บทนำ
บริษัท เดอะ แบล็ค ไท เซอร์วิส จำกัด(“บริษัท”) ตระหนักถึงความสำคัญของข้อมูลส่วนบุคคลและข้อมูลอื่น (รวมเรียกว่า “ข้อมูล”) อันเกี่ยวกับลูกค้าของบริษัท (“ท่าน”) และเพื่อให้ท่านสามารถเชื่อมั่นได้ว่าบริษัทมีความโปร่งใสและความรับผิดชอบในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลของท่านตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“กฎหมายคุ้มครองข้อมูลส่วนบุคคล”) รวมถึงกฎหมายอื่นที่เกี่ยวข้อง ดังนั้น นโยบายคุ้มครองข้อมูลส่วนบุคคล (“นโยบาย”) ฉบับนี้จึงได้ถูกจัดทำขึ้นเพื่อชี้แจงให้ท่านได้ทราบและเข้าใจถึงวิธีการปฏิบัติของบริษัท รวมถึงวัตถุประสงค์ของบริษัท เกี่ยวกับการเก็บรวบรวม ใช้ เปิดเผยข้อมูลส่วนบุคคลของท่าน (“รวมเรียกว่า “ประมวลผล”) ซึ่งดำเนินการโดยบริษัท รวมถึงบุคคลที่เกี่ยวข้องในนามของบริษัท โดยมีเนื้อหาสาระดังต่อไปนี้
ข้อ 1. คำจำกัดความ
คู่สัญญาตกลงให้คำและถ้อยคำในสัญญาประมวลผลข้อมูลส่วนบุคคลฉบับนี้มีความหมายดังต่อไปนี้
“กฎหมายคุ้มครองข้อมูลส่วนบุคคล” หมายถึง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ตลอดจนกฎหมาย กฎกระทรวง ประกาศ ระเบียบ คำสั่ง หนังสือเวียน แนวนโยบาย มาตรฐานการปฏิบัติงานและมาตรฐานการประกอบวิชาชีพ ข้อบังคับอื่นใดที่กำหนดโดยหน่วยงานที่มีอำนาจและหรือหน่วยงานที่เกี่ยวข้อง อันเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ทั้งที่มีผลใช้บังคับอยู่ ณ วันทำสัญญาประมวลผลข้อมูลส่วนบุคคลฉบับนี้ และที่จะมีการเพิ่มเติมหรือแก้ไขเปลี่ยนแปลงในภายหลัง
“การละเมิดข้อมูลส่วนบุคคล” หมายถึง การที่ข้อมูลส่วนบุคคลถูกทำลาย ถูกทำให้เสียหายหรือสูญหาย ถูกเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข เปิดเผย หรือถูกกระทำใด ๆ โดยที่ผู้กระทำต่อข้อมูลส่วนบุคคลนั้นไม่มีอำนาจหรือไม่ได้รับอนุญาตโดยชอบ ไม่ว่าการกระทำดังกล่าวจะเกิดขึ้นโดยจงใจหรือไม่ก็ตาม
“ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม (ซึ่งไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม) ที่ผู้ประมวลผลข้อมูลส่วนบุคคลได้รับจากผู้ควบคุมข้อมูลส่วนบุคคล และ/หรือ บุคคลอื่นใดที่ผู้ควบคุมข้อมูลส่วนบุคคลกำหนด เช่น ชื่อ ที่อยู่ เบอร์โทรศัพท์ อีเมล วันเดือนปีเกิด ฯลฯ
“คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล” หมายถึง คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
“เจ้าของข้อมูลส่วนบุคคล” หมายถึง บุคคลซึ่งข้อมูลส่วนบุคคลสามารถระบุตัวได้ไม่ว่าทางตรงหรือทางอ้อม
“ประมวลผล” หมายความรวมถึง การดำเนินการใด ๆ ด้วยวิธีการใด ๆ กับข้อมูลส่วนบุคคล ซึ่งรวมถึงการเก็บรวบรวม ใช้ เปิดเผย เก็บรักษา หรือการกำจัด ลบ และทำลายข้อมูลส่วนบุคคลดังกล่าว
“ผู้ประมวลผลข้อมูลส่วนบุคคลอีกทอดหนึ่ง” หมายถึง บุคคล กลุ่มบุคคล หรือนิติบุคคลที่ได้รับข้อมูลส่วนบุคคล โดยอยู่ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคลอีกทอดหนึ่ง ซึ่งเกี่ยวข้องกับการดำเนินการตามสัญญาและมีความจำเป็นต้องเข้าถึงข้อมูลส่วนบุคคล
ข้อ 2 หน้าที่ของผู้ควบคุมข้อมูลส่วนบุคคล
ผู้ควบคุมข้อมูลส่วนบุคคลตกลงดำเนินการและให้คำรับรองต่อผู้ประมวลผลข้อมูลดังต่อไปนี้
2.1 ผู้ควบคุมข้อมูลตกลงจะเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลในรูปแบบที่ผู้ประมวลผลข้อมูลสามารถทำการประมวลผลข้อมูลส่วนบุคคลเพื่อให้บรรลุวัตถุประสงค์ตามสัญญาหลัก และไม่ขัดต่อกฎหมายคุ้มครองข้อมูลส่วนบุคคล โดยผู้ควบคุมข้อมูลจะเปิดเผยข้อมูลส่วนบุคคลตามประเภทและขอบเขตที่กำหนดไว้ในสัญญาหลักเท่านั้น
2.2 ผู้ควบคุมข้อมูลขอรับรองและยืนยันว่า ก่อนที่ตนจะเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูล ผู้ควบคุมข้อมูลได้รับความยินยอมโดยชอบด้วยกฎหมายคุ้มครองข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลด้วยค่าใช้จ่ายของตนและเจ้าของข้อมูลส่วนบุคคลยังไม่ได้เพิกถอนความยินยอมดังกล่าว หรือได้อาศัยหลักเกณฑ์อื่น หรือฐานอื่นทางกฎหมายในการเปิดเผยข้อมูลส่วนบุคคล และได้ให้ข้อมูล และ/หรือ คำบอกกล่าวที่จำเป็นตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลแก่เจ้าของข้อมูลส่วนบุคคลครบถ้วนแล้ว เพื่อให้ผู้ประมวลผลข้อมูลสามารถทำการประมวลผลข้อมูลส่วนบุคคลซึ่งได้รับจากผู้ควบคุมข้อมูลได้โดยชอบด้วยกฎหมายคุ้มครองข้อมูลส่วนบุคคลและเป็นไปตามวัตถุประสงค์ที่กำหนดไว้ในสัญญาหลัก
2.3 ผู้ควบคุมข้อมูลตกลงปฏิบัติตามคำแนะนำอันชอบด้วยเหตุผลของผู้ประมวลผลข้อมูล เพื่อเอื้ออำนวยให้ผู้ประมวลผลข้อมูลและผู้ควบคุมข้อมูลสามารถปฏิบัติหน้าที่ความรับผิดชอบของตนได้อย่างเพียงพอในฐานะผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลได้ครบถ้วนทุกประการด้วย
2.4 กรณีที่การเปิดเผยข้อมูลส่วนบุคคลต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ผู้ควบคุมข้อมูลต้องจัดเก็บหลักฐานในการให้ความยินยอมของเจ้าของข้อมูลส่วนบุคคลไว้จนกว่าจะครบระยะเวลาสัญญาหลัก หรือจนกว่าวันที่เจ้าของข้อมูลส่วนบุคคลได้เพิกถอนการให้ความยินยอมนั้น (แล้วแต่เหตุการณ์ใดจะเกิดขึ้นก่อน) และเมื่อผู้ประมวลผลข้อมูลขอตรวจสอบ และ/หรือ ขอสำเนาหลักฐานในการให้ความยินยอมดังกล่าว ผู้ควบคุมข้อมูลจะดำเนินการตามที่ผู้ประมวลผลข้อมูลร้องขอทันที
ทั้งนี้ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลต้องการเพิกถอนการให้ความยินยอมที่เคยให้ไว้ ผู้ควบคุมข้อมูลต้องมีช่องทางที่ให้เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อเพื่อขอเพิกถอนการให้ความยินยอมได้อย่างสะดวก และต้องแจ้งให้ผู้ประมวลผลข้อมูลทราบถึงการเพิกถอนการให้ความยินยอมดังกล่าวทันที
2.5 ผู้ควบคุมข้อมูลตกลงให้คำรับรอง ยืนยัน และต้องดำเนินการให้ผู้ประมวลผลข้อมูลมั่นใจได้ว่า ผู้ควบคุมข้อมูลมีสิทธิเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลได้โดยชอบด้วยกฎหมาย และไม่ได้อยู่ภายใต้บังคับแห่งข้อจำกัดหรือข้อห้ามใด ๆ ซึ่งจะเป็นการห้ามหรือจำกัดมิให้ผู้ควบคุมข้อมูล (และ/หรือผู้ที่ได้รับโอนข้อมูลส่วนบุคคลจากผู้ควบคุมข้อมูล) ดำเนินการประมวลผลข้อมูลส่วนบุคคลหรือเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลตามภาระหน้าที่ของผู้ควบคุมข้อมูลภายใต้สัญญาฉบับนี้ และ/หรือ สัญญาหลัก
2.6 ผู้ควบคุมข้อมูลตกลงให้คำรับรองและยืนยันว่า ข้อมูลส่วนบุคคลที่เปิดเผยให้ผู้ประมวลผลข้อมูลเป็นข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลได้รับจากเจ้าของข้อมูลส่วนบุคคลโดยตรง และ/หรือ ที่มีอยู่กับผู้ควบคุมข้อมูล โดยผู้ควบคุมข้อมูลไม่ได้ทำการเปลี่ยนแปลง แก้ไข และ/หรือ ทำการใดๆ ให้ข้อมูลดังกล่าวเปลี่ยนแปลงไปจากข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลได้รับมาจากเจ้าของข้อมูลส่วนบุคคล และ/หรือ ที่มีอยู่กับผู้ควบคุมข้อมูล แต่อย่างใดทั้งสิ้น
2.7 ในกรณีที่เจ้าของข้อมูลส่วนบุคคลขอใช้สิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือเกิดข้อโต้แย้ง ข้อเรียกร้อง ข้อร้องเรียน และ/หรือ คดีความที่เกิดจากการดำเนินการตามสัญญาฉบับนี้ ไม่ว่าเกิดจากเจ้าของข้อมูลส่วนบุคคล หรือหน่วยงานของรัฐ หรือบุคคลอื่นใด (ซึ่งต่อไปนี้จะรวมเรียกว่า “ข้อพิพาท”) ผู้ควบคุมข้อมูลต้องให้ความร่วมมือกับผู้ประมวลผลข้อมูลในการดำเนินการใดๆ ด้วยค่าใช้จ่ายของตน เพื่อการปฏิบัติให้เป็นไปตามสิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และ/หรือ เพื่อระงับข้อพิพาทนั้นโดยเร็ว โดยผู้ควบคุมข้อมูลจะไม่อ้างเหตุใด ๆ ขึ้นเพื่อปฏิเสธการให้ความร่วมมือดังกล่าว
2.8 หากมีข้อร้องเรียนจากเจ้าของข้อมูลส่วนบุคคลเกี่ยวกับเหตุละเมิดข้อมูลส่วนบุคคล หรือหากมีเหตุละเมิดข้อมูลส่วนบุคคลเกิดขึ้น (รวมถึงกรณีมีข้อสงสัยว่าจะเกิดเหตุละเมิดข้อมูลส่วนบุคคล) เกี่ยวกับข้อมูลส่วนบุคคลที่มีการเปิดเผยตามสัญญาฉบับนี้ และ/หรือ สัญญาหลัก ผู้ควบคุมข้อมูลต้องให้ความร่วมมือกับผู้ประมวลผลข้อมูลในการจัดการกับข้อร้องเรียน และ/หรือ เหตุละเมิดข้อมูลส่วนบุคคลนั้น เพื่อป้องกันไม่ให้เกิดผลร้ายมากขึ้น และจะปฏิบัติหน้าที่ในส่วนของตนเกี่ยวกับการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลด้วย
ข้อ 3. หน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล
ผู้ประมวลผลข้อมูลส่วนบุคคลตกลงดำเนินการและให้คำรับรองต่อผู้ควบคุมข้อมูลดังต่อไปนี้
3.1 การประมวลผลข้อมูลส่วนบุคคลตามสัญญาประมวลผลข้อมูลส่วนบุคคลฉบับนี้ จะต้องเป็นไปโดยมีวัตถุประสงค์โดยตรงเพื่อการปฏิบัติตามหน้าที่ที่กำหนดไว้ในสัญญาหลัก หรือเพื่อประโยชน์ของผู้ควบคุมข้อมูลส่วนบุคคลตามสัญญาหลัก หรือตามที่ผู้ควบคุมข้อมูลส่วนบุคคลมีคำสั่งเป็นลายลักษณ์อักษรเท่านั้น
3.2 ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องจำกัดการเข้าถึงข้อมูลส่วนบุคคล โดยอนุญาตให้เข้าถึงได้เฉพาะพนักงาน ลูกจ้าง ตัวแทน ผู้รับจ้างของผู้ประมวลผลข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคลอีกทอดหนึ่ง หรือบุคคลอื่นใด ซึ่งบุคคลทั้งหมดที่กล่าวมานั้นเกี่ยวข้องกับการดำเนินการตามสัญญาหลักและมีความจำเป็นต้องเข้าถึงข้อมูลส่วนบุคคลเท่านั้น ทั้งนี้ ในกรณีที่ผู้ประมวลผลข้อมูลส่วนบุคคลประสงค์จะเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลส่วนบุคคลอีกทอดหนึ่ง ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบล่วงหน้าและได้รับความยินยอมจากผู้ควบคุมข้อมูลส่วนบุคคลเป็นลายลักษณ์อักษร
3.3 ผู้ประมวลผลข้อมูลส่วนบุคคลตกลงจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด
3.4 การประมวลผลข้อมูลส่วนบุคคลจะต้องเกิดขึ้นภายในราชอาณาจักรไทยเท่านั้น เว้นแต่จะได้รับความยินยอมเป็นอย่างอื่นจากผู้ควบคุมข้อมูลส่วนบุคคลเป็นลายลักษณ์อักษร หรือในสัญญาได้ระบุไว้อย่างชัดเจนแล้วว่าการประมวลผลข้อมูลส่วนบุคคลเกิดขึ้นในต่างประเทศ
อย่างไรก็ตาม ในกรณีที่มีการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศหรือประมวลผลข้อมูลส่วนบุคคลในต่างประเทศภายใต้ความยินยอมของผู้ควบคุมข้อมูลส่วนบุคคลหรือตามสัญญาหลักตามความในวรรคก่อน ผู้ประมวลผลข้อมูลส่วนบุคคลรับรองว่าจะปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลและหลักเกณฑ์ของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
ข้อ 4. มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล
ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องมีและใช้มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมสำหรับการประมวลผลข้อมูลส่วนบุคคล เพื่อป้องกันการละเมิดข้อมูลส่วนบุคคล ซึ่งรวมถึงการดำเนินการดังต่อไปนี้
4.1 ทบทวนมาตรการรักษาความมั่นคงปลอดภัยอย่างสม่ำเสมอเพื่อให้มีประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลมีสิทธิร้องขอให้ผู้ประมวลผลข้อมูลส่วนบุคคลแสดงข้อมูลรายละเอียดเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยเพื่อตรวจสอบตามสมควร
4.2 จัดให้มีขั้นตอนการตรวจสอบเพื่อดำเนินการลบ ทำลาย หรือส่งคืนข้อมูลส่วนบุคคลแก่ผู้ควบคุมข้อมูลส่วนบุคคลเมื่อสิ้นสุดกำหนดระยะเวลาการดำเนินการตามสัญญาหลักแต่ละฉบับ หรือที่ไม่เกี่ยวข้อง หรือเกินความจำเป็นในการดำเนินการตามสัญญาหลักแต่ละฉบับ หรือตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคล
4.3 ตรวจสอบการดำเนินงานของลูกจ้าง พนักงาน ผู้รับจ้างของผู้ประมวลผลข้อมูลส่วนบุคคล และผู้ประมวลผลข้อมูลส่วนบุคคลอีกทอดหนึ่ง เกี่ยวกับการเก็บรักษา ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อให้เป็นไปตามสัญญาประมวลผลข้อมูลส่วนบุคคลฉบับนี้ และตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
4.4 ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องแจ้งให้ผู้ควบคุมข้อมูลทราบทันทีหากเกิดข้อร้องเรียน ข้อโต้แย้งหรือข้อพิพาท ซึ่งเกี่ยวกับมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของผู้ประมวลผลข้อมูลส่วนบุคคล หรือบุคคลอื่นใดซึ่งอยู่ในความรับผิดชอบของผู้ประมวลผลข้อมูลส่วนบุคคลตามสัญญาประมวลผลข้อมูลส่วนบุคคลฉบับนี้ รวมถึงแต่ไม่จำกัดเพียงผู้ประมวลผลข้อมูลส่วนบุคคลอีกทอดหนึ่ง
ข้อ 5. การละเมิดข้อมูลส่วนบุคคล
5.1 ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบทันทีหากเกิดหรือสงสัยว่าจะเกิดการละเมิดข้อมูลส่วนบุคคล พร้อมทั้งรายละเอียดเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลซึ่งรวมถึง
(1) ลักษณะของการละเมิดข้อมูลส่วนบุคคล ประเภทและจำนวนของเจ้าของข้อมูลส่วนบุคคลที่ถูกละเมิดข้อมูลส่วนบุคคล ตลอดจนบันทึกรายการการประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้อง
(2) ชื่อและวิธีติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลหรือผู้รับผิดชอบของผู้ประมวลผลข้อมูลส่วนบุคคลที่สามารถให้รายละเอียดเกี่ยวกับการละเมิดข้อมูลส่วนบุคคล
(3) คำอธิบายเกี่ยวกับลำดับเหตุการณ์และสาเหตุแห่งการละเมิดข้อมูลส่วนบุคคล
5.2 ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบทันทีหากได้รับคำสั่งให้ดำเนินการใด ๆ ที่ผู้ประมวลผลข้อมูลส่วนบุคคลเห็นว่าขัดต่อกฎหมายคุ้มครองข้อมูลส่วนบุคคล หรือกฎหมายอื่นใดที่เกี่ยวข้อง หรือสัญญาประมวลผลข้อมูลส่วนบุคคลฉบับนี้ โดยจะต้องไม่ดำเนินการตามคำสั่งเหล่านั้นจนกว่าจะได้รับการยืนยันหรือคำสั่งจากผู้ควบคุมข้อมูลส่วนบุคคล
ข้อ 6. การปฏิบัติเมื่อมีคำร้องขอจากเจ้าของข้อมูลส่วนบุคคลหรือคำสั่งจากหน่วยงานทางการ
6.1 ในกรณีที่ผู้ประมวลผลข้อมูลส่วนบุคคลได้รับการร้องขอหรือการติดต่อจากเจ้าของข้อมูลส่วนบุคคลเพื่อขอใช้สิทธิ์ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคล อาทิ การขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคลเกี่ยวกับตน การคัดค้านการประมวลผลข้อมูลส่วนบุคคล การขอให้ลบหรือทำลายข้อมูลส่วนบุคคล การขอให้ระงับการใช้ข้อมูลส่วนบุคคล หรือเรื่องอื่นใดที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลดังกล่าว ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องดำเนินการดังนี้
(1) แจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบทันทีถึงการร้องขอของเจ้าของข้อมูลส่วนบุคคล พร้อมรายละเอียดเกี่ยวกับการร้องขอของเจ้าของข้อมูลส่วนบุคคล ตลอดจนข้อมูลอื่นใดที่เกี่ยวข้องตามที่ผู้ควบคุมข้อมูลส่วนบุคคลร้องขอตามสมควร ทั้งนี้ ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องไม่ตอบสนองคำร้องขอดังกล่าว เว้นแต่จะได้รับอนุญาตเป็นลายลักษณ์อักษรจากผู้ควบคุมข้อมูลส่วนบุคคล
(2) ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลนั้นทราบถึงข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อผู้ควบคุมข้อมูลส่วนบุคคล และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล ตามที่ผู้ควบคุมข้อมูลส่วนบุคคลกำหนด เพื่อการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
(3) ให้ความร่วมมือและความช่วยเหลือแก่ผู้ควบคุมข้อมูลส่วนบุคคลในการตอบสนองหรือดำเนินการใด ๆ ตามคำร้องขอดังกล่าว
6.2 ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องแจ้งให้ผู้ควบคุมข้อมูลส่วนบุคคลทราบทันทีก่อนการดำเนินการใด ๆ หากมีคำสั่งหรือคำร้องขอจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือหน่วยงานทางการอื่นใด ให้เปิดเผยข้อมูลส่วนบุคคล หรือรายการการประมวลผลข้อมูลส่วนบุคคล หรือมีคำสั่งให้ดำเนินการหรือระงับการดำเนินการใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล หรือการประมวลผลข้อมูลส่วนบุคคล หรือเป็นคำสั่งที่มีผลกระทบต่อการประมวลผลข้อมูลส่วนบุคคล
ข้อ 7. ข้อตกลงอื่น ๆ
7.1 ผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องลบหรือทำลายข้อมูลส่วนบุคคล เมื่อพ้นกำหนดระยะเวลาการดำเนินการตามสัญญาหลักแต่ละฉบับ หรือเมื่อสิ้นสุดอายุของสัญญาหลักแต่ละฉบับ หรือตามคำสั่งของผู้ควบคุมข้อมูลส่วนบุคคล
7.2 ผู้ประมวลผลข้อมูลส่วนบุคคลตกลงให้ผู้ควบคุมข้อมูลส่วนบุคคลเข้าถึงเอกสารหรือข้อมูลที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลตามสัญญาหลักแต่ละฉบับ เพื่อการตรวจสอบหรือประเมินความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ตามที่ผู้ควบคุมข้อมูลส่วนบุคคลจะแจ้งให้ผู้ประมวลผลข้อมูลส่วนบุคคลทราบล่วงหน้าเป็นลายลักษณ์อักษร
7.3 นอกเหนือจากที่กำหนดไว้ในสัญญาประมวลผลข้อมูลส่วนบุคคลฉบับนี้ ผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลจะต้องปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลและกฎหมายอื่นใดที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลอย่างเคร่งครัด โดยคู่สัญญามีสิทธิแก้ไขเพิ่มเติมเงื่อนไขในสัญญาประมวลผลข้อมูลส่วนบุคคลฉบับนี้เพื่อให้สอดคล้องกับกฎหมาย แนวนโยบาย และข้อกำหนดดังกล่าว
ข้อ 8. ความรับผิดและการชดใช้ความเสียหาย
ในกรณีที่คู่สัญญาไม่ปฏิบัติตามสัญญาฉบับนี้ข้อหนึ่งข้อใด ถือเป็นเหตุให้คู่สัญญาอีกฝ่ายมีสิทธิบอกเลิกสัญญาฉบับนี้และสัญญาหลักได้ทันที หากคู่สัญญาฝ่ายหนึ่งฝ่ายใดหรือเจ้าของข้อมูลส่วนบุคคลได้รับความเสียหายจากการที่คู่สัญญาอีกฝ่ายหนึ่งไม่ปฏิบัติตามสัญญาฉบับนี้ข้อหนึ่งข้อใดนั้น คู่สัญญาฝ่ายที่ไม่ปฏิบัติตามสัญญาตกลงจะชดใช้ค่าเสียหายที่เกิดขึ้นตามจริงโดยไม่ยกเหตุใดขึ้นเป็นข้อต่อสู้ เว้นแต่ความเสียหายนั้นเกิดจากเหตุสุดวิสัย หรือเป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ซึ่งปฏิบัติการตามหน้าที่หรือมีอำนาจตามกฎหมาย
ทั้งนี้ ค่าเสียหายหรือค่าสินไหมทดแทนดังกล่าวให้หมายความรวมถึงค่าใช้จ่ายทั้งหมดที่คู่สัญญาฝ่ายที่ได้รับความเสียหายหรือเจ้าของข้อมูลส่วนบุคคลได้ใช้จ่ายไปตามความจำเป็นเพื่อป้องกันความเสียหายที่กำลังจะเกิดขึ้น หรือระงับความเสียหายที่เกิดขึ้นแล้ว ตลอดจนค่าปรับ หรือค่าใช้จ่ายใด ๆ (รวมถึงแต่ไม่จำกัดเพียงค่าธรรมเนียมทนายความหรือค่าใช้จ่ายในการดำเนินคดี) ซึ่งเกิดขึ้นด้วย