ข้อตกลงการประมวลผลข้อมูล (DPA)

1. คู่สัญญาและบทบาท

ภายใต้ DPA นี้ บริษัททัวร์ (ลูกค้า) เป็นผู้ควบคุมข้อมูล ซึ่งเป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคลของไกด์และผู้เข้าร่วมทัวร์

First Point (Your Next Tours) เป็นผู้ประมวลผลข้อมูล ซึ่งประมวลผลข้อมูลส่วนบุคคลในนามของและตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น

ผู้ประมวลผลติดต่อ: [email protected] ชื่อทางกฎหมาย ที่อยู่ และรายละเอียดการจดทะเบียนจะดำเนินการให้สมบูรณ์ในภาคผนวกลายเซ็นสำหรับลูกค้าแต่ละราย

2. สาระสำคัญ ระยะเวลา ลักษณะ และวัตถุประสงค์

สาระสำคัญ: การประมวลผลข้อมูลส่วนบุคคลที่จำเป็นในการให้บริการ Your Next Tours (ฟังก์ชันบัญชี การกำหนดค่า เซสชัน และการประเมิน ที่เกี่ยวข้องกับการกระจายเสียงแบบออฟไลน์ผ่านโทรศัพท์ระหว่างทัวร์)

ระยะเวลา: การประมวลผลจะดำเนินต่อไปตลอดระยะเวลาของข้อตกลงบริการหลักและสิ้นสุดลงเมื่อหมดอายุหรือมีการยกเลิกตามมาตรา 9

ลักษณะและวัตถุประสงค์: ข้อมูลถูกประมวลผลด้วยวิธีการอัตโนมัติเพื่อสร้างและจัดการบัญชี จัดเก็บเทมเพลตทัวร์และการกำหนดค่า WiFi/กระเป๋าเงิน ดำเนินการเช็คอินก่อนทัวร์ จัดเก็บและรายงานข้อมูลเซสชันและการให้คะแนน และให้การสนับสนุน

3. ประเภทของเจ้าของข้อมูลและข้อมูลส่วนบุคคล

ประเภทของเจ้าของข้อมูล: ไกด์/พนักงานของผู้ควบคุมข้อมูลและผู้เข้าร่วมทัวร์

ข้อมูลบัญชี: ที่อยู่อีเมล ชื่อที่แสดง ชื่อองค์กร (บริษัท) การตั้งค่าภาษา และรูปโปรไฟล์ (อวาตาร์)

ข้อมูลการใช้งาน: เซสชันทัวร์และระยะเวลา จำนวนผู้เข้าร่วม คะแนนการให้คะแนนและความคิดเห็น และชื่อที่แสดงของผู้เข้าร่วม

ข้อมูลการกำหนดค่า: ที่อยู่กระเป๋าเงินคริปโต (เครือข่ายและที่อยู่) รายละเอียดโปรไฟล์ WiFi (SSID และรหัสผ่าน) และเทมเพลตทัวร์

ข้อมูลการสนับสนุนและข้อมูลเช็คอินก่อนทัวร์: ชื่อผู้เข้าร่วมที่กรอก รุ่นโทรศัพท์ สถานะหูฟัง/พาวเวอร์แบงก์ และบันทึกข้อความอิสระ

ไม่มีเจตนาให้มีการประมวลผลข้อมูลประเภทพิเศษ (ข้อมูลอ่อนไหว); ผู้ควบคุมข้อมูลรับที่จะไม่ป้อนข้อมูลดังกล่าวเข้าสู่บริการ

4. หน้าที่ของผู้ควบคุมข้อมูล

ผู้ควบคุมข้อมูลรับรองว่าคำสั่งและการประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลเป็นไปโดยชอบด้วยกฎหมาย ได้จัดให้มีการแจ้งที่จำเป็น และได้รับความยินยอมในกรณีที่กำหนด

ผู้ควบคุมข้อมูลรับผิดชอบต่อคำสั่งที่จัดทำเป็นเอกสารซึ่งให้แก่ผู้ประมวลผลข้อมูล และต่อความถูกต้องและความชอบด้วยกฎหมายของข้อมูลที่อัปโหลดเข้าสู่บริการ

5. หน้าที่ของผู้ประมวลผลข้อมูลและคำสั่งที่จัดทำเป็นเอกสาร

ผู้ประมวลผลข้อมูลจะประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่จัดทำเป็นเอกสารของผู้ควบคุมข้อมูลเท่านั้น ซึ่งประกอบด้วย DPA ฉบับนี้และข้อตกลงหลัก หากผู้ประมวลผลข้อมูลเห็นว่าคำสั่งใดไม่ชอบด้วยกฎหมาย จะแจ้งให้ผู้ควบคุมข้อมูลทราบ

ผู้ประมวลผลข้อมูลจะทำให้แน่ใจว่าบุคคลที่เข้าถึงข้อมูลผูกพันตามข้อกำหนดว่าด้วยการรักษาความลับ (ตามสัญญาหรือตามกฎหมาย) และให้สิทธิ์เข้าถึงเฉพาะเท่าที่จำเป็นต้องรู้เท่านั้น

ผู้ประมวลผลข้อมูลจะไม่ใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ของตนเอง ไม่จำหน่าย หรือแบ่งปันให้บุคคลภายนอกนอกเหนือจากการให้บริการ

6. มาตรการรักษาความปลอดภัย (มาตรา 32 GDPR)

ผู้ประมวลผลข้อมูลจัดให้มีมาตรการทางเทคนิคและองค์กรที่เหมาะสมกับความเสี่ยง โดยทั่วไปได้แก่ การเข้ารหัส/การป้องกันที่เหมาะสมทั้งขณะส่งและขณะจัดเก็บ การควบคุมการเข้าถึงและการให้สิทธิ์น้อยที่สุด การยืนยันตัวตน การบันทึก/การเฝ้าติดตาม การสำรองข้อมูล และการทบทวนเป็นประจำ

การออกอากาศเสียงระหว่างทัวร์ทำงานผ่านเครือข่าย WiFi ท้องถิ่นแบบพกพาโดยไม่เชื่อมต่อกับอินเทอร์เน็ต การสื่อสารแบบสดนี้ไม่ผ่านแบ็คเอนด์คลาวด์ การแปลสดเป็นข้อยกเว้นเดียวที่ต้องเลือกเปิดใช้งาน: เมื่อไกด์เปิดใช้งานอย่างชัดเจนและยืนยันกล่องโต้ตอบยินยอม เสียงของไกด์เอง -- ไม่ใช่ไมโครโฟนของผู้เข้าร่วม -- จะถูกส่งไปยังแบ็คเอนด์ของเราและไปยัง Google Gemini เพื่อการแปลแบบเรียลไทม์ และจะไม่ถูกเก็บไว้บนเซิร์ฟเวอร์ของเรา สถาปัตยกรรมนี้ลดการถ่ายโอนข้อมูลผู้เข้าร่วมระหว่างทัวร์

เอกสารนี้ไม่ได้อ้างการรับรองใดโดยเฉพาะ (เช่น ISO 27001); รายละเอียดและรายการมาตรการควบคุมที่ใช้ในปัจจุบันอาจระบุไว้ในภาคผนวกด้านความปลอดภัยเฉพาะลูกค้าแต่ละราย

7. ผู้ประมวลผลข้อมูลช่วง

ผู้ควบคุมข้อมูลให้อำนาจทั่วไปแก่ผู้ประมวลผลข้อมูลในการว่าจ้างผู้ประมวลผลข้อมูลช่วง (เช่น ผู้ให้บริการโฮสติงและโครงสร้างพื้นฐาน) เพื่อการให้บริการ

รายการผู้ประมวลผลข้อมูลช่วงในปัจจุบันจะมอบให้แก่ลูกค้า (ภาคผนวก) ผู้ประมวลผลข้อมูลผูกพันผู้ประมวลผลข้อมูลช่วงแต่ละรายเป็นลายลักษณ์อักษรให้มีหน้าที่คุ้มครองข้อมูลเทียบเท่ากับที่กำหนดใน DPA ฉบับนี้ และยังคงรับผิดต่อการกระทำของผู้ประมวลผลข้อมูลช่วง

ผู้ประมวลผลข้อมูลจะแจ้งให้ผู้ควบคุมข้อมูลทราบก่อนเพิ่มหรือเปลี่ยนผู้ประมวลผลข้อมูลช่วง และจะให้ระยะเวลาที่เหมาะสมแก่ผู้ควบคุมข้อมูลในการคัดค้าน

8. สิทธิของเจ้าของข้อมูล การแจ้งเหตุการละเมิด และการให้ความช่วยเหลือ

ผู้ประมวลผลข้อมูลจะช่วยเหลือผู้ควบคุมข้อมูลตามสมควรและด้วยมาตรการทางเทคนิค/องค์กรที่เหมาะสม ในการตอบสนองคำขอของเจ้าของข้อมูลเพื่อใช้สิทธิของตน (การเข้าถึง การแก้ไข การลบ การคัดค้าน การโอนย้ายข้อมูล)

ผู้ประมวลผลข้อมูลจะแจ้งผู้ควบคุมข้อมูลโดยไม่ชักช้าเกินควรหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคล และให้ข้อมูลที่จำเป็นเพื่อให้ผู้ควบคุมข้อมูลปฏิบัติตามหน้าที่การแจ้งตามกฎหมาย

ผู้ประมวลผลข้อมูลจะช่วยเหลือผู้ควบคุมข้อมูลตามสมควรในการปฏิบัติหน้าที่ตามมาตรา 32-36 GDPR (ความปลอดภัย การแจ้งเหตุการละเมิด และการประเมินผลกระทบด้านการคุ้มครองข้อมูล)

9. การลบหรือการส่งคืนข้อมูล

หลังจากสิ้นสุดกิจกรรมการประมวลผล ผู้ประมวลผลข้อมูลจะลบหรือส่งคืนข้อมูลส่วนบุคคลตามที่ผู้ควบคุมข้อมูลเลือก และทำลายสำเนาที่มีอยู่ภายในระยะเวลาที่เหมาะสม เว้นแต่มีกฎหมายที่ใช้บังคับกำหนดให้เก็บรักษาไว้

ผู้ควบคุมข้อมูลยังสามารถลบบัญชีและข้อมูลบางส่วนผ่านแผงควบคุมได้ในระหว่างระยะเวลาการให้บริการ

10. การตรวจสอบ

ผู้ประมวลผลข้อมูลจะจัดหาข้อมูลที่จำเป็นตามสมควรแก่ผู้ควบคุมข้อมูลเพื่อแสดงถึงการปฏิบัติตามหน้าที่ใน DPA ฉบับนี้

ผู้ควบคุมข้อมูลอาจร้องขอการตรวจสอบ/การตรวจได้โดยแจ้งล่วงหน้าตามสมควรและในเวลาทำการ ภายใต้ข้อจำกัดด้านการรักษาความลับและความปลอดภัย และโดยไม่รบกวนบริการเกินควร รายละเอียดอาจตกลงกันเป็นรายลูกค้า

11. การถ่ายโอนข้อมูลระหว่างประเทศ

ในกรณีที่มีการถ่ายโอนข้อมูลส่วนบุคคลออกนอกประเทศตุรกีหรือเขตเศรษฐกิจยุโรป จะมีการใช้กลไกการถ่ายโอนที่ถูกต้องและมาตรการป้องกันที่เหมาะสมภายใต้ KVKK และ GDPR (เช่น ข้อสัญญามาตรฐาน)

ประเทศที่มีการถ่ายโอนข้อมูลไปและมาตรการป้องกันที่ใช้จะระบุไว้ในภาคผนวกผู้ประมวลผลข้อมูลช่วงเท่าที่เกี่ยวข้อง