ข้อตกลงการประมวลผลข้อมูล (UU PDP)

คู่สัญญา

ข้อตกลงนี้ทำขึ้นระหว่างมูลนิธิ/โรงเรียนลูกค้า (ผู้ควบคุมข้อมูล) และ Elsia ผู้ให้บริการ SekolahOS (ผู้ประมวลผลข้อมูล) สำเนาที่ลงนามแล้วแนบกับสัญญาสมาชิกของแต่ละมูลนิธิ และมีผลผูกพันทางกฎหมายตั้งแต่วันที่เปิดใช้งานบัญชี

ขอบเขตการประมวลผล

ประเด็น	ข้อกำหนด
เจ้าของข้อมูล	นักเรียน ผู้ปกครอง และบุคลากรของมูลนิธิ
ประเภทข้อมูล	ข้อมูลระบุตัวตน การมาเรียน ผลการเรียน การเงิน การจ้างงาน และ (ถ้ามี) ข้อมูลชีวมิติ/สุขภาพ
วัตถุประสงค์	เพื่อดำเนินบริการ SekolahOS ตามคำสั่งเป็นลายลักษณ์อักษรของมูลนิธิเท่านั้น
ระยะเวลา	ตลอดระยะเวลาการสมัครสมาชิก และต่อไปอีกตามระยะเวลาเก็บรักษาที่กฎหมายกำหนด

หน้าที่ของ SekolahOS ในฐานะผู้ประมวลผลข้อมูล

SekolahOS ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่เป็นลายลักษณ์อักษรของมูลนิธิเท่านั้น รักษาความลับของข้อมูล ใช้การเข้ารหัส TLS 1.3 ระหว่างการส่งข้อมูล และการเข้ารหัสระดับแอปพลิเคชันสำหรับข้อมูลส่วนบุคคลที่อ่อนไหวขณะจัดเก็บ (Fernet: AES-128-CBC พร้อมการยืนยันตัวตน HMAC-SHA256) จำกัดการเข้าถึงของบุคลากรภายในให้ทำได้ในช่วงเวลาที่กำหนดและมีการตรวจสอบ และช่วยมูลนิธิดำเนินการตามคำขอของเจ้าของข้อมูลและหน้าที่แจ้งเหตุการณ์ภายใน 3×24 ชั่วโมงนับจากเวลาที่ตรวจพบเหตุการณ์

ผู้ประมวลผลช่วงที่เป็นบุคคลภายนอก

SekolahOS ใช้ผู้ประมวลผลช่วงดังต่อไปนี้เพื่อให้บริการ การเพิ่มผู้ประมวลผลช่วงรายใหม่ต้องมีการประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) ที่จัดทำเป็นเอกสารก่อนเปิดใช้งาน

ผู้ประมวลผลช่วง	วัตถุประสงค์	สถานที่ประมวลผล
DigitalOcean	เซิร์ฟเวอร์แอปพลิเคชันและฐานข้อมูลแบบมีผู้ดูแล (ข้อมูลการผลิต)	สิงคโปร์
Google Cloud Storage	ไฟล์ที่อัปโหลดและสำเนาสำรองฐานข้อมูลที่เข้ารหัสแล้ว	สหรัฐอเมริกา (ออริกอน us-west1)
Google Firebase Cloud Messaging	การส่งการแจ้งเตือนแบบพุชไปยังแอป	เครือข่ายทั่วโลกของ Google
Cloudflare	พร็อกซีและการป้องกันการรับส่งข้อมูลเว็บ ส่งต่อทราฟฟิกที่เข้ารหัสไปยังเซิร์ฟเวอร์	เครือข่ายทั่วโลกของ Cloudflare

ผู้ประมวลผลช่วงต่อไปนี้ใช้เฉพาะเมื่อมูลนิธิเปิดใช้ฟีเจอร์นั้น:

ผู้ประมวลผลช่วง	วัตถุประสงค์	สถานที่ประมวลผล
ผู้ให้บริการชำระเงินที่โรงเรียนเลือก (เช่น Xendit, Midtrans)	ประมวลผลการชำระเงินของผู้ปกครองเมื่อโรงเรียนเปิดใช้	ตามที่ผู้ให้บริการดำเนินการ และประกาศก่อนเปิดใช้งาน
WhatsApp Business Cloud API (Meta)	การส่งการแจ้งเตือนผ่าน WhatsApp เมื่อโรงเรียนเปิดใช้	ตามที่ผู้ให้บริการดำเนินการ และประกาศก่อนเปิดใช้งาน
LINE Messaging API (LY Corporation)	การส่งการแจ้งเตือนผ่าน LINE สำหรับโรงเรียนในไทยเมื่อเปิดใช้	ตามที่ผู้ให้บริการดำเนินการ และประกาศก่อนเปิดใช้งาน
การเฝ้าระวังข้อผิดพลาดของแอปพลิเคชัน (Sentry)	รับรายงานข้อผิดพลาดของแอปพลิเคชันเมื่อเปิดใช้ โดยลบข้อมูลส่วนบุคคลออกก่อนส่ง	ตามที่ผู้ให้บริการดำเนินการ และประกาศก่อนเปิดใช้งาน

การโอนข้อมูลข้ามประเทศ

ข้อมูลส่วนบุคคลถูกประมวลผลในสิงคโปร์และบางส่วนเก็บไว้ในสหรัฐอเมริกา สำหรับมูลนิธิในอินโดนีเซีย การโอนนี้เป็นไปตามมาตรา 56 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคล (UU PDP) สำหรับมูลนิธิในไทย เป็นไปตามมาตรา 28 และ 29 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) SekolahOS โอนเฉพาะข้อมูลที่จำเป็นต่อการให้บริการ

ฐานของการโอนไม่ใช่เพียงความยินยอมของมูลนิธิโดยการลงนามในข้อตกลงนี้ การโอนแต่ละครั้งไปยังผู้ประมวลผลช่วงนอกประเทศของมูลนิธิตั้งอยู่บนมาตรการคุ้มครองที่เหมาะสมในรูปข้อสัญญามาตรฐาน SekolahOS ใช้เฉพาะผู้ประมวลผลช่วงที่ข้อตกลงการประมวลผลข้อมูลมีข้อสัญญาต้นแบบอาเซียน (ASEAN MCC) หรือข้อสัญญามาตรฐานของสหภาพยุโรป (EU SCC) รวมทั้งหน้าที่รักษาความลับและความมั่นคงปลอดภัยที่เทียบเท่าข้อตกลงนี้ ห้ามนำข้อมูลไปใช้เพื่อวัตถุประสงค์อื่น และต้องแจ้งเมื่อเกิดเหตุการณ์ เมื่อมีการร้องขอ SekolahOS จะให้สำเนาเอกสารมาตรการคุ้มครองของผู้ประมวลผลช่วงแต่ละรายแก่มูลนิธิ มูลนิธิที่คัดค้านสามารถติดต่อเราก่อนลงนาม

สิทธิของมูลนิธิในฐานะผู้ควบคุมข้อมูล

มูลนิธิมีสิทธิ์ขอให้ตรวจสอบการปฏิบัติตามข้อกำหนด ขอสำเนาบันทึกการเข้าถึงข้อมูลส่วนบุคคลของตน และขอหลักฐานการปฏิบัติตามพันธกรณีด้านความปลอดภัย มูลนิธิยังคงเป็นฝ่ายเดียวที่มีอำนาจสั่งเปลี่ยนแปลงวัตถุประสงค์ของการประมวลผล

การสิ้นสุดสัญญาและการส่งคืนข้อมูล

เมื่อสัญญาสิ้นสุดลง มูลนิธิสามารถขอส่งออกข้อมูลทั้งหมดของตนได้ ข้อมูลจะถูกลบออกจากระบบจริงเมื่อครบระยะเวลาเก็บรักษาตามกฎหมายแล้ว ดังที่อธิบายไว้ใน หน้าการเก็บรักษาข้อมูล.

ติดต่อ

หากต้องการรับสำเนาข้อตกลงการประมวลผลข้อมูลฉบับสมบูรณ์ที่ลงนามได้ โปรดติดต่อ [email protected].