ภาคผนวกการประมวลผลข้อมูล

อัปเดตล่าสุด 9 เมษายน 2569

เอกสารเพิ่มเติมเกี่ยวกับการประมวลผลข้อมูล ("DPA") ฉบับนี้เป็นส่วนเสริมของเอกสารเดิม ข้อกำหนดในการให้บริการของ APIANT (ต่อไปนี้เรียกว่า "ข้อตกลง") ระหว่างบริษัท Apiant, Inc. ("APIANT," "เรา," "พวกเรา" หรือ "ของเรา") และลูกค้า ("ลูกค้า," "คุณ" หรือ "ของคุณ") และควบคุมการประมวลผลข้อมูลส่วนบุคคลโดย APIANT ในนามของลูกค้าที่เกี่ยวข้องกับบริการ รวมถึงข้อมูลที่ประมวลผลผ่านโครงสร้างพื้นฐานเซิร์ฟเวอร์ MCP (Model Context Protocol) ของลูกค้า

ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลฉบับนี้มีผลบังคับใช้ในขอบเขตที่ APIANT ประมวลผลข้อมูลส่วนบุคคลในนามของลูกค้าในฐานะผู้ประมวลผลข้อมูล (หรือผู้ให้บริการ แล้วแต่กรณีภายใต้กฎหมายคุ้มครองความเป็นส่วนตัวของรัฐในสหรัฐอเมริกา) ในกรณีที่มีข้อขัดแย้งระหว่างข้อตกลงการประมวลผลข้อมูลส่วนบุคคลฉบับนี้กับข้อตกลงหลัก ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลฉบับนี้จะมีผลบังคับใช้เหนือกว่าในส่วนที่เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล

1. คำจำกัดความ

"ข้อมูลส่วนบุคคล" หมายถึง ข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้ ซึ่ง APIANT ประมวลผลในนามของลูกค้าผ่านทางบริการต่างๆ

"กำลังประมวลผล" หมายถึง การดำเนินการใดๆ ที่กระทำต่อข้อมูลส่วนบุคคล รวมถึงการรวบรวม การบันทึก การจัดระเบียบ การจัดเก็บ การปรับเปลี่ยน การเรียกค้น การปรึกษา การใช้งาน การเปิดเผย การรวม การจำกัด การลบ หรือการทำลาย

"โปรเซสเซอร์ย่อย" หมายถึงบุคคลที่สามใดๆ ที่ APIANT ว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคลในนามของลูกค้า

"กฎหมายคุ้มครองข้อมูลส่วนบุคคล" หมายถึงกฎหมายและข้อบังคับที่เกี่ยวข้องทั้งหมดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการปกป้องข้อมูล รวมถึงระเบียบการคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป (GDPR) GDPR ของสหราชอาณาจักร พระราชบัญญัติคุ้มครองความเป็นส่วนตัวของผู้บริโภคแห่งแคลิฟอร์เนีย (CCPA) ที่แก้ไขเพิ่มเติมโดยพระราชบัญญัติสิทธิความเป็นส่วนตัวแห่งแคลิฟอร์เนีย (CPRA) พระราชบัญญัติคุ้มครองข้อมูลผู้บริโภคแห่งเวอร์จิเนีย (VCDPA) และกฎหมายความเป็นส่วนตัวของรัฐอื่นๆ ในสหรัฐอเมริกาที่เกี่ยวข้อง

"โครงสร้างพื้นฐานเซิร์ฟเวอร์ MCP" หมายถึงเซิร์ฟเวอร์ที่เข้ากันได้กับ MCP ซึ่งลูกค้าติดตั้งใช้งานบนโครงสร้างพื้นฐาน APIANT เฉพาะของลูกค้า (รวมถึงชื่อโดเมนของลูกค้าเอง) ซึ่งผู้ใช้ปลายทางของลูกค้าสามารถโต้ตอบกับแพลตฟอร์มผ่านแพลตฟอร์ม AI ของบุคคลที่สามได้

2. ขอบเขตและบทบาท

2.1 ในส่วนที่เกี่ยวข้องกับข้อมูลส่วนบุคคลที่ได้รับการประมวลผลผ่านบริการ ลูกค้าเป็นผู้ควบคุมข้อมูล (หรือธุรกิจ แล้วแต่กรณี) และ APIANT เป็นผู้ประมวลผลข้อมูล (หรือผู้ให้บริการ แล้วแต่กรณี)

2.2 APIANT ประมวลผลข้อมูลส่วนบุคคลเฉพาะในนามและตามคำแนะนำที่เป็นลายลักษณ์อักษรของลูกค้าเท่านั้น การใช้งานบริการของลูกค้า รวมถึงการกำหนดค่าระบบอัตโนมัติและข้อมูลที่ประมวลผลผ่านโครงสร้างพื้นฐานเซิร์ฟเวอร์ MCP ของลูกค้า ถือเป็นคำแนะนำที่เป็นลายลักษณ์อักษรสำหรับวัตถุประสงค์ของข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้

2.3 APIANT จะไม่ประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นใดนอกเหนือจากการให้บริการ เว้นแต่กฎหมายที่เกี่ยวข้องจะกำหนดให้ต้องกระทำเช่นนั้น ในกรณีดังกล่าว APIANT จะแจ้งให้ลูกค้าทราบถึงข้อกำหนดทางกฎหมายนั้นก่อนทำการประมวลผล เว้นแต่กฎหมายจะห้ามการแจ้งดังกล่าว

3. ประเภทของข้อมูลที่ประมวลผล

3.1 บริการแพลตฟอร์ม

เมื่อลูกค้าใช้งานแพลตฟอร์มโดยตรง APIANT อาจประมวลผลข้อมูลส่วนบุคคลในหมวดหมู่ต่อไปนี้ ตามที่กำหนดไว้ในการตั้งค่าของลูกค้า:

ข้อมูลติดต่อ (ชื่อ ที่อยู่อีเมล หมายเลขโทรศัพท์)
ข้อมูลประจำตัวบัญชีและโทเค็นการตรวจสอบสิทธิ์
ข้อมูลทางธุรกิจที่ส่งผ่านระหว่างแอปพลิเคชันของบุคคลที่สาม
ข้อมูลอื่นใดที่ลูกค้าเลือกที่จะประมวลผลผ่านแพลตฟอร์ม

3.2 โครงสร้างพื้นฐานเซิร์ฟเวอร์ MCP

เมื่อมีการประมวลผลข้อมูลผ่านโครงสร้างพื้นฐานเซิร์ฟเวอร์ MCP ของลูกค้า APIANT (ในฐานะผู้ให้บริการแพลตฟอร์มพื้นฐาน) อาจดำเนินการดังต่อไปนี้:

ข้อมูลประจำตัวการตรวจสอบสิทธิ์ (เช่น โทเค็น OAuth 2.0) ที่ใช้ในการตรวจสอบตัวตนและอนุญาตการเข้าถึงเซิร์ฟเวอร์ MCP ของลูกค้า
พารามิเตอร์การเรียกใช้เครื่องมือ: ข้อมูลป้อนเข้าที่มีโครงสร้างซึ่งส่งโดยแพลตฟอร์ม AI ไปยังเซิร์ฟเวอร์ MCP ของลูกค้าเพื่อดำเนินการตามคำขอ
การตอบสนองการเรียกใช้เครื่องมือ: ผลลัพธ์ที่ส่งกลับมาจากเซิร์ฟเวอร์ MCP ของลูกค้าไปยังแพลตฟอร์ม AI

APIANT ทำ ไม่ รับหรือประมวลผลข้อความทั้งหมดของการสนทนาระหว่างผู้ใช้ปลายทางกับแพลตฟอร์ม AI โดยจะประมวลผลเฉพาะข้อมูลการเรียกใช้เครื่องมือที่มีโครงสร้างซึ่งจำเป็นต่อการดำเนินการตามคำขอเท่านั้น บนเซิร์ฟเวอร์ที่ขับเคลื่อนด้วย APIANT ของลูกค้า

4. การเก็บรักษาและการลบข้อมูล

4.1 APIANT จะเก็บรักษาข้อมูลส่วนบุคคลที่ประมวลผลผ่านบริการต่างๆ ตลอดระยะเวลาของข้อตกลง เว้นแต่ลูกค้าจะร้องขอให้ลบข้อมูลก่อนหน้านั้น

4.2 สำหรับข้อมูลที่ประมวลผลผ่านโครงสร้างพื้นฐานเซิร์ฟเวอร์ MCP โดยเฉพาะ:

โทเค็นการตรวจสอบสิทธิ์ ข้อมูลจะถูกเก็บไว้ในหน่วยความจำตลอดระยะเวลาของเซสชัน และจะไม่คงอยู่หลังจากตัดการเชื่อมต่อ
บันทึกการเรียกใช้เครื่องมือ (พารามิเตอร์และการตอบสนอง) อาจถูกเก็บรักษาไว้ได้นานถึงเก้าสิบ (90) วันเพื่อวัตถุประสงค์ในการดีบักและการดำเนินงาน หลังจากนั้นจะถูกลบออกโดยอัตโนมัติ
ไม่มีโปรไฟล์ผู้ใช้ สร้างขึ้นจากข้อมูลการโต้ตอบของ MCP

4.3 ภายในสามสิบ (30) วันนับจากวันที่สัญญาหมดอายุหรือสิ้นสุดลง APIANT จะลบหรือส่งคืนข้อมูลส่วนบุคคลทั้งหมดที่อยู่ในความครอบครองหรือการควบคุมของตน เว้นแต่ในกรณีที่กฎหมายที่เกี่ยวข้องกำหนดให้ต้องเก็บรักษาไว้

4.4 ลูกค้าสามารถขอให้ลบข้อมูลส่วนบุคคลได้ตลอดเวลาโดยติดต่อ... privacy@apiant.comAPIANT จะปฏิบัติตามคำขอดังกล่าวภายในสามสิบ (30) วัน โดยขึ้นอยู่กับข้อผูกพันการเก็บรักษาตามกฎหมาย

5. ไม่มีการฝึกอบรมเกี่ยวกับข้อมูลลูกค้า

APIANT ทำ ไม่ ห้ามใช้ข้อมูลส่วนบุคคล ข้อมูลผู้ใช้ พารามิเตอร์การเรียกใช้เครื่องมือ การตอบสนองการเรียกใช้เครื่องมือ หรือข้อมูลลูกค้าอื่นใดในการฝึกฝนโมเดลปัญญาประดิษฐ์ โมเดลการเรียนรู้ของเครื่อง หรือระบบการตัดสินใจอัตโนมัติทุกรูปแบบ ซึ่งรวมถึงข้อมูลทั้งหมดที่ประมวลผลผ่านแพลตฟอร์ม โครงสร้างพื้นฐานเซิร์ฟเวอร์ MCP และส่วนประกอบอื่น ๆ ของบริการ

6. หน่วยประมวลผลย่อย

6.1 ลูกค้าอนุญาตให้ APIANT ว่าจ้างผู้ประมวลผลย่อยต่อไปนี้เพื่อช่วยในการให้บริการ:

โปรเซสเซอร์ย่อย	วัตถุประสงค์	ที่ตั้ง
บริการเว็บอเมซอน (AWS)	โครงสร้างพื้นฐานและบริการโฮสติ้งบนคลาวด์	สหรัฐอเมริกา
หยิก	การประมวลผลใบแจ้งหนี้และการชำระเงิน	สหรัฐอเมริกา
Google (Google Analytics)	การวิเคราะห์เว็บไซต์	สหรัฐอเมริกา
ฮับสปอต	การบริหารความสัมพันธ์กับลูกค้าและการสื่อสาร	สหรัฐอเมริกา
สมาร์ทลุค	การบันทึกเซสชันและการวิเคราะห์ประสบการณ์ผู้ใช้ (เฉพาะเว็บไซต์ ไม่รวมข้อมูลแพลตฟอร์ม)	สหภาพยุโรป (สาธารณรัฐเช็ก)
สปลันค์	การตรวจสอบและบันทึกประสิทธิภาพของแพลตฟอร์ม	สหรัฐอเมริกา

6.2 APIANT จะแจ้งให้ลูกค้าทราบถึงการเปลี่ยนแปลงใดๆ ที่เกิดขึ้นกับผู้ประมวลผลข้อมูลย่อยโดยการปรับปรุงข้อตกลงการประมวลผลข้อมูลนี้ ลูกค้าสามารถคัดค้านผู้ประมวลผลข้อมูลย่อยรายใหม่ได้โดยการติดต่อ legal@apiant.com ภายในสามสิบ (30) วันนับจากวันที่ได้รับแจ้ง

6.3 APIANT จะต้องทำข้อตกลงเป็นลายลักษณ์อักษรกับผู้ประมวลผลข้อมูลย่อยแต่ละราย โดยกำหนดข้อผูกพันด้านการคุ้มครองข้อมูลที่ไม่น้อยไปกว่าที่กำหนดไว้ในข้อตกลงการประมวลผลข้อมูลฉบับนี้

7. มาตรการรักษาความปลอดภัย

APIANT ดำเนินการและรักษามาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคล ซึ่งรวมถึง:

การเข้ารหัสระหว่างการส่งข้อมูล: ข้อมูลทั้งหมดที่ส่งไปยังและจากเซิร์ฟเวอร์ของ APIANT รวมถึงการสื่อสารกับเซิร์ฟเวอร์ MCP จะถูกเข้ารหัสโดยใช้ HTTPS/TLS
การเข้ารหัสขณะจัดเก็บข้อมูล: ข้อมูลส่วนบุคคลที่จัดเก็บไว้ในโครงสร้างพื้นฐานของ APIANT จะถูกเข้ารหัสขณะจัดเก็บโดยใช้การเข้ารหัสตามมาตรฐานอุตสาหกรรม
การควบคุมการเข้าถึง: การเข้าถึงข้อมูลส่วนบุคคลถูกจำกัดเฉพาะบุคลากรที่ได้รับอนุญาตและตามหลักการ "จำเป็นต้องรู้" เท่านั้น
การตรวจสอบสิทธิ์: แพลตฟอร์มนี้ต้องการการเข้าถึงที่ผ่านการตรวจสอบสิทธิ์ โครงสร้างพื้นฐานเซิร์ฟเวอร์ MCP ต้องการการตรวจสอบสิทธิ์ OAuth 2.0 หรือเทียบเท่า
การติดตามตรวจสอบ: APIANT ตรวจสอบระบบของตนเพื่อตรวจจับเหตุการณ์ด้านความปลอดภัยและการเข้าถึงที่ไม่ได้รับอนุญาต
การตอบสนองต่อเหตุการณ์: APIANT มีกระบวนการตอบสนองต่อเหตุการณ์ และจะแจ้งให้ลูกค้าทราบโดยไม่ชักช้า (และในทุกกรณีภายใน 72 ชั่วโมง) เมื่อทราบถึงการละเมิดข้อมูลส่วนบุคคล
โครงสร้างพื้นฐาน: แพลตฟอร์มนี้ทำงานอยู่บนโครงสร้างพื้นฐานของ Amazon Web Services (AWS) ซึ่งได้รับการรับรองมาตรฐาน SOC 2, ISO 27001 และมาตรฐานอุตสาหกรรมอื่นๆ

8. สิทธิของเจ้าของข้อมูล

8.1 APIANT จะให้ความช่วยเหลือแก่ลูกค้าในการดำเนินการตามคำขอของเจ้าของข้อมูลภายใต้กฎหมายคุ้มครองข้อมูลที่เกี่ยวข้อง ซึ่งรวมถึงคำขอเข้าถึง แก้ไข ลบ จำกัด โอนย้าย และคัดค้านการประมวลผลข้อมูล

8.2 หาก APIANT ได้รับคำขอโดยตรงจากเจ้าของข้อมูลเกี่ยวกับข้อมูลส่วนบุคคลที่ประมวลผลในนามของลูกค้า APIANT จะส่งต่อคำขอไปยังลูกค้าโดยทันทีและแจ้งให้ลูกค้าทราบถึงคำขอนั้น เว้นแต่จะถูกห้ามโดยกฎหมาย

8.3 APIANT จะให้ความร่วมมือและช่วยเหลือลูกค้าอย่างเหมาะสมในการตอบสนองต่อคำขอของเจ้าของข้อมูล โดยคำนึงถึงลักษณะของการประมวลผลข้อมูลด้วย

9. การโอนย้ายข้อมูลระหว่างประเทศ

9.1 โครงสร้างพื้นฐานหลักของ APIANT ตั้งอยู่ในสหรัฐอเมริกา การใช้บริการนี้ ลูกค้ายินยอมให้มีการโอนข้อมูลส่วนบุคคลไปยังสหรัฐอเมริกา

9.2 ในกรณีที่การโอนข้อมูลส่วนบุคคลจากเขตเศรษฐกิจยุโรป (EEA) สหราชอาณาจักร หรือสวิตเซอร์แลนด์ไปยังสหรัฐอเมริกา ถือเป็นการโอนข้อมูลที่ถูกจำกัดภายใต้กฎหมายคุ้มครองข้อมูลที่บังคับใช้ การโอนดังกล่าวจะต้องอยู่ภายใต้ข้อกำหนดสัญญามาตรฐาน (SCCs) ที่คณะกรรมาธิการยุโรปได้กำหนดไว้ (โมดูลที่สอง: จากผู้ควบคุมข้อมูลไปยังผู้ประมวลผลข้อมูล) ซึ่งได้รวมไว้ในเอกสารนี้โดยการอ้างอิง

9.3 ลูกค้าสามารถขอรับสำเนาวิธีการโอนเงินที่เกี่ยวข้องได้โดยติดต่อ... legal@apiant.com.

10. การปฏิบัติตามกฎหมาย CCPA และกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐในสหรัฐอเมริกา

10.1 ในกรณีที่ APIANT ประมวลผลข้อมูลส่วนบุคคลที่อยู่ภายใต้ CCPA หรือกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐอื่นๆ ในสหรัฐอเมริกา APIANT จะทำหน้าที่เป็น "ผู้ให้บริการ" (ตามที่กำหนดไว้ใน CCPA) หรือบทบาทที่เทียบเท่ากันภายใต้กฎหมายของรัฐที่เกี่ยวข้อง

10.2 APIANT จะไม่ขายหรือแบ่งปันข้อมูลส่วนบุคคล (ตามที่กำหนดไว้ใน CCPA) ที่ได้รับจากลูกค้า

10.3 APIANT จะไม่เก็บรักษา ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นใดนอกเหนือจากการให้บริการ รวมถึงวัตถุประสงค์เชิงพาณิชย์ใดๆ นอกเหนือจากการให้บริการ

10.4 APIANT จะไม่นำข้อมูลส่วนบุคคลที่ได้รับจากลูกค้าไปรวมกับข้อมูลส่วนบุคคลที่ได้รับจากแหล่งอื่น เว้นแต่จะได้รับอนุญาตตามกฎหมายที่เกี่ยวข้องเพื่อให้บริการ

10.5 APIANT รับรองว่าเข้าใจและจะปฏิบัติตามข้อจำกัดที่กำหนดไว้ในมาตรา 10 นี้

11. การตรวจสอบบัญชี

11.1 APIANT จะจัดหาข้อมูลที่จำเป็นเพื่อแสดงให้เห็นถึงการปฏิบัติตามข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ให้แก่ลูกค้าตามคำขอที่สมเหตุสมผล และไม่เกินหนึ่งครั้งต่อช่วงเวลาสิบสอง (12) เดือน

11.2 ลูกค้าอาจทำการตรวจสอบกิจกรรมการประมวลผลข้อมูลของ APIANT หรือแต่งตั้งผู้ตรวจสอบบุคคลที่สามที่มีคุณสมบัติเหมาะสมให้ทำการตรวจสอบดังกล่าว โดยแจ้งเป็นลายลักษณ์อักษรล่วงหน้าสามสิบ (30) วัน การตรวจสอบดังกล่าวจะต้องดำเนินการในช่วงเวลาทำการปกติและจะต้องไม่รบกวนการดำเนินงานของ APIANT อย่างไม่สมเหตุสมผล ลูกค้าจะต้องรับผิดชอบค่าใช้จ่ายในการตรวจสอบดังกล่าว

12. ระยะเวลาและการสิ้นสุดสัญญา

ข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้จะมีผลบังคับใช้ตลอดระยะเวลาของข้อตกลงหลัก ภาระผูกพันของ APIANT ภายใต้ข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้เกี่ยวกับข้อมูลส่วนบุคคลที่อยู่ในความครอบครองหรือการควบคุมของ APIANT จะยังคงมีผลต่อไปแม้หลังจากการสิ้นสุดข้อตกลงหลัก จนกว่าข้อมูลส่วนบุคคลทั้งหมดจะถูกลบหรือส่งคืนตามมาตรา 4

13. ติดต่อ

หากมีข้อสงสัยหรือคำขอใด ๆ ที่เกี่ยวข้องกับข้อตกลงการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ โปรดติดต่อ:

บริษัท เอเปียนท์ อิงค์
196 ถนนเวสต์แอชแลนด์ ดอยล์สทาวน์
ดอยล์สทาวน์ รัฐเพนซิลเวเนีย 18901
สหรัฐอเมริกา

อีเมล: privacy@apiant.com
ถูกกฎหมาย: legal@apiant.com