ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล
และการรักษาความลับ (DPA)

ข้อ 1 คู่สัญญาและบทบาท

ข้อตกลงนี้ทำขึ้นระหว่าง ผู้ให้บริการ WeLive ("WeLive" หรือ "ผู้ประมวลผล") กับ เจ้าของหรือผู้มีอำนาจบริหารหอพักที่สร้างหอในระบบ WeLive ("เจ้าของหอ" หรือ "ผู้ควบคุม") เจ้าของหอเป็นผู้ควบคุมข้อมูลส่วนบุคคลของผู้เช่า เป็นผู้กำหนดวัตถุประสงค์และวิธีการ ส่วน WeLive ประมวลผลข้อมูลดังกล่าวในนามและตามคำสั่งของเจ้าของหอเท่านั้น

ข้อ 2 นิยาม

• "ข้อมูลผู้เช่า" หมายถึง ข้อมูลส่วนบุคคลของผู้เช่า ผู้พักอาศัย ผู้ติดต่อฉุกเฉิน และบุคคลอื่นที่เจ้าของหอบันทึกหรือรับเข้ามาในระบบ รวมถึงข้อความ รูปภาพ และไฟล์ที่เกี่ยวข้อง
• "บริการ" หมายถึง ระบบบริหารหอพัก WeLive ตามข้อกำหนดการใช้งาน
• "ข้อมูลลับ" หมายถึง ข้อมูลผู้เช่า ข้อมูลธุรกิจของหอ (รายได้ อัตราค่าเช่า จำนวนห้องว่าง บัญชีรับเงิน) และข้อมูลใด ๆ ที่อีกฝ่ายได้รับจากการให้หรือใช้บริการซึ่งไม่ได้เปิดเผยต่อสาธารณะ
• "ผู้ประมวลผลช่วง" หมายถึง ผู้ให้บริการที่ WeLive ใช้เพื่อให้บริการ ตามรายการในข้อ 7
• คำอื่นมีความหมายตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ("PDPA")

ข้อ 3 ขอบเขตการประมวลผล

ข้อ 4 หน้าที่ของ WeLive ในฐานะผู้ประมวลผล (มาตรา 40)

1. ประมวลผลตามคำสั่งเท่านั้น — ตามข้อตกลงนี้ ข้อกำหนดการใช้งาน และคำสั่งที่เจ้าของหอให้ผ่านการตั้งค่าในระบบหรือเป็นลายลักษณ์อักษร หาก WeLive เห็นว่าคำสั่งใดขัดต่อ PDPA จะแจ้งเจ้าของหอทราบก่อนดำเนินการ
2. ไม่ใช้เพื่อตนเอง — ไม่นำข้อมูลผู้เช่าไปใช้ ขาย ให้เช่า เปิดเผย หรือใช้ฝึกโมเดล AI เพื่อประโยชน์ของ WeLive หรือบุคคลอื่น
3. รักษาความลับ — จำกัดการเข้าถึงเฉพาะบุคลากรที่จำเป็นต่องาน บุคลากรทุกคนผูกพันตามข้อตกลงรักษาความลับเป็นลายลักษณ์อักษร และระบบบันทึกการเข้าถึงไว้ตรวจสอบ
4. มาตรการความมั่นคงปลอดภัย — จัดให้มีมาตรการเชิงองค์กร เทคนิค และกายภาพที่เหมาะสม ตามภาคผนวก ข และทบทวนอย่างน้อยปีละครั้ง
5. ช่วยเหลือเรื่องสิทธิของผู้เช่า — จัดเครื่องมือให้เจ้าของหอดู แก้ไข ส่งออก และลบข้อมูลผู้เช่าได้เองในระบบ หากผู้เช่าส่งคำขอมาที่ WeLive โดยตรง จะส่งต่อให้เจ้าของหอภายใน 3 วันทำการ
6. แจ้งเหตุละเมิด — แจ้งเจ้าของหอภายใน 24 ชั่วโมงนับแต่ทราบเหตุ พร้อมข้อมูลที่จำเป็นต่อการแจ้ง สคส. ภายใน 72 ชั่วโมง และให้ความร่วมมือในการจำกัดความเสียหาย
7. บันทึกรายการ — จัดทำและเก็บบันทึกรายการกิจกรรมการประมวลผลตามมาตรา 40(3) และแสดงให้เจ้าของหอหรือ สคส. ตรวจสอบเมื่อร้องขอ
8. ให้ตรวจสอบ — ตอบแบบสอบถามด้านความปลอดภัยและแสดงหลักฐานการรับรองของผู้ให้บริการช่วงเมื่อเจ้าของหอร้องขอ ปีละไม่เกิน 1 ครั้ง เว้นแต่มีเหตุละเมิด
9. คืนหรือลบเมื่อสิ้นสุด — เมื่อเจ้าของหอปิดหอ ปิดบัญชี หรือสั่งลบ WeLive ให้เจ้าของหอส่งออกข้อมูลเป็น Excel ได้ก่อน แล้วลบข้อมูลผู้เช่าทั้งหมดรวมถึงสำเนาสำรองภายใน 30 วัน และแจ้งยืนยันเป็นลายลักษณ์อักษร เว้นแต่กฎหมายกำหนดให้เก็บ

ข้อ 5 ข้อตกลงรักษาความลับ

1. แต่ละฝ่ายจะเก็บรักษาข้อมูลลับของอีกฝ่ายไว้เป็นความลับ ใช้เพื่อการให้หรือรับบริการเท่านั้น และไม่เปิดเผยต่อบุคคลภายนอก เว้นแต่ได้รับอนุญาตเป็นลายลักษณ์อักษร หรือต้องเปิดเผยตามกฎหมายหรือคำสั่งศาล (ซึ่งจะแจ้งอีกฝ่ายทราบล่วงหน้าเท่าที่กฎหมายอนุญาต)
2. ข้อมูลที่ไม่ถือเป็นข้อมูลลับ: ข้อมูลที่เป็นสาธารณะอยู่แล้วโดยไม่ใช่ความผิดของผู้รับ ข้อมูลที่ผู้รับมีอยู่ก่อนโดยชอบ หรือได้รับจากบุคคลที่สามโดยชอบ — ทั้งนี้ ข้อยกเว้นนี้ไม่ใช้กับข้อมูลส่วนบุคคล
3. หน้าที่รักษาความลับมีผลตลอดอายุข้อตกลงและต่อไปอีก 3 ปีนับแต่สิ้นสุด สำหรับข้อมูลส่วนบุคคล มีผลตราบเท่าที่ข้อมูลยังอยู่ในความครอบครอง
4. WeLive จะไม่เปิดเผยชื่อหอ จำนวนห้อง หรือตัวเลขธุรกิจของหอเพื่อการตลาดของ WeLive เว้นแต่เจ้าของหอยินยอมเป็นลายลักษณ์อักษรเป็นรายกรณี

ข้อ 6 หน้าที่ของเจ้าของหอในฐานะผู้ควบคุม

1. มีฐานทางกฎหมายในการเก็บข้อมูลผู้เช่า (โดยทั่วไปคือสัญญาเช่า) และแจ้งผู้เช่าตามมาตรา 23 ว่าใช้ระบบ WeLive บริหารหอ — ใช้แบบประกาศในภาคผนวก ก ได้
2. ขอความยินยอมผู้เช่าก่อนใช้ฟีเจอร์อ่านบัตรประชาชน และแจ้งให้ปิดทับช่องศาสนาก่อนถ่าย
3. ไม่บันทึกข้อมูลอ่อนไหว (ศาสนา สุขภาพ ประวัติอาชญากรรม ฯลฯ) ในระบบ และบันทึกเฉพาะข้อมูลที่จำเป็นต่อการบริหารหอ
4. รักษารหัสผ่านของตนและแอดมิน ถอดสิทธิ์แอดมินที่พ้นหน้าที่ทันที
5. ตอบคำขอใช้สิทธิของผู้เช่าภายในเวลาที่กฎหมายกำหนด (30 วัน) โดยใช้เครื่องมือในระบบ
6. แจ้ง สคส. ภายใน 72 ชั่วโมงเมื่อเกิดเหตุละเมิดที่มีความเสี่ยง (WeLive จัดเตรียมข้อมูลให้ตามข้อ 4.6)

ข้อ 7 ผู้ประมวลผลช่วง

เจ้าของหออนุญาตให้ WeLive ใช้ผู้ประมวลผลช่วงตามรายการในนโยบายความเป็นส่วนตัว ข้อ 5 (Supabase, Google Cloud, Cloudflare, LINE, Resend และผู้ให้บริการรับชำระเงิน) WeLive ทำสัญญากับผู้ประมวลผลช่วงให้มีหน้าที่คุ้มครองข้อมูลไม่ต่ำกว่าข้อตกลงนี้ และรับผิดต่อเจ้าของหอในการกระทำของผู้ประมวลผลช่วงเสมือนเป็นการกระทำของตน หากจะเพิ่มหรือเปลี่ยนผู้ประมวลผลช่วงที่เข้าถึงข้อมูลผู้เช่า WeLive จะแจ้งล่วงหน้าอย่างน้อย 30 วัน เจ้าของหอที่ไม่เห็นด้วยมีสิทธิยกเลิกบริการและส่งออกข้อมูลก่อนวันมีผล

ข้อ 8 การโอนข้อมูลไปต่างประเทศ

ข้อมูลจัดเก็บบนเซิร์ฟเวอร์ของผู้ประมวลผลช่วงในสิงคโปร์และภูมิภาคเอเชีย ซึ่งมีมาตรการคุ้มครองข้อมูลที่เหมาะสมตามมาตรา 28 (การรับรองมาตรฐานสากลและข้อสัญญามาตรฐานด้านการคุ้มครองข้อมูล) WeLive จะไม่โอนข้อมูลผู้เช่าไปยังประเทศหรือผู้ให้บริการอื่นนอกเหนือจากนี้โดยไม่แจ้งตามข้อ 7

ข้อ 9 ความรับผิด

1. แต่ละฝ่ายรับผิดต่อความเสียหายที่เกิดจากการฝ่าฝืนข้อตกลงนี้หรือ PDPA ในส่วนของตน
2. ความรับผิดรวมของ WeLive ต่อเจ้าของหอภายใต้ข้อตกลงนี้ จำกัดตามข้อกำหนดการใช้งาน เว้นแต่ความเสียหายเกิดจากการจงใจหรือประมาทเลินเล่ออย่างร้ายแรงของ WeLive หรือการเปิดเผยข้อมูลผู้เช่าโดยไม่ชอบ ซึ่งข้อจำกัดนี้ไม่ใช้บังคับ
3. WeLive ไม่รับผิดต่อความเสียหายที่เกิดจากการที่เจ้าของหอหรือแอดมินเปิดเผยรหัสผ่าน ส่งต่อข้อมูลเอง หรือบันทึกข้อมูลโดยไม่มีฐานทางกฎหมาย

ข้อ 10 ระยะเวลาและการสิ้นสุด

ข้อตกลงนี้มีผลตั้งแต่วันที่สร้างหอในระบบ (หรือวันที่ลงนาม แล้วแต่วันใดถึงก่อน) จนกว่าจะปิดหอหรือปิดบัญชี หน้าที่ตามข้อ 4.9 และข้อ 5 ยังคงมีผลต่อไปหลังสิ้นสุด หากข้อตกลงนี้ขัดกับข้อกำหนดการใช้งานในเรื่องข้อมูลส่วนบุคคล ให้ใช้ข้อตกลงนี้

ข้อ 11 กฎหมายที่ใช้บังคับ

ข้อตกลงนี้อยู่ภายใต้กฎหมายไทย ข้อพิพาทให้พยายามเจรจาก่อน หากตกลงกันไม่ได้ให้อยู่ในเขตอำนาจศาลไทย

ภาคผนวก ก — แบบประกาศความเป็นส่วนตัวสำหรับผู้เช่า (เจ้าของหอนำไปใช้ได้เลย)

ภาคผนวก ข — มาตรการรักษาความมั่นคงปลอดภัย