เอกสารทางกฎหมาย
ข้อตกลงประมวลผลข้อมูลส่วนบุคคลสำหรับบริการ iMyGarage
ผู้ให้บริการ: บริษัท เอ็กซ์ ฮิบิซ จำกัด ทะเบียนนิติบุคคลเลขที่ 0105562199717
ข้อตกลงประมวลผลข้อมูลส่วนบุคคลฉบับนี้ (“ข้อตกลง”) ใช้บังคับระหว่างผู้รับบริการตามใบเสนอราคาที่อ้างถึงข้อตกลงฉบับนี้ (“ผู้รับบริการ”) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล กับ บริษัท เอ็กซ์ ฮิบิซ จำกัด (“ผู้ให้บริการ”) ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล สำหรับข้อมูลที่ผู้รับบริการนำเข้าสู่ระบบ iMyGarage เพื่อบริหารกิจการอู่ซ่อมรถหรือศูนย์บริการยานยนต์ ผู้รับบริการเป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลดังกล่าว ส่วนผู้ให้บริการดำเนินการตามคำสั่งของผู้รับบริการเพื่อจัดให้ใช้บริการตามใบเสนอราคา ข้อตกลงนี้ไม่ใช้กับข้อมูลผู้แทน ผู้ติดต่อ หรือบุคลากรของผู้รับบริการในส่วนที่ผู้ให้บริการกำหนดวัตถุประสงค์การใช้ข้อมูลเอง เช่น การเสนอขาย การทำสัญญา การออกใบแจ้งหนี้ และการบริหารบัญชี ซึ่งให้เป็นไปตามประกาศความเป็นส่วนตัวสำหรับบริการ iMyGarage ข้อกำหนดและเงื่อนไขการใช้บริการ iMyGarage ใช้บังคับกับข้อตกลงนี้เท่าที่ไม่ขัดกัน และข้อตกลงนี้มีผลเหนือกว่าเฉพาะเรื่องการประมวลผลข้อมูลส่วนบุคคลที่ผู้รับบริการเป็นผู้ควบคุมข้อมูล
1. ขอบเขตและระยะเวลาของการประมวลผล
- 1.1ข้อตกลงนี้มีผลตั้งแต่วันที่เริ่มให้บริการตามใบเสนอราคาและมีผลตลอดเวลาที่ผู้ให้บริการประมวลผลข้อมูลส่วนบุคคลเพื่อผู้รับบริการ แม้การให้บริการจะสิ้นสุดลง หน้าที่เกี่ยวกับการรักษาความลับ การจัดการข้อมูลที่ยังคงอยู่ การให้ความร่วมมือในเหตุละเมิด และความรับผิดที่เกิดขึ้นก่อนสิ้นสุดข้อตกลงยังมีผลต่อไปเท่าที่จำเป็น ทั้งนี้ ระยะเวลาการคืน การส่งออก และการลบข้อมูลให้เป็นไปตามข้อ 7
- 1.2ผู้รับบริการตกลงเปิดเผยหรือจัดให้มีข้อมูลส่วนบุคคลในระบบเพื่อให้ผู้ให้บริการจัดเก็บ บันทึก จัดระเบียบ แสดงผล ส่งต่อระหว่างผู้ใช้งานที่ได้รับสิทธิ สำรอง กู้คืน และสนับสนุนการใช้งานตามลักษณะบริการ iMyGarage คำสั่งของผู้รับบริการรวมถึงข้อตกลงนี้ ใบเสนอราคา การตั้งค่าบัญชีและสิทธิผู้ใช้งาน การเลือกใช้ฟังก์ชัน ตลอดจนคำขอที่ผู้มีอำนาจของผู้รับบริการส่งผ่านช่องทางที่ตกลงกัน ผู้ให้บริการไม่ต้องปฏิบัติตามคำสั่งที่อยู่นอกขอบเขตบริการหรือไม่อาจดำเนินการได้ทางเทคนิค แต่จะแจ้งข้อจำกัดดังกล่าวแก่ผู้รับบริการ
- 1.3เจ้าของข้อมูลอาจเป็นลูกค้า เจ้าของรถ ผู้ขับขี่ ผู้ติดต่อของลูกค้า ผู้จัดจำหน่ายอะไหล่ และบุคลากรของผู้รับบริการ ข้อมูลที่ประมวลผลอาจรวมถึงชื่อ ข้อมูลติดต่อ ข้อมูลรถและทะเบียน ประวัติการนัดหมาย การตรวจสภาพ ใบเสนอราคา รายการงานซ่อมและอะไหล่ รูปภาพ ความคืบหน้างาน เอกสารรับชำระเงินและส่งมอบ ตลอดจนบันทึกที่ผู้รับบริการกรอกในช่องข้อมูลของระบบ ทั้งนี้ เฉพาะตามข้อมูลที่ผู้รับบริการนำเข้าและฟังก์ชันที่ใช้จริง ผู้รับบริการต้องหลีกเลี่ยงการนำเข้าข้อมูลส่วนบุคคลอ่อนไหวหรือข้อมูลที่ไม่จำเป็นต่อการให้บริการ หากมีความจำเป็นต้องประมวลผลข้อมูลดังกล่าว ผู้รับบริการต้องแจ้งผู้ให้บริการล่วงหน้าเพื่อพิจารณาความเหมาะสมของระบบและมาตรการคุ้มครอง
2. คำรับรองและหน้าที่ของผู้รับบริการ
- 2.1ผู้รับบริการเป็นผู้กำหนดวัตถุประสงค์ ฐานทางกฎหมาย ประเภทข้อมูลและระยะเวลาที่จำเป็นสำหรับกิจการของตน และต้องแจ้งรายละเอียดการประมวลผลแก่เจ้าของข้อมูลตามกฎหมาย รวมถึงจัดการความยินยอมในกรณีที่ต้องอาศัยความยินยอม ผู้รับบริการรับผิดชอบความถูกต้องและการปรับปรุงข้อมูล การกำหนดสิทธิบุคลากรและการเพิกถอนสิทธิเมื่อหมดหน้าที่ การจัดการคำขอใช้สิทธิและการพิจารณาว่าต้องแจ้งเหตุละเมิดต่อหน่วยงานกำกับดูแลหรือเจ้าของข้อมูลหรือไม่ ผู้รับบริการต้องไม่สั่งให้ผู้ให้บริการดำเนินการเกินขอบเขตสิทธิหรือฝ่าฝืนกฎหมาย
- 2.2ผู้รับบริการรับรองว่าตนมีสิทธิเก็บรวบรวม ใช้ และเปิดเผยข้อมูลแก่ผู้ให้บริการเพื่อให้บริการตามข้อตกลงนี้ และได้ดำเนินการตามหน้าที่ในฐานะผู้ควบคุมข้อมูลแล้ว การที่ผู้รับบริการนำข้อมูลเข้าสู่ระบบหรือสั่งให้ดำเนินการใดถือเป็นการยืนยันว่าคำสั่งนั้นอยู่ภายในวัตถุประสงค์และฐานทางกฎหมายที่ผู้รับบริการกำหนด ผู้รับบริการต้องไม่บันทึกข้อมูลที่ไม่มีสิทธินำเข้า ข้อมูลที่ไม่จำเป็น หรือข้อมูลซึ่งระบบไม่ได้ออกแบบให้รองรับ และต้องให้ความร่วมมือแก่ผู้ให้บริการในการตรวจสอบคำขอหรือเหตุที่เกี่ยวกับข้อมูลของตน
- 2.3หากผู้ให้บริการเห็นโดยมีเหตุอันควรเชื่อว่าคำสั่งของผู้รับบริการอาจขัดต่อกฎหมายคุ้มครองข้อมูลส่วนบุคคล ผู้ให้บริการจะแจ้งข้อกังวลแก่ผู้รับบริการโดยไม่ชักช้า เว้นแต่กฎหมายห้ามแจ้ง และอาจระงับการดำเนินการตามคำสั่งเฉพาะส่วนนั้นระหว่างรอคำยืนยันหรือการแก้ไขตามสมควร การแจ้งดังกล่าวไม่ทำให้ผู้ให้บริการมีหน้าที่กำหนดฐานทางกฎหมายหรือวัตถุประสงค์แทนผู้รับบริการ หากการฝ่าฝืนหน้าที่ของผู้รับบริการก่อให้เกิดข้อเรียกร้องต่อผู้ให้บริการ ผู้รับบริการต้องรับผิดเฉพาะความเสียหายที่พิสูจน์ได้ว่าเกิดจากการฝ่าฝืนนั้นตามกฎหมายและข้อกำหนดการใช้บริการ
3. หน้าที่ของผู้ให้บริการและมาตรการรักษาความปลอดภัย
- 3.1ผู้ให้บริการจะประมวลผลข้อมูลเฉพาะตามคำสั่งที่ชอบด้วยกฎหมายของผู้รับบริการและเท่าที่จำเป็นต่อการให้บริการ การบำรุงรักษา การแก้ไขปัญหา การสำรองและกู้คืน หรือการรักษาความปลอดภัยของระบบ ผู้ให้บริการจะไม่กำหนดวัตถุประสงค์ใหม่หรือใช้ข้อมูลลูกค้าและงานซ่อมที่ผู้รับบริการนำเข้าสู่ระบบเพื่อการตลาดหรือเพื่อประโยชน์ของตนเอง เว้นแต่กฎหมายกำหนดให้ดำเนินการเป็นอย่างอื่น ในกรณีเช่นนั้นผู้ให้บริการจะแจ้งผู้รับบริการก่อนเท่าที่กฎหมายอนุญาต
- 3.2ผู้ให้บริการจะให้บุคลากรและผู้ได้รับอนุญาตเข้าถึงข้อมูลเฉพาะเท่าที่จำเป็นต่อหน้าที่ และกำหนดให้บุคคลดังกล่าวรักษาความลับ ผู้ให้บริการจะใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสมกับลักษณะข้อมูลและความเสี่ยง ซึ่งรวมถึงการกำหนดและทบทวนสิทธิการเข้าถึง การพิสูจน์ตัวตน การป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต การบันทึกและตรวจสอบเหตุผิดปกติ การสำรองและกู้คืนข้อมูล และการจัดการเหตุด้านความปลอดภัย ทั้งนี้ มาตรการที่ใช้ต้องสอดคล้องกับระบบและบริการที่ให้จริง ผู้รับบริการยังคงรับผิดชอบการตั้งค่าสิทธิ การเก็บรักษารหัสผ่าน และการใช้บัญชีของบุคลากรฝ่ายตน
- 3.3ผู้ให้บริการจะไม่เปิดเผยข้อมูลแก่บุคคลภายนอก เว้นแต่จำเป็นต่อการให้บริการตามข้อตกลงนี้ ผู้รับบริการสั่งหรืออนุญาต หรือกฎหมายกำหนด โดยจะจำกัดข้อมูลที่เปิดเผยให้เท่าที่จำเป็น ผู้ให้บริการจะจัดทำและเก็บรักษาบันทึกรายการเกี่ยวกับการประมวลผลในฐานะผู้ประมวลผลตามหน้าที่ที่กฎหมายกำหนด และให้ข้อมูลที่เกี่ยวข้องแก่ผู้รับบริการเท่าที่จำเป็นเพื่อแสดงการปฏิบัติตามข้อตกลงนี้ ทั้งนี้ ผู้ให้บริการไม่ต้องเปิดเผยข้อมูลลับของผู้รับบริการรายอื่นหรือรายละเอียดที่ทำให้ระบบเสียความปลอดภัย
4. ผู้ประมวลผลข้อมูลช่วงและการส่งข้อมูลไปต่างประเทศ
- 4.1ผู้รับบริการอนุญาตให้ผู้ให้บริการใช้ผู้ประมวลผลข้อมูลช่วงที่จำเป็นต่อการให้บริการ เช่น ผู้ให้บริการพื้นที่จัดเก็บและโครงสร้างพื้นฐาน ระบบสำรองข้อมูล หรือระบบสนับสนุนการทำงาน โดยผู้ให้บริการจะคัดเลือกตามความเหมาะสม กำหนดหน้าที่รักษาความลับและมาตรการคุ้มครองข้อมูลที่สอดคล้องกับหน้าที่ของผู้ให้บริการตามข้อตกลงนี้ และจำกัดการเข้าถึงของผู้ประมวลผลข้อมูลช่วงให้เท่าที่จำเป็น การมอบหมายดังกล่าวไม่ทำให้ผู้ให้บริการพ้นจากหน้าที่ที่ตนมีต่อผู้รับบริการภายใต้ข้อตกลงนี้
- 4.2ผู้ให้บริการจะแจ้งรายชื่อหรือประเภทของผู้ประมวลผลข้อมูลช่วงรายสำคัญและการเปลี่ยนแปลงที่มีนัยสำคัญผ่านช่องทางที่ตกลงกันล่วงหน้าเท่าที่ทำได้ เพื่อให้ผู้รับบริการมีโอกาสคัดค้านด้วยเหตุผลเกี่ยวกับการคุ้มครองข้อมูลภายในระยะเวลาที่แจ้ง หากมีการคัดค้าน คู่สัญญาจะหารือมาตรการแก้ไขหรือทางเลือกที่เหมาะสม หากไม่อาจหาทางออกและผู้ประมวลผลรายนั้นจำเป็นต่อบริการ ผู้รับบริการอาจยุติการใช้บริการในส่วนที่ได้รับผลกระทบตามเงื่อนไขสัญญา ผู้ให้บริการไม่ต้องเปิดเผยรายละเอียดซึ่งเป็นความลับของผู้ประมวลผลข้อมูลช่วงเกินกว่าที่จำเป็นต่อการประเมิน
- 4.3หากการให้บริการต้องส่งข้อมูลส่วนบุคคลไปต่างประเทศหรือเปิดให้บุคคลในต่างประเทศเข้าถึง ผู้ให้บริการจะดำเนินการตามคำสั่งที่ชอบด้วยกฎหมายของผู้รับบริการและมาตรการที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนดสำหรับกรณีนั้น ผู้ให้บริการจะแจ้งข้อมูลเกี่ยวกับประเทศหรือผู้ให้บริการปลายทางและมาตรการคุ้มครองเท่าที่ทราบและจำเป็นแก่ผู้รับบริการเมื่อมีคำขอ เพื่อให้ผู้รับบริการปฏิบัติหน้าที่แจ้งเจ้าของข้อมูลหรือพิจารณาฐานทางกฎหมายได้
5. เหตุละเมิดข้อมูลส่วนบุคคลและการให้ความช่วยเหลือ
- 5.1เมื่อผู้ให้บริการทราบถึงเหตุละเมิดข้อมูลส่วนบุคคลซึ่งกระทบข้อมูลที่ประมวลผลแทนผู้รับบริการ ผู้ให้บริการจะแจ้งผู้รับบริการโดยไม่ชักช้าผ่านช่องทางติดต่อที่ตกลงกัน โดยแจ้งลักษณะและเวลาที่ทราบเหตุ ประเภทข้อมูลและเจ้าของข้อมูลที่อาจได้รับผลกระทบ จำนวนโดยประมาณเท่าที่ทราบ ผลกระทบที่อาจเกิดขึ้น และมาตรการจำกัดหรือแก้ไขเหตุ ทั้งนี้ การแจ้งครั้งแรกอาจเป็นข้อมูลเบื้องต้นและไม่ต้องรอให้การตรวจสอบเสร็จสิ้น
- 5.2ผู้ให้บริการจะดำเนินการตามสมควรเพื่อควบคุมเหตุ รักษาหลักฐาน ตรวจสอบสาเหตุและขอบเขตของผลกระทบ และแจ้งข้อมูลเพิ่มเติมแก่ผู้รับบริการเมื่อทราบ ผู้รับบริการเป็นผู้ประเมินความเสี่ยงและตัดสินใจเรื่องการแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือเจ้าของข้อมูลในฐานะผู้ควบคุมข้อมูล เว้นแต่กฎหมายกำหนดให้ผู้ให้บริการมีหน้าที่ดำเนินการโดยตรง คู่สัญญาจะประสานงานกันเกี่ยวกับถ้อยคำและข้อเท็จจริงของการแจ้ง เพื่อมิให้ข้อมูลที่เผยแพร่ขัดกันหรือกระทบการจัดการเหตุ
- 5.3ผู้ให้บริการจะช่วยผู้รับบริการตามสมควรและเท่าที่ข้อมูลกับความสามารถของระบบเอื้ออำนวย ในการค้นหา ส่งออก แก้ไข ลบ หรือจำกัดการเข้าถึงข้อมูลเพื่อตอบคำขอใช้สิทธิ รวมถึงการประเมินและจัดการเหตุละเมิด การประเมินความเสี่ยงด้านข้อมูลส่วนบุคคล และการให้ข้อมูลที่จำเป็นต่อการปฏิบัติหน้าที่ตามกฎหมาย หากผู้ให้บริการได้รับคำขอจากเจ้าของข้อมูลโดยตรง จะส่งต่อให้ผู้รับบริการหรือแนะนำให้ติดต่อผู้รับบริการ โดยจะไม่ตัดสินใจแทนผู้รับบริการ เว้นแต่กฎหมายกำหนดให้ดำเนินการ
6. การรักษาความลับและการตรวจสอบ
- 6.1ผู้ให้บริการจะรักษาข้อมูลส่วนบุคคลและข้อมูลทางธุรกิจที่ได้รับจากผู้รับบริการเป็นความลับ ใช้เฉพาะเพื่อปฏิบัติหน้าที่ตามข้อตกลงนี้ และจำกัดการเข้าถึงเฉพาะบุคลากรและผู้ประมวลผลข้อมูลช่วงที่จำเป็นต้องทราบ หน้าที่รักษาความลับไม่ใช้กับข้อมูลที่เปิดเผยต่อสาธารณะโดยชอบ ข้อมูลที่ได้รับโดยชอบจากบุคคลอื่นโดยไม่มีข้อจำกัด หรือข้อมูลที่ต้องเปิดเผยตามกฎหมาย โดยกรณีหลังผู้ให้บริการจะแจ้งผู้รับบริการล่วงหน้าเท่าที่กฎหมายอนุญาต
- 6.2เมื่อผู้รับบริการมีเหตุอันสมควรให้ตรวจสอบการปฏิบัติหน้าที่ตามข้อตกลงนี้ ผู้ให้บริการจะให้ข้อมูลหรือเอกสารเกี่ยวกับมาตรการที่เกี่ยวข้องเท่าที่จำเป็นและมีอยู่ตามปกติ หากข้อมูลดังกล่าวไม่เพียงพอ คู่สัญญาอาจตกลงขอบเขต วิธีการ เวลา และผู้ตรวจสอบสำหรับการตรวจสอบเพิ่มเติม โดยหลีกเลี่ยงการรบกวนระบบและการเข้าถึงข้อมูลของผู้รับบริการรายอื่น ผู้ตรวจสอบต้องมีหน้าที่รักษาความลับและปฏิบัติตามมาตรการรักษาความปลอดภัยของผู้ให้บริการ
- 6.3หากการให้ความช่วยเหลือ การส่งออกข้อมูลรูปแบบพิเศษ หรือการตรวจสอบตามคำขอมีขอบเขตเกินกว่าการสนับสนุนตามปกติ ผู้ให้บริการจะแจ้งรายละเอียดงาน เวลา และค่าใช้จ่ายที่สมเหตุสมผลให้ผู้รับบริการตกลงก่อนดำเนินการ เว้นแต่เป็นการปฏิบัติหน้าที่ที่ผู้ให้บริการต้องรับผิดชอบเองเพราะฝ่าฝืนข้อตกลงนี้หรือกฎหมาย คู่สัญญาจะประสานงานเพื่อไม่ให้การตกลงค่าใช้จ่ายทำให้การดำเนินการที่จำเป็นตามกฎหมายล่าช้า
7. การคืน การส่งออก และการลบข้อมูล
- 7.1เมื่อการให้บริการสิ้นสุด ผู้ให้บริการจะเปิดโอกาสให้ผู้รับบริการส่งออกข้อมูลในรูปแบบที่ระบบรองรับภายในวิธีการและระยะเวลาที่คู่สัญญาตกลงหรือที่แจ้งไว้ก่อนสิ้นสุดบริการ ผู้รับบริการต้องจัดการส่งออกและตรวจสอบความครบถ้วนของข้อมูลภายในระยะเวลาดังกล่าว หากต้องการให้ผู้ให้บริการจัดเตรียมข้อมูลเพิ่มเติมนอกเหนือจากฟังก์ชันปกติ คู่สัญญาจะตกลงขอบเขตและค่าใช้จ่ายก่อน ผู้ให้บริการจะไม่ปิดกั้นการเข้าถึงข้อมูลที่จำเป็นต่อการส่งออกโดยไม่มีเหตุอันสมควรในช่วงเวลาที่ตกลงกัน
- 7.2เมื่อพ้นระยะเวลาส่งออกหรือเมื่อได้รับคำสั่งให้ลบที่ชอบด้วยกฎหมาย ผู้ให้บริการจะลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ภายในระยะเวลาที่เหมาะสมตามวิธีปฏิบัติและรอบการลบของระบบ ข้อมูลสำรองอาจคงอยู่ชั่วคราวจนถึงรอบการลบตามปกติและจะไม่ถูกนำมาใช้เพื่อวัตถุประสงค์อื่น เว้นแต่จำเป็นต่อการกู้คืนระบบหรือกฎหมายกำหนดให้เก็บรักษา ข้อมูลที่ยังต้องเก็บจะอยู่ภายใต้มาตรการคุ้มครองตามข้อตกลงนี้ ผู้ให้บริการจะยืนยันการดำเนินการตามสมควรเมื่อผู้รับบริการร้องขอ
8. ความรับผิดและข้อกำหนดทั่วไป
- 8.1คู่สัญญาต่างรับผิดชอบต่อการฝ่าฝืนหน้าที่ของตนตามข้อตกลงนี้และกฎหมาย ผู้ให้บริการไม่รับผิดในส่วนที่ความเสียหายเกิดจากคำสั่งที่ชอบด้วยกฎหมายของผู้รับบริการ ข้อมูลที่ผู้รับบริการไม่มีสิทธินำเข้า หรือการกำหนดสิทธิผู้ใช้งานโดยผู้รับบริการ เว้นแต่ผู้ให้บริการมีส่วนกระทำผิดด้วย ความรับผิดทางสัญญาของคู่สัญญาให้เป็นไปตามข้อกำหนดและเงื่อนไขการใช้บริการ iMyGarage เท่าที่กฎหมายอนุญาต โดยไม่ตัดสิทธิหรือหน้าที่ที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนดให้คู่สัญญารับผิดโดยตรง
- 8.2หากข้อตกลงนี้ขัดกับข้อกำหนดและเงื่อนไขการใช้บริการเฉพาะเรื่องการประมวลผลข้อมูลส่วนบุคคลที่ผู้รับบริการเป็นผู้ควบคุม ให้ใช้ข้อตกลงนี้บังคับเฉพาะเรื่องนั้น เรื่องอื่นยังเป็นไปตามข้อกำหนดและเงื่อนไขการใช้บริการ การแก้ไขข้อตกลงที่กระทบสิทธิหรือหน้าที่ในสาระสำคัญระหว่างระยะเวลาที่ตกลงกันต้องได้รับความยินยอมของคู่สัญญา การแจ้งตามข้อตกลงนี้อาจทำเป็นหนังสือหรืออีเมลตามข้อมูลติดต่อที่คู่สัญญาแจ้งไว้ล่าสุด ข้อตกลงนี้อยู่ภายใต้กฎหมายไทย