ข้อตกลงการประมวลผลข้อมูล

Website: https://yokeconnect.com | Email: admin@yokeconnect.com

1. ภาคีและการรวมตัวกัน

ข้อตกลงการประมวลผลข้อมูลนี้ ("DPA") เป็นส่วนหนึ่งของข้อกำหนดการสมัครสมาชิกนายจ้างระหว่าง YokeConnect Ltd หมายเลขบริษัท 17334598 สำนักงานจดทะเบียน The Pagoda, 30 Avenue Road, Bournemouth, BH2 5SL, สหราชอาณาจักร ("YokeConnect") และนายจ้างที่ระบุในบัญชีหรือคำสั่งซื้อ ("นายจ้าง")

ใช้ตั้งแต่วันที่นายจ้างยอมรับข้อกำหนดการสมัครสมาชิกของนายจ้าง หรือใช้คุณลักษณะที่ YokeConnect ประมวลผลข้อมูลส่วนบุคคลตามคำแนะนำที่เป็นเอกสารของนายจ้าง

2. คำจำกัดความ

กฎหมายคุ้มครองข้อมูลที่บังคับใช้หมายถึง UK GDPR, พระราชบัญญัติคุ้มครองข้อมูลปี 2018, พระราชบัญญัติข้อมูล (การใช้และการเข้าถึง) ปี 2025, EU GDPR ในกรณีที่เกี่ยวข้อง และกฎหมายคุ้มครองข้อมูลบังคับอื่นๆ ที่ใช้กับการประมวลผล

ผู้ควบคุม ผู้ประมวลผล เจ้าของข้อมูล ข้อมูลส่วนบุคคล การละเมิดข้อมูลส่วนบุคคล การประมวลผล และหน่วยงานกำกับดูแล มีความหมายตามที่ระบุไว้ในกฎหมายคุ้มครองข้อมูลที่บังคับใช้

ข้อมูลส่วนบุคคลของนายจ้าง หมายถึง ข้อมูลส่วนบุคคลที่ประมวลผลโดย YokeConnect ในฐานะผู้ประมวลผลในนามของนายจ้างภายใต้ DPA นี้ ผู้ประมวลผลช่วง หมายถึงบุคคลที่สามที่ YokeConnect มีส่วนร่วมเพื่อประมวลผลข้อมูลส่วนบุคคลของนายจ้างในนามของ YokeConnect

3. การจัดสรรบทบาทและขอบเขต

3.1 การประมวลผลแบบควบคุมอิสระ

YokeConnect เป็นผู้ควบคุมอิสระสำหรับการลงทะเบียนบัญชี โปรไฟล์ผู้สมัครและการมองเห็น ความปลอดภัยของแพลตฟอร์ม การสมัครสมาชิก โครงสร้างพื้นฐานการส่งข้อความทั่วไป การป้องกันการฉ้อโกง การกลั่นกรอง การตรวจสอบธุรกิจ การปฏิบัติตามกฎหมาย การบริหารบริการ และวัตถุประสงค์อื่น ๆ ที่กำหนดและอธิบายในนโยบายความเป็นส่วนตัว

นายจ้างเป็นผู้ควบคุมอิสระสำหรับการตัดสินใจในการสรรหาบุคลากร และสำหรับข้อมูลส่วนบุคคลของผู้สมัครที่นายจ้างเข้าถึง ส่งออก บันทึก หรือใช้ในระบบหรือกระบวนการของตนเอง คู่สัญญาทั้งสองฝ่ายไม่ใช่ผู้ควบคุมร่วมเพียงเพราะพวกเขาประมวลผลข้อมูลเดียวกันบางส่วนเพื่อวัตถุประสงค์ที่แตกต่างกัน

3.2 การประมวลผลตัวประมวลผล

YokeConnect ทำหน้าที่เป็นผู้ประมวลผลเฉพาะในขอบเขตที่จัดการข้อมูลส่วนบุคคลของนายจ้างเพียงเพื่อจัดให้มีฟังก์ชันพื้นที่ทำงานที่นายจ้างกำหนดเท่านั้น เช่น การโฮสต์บันทึกการสรรหาบุคลากรที่นายจ้างเป็นผู้จัดหา การกำหนดเส้นทางการสื่อสารของนายจ้าง การจัดเก็บข้อมูลแอปพลิเคชันที่กำหนดค่าโดยนายจ้างหรือข้อมูลไปป์ไลน์ หรือดำเนินการคำสั่งที่เป็นเอกสารอื่นที่ไม่ตอบสนองวัตถุประสงค์ YokeConnect ที่เป็นอิสระ

หากสถานการณ์ข้อเท็จจริงทำให้ YokeConnect เป็นผู้ควบคุมสำหรับกิจกรรมการประมวลผล นโยบายความเป็นส่วนตัวและกฎหมายคุ้มครองข้อมูลที่บังคับใช้จะนำไปใช้กับกิจกรรมนั้น และ DPA นี้จะไม่จัดประเภทใหม่

4. คำแนะนำในการประมวลผล

นายจ้างสั่งให้ YokeConnect ประมวลผลข้อมูลส่วนบุคคลของนายจ้างเพื่อจัดหา รักษาความปลอดภัย ดูแลรักษา และสนับสนุนบริการที่อธิบายไว้ในข้อกำหนดการสมัครสมาชิกของนายจ้างและภาคผนวก 1 เท่านั้น และเพื่อให้ปฏิบัติตามคำแนะนำที่เป็นเอกสารที่ส่งผ่านฟีเจอร์ของแพลตฟอร์มที่ได้รับอนุญาตหรือเป็นลายลักษณ์อักษร

YokeConnect จะไม่ประมวลผลข้อมูลส่วนบุคคลของนายจ้างเพื่อวัตถุประสงค์อื่น เว้นแต่กฎหมายกำหนด ซึ่งในกรณีนี้จะแจ้งให้นายจ้างทราบก่อนดำเนินการ เว้นแต่จะได้รับอนุญาตตามกฎหมาย หาก YokeConnect เชื่ออย่างสมเหตุสมผลว่าคำสั่งนั้นฝ่าฝืนกฎหมายคุ้มครองข้อมูลที่บังคับใช้ ก็อาจระงับการประมวลผลที่ได้รับผลกระทบและแจ้งให้นายจ้างทราบ

5. ภาระผูกพัน YokeConnect

YokeConnect จะ:

6. ภาระผูกพันของนายจ้าง

นายจ้างรับประกันและรับรองว่าจะ:

7. ผู้ประมวลผลช่วง

นายจ้างให้การอนุญาตเป็นลายลักษณ์อักษรทั่วไปแก่ผู้ประมวลผลช่วงตามรายการในภาคผนวก 3 YokeConnect จะกำหนดภาระหน้าที่ในการปกป้องข้อมูลที่เหมาะสมกับบริการ และยังคงรับผิดชอบต่อการปฏิบัติงานของผู้ประมวลผลย่อยแต่ละรายตามภาระผูกพันของผู้ประมวลผลของตนในขอบเขตที่กฎหมายกำหนด

YokeConnect อาจเพิ่มหรือแทนที่ผู้ประมวลผลช่วงโดยการอัปเดตรายการที่เผยแพร่หรือแจ้งให้นายจ้างทราบอย่างน้อย 14 วันก่อนที่การเปลี่ยนแปลงจะมีผลหากทำได้ นายจ้างอาจคัดค้านภายในระยะเวลาดังกล่าวโดยมีเหตุผลในการปกป้องข้อมูลที่ได้รับการบันทึกไว้อย่างสมเหตุสมผล คู่สัญญาจะพยายามแก้ไขคำคัดค้าน หากไม่สามารถแก้ไขการคัดค้านที่เป็นสาระสำคัญได้และจำเป็นต้องมีผู้ประมวลผลช่วง ฝ่ายใดฝ่ายหนึ่งอาจยุติบริการที่ได้รับผลกระทบ การคืนเงินใด ๆ จะถูกกำหนดภายใต้ข้อกำหนดการสมัครสมาชิกของนายจ้าง

8. ความปลอดภัย

YokeConnect จะรักษามาตรการที่เหมาะสมกับความเสี่ยง รวมถึงตามความเหมาะสม: การเข้ารหัสระหว่างทาง; การเข้ารหัสที่จัดการโดยผู้ให้บริการที่เหลือ คุกกี้เซสชัน HttpOnly และ Secure; การควบคุมบทบาท องค์กร และการอนุญาต อีเมลยืนยันและประตูเปิดตัว CSRF, CORS และการควบคุมโฮสต์; การจำกัดอัตรา; ความท้าทายด้านความปลอดภัย การจัดเก็บวัตถุส่วนตัว การเข้าถึงไฟล์แบบจำกัดเวลา บันทึกการบันทึกและการตรวจสอบ การเข้าถึงของผู้ดูแลระบบถูกจำกัด; การตรวจสุขภาพ ความสามารถในการสำรองและกู้คืนของผู้ให้บริการ และขั้นตอนเหตุการณ์

นายจ้างรับทราบว่าข้อความไม่ได้รับการเข้ารหัสจากต้นทางถึงปลายทาง และไม่มีระบบออนไลน์ใดที่สามารถรับประกันความปลอดภัยได้อย่างสมบูรณ์ นายจ้างมีหน้าที่รับผิดชอบด้านความปลอดภัยปลายทาง การเข้าถึงของผู้ใช้ที่ได้รับอนุญาต ข้อมูลที่ส่งออก และระบบของตนเอง

9. การละเมิดข้อมูลส่วนบุคคล

YokeConnect จะแจ้งให้นายจ้างทราบโดยไม่ชักช้าหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคลที่ส่งผลกระทบต่อข้อมูลส่วนบุคคลของนายจ้าง และจะให้ข้อมูลที่มีอยู่ตามความจำเป็นตามสมควรสำหรับการประเมินทางกฎหมายของนายจ้าง รวมถึงลักษณะของเหตุการณ์ ข้อมูลที่ได้รับผลกระทบ และผู้คน ผลที่ตามมาที่อาจเกิดขึ้น และมาตรการที่ดำเนินการหรือเสนอ

นายจ้างยังคงรับผิดชอบในการพิจารณาและแจ้งเตือนใดๆ ที่จำเป็นในฐานะผู้ควบคุม YokeConnect จะให้ความร่วมมือตามสมควร การแจ้งการละเมิดไม่ใช่การยอมรับความรับผิด

10. สิทธิ์ของเจ้าของข้อมูลและความช่วยเหลือในการปฏิบัติตามข้อกำหนด

โดยคำนึงถึงลักษณะของการประมวลผล YokeConnect จะให้ความช่วยเหลือด้านเทคนิคและองค์กรตามสมควร เพื่อช่วยให้นายจ้างตอบสนองต่อคำร้องขอที่ถูกต้องตามกฎหมายสำหรับการเข้าถึง การแก้ไข การลบ การจำกัด การคัดค้าน และการโอนย้ายที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของนายจ้าง

ไม่มีเวิร์กโฟลว์การส่งออกหรือการลบอัตโนมัติที่สมบูรณ์เมื่อเปิดตัว ดังนั้นความช่วยเหลืออาจเกี่ยวข้องกับการค้นหาด้วยตนเอง การส่งออก การจำกัด หรือการลบโดยใช้บันทึกและเครื่องมือที่มีอยู่ตามสมควร YokeConnect อาจเรียกเก็บค่าธรรมเนียมตามเอกสารที่สมเหตุสมผลสำหรับความช่วยเหลือพิเศษนอกเหนือจากภาระผูกพันในการให้บริการตามปกติตามที่กฎหมายอนุญาตและตกลงล่วงหน้า

11. การส่งคืนและการลบ

เมื่อมีการยุติบริการที่ได้รับผลกระทบหรือคำสั่งที่เป็นลายลักษณ์อักษรตามกฎหมาย YokeConnect จะส่งคืนข้อมูลส่วนบุคคลของนายจ้างในรูปแบบโครงสร้างที่มีอยู่หรือลบออกจากระบบที่ใช้งานอยู่ภายใน 90 วัน ตามการตัดสินใจของนายจ้างและตามขอบเขตที่บังคับใช้ทางเทคนิคและกฎหมาย

YokeConnect อาจเก็บข้อมูลตามที่กฎหมายกำหนด เพื่อความปลอดภัย การตรวจสอบ การป้องกันการฉ้อโกง หรือการเรียกร้องทางกฎหมาย และอาจเก็บสำเนาที่ได้รับการป้องกันจนกว่าการสำรองข้อมูลของผู้ให้บริการหรือรอบการกู้คืน ณ เวลานั้นจะหมดอายุ ข้อมูลที่เก็บรักษาไว้จะอยู่ภายใต้ DPA นี้ และจะไม่นำไปใช้เพื่อวัตถุประสงค์อื่น ข้อมูลที่ YokeConnect เป็นผู้ควบคุมอิสระจะได้รับการจัดการภายใต้นโยบายความเป็นส่วนตัว แทนที่จะเป็นส่วนนี้

12. การโอนเงินระหว่างประเทศ

YokeConnect อาจประมวลผลหรืออนุญาตให้เข้าถึงข้อมูลส่วนบุคคลของนายจ้างนอกสหราชอาณาจักรหรือเขตเศรษฐกิจยุโรปเฉพาะในกรณีที่มีการใช้กลไกการถ่ายโอนที่ถูกต้องตามกฎหมายเท่านั้น อาจรวมถึงกฎระเบียบหรือการตัดสินใจที่เพียงพอ ข้อตกลงการถ่ายโอนข้อมูลระหว่างประเทศของสหราชอาณาจักร หรือภาคผนวกของสหราชอาณาจักร ข้อสัญญามาตรฐานของสหภาพยุโรป และการป้องกันเพิ่มเติม ทั้งนี้ขึ้นอยู่กับการถ่ายโอน

นายจ้างอนุญาตการถ่ายโอนที่เกิดขึ้นจากผู้ประมวลผลช่วงและตำแหน่งที่ตั้งในภาคผนวก 3 Cloudflare R2 ใช้ตำแหน่งอัตโนมัติเมื่อเปิดใช้งาน และไม่รับประกันพื้นที่เก็บข้อมูลในสหราชอาณาจักรหรือสหภาพยุโรปเท่านั้น

13. การตรวจสอบและข้อมูล

ตามคำขอเป็นลายลักษณ์อักษรที่สมเหตุสมผล YokeConnect จะให้ข้อมูลที่จำเป็นเพื่อแสดงให้เห็นถึงการปฏิบัติตาม DPA นี้ ซึ่งอาจรวมถึงนโยบาย สรุปสถาปัตยกรรม การรับรองของผู้ให้บริการ ผลการทดสอบ หรือสรุปการตรวจสอบ โดยขึ้นอยู่กับการรักษาความลับและความปลอดภัย

หากข้อมูลดังกล่าวไม่เพียงพอและกฎหมายคุ้มครองข้อมูลที่บังคับใช้กำหนดให้ต้องมีการตรวจสอบ นายจ้างอาจดำเนินการได้ไม่เกินปีละหนึ่งครั้ง โดยแจ้งให้ทราบล่วงหน้าอย่างน้อย 30 วัน ในช่วงเวลาทำการปกติ และไม่มีการเข้าถึงข้อมูลของลูกค้ารายอื่นหรือข้อมูลความปลอดภัยที่ละเอียดอ่อน นายจ้างเป็นผู้รับผิดชอบค่าใช้จ่าย เว้นแต่การตรวจสอบจะระบุการไม่ปฏิบัติตามสาระสำคัญโดย YokeConnect ผู้ตรวจสอบจะต้องมีความเป็นอิสระและผูกพันกับการรักษาความลับ

14. ความรับผิดและลำดับความสำคัญ

ความรับผิดภายใต้ DPA นี้อยู่ภายใต้ข้อกำหนดการสมัครสมาชิกของนายจ้าง ยกเว้นในขอบเขตที่กฎหมายคุ้มครองข้อมูลที่บังคับใช้ห้ามข้อจำกัด หาก DPA นี้ขัดแย้งกับข้อกำหนดการสมัครสมาชิกนายจ้างเกี่ยวกับภาระผูกพันของผู้ประมวลผล DPA นี้จะมีชัยเหนือปัญหานั้น นโยบายความเป็นส่วนตัวควบคุมการประมวลผลของผู้ควบคุมอิสระของ YokeConnect

15. ระยะเวลาและการติดต่อ

DPA นี้จะดำเนินต่อไปในขณะที่ YokeConnect ประมวลผลข้อมูลส่วนบุคคลของนายจ้างในฐานะผู้ประมวลผล ข้อกำหนดที่มีจุดมุ่งหมายเพื่อให้คงอยู่ต่อไป รวมถึงการรักษาความลับ การลบ การตรวจสอบ ความรับผิด และการคุ้มครองการโอน จะดำเนินต่อไปหลังจากการสิ้นสุด

ควรส่งประกาศเกี่ยวกับการคุ้มครองข้อมูลไปที่ admin@yokeconnect.com หรือ YokeConnect Ltd, The Pagoda, 30 Avenue Road, Bournemouth, BH2 5SL, United Kingdom

ภาคผนวก 1 - รายละเอียดการประมวลผล

ภาคผนวก 2 - มาตรการทางเทคนิคและองค์กร

การกำกับดูแลและการเข้าถึง

บัญชีที่มีชื่อ สิทธิพิเศษขั้นต่ำ บทบาทและการอนุญาตขององค์กร หน้าที่การรักษาความลับ การเข้าถึงการดำเนินงานที่ได้รับการคุ้มครอง การตรวจสอบการเข้าถึง และขั้นตอนการยกเลิกการทำงาน

การรับรองความถูกต้องและเซสชัน

ASP.NET Core Identity และการตรวจสอบ JWT, HttpOnly และคุกกี้เซสชันที่ปลอดภัยที่ออกโดยเซิร์ฟเวอร์, นโยบายอีเมลที่ตรวจสอบแล้ว, การหมดอายุของเซสชัน, การป้องกัน CSRF และการควบคุมโฮสต์/CORS

ความปลอดภัยของเครือข่ายและแอปพลิเคชัน

HTTPS/TLS, Cloudflare DNS และการควบคุมความปลอดภัย, Turnstile บนโฟลว์ที่เกี่ยวข้อง, การจำกัดอัตรา, การตรวจสอบอินพุต, การบันทึก, จุดสิ้นสุดด้านความสมบูรณ์และความพร้อม

ความปลอดภัยในการจัดเก็บ

Neon จัดการ PostgreSQL, พื้นที่จัดเก็บอ็อบเจ็กต์ Cloudflare R2 ส่วนตัว, การเข้ารหัสที่จัดการโดยผู้ให้บริการในช่วงที่เหลือ, ข้อมูลเมตาของฐานข้อมูล และการเข้าถึงไฟล์แบบจำกัดเวลา

ความยืดหยุ่นและการฟื้นตัว

การสำรองข้อมูลของผู้ให้บริการและความสามารถในการกู้คืน ณ เวลานั้น การพัฒนาแยกกันและสาขาฐานข้อมูลสด การควบคุมการปรับใช้ และขั้นตอนการกู้คืน ระยะเวลาการกู้คืนผู้ให้บริการที่แน่นอนจะได้รับการตรวจสอบการปฏิบัติงาน

การติดตามและการจัดการเหตุการณ์

บันทึกแอปพลิเคชันและผู้ให้บริการ กิจกรรมการตรวจสอบสำหรับเวิร์กโฟลว์ที่ละเอียดอ่อน กระบวนการสนับสนุนและการยกระดับ การประเมินเหตุการณ์และหน่วยงานกำกับดูแล หรือการแจ้งเตือนผู้ใช้ตามที่จำเป็น

การลดขนาดและการเก็บรักษาข้อมูล

การรวบรวมเฉพาะคุณสมบัติ กฎเอกสารประจำตัวที่ต้องห้าม การแชร์ที่ควบคุมโดยผู้สมัคร กำหนดการเก็บรักษา กระบวนการร้องขอสิทธิ์ด้วยตนเอง และการควบคุมรอบการสำรองข้อมูล

การจัดการซัพพลายเออร์

ความรอบคอบของผู้ให้บริการ DPA และเงื่อนไขการโอน หากมี บันทึกของผู้ประมวลผลย่อยและการแจ้งเตือนการเปลี่ยนแปลง

ภาคผนวก 3 - ผู้ประมวลผลช่วงที่ได้รับอนุญาตและบริการอื่นๆ

A. ผู้ประมวลผลช่วงที่ได้รับอนุญาต

B. บริการอิสระหรือบริการสาธารณะอื่น ๆ