ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล

(Data Processing Agreement — DPA)

ภาคผนวกแนบท้ายข้อตกลงการใช้บริการระบบ OptiPOS

ฉบับที่: 1.0 วันที่มีผลบังคับใช้: 26/08/2569

คู่สัญญา

ข้อตกลงฉบับนี้จัดทำขึ้นตามมาตรา 40 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ซึ่งกำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีข้อตกลงเป็นหนังสือกับผู้ประมวลผลข้อมูลส่วนบุคคล

DPA ฉบับนี้เป็นส่วนหนึ่งของข้อตกลงการใช้บริการระบบ OptiPOS ในกรณีที่ข้อความขัดหรือแย้งกันในเรื่องการคุ้มครองข้อมูลส่วนบุคคล ให้ถือ DPA ฉบับนี้เป็นสำคัญ

ข้อ 1. ขอบเขตและการแบ่งบทบาท

1.1 DPA ฉบับนี้ใช้บังคับกับการประมวลผล ข้อมูลส่วนบุคคลของลูกค้าปลายทางและพนักงานของร้านค้า ที่ร้านค้านำเข้าหรือสร้างขึ้นในระบบ OptiPOS ("ข้อมูลที่ประมวลผล")

1.2 ร้านค้าเป็นผู้ควบคุมข้อมูลส่วนบุคคล เป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผล และรับผิดชอบต่อความชอบด้วยกฎหมายของการเก็บรวบรวมข้อมูลนั้น

1.3 ผู้ให้บริการเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ประมวลผลตามคำสั่งของร้านค้าเท่านั้น

1.4 ข้อยกเว้น — ข้อมูลของผู้ติดต่อฝั่งร้านค้าที่ใช้ในการบริหารบัญชี การเรียกเก็บเงิน และการออกเอกสารภาษี ผู้ให้บริการเป็นผู้ควบคุมข้อมูลส่วนบุคคลของตนเอง อยู่ภายใต้นโยบายความเป็นส่วนตัว มิใช่ DPA ฉบับนี้

ข้อ 2. รายละเอียดการประมวลผล (ภาคผนวก ก)

2.1 วัตถุประสงค์

เพื่อให้บริการระบบบริหารจัดการร้านแว่นตาแบบ SaaS ได้แก่ การบันทึกข้อมูลลูกค้า การบันทึกค่าสายตาและใบสั่งตัดแว่น การขายและออกเอกสารทางการเงิน การบริหารสต๊อกและการนัดหมาย การจัดทำรายงาน และการสำรองและกู้คืนข้อมูล

2.2 ลักษณะของการประมวลผล

เก็บรวบรวม บันทึก จัดเก็บ ปรับปรุง เรียกดู ใช้ ส่งต่อภายในระบบ สำรอง กู้คืน จำกัดการเข้าถึง และลบ

2.3 ประเภทข้อมูลส่วนบุคคล

2.4 ประเภทเจ้าของข้อมูลส่วนบุคคล

ลูกค้าและผู้มุ่งหวังของร้านค้า พนักงานและผู้ใช้งานของร้านค้า ผู้ติดต่อของคู่ค้าและซัพพลายเออร์ของร้านค้า

2.5 ระยะเวลาประมวลผล

ตลอดระยะเวลาที่ร้านค้าใช้บริการ บวกระยะเวลาหลังสิ้นสุดบริการตามข้อ 10

ข้อ 3. หน้าที่ของร้านค้าในฐานะผู้ควบคุมข้อมูลส่วนบุคคล

ร้านค้ารับรองและตกลงว่า

3.1 มีฐานทางกฎหมายที่ถูกต้องและเพียงพอในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลทั้งหมดที่นำเข้าระบบ

3.2 สำหรับค่าสายตาและข้อมูลสุขภาพสายตาซึ่งเป็นข้อมูลอ่อนไหวตามมาตรา 26 ร้านค้าได้จัดให้มี ความยินยอมโดยชัดแจ้ง จากเจ้าของข้อมูล หรือฐานทางกฎหมายอื่นตามมาตรา 26 ก่อนบันทึกข้อมูลเข้าระบบ

3.3 ได้จัดทำและแจ้งประกาศความเป็นส่วนตัวให้เจ้าของข้อมูลทราบตามมาตรา 23 ครอบคลุมถึงการที่ร้านใช้ผู้ประมวลผลภายนอกในการเก็บข้อมูล

3.4 คำสั่งที่ให้แก่ผู้ให้บริการชอบด้วยกฎหมาย และการปฏิบัติตามคำสั่งนั้นไม่ทำให้ผู้ให้บริการฝ่าฝืนกฎหมาย

3.5 กำหนดสิทธิ์ผู้ใช้งานภายในร้านตามหลักความจำเป็นน้อยที่สุด ยกเลิกบัญชีพนักงานที่พ้นสภาพทันที และรักษาความลับของรหัสผ่าน

3.6 เป็นผู้รับคำขอใช้สิทธิจากเจ้าของข้อมูลโดยตรง และเป็นผู้ตัดสินใจว่าจะดำเนินการอย่างไร

3.7 ห้ามนำเข้าข้อมูลอ่อนไหวประเภทอื่นที่ไม่จำเป็นต่อการประกอบธุรกิจแว่นตา เช่น ศาสนา เชื้อชาติ ประวัติอาชญากรรม ข้อมูลพันธุกรรม หรือข้อมูลชีวภาพ ลงในช่องข้อความอิสระของระบบ

ข้อ 4. หน้าที่ของผู้ให้บริการในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล

ผู้ให้บริการตกลงว่า

4.1 ประมวลผลตามคำสั่งของร้านค้าเท่านั้น เว้นแต่มีหน้าที่ตามกฎหมายที่ต้องประมวลผลเป็นอย่างอื่น ในกรณีนั้นจะแจ้งร้านค้าล่วงหน้าเท่าที่กฎหมายอนุญาต การใช้ระบบตามปกติผ่านหน้าจอและ API ถือเป็นคำสั่งของร้านค้า

4.2 หากเห็นว่าคำสั่งใดขัดต่อ PDPA หรือกฎหมายอื่น จะแจ้งร้านค้าทันที และมีสิทธิระงับการปฏิบัติตามคำสั่งนั้นจนกว่าจะได้ข้อยุติ

4.3 จะไม่ใช้ข้อมูลที่ประมวลผลเพื่อวัตถุประสงค์ของตนเอง จะไม่ขาย ไม่แลกเปลี่ยน และจะไม่นำไปใช้ฝึกสอนโมเดลปัญญาประดิษฐ์ทั่วไป เว้นแต่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากร้านค้าโดยชัดแจ้งแยกต่างหาก

4.4 จำกัดการเข้าถึงเฉพาะบุคลากรที่จำเป็นต้องรู้ ซึ่งได้ลงนามข้อตกลงรักษาความลับที่มีผลต่อเนื่องหลังพ้นสภาพ และได้รับการอบรมด้านการคุ้มครองข้อมูลส่วนบุคคล

4.5 การเข้าถึงข้อมูลของร้านโดยเจ้าหน้าที่เพื่อแก้ปัญหา (impersonation / support access) ทำได้เฉพาะเมื่อร้านค้าอนุมัติเป็นรายครั้ง หรือเมื่อจำเป็นเร่งด่วนเพื่อป้องกันความเสียหายร้ายแรง โดยจะบันทึก audit log ทุกครั้ง ระบุผู้เข้าถึง เวลา และเหตุผล และร้านค้าเรียกดูย้อนหลังได้

4.6 จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยตามข้อ 5 และทบทวนตามรอบ

4.7 ให้ความช่วยเหลือร้านค้าตามสมควรตามข้อ 6–8

ข้อ 5. มาตรการรักษาความมั่นคงปลอดภัย (ภาคผนวก ข)

5.1 มาตรการทางเทคนิค

• เข้ารหัสข้อมูลระหว่างส่งด้วย TLS 1.2 ขึ้นไป และเข้ารหัสข้อมูลขณะจัดเก็บ (encryption at rest)
• แยกข้อมูลระหว่างร้านค้าแต่ละราย (tenant isolation) และบังคับสิทธิ์การเข้าถึงที่ฝั่งเซิร์ฟเวอร์เสมอ ไม่พึ่งการซ่อนบนหน้าจอ
• ควบคุมสิทธิ์ตามบทบาท (RBAC) แยกสิทธิ์ระดับสาขา
• บังคับการยืนยันตัวตนสองขั้นตอนสำหรับบัญชีผู้ดูแลระบบ
• หมายเลขบัตรชำระเงินไม่ผ่านเซิร์ฟเวอร์ของผู้ให้บริการ ใช้ tokenization จากเบราว์เซอร์ตรงไปยังผู้ให้บริการรับชำระเงินที่ได้รับรอง PCI DSS
• บันทึก audit log ที่แก้ไขย้อนหลังไม่ได้ สำหรับการเข้าถึง แก้ไข ส่งออก และลบข้อมูล
• สำรองข้อมูลอย่างน้อยวันละหนึ่งครั้ง เก็บสำเนาสำรองแบบเข้ารหัสไม่น้อยกว่า 30 วัน พร้อมทดสอบการกู้คืนตามรอบ
• ประเมินช่องโหว่และปรับปรุงระบบตามรอบ พร้อมกระบวนการแก้ไขช่องโหว่ตามระดับความรุนแรง

5.2 มาตรการทางองค์กร

• นโยบายความมั่นคงปลอดภัยสารสนเทศเป็นลายลักษณ์อักษร
• ทบทวนสิทธิ์การเข้าถึงของบุคลากรอย่างน้อยปีละสองครั้ง และเพิกถอนสิทธิ์ทันทีเมื่อพ้นสภาพ
• อบรม PDPA และความมั่นคงปลอดภัยแก่บุคลากรอย่างน้อยปีละหนึ่งครั้ง
• แผนรับมือเหตุละเมิดข้อมูลและแผนความต่อเนื่องทางธุรกิจ พร้อมการซ้อมตามรอบ
• กระบวนการคัดเลือกและประเมินผู้ประมวลผลช่วงก่อนเริ่มใช้งาน

5.3 การปรับปรุงมาตรการ

ผู้ให้บริการอาจปรับปรุงมาตรการได้ตามพัฒนาการทางเทคโนโลยี โดยระดับการคุ้มครองต้องไม่ต่ำกว่าที่กำหนดไว้ ณ วันที่ DPA มีผล

ข้อ 6. การช่วยเหลือเรื่องสิทธิของเจ้าของข้อมูล

6.1 ระบบจัดให้มีเครื่องมือให้ร้านค้า เรียกดู แก้ไข ส่งออก และลบ ข้อมูลลูกค้าปลายทางได้ด้วยตนเอง เพื่อรองรับการใช้สิทธิตามมาตรา 30–35

6.2 หากเจ้าของข้อมูลติดต่อผู้ให้บริการโดยตรง ผู้ให้บริการจะไม่ตอบสนองคำขอนั้นเอง แต่จะส่งต่อให้ร้านค้าที่เกี่ยวข้องภายใน 7 วัน

6.3 หากร้านค้าต้องการความช่วยเหลือที่เกินความสามารถของเครื่องมือในระบบ ผู้ให้บริการจะช่วยเหลือตามสมควรภายใน 10 วันทำการ และอาจคิดค่าดำเนินการตามสมควรสำหรับคำขอที่ต้องใช้งานทางเทคนิคเป็นพิเศษ

ข้อ 7. การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

7.1 เมื่อผู้ให้บริการทราบว่าเกิดเหตุละเมิดข้อมูลส่วนบุคคลที่กระทบข้อมูลของร้านค้า จะแจ้งร้านค้าโดยไม่ชักช้าและไม่เกิน 48 ชั่วโมง นับแต่ทราบเหตุ ทั้งนี้เพื่อให้ร้านค้าแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ภายใน 72 ชั่วโมงตามมาตรา 37(4)

7.2 การแจ้งจะประกอบด้วยเท่าที่ทราบในขณะนั้น

• ลักษณะของเหตุและช่วงเวลาที่เกิด
• ประเภทและจำนวนโดยประมาณของข้อมูลและเจ้าของข้อมูลที่ได้รับผลกระทบ
• ผลกระทบที่อาจเกิดขึ้น
• มาตรการที่ดำเนินการไปแล้วและที่จะดำเนินการต่อ
• ข้อมูลติดต่อของผู้รับผิดชอบ

7.3 ผู้ให้บริการจะให้ข้อมูลเพิ่มเติมเป็นระยะจนกว่าเหตุจะยุติ และให้ความร่วมมือในการสอบสวนและการเยียวยา

7.4 การแจ้งเจ้าของข้อมูลส่วนบุคคลและการแจ้งหน่วยงานกำกับดูแลเป็นหน้าที่ของร้านค้าในฐานะผู้ควบคุมข้อมูล ผู้ให้บริการจะไม่แจ้งในนามของร้านค้า เว้นแต่ร้านค้าร้องขอเป็นลายลักษณ์อักษร

7.5 ผู้ให้บริการจะไม่ถือว่าการสอบถาม การพยายามเข้าถึงที่ไม่สำเร็จ หรือเหตุการณ์ที่ไม่กระทบข้อมูลส่วนบุคคล เป็นเหตุละเมิดที่ต้องแจ้งตามข้อนี้

ข้อ 8. ผู้ประมวลผลช่วง (ภาคผนวก ค)

8.1 ร้านค้าให้ความยินยอมทั่วไปแก่ผู้ให้บริการในการใช้ผู้ประมวลผลช่วง ภายใต้เงื่อนไขในข้อนี้

8.2 ผู้ประมวลผลช่วงที่ใช้อยู่ ณ วันที่ DPA มีผล

รายชื่อฉบับปัจจุบันเผยแพร่อยู่ที่ [URL หน้ารายชื่อผู้ประมวลผลช่วง]

8.3 การเปลี่ยนแปลงผู้ประมวลผลช่วง ผู้ให้บริการจะแจ้งล่วงหน้าไม่น้อยกว่า 30 วัน ร้านค้ามีสิทธิคัดค้านโดยระบุเหตุผลด้านการคุ้มครองข้อมูลอย่างสมเหตุสมผลภายใน 15 วันนับแต่ได้รับแจ้ง หากคู่สัญญาไม่อาจหาทางออกร่วมกันได้ ร้านค้ามีสิทธิบอกเลิกบริการโดยได้รับคืนค่าบริการตามสัดส่วนที่ยังไม่ได้ใช้เต็มจำนวน

8.4 ผู้ให้บริการจะผูกพันผู้ประมวลผลช่วงทุกรายด้วยข้อสัญญาที่ให้ความคุ้มครองไม่ต่ำกว่า DPA ฉบับนี้ และยังคงรับผิดต่อร้านค้าสำหรับการกระทำของผู้ประมวลผลช่วงเสมือนเป็นการกระทำของตนเอง

ข้อ 9. การโอนข้อมูลไปต่างประเทศ

9.1 กรณีที่ผู้ประมวลผลช่วงตั้งอยู่นอกราชอาณาจักร ผู้ให้บริการจะดำเนินการตามมาตรา 28 และ 29 แห่ง PDPA โดยอาศัยประเทศปลายทางที่คณะกรรมการฯ ประกาศว่ามีมาตรฐานเพียงพอ หรือข้อสัญญามาตรฐานคุ้มครองข้อมูลส่วนบุคคล หรือมาตรการคุ้มครองอื่นที่ได้รับการรับรอง

9.2 ผู้ให้บริการจะแจ้งร้านค้าให้ทราบว่าข้อมูลถูกจัดเก็บและประมวลผลในประเทศใด และให้สำเนามาตรการคุ้มครองที่ใช้อยู่เมื่อร้องขอ

ข้อ 10. การคืนและการลบข้อมูลเมื่อสิ้นสุดบริการ

10.1 ตลอดระยะเวลาการใช้บริการ ร้านค้าส่งออกข้อมูลของตนได้ตลอดเวลาโดยไม่มีค่าใช้จ่าย ในรูปแบบ CSV หรือ Excel

10.2 เมื่อสิ้นสุดบริการ

10.3 ร้านค้าขอให้ลบทันทีก่อนครบ 90 วันได้ โดยแจ้งเป็นลายลักษณ์อักษร

10.4 ข้อยกเว้น — ผู้ให้บริการจะเก็บรักษาข้อมูลเท่าที่กฎหมายกำหนดต่อไป โดยเฉพาะเอกสารทางภาษีและบัญชีซึ่งต้องเก็บไม่น้อยกว่า 5 ปีตามประมวลรัษฎากร และข้อมูลที่จำเป็นต่อการใช้สิทธิเรียกร้องทางกฎหมาย ข้อมูลส่วนนี้จะถูกจำกัดการเข้าถึงและใช้เพื่อวัตถุประสงค์ตามกฎหมายเท่านั้น

10.5 ผู้ให้บริการจะออกหนังสือยืนยันการลบข้อมูลให้เมื่อร้านค้าร้องขอ

ข้อ 11. การตรวจสอบ

11.1 ผู้ให้บริการจะจัดให้ร้านค้าได้รับข้อมูลตามสมควรเพื่อแสดงการปฏิบัติตาม DPA ฉบับนี้ ได้แก่ นโยบายความมั่นคงปลอดภัย รายงานสรุปผลการประเมินความปลอดภัย และคำตอบต่อแบบสอบถามด้านความปลอดภัยตามมาตรฐาน

11.2 ร้านค้ามีสิทธิขอตรวจสอบ ณ สถานที่ทำการได้ไม่เกินปีละหนึ่งครั้ง โดยแจ้งล่วงหน้าไม่น้อยกว่า 30 วัน ในวันและเวลาทำการ และไม่กระทบต่อความลับของผู้ใช้บริการรายอื่น ผู้ตรวจสอบต้องลงนามข้อตกลงรักษาความลับ

11.3 ค่าใช้จ่ายในการตรวจสอบเป็นภาระของร้านค้า เว้นแต่การตรวจสอบพบการไม่ปฏิบัติตามอย่างมีนัยสำคัญ ซึ่งผู้ให้บริการจะรับผิดชอบค่าใช้จ่ายและแก้ไขภายในกำหนดเวลาที่ตกลงร่วมกัน

11.4 กรณีมีคำสั่งของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลให้ตรวจสอบ ข้อจำกัดตามข้อ 11.2 ไม่นำมาใช้บังคับ

ข้อ 12. ความรับผิดและการชดใช้ค่าเสียหาย

12.1 คู่สัญญาแต่ละฝ่ายรับผิดชอบต่อความเสียหายที่เกิดจากการที่ตนไม่ปฏิบัติตามหน้าที่ของตนตาม DPA ฉบับนี้และตาม PDPA

12.2 ร้านค้าตกลงชดใช้ค่าเสียหายให้ผู้ให้บริการ กรณีที่ผู้ให้บริการถูกเรียกร้อง ถูกปรับ หรือได้รับความเสียหาย อันเนื่องมาจากการที่ร้านค้าไม่มีฐานทางกฎหมายที่เพียงพอตามข้อ 3 นำเข้าข้อมูลอ่อนไหวโดยไม่ได้รับความยินยอมโดยชัดแจ้ง หรือให้คำสั่งที่ไม่ชอบด้วยกฎหมาย

12.3 ผู้ให้บริการตกลงชดใช้ค่าเสียหายให้ร้านค้า กรณีที่ร้านค้าได้รับความเสียหายจากการที่ผู้ให้บริการประมวลผลนอกเหนือคำสั่ง หรือไม่ปฏิบัติตามมาตรการรักษาความมั่นคงปลอดภัยตามข้อ 5

12.4 การจำกัดความรับผิดตามข้อตกลงการใช้บริการนำมาใช้กับ DPA ฉบับนี้ด้วย เว้นแต่ความรับผิดที่เกิดจากการจงใจหรือประมาทเลินเล่ออย่างร้ายแรง และค่าปรับทางปกครองที่หน่วยงานกำกับดูแลกำหนดโดยตรงต่อฝ่ายที่กระทำผิด ซึ่งไม่อยู่ในเพดานความรับผิด

ข้อ 13. ระยะเวลาและการสิ้นสุด

13.1 DPA ฉบับนี้มีผลตราบเท่าที่ผู้ให้บริการยังประมวลผลข้อมูลส่วนบุคคลในนามของร้านค้า

13.2 หน้าที่ตามข้อ 4.3 (การไม่ใช้ข้อมูลเพื่อตนเอง) ข้อ 5 (ความมั่นคงปลอดภัย) ข้อ 10 (การลบข้อมูล) และข้อ 12 (ความรับผิด) มีผลต่อเนื่องหลังสิ้นสุดข้อตกลงเท่าที่ยังมีข้อมูลอยู่ในความครอบครอง

13.3 ผู้ให้บริการอาจปรับปรุง DPA ฉบับนี้เพื่อให้สอดคล้องกับกฎหมายหรือแนวปฏิบัติที่เปลี่ยนแปลง โดยแจ้งล่วงหน้าไม่น้อยกว่า 30 วัน หากเป็นการลดระดับการคุ้มครอง ร้านค้ามีสิทธิคัดค้านและบอกเลิกโดยได้รับคืนค่าบริการตามสัดส่วน

ข้อ 14. กฎหมายที่ใช้บังคับ

DPA ฉบับนี้อยู่ภายใต้บังคับของกฎหมายไทย และข้อพิพาทให้อยู่ในเขตอำนาจของศาลไทย

การลงนาม

DPA ฉบับนี้ถือว่ามีผลผูกพันเมื่อร้านค้ายอมรับข้อตกลงการใช้บริการระบบ OptiPOS ทางอิเล็กทรอนิกส์ ตามพระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 โดยไม่ต้องลงนามเป็นเอกสารแยกต่างหาก

ร้านค้าที่ประสงค์จะลงนามเป็นเอกสารกระดาษ ติดต่อ dpo@optipos.co.th

หมายเหตุสำหรับผู้จัดทำ — ต้องเติมรายชื่อและที่ตั้งของผู้ประมวลผลช่วงในข้อ 8.2 ให้ครบและตรงกับที่ใช้จริงก่อนประกาศใช้ เนื่องจากเป็นข้อที่ลูกค้าองค์กรและผู้ตรวจสอบจะเรียกดูเป็นอันดับแรก และเป็นข้อที่ต้องปรับปรุงทุกครั้งที่เปลี่ยนผู้ให้บริการภายนอก