผู้ควบคุมข้อมูลสำหรับข้อมูลส่วนบุคคลของลูกค้าของตนเอง ลูกค้ามีหน้าที่รับผิดชอบในการประสานงานการติดต่อสื่อสารทั้งหมดกับ Realytics ภายใต้ DPA ฉบับนี้ในนามของตนเองและบริษัทในเครือของตน และมีสิทธิดำเนินการติดต่อสื่อสารและรับการติดต่อสื่อสารดังกล่าวในนามของบริษัทในเครือเหล่านั้น

2.5 ระยะเวลา Realytics จะประมวลผลข้อมูลส่วนบุคคลของลูกค้าตลอดระยะเวลาของสัญญา และภายหลังจากนั้นเฉพาะเท่าที่ข้อ 8 อนุญาตเท่านั้น

3. หน้าที่ของลูกค้า

3.1 ลูกค้าจะประมวลผลข้อมูลส่วนบุคคลของลูกค้าและออกคำสั่งแก่ Realytics โดยเป็นไปตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ลูกค้าเป็นผู้รับผิดชอบแต่เพียงผู้เดียวต่อความถูกต้อง คุณภาพ และความชอบด้วยกฎหมายของข้อมูลส่วนบุคคลของลูกค้า และต่อวิธีการที่ลูกค้าได้ข้อมูลนั้นมา

3.2 ลูกค้ารับรองว่าตนมีสิทธิที่จำเป็นทั้งปวงและมีฐานทางกฎหมายที่ชอบด้วยกฎหมายในการส่งมอบข้อมูลส่วนบุคคลของลูกค้าให้แก่ Realytics เพื่อการประมวลผลตามที่กำหนดไว้ในสัญญา ในกรณีที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนดไว้ ลูกค้ามีหน้าที่รับผิดชอบในการขอรับและเก็บรักษาบันทึกความยินยอมของเจ้าของข้อมูลส่วนบุคคลที่จำเป็น หากมีการถอนความยินยอม ลูกค้ามีหน้าที่รับผิดชอบในการแจ้งให้ Realytics ทราบ และ Realytics ยังคงมีหน้าที่รับผิดชอบในการดำเนินการตามคำสั่งที่เป็นผลตามมาโดยสอดคล้องกับ DPA ฉบับนี้

3.3 ข้อมูลต้องห้าม ลูกค้าจะไม่ส่งข้อมูลต่อไปนี้เข้าสู่บริการ และจะไม่อนุญาตให้ผู้ใช้ที่ได้รับอนุญาตของตนส่งข้อมูลดังกล่าว:

(a) ข้อมูลส่วนบุคคลประเภทพิเศษตามความหมายของมาตรา 9 ของ GDPR อันได้แก่ ข้อมูลที่เปิดเผยเชื้อชาติหรือชาติพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนาหรือปรัชญา การเป็นสมาชิกสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวมิติที่ประมวลผลเพื่อวัตถุประสงค์ในการระบุตัวตน ข้อมูลเกี่ยวกับสุขภาพ หรือข้อมูลเกี่ยวกับชีวิตทางเพศหรือรสนิยมทางเพศของบุคคลธรรมดา

(b) ข้อมูลส่วนบุคคลเกี่ยวกับการต้องคำพิพากษาว่ากระทำความผิดอาญาหรือการกระทำความผิดอาญา

(c) ข้อมูลส่วนบุคคลของเด็กที่มีอายุต่ำกว่าสิบหก (16) ปี หรือ

(d) หมายเลขบัตรชำระเงิน หมายเลขบัญชีทางการเงิน หมายเลขประจำตัวที่ออกโดยหน่วยงานของรัฐ หรือข้อมูลตำแหน่งที่ตั้งที่แม่นยำของบุคคลธรรมดาที่ระบุตัวตนได้

บริการมิได้ออกแบบมาเพื่อประมวลผลข้อมูลที่ระบุไว้ในข้อ 3.3 นี้ และ Realytics ไม่มีหน้าที่หรือความรับผิดใดในส่วนที่เกี่ยวกับข้อมูลดังกล่าวหากมีการส่งเข้ามาอันเป็นการฝ่าฝืนข้อนี้

3.4 การชดใช้ค่าเสียหาย ลูกค้าจะแก้ต่าง ชดใช้ค่าเสียหาย และปกป้อง Realytics และบริษัทในเครือของ Realytics ให้พ้นจากข้อเรียกร้อง คำเรียกร้อง กระบวนพิจารณา ค่าปรับ ความเสียหาย หรือค่าใช้จ่ายใด (รวมถึงค่าธรรมเนียมทางกฎหมายตามสมควร) ที่เกิดขึ้นจากหรือเกี่ยวข้องกับ (a) ข้อมูลส่วนบุคคลของลูกค้าที่ลูกค้าไม่มีฐานทางกฎหมายหรือสิทธิที่จำเป็นในการส่งมอบให้แก่ Realytics (b) การที่ลูกค้าฝ่าฝืนข้อ 3.3 หรือ (c) คำสั่งใดจากลูกค้าที่เป็นเหตุให้ Realytics ฝ่าฝืนกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ทั้งนี้ โดยมีเงื่อนไขว่า Realytics ได้แจ้งให้ลูกค้าทราบตามข้อ 4.1(c) แล้วในกรณีที่ Realytics สามารถทำเช่นนั้นได้

4. หน้าที่ของ Realytics ในฐานะผู้ประมวลผลข้อมูล

4.1 เท่าที่ Realytics ประมวลผลข้อมูลส่วนบุคคลของลูกค้าในนามของลูกค้า Realytics จะ:

(a) ประมวลผลข้อมูลส่วนบุคคลของลูกค้าตามคำสั่งที่เป็นลายลักษณ์อักษรของลูกค้าเท่านั้น ซึ่งรวมถึงสัญญา DPA ฉบับนี้ การตั้งค่าและการใช้บริการของลูกค้า และคำสั่งอื่นใดที่เป็นลายลักษณ์อักษรอันสมเหตุสมผลและสอดคล้องกับ DPA ฉบับนี้ รวมถึงคำสั่งเกี่ยวกับการโอนข้อมูลไปยังประเทศที่สาม เว้นแต่ในกรณีที่จำเป็นต้องปฏิบัติตามกฎหมายที่ Realytics อยู่ภายใต้บังคับ

(b) ในกรณีที่กฎหมายกำหนดให้ต้องประมวลผลนอกเหนือจากคำสั่งของลูกค้า แจ้งให้ลูกค้าทราบถึงข้อกำหนดทางกฎหมายดังกล่าวก่อนการประมวลผล เว้นแต่กฎหมายห้ามมิให้เปิดเผยข้อมูลนั้น

(c) แจ้งให้ลูกค้าทราบโดยพลันหาก Realytics เห็นว่าคำสั่งจากลูกค้าละเมิดกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ

(d) ทำให้มั่นใจว่าบุคลากรที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้าผูกพันตามหน้าที่รักษาความลับ และจำกัดการเข้าถึงไว้เฉพาะบุคลากรที่จำเป็นต้องเข้าถึงเพื่อให้บริการ สนับสนุน หรือรักษาความมั่นคงปลอดภัยของบริการ และ

(e) จัดให้มีนโยบายความมั่นคงปลอดภัยของสารสนเทศเป็นลายลักษณ์อักษรซึ่งครอบคลุมการประมวลผลข้อมูลส่วนบุคคลของลูกค้า

4.2 ข้อจำกัดในฐานะผู้ให้บริการและผู้ประมวลผลข้อมูล Realytics จะไม่:

(a) เก็บรักษา ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้านอกเหนือจากที่จำเป็นเพื่อการให้บริการและการปฏิบัติตามสัญญา หรือตามที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับอนุญาตไว้เป็นอย่างอื่น

(b) เก็บรักษา ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของลูกค้านอกเหนือขอบเขตความสัมพันธ์ทางธุรกิจโดยตรงระหว่าง Realytics กับลูกค้า

(c) "ขาย" (sell) หรือ "แบ่งปัน" (share) ข้อมูลส่วนบุคคลของลูกค้า ตามความหมายของคำเหล่านั้นภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ หรือ

(d) รวมข้อมูลส่วนบุคคลของลูกค้าเข้ากับข้อมูลส่วนบุคคลที่ได้รับจากหรือในนามของบุคคลอื่นใด หรือที่เก็บรวบรวมจากการปฏิสัมพันธ์ของ Realytics เองกับบุคคลธรรมดา เว้นแต่ตามที่ข้อ 5 อนุญาตหรือเท่าที่จำเป็นเพื่อการให้บริการ

คู่สัญญารับทราบว่าการที่ลูกค้าเปิดเผยข้อมูลส่วนบุคคลของลูกค้าให้แก่ Realytics มิได้เป็นส่วนหนึ่งของค่าตอบแทนที่เป็นตัวเงินหรือสิ่งตอบแทนอันมีมูลค่าอื่นใดที่แลกเปลี่ยนกันระหว่างคู่สัญญา Realytics จะให้ความคุ้มครองความเป็นส่วนตัวแก่ข้อมูลส่วนบุคคลของลูกค้าในระดับเดียวกับที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนดให้ลูกค้าต้องปฏิบัติ และจะแจ้งให้ลูกค้าทราบหาก Realytics พิจารณาแล้วเห็นว่าตนไม่สามารถปฏิบัติตามหน้าที่ภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับได้อีกต่อไป

5. การวิเคราะห์ระดับสถานประกอบการและการปรับปรุงบริการ

5.1 วัตถุประสงค์ บริการทำงานโดยการจำแนกกิจกรรมเชิงพาณิชย์ลงสู่ระดับของธุรกิจ แบรนด์ หรือสถานที่ตั้งทางกายภาพ Realytics ไม่มุ่งระบุตัวตน แยกแยะเจาะจง จัดทำโปรไฟล์ หรือตัดสินใจเกี่ยวกับบุคคลธรรมดารายใด และไม่พยายามระบุตัวตนบุคคลธรรมดาย้อนกลับภายในชุดข้อมูลใดที่ Realytics ถือครองอยู่

5.2 การใช้งานที่อนุญาต Realytics อาจใช้ข้อมูลระดับสถานประกอบการและข้อมูลภาพรวมหรือข้อมูลเชิงสถิติที่ได้จากการดำเนินงานของบริการ รวมถึงข้อมูลที่ได้มาจากข้อมูลส่วนบุคคลของลูกค้า เพื่อให้บริการ รักษาความมั่นคงปลอดภัย ดูแลรักษา วิเคราะห์ และปรับปรุงบริการ รวมถึงเพื่อพัฒนา ฝึกฝน ทดสอบ และประเมินผลโมเดลเชิงวิเคราะห์และโมเดลการเรียนรู้ของเครื่องที่เป็นส่วนหนึ่งของบริการ

5.3 ข้อจำกัด Realytics จะใช้ข้อมูลตามข้อ 5.2 เฉพาะเมื่อข้อมูลนั้นได้ผ่านการรวมเป็นข้อมูลภาพรวมหรือถูกลดทอนลงเป็นข้อมูลระดับสถานประกอบการแล้ว จนไม่สามารถระบุตัวบุคคลธรรมดารายใดได้อีกต่อไปและไม่อาจถูกนำไปใช้ระบุตัวบุคคลธรรมดาได้ตามสมควร รวมทั้งไม่สามารถระบุตัวลูกค้าได้อีกต่อไป Realytics จะไม่เปิดเผยข้อมูลส่วนบุคคลของลูกค้าเอง หรือผลลัพธ์ใดที่ระบุตัวลูกค้าได้ ให้แก่ลูกค้ารายอื่นใด

5.4 ข้อมูลระดับบุคคล Realytics ไม่ถือครองและไม่แสวงหาระเบียนข้อมูลระดับบุคคลของบุคคลธรรมดาในชุดข้อมูลที่เป็นพื้นฐานของบริการ

5.5 การคัดค้าน ในกรณีที่เจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้านตามมาตรา 21 ของ GDPR ในส่วนที่เกี่ยวกับการประมวลผลที่ดำเนินการภายใต้ข้อนี้ Realytics จะดำเนินการให้เป็นไปตามการคัดค้านนั้นโดยสอดคล้องกับกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ

6. ความมั่นคงปลอดภัย

6.1 โดยคำนึงถึงเทคโนโลยีที่ก้าวหน้าที่สุดในขณะนั้น ต้นทุนในการดำเนินการ ตลอดจนลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล รวมทั้งความเสี่ยงต่อเจ้าของข้อมูลส่วนบุคคล Realytics จะจัดให้มีและคงไว้ซึ่งมาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อคุ้มครองข้อมูลส่วนบุคคลของลูกค้าจากการละเมิดข้อมูลส่วนบุคคล มาตรการดังกล่าวได้อธิบายไว้ในภาคผนวก II

6.2 Realytics อาจปรับปรุงมาตรการในภาคผนวก II เป็นครั้งคราว โดยมีเงื่อนไขว่าการปรับปรุงดังกล่าวจะต้องไม่ทำให้ความมั่นคงปลอดภัยโดยรวมของบริการลดลงอย่างมีนัยสำคัญ

6.3 เมื่อลูกค้าร้องขอเป็นลายลักษณ์อักษร และภายใต้บังคับข้อกำหนดว่าด้วยการรักษาความลับของสัญญา Realytics จะให้ข้อมูลเท่าที่จำเป็นตามสมควรเพื่อแสดงถึงการปฏิบัติตามข้อ 6 นี้ ซึ่งอาจรวมถึงแบบสอบถามด้านความมั่นคงปลอดภัยที่กรอกเรียบร้อยแล้ว และบทสรุปของรายงานการตรวจสอบหรือใบรับรองจากบุคคลภายนอกเท่าที่มี ซึ่งอาจมีการปกปิดข้อความบางส่วนด้วยเหตุผลด้านความมั่นคงปลอดภัยหรือการรักษาความลับ

6.4 การตรวจสอบ ในกรณีที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนดไว้ และในกรณีที่ข้อมูลที่ให้ไว้ตามข้อ 6.3 ไม่เพียงพอ ลูกค้าอาจร้องขอให้มีการตรวจสอบการประมวลผลข้อมูลส่วนบุคคลของลูกค้าโดย Realytics การตรวจสอบดังกล่าวอาจดำเนินการได้ไม่เกินหนึ่งครั้งในรอบระยะเวลาสิบสอง (12) เดือน ต้องมีการแจ้งเป็นลายลักษณ์อักษรล่วงหน้าอย่างน้อยสามสิบ (30) วัน และอยู่ภายใต้เงื่อนไขว่าคู่สัญญาได้ตกลงกันล่วงหน้าเกี่ยวกับขอบเขต ช่วงเวลา และระยะเวลาของการตรวจสอบ ลูกค้าเป็นผู้รับผิดชอบค่าใช้จ่ายของตนเองและจะชดใช้ค่าใช้จ่ายตามสมควรของ Realytics สำหรับเวลาที่ใช้ไปในการสนับสนุนการตรวจสอบ ผลการตรวจสอบถือเป็นข้อมูลอันเป็นความลับของ Realytics ลูกค้าจะแจ้งให้ Realytics ทราบโดยพลันถึงการไม่ปฏิบัติตามข้อกำหนดที่ตรวจพบ และ Realytics จะใช้ความพยายามตามสมควรในทางการค้าเพื่อแก้ไขการไม่ปฏิบัติตามข้อกำหนดที่ได้รับการยืนยันแล้ว ไม่มีข้อความใดในข้อนี้ที่จำกัดการตรวจสอบหรือการเข้าตรวจที่หน่วยงานกำกับดูแลกำหนดให้ต้องดำเนินการ

7. ผู้ประมวลผลข้อมูลช่วง

7.1 การอนุญาต ลูกค้าให้การอนุญาตทั่วไปเป็นลายลักษณ์อักษรแก่ Realytics ในการว่าจ้างบริษัทในเครือของ Realytics และผู้ประมวลผลข้อมูลช่วงซึ่งเป็นบุคคลภายนอก เพื่อประมวลผลข้อมูลส่วนบุคคลของลูกค้าในส่วนที่เกี่ยวข้องกับบริการ การอนุญาตนี้ถือเป็นการอนุญาตล่วงหน้าเป็นลายลักษณ์อักษรของลูกค้าเพื่อวัตถุประสงค์ของข้อ 9 ของข้อสัญญามาตรฐาน รายชื่อผู้ประมวลผลข้อมูลช่วงในปัจจุบันมีอยู่ที่ realytics.com/legal/subprocessors และแสดงไว้ในภาคผนวก III

7.2 การแจ้งและการคัดค้าน Realytics จะแจ้งเกี่ยวกับผู้ประมวลผลข้อมูลช่วงรายใหม่โดยการปรับปรุงรายชื่ออย่างน้อย สิบห้า (15) วัน ก่อนที่ผู้ประมวลผลข้อมูลช่วงรายนั้นจะได้รับสิทธิเข้าถึงข้อมูลส่วนบุคคลของลูกค้า และจะจัดให้มีช่องทางที่ลูกค้าสามารถสมัครรับการแจ้งเตือนการปรับปรุงรายชื่อได้ ลูกค้าอาจคัดค้านโดยอาศัยเหตุผลอันสมควรที่เกี่ยวกับการคุ้มครองข้อมูลภายใน สิบสี่ (14) วัน นับแต่วันที่ได้รับแจ้ง หากลูกค้าไม่ตอบกลับภายในระยะเวลาดังกล่าว ให้ถือว่าลูกค้ายอมรับผู้ประมวลผลข้อมูลช่วงรายนั้นแล้ว

7.3 การระงับข้อขัดแย้ง หากลูกค้าคัดค้าน คู่สัญญาจะหารือเกี่ยวกับการคัดค้านนั้นโดยสุจริต หากไม่สามารถหาข้อยุติได้ภายในสามสิบ (30) วัน ลูกค้าอาจบอกเลิกบริการในส่วนที่ได้รับผลกระทบโดยแจ้งเป็นลายลักษณ์อักษร และ Realytics จะคืนค่าธรรมเนียมที่ชำระล่วงหน้าซึ่งครอบคลุมระยะเวลาภายหลังการบอกเลิกตามสัดส่วน

7.4 การส่งผ่านข้อผูกพันและความรับผิด Realytics จะกำหนดให้ผู้ประมวลผลข้อมูลช่วงแต่ละรายมีหน้าที่ด้านการคุ้มครองข้อมูลที่ให้ความคุ้มครองแก่ข้อมูลส่วนบุคคลของลูกค้าในระดับที่ไม่ต่ำกว่า DPA ฉบับนี้ ในกรณีที่ผู้ประมวลผลข้อมูลช่วงไม่ปฏิบัติตามหน้าที่ดังกล่าว Realytics ยังคงต้องรับผิดต่อลูกค้าสำหรับการปฏิบัติหน้าที่ของผู้ประมวลผลข้อมูลช่วงรายนั้น

8. การลบและการส่งคืนข้อมูล

8.1 เมื่อสัญญาสิ้นอายุหรือสิ้นสุดลง เมื่อลูกค้าร้องขอเป็นลายลักษณ์อักษร หรือเมื่อวัตถุประสงค์ของการประมวลผลได้บรรลุผลแล้ว Realytics จะลบข้อมูลส่วนบุคคลของลูกค้าภายใน สามสิบ (30) วัน เว้นแต่เท่าที่กฎหมายกำหนดให้ต้องเก็บรักษาไว้

8.2 ข้อมูลส่วนบุคคลของลูกค้าที่อยู่ในข้อมูลสำรองตามปกติจะถูกลบตามรอบการสำรองข้อมูลตามปกติของ Realytics และไม่ว่ากรณีใดจะถูกลบภายใน เก้าสิบ (90) วัน นับแต่การสิ้นสุดสัญญา

8.3 ลูกค้าสามารถส่งออกข้อมูลส่วนบุคคลของลูกค้าโดยใช้ฟังก์ชันการส่งออกของบริการได้ตลอดเวลาในระหว่างระยะเวลาของสัญญาโดยไม่มีค่าใช้จ่ายเพิ่มเติม ในกรณีที่ลูกค้าร้องขอการดึงข้อมูลแบบเฉพาะเจาะจงซึ่งต้องใช้ความพยายามทางวิศวกรรม Realytics อาจเรียกเก็บค่าใช้จ่ายตามสมควรของตน

8.4 Realytics จะรักษาความลับของข้อมูลส่วนบุคคลของลูกค้าที่เก็บรักษาไว้ตามข้อ 8.1 และจะประมวลผลข้อมูลนั้นเท่าที่จำเป็นเพื่อปฏิบัติตามกฎหมายที่ Realytics อยู่ภายใต้บังคับเท่านั้น

8.5 ข้อมูลภาพรวมและข้อมูลระดับสถานประกอบการที่สร้างขึ้นโดยชอบด้วยกฎหมายตามข้อ 5 ก่อนการสิ้นสุดสัญญา ซึ่งไม่สามารถระบุตัวลูกค้าหรือบุคคลธรรมดารายใดได้ ไม่อยู่ภายใต้บังคับการลบตามข้อนี้

9. การโอนข้อมูลระหว่างประเทศ

9.1 ข้อสัญญามาตรฐาน ในกรณีที่ข้อมูลส่วนบุคคลของลูกค้าซึ่งมีต้นทางในเขตเศรษฐกิจยุโรป สหราชอาณาจักร หรือสวิตเซอร์แลนด์ ถูกโอนไปยังประเทศที่ยังไม่ได้รับข้อวินิจฉัยรับรองความเพียงพอของระดับการคุ้มครองข้อมูล คู่สัญญาตกลงผูกพันตามโมดูลสอง (ผู้ควบคุมข้อมูลถึงผู้ประมวลผลข้อมูล) ของข้อสัญญามาตรฐาน ซึ่งถูกรวมเข้าเป็นส่วนหนึ่งของ DPA ฉบับนี้โดยการอ้างอิง ในกรณีที่ลูกค้าทำหน้าที่เป็นผู้ประมวลผลข้อมูลในนามของผู้ควบคุมข้อมูลซึ่งเป็นบุคคลภายนอก ให้ใช้โมดูลสาม (ผู้ประมวลผลข้อมูลถึงผู้ประมวลผลข้อมูล) แทน ลูกค้าปฏิบัติตามหน้าที่ของผู้ส่งออกข้อมูล และ Realytics ปฏิบัติตามหน้าที่ของผู้นำเข้าข้อมูล

9.2 การเลือกทางเลือกในข้อสัญญา เพื่อวัตถุประสงค์ของข้อสัญญามาตรฐาน:

(a) ข้อสัญญาทางเลือกว่าด้วยการเข้าร่วมเป็นคู่สัญญาเพิ่มเติม (docking clause) ในข้อ 7 ให้มีผลใช้บังคับเมื่อคู่สัญญาฝ่ายใดฝ่ายหนึ่งแจ้งอีกฝ่ายเป็นลายลักษณ์อักษรว่าจำเป็นต้องใช้

(b) ในข้อ 9 ให้ใช้ทางเลือกที่ 2 (การอนุญาตทั่วไปเป็นลายลักษณ์อักษร) โดยมีระยะเวลาการแจ้งตามที่กำหนดไว้ในข้อ 7.2

(c) ในข้อ 11 ข้อความทางเลือกว่าด้วยการระงับข้อพิพาทโดยองค์กรอิสระไม่มีผลใช้บังคับ

(d) ในข้อ 17 ให้ใช้ทางเลือกที่ 1 และให้ข้อสัญญามาตรฐานอยู่ภายใต้บังคับกฎหมายของสาธารณรัฐไซปรัส

(e) ในข้อ 18(b) ข้อพิพาทจะได้รับการระงับต่อศาลแห่งสาธารณรัฐไซปรัส

(f) ภาคผนวก I ของข้อสัญญามาตรฐานให้กรอกด้วยข้อมูลในภาคผนวก I ของ DPA ฉบับนี้ และภาคผนวก II ให้กรอกด้วยข้อมูลในภาคผนวก II ของ DPA ฉบับนี้ และ

(g) การเข้าทำ DPA ฉบับนี้ถือเป็นการลงลายมือชื่อของคู่สัญญาแต่ละฝ่ายในข้อสัญญามาตรฐานและภาคผนวกของข้อสัญญาดังกล่าว

9.3 สหราชอาณาจักร สำหรับการโอนข้อมูลที่อยู่ภายใต้บังคับ UK GDPR คู่สัญญาตกลงใช้เอกสารแนบท้ายว่าด้วยการโอนข้อมูลระหว่างประเทศของสหราชอาณาจักร (UK International Data Transfer Addendum) ฉบับ B1.0 ที่ออกโดยคณะกรรมาธิการข้อมูลข่าวสาร ซึ่งถูกรวมเข้าเป็นส่วนหนึ่งโดยการอ้างอิง ตารางที่ 1 ให้กรอกด้วยรายละเอียดของคู่สัญญาในภาคผนวก I ตารางที่ 2 ระบุให้ผู้ส่งออกข้อมูลเป็นผู้ควบคุมข้อมูลและผู้นำเข้าข้อมูลเป็นผู้ประมวลผลข้อมูล ตารางที่ 3 และตารางที่ 4 ให้กรอกด้วยข้อมูลในภาคผนวก I และภาคผนวก II ตามลำดับ

9.4 สวิตเซอร์แลนด์ สำหรับการโอนข้อมูลที่อยู่ภายใต้บังคับกฎหมาย Swiss Federal Act on Data Protection ให้คณะกรรมาธิการคุ้มครองข้อมูลและข้อมูลข่าวสารแห่งสหพันธรัฐเป็นหน่วยงานกำกับดูแลที่มีอำนาจ ให้การอ้างอิงถึง GDPR หมายถึงการอ้างอิงถึงกฎหมายสวิสดังกล่าว และเจ้าของข้อมูลส่วนบุคคลในสวิตเซอร์แลนด์อาจบังคับใช้สิทธิของตนในสวิตเซอร์แลนด์ได้

9.5 การโอนข้อมูลต่อ Realytics อาจโอนข้อมูลส่วนบุคคลของลูกค้าไปยัง Reality Analytics, Inc. และไปยังผู้ประมวลผลข้อมูลช่วงที่ระบุไว้ในภาคผนวก III โดยในแต่ละกรณีอยู่ภายใต้มาตรการคุ้มครองที่เหมาะสมตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ

9.6 การเปลี่ยนแปลงกลไกการโอนข้อมูล หากข้อสัญญามาตรฐานหรือเอกสารแนบท้ายของสหราชอาณาจักรถูกแก้ไขเพิ่มเติม ถูกใช้ฉบับอื่นแทน หรือถูกศาลหรือหน่วยงานกำกับดูแลที่มีเขตอำนาจวินิจฉัยว่าไม่สมบูรณ์หรือไม่เพียงพอ คู่สัญญาตกลงว่าข้อสัญญาที่ใช้แทนหรือที่ปรับปรุงใหม่ซึ่งใช้บังคับได้ หรือกลไกการโอนข้อมูลทางเลือกอื่นใดที่สมบูรณ์ภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ จะมีผลใช้บังคับโดยอัตโนมัตินับแต่วันที่กลไกนั้นใช้บังคับได้ และ Realytics อาจดำเนินมาตรการคุ้มครองเพิ่มเติมเท่าที่จำเป็นโดยไม่ต้องแก้ไข DPA ฉบับนี้

10. สิทธิของเจ้าของข้อมูลส่วนบุคคลและการให้ความช่วยเหลือ

10.1 ในกรณีที่ Realytics ได้รับคำร้องขอจากเจ้าของข้อมูลส่วนบุคคลเพื่อใช้สิทธิในการเข้าถึง แก้ไขให้ถูกต้อง ลบ จำกัดการประมวลผล ขอให้โอนย้ายข้อมูล หรือคัดค้าน ในส่วนที่เกี่ยวกับข้อมูลส่วนบุคคลของลูกค้า Realytics จะแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบโดยพลันเท่าที่กฎหมายอนุญาตว่าควรส่งคำร้องขอดังกล่าวไปยังลูกค้า และจะแจ้งให้ลูกค้าทราบถึงคำร้องขอนั้น

10.2 โดยคำนึงถึงลักษณะของการประมวลผล Realytics จะให้ความช่วยเหลือแก่ลูกค้าด้วยมาตรการทางเทคนิคและองค์กรที่เหมาะสมเท่าที่เป็นไปได้ตามสมควร ในการปฏิบัติตามหน้าที่ของลูกค้าในการตอบสนองต่อคำร้องขอดังกล่าว ในกรณีที่ลูกค้าไม่สามารถดำเนินการตามคำร้องขอผ่านฟังก์ชันการทำงานของบริการได้ Realytics จะใช้ความพยายามตามสมควรในทางการค้าเพื่อให้ความช่วยเหลือ

10.3 เมื่อลูกค้าร้องขอ และโดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่ Realytics มีอยู่ Realytics จะให้ความช่วยเหลือตามสมควรแก่ลูกค้าในการจัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลที่เกี่ยวข้องกับการใช้บริการของลูกค้า และในการหารือล่วงหน้ากับหน่วยงานกำกับดูแลตามมาตรา 36 ของ GDPR โดยในแต่ละกรณีเท่าที่ลูกค้าไม่สามารถเข้าถึงข้อมูลที่เกี่ยวข้องด้วยวิธีอื่นได้

11. การละเมิดข้อมูลส่วนบุคคล

11.1 Realytics จะแจ้งให้ลูกค้าทราบถึงการละเมิดข้อมูลส่วนบุคคลที่กระทบต่อข้อมูลส่วนบุคคลของลูกค้าโดยไม่ชักช้าเกินสมควร และไม่ว่ากรณีใดจะแจ้งภายในเจ็ดสิบสอง (72) ชั่วโมงนับแต่ทราบถึงการละเมิดนั้น โดยใช้รายละเอียดการติดต่อที่ลูกค้าได้ให้ไว้เพื่อวัตถุประสงค์ดังกล่าว ลูกค้ามีหน้าที่รับผิดชอบในการปรับปรุงรายละเอียดเหล่านั้นให้เป็นปัจจุบัน

11.2 การแจ้งจะรวมถึงลักษณะของการละเมิด ประเภทและปริมาณโดยประมาณของข้อมูลส่วนบุคคลของลูกค้าที่ได้รับผลกระทบ ผลกระทบที่น่าจะเกิดขึ้น และมาตรการที่ได้ดำเนินการหรือที่เสนอให้ดำเนินการ เท่าที่ทราบในขณะนั้น ในกรณีที่ยังไม่มีข้อมูลดังกล่าวในเวลาที่แจ้ง Realytics จะให้ข้อมูลเป็นระยะเมื่อมีข้อมูลเพิ่มเติม

11.3 Realytics จะดำเนินการตามสมควรในทางการค้าเพื่อจำกัดขอบเขตและแก้ไขการละเมิดเท่าที่การแก้ไขอยู่ในการควบคุมของ Realytics และจะให้ความช่วยเหลือตามสมควรแก่ลูกค้าเพื่อให้ลูกค้าสามารถแจ้งหน่วยงานกำกับดูแลและเจ้าของข้อมูลส่วนบุคคลที่ได้รับผลกระทบได้ในกรณีที่ลูกค้ามีหน้าที่ต้องแจ้ง

11.4 ลูกค้าเป็นผู้รับผิดชอบแต่เพียงผู้เดียวในการปฏิบัติตามหน้าที่ในการแจ้งเหตุการละเมิดที่ใช้บังคับกับลูกค้า และในหน้าที่การแจ้งต่อบุคคลภายนอกใด

11.5 ข้อนี้ไม่ใช้บังคับกับการละเมิดข้อมูลส่วนบุคคลที่เกิดจากลูกค้า ผู้ใช้ที่ได้รับอนุญาตของลูกค้า หรือผลิตภัณฑ์หรือบริการที่มิได้จัดหาโดย Realytics

11.6 การแจ้งการละเมิดข้อมูลส่วนบุคคลของ Realytics มิใช่การยอมรับความผิดหรือความรับผิด

12. ข้อกำหนดทั่วไป

12.1 ความรับผิด ความรับผิดของคู่สัญญาแต่ละฝ่ายและของบริษัทในเครือของคู่สัญญาฝ่ายนั้น ซึ่งเกิดขึ้นจากหรือเกี่ยวข้องกับ DPA ฉบับนี้ ไม่ว่าจะเป็นความรับผิดตามสัญญา ละเมิด หรือตามหลักความรับผิดอื่นใด ให้อยู่ภายใต้บังคับข้อจำกัดและข้อยกเว้นความรับผิดที่กำหนดไว้ในสัญญา การอ้างถึงความรับผิดของคู่สัญญาฝ่ายใดในสัญญา ให้หมายถึงความรับผิดโดยรวมของคู่สัญญาฝ่ายนั้นและบริษัทในเครือทั้งหมดของฝ่ายนั้นภายใต้สัญญาและภายใต้ข้อตกลงเพิ่มเติมว่าด้วยการประมวลผลข้อมูลทั้งหมดรวมกัน ไม่มีข้อความใดใน DPA ฉบับนี้ที่จำกัดความรับผิดที่ไม่อาจจำกัดได้ภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ รวมถึงสิทธิของเจ้าของข้อมูลส่วนบุคคลตามมาตรา 79 และมาตรา 82 ของ GDPR

12.2 กฎหมายที่ใช้บังคับ DPA ฉบับนี้อยู่ภายใต้บังคับกฎหมายที่ใช้บังคับกับสัญญา ในกรณีที่สัญญามิได้ระบุกฎหมายที่ใช้บังคับ ให้ DPA ฉบับนี้อยู่ภายใต้บังคับกฎหมายของสาธารณรัฐไซปรัส และให้ศาลไซปรัสมีเขตอำนาจแต่เพียงผู้เดียว ทั้งนี้ ภายใต้บังคับข้อ 9.2(e) และข้อ 9.3

12.3 ลำดับความสำคัญของเอกสาร DPA ฉบับนี้มีผลเหนือข้อกำหนดใดของสัญญาที่ขัดหรือแย้งกัน ในส่วนที่เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของลูกค้า เว้นแต่ในส่วนที่ถูกแก้ไขโดย DPA ฉบับนี้ ให้สัญญายังคงมีผลบังคับใช้อย่างสมบูรณ์

12.4 การเปลี่ยนแปลง DPA ฉบับนี้ Realytics อาจปรับปรุง DPA ฉบับนี้เพื่อให้สอดคล้องกับการเปลี่ยนแปลงของกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ของบริการ หรือของผู้ประมวลผลข้อมูลช่วงของ Realytics โดยมีเงื่อนไขว่าการปรับปรุงดังกล่าวจะต้องไม่ลดทอนความคุ้มครองที่ให้แก่ข้อมูลส่วนบุคคลของลูกค้าอย่างมีนัยสำคัญ Realytics จะแจ้งการเปลี่ยนแปลงที่มีนัยสำคัญล่วงหน้าอย่างน้อยสามสิบ (30) วัน โดยการเผยแพร่ DPA ฉบับที่ปรับปรุงแล้ว และโดยทางอีเมลในกรณีที่ลูกค้าได้สมัครรับการแจ้งเตือน

12.5 การแยกส่วนของข้อสัญญา หากข้อกำหนดใดของ DPA ฉบับนี้ถูกวินิจฉัยว่าไม่สมบูรณ์หรือไม่อาจบังคับใช้ได้ ให้ข้อกำหนดส่วนที่เหลือยังคงมีผลบังคับใช้ต่อไป

12.6 ไม่ก่อให้เกิดหุ้นส่วน ไม่มีข้อความใดใน DPA ฉบับนี้ที่ก่อให้เกิดความเป็นหุ้นส่วน กิจการร่วมค้า หรือความเป็นตัวแทนระหว่างคู่สัญญา

12.7 ระยะเวลาของข้อตกลง DPA ฉบับนี้มีผลบังคับใช้ในวันที่สัญญามีผลบังคับใช้ และสิ้นสุดลงโดยอัตโนมัติเมื่อสัญญาสิ้นอายุหรือสิ้นสุดลง เว้นแต่ข้อกำหนดที่ยังคงมีผลต่อไปโดยสภาพ ซึ่งรวมถึงข้อ 8 ข้อ 9 และข้อ 12.1

12.8 การติดต่อ คำถามเกี่ยวกับ DPA ฉบับนี้สามารถส่งไปที่ เรื่องที่เกี่ยวกับความมั่นคงปลอดภัยสามารถส่งไปที่

ภาคผนวก I — คำอธิบายการประมวลผล

A. รายชื่อคู่สัญญา

ผู้ส่งออกข้อมูล (ผู้ควบคุมข้อมูล): ลูกค้าตามที่ระบุไว้ในสัญญา กิจกรรมที่เกี่ยวข้องกับการโอนข้อมูล: การรับบริการภายใต้สัญญา ลายมือชื่อและวันที่: การเข้าทำ DPA ฉบับนี้ถือเป็นการลงลายมือชื่อของลูกค้าในภาคผนวกนี้

ผู้นำเข้าข้อมูล (ผู้ประมวลผลข้อมูล): นิติบุคคลของ Realytics ที่ระบุไว้ในสัญญา ซึ่งได้แก่ Realytics Corp Limited เลขทะเบียน HE424817 ตั้งอยู่ที่ 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus หรือ Reality Analytics, Inc. ตั้งอยู่ที่ 1000 N. West Street, Suite 1200, Wilmington, Delaware 19801, United States ติดต่อ: กิจกรรมที่เกี่ยวข้องกับการโอนข้อมูล: การให้บริการแก่ลูกค้าภายใต้สัญญา ลายมือชื่อและวันที่: การเข้าทำ DPA ฉบับนี้ถือเป็นการลงลายมือชื่อของ Realytics ในภาคผนวกนี้

B. คำอธิบายการโอนข้อมูล

C. หน่วยงานกำกับดูแลที่มีอำนาจ

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลแห่งสาธารณรัฐไซปรัส

ภาคผนวก II — มาตรการทางเทคนิคและองค์กร

Realytics คงไว้ซึ่งมาตรการทางเทคนิคและองค์กรที่ออกแบบมาเพื่อคุ้มครองข้อมูลส่วนบุคคลของลูกค้าจากการละเมิดข้อมูลส่วนบุคคล โดยคำนึงถึงลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล ตลอดจนความเสี่ยงต่อเจ้าของข้อมูลส่วนบุคคล Realytics ไม่เผยแพร่รายละเอียดสถาปัตยกรรมระบบหรือรายละเอียดการดำเนินการด้านความมั่นคงปลอดภัยในกรณีที่การเผยแพร่ดังกล่าวจะก่อให้เกิดความเสี่ยงด้านความมั่นคงปลอดภัย

A. การควบคุมการเข้าถึง

Realytics จำกัดการเข้าถึงข้อมูลส่วนบุคคลของลูกค้าไว้เฉพาะบุคลากรที่จำเป็นต้องเข้าถึงเพื่อให้บริการ สนับสนุน ดูแลรักษา หรือรักษาความมั่นคงปลอดภัยของบริการ การให้สิทธิเข้าถึงเป็นไปตามบทบาทหน้าที่ ต้องมีการยืนยันตัวตน และจะถูกเพิกถอนเมื่อไม่มีความจำเป็นอีกต่อไป บุคลากรที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลของลูกค้าผูกพันตามหน้าที่รักษาความลับ

B. ความมั่นคงปลอดภัยในการส่งข้อมูล

Realytics คุ้มครองข้อมูลส่วนบุคคลของลูกค้าที่ส่งผ่านเครือข่ายสาธารณะโดยใช้การเข้ารหัสระหว่างการส่งข้อมูลเท่าที่เหมาะสมในทางเทคนิค

C. การแบ่งแยกและการลดปริมาณข้อมูล

Realytics ใช้การควบคุมเชิงตรรกะที่ออกแบบมาเพื่อแยกสภาพแวดล้อมและข้อมูลของลูกค้าแต่ละรายภายในบริการ Realytics จำกัดการประมวลผลข้อมูลส่วนบุคคลของลูกค้าไว้เท่าที่จำเป็นสำหรับวัตถุประสงค์ที่ระบุไว้ในสัญญาและ DPA ฉบับนี้ และใช้การรวมเป็นข้อมูลภาพรวม การทำให้ไม่สามารถระบุตัวบุคคลได้ หรือข้อมูลระดับสถานประกอบการ เท่าที่วัตถุประสงค์เอื้ออำนวย

D. การสำรองข้อมูลและความสามารถในการกู้คืน

Realytics คงไว้ซึ่งมาตรการสำรองข้อมูลและการกู้คืนที่ออกแบบมาเพื่อรองรับความพร้อมใช้งานและการกู้คืนบริการและข้อมูลส่วนบุคคลของลูกค้าภายหลังเหตุการณ์ผิดปกติ ทั้งนี้ ขึ้นอยู่กับระดับชั้นของบริการและสัญญา

E. การจัดการเหตุการณ์ผิดปกติ

Realytics คงไว้ซึ่งกระบวนการสำหรับการระบุ ตรวจสอบ จำกัดขอบเขต และแก้ไขเหตุการณ์ด้านความมั่นคงปลอดภัยที่กระทบต่อบริการ

F. การบริหารจัดการผู้ประมวลผลข้อมูลช่วง

Realytics ทำสัญญากับผู้ประมวลผลข้อมูลช่วงภายใต้ข้อกำหนดที่กำหนดหน้าที่ด้านการคุ้มครองข้อมูลซึ่งให้ความคุ้มครองในระดับที่ไม่ต่ำกว่า DPA ฉบับนี้ และคงไว้ซึ่งรายชื่อผู้ประมวลผลข้อมูลช่วงที่เผยแพร่ตามที่ระบุไว้ในข้อ 7

ภาคผนวก III — ผู้ประมวลผลข้อมูลช่วง

หมายเหตุ Hetzner Online GmbH ให้บริการเซิร์ฟเวอร์เฉพาะแบบ bare-metal และสิ่งอำนวยความสะดวกศูนย์ข้อมูล Realytics ไม่ได้ให้ Hetzner เข้าถึงข้อมูลส่วนบุคคลของลูกค้า และ Hetzner ไม่ได้ประมวลผลข้อมูลส่วนบุคคลของลูกค้าในนามของ Realytics โดยระบุไว้ในรายการนี้เพื่อความโปร่งใสในฐานะผู้ให้บริการโครงสร้างพื้นฐานโฮสติ้ง

Meta Platforms, TikTok, LinkedIn และ Google Ads เป็นบริการที่ Realytics ใช้สำหรับกิจกรรมการตลาดและการโฆษณาของ Realytics เอง ซึ่ง Realytics ทำหน้าที่เป็นผู้ควบคุมข้อมูล บริการเหล่านั้นไม่ได้ประมวลผลข้อมูลส่วนบุคคลของลูกค้า จึงไม่ถือเป็นผู้ประมวลผลข้อมูลช่วงภายใต้ DPA ฉบับนี้ บทบาทของบริการเหล่านั้นได้อธิบายไว้ในนโยบายความเป็นส่วนตัวของ Realytics

Realytics ไม่อนุญาตให้ผู้ประมวลผลข้อมูลช่วงที่ระบุไว้ข้างต้นซึ่งให้บริการประมวลผลผลลัพธ์ของโมเดล AI ใช้ข้อมูลส่วนบุคคลของลูกค้าเพื่อฝึกฝนโมเดลของตนเอง และทำสัญญากับผู้ประมวลผลข้อมูลช่วงดังกล่าวภายใต้ข้อกำหนดที่ห้ามการใช้งานในลักษณะนั้น