ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล
(Data Processing Agreement: DPA)
สำหรับร้านค้าบนแพลตฟอร์ม Pointspot

ข้อตกลงฉบับนี้ ("DPA") เป็นข้อตกลงกำหนดเงื่อนไขและรายละเอียดของการทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล/ ผู้ประมวลผลข้อมูลส่วนบุคคล อันเกี่ยวกับข้อมูลสมาชิกส่วนกลางและข้อมูลสมาชิกของร้านค้าในระบบ Pointspot

ความมีผลใช้บังคับ DPA ฉบับนี้มีผลใช้และผูกพันบุคคล/นิติบุคคล ในฐานะร้านค้าผู้สมัครใช้บริการแพลตฟอร์ม Pointspot ("ร้านค้า") กับบริษัท เรดดี้แพลนเน็ต จำกัด (มหาชน) ในฐานะผู้ให้บริการแพลตฟอร์ม Pointspot ("Pointspot" หรือ "ผู้ให้บริการ") นับตั้งแต่วันที่ร้านค้าเข้าสู่ระบบและสมัครเป็นร้านค้าบนแพลตฟอร์ม Pointspot ("วันมีผลใช้บังคับ")

ลักษณะการใช้บริการ Pointspot ผู้ให้บริการ เป็นผู้ให้บริการแพลตฟอร์ม Pointspot ซึ่งเป็นแพลตฟอร์มระบบสะสมแต้มดิจิทัลแบบฐานสมาชิกกลาง มีลักษณะการบริการ กล่าวโดยสังเขปได้ดังนี้

ผู้ใช้สมัครเป็น "สมาชิก Pointspot" ในระบบเดียวกัน เพื่อมีบัญชีสะสมแต้ม (Points Wallet) สำหรับรับแต้ม/คูปอง/สิทธิประโยชน์จากร้านค้าหรือธุรกิจต่าง ๆ บนแพลตฟอร์ม และใช้สิทธิได้ตามเงื่อนไขของแต่ละร้านค้า
เมื่อลูกค้ารายใดประสงค์เข้าร่วมโปรแกรมสะสมแต้มของร้านค้าบนแพลตฟอร์ม ถ้าลูกค้ายังไม่ได้เป็นสมาชิก Pointspot ลูกค้ารายนั้นจะสมัคร/ลงทะเบียนเป็นสมาชิก Pointspot ก่อน และหลังจากนั้นจึงกดเข้าร่วม/สมัครเป็นสมาชิกของ "ร้านค้า" ที่เกี่ยวข้องบนแพลตฟอร์ม Pointspot
ร้านค้าสมัครเปิดใช้ระบบสะสมแต้มของตนบนแพลตฟอร์ม และเชิญชวนลูกค้าเข้าร่วมเป็นสมาชิกของร้านค้าบนแพลตฟอร์ม โดย Pointspot จะให้เครื่องมือสำหรับจัดการแต้ม คูปอง ของรางวัล การสื่อสาร และรายงานที่เกี่ยวข้อง

เงื่อนไขและรายละเอียดของ DPA

1. คำนิยาม

เว้นแต่ข้อความหรือบริบทใน DPA ฉบับนี้จะแสดงให้เห็นเป็นอย่างอื่นโดยชัดแจ้ง ให้คำนิยามดังกล่าวข้างล่างนี้ มีความหมายดังต่อไปนี้

1.1 "กฎหมายคุ้มครองข้อมูลส่วนบุคคล" หมายถึง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงกฎหมายลำดับรอง/ประกาศ/แนวปฏิบัติที่เกี่ยวข้อง และที่มีการแก้ไขเปลี่ยนแปลงในภายหลังด้วย

1.2 "ข้อมูลส่วนบุคคล", "ผู้ควบคุมข้อมูลส่วนบุคคล (Controller)", "ผู้ประมวลผลข้อมูลส่วนบุคคล (Processor)", "การประมวลผล" ให้มีความหมายตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

1.3 "ข้อมูลสมาชิกส่วนกลาง (Platform Member Data)" หมายถึงข้อมูลของสมาชิก Pointspotที่ Pointspot เก็บ/ใช้ในฐานะผู้ควบคุมข้อมูล เพื่อการสร้างและดูแลบัญชีสมาชิกส่วนกลาง (รวมถึง Points Wallet) และการดำเนินงานแพลตฟอร์ม

1.4 "ข้อมูลสมาชิกของร้านค้า (Merchant Member Data)" หมายถึงข้อมูลของสมาชิก Pointspot เฉพาะส่วนที่เกี่ยวกับการเข้าร่วม/ทำรายการ/รับสิทธิ/สะสม-ตัดแต้ม/แลกของรางวัล/รับคูปอง/การสื่อสาร/รายงาน/การแบ่งกลุ่ม ที่เกิดขึ้นภายใต้โปรแกรมของร้านค้า บนแพลตฟอร์ม

1.5 "บริการ" หมายถึงการให้ร้านค้าใช้ระบบ Pointspot เพื่อจัดการโปรแกรมสะสมแต้ม/สิทธิประโยชน์/คูปอง/ของรางวัล/รายงาน/การสื่อสารกับสมาชิก และฟังก์ชั่นที่เกี่ยวข้อง

2. ขอบเขตหน้าที่และบทบาทของคู่สัญญา (Role Allocation)

2.1 บทบาทและหน้าที่ของ Pointspot

แยกเป็นส่วนที่เกี่ยวกับ ฐานข้อมูลสมาชิกส่วนกลาง และฐานข้อมูลสมาชิกของร้านค้า ดังนี้

ฐานข้อมูลสมาชิกส่วนกลาง: Pointspot จะเป็นผู้ควบคุมข้อมูล (Controller) สำหรับข้อมูลสมาชิกส่วนกลาง (Platform Member Data) เพื่อให้สมาชิกสมัคร/มีบัญชีสะสมแต้ม (Points Wallet) และใช้งานบนแพลตฟอร์มกับหลายร้านค้า

หมายเหตุ: การประมวลผลข้อมูลสมาชิกส่วนกลาง จะอยู่นอกขอบเขตของ DPA ฉบับนี้ และให้เป็นไปตามนโยบายข้อมูลส่วนบุคคล (Privacy Policy) ของ Pointspot

ฐานข้อมูลสมาชิกของร้านค้า: Pointspot จะเป็นผู้ประมวลผลข้อมูล (Processor) สำหรับข้อมูลสมาชิกของร้านค้า (Merchant Member Data) และประมวลผล "ในนามของร้านค้า" เพื่อให้บริการตามขอบเขตที่กำหนดในข้อ 3 ของ DPA ฉบับนี้

บทบาทและหน้าที่ของร้านค้า

ฐานข้อมูลสมาชิกของร้านค้า: ร้านค้าจะเป็นผู้ควบคุมข้อมูล (Controller) กำหนดวัตถุประสงค์และวิธีการประมวลผล (เช่น เงื่อนไขสะสมแต้ม/สิทธิประโยชน์/การส่งข้อความ/การวิเคราะห์รายงาน/กลุ่มเป้าหมาย) สำหรับข้อมูลสมาชิกของร้านค้านั้นเอง โดยร้านค้าจะต้องปฏิบัติให้เป็นไปตามข้อกำหนดของกฎหมายคุ้มครองส่วนบุคคลในการเป็นผู้ควบคุมข้อมูลดังกล่าว

การเปิดเผยข้อมูลระหว่าง Pointspot กับร้านค้า: เมื่อสมาชิกกดเข้าร่วม/สมัครโปรแกรมของร้านค้าบนแพลตฟอร์ม Pointspot อาจเปิดเผย (ภายใต้ขอบเขตความยินยอมของสมาชิกนั้น) และให้ร้านค้าเข้าถึงข้อมูลสมาชิกที่จำเป็นเพื่อการให้สิทธิประโยชน์และบริการของร้านค้า ซึ่งคู่สัญญาแต่ละฝ่ายจะต้องรับผิดชอบจัดให้มีการแจ้งประกาศ/การตอบคำขอสิทธิของเจ้าของข้อมูลในส่วนที่ตนเป็นผู้ควบคุม เพื่อปฏิบัติให้เป็นไปตามข้อกำหนดของกฎหมายคุ้มครองส่วนบุคคล

3. ขอบเขตการประมวลผล ที่อยู่ภายใต้ DPA

เรื่องและลักษณะการประมวลผล: Pointspot จะทำการประมวลผลข้อมูลสมาชิกของร้านค้าเพื่อ (ก) ลงทะเบียนสมาชิกเข้าร่วมโปรแกรมของร้านค้า (ข) บันทึกและคำนวณแต้ม/สถานะระดับสมาชิก (ค) จัดการการแลกของรางวัล/คูปอง/สิทธิประโยชน์ (ง) ส่งข้อความ/แจ้งเตือนตามที่ร้านค้าตั้งค่า และ (จ) จัดทำรายงาน/สถิติ/แดชบอร์ด/ส่งออกข้อมูลตามการใช้งานของร้านค้า
ประเภทเจ้าของข้อมูล: ลูกค้า/ผู้บริโภค/สมาชิกที่เข้าร่วมโปรแกรมของร้านค้า และผู้ใช้ระบบฝั่งร้านค้า (แอดมิน/พนักงานที่ได้รับสิทธิ)
ประเภทข้อมูล (โดยทั่วไป): ข้อมูลระบุตัวตนและติดต่อ (เช่น เบอร์โทรศัพท์, ชื่อ-นามสกุล, ช่องทางติดต่อที่ใช้ในบริการ), ข้อมูลธุรกรรมสะสมแต้ม/แลกของรางวัล/คูปอง, ประวัติการใช้สิทธิ, การตอบสนองต่อแคมเปญ/ข้อความ, ข้อมูลการตั้งค่ากลุ่มเป้าหมาย/แท็ก/Segment และบันทึกการใช้งานระบบที่เกี่ยวข้องกับร้านค้า ทั้งนี้ หากร้านค้ากรอก/อัปโหลดข้อมูลอื่นเพิ่มเติม ให้ถือเป็นข้อมูลสมาชิกของร้านค้าตาม DPA นี้
ระยะเวลา: ตลอดระยะเวลาที่ร้านค้าใช้บริการ และตามระยะเวลาที่จำเป็นเพื่อการส่งคืน/ลบข้อมูลตามข้อ 10 หรือเพื่อการปฏิบัติตามกฎหมาย/ระงับข้อพิพาท/ความมั่นคงปลอดภัยของระบบ

4. คำสั่งของร้านค้า (Processing Instructions)

4.1 Pointspot จะประมวลผลข้อมูลสมาชิกของร้านค้าตามคำสั่งของร้านค้า ซึ่งรวมถึงการตั้งค่า/การใช้งานผ่านหน้าจอผู้ดูแลระบบ การกำหนดเงื่อนไขโปรแกรม การอัปโหลดข้อมูล และคำสั่งเป็นลายลักษณ์อักษรผ่านช่องทางสนับสนุน

4.2 หาก Pointspot เห็นว่าคำสั่งใดของร้านค้า ตามข้อ 4.1 อาจขัดต่อกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือกฎหมายอื่นใด หรือเป็นการละเมิดความยินยอมหรือสิทธิของสมาชิกหรือบุคคลอื่นใด Pointspot มีสิทธิใช้ดุลยพินิจไม่ปฏิบัติตามคำสั่งนั้นได้ และจะแจ้งร้านค้าทราบโดยไม่ชักช้า (เท่าที่กฎหมายอนุญาต)

5. การรักษาความลับและการจำกัดการเข้าถึง

5.1 Pointspot จะต้องดำเนินการให้บุคลากรของตนที่เข้าถึงข้อมูลสมาชิกของร้านค้า มีหน้าที่รักษาความลับ และเข้าถึงเท่าที่จำเป็น (need-to-know) เพื่อการบริการของแพลตฟอร์ม Pointspot

5.2 Pointspot จะไม่เปิดเผยข้อมูลสมาชิกของร้านค้าแก่บุคคลภายนอก เว้นแต่ (ก) ตามคำสั่งของร้านค้า (ข) เพื่อผู้ให้บริการช่วงต่อที่จำเป็นตามข้อ 7 ของ DPA ฉบับนี้ หรือ (ค) เป็นการปฎิบัติตามที่กฎหมายกำหนด หรือตามคำสั่งของศาล หรือเจ้าพนักงานของรัฐ ทั้งนี้ ร้านค้าตกลงรับทราบและเข้าใจดีว่า สมาชิกของร้านค้าตามสัญญานี้ อาจเป็นสมาชิกของร้านค้าอื่นๆ ที่ใช้บริการแพลตฟอร์ม Pointspot ด้วยก็ได้ ดังนั้น ข้อมูลสมาชิกรายดังกล่าวของร้านค้า (ทั้งหมดหรือบางส่วน) จะปรากฏในระบบ Pointspot ในฐานะเป็นฐานข้อมูลสมาชิกของร้านค้าอื่นๆ นั้นด้วย และไม่ถือเป็นการกระทำโดยฝ่าฝืนเงื่อนไขในข้อ 5.2 นี้

6. มาตรการความมั่นคงปลอดภัย

Pointspot จะจัดให้มีมาตรการเชิงเทคนิคและเชิงบริหารจัดการที่เหมาะสมเพื่อคุ้มครองข้อมูลสมาชิกของร้านค้า ป้องกันการเข้าถึง/ใช้/เปิดเผยโดยไม่มีอำนาจ การสูญหาย หรือการเปลี่ยนแปลงแก้ไขโดยมิชอบ โดยยึดตามความเสี่ยง ลักษณะข้อมูล และมาตรฐานอุตสาหกรรม

7. ผู้ให้บริการช่วงต่อ (Sub-processors) และการโอนข้อมูลไปต่างประเทศ

7.1 Pointspot อาจมีการแต่งตั้ง ผู้ให้บริการช่วงต่อเท่าที่จำเป็นต่อการให้บริการ (เช่น โครงสร้างพื้นฐานระบบ, ผู้ให้บริการส่งข้อความ/แจ้งเตือน) โดยไม่จำเป็นต้องแจ้งให้ร้านค้าทราบ

7.2 Pointspot อาจมีการส่งหรือโอนข้อมูลไปต่างประเทศเพื่อการจัดเก็บ/ประมวลผลบนระบบของคู่ค้าต่างประเทศ โดย Pointspot จะจัดให้มีมาตรการคุ้มครองที่เพียงพอและดูแลความปลอดภัยอย่างเหมาะสมตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

8. การช่วยเหลือร้านค้าในการตอบคำขอใช้สิทธิ (Data Subject Rights)

8.1 หาก Pointspot ได้รับคำขอใช้สิทธิจากสมาชิกที่เกี่ยวข้องกับข้อมูลสมาชิกของร้านค้า Pointspot จะแจ้งร้านค้าโดยไม่ชักช้า (เว้นแต่กฎหมายห้าม)

8.2 Pointspot จะให้ความช่วยเหลือที่สมเหตุสมผล และเท่าที่สามารถกระทำได้โดยไม่ขัดต่อกฎหมาย แก่ร้านค้าในการดำเนินการตามคำขอใช้สิทธิ ภายใต้ขอบเขตข้อมูลที่ Pointspot ประมวลผลในฐานะผู้ประมวลผล และภายใต้ข้อจำกัดด้านความมั่นคงปลอดภัย/สิทธิของบุคคลอื่น/ความลับทางการค้า

9. เหตุละเมิดข้อมูลส่วนบุคคล (Personal Data Breach)

9.1 หากทราบว่า เกิดเหตุละเมิดข้อมูลส่วนบุคคลที่กระทบข้อมูลสมาชิกของร้านค้า Pointspot จะแจ้งร้านค้าโดยไม่ชักช้า และพยายามแจ้งภายใน 72 ชั่วโมงนับแต่ทราบเหตุ (เท่าที่สามารถทำได้) พร้อมข้อมูลเท่าที่มี เช่น ลักษณะเหตุการณ์ ขอบเขตผลกระทบ และมาตรการแก้ไข/บรรเทา

9.2 Pointspot จะร่วมมือในการสืบสวน และจัดทำข้อมูลสนับสนุนที่จำเป็นต่อการแจ้งหน่วยงาน/เจ้าของข้อมูล (หากร้านค้ามีหน้าที่ต้องแจ้ง)

10. การลบข้อมูลเมื่อสิ้นสุดบริการ

10.1 เมื่อสัญญา/การใช้บริการของร้านค้าสิ้นสุดลง หรือเมื่อร้านค้ามีคำสั่งเป็นลายลักษณ์อักษร (และไม่ขัดต่อกฎหมาย) Pointspot จะดำเนินการ ลบ/ทำลาย ข้อมูลการประมวลผลของร้านค้าจากระบบ ภายใน 180 วัน

10.2 Pointspot อาจเก็บรักษาข้อมูลบางส่วนต่อไปได้เท่าที่จำเป็นเพื่อการปฏิบัติตามกฎหมาย การตั้งข้อเรียกร้อง/ป้องกันข้อพิพาท และ/หรือความมั่นคงปลอดภัยของระบบ โดยจะจำกัดการเข้าถึงและใช้ตามความจำเป็น

11. การไม่รับผิดในฐานะผู้ควบคุมข้อมูลส่วนบุคคล

Pointspot ขอสงวนสิทธิไม่รับผิดในกรณีร้านค้าซึ่งเป็นผู้ควบคุมข้อมูลสมาชิกของร้านค้า (ตามข้อ 2.2) ไม่ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลหรือคำร้องขอจากเจ้าของข้อมูลส่วนบุคคล นอกจากนี้ Pointspot ทำหน้าที่ประมวลผลข้อมูลตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคลแต่เพียงผู้เดียว และไม่สามารถรับผิดชอบต่อการตัดสินใจหรือการกระทำใด ๆ ของผู้ควบคุมข้อมูลส่วนบุคคลได้

12. ความมีผลใช้ของ DPA และกฎหมายที่ใช้บังคับ

DPA ฉบับนี้ มีผลใช้และผูกพันคู่สัญญาทั้งสองฝ่ายนับตั้งแต่วันมีผลใช้บังคับ (ตามคำนิยามที่กำหนดไว้ข้างต้นใน DPA ฉบับนี้) และให้ DPA ฉบับนี้ ใช้บังคับและตีความเป็นไปตามกฎหมายไทย