ข้อตกลงการประมวลผลข้อมูล

ข้อตกลงการประมวลผลข้อมูลฉบับนี้ ("ข้อตกลง") ถือเป็นส่วนหนึ่งของสัญญาการให้บริการภายใต้ข้อกำหนดและเงื่อนไขของ Proton AG (“ข้อตกลงหลัก") ระหว่าง Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland, หมายเลขทะเบียนนิติบุคคล CHE-354.686.492 (เรียกว่า "ผู้ประมวลผลข้อมูล") และบริษัทที่ใช้บริการของ Proton (เรียกว่า "บริษัท” ซึ่งหมายถึงธุรกิจหรือองค์กรใดๆ ที่ใช้บริการ ไม่ว่าจะอยู่ในรูปแบบทางกฎหมายใดก็ตาม)

ข้อตกลงนี้กำกับดูแลข้อกำหนดเฉพาะของกฎหมายคุ้มครองข้อมูล ในขอบเขตที่การใช้บริการ Proton ของบริษัทเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลที่อยู่ภายใต้กฎหมายคุ้มครองข้อมูล

ข้อตกลงนี้มีผลเพิ่มเติมจากนโยบายความเป็นส่วนตัว ซึ่งทำหน้าที่เป็นข้อมูลอ้างอิงหลักสำหรับแนวทางปฏิบัติและมาตรการคุ้มครองข้อมูล

ระยะเวลาของข้อตกลงนี้จะเป็นไปตามระยะเวลาของข้อตกลงหลัก ข้อกำหนดที่ไม่ได้ระบุไว้ในที่นี้จะมีความหมายตามที่ระบุไว้ในข้อตกลงหลัก

โดยที่

A) บริษัททำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล ("ผู้ควบคุมข้อมูล")

B) บริษัทประสงค์จะจ้างเหมาช่วงบริการบางอย่าง (ตามที่ระบุด้านล่าง) ซึ่งเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล ให้กับ Proton AG โดยทำหน้าที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคล ("ผู้ประมวลผลข้อมูล")

C) คู่สัญญาประสงค์ที่จะจัดทำข้อตกลงการประมวลผลข้อมูลที่เป็นไปตามข้อกำหนดของกรอบทางกฎหมายในปัจจุบันเกี่ยวกับการประมวลผลข้อมูล และเป็นไปตามกฎระเบียบ (EU) 2016/679 ของรัฐสภายุโรปและคณะมนตรีแห่งสหภาพยุโรป เมื่อวันที่ 27 เมษายน 2016 ว่าด้วยการคุ้มครองบุคคลธรรมดาเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลและการถ่ายโอนข้อมูลดังกล่าวโดยเสรี และการยกเลิกข้อบังคับ Directive 95/46/EC (ข้อบังคับการคุ้มครองข้อมูลทั่วไป) และกฎหมายคุ้มครองข้อมูลอื่นที่เกี่ยวข้อง

D) คู่สัญญาประสงค์ที่จะกำหนดสิทธิและหน้าที่ของตน

จึงตกลงกันดังนี้:

1. คำจำกัดความและการตีความ

เว้นแต่จะกำหนดไว้เป็นอย่างอื่นในที่นี้ ข้อกำหนดและคำเฉพาะที่ใช้อักษรตัวพิมพ์ใหญ่ใน DPA นี้จะมีความหมายดังต่อไปนี้:

1.1) "ข้อตกลง" หมายถึง ข้อตกลงการประมวลผลข้อมูลนี้และภาคผนวกทั้งหมด

1.2) "ข้อมูลส่วนบุคคลของบริษัท" หมายถึง ข้อมูลส่วนบุคคลใดๆ ที่เกี่ยวข้องกับบริษัท หรือลูกค้า หรือพนักงานของบริษัท ที่ได้รับการประมวลผลซึ่งเกี่ยวข้องกับข้อตกลงหลัก

1.3) "ผู้ประมวลผลข้อมูลตามสัญญา" หมายถึง ผู้ประมวลผลข้อมูลช่วง

1.4) "กฎหมายคุ้มครองข้อมูล" หมายถึง กฎหมายคุ้มครองข้อมูลของสหภาพยุโรป และกฎหมายคุ้มครองข้อมูลหรือความเป็นส่วนตัวของประเทศอื่นใดในขอบเขตที่เกี่ยวข้อง

1.5) "EEA" หมายถึง เขตเศรษฐกิจยุโรป;

1.6) "กฎหมายคุ้มครองข้อมูลของสหภาพยุโรป" หมายถึง ข้อบังคับของสหภาพยุโรป Directive 95/46/EC ตามที่มีการแปลงเป็นกฎหมายภายในประเทศของแต่ละประเทศสมาชิก และตามที่มีการแก้ไข เพิ่มเติม แทนที่ หรือยกเลิกเป็นครั้งคราว ซึ่งรวมถึง GDPR และกฎหมายที่บังคับใช้หรือเสริม GDPR

1.7) "GDPR" หมายถึง กฎระเบียบคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป 2016/679

1.8) "การถ่ายโอนข้อมูล" หมายถึง:

• 1.8.1) การถ่ายโอนข้อมูลส่วนบุคคลของบริษัทจากผู้ควบคุมข้อมูลไปยังผู้ประมวลผลข้อมูล หรือผู้ประมวลผลข้อมูลตามสัญญา หรือ
• 1.8.2) การถ่ายโอนข้อมูลส่วนบุคคลของบริษัทต่อไปจากผู้ประมวลผลข้อมูลไปยังผู้ประมวลผลข้อมูลช่วง หรือระหว่างสถานประกอบการสองแห่งของผู้ประมวลผลข้อมูลช่วง

1.9) "บริการ" หมายถึง บริการออนไลน์ที่มีความปลอดภัยซึ่งจัดทำโดยผู้ประมวลผลข้อมูล เช่น อีเมล ปฏิทิน ไดรฟ์ และบริการอื่นๆ ตามที่พัฒนาโดยผู้ประมวลผลข้อมูล สามารถดูรายละเอียดและราคาของบริการได้บนเว็บไซต์ของผู้ประมวลผลข้อมูล

1.10) "ผู้ประมวลผลข้อมูลช่วง" หมายถึง บุคคลใดก็ตามที่ได้รับการแต่งตั้งโดยหรือในนามของผู้ประมวลผลข้อมูลเพื่อประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูลที่เกี่ยวข้องกับข้อตกลง

คำว่า "คณะกรรมาธิการ", "ผู้ควบคุมข้อมูล", "เจ้าของข้อมูลส่วนบุคคล", "ประเทศสมาชิก", "ข้อมูลส่วนบุคคล", "การละเมิดข้อมูลส่วนบุคคล", "การประมวลผล" และ "หน่วยงานกำกับดูแล" ให้มีความหมายเดียวกันกับใน GDPR หรือกฎหมายคุ้มครองข้อมูลอื่นที่เกี่ยวข้อง และคำที่เกี่ยวข้องกันให้ได้รับการตีความตามนั้น

2. การประมวลผลข้อมูลส่วนบุคคลของบริษัท

ผู้ประมวลผลข้อมูลจะต้อง:

2.1) ปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้องทั้งหมดในการประมวลผลข้อมูลส่วนบุคคลของบริษัท

2.2) และไม่ประมวลผลข้อมูลส่วนบุคคลของบริษัทนอกเหนือจากคำแนะนำเป็นลายลักษณ์อักษรของผู้ควบคุมข้อมูลในส่วนที่ 2

ผู้ควบคุมข้อมูลสั่งให้ผู้ประมวลผลข้อมูลประมวลผลข้อมูลส่วนบุคคลของบริษัทเพื่อ:

2.3) ให้บริการและฝ่ายสนับสนุนทางเทคนิคที่เกี่ยวข้อง

2.4) ปฏิบัติตามภาระผูกพันทางกฎหมายหรือระงับข้อพิพาท

2.5) ดำเนินงานภายในใดๆ ที่มีเป้าหมายเพื่อเพิ่มประสิทธิภาพด้านความปลอดภัย ความเป็นส่วนตัว การรักษาความลับ และฟังก์ชันการทำงานของบริการ

2.6) ดำเนินการรายงานภายใน รายงานทางการเงิน และงานภายในอื่นๆ ที่คล้ายคลึงกัน

3. บุคลากรของผู้ประมวลผลข้อมูล

ผู้ประมวลผลข้อมูลต้องดำเนินขั้นตอนที่สมเหตุสมผลเพื่อสร้างความมั่นใจในความน่าเชื่อถือของพนักงาน ตัวแทน หรือผู้รับเหมาของผู้ประมวลผลข้อมูลตามสัญญาซึ่งอาจเข้าถึงข้อมูลส่วนบุคคลของบริษัท โดยต้องมั่นใจในแต่ละกรณีว่าการเข้าถึงจำกัดเฉพาะบุคคลที่จำเป็นต้องรู้/เข้าถึงข้อมูลส่วนบุคคลของบริษัทที่เกี่ยวข้องเท่านั้น ตามความจำเป็นอย่างเคร่งครัดเพื่อวัตถุประสงค์ของข้อตกลงหลัก และ/หรือ เพื่อปฏิบัติตามกฎหมายคุ้มครองข้อมูลและกฎหมายอื่นที่เกี่ยวข้องในบริบทของหน้าที่ของบุคคลดังกล่าวต่อผู้ประมวลผลข้อมูลตามสัญญา รวมถึงต้องมั่นใจว่าบุคคลดังกล่าวทั้งหมดอยู่ภายใต้ข้อตกลงการรักษาความลับหรือหน้าที่ทางวิชาชีพหรือตามกฎหมายในการรักษาความลับ

4. ความปลอดภัย

ตามข้อ 32 (1) ของ GDPR ผู้ประมวลผลข้อมูลต้องดำเนินมาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อให้มั่นใจว่ามีระดับความปลอดภัยที่เหมาะสมกับความเสี่ยง โดยคำนึงถึงความก้าวหน้าทางเทคโนโลยี ค่าใช้จ่ายในการนำไปใช้ รวมถึงลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล มาตรการเหล่านี้ต้องได้รับการออกแบบมาเพื่อปกป้องสิทธิและเสรีภาพของบุคคลธรรมดา โดยพิจารณาถึงความเสี่ยงที่มีโอกาสเกิดขึ้นและความรุนแรงที่แตกต่างกัน รวมถึงความเสี่ยงของการละเมิดข้อมูลส่วนบุคคล

ผู้ประมวลผลข้อมูลต้องประเมินความเสี่ยงที่เกี่ยวข้องกับกิจกรรมการประมวลผล และใช้มาตรการที่สอดคล้องกับข้อกำหนดที่ระบุไว้ในข้อ 32 (1) ของ GDPR เพื่อให้มั่นใจในความปลอดภัยของข้อมูลส่วนบุคคลของบริษัทอยู่เสมอ

5. การประมวลผลข้อมูลช่วง

ภายใต้ข้อตกลงนี้ บริษัทอนุญาตเป็นการทั่วไปให้ผู้ประมวลผลข้อมูลสามารถว่าจ้างผู้ประมวลผลข้อมูลช่วง และเปิดเผยหรือถ่ายโอนข้อมูลส่วนบุคคลของบริษัทให้แก่บุคคลเหล่านั้นได้ บริษัทยอมรับและอนุมัติรายชื่อผู้ประมวลผลข้อมูลช่วงที่ระบุไว้ในนโยบายความเป็นส่วนตัวของผู้ประมวลผลข้อมูล โดยเข้าใจว่ารายชื่อนี้อาจได้รับการอัปเดตโดยผู้ประมวลผลข้อมูลเป็นประจำ ซึ่งในกรณีดังกล่าว บริษัทจะได้รับแจ้งจากผู้ประมวลผลข้อมูลตามกระบวนการแจ้งเตือนของนโยบายความเป็นส่วนตัว นอกจากนี้ บริษัตอนุญาตให้ผู้ประมวลผลข้อมูลเปิดเผยและถ่ายโอนข้อมูลส่วนบุคคลไปยังบริษัทใดๆ ภายในกลุ่มองค์กรได้

ผู้ประมวลผลข้อมูลต้องตรวจสอบให้แน่ใจว่าผู้ประมวลผลข้อมูลช่วงอยู่ภายใต้ข้อตกลงกับผู้ประมวลผลข้อมูลที่มีข้อจำกัดและให้ความคุ้มครองไม่น้อยไปกว่าข้อตกลงฉบับนี้ ในส่วนที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของบริษัทตามขอบเขตที่เกี่ยวข้องกับลักษณะของบริการที่จัดทำโดยผู้ประมวลผลข้อมูลช่วง

6. สิทธิของเจ้าของข้อมูลส่วนบุคคล

เมื่อคำนึงถึงลักษณะของการประมวลผลแล้ว ผู้ประมวลผลข้อมูลต้องให้ความช่วยเหลือแก่บริษัทตามสมควร เพื่อให้บริษัทปฏิบัติตามภาระผูกพันในการตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลภายใต้กฎหมายคุ้มครองข้อมูล

ผู้ประมวลผลข้อมูลจะต้อง:

6.1) แจ้งให้บริษัททราบทันทีหากได้รับคำขอจากเจ้าของข้อมูลส่วนบุคคลภายใต้กฎหมายคุ้มครองข้อมูลใดๆ ที่เกี่ยวกับข้อมูลส่วนบุคคลของบริษัท และ

6.2) ตรวจสอบให้แน่ใจว่าจะไม่ตอบสนองต่อคำขอดังกล่าว เว้นแต่จะได้รับคำสั่งเป็นลายลักษณ์อักษรจากผู้ควบคุมข้อมูลหรือตามที่กฎหมายที่ใช้บังคับกำหนดไว้ซึ่งผู้ประมวลผลข้อมูลต้องปฏิบัติตาม ซึ่งในกรณีนี้ ผู้ประมวลผลข้อมูลจะต้องแจ้งข้อกำหนดทางกฎหมายดังกล่าวให้ผู้ควบคุมข้อมูลทราบก่อนที่ผู้ประมวลผลข้อมูลตามสัญญาจะตอบสนองต่อคำขอ เท่าที่กฎหมายที่ใช้บังคับจะอนุญาต

7. การละเมิดข้อมูลส่วนบุคคล

ผู้ประมวลผลข้อมูลต้องจัดการกับการละเมิดข้อมูลส่วนบุคคลใดๆ ให้เป็นไปตามกฎหมายคุ้มครองข้อมูลที่เกี่ยวข้องและขั้นตอนการจัดการการละเมิดข้อมูลส่วนบุคคลภายในของตน ในกรณีที่มีการละเมิดข้อมูลส่วนบุคคลที่ส่งผลกระทบต่อข้อมูลส่วนบุคคลของบริษัท ผู้ประมวลผลข้อมูลต้องแจ้งให้บริษัททราบโดยไม่ชักช้า พร้อมทั้งให้ข้อมูลที่เพียงพอเพื่อให้บริษัทสามารถปฏิบัติตามภาระผูกพันภายใต้กฎหมายคุ้มครองข้อมูลได้ รวมถึงการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบตามความจำเป็น ในกรณีดังกล่าว ผู้ประมวลผลข้อมูลต้องให้ข้อมูลที่เพียงพอแก่บริษัท เพื่อให้บริษัทสามารถปฏิบัติตามภาระผูกพันในการรายงานหรือแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงการละเมิดข้อมูลส่วนบุคคลภายใต้กฎหมายคุ้มครองข้อมูล

ผู้ประมวลผลข้อมูลต้องให้ความร่วมมือกับบริษัทและดำเนินการตามขั้นตอนทางการค้าที่สมเหตุสมผลตามที่บริษัทกำหนด เพื่อช่วยเหลือในการตรวจสอบ การบรรเทาผลกระทบ และการเยียวยาแก้ไขการละเมิดข้อมูลส่วนบุคคลดังกล่าวในแต่ละครั้ง

แต่ละฝ่ายต้องรับผิดชอบค่าใช้จ่ายในการตรวจสอบ การเยียวยาแก้ไข การบรรเทาผลกระทบ และค่าใช้จ่ายอื่นๆ ที่เกี่ยวข้อง ในขอบเขตที่การละเมิดข้อมูลเกิดจากฝ่ายนั้น

แต่ละฝ่ายต้องรับผิดชอบค่าใช้จ่ายของค่าปรับ บทลงโทษ ค่าเสียหาย หรือจำนวนเงินอื่นๆ ที่เกี่ยวข้อง ซึ่งกำหนดโดยหน่วยงานกำกับดูแลที่มีอำนาจ หน่วยงานของรัฐ หรือศาลที่มีเขตอำนาจ ในขอบเขตที่เกิดขึ้นจากการที่ฝ่ายนั้นละเมิดภาระผูกพันภายใต้ข้อตกลงนี้

8. การประเมินผลกระทบด้านการคุ้มครองข้อมูลและการปรึกษาหารือล่วงหน้า

ผู้ประมวลผลข้อมูลต้องให้ความช่วยเหลือแก่บริษัทตามสมควรในการประเมินผลกระทบด้านการคุ้มครองข้อมูล และการปรึกษาหารือล่วงหน้ากับหน่วยงานกำกับดูแลหรือหน่วยงานที่มีอำนาจด้านความเป็นส่วนตัวของข้อมูลอื่นๆ ซึ่งผู้ควบคุมข้อมูลพิจารณาอย่างสมเหตุสมผลว่าจำเป็นตามมาตรา 35 หรือ 36 ของ GDPR หรือบทบัญญัติที่เทียบเท่าของกฎหมายคุ้มครองข้อมูลอื่นใด ในแต่ละกรณีโดยเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลของบริษัทโดยผู้ประมวลผลข้อมูลตามสัญญาเท่านั้น และคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่มีอยู่สำหรับผู้ประมวลผลข้อมูลตามสัญญา

9. การลบหรือการส่งคืนข้อมูลส่วนบุคคลของบริษัท

ในกรณีที่มีการยุติบริการใดๆ ที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลของบริษัท ผู้ประมวลผลข้อมูลต้องลบข้อมูลส่วนบุคคลของบริษัททั้งหมดเท่าที่กฎหมายที่เกี่ยวข้องอนุญาต และเป็นไปตามข้อกำหนดและเงื่อนไขและนโยบายความเป็นส่วนตัวของผู้ประมวลผลข้อมูล หากบริษัทต้องการสำเนาข้อมูลของตน ต้องส่งคำขอก่อนที่จะมีการลบบัญชี โดยจะไม่สามารถพิจารณาคำขอที่ส่งมาหลังจากที่บัญชีถูกลบไปแล้วได้

10. สิทธิในการตรวจสอบ

ภายใต้ส่วนที่ 10 นี้ ผู้ประมวลผลข้อมูลต้องจัดเตรียมข้อมูลที่จำเป็นทั้งหมดตามคำขอแก่บริษัทเพื่อแสดงให้เห็นถึงการปฏิบัติตามข้อตกลงนี้ และต้องอนุญาตและให้ความร่วมมือในการตรวจสอบ รวมถึงการตรวจประเมิน โดยบริษัทหรือผู้ตรวจสอบที่ได้รับมอบหมายจากบริษัทเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของบริษัทโดยผู้ประมวลผลข้อมูลตามสัญญา บริษัทต้องไม่ใช้สิทธิในการตรวจสอบมากกว่าหนึ่งครั้งต่อปีปฏิทิน เว้นแต่จะเป็นกรณีหลังจากเกิดเหตุการณ์การละเมิดข้อมูลส่วนบุคคล หรือมีคำสั่งจากหน่วยงานกำกับดูแล บริษัทต้องแจ้งให้ผู้ประมวลผลข้อมูลทราบล่วงหน้าเป็นลายลักษณ์อักษรอย่างน้อยหกสิบ (60) วันเกี่ยวกับความประสงค์ในการตรวจสอบผู้ประมวลผลข้อมูลตามข้อตกลงนี้ การตรวจสอบต้องดำเนินการในระหว่างเวลาทำการของผู้ประมวลผลข้อมูล ต้องไม่รบกวนการดำเนินงานของผู้ประมวลผลข้อมูล และต้องรับประกันการคุ้มครองข้อมูลส่วนบุคคลของบริษัท ผู้ประมวลผลข้อมูล และเจ้าของข้อมูลส่วนบุคคลรายอื่นๆ ผู้ประมวลผลข้อมูลและบริษัทต้องตกลงร่วมกันล่วงหน้าเกี่ยวกับวันที่ ขอบเขต ระยะเวลา รวมถึงการควบคุมความปลอดภัยและการรักษาความลับที่ใช้กับการตรวจสอบ บริษัทยอมรับว่าผู้ควบคุมข้อมูลอาจกำหนดให้มีการลงนามในสัญญาไม่เปิดเผยข้อมูลก่อนดำเนินการตรวจสอบ

สิทธิในข้อมูลและการตรวจสอบของบริษัทจะมีขึ้นภายใต้ส่วนที่ 10 เท่านั้น ในขอบเขตที่ข้อตกลงไม่ได้ให้สิทธิในข้อมูลและการตรวจสอบที่เป็นไปตามข้อกำหนดที่เกี่ยวข้องของกฎหมายคุ้มครองข้อมูลแก่บริษัทในลักษณะอื่น

11. การถ่ายโอนข้อมูล

เท่าที่เป็นไปได้ ผู้ประมวลผลข้อมูลจะถ่ายโอนหรืออนุญาตให้ถ่ายโอนข้อมูลไปยังประเทศต่างๆ ในสวิตเซอร์แลนด์ สหภาพยุโรป และ/หรือ ประเทศที่อยู่ภายใต้การตัดสินความเหมาะสมของการคุ้มครองข้อมูลเท่านั้น ตามที่ระบุไว้ใน art. 45 GDPR และ art. 16 Swiss FADP หากข้อมูลส่วนบุคคลที่ประมวลผลภายใต้ข้อตกลงนี้ถูกถ่ายโอนจากสวิตเซอร์แลนด์ หรือประเทศใดๆ ในสหภาพยุโรป หรือประเทศใดๆ ที่อยู่ภายใต้การตัดสินความเหมาะสมของการคุ้มครองข้อมูล ไปยังประเทศที่อยู่นอกเหนือขอบเขตนี้ คู่สัญญาต้องตรวจสอบให้แน่ใจว่าข้อมูลส่วนบุคคลได้รับการคุ้มครองอย่างเพียงพอ เพื่อให้บรรลุผลดังกล่าว คู่สัญญาจะต้องใช้ข้อสัญญามาตรฐานสำหรับการถ่ายโอนข้อมูลส่วนบุคคลที่ได้รับการอนุมัติและมีผลบังคับใช้ในขณะนั้นจากสวิตเซอร์แลนด์ และ/หรือ สหภาพยุโรป และ/หรือ สหราชอาณาจักร หรือกลไกการถ่ายโอนอื่นๆ ตามที่กฎหมายคุ้มครองข้อมูลกำหนดไว้ เว้นแต่จะตกลงกันไว้เป็นอย่างอื่น ผู้ประมวลผลข้อมูลจะได้รับอนุญาตให้ทำการถ่ายโอนข้อมูลดังกล่าวไปยังผู้ประมวลผลข้อมูลช่วงได้ โดยมีเงื่อนไขว่าต้องมีการนำมาตรการคุ้มครองที่เพียงพอมาใช้โดยคำนึงถึงลักษณะของการถ่ายโอนข้อมูล

12. ข้อกำหนดทั่วไป

การปฏิบัติตามกฎหมายที่ใช้บังคับ ผู้ประมวลผลข้อมูลจะประมวลผลข้อมูลส่วนบุคคลของบริษัทตามข้อตกลงนี้และกฎหมายคุ้มครองข้อมูลที่ใช้บังคับกับบทบาทของตนภายใต้ข้อตกลงนี้ ผู้ประมวลผลข้อมูลจะไม่รับผิดชอบหรือรับผิดในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่ใช้บังคับกับบริษัทแต่เพียงผู้เดียวอันเนื่องมาจากธุรกิจหรืออุตสาหกรรมของบริษัท

การรักษาความลับ แต่ละฝ่ายต้องเก็บรักษาข้อมูลใดๆ ที่ได้รับเกี่ยวกับอีกฝ่ายหนึ่งและธุรกิจของอีกฝ่ายที่เกี่ยวข้องกับข้อตกลงนี้ (“ข้อมูลที่เป็นความลับ”) ไว้เป็นความลับ และต้องไม่ใช้หรือเปิดเผยข้อมูลที่เป็นความลับนั้นโดยไม่ได้รับความยินยอมเป็นลายลักษณ์อักษรล่วงหน้าจากอีกฝ่าย เว้นแต่ในขอบเขตที่:

(a) กฎหมายกำหนดให้ต้องเปิดเผยข้อมูล

(b) ข้อมูลที่เกี่ยวข้องเป็นข้อมูลสาธารณะอยู่แล้วโดยไม่ใช่ความผิดของคู่สัญญา

การแจ้งเตือน คำบอกกล่าวและการสื่อสารทั้งหมดภายใต้ข้อตกลงนี้ต้องทำเป็นลายลักษณ์อักษรและจะส่งทางอีเมล ผู้ควบคุมข้อมูลจะได้รับการแจ้งเตือนทางอีเมลที่ส่งไปยังที่อยู่ซึ่งเกี่ยวข้องกับการใช้บริการภายใต้ข้อตกลงหลัก ผู้ประมวลผลข้อมูลจะได้รับการแจ้งเตือนทางอีเมลที่ส่งไปยังที่อยู่: legal@proton.me

กฎหมายที่ใช้บังคับและเขตอำนาจศาล ข้อตกลงนี้จะอยู่ภายใต้บังคับของกฎหมายสวิส โดยไม่คำนึงถึงบทบัญญัติว่าด้วยการเลือกใช้กฎหมายหรือการขัดกันของกฎหมายของเขตอำนาจศาลใดๆ ที่ขัดแย้งกัน และข้อพิพาท การฟ้องร้อง ข้อเรียกร้อง หรือมูลคดีที่เกิดขึ้นจากหรือเกี่ยวข้องกับข้อตกลงนี้ แบบฟอร์มการสั่งซื้อ เอกสารใดๆ ที่นำมารวมไว้โดยการอ้างอิง เทคโนโลยีของ Proton หรือบริการ จะต้องอยู่ภายใต้เขตอำนาจศาลแต่เพียงผู้เดียวของเจนีวา ประเทศสวิตเซอร์แลนด์

ในกรณีที่มีความคลาดเคลื่อนระหว่างข้อกำหนดเหล่านี้ฉบับภาษาอังกฤษและฉบับแปล ให้ยึดถือฉบับภาษาอังกฤษเป็นหลัก