ข้อตกลงการประมวลผลข้อมูลของ QR Code AI

ข้อตกลงการประมวลผลข้อมูล (DPA)

ปรับปรุงล่าสุด 2 มีนาคม 2026

ข้อตกลงการประมวลผลข้อมูลฉบับนี้ ("DPA") เป็นส่วนหนึ่งของ ข้อกำหนดในการให้บริการ ("ข้อตกลง") ระหว่าง Supernovae ซึ่งเป็นบริษัทที่จดทะเบียนในฝรั่งเศส ที่อยู่ 27 Rue Wurtz, Juvisy-sur-Orge 91260 เลขประจำตัวผู้เสียภาษี FR67948452891 ("ผู้ประมวลผล," "เรา," "พวกเรา") และหน่วยงานที่ยอมรับข้อตกลงนี้ ("ผู้ควบคุม," "คุณ") ซึ่งทั้งสองฝ่ายเรียกรวมกันว่า "คู่สัญญา"

DPA ฉบับนี้ใช้บังคับเมื่อเราประมวลผลข้อมูลส่วนบุคคลแทนคุณในบริบทของการให้บริการ QR Code AI รวมถึงผ่าน API

1. คำนิยาม

• "ข้อมูลส่วนบุคคล" หมายถึง ข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่สามารถระบุตัวตนได้หรือระบุตัวตนแล้ว ตามที่กำหนดไว้ในมาตรา 4(1) ของ GDPR
• "การประมวลผล" หมายถึง การดำเนินการใดๆ หรือชุดของการดำเนินการที่กระทำกับข้อมูลส่วนบุคคล ตามที่กำหนดไว้ในมาตรา 4(2) ของ GDPR
• "เจ้าของข้อมูล" หมายถึง บุคคลธรรมดาที่สามารถระบุตัวตนได้หรือระบุตัวตนแล้ว ซึ่งข้อมูลส่วนบุคคลนั้นเกี่ยวข้องด้วย
• "ผู้ประมวลผลย่อย" หมายถึง บุคคลที่สามใดๆ ที่ผู้ประมวลผลว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคลแทนผู้ควบคุม
• "GDPR" หมายถึง กฎระเบียบ (EU) 2016/679 ของรัฐสภายุโรปและคณะมนตรีแห่งสหภาพยุโรป
• "UK GDPR" หมายถึง GDPR ที่ถูกแปลงเป็นกฎหมายสหราชอาณาจักรโดยพระราชบัญญัติคุ้มครองข้อมูล 2018
• "SCCs" หมายถึง ข้อสัญญาตามมาตรฐาน (Standard Contractual Clauses) ที่คณะกรรมาธิการยุโรปอนุมัติสำหรับการโอนข้อมูลส่วนบุคคลไปยังประเทศที่สาม
• "การละเมิดข้อมูล" หมายถึง การละเมิดความปลอดภัยที่นำไปสู่การทำลาย ความสูญเสีย การเปลี่ยนแปลง การเปิดเผย หรือการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต ไม่ว่าจะโดยอุบัติเหตุหรือโดยมิชอบ

2. ขอบเขตและบทบาท

2.1 ผู้ควบคุมและผู้ประมวลผล

เพื่อวัตถุประสงค์ของ DPA ฉบับนี้:

• คุณ (ผู้ควบคุม): คุณเป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคลเมื่อคุณใช้บริการของเรา โดยเฉพาะเมื่อคุณใช้ API ของเราเพื่อสร้าง QR โค้ดสำหรับลูกค้าของคุณเอง หรือผสานรวมบริการของเราเข้ากับผลิตภัณฑ์ของคุณ
• เรา (ผู้ประมวลผล): เราประมวลผลข้อมูลส่วนบุคคลแทนคุณตามคำสั่งของคุณ ตามที่อธิบายไว้ใน DPA ฉบับนี้และข้อตกลง

2.2 เมื่อ DPA ฉบับนี้ใช้บังคับ

DPA ฉบับนี้ใช้บังคับเมื่อ:

• คุณใช้ API ของ QR Code AI เพื่อสร้าง QR โค้ดที่ประมวลผลข้อมูลของผู้ใช้ปลายทางของคุณ (เช่น URL ที่มีข้อมูลส่วนบุคคล ข้อมูล vCard รายละเอียดการติดต่อที่เข้ารหัสใน QR โค้ด)
• คุณใช้คุณสมบัติการติดตามและวิเคราะห์ของ QR Code AI ที่รวบรวมข้อมูลการสแกนจากผู้ใช้ปลายทางของคุณ
• สถานการณ์อื่นใดที่เราประมวลผลข้อมูลส่วนบุคคลแทนคุณในฐานะผู้ประมวลผลข้อมูล

เมื่อคุณใช้ QR Code AI ในฐานะผู้ใช้บุคคลธรรมดาเพื่อวัตถุประสงค์ของคุณเอง เราจะทำหน้าที่เป็นผู้ควบคุมข้อมูลอิสระ และนโยบายความเป็นส่วนตัว ของเราจะกำกับการประมวลผลข้อมูล

3. รายละเอียดการประมวลผลข้อมูล

3.1 วัตถุประสงค์และระยะเวลา

เราประมวลผลข้อมูลส่วนบุคคลตลอดระยะเวลาของข้อตกลงเพื่อให้บริการ QR Code AI รวมถึงการสร้าง QR โค้ด การติดตาม การวิเคราะห์ และฟังก์ชันที่เกี่ยวข้อง

3.2 ลักษณะและวัตถุประสงค์ของการประมวลผล

• สร้าง QR โค้ดจากข้อมูลที่ผู้ควบคุมให้มา
• ติดตามการสแกน QR โค้ดและรวบรวมข้อมูลวิเคราะห์
• จัดเก็บการตั้งค่า QR โค้ดและข้อมูลเมตาที่เกี่ยวข้อง
• ประมวลผลคำขอสร้าง QR โค้ดศิลปะที่สร้างด้วย AI
• จัดทำรายงานและแดชบอร์ดวิเคราะห์

3.3 ประเภทของข้อมูลส่วนบุคคล

ประเภทของข้อมูลส่วนบุคคลที่ประมวลผลอาจรวมถึง:

• ข้อมูลการติดต่อ (ชื่อ ที่อยู่อีเมล เบอร์โทรศัพท์) ที่เข้ารหัสใน QR โค้ด
• URL และที่อยู่เว็บ
• ข้อมูลตำแหน่งจากการสแกน QR โค้ด
• ข้อมูลอุปกรณ์และที่อยู่ IP จากการสแกน QR โค้ด
• ข้อความพรอมต์และรูปภาพที่ให้มาเพื่อสร้าง QR โค้ดด้วย AI
• ข้อมูลอื่นใดที่ผู้ควบคุมเลือกเข้ารหัสใน QR โค้ด

3.4 หมวดหมู่ของเจ้าของข้อมูล

• ผู้ใช้ปลายทางที่สแกน QR โค้ดที่ผู้ควบคุมสร้าง
• บุคคลที่ข้อมูลการติดต่อถูกเข้ารหัสใน QR โค้ด
• ผู้ใช้ผลิตภัณฑ์หรือบริการของผู้ควบคุมที่โต้ตอบกับ QR โค้ด

4. หน้าที่ของผู้ประมวลผล

4.1 คำสั่งการประมวลผล

เราจะประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่คุณแจ้งเป็นลายลักษณ์อักษรเท่านั้น เว้นแต่กฎหมายของสหภาพยุโรปหรือรัฐสมาชิกที่เราอยู่ภายใต้บังคับให้เราต้องดำเนินการดังกล่าว ในกรณีเช่นนั้น เราจะแจ้งให้คุณทราบถึงข้อกำหนดทางกฎหมายนั้นก่อนการประมวลผล เว้นแต่กฎหมายจะห้ามการแจ้งดังกล่าวด้วยเหตุผลสำคัญเกี่ยวกับประโยชน์สาธารณะ

4.2 ความลับ

เราประกันว่าบุคคลที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลได้ให้คำมั่นที่จะรักษาความลับ หรืออยู่ภายใต้ข้อผูกพันทางกฎหมายที่เหมาะสมเกี่ยวกับความลับ

4.3 มาตรการรักษาความปลอดภัย

เราใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อให้มั่นใจถึงระดับความปลอดภัยที่สอดคล้องกับความเสี่ยง รวมถึง:

• การเข้ารหัสข้อมูลส่วนบุคคลขณะส่งผ่าน (TLS/HTTPS) และขณะจัดเก็บ
• การควบคุมการเข้าถึงและการตรวจสอบสิทธิ์ตามบทบาทสำหรับระบบภายใน
• การประเมินความปลอดภัยและสแกนช่องโหว่อย่างสม่ำเสมอ
• โครงสร้างพื้นฐานที่โฮสต์กับผู้ให้บริการที่ได้รับการรับรอง ISO 27001
• การป้องกัน DDoS และไฟร์วอลล์แอปพลิเคชันเว็บ (Cloudflare)
• การสำรองข้อมูลอย่างสม่ำเสมอพร้อมการจัดเก็บที่เข้ารหัส
• การบันทึกและตรวจสอบการเข้าถึงข้อมูลส่วนบุคคล

4.4 ผู้ประมวลผลย่อย

เราใช้ผู้ประมวลผลย่อยที่ระบุไว้ใน หน้าผู้ประมวลผลย่อย เราจะแจ้งให้คุณทราบถึงการเปลี่ยนแปลงผู้ประมวลผลย่อยที่ตั้งใจจะดำเนินการโดยการอัปเดตหน้านั้น คุณสามารถคัดค้านผู้ประมวลผลย่อยรายใหม่ได้โดยติดต่อเราที่ [email protected] ภายใน 30 วันนับจากวันที่อัปเดต หากคุณคัดค้านและเราไม่สามารถตอบสนองข้อคัดค้านของคุณได้อย่างสมเหตุสมผล ทั้งสองฝ่ายอาจยกเลิกส่วนที่เกี่ยวข้องของบริการได้

เราทำสัญญาเป็นลายลักษณ์อักษรกับผู้ประมวลผลย่อยทุกรายที่กำหนดหน้าที่ในการคุ้มครองข้อมูลที่ไม่น้อยกว่าที่กำหนดไว้ใน DPA ฉบับนี้

4.5 สิทธิของเจ้าของข้อมูล

เราจะช่วยเหลือคุณในการตอบคำร้องขอจากเจ้าของข้อมูลที่ใช้สิทธิของตนตามกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง (การเข้าถึง การแก้ไข การลบ การจำกัด การพกพาข้อมูล การคัดค้าน) หากเราได้รับคำร้องขอโดยตรงจากเจ้าของข้อมูล เราจะส่งต่อพวกเขาไปยังคุณโดยเร็วที่สุด เว้นแต่จะได้รับคำสั่งเป็นอย่างอื่น

4.6 ความช่วยเหลือในการปฏิบัติตามกฎหมาย

เราจะช่วยเหลือคุณในการปฏิบัติตามหน้าที่ของคุณภายใต้มาตรา 32 ถึง 36 ของ GDPR โดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่เรามีอยู่

5. การแจ้งเตือนกรณีละเมิดข้อมูล

5.1 ระยะเวลาแจ้งเตือน

เราจะแจ้งให้คุณทราบถึงการละเมิดข้อมูลโดยไม่ชักช้า และในทุกกรณีภายใน 72 ชั่วโมง นับจากที่เราทราบถึงการละเมิดดังกล่าว การแจ้งเตือนจะส่งไปยังที่อยู่อีเมลที่เชื่อมโยงกับบัญชีของคุณ

5.2 เนื้อหาการแจ้งเตือน

การแจ้งเตือนจะรวมถึง ตามที่มีข้อมูล:

• คำอธิบายลักษณะของการละเมิดข้อมูล รวมถึงหมวดหมู่และจำนวนโดยประมาณของเจ้าของข้อมูลและรายการที่ได้รับผลกระทบ
• ชื่อและรายละเอียดการติดต่อของผู้ประสานงานคุ้มครองข้อมูลของเรา
• คำอธิบายผลกระทบที่อาจเกิดขึ้นจากการละเมิดข้อมูล
• คำอธิบายมาตรการที่ดำเนินการหรือเสนอเพื่อจัดการกับการละเมิดข้อมูล รวมถึงมาตรการเพื่อบรรเทาผลกระทบที่ไม่พึงประสงค์ที่อาจเกิดขึ้น

5.3 ความร่วมมืออย่างต่อเนื่อง

เราจะร่วมมือกับคุณและให้ความช่วยเหลืออย่างสมเหตุสมผลในการสอบสวน บรรเทา และแก้ไขการละเมิดข้อมูลใดๆ และในการแจ้งหน่วยงานกำกับดูแลหรือเจ้าของข้อมูลตามที่คุณต้องดำเนินการ

6. การโอนข้อมูลระหว่างประเทศ

6.1 ตำแหน่งข้อมูล

ข้อมูลส่วนบุคคลถูกจัดเก็บและประมวลผลหลักในสหภาพยุโรป:

• ฝรั่งเศส (EU) ผ่าน Scaleway
• เนเธอร์แลนด์ (EU) ผ่าน DigitalOcean

6.2 การโอนข้อมูลนอก EU/EEA

ผู้ประมวลผลย่อยบางรายของเราตั้งอยู่นอก EU/EEA โดยหลักในสหรัฐอเมริกา สำหรับการโอนดังกล่าว เราอาศัย:

• กรอบความเป็นส่วนตัวข้อมูล EU-US: เมื่อสามารถใช้ได้ สำหรับการโอนไปยังผู้ให้บริการในสหรัฐฯ ที่ได้รับการรับรองภายใต้กรอบดังกล่าว
• ข้อสัญญาตามมาตรฐาน (SCCs): เราผนวก SCCs ที่คณะกรรมาธิการยุโรปอนุมัติ (Commission Implementing Decision (EU) 2021/914) เข้าไว้ในสัญญากับผู้ประมวลผลย่อยที่ตั้งอยู่นอก EU/EEA ในกรณีที่กรอบความเป็นส่วนตัวข้อมูลไม่สามารถใช้ได้

6.3 การประเมินผลกระทบจากการโอน

เราทำการประเมินผลกระทบจากการโอนไปยังประเทศที่สาม และใช้มาตรการเสริมเมื่อจำเป็นเพื่อให้มั่นใจถึงระดับการคุ้มครองข้อมูลที่เพียงพอ

7. การตรวจสอบและตรวจตรา

7.1 สิทธิในการตรวจสอบ

คุณมีสิทธิตรวจสอบการปฏิบัติตาม DPA ฉบับนี้ของเรา เราจะจัดเตรียมข้อมูลทั้งหมดที่จำเป็นเพื่อแสดงให้เห็นถึงการปฏิบัติตาม และอนุญาตและสนับสนุนการตรวจสอบ รวมถึงการตรวจตรา ที่คุณหรือผู้ตรวจสอบที่คุณแต่งตั้งดำเนินการ

7.2 กระบวนการตรวจสอบ

การตรวจสอบอยู่ภายใต้เงื่อนไขต่อไปนี้:

• คุณต้องแจ้งเป็นลายลักษณ์อักษรอย่างน้อย 30 วันก่อนการตรวจสอบใดๆ
• การตรวจสอบสามารถดำเนินการได้ไม่เกินปีละหนึ่งครั้ง เว้นแต่หน่วยงานกำกับดูแลจะกำหนดให้ หรือหลังจากการละเมิดข้อมูล
• การตรวจสอบต้องดำเนินการในช่วงเวลาทำการปกติ และต้องไม่รบกวนการดำเนินงานของเราอย่างไม่สมเหตุสมผล
• คุณรับผิดชอบค่าใช้จ่ายในการตรวจสอบใดๆ เว้นแต่การตรวจสอบจะพบการละเมิด DPA ฉบับนี้อย่างมีนัยสำคัญ
• ข้อมูลที่เป็นความลับของลูกค้ารายอื่นของเราต้องไม่ถูกเปิดเผยระหว่างการตรวจสอบ

8. การเก็บรักษาและการลบข้อมูล

8.1 ระหว่างข้อตกลง

เราเก็บรักษาข้อมูลส่วนบุคคลตลอดระยะเวลาของข้อตกลงเท่าที่จำเป็นเพื่อให้บริการ

8.2 เมื่อสิ้นสุดข้อตกลง

เมื่อข้อตกลงสิ้นสุดลง หรือเมื่อคุณร้องขอเป็นลายลักษณ์อักษร:

• เราจะลบข้อมูลส่วนบุคคลจากระบบหลักของเราภายใน 30 วัน
• ข้อมูลส่วนบุคคลในแฟ้มสำรองจะถูกล้างภายใน 6 เดือน
• เราอาจเก็บรักษาข้อมูลส่วนบุคคลเท่าที่กฎหมายที่เกี่ยวข้องกำหนด (เช่น หน้าที่ด้านภาษี การบัญชี) ในกรณีดังกล่าว เราจะแยกและคุ้มครองข้อมูลดังกล่าว และจำกัดการประมวลผลเพิ่มเติมเฉพาะเท่าที่กฎหมายกำหนด

8.3 การรับรอง

เมื่อคุณร้องขอ เราจะให้การยืนยันเป็นลายลักษณ์อักษรว่าข้อมูลส่วนบุคคลได้ถูกลบตามที่ระบุไว้ในส่วนนี้แล้ว

9. ความรับผิด

ความรับผิดของแต่ละฝ่ายภายใต้ DPA ฉบับนี้อยู่ภายใต้ข้อจำกัดความรับผิดที่กำหนดไว้ในข้อตกลง ข้อความใดๆ ใน DPA ฉบับนี้จะไม่จำกัดความรับผิดของฝ่ายใดฝ่ายหนึ่งต่อเจ้าของข้อมูลหรือหน่วยงานกำกับดูแลตามกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง

10. กฎหมายที่ใช้บังคับ

DPA ฉบับนี้อยู่ภายใต้กฎหมายของฝรั่งเศส สำหรับเจ้าของข้อมูลในสหภาพยุโรป GDPR จะใช้บังคับ สำหรับเจ้าของข้อมูลในสหราชอาณาจักร UK GDPR จะใช้บังคับ ข้อพิพาทใดๆ ที่เกิดจาก DPA ฉบับนี้จะได้รับการแก้ไขตามบทบัญญัติการระงับข้อพิพาทในข้อตกลง

11. วิธีการดำเนินการตาม DPA ฉบับนี้

DPA ฉบับนี้ถูกรวมเข้าไว้และเป็นส่วนหนึ่งของ ข้อกำหนดในการให้บริการ การใช้บริการ QR Code AI ของคุณถือว่าคุณยอมรับ DPA ฉบับนี้

หากคุณต้องการสำเนา DPA ฉบับนี้ที่ลงนามแยกต่างหากเพื่อเก็บเป็นหลักฐาน กรุณาติดต่อเราที่ [email protected] และเราจะจัดส่งให้ภายใน 10 วันทำการ

12. ติดต่อ

สำหรับคำถามเกี่ยวกับ DPA ฉบับนี้หรือแนวทางการประมวลผลข้อมูลของเรา:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 ฝรั่งเศส [email protected]