ภาคผนวกการประมวลผลข้อมูล

อัปเดตล่าสุด: 6 กรกฎาคม 2026

ภาคผนวกการประมวลผลข้อมูลนี้ ("DPA") เป็นส่วนหนึ่งของข้อกำหนดและเงื่อนไข ("ข้อตกลง") ระหว่าง Acira AI LLC ("ผู้ประมวลผล", "เรา", "ของเรา") และผู้ใช้บริการ ("ผู้ควบคุม", "คุณ") และเสริมข้อตกลงในส่วนที่เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล

DPA นี้มีผลบังคับใช้เมื่อคุณใช้บริการเพื่อสร้าง โฮสต์ และเผยแพร่เว็บไซต์ที่รวบรวมหรือประมวลผลข้อมูลส่วนบุคคลของบุคคลที่อยู่ในเขตเศรษฐกิจยุโรป ("EEA") สหราชอาณาจักร ("UK") หรือสวิตเซอร์แลนด์ หรือในกรณีที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนดไว้

DPA ฉบับนี้อาจถูกแปลเป็นภาษาอื่นเพื่อความสะดวกของคุณ ในกรณีที่มีข้อขัดแย้งหรือความไม่สอดคล้องกันระหว่างฉบับภาษาอังกฤษและฉบับแปลใด ๆ ให้ยึดฉบับภาษาอังกฤษเป็นหลัก

สารบัญ

1. คำนิยาม
2. ขอบเขตและบทบาท
3. รายละเอียดการประมวลผลข้อมูล
4. ภาระหน้าที่ของผู้ประมวลผล
5. ภาระหน้าที่ของผู้ควบคุม
6. ผู้ประมวลผลย่อย
7. การโอนข้อมูลระหว่างประเทศ
8. สิทธิของเจ้าของข้อมูล
9. ความปลอดภัยของข้อมูล
10. การแจ้งเหตุการณ์ละเมิดข้อมูล
11. การตรวจสอบและการยืนยันการปฏิบัติตาม
12. การเก็บรักษาและการลบข้อมูล
13. ระยะเวลาและการสิ้นสุด
14. การจำกัดความรับผิด
15. การติดต่อ

1. คำนิยาม

"กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ" หมายถึง กฎหมายและข้อบังคับทั้งหมดที่ใช้บังคับกับการประมวลผลข้อมูลส่วนบุคคลภายใต้ DPA นี้ ซึ่งรวมถึง (ตามที่ใช้บังคับ) กฎระเบียบการคุ้มครองข้อมูลทั่วไป (EU) 2016/679 ("GDPR"), UK GDPR, พระราชบัญญัติคุ้มครองข้อมูลของสหพันธ์สวิส ("FADP") และกฎหมายความเป็นส่วนตัวของผู้บริโภคแคลิฟอร์เนีย ("CCPA")

"ผู้ควบคุม" หมายถึง บุคคลธรรมดาหรือนิติบุคคลที่กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคล — ในบริบทนี้คือคุณ ผู้ใช้บริการที่ดำเนินงานเว็บไซต์ผ่านแพลตฟอร์ม

"เจ้าของข้อมูล" หมายถึง บุคคลธรรมดาที่ระบุตัวตนได้หรืออาจระบุตัวตนได้ซึ่งมีการประมวลผลข้อมูลส่วนบุคคล

"ข้อมูลส่วนบุคคล" หมายถึง ข้อมูลใดๆ ที่เกี่ยวกับเจ้าของข้อมูลที่ประมวลผลผ่านบริการ

"การประมวลผล" หมายถึง การดำเนินการใดๆ กับข้อมูลส่วนบุคคล ซึ่งรวมถึงการรวบรวม การบันทึก การจัดระเบียบ การจัดโครงสร้าง การจัดเก็บ การปรับแต่ง การดึงข้อมูล การปรึกษา การใช้ การเปิดเผย การเผยแพร่ การจำกัด การลบ หรือการทำลาย

"ผู้ประมวลผล" หมายถึง บุคคลธรรมดาหรือนิติบุคคลที่ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุม — ในบริบทนี้คือ Acira AI LLC

"ผู้ประมวลผลย่อย" หมายถึง บุคคลภายนอกที่ผู้ประมวลผลว่าจ้างเพื่อประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุม

"ข้อสัญญามาตรฐาน" หรือ "SCC" หมายถึง ข้อสัญญามาตรฐานสำหรับการโอนข้อมูลส่วนบุคคลไปยังผู้ประมวลผลที่ตั้งอยู่ในประเทศที่สาม ซึ่งคณะกรรมาธิการยุโรปนำมาใช้

2. ขอบเขตและบทบาท

2.1 ความสัมพันธ์การประมวลผล

เมื่อคุณใช้บริการเพื่อสร้างและดำเนินงานเว็บไซต์ที่รวบรวมข้อมูลส่วนบุคคลจากผู้เยี่ยมชมเว็บไซต์ของคุณ (ผ่านแบบฟอร์ม บัญชีผู้ใช้ การโต้ตอบกับ chatbot ความคิดเห็น บทวิจารณ์ หรือคุณลักษณะโต้ตอบอื่นๆ) คุณทำหน้าที่เป็น ผู้ควบคุม และเราทำหน้าที่เป็น ผู้ประมวลผล ข้อมูลส่วนบุคคลของผู้เยี่ยมชมนั้น

2.2 บทบาทของเราในฐานะผู้ควบคุม

เราทำหน้าที่เป็น ผู้ควบคุมข้อมูล อิสระสำหรับข้อมูลส่วนบุคคลที่เราเก็บรวบรวมเพื่อวัตถุประสงค์ของเราเอง รวมถึง: ข้อมูลบัญชีของคุณ ข้อมูลการเรียกเก็บเงิน การวิเคราะห์การใช้งาน ลักษณะทั่วไปของเว็บไซต์ที่ได้มาจากเนื้อหาของเว็บไซต์ของคุณ (เช่น อุตสาหกรรมหรือประเภทธุรกิจ) และข้อมูลการดำเนินงานของแพลตฟอร์ม การประมวลผลข้อมูลดังกล่าวอยู่ภายใต้นโยบายความเป็นส่วนตัวของเราและอยู่นอกขอบเขตของ DPA นี้

ผู้ให้บริการชำระเงิน (Merchant of Record) การชำระเงินสำหรับบริการแบบเสียค่าใช้จ่ายดำเนินการโดยผู้ให้บริการชำระเงินที่เป็นบุคคลภายนอกรายหนึ่งซึ่งทำหน้าที่เป็น Merchant of Record — ผู้ขายต่อที่ได้รับอนุญาตและผู้ขายตามกฎหมาย — สำหรับธุรกรรมของคุณ ปัจจุบันคือ Stripe (ผ่านบริษัทในเครือ Sold through Link, LLC) ในฐานะดังกล่าว ผู้ให้บริการรายนี้กำหนดวัตถุประสงค์และวิธีการในการประมวลผลรายละเอียดการชำระเงินที่คุณส่งในขั้นตอนชำระเงิน จึงทำหน้าที่เป็น ผู้ควบคุมอิสระ ในสิทธิของตนเอง มิใช่ในฐานะผู้ประมวลผลย่อยของเรา การประมวลผลของผู้ให้บริการรายนี้อยู่ภายใต้ข้อกำหนดและประกาศความเป็นส่วนตัวของตนเองและอยู่นอกขอบเขตของ DPA ฉบับนี้ เราได้รับเพียงข้อมูลธุรกรรมและการเรียกเก็บเงินที่จำกัดจากผู้ให้บริการรายนี้ ซึ่งเราประมวลผลในฐานะผู้ควบคุมอิสระตามที่อธิบายไว้ข้างต้น

2.3 การวิเคราะห์แพลตฟอร์ม

เรารวบรวมการวิเคราะห์พื้นฐานที่เป็นมิตรต่อความเป็นส่วนตัวเกี่ยวกับผู้เยี่ยมชมเว็บไซต์ (ตามที่อธิบายไว้ในข้อตกลง) สำหรับข้อมูลการวิเคราะห์ เราทำหน้าที่เป็นผู้ควบคุมร่วมกับคุณ เราได้ออกแบบการวิเคราะห์เพื่อลดการรวบรวมข้อมูลส่วนบุคคลให้น้อยที่สุด — เราไม่จัดเก็บที่อยู่ IP แบบดิบ และตัวระบุผู้เยี่ยมชมเป็นแฮชแบบมีคีย์ที่หมุนเวียนทุกวันและแตกต่างกันในแต่ละเว็บไซต์ ความรับผิดชอบของผู้ควบคุมร่วมแต่ละรายมีดังนี้:

• Acira AI (ผู้ประมวลผล/ผู้ควบคุมร่วม): กำหนดวิธีการทางเทคนิคของการรวบรวมการวิเคราะห์ ซึ่งรวมถึงข้อมูลอะไรบ้างที่รวบรวม วิธีการคำนวณตัวระบุผู้เยี่ยมชม (แฮชที่หมุนเวียนรายวัน) และวิธีการรวมข้อมูล เราเป็นผู้รับผิดชอบด้านความปลอดภัยและความสมบูรณ์ของโครงสร้างพื้นฐานการวิเคราะห์ และการตอบสนองต่อคำถามทั่วไปเกี่ยวกับวิธีการทำงานของการวิเคราะห์บนแพลตฟอร์ม
• คุณ (ผู้ควบคุม/ผู้ควบคุมร่วม): ดำเนินการเว็บไซต์ที่มีการรวบรวมข้อมูลการวิเคราะห์ (การวิเคราะห์มีให้เป็นส่วนหนึ่งที่สำคัญของบริการบนเว็บไซต์ที่โฮสต์ทั้งหมด) คุณรับผิดชอบในการเปิดเผยการรวบรวมข้อมูลการวิเคราะห์ในนโยบายความเป็นส่วนตัวของเว็บไซต์ของคุณ และการตอบสนองต่อคำขอจากเจ้าของข้อมูลจากผู้เยี่ยมชมเว็บไซต์ของคุณเกี่ยวกับข้อมูลการวิเคราะห์ของพวกเขา
• จุดติดต่อสำหรับเจ้าของข้อมูล: เจ้าของข้อมูลสามารถติดต่อคุณ (เจ้าของเว็บไซต์) เกี่ยวกับข้อมูลการวิเคราะห์ที่รวบรวมบนเว็บไซต์ของคุณ หากเราได้รับคำขอจากเจ้าของข้อมูลเกี่ยวกับข้อมูลการวิเคราะห์ เราจะส่งต่อไปยังคุณ เว้นแต่คุณจะสั่งเป็นอย่างอื่น สำหรับคำถามทั่วไปเกี่ยวกับแพลตฟอร์ม เจ้าของข้อมูลสามารถติดต่อเราได้ที่ legal@acira.ai

2.4 สาระสำคัญของการจัดการผู้ควบคุมร่วม

ตามมาตรา 26(2) ของ GDPR สาระสำคัญของการจัดการผู้ควบคุมร่วมนี้สำหรับข้อมูลการวิเคราะห์มีดังนี้: เรา (Acira AI) กำหนดวิธีการทางเทคนิคและข้อมูลที่รวบรวม คุณ (ผู้ดำเนินการเว็บไซต์) ดำเนินการเว็บไซต์ที่มีการรวบรวมข้อมูลการวิเคราะห์ และรับผิดชอบในการเปิดเผยการรวบรวมนั้นต่อผู้เยี่ยมชมของคุณ เราแต่ละฝ่ายรับผิดชอบภาระหน้าที่ของตนภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ คุณเป็นจุดติดต่อหลักสำหรับผู้เยี่ยมชมเว็บไซต์ของคุณเกี่ยวกับข้อมูลการวิเคราะห์ สรุปของการจัดการนี้มีให้เจ้าของข้อมูลผ่าน DPA นี้และที่ https://www.acira.ai/dpa

2.5 การกำหนดให้เป็นผู้ให้บริการภายใต้ CCPA

ในขอบเขตที่เราประมวลผลข้อมูลส่วนบุคคลที่อยู่ภายใต้กฎหมายความเป็นส่วนตัวของผู้บริโภคแคลิฟอร์เนีย ("CCPA") ในนามของคุณ เราเป็น "ผู้ให้บริการ" ของคุณตามที่นิยามไว้ใน Cal. Civ. Code § 1798.140(ag) เราจะไม่:

• ขายหรือแบ่งปัน (ตามที่คำดังกล่าวนิยามภายใต้ CCPA) ข้อมูลส่วนบุคคลใดๆ ที่คุณให้กับเรา
• เก็บรักษา ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นใดนอกจากวัตถุประสงค์ทางธุรกิจที่ระบุไว้ใน DPA นี้และข้อตกลง หรือตามที่ CCPA อนุญาตไว้เป็นอย่างอื่น
• เก็บรักษา ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนอกเหนือจากความสัมพันธ์ทางธุรกิจโดยตรงระหว่างคุณกับเรา
• รวมข้อมูลส่วนบุคคลที่ได้รับจากคุณกับข้อมูลส่วนบุคคลที่เราได้รับจากหรือในนามของบุคคลอื่น หรือที่เรารวบรวมจากการโต้ตอบของเราเองกับผู้บริโภค ยกเว้นตามที่ CCPA อนุญาต

เราอาจได้มาซึ่งลักษณะทางธุรกิจทั่วไปที่ไม่ระบุตัวตน (เช่น การจำแนกอุตสาหกรรม) จากเนื้อหาของเว็บไซต์ของคุณเพื่อวัตถุประสงค์ในการให้คำแนะนำผลิตภัณฑ์ที่เกี่ยวข้อง ตามที่อธิบายไว้ในหมวด 2.2 การใช้งานที่จำกัดนี้ไม่ถือเป็นการขาย แบ่งปัน หรือรวมข้อมูลส่วนบุคคลตามความหมายของ CCPA

เราขอรับรองว่าเราเข้าใจและจะปฏิบัติตามข้อจำกัดเหล่านี้

2.6 การกำหนดตัวแทน

เราแต่งตั้งตัวแทนด้านการคุ้มครองข้อมูลในแต่ละเขตอำนาจศาลที่กฎหมายที่ใช้บังคับกำหนดให้เราต้องดำเนินการเช่นนั้น และเราระบุตัวแทนดังกล่าวไว้ในนโยบายความเป็นส่วนตัวของเรา เราประเมินกิจกรรมการประมวลผลของเราเทียบกับเกณฑ์การกำหนดตัวแทนของเขตอำนาจศาลที่เกี่ยวข้องกับบริการของเรา — รวมถึงมาตรา 14 ของพระราชบัญญัติคุ้มครองข้อมูลของสหพันธ์สวิส (FADP) — และเก็บรักษาการวิเคราะห์สนับสนุนไว้ในบันทึกการปฏิบัติตามข้อกำหนดภายในของเรา ซึ่งเราตรวจสอบและปรับปรุงเป็นระยะ

2.7 เว็บไซต์ที่จัดการโดยเอเจนซี

ในกรณีที่เว็บไซต์ถูกสร้างขึ้นหรือดำเนินการผ่านโปรแกรมเอเจนซีของเรา เอเจนซี ("เอเจนซี") ใช้บริการเพื่อสร้างและจัดการเว็บไซต์ในนามของลูกค้าของตนเอง ("ลูกค้าปลายทาง") ในข้อตกลงดังกล่าว:

• ลูกค้าปลายทาง (หรือในกรณีที่เอเจนซีดำเนินการเว็บไซต์เพื่อวัตถุประสงค์ของตนเอง คือเอเจนซี) เป็นผู้ควบคุมข้อมูลส่วนบุคคลของผู้เยี่ยมชมที่เก็บรวบรวมผ่านเว็บไซต์ที่จัดการ
• ในกรณีที่เอเจนซีทำหน้าที่เป็นผู้ประมวลผลให้แก่ลูกค้าปลายทางของตน เราทำหน้าที่เป็นผู้ประมวลผลย่อยที่เอเจนซีว่าจ้าง และข้อสัญญามาตรฐาน (Standard Contractual Clauses) แบบผู้ประมวลผล-ถึง-ผู้ประมวลผลย่อย (โมดูลสาม) ใช้บังคับกับความเชื่อมโยงนั้นเพิ่มเติมจากโมดูลที่อธิบายไว้ในหัวข้อ 7 ในกรณีที่เอเจนซีเป็นผู้ควบคุมเอง เราทำหน้าที่เป็นผู้ประมวลผลของเอเจนซีตามที่อธิบายไว้ใน DPA นี้
• เอเจนซีมีหน้าที่รับผิดชอบในการทำข้อตกลงการประมวลผลข้อมูลกับลูกค้าปลายทางแต่ละรายในเงื่อนไขที่สอดคล้องกับ DPA นี้ และในการทำให้แน่ใจว่าตนมีอำนาจในการสั่งการเราในนามของลูกค้าปลายทาง
• พนักงานของเอเจนซีที่ได้รับสิทธิ์เข้าถึงเว็บไซต์ที่จัดการอาจเข้าถึงข้อมูลส่วนบุคคลของผู้เยี่ยมชมที่จัดเก็บไว้สำหรับเว็บไซต์นั้น (รวมถึงแบบฟอร์มที่ส่ง การสนทนาของแชทบอต ข้อมูลเซสชัน และบันทึกตารางผู้ใช้) เพื่อสร้าง จัดการ และดำเนินการเว็บไซต์ เอเจนซีมีหน้าที่รับผิดชอบในการจำกัดและกำกับดูแลการเข้าถึงดังกล่าวตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ

เงื่อนไขของโปรแกรมเอเจนซี รวมถึงพันธกรณีของเอเจนซี ระบุไว้ในข้อกำหนดเอเจนซีของ Acira AI ที่ https://www.acira.ai/agency-terms

3. รายละเอียดการประมวลผลข้อมูล

3.1 เรื่องและระยะเวลา

การประมวลผลข้อมูลส่วนบุคคลภายใต้ DPA นี้ดำเนินการเพื่อวัตถุประสงค์ในการให้บริการตามที่อธิบายไว้ในข้อตกลง และจะดำเนินต่อไปตลอดระยะเวลาของข้อตกลง

3.2 ลักษณะและวัตถุประสงค์ของการประมวลผล

เราประมวลผลข้อมูลส่วนบุคคลเพื่อ:

• โฮสต์และให้บริการเนื้อหาเว็บไซต์ของคุณ
• จัดเก็บและจัดการข้อมูลที่ส่งผ่านแบบฟอร์มและคุณลักษณะโต้ตอบของเว็บไซต์ของคุณ
• ดูแลบัญชีผู้ใช้และเซสชันสำหรับพื้นที่ที่ได้รับการป้องกันของเว็บไซต์ของคุณ
• ส่งการสื่อสารทางอีเมลในนามของคุณ
• ส่งต่ออีเมลที่ได้รับที่อยู่อีเมลโดเมนที่กำหนดเองของคุณ
• ขับเคลื่อนการสนทนา chatbot AI กับผู้เยี่ยมชมเว็บไซต์ของคุณ
• สร้างคำอธิบายและเมตาดาต้าที่ขับเคลื่อนด้วย AI สำหรับไฟล์ที่อัปโหลด
• แปลงไฟล์ที่อัปโหลดให้เป็นรูปแบบที่เหมาะสมกับเว็บ
• ให้บริการวิเคราะห์ผู้เยี่ยมชม
• ได้มาซึ่งลักษณะทั่วไปของเว็บไซต์ (เช่น อุตสาหกรรมหรือประเภทธุรกิจ) เพื่อให้คำแนะนำที่เกี่ยวข้องของแพลตฟอร์ม
• ตรวจจับและป้องกันสแปมและการละเมิด (รวมถึงการท้าทาย bot แบบ proof-of-work)
• ดำเนินการตรวจสอบเนื้อหาบนไฟล์ที่อัปโหลด
• ตรวจสอบเนื้อหาเว็บไซต์ระหว่างการเผยแพร่เพื่อให้สอดคล้องกับนโยบายเนื้อหาของแพลตฟอร์ม
• จัดการการตั้งค่าการยกเลิกรับอีเมลสำหรับผู้รับอีเมลของเว็บไซต์ของคุณ
• อำนวยความสะดวกในการสื่อสารช่องทางแบบเรียลไทม์บนเว็บไซต์ของคุณผ่านการเชื่อมต่อ WebSocket (ข้อความเป็นการชั่วคราวและไม่ได้รับการบันทึก)
• ให้การเข้าถึงเนื้อหาและข้อมูลเว็บไซต์ของคุณแบบโปรแกรมผ่านอินเทอร์เฟซบรรทัดคำสั่ง (CLI) และ API แบบโปรแกรมอื่น ๆ ตามการสั่งการของคุณ (รวมถึงการดึงและการส่งออกเนื้อหาไปยังสภาพแวดล้อมในเครื่องของคุณ)
• ดูแลบันทึกข้อผิดพลาดและการวินิจฉัยเพื่อความน่าเชื่อถือของแพลตฟอร์มและการแก้ปัญหา (อาจรวมถึงที่อยู่ IP และเมตาดาต้าคำขอ; เก็บรักษาไว้สูงสุดสามสิบ (30) วัน)

3.3 ประเภทของข้อมูลส่วนบุคคล

ประเภทของข้อมูลส่วนบุคคลที่ประมวลผลขึ้นอยู่กับสิ่งที่คุณรวบรวมผ่านเว็บไซต์ของคุณ ซึ่งอาจรวมถึง:

• ชื่อและข้อมูลการติดต่อ
• ที่อยู่อีเมล
• ข้อความและแบบฟอร์มที่ส่งมา
• การอัปโหลดไฟล์ที่ส่งโดยผู้เยี่ยมชมเว็บไซต์ (เช่น รูปภาพและเอกสาร)
• เนื้อหาการสนทนา chatbot (ข้อความของผู้เยี่ยมชมและการตอบสนองของ AI)
• ข้อมูลรับรองบัญชีผู้ใช้ (จัดเก็บในรูปแบบแฮช)
• ข้อมูลเซสชัน
• ที่อยู่ IP (ไม่จัดเก็บในรูปแบบดิบ: ที่อยู่ถูกใช้ระหว่างการส่งข้อมูลเพื่อกำหนดเส้นทางคำขอ ระบุประเทศและภูมิภาค และตรวจสอบการท้าทายบอท ในกรณีที่จำเป็นต้องคงตัวระบุไว้ — การวิเคราะห์และการจำกัดอัตรา — จะจัดเก็บเฉพาะแฮชเข้ารหัสลับแบบมีคีย์เท่านั้น ซึ่งไม่สามารถย้อนกลับไปเป็นที่อยู่ได้หากไม่มีความลับที่เราถือครองไว้ และแตกต่างกันสำหรับผู้เยี่ยมชมรายเดียวกันในแต่ละเว็บไซต์ แฮชสำหรับการจำกัดอัตราจะถูกล้างโดยอัตโนมัติภายในสี่สิบแปด (48) ชั่วโมง ส่วนตัวระบุการวิเคราะห์จะหมุนเวียนทุกยี่สิบสี่ (24) ชั่วโมง แบบฟอร์มที่ส่งและการสนทนา chatbot บันทึกประเทศและภูมิภาค ไม่ใช่ที่อยู่ โค้ดหน้าเว็บของคุณเองสามารถอ่านที่อยู่ IP ของผู้เยี่ยมชมได้ สิ่งใดก็ตามที่คุณเลือกจัดเก็บถือเป็นการรวบรวมของคุณเอง ซึ่งคุณเป็นผู้ควบคุม)
• ข้อมูลเบราว์เซอร์และอุปกรณ์
• ข้อมูลตำแหน่ง (ระดับประเทศและภูมิภาค ได้มาจาก IP)
• บันทึกการยกเลิกรับอีเมล (ที่อยู่อีเมลของผู้รับและสิ่งที่ผู้รับเลือกไม่รับ ซึ่งคุณสามารถเข้าถึงได้เพื่อให้คุณปฏิบัติตามและจัดการรายการยกเลิกรับของเว็บไซต์ของคุณได้)
• ผลการจำแนกสแปม (ว่าแบบฟอร์มที่ส่งถูกกำหนดว่าเป็นสแปมหรือไม่)
• ข้อมูลบันทึกข้อผิดพลาดและการวินิจฉัย (ที่อยู่ IP เส้นทางคำขอ และรายละเอียดข้อผิดพลาด; เก็บรักษาไว้สูงสุดสามสิบ (30) วันและล้างอัตโนมัติ)

3.4 ประเภทของเจ้าของข้อมูล

• ผู้เยี่ยมชมเว็บไซต์ของคุณ
• ผู้ใช้ที่สร้างบัญชีบนเว็บไซต์ของคุณ
• ผู้ใช้ที่ส่งแบบฟอร์มหรือโต้ตอบกับ chatbot บนเว็บไซต์ของคุณ
• ผู้ใช้ที่ส่งความคิดเห็น บทวิจารณ์ หรือการมีส่วนร่วมอื่นๆ บนเว็บไซต์ของคุณ

4. ภาระหน้าที่ของผู้ประมวลผล

เราจะ:

1. ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่บันทึกไว้ของคุณเท่านั้น เว้นแต่กฎหมายที่ใช้บังคับกำหนดให้ทำเช่นนั้น (ในกรณีนั้นเราจะแจ้งให้คุณทราบถึงข้อกำหนดทางกฎหมายนั้นก่อนดำเนินการ เว้นแต่กฎหมายจะห้ามไว้)
2. ดูแลให้บุคคลที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลผูกพันตัวเองด้วยข้อผูกมัดด้านการรักษาความลับหรืออยู่ภายใต้ภาระหน้าที่ตามกฎหมายที่เหมาะสมในการรักษาความลับ
3. ดำเนินมาตรการรักษาความปลอดภัยทางเทคนิคและองค์กรที่เหมาะสมตามที่อธิบายไว้ในหัวข้อ 9
4. ปฏิบัติตามเงื่อนไขสำหรับการว่าจ้างผู้ประมวลผลย่อยตามที่กำหนดไว้ในหัวข้อ 6
5. ช่วยเหลือคุณ โดยคำนึงถึงลักษณะของการประมวลผล ในการตอบสนองต่อคำขอจากเจ้าของข้อมูลที่ใช้สิทธิของตนภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
6. ช่วยเหลือคุณในการดูแลให้เป็นไปตามภาระหน้าที่ของคุณภายใต้มาตรา 32-36 ของ GDPR (ความปลอดภัย การแจ้งเหตุการณ์ละเมิด การประเมินผลกระทบด้านการคุ้มครองข้อมูล และการปรึกษาหารือล่วงหน้า) โดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่มีให้เรา ในกรณีที่การใช้บริการของคุณเกี่ยวข้องกับการประมวลผลที่มีความเสี่ยงสูงซึ่งอาจต้องมีการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) เราจะให้ข้อมูลเกี่ยวกับกิจกรรมการประมวลผลของเรา มาตรการทางเทคนิคและองค์กร และผู้ประมวลผลย่อย เพื่อสนับสนุนการประเมินของคุณ
7. ช่วยเหลือคุณในการปฏิบัติตามภาระหน้าที่ของคุณภายใต้มาตรา 22 ของ GDPR (การตัดสินใจส่วนบุคคลโดยอัตโนมัติ) โดยการให้ข้อมูลเกี่ยวกับการประมวลผลอัตโนมัติใดๆ ที่ดำเนินการในนามของคุณ รวมถึงการตรวจสอบเนื้อหา การตรวจจับสแปม และการป้องกัน bot และโดยการอำนวยความสะดวกในการตรวจสอบการตัดสินใจอัตโนมัติโดยมนุษย์ตามคำขอ
8. แจ้งให้คุณทราบหากในความเห็นของเรา คำสั่งจากคุณละเมิดกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
9. ตามทางเลือกของคุณ ลบหรือส่งคืนข้อมูลส่วนบุคคลทั้งหมดหลังจากสิ้นสุดการให้บริการ และลบสำเนาที่มีอยู่ เว้นแต่การจัดเก็บเป็นสิ่งที่กฎหมายที่ใช้บังคับกำหนด
10. ให้ข้อมูลทั้งหมดที่จำเป็นแก่คุณเพื่อแสดงให้เห็นว่าสอดคล้องกับภาระหน้าที่ที่กำหนดไว้ใน DPA นี้ และมีส่วนร่วมในการยืนยันการปฏิบัติตามตามที่อธิบายไว้ในหัวข้อ 11

5. ภาระหน้าที่ของผู้ควบคุม

คุณจะ:

1. ดูแลให้การรวบรวมและประมวลผลข้อมูลส่วนบุคคลผ่านเว็บไซต์ของคุณสอดคล้องกับกฎหมายคุ้มครองข้อมูลที่ใช้บังคับทั้งหมด
2. ให้การแจ้งเตือนความเป็นส่วนตัวที่เหมาะสมแก่ผู้เยี่ยมชมเว็บไซต์ของคุณซึ่งอธิบายแนวทางการรวบรวมข้อมูลของคุณ รวมถึงการเปิดเผยการวิเคราะห์ระดับแพลตฟอร์ม การโต้ตอบ chatbot ที่ขับเคลื่อนด้วย AI การตรวจจับสแปม และการป้องกัน bot
3. ได้รับความยินยอมที่จำเป็นทั้งหมดหรือสร้างฐานทางกฎหมายอื่นสำหรับการประมวลผลข้อมูลส่วนบุคคลผ่านเว็บไซต์ของคุณ
4. ดูแลให้คำสั่งของคุณถึงเราเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลสอดคล้องกับกฎหมายคุ้มครองข้อมูลที่ใช้บังคับ
5. รับผิดชอบต่อความถูกต้อง คุณภาพ และความถูกต้องตามกฎหมายของข้อมูลส่วนบุคคลที่ให้กับเราผ่านเว็บไซต์ของคุณ

โดยการใช้บริการ คุณสั่งให้เราดำเนินกิจกรรมการประมวลผลต่อไปนี้ในนามของคุณเป็นส่วนหนึ่งของการดำเนินงานแพลตฟอร์มมาตรฐาน: การตรวจสอบเนื้อหาของไฟล์ที่อัปโหลด การตรวจสอบนโยบายเนื้อหาของเนื้อหาเว็บไซต์ที่เผยแพร่ การตรวจจับสแปมในแบบฟอร์มที่ส่งมา การป้องกัน bot ผ่านการท้าทาย proof-of-work และการโต้ตอบ chatbot ที่ขับเคลื่อนด้วย AI กับผู้เยี่ยมชมเว็บไซต์ของคุณ กิจกรรมเหล่านี้เป็นคำสั่งที่บันทึกไว้ภายใต้มาตรา 28(3)(a) ของ GDPR

6. ผู้ประมวลผลย่อย

6.1 ผู้ประมวลผลย่อยที่ได้รับอนุญาต

คุณให้การอนุญาตทั่วไปแก่เราเพื่อว่าจ้างผู้ประมวลผลย่อยเพื่อช่วยในการให้บริการ ผู้ประมวลผลย่อยในปัจจุบันของเราแสดงไว้ด้านล่างและที่ https://www.acira.ai/dpa

6.2 รายชื่อผู้ประมวลผลย่อยปัจจุบัน

การประมวลผลการชำระเงินดำเนินการโดย Merchant of Record ของเรา (Stripe) ซึ่งทำหน้าที่เป็นผู้ควบคุมอิสระมิใช่ผู้ประมวลผลย่อย จึงไม่ได้ระบุไว้ข้างต้น โปรดดูหัวข้อ 2.2

6.3 การเปลี่ยนแปลงผู้ประมวลผลย่อย

เราจะแจ้งให้ทราบเกี่ยวกับการเปลี่ยนแปลงที่ตั้งใจใดๆ ในรายการผู้ประมวลผลย่อยสำหรับบริการที่คุณใช้อยู่ในปัจจุบัน อย่างน้อยสามสิบ (30) วันก่อนที่ผู้ประมวลผลย่อยรายใหม่จะเริ่มประมวลผลข้อมูลส่วนบุคคล โดยการอัปเดตรายการผู้ประมวลผลย่อยที่ https://www.acira.ai/dpa และหากคุณได้สมัครรับการแจ้งเตือนผู้ประมวลผลย่อย เราจะแจ้งทางอีเมล คุณสามารถสมัครรับการแจ้งเตือนการเปลี่ยนแปลงผู้ประมวลผลย่อยได้โดยส่งอีเมลถึง legal@acira.ai พร้อมหัวข้อ "Subprocessor Notifications" เมื่อเราแนะนำฟีเจอร์หรือบริการใหม่ที่เกี่ยวข้องกับผู้ประมวลผลย่อยเพิ่มเติม ผู้ประมวลผลย่อยดังกล่าวจะถูกเปิดเผยในเวลาที่ฟีเจอร์หรือบริการนั้นพร้อมใช้งาน การที่คุณใช้ฟีเจอร์หรือบริการใหม่ถือเป็นการยอมรับผู้ประมวลผลย่อยที่เปิดเผยไว้ หากคุณมีข้อคัดค้านที่สมเหตุสมผลต่อผู้ประมวลผลย่อยรายใหม่ที่ประมวลผลข้อมูลสำหรับบริการที่มีอยู่ คุณอาจแจ้งเราเป็นลายลักษณ์อักษรภายในสามสิบ (30) วันนับจากการแจ้งเตือน เราจะทำงานร่วมกับคุณด้วยความสุจริตใจเพื่อแก้ไขข้อกังวลของคุณ หากเราไม่สามารถแก้ไขข้อคัดค้านให้เป็นที่พอใจของคุณอย่างสมเหตุสมผลได้ คุณอาจบอกเลิกข้อตกลงโดยการแจ้งเป็นลายลักษณ์อักษร

6.4 ภาระหน้าที่ของผู้ประมวลผลย่อย

เราจะทำข้อตกลงเป็นลายลักษณ์อักษรกับผู้ประมวลผลย่อยแต่ละรายซึ่งกำหนดภาระหน้าที่การคุ้มครองข้อมูลที่ไม่ด้อยกว่าที่กำหนดไว้ใน DPA นี้ เรายังคงรับผิดชอบต่อการกระทำและการละเว้นของผู้ประมวลผลย่อยของเราในขอบเขตเดียวกับที่เราจะรับผิดชอบหากให้บริการโดยตรง

7. การโอนข้อมูลระหว่างประเทศ

7.1 กลไกการโอน

บริการโฮสต์อยู่ในสหรัฐอเมริกาเป็นหลัก ข้อมูลส่วนบุคคลที่ประมวลผลผ่านบริการอาจถูกโอนและประมวลผลในสหรัฐอเมริกาและประเทศอื่นๆ ที่ผู้ประมวลผลย่อยของเราดำเนินงาน ผู้ให้บริการ AI inference (Fireworks AI และ xAI) ประมวลผลข้อมูลในสหรัฐอเมริกา BrightData อาจประมวลผลข้อมูลในอิสราเอลและสถานที่อื่นๆ ทั่วโลก Cloudflare ประมวลผลข้อมูลที่สถานที่ edge ทั่วโลก

ถิ่นที่อยู่ของข้อมูลใน EU: สำหรับผู้ดำเนินการเว็บไซต์ที่ระบุว่าเป็นผู้พำนักอาศัยใน EU เราใช้มาตรการถิ่นที่อยู่ของข้อมูลดังต่อไปนี้เพื่อลดการถ่ายโอนข้อมูลส่วนบุคคลของผู้เยี่ยมชมออกนอกสหภาพยุโรป:

• ที่จัดเก็บ: ข้อมูลผู้เยี่ยมชมในที่จัดเก็บ edge ถาวร — รวมถึงการส่งแบบฟอร์ม การสนทนาแชทบอท ข้อมูลเซสชัน และข้อมูลตารางผู้ใช้ — ถูกจำกัดตามเขตอำนาจศาลภายในสหภาพยุโรป ข้อมูลนี้ถูกจัดเก็บเฉพาะในศูนย์ข้อมูล EU เท่านั้น
• การประมวลผลอัตโนมัติที่มุ่งเน้นผู้เยี่ยมชม: การดำเนินการที่ถูกเรียกใช้โดยอัตโนมัติจากกิจกรรมของผู้เยี่ยมชม — รวมถึงการแจ้งเตือนการส่งเนื้อหา การส่งอีเมลธุรกรรม และการแปลเนื้อหาฐานข้อมูลเว็บไซต์ด้วยเครื่องเป็นภาษาเพิ่มเติมของเว็บไซต์ — จะถูกประมวลผลภายในสหภาพยุโรปและไม่ผ่านโครงสร้างพื้นฐานของสหรัฐอเมริกา
• การเข้าถึงการจัดการแพลตฟอร์ม: เมื่อคุณเข้าถึงข้อมูลผู้เยี่ยมชมเว็บไซต์ของคุณผ่านแดชบอร์ดของแพลตฟอร์ม อินเทอร์เฟซการสนทนา หรืออินเทอร์เฟซบรรทัดคำสั่ง (CLI) หรือ API แบบโปรแกรมอื่น ๆ (ตัวอย่างเช่น การดูการส่งแบบฟอร์ม การจัดการบันทึกผู้ใช้ หรือการส่งออกเนื้อหาไปยังสภาพแวดล้อมในเครื่องของคุณ) ข้อมูลนี้อาจถูกประมวลผลผ่านโครงสร้างพื้นฐานของเราในสหรัฐฯ เพื่อตอบสนองคำขอของคุณ และ — ในกรณีที่คุณใช้ CLI หรืออินเทอร์เฟซแบบโปรแกรม — อาจถูกส่งไปยังและจัดเก็บในสภาพแวดล้อมที่คุณเรียกใช้เครื่องมือเหล่านั้น การถ่ายโอนเหล่านี้เป็นแบบตามต้องการ เริ่มต้นโดยคุณ (ผู้ควบคุม) และได้รับการปกป้องโดยกลไกการถ่ายโอนและมาตรการเสริมที่อธิบายไว้ด้านล่างในขอบเขตที่ข้อมูลยังคงอยู่ภายในโครงสร้างพื้นฐานของเรา เมื่อคุณส่งออกหรือดึงข้อมูลส่วนบุคคลไปยังสภาพแวดล้อมของคุณเอง (เช่น เครื่องในเครื่องหรือเครื่องมือพัฒนาของบุคคลที่สาม) คุณมีหน้าที่รับผิดชอบต่อความปลอดภัยและการจัดการที่ชอบด้วยกฎหมายของข้อมูลนั้น มาตรการถิ่นที่อยู่ตามเขตอำนาจศาลและมาตรการทางเทคนิคอื่น ๆ ของเราไม่ครอบคลุมถึงข้อมูลส่วนบุคคลหลังจากที่ข้อมูลออกจากโครงสร้างพื้นฐานของเรา
• บันทึกการวินิจฉัย: บันทึกข้อผิดพลาดและบันทึกคอนโซลที่เว็บไซต์ของคุณสร้างขึ้น — ผลลัพธ์การวินิจฉัยที่แสดงแก่คุณในหน้าบันทึกของแพลตฟอร์ม — จะถูกเก็บรักษาไว้บนโครงสร้างพื้นฐานของเราในสหรัฐอเมริกา ข้อมูลเหล่านี้เป็นบันทึกการดำเนินงานที่เก็บไว้เพื่อให้คุณตรวจสอบเอง และไม่ได้มีเจตนาให้มีข้อมูลส่วนบุคคลของผู้เข้าชม คุณเป็นผู้ควบคุมว่าโค้ดของเว็บไซต์คุณจะเขียนอะไรลงไป
• การประมวลผลอื่นๆ ในสหรัฐฯ: ข้อมูลวิเคราะห์และข้อมูลที่ประมวลผลโดยโครงสร้างพื้นฐานคลาวด์ในสหรัฐฯ ของเราสำหรับการกลั่นกรองเนื้อหาและ AI inference อาจยังคงถูกถ่ายโอนไปยังสหรัฐอเมริกาตามกลไกการถ่ายโอนด้านล่าง

สำหรับการโอนข้อมูลส่วนบุคคลจาก EEA, UK หรือสวิตเซอร์แลนด์ไปยังประเทศที่ไม่ได้รับการยอมรับว่ามีระดับการคุ้มครองข้อมูลที่เพียงพอ เราอาศัย:

1. ข้อสัญญามาตรฐาน (SCC): เราผสมรวม SCC ของคณะกรรมาธิการยุโรปใน DPA นี้โดยการอ้างอิง: โมดูลหนึ่ง (ผู้ควบคุมต่อผู้ควบคุม) สำหรับข้อมูลการวิเคราะห์ที่เราทำหน้าที่เป็นผู้ควบคุมร่วม (ดูหัวข้อ 2.3) และโมดูลสอง (ผู้ควบคุมต่อผู้ประมวลผล) สำหรับข้อมูลส่วนบุคคลอื่นๆ ทั้งหมดที่ประมวลผลในนามของคุณ SCC มีให้ที่ https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en
2. ภาคผนวกการโอนข้อมูลระหว่างประเทศของ UK: สำหรับการโอนจาก UK ภาคผนวก UK ต่อ EU SCC จะใช้บังคับ
3. กลไกการโอนข้อมูลของสวิส: สำหรับการโอนจากสวิตเซอร์แลนด์ SCC จะใช้บังคับพร้อมการปรับเปลี่ยนตามที่ Swiss FADP กำหนด

เพื่อวัตถุประสงค์ของ SCC คู่สัญญาตกลงว่า: (ก) ผู้ส่งออกข้อมูลคือคุณ และผู้นำเข้าข้อมูลคือ Acira AI LLC; (ข) ภาคผนวก I.B (คำอธิบายการโอน) กรอกโดยหัวข้อ 3 ของ DPA นี้; (ค) ภาคผนวก II (มาตรการทางเทคนิคและองค์กร) กรอกโดยหัวข้อ 7.2 และ 9 ของ DPA นี้; (ง) สำหรับข้อ 9 ให้ใช้ตัวเลือกที่ 2 (การอนุญาตเป็นลายลักษณ์อักษรทั่วไป) โดยมีระยะเวลาการแจ้งเตือนตามที่ระบุไว้ในหัวข้อ 6.3; (จ) ไม่ใช้ข้อผูกพันเสริม (docking clause) ที่เป็นทางเลือก (ข้อ 7); (ฉ) สำหรับข้อ 17 (กฎหมายที่ใช้บังคับ) และข้อ 18 (การเลือกศาล) SCC อยู่ภายใต้กฎหมายของไอร์แลนด์ และข้อพิพาทที่เกิดจาก SCC จะได้รับการพิจารณาต่อหน้าศาลของไอร์แลนด์; และ (ช) หน่วยงานกำกับดูแลที่มีอำนาจในภาคผนวก I.C กำหนดตามข้อ 13 ของ SCC เพื่อวัตถุประสงค์ของ UK International Data Transfer Addendum ตารางที่ 1 ถึง 3 ถือว่าได้กรอกด้วยข้อมูลที่สอดคล้องกันซึ่งระบุไว้ใน DPA นี้และการเลือก SCC ข้างต้น และสำหรับตารางที่ 4 ไม่มีฝ่ายใดสามารถยุติ UK Addendum ตามที่ระบุไว้ในหัวข้อ 19 ของ UK Addendum

7.2 มาตรการเสริม

เราดำเนินมาตรการเสริมต่อไปนี้เพื่อป้องกันข้อมูลส่วนบุคคลที่โอน:

• การเข้ารหัสข้อมูลระหว่างการส่ง (TLS/SSL) และเมื่อจัดเก็บ
• การควบคุมการเข้าถึงและกลไกการรับรองตัวตน
• การประเมินความปลอดภัยเป็นประจำ
• แนวทางปฏิบัติการลดข้อมูล (เช่น แฮชผู้เยี่ยมชมที่หมุนเวียนรายวันแทนการจัดเก็บ IP แบบดิบ)
• ถิ่นที่อยู่ของข้อมูลตามเขตอำนาจศาลสำหรับผู้ดำเนินการเว็บไซต์ที่เป็นผู้พำนักอาศัยใน EU (ที่จัดเก็บถาวรและการประมวลผลอัตโนมัติที่หันหน้าเข้าหาผู้เยี่ยมชมจำกัดอยู่ใน EU)
• โครงสร้างพื้นฐานการประมวลผลและอีเมลในสหภาพยุโรปสำหรับการดำเนินการอัตโนมัติที่มุ่งเน้นผู้เยี่ยมชม (การแจ้งเตือนการส่งเนื้อหาและการส่งอีเมลธุรกรรมที่ประมวลผลในสหภาพยุโรปสำหรับผู้ดำเนินการเว็บไซต์ที่อยู่อาศัยในสหภาพยุโรป)

7.3 การประเมินผลกระทบการโอน

มาตรการเสริมเหล่านี้ได้รับข้อมูลจากการประเมินกฎหมายและแนวทางปฏิบัติของประเทศปลายทาง โดยคำนึงถึงลักษณะของข้อมูลที่โอน กลไกการโอนที่อาศัย และมาตรการรักษาความปลอดภัยทางเทคนิคและองค์กรที่มีอยู่ เราประเมินว่ามาตรการเสริมที่อธิบายไว้ข้างต้น ร่วมกับภาระผูกพันใน SCC ให้ระดับการคุ้มครองที่เพียงพอสำหรับข้อมูลส่วนบุคคลที่โอน การประเมินผลกระทบการโอนของเรามีให้ที่ https://www.acira.ai/tia

7.4 การโอนข้อมูลแคนาดา

สำหรับการโอนข้อมูลส่วนบุคคลจากแคนาดา เราอาศัยมาตรการรักษาความปลอดภัยต่อไปนี้เพื่อดูแลให้ข้อมูลส่วนบุคคลที่โอนออกนอกแคนาดาได้รับระดับการคุ้มครองที่เทียบเคียงได้ตามที่กำหนดโดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลและเอกสารอิเล็กทรอนิกส์ (PIPEDA) และกฎหมายความเป็นส่วนตัวของจังหวัดที่ใช้บังคับ (รวมถึง PIPA ของ Alberta, PIPA ของ British Columbia และกฎหมาย Quebec เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในภาคเอกชน):

1. การคุ้มครองตามสัญญา: ข้อตกลงการประมวลผลข้อมูลเป็นลายลักษณ์อักษรกับผู้ประมวลผลย่อยแต่ละราย ซึ่งกำหนดภาระหน้าที่ในการคุ้มครองข้อมูลส่วนบุคคลในมาตรฐานที่สอดคล้องกับกฎหมายความเป็นส่วนตัวของแคนาดา รวมถึงข้อกำหนดสำหรับมาตรการรักษาความปลอดภัยที่เหมาะสม การจำกัดการใช้งาน การแจ้งเหตุการณ์ละเมิด และการเข้าถึงของเจ้าของข้อมูล
2. มาตรการรักษาความปลอดภัยทางเทคนิค: มาตรการการเข้ารหัส การนามแฝง การควบคุมการเข้าถึง และการลดข้อมูลเดียวกับที่อธิบายไว้ในหัวข้อ 7.2 ใช้บังคับกับการโอนข้อมูลแคนาดา
3. มาตรการรักษาความปลอดภัยองค์กร: การตรวจสอบความเหมาะสมของผู้ประมวลผลย่อย ภาระหน้าที่การรักษาความลับสำหรับบุคลากร และขั้นตอนการตอบสนองต่อเหตุการณ์ที่บันทึกไว้ตามที่อธิบายไว้ใน DPA นี้

เราติดตามการพัฒนากฎหมายความเป็นส่วนตัวของแคนาดา รวมถึงพระราชบัญญัติคุ้มครองความเป็นส่วนตัวของผู้บริโภค (CPPA) ที่เสนอ และจะอัปเดตกลไกการโอนของเราตามที่กำหนด

8. สิทธิของเจ้าของข้อมูล

8.1 ความช่วยเหลือในการร้องขอ

เราจะช่วยเหลือคุณในการตอบสนองต่อคำขอจากเจ้าของข้อมูลที่ใช้สิทธิของตนภายใต้กฎหมายคุ้มครองข้อมูลที่ใช้บังคับ รวมถึงสิทธิในการเข้าถึง การแก้ไข การลบ การจำกัด การพกพา และการคัดค้าน

8.2 การแจ้งเตือน

หากเราได้รับคำขอหรือเรื่องร้องเรียนด้านการคุ้มครองข้อมูลโดยตรงจากเจ้าของข้อมูลเกี่ยวกับข้อมูลส่วนบุคคลที่ประมวลผลในนามของคุณ เราจะส่งต่อเรื่องดังกล่าวให้คุณทันทีและจะไม่ตอบสนองต่อคำขอหรือเรื่องร้องเรียนโดยไม่มีคำสั่งของคุณ เว้นแต่กฎหมายที่ใช้บังคับกำหนด ในฐานะผู้ควบคุม คุณมีหน้าที่รับผิดชอบในการจัดการและตอบสนองต่อเรื่องร้องเรียนของเจ้าของข้อมูลดังกล่าว รวมถึงภาระหน้าที่ในการจัดการเรื่องร้องเรียนใดๆ ที่ใช้บังคับกับคุณภายใต้กฎหมายการคุ้มครองข้อมูลที่ใช้บังคับ (เช่น Section 164A ของ UK Data Protection Act 2018)

8.3 เครื่องมือแพลตฟอร์ม

เราให้เครื่องมือภายในบริการเพื่อช่วยคุณปฏิบัติตามคำขอของเจ้าของข้อมูล รวมถึง:

• การเข้าถึงและจัดการข้อมูลที่จัดเก็บในฐานข้อมูลของเว็บไซต์คุณ
• การลบบันทึกส่วนบุคคลจากฐานข้อมูลของเว็บไซต์คุณ
• ตามคำขอ เราสามารถให้การส่งออกข้อมูลในรูปแบบ ZIP เพื่อช่วยในภาระหน้าที่การพกพาข้อมูล

9. ความปลอดภัยของข้อมูล

9.1 มาตรการรักษาความปลอดภัย

เราดำเนินและรักษามาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อป้องกันข้อมูลส่วนบุคคลจากการประมวลผลที่ไม่ได้รับอนุญาตหรือผิดกฎหมาย และจากการสูญหาย การทำลาย หรือความเสียหายโดยบังเอิญ มาตรการเหล่านี้รวมถึง:

• การเข้ารหัส: ข้อมูลที่เข้ารหัสระหว่างการส่งผ่าน TLS/SSL และเมื่อจัดเก็บโดยใช้การเข้ารหัสมาตรฐานอุตสาหกรรม
• การควบคุมการเข้าถึง: การควบคุมการเข้าถึงตามบทบาท นโยบายการเข้าถึงสิทธิ์ขั้นต่ำ และรหัสยืนยันแบบใช้ครั้งเดียวที่มีอายุจำกัดสำหรับการรับรองตัวตนของบัญชีและการดูแลระบบ
• ความปลอดภัยโครงสร้างพื้นฐาน: โครงสร้างพื้นฐานคลาวด์ที่มีการจัดการพร้อมการแพทช์ความปลอดภัยอัตโนมัติและการป้องกัน DDoS ที่ขอบเครือข่าย
• การแยกข้อมูล: การแยกข้อมูลต่อเว็บไซต์ผ่านอินสแตนซ์ที่จัดเก็บเฉพาะ
• การติดตาม: การติดตามและการแจ้งเตือนอัตโนมัติพร้อมการบันทึกแบบมีโครงสร้าง
• ความปลอดภัยของข้อมูลรับรอง: คีย์ API และความลับทั้งหมดจัดเก็บในบริการจัดการความลับที่เฉพาะเจาะจง รหัสผ่านผู้ใช้แฮชโดยใช้อัลกอริธึมเข้ารหัสที่แข็งแกร่งพร้อม salt ต่อผู้ใช้
• การป้องกัน bot: ระบบท้าทาย proof-of-work เพื่อป้องกันการละเมิดอัตโนมัติ

9.2 การรักษาความลับ

เราดูแลให้บุคลากรทั้งหมดที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลถูกผูกมัดด้วยภาระหน้าที่การรักษาความลับ

10. การแจ้งเหตุการณ์ละเมิดข้อมูล

10.1 การแจ้งผู้ควบคุม

เราจะแจ้งคุณโดยไม่ชักช้าโดยไม่มีเหตุผลหลังจากยืนยันการละเมิดข้อมูลส่วนบุคคลที่ส่งผลกระทบต่อข้อมูลส่วนบุคคลที่ประมวลผลในนามของคุณ การแจ้งเตือนจะส่งไปยังข้อมูลการติดต่อที่เกี่ยวข้องกับบัญชีของคุณ

10.2 เนื้อหาการแจ้งเตือน

การแจ้งเหตุการณ์ละเมิดของเราจะรวมถึง ตามขอบเขตที่มีให้:

1. คำอธิบายลักษณะของการละเมิด รวมถึงประเภทและจำนวนโดยประมาณของเจ้าของข้อมูลและบันทึกที่เกี่ยวข้อง
2. ชื่อและข้อมูลการติดต่อของผู้ประสานงานด้านการคุ้มครองข้อมูลของเรา
3. คำอธิบายผลที่อาจเกิดขึ้นจากการละเมิด
4. คำอธิบายมาตรการที่ดำเนินการหรือที่เสนอเพื่อแก้ไขการละเมิดและบรรเทาผลกระทบ

10.3 ภาระหน้าที่ของคุณ

คุณรับผิดชอบในการแจ้งหน่วยงานกำกับดูแลที่เกี่ยวข้องและเจ้าของข้อมูลที่ได้รับผลกระทบเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลตามที่กฎหมายคุ้มครองข้อมูลที่ใช้บังคับกำหนด เราจะร่วมมือกับคุณและให้ความช่วยเหลืออย่างสมเหตุสมผลเพื่อช่วยให้คุณปฏิบัติตามภาระหน้าที่การแจ้งการละเมิดของคุณ

11. การตรวจสอบและการยืนยันการปฏิบัติตาม

11.1 เอกสารการปฏิบัติตาม

เพื่อแสดงถึงการปฏิบัติตาม DPA ฉบับนี้ของเรา เราจะจัดให้มีสิ่งต่อไปนี้ตามคำร้องขอเป็นลายลักษณ์อักษรที่สมเหตุสมผล (ไม่เกินปีละหนึ่งครั้ง):

1. รายงานการตรวจสอบจากบุคคลที่สามที่เกี่ยวข้อง ใบรับรอง หรือสรุปผลการประเมินความปลอดภัย;
2. สรุปมาตรการรักษาความปลอดภัยทางเทคนิคและองค์กรปัจจุบันของเรา;
3. ข้อมูลเกี่ยวกับกิจกรรมการประมวลผล ผู้ประมวลผลย่อย และแนวปฏิบัติด้านการคุ้มครองข้อมูลของเรา

ในกรณีที่เราพึ่งพาผู้ให้บริการโครงสร้างพื้นฐานของบุคคลที่สาม (เช่น AWS และ Cloudflare) ใบรับรองความปลอดภัยและเอกสารการปฏิบัติตามของพวกเขาสามารถเข้าถึงได้ผ่านโปรแกรมความน่าเชื่อถือและการปฏิบัติตามของแต่ละราย

11.2 การสอบถามเพิ่มเติม

หากเอกสารที่จัดให้ตามมาตรา 11.1 ไม่สามารถตอบข้อกังวลด้านการปฏิบัติตามของคุณได้อย่างสมเหตุสมผล คุณสามารถส่งคำถามเป็นลายลักษณ์อักษรเฉพาะเจาะจงเกี่ยวกับแนวปฏิบัติด้านการคุ้มครองข้อมูลของเรา ซึ่งเราจะตอบกลับภายในกรอบเวลาที่สมเหตุสมผล

12. การเก็บรักษาและการลบข้อมูล

12.1 ระหว่างข้อตกลง

เราจะเก็บรักษาข้อมูลส่วนบุคคลที่ประมวลผลในนามของคุณตลอดระยะเวลาของข้อตกลงและตามคำสั่งของคุณผ่านบริการ ระยะเวลาการเก็บรักษาเฉพาะสำหรับข้อมูลผู้เยี่ยมชมรวมถึง:

• การสนทนา chatbot บนเว็บไซต์ของคุณ: เก็บรักษาสามสิบ (30) วันนับจากการโต้ตอบครั้งล่าสุดในแต่ละการสนทนา หลังจากนั้นจะถูกลบโดยอัตโนมัติจากพื้นที่จัดเก็บ edge ของเว็บไซต์
• แบบฟอร์มที่ส่งและเนื้อหาที่ผู้ใช้สร้าง บนเว็บไซต์ของคุณ: เก็บรักษาตลอดระยะเวลาของเว็บไซต์ที่เกี่ยวข้อง เว้นแต่คุณจะลบก่อนหน้าผ่านเครื่องมือแพลตฟอร์ม
• ข้อมูลเซสชัน สำหรับผู้เยี่ยมชมเว็บไซต์ของคุณ: ถูกลบโดยอัตโนมัติหลังจากไม่มีกิจกรรม 30 วัน
• เนื้อหาผู้เยี่ยมชมที่ลบแล้ว (แบบฟอร์มที่ส่ง ความคิดเห็น และเนื้อหาอื่นๆ ที่ผู้ใช้สร้างบนเว็บไซต์ของคุณ): เมื่อคุณลบเนื้อหาผู้เยี่ยมชมผ่านเครื่องมือแพลตฟอร์ม มันจะถูกย้ายไปยังสถานะการลบแบบนุ่มนวลและเก็บรักษาไว้สูงสุดสามสิบ (30) วันเพื่อสนับสนุนการกู้คืน หลังจากช่วงเวลานี้ เนื้อหาที่ถูกลบแบบนุ่มนวลจะถูกลบอย่างถาวร
• บันทึกการจำกัดอัตรา สำหรับเว็บไซต์ของคุณ: แฮชแบบมีคีย์ต่อผู้เยี่ยมชมตามที่อธิบายไว้ในหัวข้อ 3.3 เก็บรักษาไว้สูงสุดสี่สิบแปด (48) ชั่วโมง จากนั้นจะถูกล้างโดยอัตโนมัติ
• บันทึกการยกเลิกรับอีเมล บนเว็บไซต์ของคุณ: เก็บรักษาตลอดระยะเวลาของเว็บไซต์ที่เกี่ยวข้อง เว้นแต่ผู้รับจะสมัครรับใหม่ บันทึกการยกเลิกจะถูกลบเมื่อเว็บไซต์ถูกทำลาย
• ข้อมูลการวิเคราะห์: เก็บรักษาตลอดระยะเวลาของเว็บไซต์ที่เกี่ยวข้อง ข้อจำกัดการเก็บรักษาตามแผนกำหนดว่าข้อมูลการวิเคราะห์ในอดีตจะยังคงแสดงและเข้าถึงได้มากเพียงใด (เก้าสิบ (90) วันในแผนฟรี)

12.2 เมื่อสิ้นสุด

เมื่อสิ้นสุดข้อตกลง หรือตามคำขอของคุณ เราจะลบข้อมูลส่วนบุคคลที่ประมวลผลในนามของคุณตามแนวทางการเก็บรักษาข้อมูลที่อธิบายไว้ในข้อตกลง (รวมถึงระยะเวลาผ่อนผันเจ็ด (7) วันสำหรับการลบบัญชีและเว็บไซต์) หลังจากระยะเวลาผ่อนผัน การลบเป็นการถาวรและไม่สามารถย้อนกลับได้

12.3 ข้อยกเว้น

เราอาจเก็บรักษาข้อมูลส่วนบุคคลตามขอบเขตที่กฎหมายที่ใช้บังคับกำหนด หรือในกรณีที่ข้อมูลถูกทำให้ไม่ระบุชื่อและไม่สามารถเชื่อมโยงกับเจ้าของข้อมูลได้อีกต่อไป

13. ระยะเวลาและการสิ้นสุด

DPA นี้มีผลบังคับใช้ในวันที่คุณยอมรับข้อตกลงและยังคงมีผลบังคับใช้ตราบเท่าที่เราประมวลผลข้อมูลส่วนบุคคลในนามของคุณ ภาระหน้าที่การรักษาความลับและการคุ้มครองข้อมูลที่กำหนดไว้ใน DPA นี้ยังคงมีผลบังคับใช้หลังจากสิ้นสุดข้อตกลง

สำเนาที่ลงนามแล้ว (ลงนามโต้ตอบ) ของ DPA นี้ รวมถึง Standard Contractual Clauses ที่รวมไว้โดยการอ้างอิง มีให้เมื่อร้องขอเป็นลายลักษณ์อักษรที่ legal@acira.ai

14. การจำกัดความรับผิด

ความรับผิดของแต่ละฝ่ายภายใต้ DPA นี้อยู่ภายใต้การจำกัดความรับผิดที่กำหนดไว้ในข้อตกลง

15. การติดต่อ

สำหรับคำถามเกี่ยวกับ DPA นี้หรือเพื่อใช้สิทธิของคุณ ติดต่อเราที่:

Acira AI LLC
เรียน: การคุ้มครองข้อมูล
11500 S Eastern Ave, Suite 150
Henderson, NV 89052
สหรัฐอเมริกา

โทรศัพท์: 888-389-1189
อีเมล: legal@acira.ai