ข้อตกลงการประมวลผลข้อมูลของ QR Code AI

ข้อตกลงการประมวลผลข้อมูล (DPA)

ปรับปรุงล่าสุด: 2 มีนาคม ค.ศ. 2026

ข้อตกลงการประมวลผลข้อมูลฉบับนี้ ("DPA") เป็นส่วนหนึ่งของข้อกำหนดการใช้งาน ("ข้อตกลง") ระหว่าง Supernovae ซึ่งเป็นบริษัทที่จดทะเบียนในประเทศฝรั่งเศส ณ 27 Rue Wurtz, Juvisy-sur-Orge 91260 หมายเลขภาษีมูลค่าเพิ่ม FR67948452891 ("ผู้ประมวลผล", "เรา") กับนิติบุคคลหรือองค์กรที่ยอมรับ DPA ฉบับนี้ ("ผู้ควบคุมข้อมูล", "คุณ") ซึ่งเรียกรวมกันว่า "คู่สัญญา"

DPA ฉบับนี้ใช้เมื่อเราประมวลผลข้อมูลส่วนบุคคลในนามของคุณที่เกี่ยวข้องกับบริการ QR Code AI ของเรา รวมถึงผ่าน API

1. คำนิยาม

• "ข้อมูลส่วนบุคคล" หมายถึงข้อมูลใด ๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้หรืออาจระบุตัวตนได้ ตามนิยามในมาตรา 4(1) ของ GDPR
• "การประมวลผล" หมายถึงการดำเนินการใด ๆ หรือชุดการดำเนินการที่กระทำต่อข้อมูลส่วนบุคคล ตามนิยามในมาตรา 4(2) ของ GDPR
• "เจ้าของข้อมูล" หมายถึงบุคคลธรรมดาที่ระบุตัวตนได้หรืออาจระบุตัวตนได้ซึ่งข้อมูลส่วนบุคคลนั้นเกี่ยวข้องด้วย
• "ผู้ประมวลผลข้อมูลรอง" หมายถึงบุคคลที่สามที่ผู้ประมวลผลว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูล
• "GDPR" หมายถึงระเบียบ (EU) 2016/679 ของรัฐสภายุโรปและคณะมนตรี
• "UK GDPR" หมายถึงระเบียบการคุ้มครองข้อมูลทั่วไปของสหราชอาณาจักร ตามที่ใช้บังคับภายใต้กฎหมายสหราชอาณาจักรและอ่านประกอบกับกฎหมายคุ้มครองข้อมูล ค.ศ. 2018
• "SCCs" หมายถึงข้อสัญญามาตรฐานที่คณะกรรมาธิการยุโรปอนุมัติสำหรับการโอนข้อมูลส่วนบุคคลไปยังประเทศที่สาม
• "การละเมิดข้อมูล" หมายถึงการละเมิดความมั่นคงปลอดภัยที่นำไปสู่การทำลาย การสูญหาย การเปลี่ยนแปลง การเปิดเผยโดยไม่ได้รับอนุญาต หรือการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต ไม่ว่าจะโดยอุบัติเหตุหรือโดยมิชอบด้วยกฎหมาย

2. ขอบเขตและบทบาท

2.1 ผู้ควบคุมข้อมูลและผู้ประมวลผล

เพื่อวัตถุประสงค์ของ DPA ฉบับนี้:

• คุณ (ผู้ควบคุมข้อมูล): คุณกำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคลเมื่อใช้บริการของเรา โดยเฉพาะเมื่อคุณใช้ API ของเราเพื่อสร้าง QR โค้ดให้ลูกค้าของคุณเอง หรือผสานบริการของเราเข้ากับผลิตภัณฑ์ของคุณ
• เรา (ผู้ประมวลผล): เราประมวลผลข้อมูลส่วนบุคคลในนามของคุณตามคำสั่งของคุณ ตามที่อธิบายไว้ใน DPA ฉบับนี้และข้อตกลง

2.2 กรณีที่ DPA ฉบับนี้ใช้บังคับ

DPA ฉบับนี้ใช้เมื่อ:

• คุณใช้ QR Code AI API เพื่อสร้าง QR โค้ดที่ประมวลผลข้อมูลของผู้ใช้ปลายทางของคุณ เช่น URL ที่มีข้อมูลส่วนบุคคล ข้อมูล vCard หรือรายละเอียดการติดต่อที่บรรจุใน QR โค้ด
• คุณใช้ฟีเจอร์การติดตามและการวิเคราะห์ของ QR Code AI ที่เก็บรวบรวมข้อมูลการสแกนจากผู้ใช้ปลายทางของคุณ
• กรณีอื่นใดที่เราประมวลผลข้อมูลส่วนบุคคลในนามของคุณในฐานะผู้ประมวลผลข้อมูล

เมื่อคุณใช้ QR Code AI ในฐานะผู้ใช้รายบุคคลเพื่อวัตถุประสงค์ของคุณเอง เราจะทำหน้าที่เป็นผู้ควบคุมข้อมูลอิสระ และการประมวลผลข้อมูลอยู่ภายใต้นโยบายความเป็นส่วนตัวของเรา

3. รายละเอียดการประมวลผลข้อมูล

3.1 เรื่องและระยะเวลาการประมวลผล

เราประมวลผลข้อมูลส่วนบุคคลตลอดระยะเวลาของข้อตกลงเพื่อให้บริการ QR Code AI รวมถึงการสร้าง QR โค้ด การติดตาม การวิเคราะห์ และฟังก์ชันที่เกี่ยวข้อง

3.2 ลักษณะและวัตถุประสงค์ของการประมวลผล

• สร้าง QR โค้ดจากข้อมูลนำเข้าที่ผู้ควบคุมข้อมูลให้มา
• ติดตามการสแกน QR โค้ดและเก็บรวบรวมข้อมูลการวิเคราะห์
• จัดเก็บการตั้งค่า QR โค้ดและข้อมูลเมตาที่เกี่ยวข้อง
• ประมวลผลคำขอสร้าง QR โค้ดเชิงศิลปะด้วย AI
• จัดทำรายงานและแดชบอร์ดการวิเคราะห์

3.3 ประเภทข้อมูลส่วนบุคคล

ประเภทข้อมูลส่วนบุคคลที่ประมวลผลอาจรวมถึง:

• ข้อมูลการติดต่อ (ชื่อ อีเมล หมายเลขโทรศัพท์) ที่บรรจุใน QR โค้ด
• URL และที่อยู่เว็บไซต์
• ข้อมูลตำแหน่งจากการสแกน QR โค้ด
• ข้อมูลอุปกรณ์และที่อยู่ IP จากการสแกน QR โค้ด
• ข้อความพรอมต์และรูปภาพที่ให้ไว้เพื่อสร้าง QR โค้ดด้วย AI
• ข้อมูลอื่นใดที่ผู้ควบคุมข้อมูลเลือกบรรจุใน QR โค้ด

3.4 ประเภทของเจ้าของข้อมูล

• ผู้ใช้ปลายทางที่สแกน QR โค้ดที่ผู้ควบคุมข้อมูลสร้าง
• บุคคลที่มีข้อมูลการติดต่อบรรจุอยู่ใน QR โค้ด
• ผู้ใช้ผลิตภัณฑ์หรือบริการของผู้ควบคุมข้อมูลที่โต้ตอบกับ QR โค้ด

4. หน้าที่ของผู้ประมวลผล

4.1 คำสั่งในการประมวลผล

เราจะประมวลผลข้อมูลส่วนบุคคลตามคำสั่งของคุณที่มีการบันทึกไว้เท่านั้น เว้นแต่กฎหมายของ EU หรือรัฐสมาชิกที่ใช้บังคับกับเรากำหนดให้ต้องดำเนินการ ในกรณีนั้น เราจะแจ้งข้อกำหนดทางกฎหมายดังกล่าวให้คุณทราบก่อนประมวลผล เว้นแต่กฎหมายห้ามแจ้งด้วยเหตุผลสำคัญด้านประโยชน์สาธารณะ

เราจะแจ้งให้คุณทราบทันทีหากเห็นว่าคำสั่งใดขัดต่อ GDPR หรือบทบัญญัติด้านการคุ้มครองข้อมูลอื่นของ EU หรือรัฐสมาชิกที่ใช้บังคับ

4.2 การรักษาความลับ

เรารับรองว่าบุคคลที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลได้ตกลงรักษาความลับ หรืออยู่ภายใต้หน้าที่รักษาความลับตามกฎหมายที่เหมาะสม

4.3 มาตรการรักษาความมั่นคงปลอดภัย

เราใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อให้มีระดับความมั่นคงปลอดภัยที่สอดคล้องกับความเสี่ยง รวมถึง:

• เข้ารหัสข้อมูลส่วนบุคคลระหว่างส่งผ่าน (TLS/HTTPS) และเข้ารหัสข้อมูลที่ละเอียดอ่อนขณะจัดเก็บ
• ควบคุมการเข้าถึงและยืนยันตัวตนตามบทบาทสำหรับระบบภายใน
• ประเมินความมั่นคงปลอดภัยและสแกนหาช่องโหว่เป็นประจำ
• ใช้โครงสร้างพื้นฐานที่โฮสต์โดย Scaleway และ DigitalOcean โดยมีมาตรการความมั่นคงปลอดภัยและการปฏิบัติตามข้อกำหนดที่ขึ้นอยู่กับผู้ให้บริการและบริการโฮสติ้ง
• ป้องกัน DDoS และใช้ไฟร์วอลล์สำหรับเว็บแอปพลิเคชัน (Cloudflare)
• สำรองข้อมูลเป็นประจำโดยจัดเก็บแบบเข้ารหัส
• บันทึกและตรวจสอบการเข้าถึงข้อมูลส่วนบุคคล

4.4 ผู้ประมวลผลข้อมูลรอง

เราใช้ผู้ประมวลผลข้อมูลรองที่ระบุในหน้าผู้ประมวลผลข้อมูลรองของเรา เราจะส่งการแจ้งเป็นลายลักษณ์อักษรให้คุณทราบเกี่ยวกับการเพิ่มหรือเปลี่ยนผู้ประมวลผลข้อมูลรองที่วางแผนไว้ โดยให้คุณมีเวลา 30 วันนับจากการแจ้งนั้นในการคัดค้านก่อนที่การเปลี่ยนแปลงจะมีผล คุณสามารถคัดค้านโดยติดต่อเราที่ [email protected] ภายในระยะเวลาดังกล่าว หากคุณคัดค้านและเราไม่สามารถดำเนินการรองรับข้อคัดค้านของคุณได้อย่างสมเหตุสมผล คู่สัญญาฝ่ายใดฝ่ายหนึ่งอาจยุติบริการเฉพาะส่วนที่ได้รับผลกระทบได้

เราจะว่าจ้างผู้ประมวลผลข้อมูลรองให้ประมวลผลข้อมูลส่วนบุคคลในนามของคุณภายใต้สัญญาที่เป็นลายลักษณ์อักษรเท่านั้น ซึ่งรวมถึงข้อกำหนดทางอิเล็กทรอนิกส์ที่ใช้บังคับ โดยสัญญาต้องกำหนดหน้าที่ด้านการคุ้มครองข้อมูลตามมาตรา 28(4) ของ GDPR เรายังคงรับผิดชอบต่อผู้ประมวลผลข้อมูลรองของเราตามที่มาตราดังกล่าวกำหนด

4.5 สิทธิของเจ้าของข้อมูล

เราจะช่วยคุณตอบคำขอจากเจ้าของข้อมูลที่ใช้สิทธิตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ ได้แก่ การเข้าถึง การแก้ไข การลบ การจำกัดการประมวลผล การโอนย้ายข้อมูล และการคัดค้าน หากเราได้รับคำขอโดยตรงจากเจ้าของข้อมูล เราจะแนะนำให้บุคคลนั้นติดต่อคุณโดยเร็ว เว้นแต่ได้รับคำสั่งเป็นอย่างอื่น

4.6 การช่วยเหลือด้านการปฏิบัติตามกฎหมาย

เราจะช่วยคุณในการปฏิบัติตามหน้าที่ภายใต้มาตรา 32 ถึง 36 ของ GDPR โดยคำนึงถึงลักษณะการประมวลผลและข้อมูลที่เรามี

5. การแจ้งการละเมิดข้อมูล

5.1 ระยะเวลาการแจ้ง

เราจะแจ้งการละเมิดข้อมูลให้คุณทราบโดยไม่ชักช้าเกินสมควร และไม่ว่าในกรณีใด ภายใน 72 ชั่วโมง นับจากที่เราทราบถึงการละเมิดนั้น โดยจะส่งการแจ้งเตือนไปยังอีเมลที่เชื่อมโยงกับบัญชีของคุณ

5.2 เนื้อหาการแจ้ง

การแจ้งจะมีข้อมูลต่อไปนี้เท่าที่มี:

• คำอธิบายลักษณะการละเมิดข้อมูล รวมถึงประเภทและจำนวนโดยประมาณของเจ้าของข้อมูลและรายการข้อมูลที่ได้รับผลกระทบ
• ชื่อและรายละเอียดการติดต่อของผู้ประสานงานด้านการคุ้มครองข้อมูลของเรา
• คำอธิบายผลกระทบที่อาจเกิดขึ้นจากการละเมิดข้อมูล
• คำอธิบายมาตรการที่ดำเนินการหรือเสนอเพื่อจัดการกับการละเมิดข้อมูล รวมถึงมาตรการลดผลกระทบเชิงลบที่อาจเกิดขึ้น

5.3 ความร่วมมืออย่างต่อเนื่อง

เราจะร่วมมือกับคุณและให้ความช่วยเหลือตามสมควรในการตรวจสอบ ลดผลกระทบ และแก้ไขการละเมิดข้อมูล รวมถึงช่วยในการแจ้งหน่วยงานกำกับดูแลหรือเจ้าของข้อมูลตามที่คุณมีหน้าที่ต้องแจ้ง

6. การโอนข้อมูลระหว่างประเทศ

6.1 ที่ตั้งของข้อมูล

ข้อมูลส่วนบุคคลจัดเก็บและประมวลผลเป็นหลักในสหภาพยุโรป:

• ฝรั่งเศส (EU) ผ่าน Scaleway
• เนเธอร์แลนด์ (EU) ผ่าน DigitalOcean

6.2 การโอนนอก EU/EEA

ผู้ประมวลผลข้อมูลรองบางรายของเราตั้งอยู่นอก EU/EEA โดยส่วนใหญ่อยู่ในสหรัฐอเมริกา สำหรับการโอนเหล่านี้ เราอาศัย:

• กรอบความเป็นส่วนตัวของข้อมูล EU–US: ในกรณีที่ใช้ได้ สำหรับการโอนไปยังผู้ให้บริการในสหรัฐอเมริกาที่ได้รับการรับรองภายใต้กรอบนี้
• ข้อสัญญามาตรฐาน (SCCs): เรารวม SCCs ที่คณะกรรมาธิการยุโรปอนุมัติ (คำวินิจฉัยเพื่อการดำเนินการของคณะกรรมาธิการ (EU) 2021/914) ไว้ในข้อตกลงกับผู้ประมวลผลข้อมูลรองที่ตั้งอยู่นอก EU/EEA เมื่อกรอบความเป็นส่วนตัวของข้อมูลใช้ไม่ได้

6.3 การประเมินผลกระทบจากการโอน

เราประเมินผลกระทบจากการโอนไปยังประเทศที่สาม และใช้มาตรการเสริมเมื่อจำเป็นเพื่อให้มีระดับการคุ้มครองข้อมูลที่เพียงพอ

7. การตรวจสอบและการตรวจสถานที่

7.1 สิทธิในการตรวจสอบ

คุณมีสิทธิตรวจสอบว่าเราปฏิบัติตาม DPA ฉบับนี้หรือไม่ เราจะให้ข้อมูลทั้งหมดที่จำเป็นเพื่อแสดงการปฏิบัติตามข้อกำหนด และอนุญาตพร้อมทั้งให้ความร่วมมือในการตรวจสอบ รวมถึงการตรวจสถานที่ โดยคุณหรือผู้ตรวจสอบที่คุณแต่งตั้ง

7.2 กระบวนการตรวจสอบ

แนวทางต่อไปนี้ใช้กับการตรวจสอบเฉพาะเท่าที่ไม่จำกัดสิทธิหรือหน้าที่ตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ:

• คุณต้องแจ้งเป็นลายลักษณ์อักษรล่วงหน้าอย่างน้อย 30 วันก่อนการตรวจสอบ
• การตรวจสอบทำได้ไม่เกินปีละครั้ง เว้นแต่หน่วยงานกำกับดูแลกำหนดให้ตรวจสอบ หรือเป็นการตรวจสอบหลังเกิดการละเมิดข้อมูล
• การตรวจสอบต้องทำในเวลาทำการปกติและต้องไม่รบกวนการดำเนินงานของเราอย่างไม่สมเหตุสมผล
• คุณเป็นผู้รับผิดชอบค่าใช้จ่ายในการตรวจสอบ เว้นแต่การตรวจสอบพบการละเมิด DPA ฉบับนี้ในสาระสำคัญ
• ต้องไม่เปิดเผยข้อมูลลับของลูกค้ารายอื่นของเราระหว่างการตรวจสอบ

8. การเก็บรักษาและการลบข้อมูล

8.1 ระหว่างข้อตกลง

เราเก็บรักษาข้อมูลส่วนบุคคลตลอดระยะเวลาของข้อตกลงเท่าที่จำเป็นเพื่อให้บริการ

8.2 เมื่อข้อตกลงสิ้นสุดลง

เมื่อข้อตกลงสิ้นสุดลงหรือเมื่อคุณร้องขอเป็นลายลักษณ์อักษร:

• ตามที่คุณเลือก เราจะลบข้อมูลส่วนบุคคลหรือส่งคืนให้คุณ และลบสำเนาที่เหลือจากระบบที่ใช้งานของเราภายใน 30 วัน
• ข้อมูลส่วนบุคคลในคลังสำรองข้อมูลจะถูกลบภายใน 6 เดือน และระหว่างนั้นจะยังได้รับการปกป้องและไม่ถูกใช้เพื่อวัตถุประสงค์อื่น เว้นแต่กฎหมายที่ใช้บังคับกำหนดเป็นอย่างอื่น
• เราอาจเก็บรักษาข้อมูลส่วนบุคคลเท่าที่กฎหมายที่ใช้บังคับกำหนด เช่น หน้าที่ด้านภาษีหรือบัญชี โดยเราจะแยกและปกป้องข้อมูลนั้น และจำกัดการประมวลผลต่อไปไว้เฉพาะที่กฎหมายกำหนด

8.3 การยืนยัน

เมื่อคุณร้องขอ เราจะยืนยันเป็นลายลักษณ์อักษรว่าข้อมูลส่วนบุคคลถูกลบตามหัวข้อนี้แล้ว

9. ความรับผิด

ความรับผิดของคู่สัญญาแต่ละฝ่ายภายใต้ DPA ฉบับนี้อยู่ภายใต้ข้อจำกัดความรับผิดที่ระบุในข้อตกลง ไม่มีข้อความใดใน DPA ฉบับนี้จำกัดความรับผิดของฝ่ายใดต่อเจ้าของข้อมูลหรือหน่วยงานกำกับดูแลตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ

10. กฎหมายที่ใช้บังคับ

DPA ฉบับนี้อยู่ภายใต้กฎหมายของประเทศฝรั่งเศส GDPR และ UK GDPR ใช้บังคับเท่าที่การประมวลผลอยู่ในขอบเขตทางกฎหมายของแต่ละฉบับ ข้อพิพาทใด ๆ ที่เกิดจาก DPA ฉบับนี้จะได้รับการระงับตามข้อกำหนดการระงับข้อพิพาทในข้อตกลง

11. การยอมรับ DPA ฉบับนี้

DPA ฉบับนี้รวมอยู่ในและเป็นส่วนหนึ่งของข้อกำหนดการใช้งาน การใช้บริการ QR Code AI ถือว่าคุณยอมรับ DPA ฉบับนี้

หากคุณต้องการสำเนา DPA ที่ลงนามแยกต่างหากเพื่อเก็บไว้เป็นหลักฐาน โปรดติดต่อเราที่ [email protected] และเราจะจัดส่งให้ภายใน 10 วันทำการ

12. ติดต่อ

หากมีคำถามเกี่ยวกับ DPA ฉบับนี้หรือแนวปฏิบัติในการประมวลผลข้อมูลของเรา:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 ฝรั่งเศส [email protected]