ข้อตกลงการประมวลผลข้อมูล

1. คู่สัญญาและขอบเขต

ข้อตกลงการประมวลผลข้อมูลนี้ ("DPA") ทำขึ้นระหว่างลูกค้าที่ยอมรับข้อกำหนดในการให้บริการ ("ลูกค้า" ผู้ควบคุมข้อมูล) กับ IMFA Labs LLC ซึ่งเป็นบริษัทจำกัดความรับผิดที่จดทะเบียนในรัฐไวโอมิง สหรัฐอเมริกา ("IMFA" ผู้ประมวลผลข้อมูล) DPA นี้เป็นส่วนหนึ่งของข้อกำหนด และใช้กับข้อมูลส่วนบุคคลที่ IMFA ประมวลผลให้แก่ลูกค้าในระหว่างการให้บริการ IMFA Agents ("ข้อมูลส่วนบุคคลของลูกค้า") DPA นี้สะท้อนมาตรา 28 ของกฎระเบียบคุ้มครองข้อมูลส่วนบุคคลทั่วไปของสหภาพยุโรป (GDPR) UK GDPR และกฎหมายที่คล้ายกันในกรณีที่ใช้บังคับ

หาก DPA นี้ขัดแย้งกับข้อกำหนด ให้ DPA นี้มีผลเหนือกว่าสำหรับข้อมูลส่วนบุคคลของลูกค้า หากข้อสัญญามาตรฐานใช้บังคับและขัดแย้งกับ DPA นี้ ให้ข้อสัญญามาตรฐานมีผลเหนือกว่า

2. เนื้อหาและระยะเวลา

IMFA ประมวลผลข้อมูลส่วนบุคคลของลูกค้าเพื่อให้บริการที่ลูกค้ากำหนดค่า ได้แก่ การโฮสต์เอเจนต์ การตอบบทสนทนาบนวิดเจ็ตของเว็บไซต์ ทางเสียง และช่องทางที่เชื่อมต่อ การจัดเก็บความรู้และไฟล์ การบันทึกลีดและคำสั่งซื้อ การเชื่อมต่อบริการที่ลูกค้าเลือก และการรักษาความปลอดภัยของบริการ การประมวลผลดำเนินไปตราบเท่าที่ลูกค้าใช้บริการ และจนกว่าจะมีการลบตามข้อ 11 รายละเอียดอยู่ในภาคผนวก 1

3. ข้อผูกพันของลูกค้า

ลูกค้า

• เป็นผู้ตัดสินใจว่าข้อมูลส่วนบุคคลใดจะเข้าสู่บริการและเพราะเหตุใด และมีฐานทางกฎหมายสำหรับการดังกล่าว
• แจ้งประกาศที่กฎหมายกำหนดแก่ผู้เยี่ยมชมและลูกค้าของตน (รวมถึงการแจ้งว่ากำลังคุยกับ AI ในกรณีที่กำหนด) และขอความยินยอมที่จำเป็น
• ไม่เพิ่มข้อมูลประเภทพิเศษหรือข้อมูลของเด็ก เว้นแต่กฎหมายอนุญาตและลูกค้ามีมาตรการคุ้มครองทุกประการที่จำเป็น
• กำหนดค่าเอเจนต์ ช่องทาง สิทธิการเข้าถึงของทีม และการเชื่อมต่อของตนอย่างเหมาะสม
• ตอบคำขอของเจ้าของข้อมูลของตน โดยได้รับความช่วยเหลือจาก IMFA ตามข้อ 8

4. ข้อผูกพันของ IMFA

IMFA

• ประมวลผลข้อมูลส่วนบุคคลของลูกค้าตามคำสั่งที่เป็นหลักฐานของลูกค้าเท่านั้น ได้แก่ ข้อกำหนด DPA นี้ และการตั้งค่าของลูกค้าในบริการ เว้นแต่กฎหมายจะกำหนดไว้เป็นอย่างอื่น (ในกรณีดังกล่าว IMFA จะแจ้งลูกค้าก่อน เว้นแต่กฎหมายห้าม)
• แจ้งลูกค้าหาก IMFA เห็นว่าคำสั่งใดละเมิดกฎหมายคุ้มครองข้อมูล
• ไม่ขายข้อมูลส่วนบุคคลของลูกค้าหรือใช้เพื่อวัตถุประสงค์ของตนเอง เว้นแต่เท่าที่จำเป็นต่อการรักษาความปลอดภัยของบริการ การป้องกันการใช้งานในทางที่ผิด และการปฏิบัติตามกฎหมาย ตามที่อธิบายไว้ในนโยบายความเป็นส่วนตัว
• ไม่ใช้ข้อมูลส่วนบุคคลของลูกค้าเพื่อฝึกโมเดล AI

5. การรักษาความลับ

IMFA ดูแลให้บุคคลที่ได้รับอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลของลูกค้าผูกพันตามหน้าที่รักษาความลับ และเข้าถึงข้อมูลเฉพาะเท่าที่จำเป็นต่อการให้บริการ การสนับสนุน และการรักษาความปลอดภัยของบริการ

6. ความปลอดภัย

IMFA ใช้มาตรการทางเทคนิคและเชิงองค์กรตามภาคผนวก 2 โดยคำนึงถึงเทคโนโลยีที่ทันสมัย ค่าใช้จ่าย และความเสี่ยง IMFA อาจปรับปรุงมาตรการเหล่านี้ได้ตราบเท่าที่ระดับการคุ้มครองโดยรวมไม่ลดลง

7. ผู้ประมวลผลข้อมูลช่วง

ลูกค้าให้การอนุญาตทั่วไปแก่ IMFA ในการใช้ผู้ประมวลผลข้อมูลช่วง รายชื่อปัจจุบันอยู่ที่ผู้ประมวลผลข้อมูลช่วง IMFA

• ผูกพันผู้ประมวลผลข้อมูลช่วงแต่ละรายด้วยสัญญาเป็นลายลักษณ์อักษรให้มีข้อผูกพันด้านการคุ้มครองข้อมูลที่ให้การคุ้มครองอย่างน้อยเทียบเท่ากับ DPA นี้ ตามความเหมาะสมกับบริการที่ผู้ประมวลผลข้อมูลช่วงนั้นให้
• อัปเดตรายชื่อก่อนเพิ่มหรือเปลี่ยนผู้ประมวลผลข้อมูลช่วง ลูกค้าสามารถขอรับแจ้งการเปลี่ยนแปลงทางอีเมลได้ที่ privacy@imfa.io
• ให้ลูกค้าคัดค้านได้ด้วยเหตุผลอันสมควรด้านการคุ้มครองข้อมูลภายใน 30 วันนับจากการอัปเดต หากคู่สัญญาไม่สามารถแก้ไขข้อคัดค้านได้ ลูกค้าอาจหยุดใช้ฟีเจอร์ที่ได้รับผลกระทบหรือยุติบริการ และได้รับเงินคืนตามสัดส่วนของค่าธรรมเนียมที่ชำระล่วงหน้าสำหรับระยะเวลาที่ยังไม่ได้ใช้ของการสมัครสมาชิกนั้น
• ยังคงรับผิดชอบต่อการปฏิบัติงานของผู้ประมวลผลข้อมูลช่วงของตนตามที่กฎหมายกำหนด

แพลตฟอร์มที่ลูกค้าเชื่อมต่อ (Meta, Telegram, Discord, Google และวิธีการชำระเงินผ่าน Stripe) ดำเนินการในฐานะผู้ควบคุมข้อมูลอิสระสำหรับการประมวลผลของตนเอง และไม่ใช่ผู้ประมวลผลข้อมูลช่วงของ IMFA

8. ความช่วยเหลือเกี่ยวกับคำขอของเจ้าของข้อมูล

โดยคำนึงถึงลักษณะของการประมวลผล IMFA ช่วยลูกค้าตอบคำขอเข้าถึง แก้ไข ลบ จำกัด หรือโอนย้ายข้อมูลส่วนบุคคล โดยส่วนใหญ่ผ่านเครื่องมือในบริการ (การดูและลบบทสนทนา ลีด ไฟล์ และเอเจนต์) ในกรณีที่เครื่องมือไม่เพียงพอ ลูกค้าสามารถติดต่อ privacy@imfa.io หาก IMFA ได้รับคำขอโดยตรงจากเจ้าของข้อมูลของลูกค้า IMFA จะส่งต่อบุคคลนั้นไปยังลูกค้าในกรณีที่สามารถระบุลูกค้าได้ และจะไม่ตอบคำขอนั้นเอง เว้นแต่ลูกค้าจะขอ

9. การละเมิดข้อมูลส่วนบุคคล

IMFA จะแจ้งลูกค้าโดยไม่ชักช้าเกินสมควรหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคลที่ส่งผลกระทบต่อข้อมูลส่วนบุคคลของลูกค้า พร้อมข้อมูลที่ลูกค้าต้องใช้เพื่อปฏิบัติตามข้อผูกพันของตนเองเมื่อข้อมูลนั้นพร้อม IMFA จะดำเนินขั้นตอนที่สมเหตุสมผลเพื่อควบคุมการละเมิด การแจ้งให้ทราบไม่ถือเป็นการยอมรับความผิด

10. การประเมินผลกระทบและหน่วยงานกำกับดูแล

IMFA ให้ความช่วยเหลือตามสมควรแก่ลูกค้าในการประเมินผลกระทบด้านการคุ้มครองข้อมูลและการปรึกษาหารือล่วงหน้ากับหน่วยงานกำกับดูแลเกี่ยวกับบริการ โดยใช้ข้อมูลที่ IMFA มีอยู่ ซึ่งส่วนใหญ่ได้แก่ DPA นี้ การเปิดเผยข้อมูลเกี่ยวกับ AI และรายชื่อผู้ประมวลผลข้อมูลช่วง

11. การส่งคืนและการลบ

ลูกค้าสามารถลบบทสนทนา ไฟล์ ความรู้ เอเจนต์ และบัญชีทั้งหมดของตนได้ทุกเมื่อในบริการ เมื่อมีการลบบัญชี IMFA จะลบข้อมูลส่วนบุคคลของลูกค้าตามที่อธิบายไว้ในนโยบายความเป็นส่วนตัว (หลังจากระยะเวลา 3 วันที่ลูกค้าสามารถยกเลิกการลบได้) เว้นแต่กฎหมายกำหนดให้ IMFA ต้องเก็บรักษาไว้ สำเนาในข้อมูลสำรองของผู้ให้บริการจะถูกลบตามกำหนดเวลาปกติของผู้ให้บริการ ก่อนการลบ ลูกค้าสามารถขอสำเนาข้อมูลของตนได้ที่ privacy@imfa.io

12. การตรวจสอบ

IMFA จัดให้มีข้อมูลที่จำเป็นตามสมควรเพื่อแสดงการปฏิบัติตาม DPA นี้ ซึ่งรวมถึงเอกสารนี้ ภาคผนวก และสรุปใบรับรองของผู้ให้บริการของ IMFA หากยังไม่เพียงพอ ลูกค้าอาจขอให้มีการตรวจสอบได้ไม่เกินปีละหนึ่งครั้ง โดยแจ้งล่วงหน้า 30 วัน ด้วยค่าใช้จ่ายของลูกค้าเอง โดยผู้ตรวจสอบอิสระที่ผูกพันตามหน้าที่รักษาความลับ ในลักษณะที่ไม่รบกวนบริการหรือเปิดเผยข้อมูลของลูกค้ารายอื่น การตรวจสอบผู้ประมวลผลข้อมูลช่วงครอบคลุมโดยรายงานและใบรับรองของผู้ประมวลผลข้อมูลช่วงนั้นเอง

13. การโอนข้อมูลระหว่างประเทศ

IMFA ตั้งอยู่ในสหรัฐอเมริกา และผู้ประมวลผลข้อมูลช่วงของ IMFA ประมวลผลข้อมูลในประเทศที่ระบุไว้ในภาคผนวก 3 ในกรณีที่มีการโอนข้อมูลส่วนบุคคลของลูกค้าจากเขตเศรษฐกิจยุโรป สหราชอาณาจักร หรือสวิตเซอร์แลนด์ไปยังประเทศที่ไม่มีคำวินิจฉัยว่ามีมาตรฐานการคุ้มครองที่เพียงพอ ข้อสัญญามาตรฐานของสหภาพยุโรป (โมดูล 2 จากผู้ควบคุมข้อมูลไปยังผู้ประมวลผลข้อมูล หรือโมดูล 3 จากผู้ประมวลผลข้อมูลไปยังผู้ประมวลผลข้อมูล แล้วแต่กรณี) พร้อมภาคผนวกของสหราชอาณาจักรและการปรับสำหรับสวิตเซอร์แลนด์ในกรณีที่ใช้บังคับ จะถูกรวมเข้าใน DPA นี้โดยการอ้างอิง โดยให้ IMFA เป็นผู้นำเข้าข้อมูล IMFA กำหนดให้ผู้ประมวลผลข้อมูลช่วงของตนมีมาตรการคุ้มครองที่เทียบเท่า

14. ความรับผิดและระยะเวลา

ความรับผิดของคู่สัญญาแต่ละฝ่ายภายใต้ DPA นี้อยู่ภายใต้ข้อจำกัดในข้อกำหนด เว้นแต่กฎหมายไม่อนุญาตให้มีข้อจำกัดดังกล่าว DPA นี้มีผลตราบเท่าที่ IMFA ประมวลผลข้อมูลส่วนบุคคลของลูกค้า

ภาคผนวก 1: รายละเอียดการประมวลผล

ภาคผนวก 2: มาตรการทางเทคนิคและเชิงองค์กร

• การควบคุมการเข้าถึง: การยืนยันตัวตนสำหรับทุกคำขอไปยังแดชบอร์ดและ API การตรวจสอบสิทธิฝั่งเซิร์ฟเวอร์ในทุกฟังก์ชัน บทบาทสำหรับเอเจนต์ที่แชร์ (เจ้าของ ผู้แก้ไข ผู้ดู) เครื่องมือผู้ดูแลระบบจำกัดเฉพาะผู้ดูแลระบบของ IMFA
• ข้อมูลรับรอง: คีย์ API และโทเค็นการเข้าถึงจัดเก็บเป็นค่าแฮช ข้อมูลรับรองของช่องทางและโทเค็นของ Google จัดเก็บแบบเข้ารหัส ข้อมูลลับจะไม่แสดงกลับในแชทของตัวสร้างเลย
• การรับส่งข้อมูล: การเชื่อมต่อที่เข้ารหัส (HTTPS) ระหว่างเบราว์เซอร์ บริการของเรา และผู้ให้บริการของเรา
• การแยกข้อมูล: ข้อมูลของลูกค้าแต่ละรายถูกจำกัดขอบเขตไว้ที่บัญชีและเอเจนต์ของลูกค้ารายนั้นในทุกคำค้น
• การป้องกันการใช้งานในทางที่ผิด: การจำกัดอัตราการใช้งานต่อผู้เยี่ยมชม บทสนทนา เอเจนต์ และบัญชี การตรวจสอบบอทบนวิดเจ็ต การตรวจสอบเนื้อหาและความปลอดภัยอัตโนมัติ การเตือนและการบล็อกผู้เยี่ยมชม
• การคุ้มครองข้อมูลด้าน AI: การขอให้ไม่เก็บรักษาข้อมูลบน Convex AI Gateway การนำรายละเอียดการติดต่อออกก่อนการคัดกรองลีดและการสรุป การกันคำสั่งไม่ให้ปรากฏในคำตอบ
• การลดปริมาณข้อมูลและการเก็บรักษา: การลบบทสนทนาที่ไม่มีการใช้งาน บันทึก และบันทึกข้อมูลโดยอัตโนมัติตามกำหนดเวลาในนโยบายความเป็นส่วนตัว การจัดเก็บผลการตัดสินใจโดยไม่มีข้อความของบทสนทนา
• บันทึกกิจกรรม: บันทึกการตรวจสอบและบันทึกกิจกรรมสำหรับการเปลี่ยนแปลงที่มีความอ่อนไหวและกิจกรรมของเอเจนต์
• ผู้ให้บริการ: โครงสร้างพื้นฐานบนผู้ให้บริการที่มีใบรับรองด้านความปลอดภัยของตนเอง (ดูรายชื่อผู้ประมวลผลข้อมูลช่วง)

ภาคผนวก 3: กลไกการโอนข้อมูลระหว่างประเทศ