ข้อตกลงการประมวลผลข้อมูล MSP

ข้อตกลงการประมวลผลข้อมูลนี้ ("ข้อตกลง") เป็นส่วนหนึ่งของข้อตกลงผู้ให้บริการที่มีการจัดการ ("ข้อตกลงหลัก") ระหว่าง Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland หมายเลขประจำตัวบริษัท CHE-354.686.492 (เรียกว่า "ผู้ประมวลผลข้อมูล") และ MSP ที่ระบุไว้ในข้อตกลงหลัก (เรียกว่า "บริษัท" ซึ่งหมายถึงผู้ให้บริการที่มีการจัดการที่ใช้บริการเพื่อจัดเตรียม เรียกเก็บเงิน และสนับสนุนลูกค้ารายที่มีการจัดการของตน ไม่ว่าจะมีรูปแบบทางกฎหมายใดก็ตาม)

ข้อตกลงนี้กำกับดูแลข้อกำหนดเฉพาะของกฎหมายคุ้มครองข้อมูล ในขอบเขตที่การใช้บริการของบริษัท รวมถึงการจัดเตรียมบริการของบริษัทให้แก่ลูกค้ารายที่มีการจัดการ เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลที่อยู่ภายใต้กฎหมายคุ้มครองข้อมูล

ระยะเวลาของข้อตกลงนี้จะเป็นไปตามระยะเวลาของข้อตกลงหลัก ข้อกำหนดที่ไม่ได้นิยามไว้ในที่นี้จะมีความหมายตามที่ระบุไว้ในข้อตกลงหลัก

โดยที่

A) บริษัททำหน้าที่เป็นผู้ควบคุมข้อมูล หรือในกรณีที่ลูกค้ารายที่มีการจัดการเป็นผู้สั่งการให้ประมวลผลข้อมูลส่วนบุคคลของตนเอง บริษัทจะทำหน้าที่เป็นผู้ประมวลผลข้อมูลในนามของลูกค้ารายที่มีการจัดการนั้น (ในทั้งสองกรณีเรียกว่า "ผู้ควบคุมข้อมูล")

B) บริษัทประสงค์จะจ้างเหมาช่วงบริการบางอย่างที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลให้แก่ Proton AG ซึ่งทำหน้าที่เป็นผู้ประมวลผลข้อมูล ("ผู้ประมวลผลข้อมูล")

C) คู่สัญญาประสงค์ที่จะจัดทำข้อตกลงการประมวลผลข้อมูลที่สอดคล้องกับข้อกำหนดของกรอบทางกฎหมายปัจจุบันที่เกี่ยวข้องกับการประมวลผลข้อมูล ซึ่งรวมถึงระเบียบ (EU) 2016/679 ("GDPR") และกฎหมายคุ้มครองข้อมูลของสวิตเซอร์แลนด์ (Federal Act on Data Protection หรือ "FADP") รวมถึงกฎหมายคุ้มครองข้อมูลอื่น ๆ ที่เกี่ยวข้อง

D) คู่สัญญาประสงค์ที่จะกำหนดสิทธิและหน้าที่ของแต่ละฝ่าย

จึงตกลงกันดังนี้:

1. คำนิยาม บทบาท และขอบเขต

1.1 คำนิยาม เว้นแต่จะกำหนดไว้เป็นอย่างอื่นในที่นี้ คำที่ขึ้นต้นด้วยตัวพิมพ์ใหญ่จะมีความหมายตามที่ระบุไว้ในข้อตกลงหลัก หรือหากไม่ได้นิยามไว้ในนั้น ให้มีความหมายดังต่อไปนี้:

• "ข้อมูลส่วนบุคคลของบริษัท" หมายถึง ข้อมูลส่วนบุคคลใด ๆ ที่เกี่ยวข้องกับบริษัท ลูกค้ารายที่มีการจัดการของบริษัท หรือลูกค้าหรือพนักงานของคู่สัญญาดังกล่าว ซึ่งได้รับการประมวลผลที่เกี่ยวข้องกับข้อตกลงหลัก
• "ผู้ประมวลผลตามสัญญา" หมายถึง ผู้ประมวลผลช่วง
• "กฎหมายคุ้มครองข้อมูล" หมายถึง GDPR, FADP และกฎหมายคุ้มครองข้อมูลหรือความเป็นส่วนตัวของประเทศอื่น ๆ ตามขอบเขตที่มีผลใช้บังคับ
• "การถ่ายโอนข้อมูล" หมายถึง (i) การถ่ายโอนข้อมูลส่วนบุคคลของบริษัทจากบริษัทไปยังผู้ประมวลผลข้อมูลหรือผู้ประมวลผลตามสัญญา หรือ (ii) การถ่ายโอนข้อมูลส่วนบุคคลของบริษัทต่อไปจากผู้ประมวลผลข้อมูลไปยังผู้ประมวลผลช่วง หรือระหว่างสถานประกอบการสองแห่งของผู้ประมวลผลช่วง
• "ลูกค้ารายที่มีการจัดการ" มีความหมายตามที่ระบุไว้ในข้อตกลงหลัก: นิติบุคคลหรือองค์กรผู้ใช้ปลายทางที่บริษัทจัดเตรียมและส่งมอบบริการให้ ซึ่งเป็นส่วนหนึ่งของบริการที่มีการจัดการของบริษัทเอง
• “ผู้ประมวลผลช่วง” หมายถึง บุคคลใดก็ตามที่ได้รับการแต่งตั้งโดยหรือในนามของผู้ประมวลผลข้อมูลเพื่อประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องกับข้อตกลง
• คำว่า "คณะกรรมาธิการ", "ผู้ควบคุมข้อมูล", "เจ้าของข้อมูล", "รัฐสมาชิก", "ข้อมูลส่วนบุคคล", "การละเมิดข้อมูลส่วนบุคคล", "การประมวลผล" และ "หน่วยงานกำกับดูแล" มีความหมายเดียวกับที่ระบุไว้ใน GDPR หรือกฎหมายคุ้มครองข้อมูลอื่นที่มีผลใช้บังคับ

1.2 บทบาทของคู่สัญญา ในความสัมพันธ์ระหว่าง Proton กับบริษัท บริษัทเป็นผู้ควบคุมข้อมูล (หรือเป็นผู้ประมวลผลข้อมูลที่ดำเนินการตามคำสั่งของลูกค้ารายที่มีการจัดการ แล้วแต่กรณี) และ Proton เป็นผู้ประมวลผลข้อมูล ในส่วนที่เกี่ยวกับข้อมูลส่วนบุคคลของบริษัททั้งหมดที่ได้รับการประมวลผลภายใต้ข้อตกลงหลัก รวมถึงข้อมูลส่วนบุคคลของหรือที่เกี่ยวข้องกับลูกค้ารายที่มีการจัดการและผู้ใช้ปลายทางของลูกค้ารายดังกล่าว ข้อตกลงนี้เป็นข้อตกลงการประมวลผลข้อมูลที่สมบูรณ์และเด็ดขาดแต่เพียงผู้เดียวระหว่าง Proton กับฝ่ายใดก็ตามในสายของลูกค้ารายที่มีการจัดการ Proton ไม่มีความสัมพันธ์ทางสัญญาโดยตรง ความสัมพันธ์แบบผู้ควบคุมข้อมูล-ผู้ประมวลผลข้อมูล หรือผู้ประมวลผลข้อมูล-ผู้ประมวลผลช่วง กับลูกค้ารายที่มีการจัดการใด ๆ และไม่มีลูกค้ารายที่มีการจัดการใดเป็นคู่สัญญาหรือผู้รับประโยชน์ที่เป็นบุคคลที่สามของข้อตกลงนี้ บริษัทมีหน้าที่รับผิดชอบแต่เพียงผู้เดียวสำหรับข้อตกลงและภาระผูกพันที่มีต่อลูกค้ารายที่มีการจัดการของตน รวมถึงข้อกำหนดในการคุ้มครองข้อมูลใด ๆ ที่บริษัทมีต่อลูกค้าเหล่านั้นตามกฎหมายหรือสัญญาที่มีผลใช้บังคับ

1.3 ความรับผิดชอบขั้นต่อไปของบริษัท บริษัทจะต้องทำข้อตกลงเป็นลายลักษณ์อักษรกับลูกค้ารายที่มีการจัดการแต่ละราย ซึ่งกำหนดภาระผูกพันในการคุ้มครองข้อมูลสำหรับบริษัทที่คุ้มครองข้อมูลส่วนบุคคลของลูกค้ารายที่มีการจัดการนั้นไม่น้อยไปกว่าภาระผูกพันที่ Proton มีต่อบริษัทภายใต้ข้อตกลงนี้ ในขอบเขตที่เกี่ยวข้องกับลักษณะของบริการที่บริษัทมอบให้แก่ลูกค้ารายที่มีการจัดการนั้น ภาระผูกพันของ Proton ภายใต้ข้อตกลงนี้มีต่อบริษัทแต่เพียงผู้เดียว บริษัทยังคงต้องรับผิดชอบแต่เพียงผู้เดียวต่อลูกค้ารายที่มีการจัดการสำหรับการประมวลผลข้อมูลส่วนบุคคลของลูกค้าเหล่านั้น รวมถึงการกระทำหรือการละเว้นการกระทำใด ๆ ของ Proton ในความสัมพันธ์ระหว่างบริษัทกับลูกค้ารายที่มีการจัดการ

2. การประมวลผลข้อมูลส่วนบุคคลของบริษัท

ผู้ประมวลผลข้อมูลจะต้อง:

• ปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่มีผลใช้บังคับทั้งหมดในการประมวลผลข้อมูลส่วนบุคคลของบริษัท และ
• ไม่ประมวลผลข้อมูลส่วนบุคคลของบริษัทนอกเหนือจากคำสั่งที่มีการบันทึกเป็นเอกสารของบริษัท ตามที่ระบุไว้ด้านล่างนี้

บริษัทสั่งการให้ผู้ประมวลผลข้อมูลประมวลผลข้อมูลส่วนบุคคลของบริษัทเพื่อ:

• ให้บริการและความช่วยเหลือทางเทคนิคที่เกี่ยวข้องแก่บริษัท และส่งต่อไปยังลูกค้ารายที่มีการจัดการผ่านทางบริษัท
• ปฏิบัติตามภาระผูกพันทางกฎหมายหรือระงับข้อพิพาท
• ดำเนินงานภายในใด ๆ ที่มีเป้าหมายเพื่อเพิ่มประสิทธิภาพด้านความปลอดภัย ความเป็นส่วนตัว การรักษาความลับ และการทำงานของบริการ และ
• ดำเนินการรายงานภายใน การรายงานทางการเงิน และงานภายในอื่น ๆ ที่คล้ายคลึงกัน

3. บุคลากรของผู้ประมวลผลข้อมูล

ผู้ประมวลผลข้อมูลจะต้องดำเนินการตามขั้นตอนที่สมเหตุสมผลเพื่อให้มั่นใจในความน่าเชื่อถือของพนักงาน ตัวแทน หรือผู้รับเหมาของผู้ประมวลผลตามสัญญารายใดก็ตามที่อาจเข้าถึงข้อมูลส่วนบุคคลของบริษัท โดยต้องมั่นใจว่าในแต่ละกรณีการเข้าถึงจะถูกจำกัดไว้อย่างเคร่งครัดเฉพาะบุคคลที่มีความจำเป็นต้องทราบหรือเข้าถึงข้อมูลส่วนบุคคลของบริษัทที่เกี่ยวข้อง เท่าที่จำเป็นอย่างยิ่งตามวัตถุประสงค์ของข้อตกลงหลัก และ/หรือ เพื่อปฏิบัติตามกฎหมายคุ้มครองข้อมูล ตลอดจนทำให้มั่นใจว่าบุคคลดังกล่าวทุกคนอยู่ภายใต้ข้อตกลงการรักษาความลับ หรือภาระผูกพันในการรักษาความลับตามวิชาชีพหรือตามกฎหมาย

4. ความปลอดภัย

เพื่อให้เป็นไปตามข้อ 32(1) ของ GDPR ผู้ประมวลผลข้อมูลจะต้องดำเนินมาตรการทางเทคนิคและทางองค์กรที่เหมาะสมเพื่อรับรองระดับความปลอดภัยที่เหมาะสมกับความเสี่ยง โดยคำนึงถึงความก้าวหน้าทางเทคโนโลยี ค่าใช้จ่ายในการดำเนินการ รวมถึงลักษณะ ขอบเขต บริบท และวัตถุประสงค์ของการประมวลผล มาตรการเหล่านี้ได้รับการออกแบบมาเพื่อปกป้องสิทธิและเสรีภาพของบุคคลธรรมดา โดยคำนึงถึงความเสี่ยงที่มีโอกาสเกิดขึ้นและความรุนแรงในระดับต่าง ๆ รวมถึงความเสี่ยงของการละเมิดข้อมูลส่วนบุคคล บริษัทจะต้องดำเนินมาตรการทางเทคนิคและทางองค์กรที่เหมาะสมสำหรับการประมวลผลข้อมูลส่วนบุคคลของบริษัทเอง รวมถึงการดูแลระบบบัญชีของลูกค้ารายที่มีการจัดการผ่านใบอนุญาตของผู้ดูแลระบบ MSP และจะต้องทำให้มั่นใจว่าการเข้าถึงบัญชีดังกล่าวจำกัดเฉพาะบุคลากรของบริษัทที่มีความจำเป็นต้องใช้ ได้รับการคุ้มครองด้วยการควบคุมการยืนยันตัวตนที่เหมาะสม และถูกเพิกถอนในทันทีเมื่อไม่จำเป็นต้องใช้อีกต่อไป

5. การประมวลผลข้อมูลช่วง

ภายใต้ข้อตกลงนี้ บริษัทยินยอมเป็นการทั่วไปให้ผู้ประมวลผลข้อมูลสามารถแต่งตั้งผู้ประมวลผลช่วง ตลอดจนเปิดเผยหรือถ่ายโอนข้อมูลส่วนบุคคลของบริษัทให้แก่ผู้ประมวลผลช่วงเหล่านั้นได้ บริษัทรับทราบและอนุมัติรายชื่อผู้ประมวลผลช่วงที่ระบุไว้ในนโยบายความเป็นส่วนตัวของผู้ประมวลผลข้อมูล โดยเข้าใจว่ารายชื่อนี้อาจได้รับการอัปเดตโดยผู้ประมวลผลข้อมูลเป็นครั้งคราว ซึ่งในกรณีดังกล่าว บริษัทจะได้รับการแจ้งเตือนตามกระบวนการแจ้งเตือนของนโยบายความเป็นส่วนตัว บริษัทยังอนุญาตให้ผู้ประมวลผลข้อมูลเปิดเผยและถ่ายโอนข้อมูลส่วนบุคคลไปยังบริษัทใดก็ตามที่อยู่ภายในกลุ่มบริษัทของตนได้อีกด้วย ผู้ประมวลผลข้อมูลจะต้องทำให้มั่นใจว่าผู้ประมวลผลช่วงอยู่ภายใต้ข้อตกลงกับผู้ประมวลผลข้อมูลที่มีข้อจำกัดและการคุ้มครองไม่น้อยไปกว่าข้อตกลงนี้ในส่วนที่เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของบริษัท ในขอบเขตที่เกี่ยวข้องกับลักษณะของบริการที่ผู้ประมวลผลช่วงรายนั้นให้บริการ เพื่อหลีกเลี่ยงข้อสงสัย บริษัทไม่ได้เป็นผู้ประมวลผลช่วงของ Proton และส่วนนี้จะไม่มีผลบังคับใช้กับการที่บริษัทมีส่วนร่วมกับลูกค้ารายที่มีการจัดการหรือบุคคลที่สามใด ๆ

6. สิทธิของเจ้าของข้อมูลส่วนบุคคล

เมื่อคำนึงถึงลักษณะของการประมวลผล ผู้ประมวลผลข้อมูลจะให้ความช่วยเหลือตามสมควรแก่บริษัทในการปฏิบัติตามภาระผูกพันของบริษัทเพื่อตอบสนองต่อคำขอใช้สิทธิของเจ้าของข้อมูลภายใต้กฎหมายคุ้มครองข้อมูล รวมถึงคำขอที่บริษัทได้รับจากหรือในนามของลูกค้ารายที่มีการจัดการหรือผู้ใช้ปลายทางของลูกค้ารายที่มีการจัดการนั้นเอง

ผู้ประมวลผลข้อมูลจะต้อง:

• แจ้งให้บริษัททราบโดยทันทีหากได้รับคำขอจากเจ้าของข้อมูลภายใต้กฎหมายคุ้มครองข้อมูลใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของบริษัท และ

• ตรวจสอบให้แน่ใจว่าจะไม่ตอบกลับคำขอดังกล่าว เว้นแต่จะเป็นไปตามคำสั่งที่มีการบันทึกเป็นเอกสารของบริษัท หรือตามที่กฎหมายที่เกี่ยวข้องกำหนด ซึ่งในกรณีดังกล่าว ผู้ประมวลผลข้อมูลจะแจ้งให้บริษัททราบถึงข้อกำหนดทางกฎหมายดังกล่าวก่อนทำการตอบกลับ เท่าที่กฎหมายอนุญาตให้กระทำได้

บริษัทมีหน้าที่รับผิดชอบแต่เพียงผู้เดียวในการตอบกลับและประสานงานกับลูกค้ารายที่มีการจัดการใด ๆ เกี่ยวกับคำขอของเจ้าของข้อมูลที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของลูกค้ารายที่มีการจัดการนั้น ผู้ประมวลผลข้อมูลไม่มีข้อผูกพันในการระบุตัวตนหรือสื่อสารกับลูกค้ารายที่มีการจัดการใด ๆ โดยตรง

7. การละเมิดข้อมูลส่วนบุคคล

ผู้ประมวลผลข้อมูลจะต้องจัดการกับการละเมิดข้อมูลส่วนบุคคลใด ๆ ให้สอดคล้องกับกฎหมายคุ้มครองข้อมูลที่มีผลใช้บังคับและขั้นตอนการจัดการเหตุละเมิดข้อมูลส่วนบุคคลภายในของตน ในกรณีที่มีการละเมิดข้อมูลส่วนบุคคลที่ส่งผลกระทบต่อข้อมูลส่วนบุคคลของบริษัท ผู้ประมวลผลข้อมูลจะต้องแจ้งให้บริษัททราบโดยไม่ชักช้า พร้อมทั้งให้ข้อมูลที่เพียงพอเพื่อให้บริษัทสามารถปฏิบัติตามภาระผูกพันของตนภายใต้กฎหมายคุ้มครองข้อมูลได้ รวมถึงการแจ้งให้ลูกค้ารายที่มีการจัดการและเจ้าของข้อมูลที่ได้รับผลกระทบทราบตามความเหมาะสม ผู้ประมวลผลข้อมูลจะต้องร่วมมือกับบริษัทและดำเนินขั้นตอนทางการค้าที่สมเหตุสมผลตามที่บริษัทสั่งการ เพื่อช่วยเหลือในการตรวจสอบ บรรเทาผลกระทบ และแก้ไขการละเมิดข้อมูลส่วนบุคคลดังกล่าวในแต่ละครั้ง คู่สัญญาแต่ละฝ่ายจะต้องรับผิดชอบค่าใช้จ่ายในการตรวจสอบ การแก้ไข การบรรเทาผลกระทบ และค่าใช้จ่ายอื่น ๆ ที่เกี่ยวข้องตามสัดส่วนที่เหตุการณ์ละเมิดข้อมูลส่วนบุคคลนั้นเกิดจากฝ่ายดังกล่าว คู่สัญญาแต่ละฝ่ายจะต้องรับผิดชอบค่าปรับ บทลงโทษ ค่าเสียหาย หรือจำนวนเงินอื่น ๆ ที่เกี่ยวข้องซึ่งกำหนดโดยหน่วยงานกำกับดูแลที่มีอำนาจ ตามขอบเขตที่เกิดขึ้นจากการที่ฝ่ายนั้นละเมิดภาระผูกพันของตนเองภายใต้ข้อตกลงนี้ บริษัทมีหน้าที่รับผิดชอบแต่เพียงผู้เดียวในการแจ้งเตือนเหตุละเมิดข้อมูลไปยังลูกค้ารายที่มีการจัดการและเจ้าของข้อมูลของลูกค้าดังกล่าว ตลอดจนกำหนดเวลาและเนื้อหาของการแจ้งเตือนเหล่านั้น

8. การประเมินผลกระทบด้านการคุ้มครองข้อมูลและการปรึกษาหารือล่วงหน้า

ผู้ประมวลผลข้อมูลจะให้ความช่วยเหลือตามสมควรแก่บริษัทเกี่ยวกับการประเมินผลกระทบด้านการคุ้มครองข้อมูลและการปรึกษาหารือล่วงหน้ากับหน่วยงานกำกับดูแลที่บริษัทพิจารณาอย่างสมเหตุสมผลแล้วว่าจำเป็นตามข้อ 35 หรือ 36 ของ GDPR หรือข้อกำหนดที่เทียบเท่าของกฎหมายคุ้มครองข้อมูลอื่นใด โดยในแต่ละกรณีจะเกี่ยวข้องเฉพาะกับการประมวลผลข้อมูลส่วนบุคคลของบริษัทโดยผู้ประมวลผลตามสัญญา และคำนึงถึงลักษณะของการประมวลผลตลอดจนข้อมูลที่มีอยู่ของผู้ประมวลผลตามสัญญา

9. การลบหรือการส่งคืนข้อมูลส่วนบุคคลของบริษัท

เมื่อสิ้นสุดการให้บริการใด ๆ ที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลของบริษัท ผู้ประมวลผลข้อมูลจะลบข้อมูลส่วนบุคคลของบริษัททั้งหมดตามขอบเขตที่กฎหมายที่เกี่ยวข้องอนุญาต และเป็นไปตามข้อกำหนดและเงื่อนไขตลอดจนนโยบายความเป็นส่วนตัวของผู้ประมวลผลข้อมูล หากบริษัทต้องการสำเนาข้อมูลส่วนบุคคลของบริษัท จะต้องส่งคำขอก่อนที่จะมีการลบข้อมูล และจะไม่สามารถพิจารณาคำขอที่ส่งหลังจากลบข้อมูลแล้วได้อีกต่อไป เมื่อสัญญาสิ้นสุดลง บริษัทยังคงมีหน้าที่รับผิดชอบแต่เพียงผู้เดียวในการจัดการการลบ การส่งคืน หรือการโอนย้ายข้อมูลส่วนบุคคลของลูกค้ารายที่มีการจัดการใด ๆ ในความสัมพันธ์ระหว่างบริษัทกับลูกค้ารายที่มีการจัดการนั้น ซึ่งสอดคล้องกับหัวข้อ 5.4 ของข้อตกลงหลัก (ความช่วยเหลือในการเปลี่ยนผ่าน)

10. สิทธิในการตรวจสอบ

ภายใต้หัวข้อ 10 นี้ ผู้ประมวลผลข้อมูลจะต้องจัดเตรียมข้อมูลที่จำเป็นทั้งหมดเพื่อแสดงถึงการปฏิบัติตามข้อตกลงนี้ให้แก่บริษัทเมื่อมีการร้องขอ และจะต้องอนุญาตและให้ความร่วมมือในการตรวจสอบ รวมถึงการตรวจสอบสถานที่ โดยบริษัทหรือผู้ตรวจสอบที่ได้รับมอบหมายจากบริษัท ในส่วนที่เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของบริษัทโดยผู้ประมวลผลตามสัญญา บริษัทจะไม่ใช้สิทธิในการตรวจสอบภายใต้หัวข้อนี้เกินหนึ่งครั้งต่อปีปฏิทิน เว้นแต่จะเป็นกรณีหลังจากเกิดการละเมิดข้อมูลส่วนบุคคลหรือมีคำสั่งจากหน่วยงานกำกับดูแล บริษัทจะต้องแจ้งให้ผู้ประมวลผลข้อมูลทราบล่วงหน้าเป็นลายลักษณ์อักษรอย่างน้อยหกสิบ (60) วันเกี่ยวกับความประสงค์ที่จะทำการตรวจสอบ การตรวจสอบจะต้องดำเนินการในระหว่างเวลาทำการของผู้ประมวลผลข้อมูล จะต้องไม่รบกวนการดำเนินงานของผู้ประมวลผลข้อมูล และจะต้องรับรองการคุ้มครองข้อมูลส่วนบุคคลของบริษัท ผู้ประมวลผลข้อมูล และเจ้าของข้อมูลรายอื่น ๆ คู่สัญญาจะต้องตกลงร่วมกันล่วงหน้าเกี่ยวกับวันที่ ขอบเขต ระยะเวลา รวมถึงมาตรการควบคุมความปลอดภัยและการรักษาความลับที่ใช้บังคับกับการตรวจสอบ ทั้งนี้ ผู้ประมวลผลข้อมูลอาจกำหนดให้มีการทำข้อตกลงไม่เปิดเผยข้อมูลก่อนการตรวจสอบได้ สิทธิในการรับข้อมูลและการตรวจสอบภายใต้หัวข้อนี้เกิดขึ้นเฉพาะในขอบเขตที่ข้อตกลงนี้ไม่ได้ให้สิทธิในการรับข้อมูลและการตรวจสอบแก่บริษัทที่เป็นไปตามข้อกำหนดที่เกี่ยวข้องของกฎหมายคุ้มครองข้อมูลไว้เป็นอย่างอื่น ในกรณีที่ลูกค้ารายที่มีการจัดการขอข้อมูลเกี่ยวกับการประมวลผลของ Proton ซึ่งเป็นส่วนหนึ่งของภาระผูกพันในการตรวจสอบสถานะของบริษัทที่มีต่อลูกค้ารายที่มีการจัดการนั้น บริษัทสามารถใช้หัวข้อนี้เพื่อขอรับข้อมูลที่จำเป็นจากผู้ประมวลผลข้อมูลและส่งต่อข้อมูลดังกล่าวได้ แต่ลูกค้ารายที่มีการจัดการนั้นไม่มีสิทธิในการตรวจสอบอย่างเป็นอิสระต่อผู้ประมวลผลข้อมูลด้วยตนเอง

11. การถ่ายโอนข้อมูล

เท่าที่เป็นไปได้ ผู้ประมวลผลข้อมูลจะถ่ายโอนหรืออนุญาตให้ถ่ายโอนข้อมูลส่วนบุคคลของบริษัทไปยังประเทศภายในสวิตเซอร์แลนด์ สหภาพยุโรป และ/หรือ ประเทศที่อยู่ภายใต้การตัดสินความเพียงพอของการคุ้มครองข้อมูลเท่านั้น ตามที่ระบุไว้ในข้อ 45 ของ GDPR และข้อ 16 ของ FADP สวิตเซอร์แลนด์ หากข้อมูลส่วนบุคคลของบริษัทที่ประมวลผลภายใต้ข้อตกลงนี้ถูกถ่ายโอนจากสวิตเซอร์แลนด์ สหภาพยุโรป หรือประเทศที่อยู่ภายใต้การตัดสินความเพียงพอของการคุ้มครองข้อมูล ไปยังประเทศที่อยู่นอกเหนือขอบเขตดังกล่าว คู่สัญญาจะต้องทำให้มั่นใจว่าข้อมูลส่วนบุคคลได้รับการคุ้มครองอย่างเพียงพอ โดยอาศัยข้อสัญญามาตรฐานที่ได้รับการอนุมัติจากสวิตเซอร์แลนด์ สหภาพยุโรป และ/หรือ สหราชอาณาจักร ที่มีผลบังคับใช้ในขณะนั้น หรือกลไกการถ่ายโอนอื่น ๆ ที่กฎหมายคุ้มครองข้อมูลกำหนดไว้ เว้นแต่จะตกลงกันไว้เป็นอย่างอื่น ผู้ประมวลผลข้อมูลจะได้รับอนุญาตให้ดำเนินการถ่ายโอนดังกล่าวไปยังผู้ประมวลผลช่วงได้ หากมีการดำเนินมาตรการป้องกันที่เหมาะสมโดยคำนึงถึงลักษณะของการถ่ายโอน

12. ข้อกำหนดทั่วไป

12.1 การปฏิบัติตามกฎหมายที่ใช้บังคับ ผู้ประมวลผลข้อมูลจะประมวลผลข้อมูลส่วนบุคคลของบริษัทตามข้อตกลงนี้และกฎหมายคุ้มครองข้อมูลที่ใช้บังคับกับบทบาทของตนภายใต้ข้อตกลงนี้ ผู้ประมวลผลข้อมูลไม่มีหน้าที่รับผิดชอบในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่มีผลใช้บังคับกับบริษัทแต่เพียงผู้เดียว หรือกับลูกค้ารายที่มีการจัดการใด ๆ อันเนื่องมาจากประเภทธุรกิจหรืออุตสาหกรรมของแต่ละฝ่าย

12.2 การรักษาความลับ คู่สัญญาแต่ละฝ่ายจะต้องรักษาข้อมูลใด ๆ ที่ได้รับเกี่ยวกับคู่สัญญาอีกฝ่ายหนึ่งที่เกี่ยวข้องกับข้อตกลงนี้ไว้เป็นความลับ และจะต้องไม่ใช้หรือเปิดเผยข้อมูลดังกล่าวโดยไม่ได้รับความยินยอมเป็นลายลักษณ์อักษรล่วงหน้าจากคู่สัญญาอีกฝ่าย เว้นแต่ในขอบเขตที่ (a) กฎหมายกำหนดให้ต้องเปิดเผย หรือ (b) ข้อมูลดังกล่าวเป็นสาธารณสมบัติอยู่แล้วโดยไม่ได้เกิดจากความผิดของคู่สัญญา

12.3 การบอกกล่าว การบอกกล่าวภายใต้ข้อตกลงนี้จะต้องกระทำตามข้อกำหนดเกี่ยวกับการบอกกล่าวของข้อตกลงหลัก การบอกกล่าวถึงผู้ประมวลผลข้อมูลเกี่ยวกับเรื่องการคุ้มครองข้อมูลจะต้องส่งสำเนาเพิ่มเติมไปยัง legal@proton.ch

12.4 ความรับผิด ความรับผิดของคู่สัญญาแต่ละฝ่ายที่เกิดขึ้นจากหรือเกี่ยวข้องกับข้อตกลงนี้จะอยู่ภายใต้ และถูกจำกัดไว้ตามข้อกำหนดการจำกัดความรับผิดของข้อตกลงหลัก รวมถึงการจำกัดวงเงินเฉพาะใด ๆ ที่ระบุไว้ในข้อตกลงหลักสำหรับการละเมิดภาระผูกพันในการรักษาความลับและการคุ้มครองข้อมูล ไม่มีข้อความใดในข้อตกลงนี้ที่จะจำกัดความรับผิดของคู่สัญญาฝ่ายใดฝ่ายหนึ่งสำหรับค่าปรับหรือบทลงโทษที่หน่วยงานกำกับดูแลที่มีอำนาจบังคับใช้กับฝ่ายนั้นโดยตรง อันเกิดจากการที่ฝ่ายดังกล่าวละเมิดกฎหมายคุ้มครองข้อมูลที่มีผลใช้บังคับด้วยตนเอง บริษัทรับทราบว่า ในฐานะคู่สัญญาเพียงฝ่ายเดียวที่มีสถานะเป็นผู้ควบคุมข้อมูลต่อลูกค้ารายที่มีการจัดการของตน บริษัทจะต้องรับผิดชอบแต่เพียงผู้เดียวสำหรับความรับผิดใด ๆ ที่บริษัทมีต่อลูกค้ารายที่มีการจัดการ ซึ่งเกินกว่าจำนวนที่บริษัทสามารถเรียกคืนได้จากผู้ประมวลผลข้อมูลภายใต้ขีดจำกัดความรับผิดของข้อตกลงหลัก

12.5 กฎหมายที่ใช้บังคับและเขตอำนาจศาล ข้อตกลงนี้อยู่ภายใต้บังคับของกฎหมายสวิตเซอร์แลนด์ โดยไม่คำนึงถึงข้อกำหนดว่าด้วยการเลือกใช้กฎหมายหรือการขัดกันของกฎหมายของเขตอำนาจศาลอื่นใด และข้อพิพาทที่เกิดขึ้นจากหรือเกี่ยวข้องกับข้อตกลงนี้จะอยู่ภายใต้เขตอำนาจศาลของศาลแห่งเจนีวา ประเทศสวิตเซอร์แลนด์ แต่เพียงผู้เดียว

12.6 ลำดับการบังคับใช้ ในกรณีที่มีความไม่สอดคล้องกันระหว่างข้อตกลงนี้กับข้อตกลงหลักในส่วนที่เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล ให้ถือข้อตกลงนี้เป็นสำคัญ ตามหัวข้อ 10.1 ของข้อตกลงหลัก ในกรณีที่มีความไม่สอดคล้องกันระหว่างข้อตกลงนี้ฉบับภาษาอังกฤษและฉบับแปล ให้ถือฉบับภาษาอังกฤษเป็นสำคัญ