คำแถลงการปฏิบัติตาม GDPR
RIADVICE SUARL (“RIADVICE” หรือ “เรา”) คุ้มครองข้อมูลส่วนบุคคลตามกฎระเบียบทั่วไปว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล (EU) 2016/679 (“GDPR”) และกฎหมายประกอบรัฐธรรมนูญของตูนิเซีย เลขที่ 2004-63 ลงวันที่ 27 กรกฎาคม 2004 ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล คำแถลงนี้อธิบายวิธีที่เราปฏิบัติตาม GDPR เมื่อประมวลผลข้อมูลส่วนบุคคลในนามของลูกค้า สิ่งที่เรารับว่าจะปฏิบัติในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล และวิธีที่เจ้าของข้อมูลส่วนบุคคลสามารถใช้สิทธิของตน คำแถลงนี้ใช้คำนิยามตามข้อกำหนดการใช้งานของเรา และเป็นส่วนเสริมของนโยบายความเป็นส่วนตัวของเรา ซึ่งครอบคลุมการประมวลผลที่ RIADVICE เป็นผู้ควบคุมข้อมูลส่วนบุคคล
1. ขอบเขต
คำแถลงนี้ใช้บังคับกับบริการโฮสติ้งและบริการระดับมืออาชีพที่ RIADVICE ประมวลผลข้อมูลส่วนบุคคลในนามของลูกค้า ในกรณีที่ลูกค้าได้ลงนามในข้อตกลงการประมวลผลข้อมูลส่วนบุคคลกับ RIADVICE ข้อตกลงนั้นมีผลเหนือกว่าคำแถลงนี้ ในกรณีที่ไม่มีการลงนามดังกล่าว พันธกรณีในข้อ 4 ใช้บังคับในฐานะข้อกำหนดการประมวลผลตามที่มาตรา 28 ของ GDPR กำหนด ตามที่ระบุไว้ในข้อ 5 ของข้อกำหนดการใช้งานของเรา
2. บริการของเราและข้อมูลที่เกี่ยวข้อง
RIADVICE ให้บริการโฮสติ้งและบริการแบบมีการจัดการสำหรับ BigBlueButton และสำหรับแอปพลิเคชันอื่นที่องค์กรด้านการศึกษา องค์กรภาครัฐ และองค์กรเชิงพาณิชย์ใช้งาน BigBlueButton ช่วยให้ทำงานร่วมกันได้แบบเรียลไทม์ผ่านเสียง วิดีโอ แชท โพล บันทึกที่แชร์ร่วมกัน ไวต์บอร์ด และการแชร์หน้าจอ เซสชันอาจถูกบันทึกได้ ขึ้นอยู่กับนโยบายและการตั้งค่าของลูกค้า ส่วนเสริมของเราแปลงไฟล์บันทึกเป็นวิดีโอ จัดทำแดชบอร์ดและรายงานการเข้าร่วมและการมีส่วนร่วมจากข้อมูลเซสชัน และกระจายการประชุมไปยังเซิร์ฟเวอร์หลายเครื่อง นอกจากนี้เรายังดำเนินการแอปพลิเคชันให้แก่ลูกค้า เช่น ระบบซิงก์และแชร์ไฟล์ ร้านค้าออนไลน์ และมิดเดิลแวร์สำหรับการส่งอีเมล การคุ้มครองความเป็นส่วนตัวและความปลอดภัยของข้อมูลเหล่านี้เป็นหัวใจของงานของเรา และเรายึดหลักการของ GDPR ได้แก่ ความชอบด้วยกฎหมาย ความเป็นธรรม ความโปร่งใส การจำกัดวัตถุประสงค์ การใช้ข้อมูลเท่าที่จำเป็น ความถูกต้อง การจำกัดระยะเวลาการเก็บรักษา ความครบถ้วนสมบูรณ์ การรักษาความลับ และภาระความรับผิดชอบ
3. บทบาท
- ในกรณีส่วนใหญ่ ลูกค้า เช่น สถาบันการศึกษา ผู้ให้บริการฝึกอบรม หรือบริษัท เป็นผู้ควบคุมข้อมูลส่วนบุคคล และ RIADVICE เป็นผู้ประมวลผลข้อมูลส่วนบุคคลของลูกค้า
- ในกรณีที่ลูกค้าเองทำหน้าที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคลให้แก่องค์กรอื่น เช่น ผู้ให้บริการฝึกอบรมที่ให้บริการแก่ลูกค้าของตน RIADVICE จะทำหน้าที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคลช่วงของลูกค้า
- RIADVICE เป็นผู้ควบคุมข้อมูลส่วนบุคคลเฉพาะสำหรับข้อมูลที่ประมวลผลเพื่อวัตถุประสงค์ของตนเอง เช่น การบริหารจัดการบัญชีลูกค้า การเรียกเก็บเงิน และการสนับสนุน ตามที่อธิบายไว้ในนโยบายความเป็นส่วนตัว
4. พันธกรณีของเราในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล
เมื่อ RIADVICE ประมวลผลข้อมูลส่วนบุคคลในนามของลูกค้า RIADVICE จะ:
- ประมวลผลข้อมูลตามคำสั่งของลูกค้าที่มีการบันทึกไว้เป็นหลักฐานเท่านั้น รวมถึงในเรื่องการโอนข้อมูลระหว่างประเทศ เว้นแต่กฎหมายที่ RIADVICE อยู่ภายใต้บังคับจะกำหนดไว้เป็นอย่างอื่น ซึ่งในกรณีดังกล่าว RIADVICE จะแจ้งให้ลูกค้าทราบก่อนการประมวลผล เว้นแต่กฎหมายนั้นจะห้ามไว้ ข้อกำหนดการใช้งาน เอกสารสั่งซื้อ และการตั้งค่าที่ลูกค้าเลือกในบริการ ถือเป็นคำสั่งของลูกค้า
- แจ้งให้ลูกค้าทราบ หาก RIADVICE เห็นว่าคำสั่งใดฝ่าฝืน GDPR หรือกฎหมายคุ้มครองข้อมูลส่วนบุคคลอื่น
- ดูแลให้บุคคลที่ได้รับอนุญาตให้ประมวลผลข้อมูลผูกพันตามหน้าที่รักษาความลับ
- ใช้มาตรการรักษาความปลอดภัยที่อธิบายไว้ในข้อ 8 ตามมาตรา 32 ของ GDPR
- ใช้ผู้ประมวลผลข้อมูลส่วนบุคคลช่วงภายใต้เงื่อนไขในข้อ 10 เท่านั้น
- ช่วยเหลือลูกค้าในการตอบคำขอจากเจ้าของข้อมูลส่วนบุคคล โดยคำนึงถึงลักษณะของการประมวลผล
- ช่วยเหลือลูกค้าในการปฏิบัติตามหน้าที่ด้านความปลอดภัย การแจ้งเหตุการละเมิด การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล และการปรึกษาหารือล่วงหน้า โดยคำนึงถึงข้อมูลที่ RIADVICE มีอยู่
- เมื่อสิ้นสุดการให้บริการ ลบหรือส่งคืนข้อมูลส่วนบุคคลตามที่ลูกค้าเลือก ตามที่อธิบายไว้ในข้อ 13 เว้นแต่กฎหมายจะกำหนดให้ต้องเก็บรักษาไว้
- จัดให้ลูกค้าได้รับข้อมูลที่จำเป็นเพื่อแสดงการปฏิบัติตามมาตรา 28 ของ GDPR และยินยอมให้มีและมีส่วนร่วมในการตรวจสอบตามที่อธิบายไว้ในข้อ 14
ความช่วยเหลือที่นอกเหนือจากที่ RIADVICE จัดให้เป็นส่วนหนึ่งของบริการมาตรฐาน อาจคิดค่าบริการตามอัตราปัจจุบันของ RIADVICE เว้นแต่ความจำเป็นต้องได้รับความช่วยเหลือดังกล่าวเกิดจากการฝ่าฝืนของ RIADVICE
5. ฐานทางกฎหมายและความยินยอม
ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ลูกค้าเป็นผู้กำหนดฐานทางกฎหมายสำหรับการประมวลผลตามมาตรา 6 ของ GDPR เช่น การปฏิบัติตามสัญญา หน้าที่ตามกฎหมาย การปฏิบัติภารกิจเพื่อประโยชน์สาธารณะ ประโยชน์โดยชอบด้วยกฎหมาย หรือความยินยอม และในกรณีที่จำเป็น เงื่อนไขตามมาตรา 9 ของ GDPR ในกรณีที่ต้องได้รับความยินยอม เช่น สำหรับการบันทึกบางกรณี ลูกค้าเป็นผู้ขอความยินยอม โดยทั่วไปผ่านระบบบริหารจัดการการเรียนรู้หรือแพลตฟอร์มส่วนหน้าอื่นของลูกค้า ลูกค้ายังมีหน้าที่แจ้งผู้เข้าร่วมก่อนที่เซสชันจะถูกบันทึกด้วย BigBlueButton จะแสดงให้ผู้เข้าร่วมทราบเมื่อเซสชันกำลังถูกบันทึก
6. ประเภทของข้อมูลและเจ้าของข้อมูลส่วนบุคคล
ขึ้นอยู่กับบริการและวิธีที่ลูกค้าใช้บริการ เจ้าของข้อมูลส่วนบุคคลรวมถึงพนักงาน ครู นักศึกษา ผู้รับการฝึกอบรม ผู้เข้าร่วม แขก และผู้ติดต่อของลูกค้า ข้อมูลอาจรวมถึง:
- ข้อมูลระบุตัวตน เช่น ชื่อ ชื่อผู้ใช้ อีเมล และตัวระบุผู้ใช้ที่ส่งมาจากแพลตฟอร์มของลูกค้า
- ข้อมูลการเข้าร่วม เช่น เวลาเข้าร่วมและออกจากเซสชัน เวลาพูด เวลาเปิดเว็บแคมและแชร์หน้าจอ กิจกรรมการแชท คำตอบโพล และการแสดงความรู้สึก
- เนื้อหาที่แชร์ระหว่างเซสชัน เช่น เสียง วิดีโอ ข้อความแชท งานนำเสนอ บันทึก คำอธิบายประกอบบนไวต์บอร์ด และไฟล์บันทึก
- ไฟล์ เอกสาร และข้อความที่จัดเก็บในแอปพลิเคชันที่ดำเนินการให้แก่ลูกค้า
- ข้อมูลทางเทคนิค เช่น ที่อยู่ IP ประเภทเบราว์เซอร์และระบบปฏิบัติการ และบันทึกการเชื่อมต่อ
ลูกค้าต้องไม่ใช้บริการเพื่อประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษหรือข้อมูลเกี่ยวกับคำพิพากษาว่ากระทำความผิดทางอาญา เว้นแต่ลูกค้าจะมีฐานทางกฎหมายในการดำเนินการดังกล่าว และได้แจ้งให้ RIADVICE ทราบล่วงหน้าในกรณีที่ต้องใช้มาตรการเฉพาะ
7. การเก็บรักษาข้อมูล
ระยะเวลาการเก็บรักษาข้อมูลกำหนดโดยลูกค้าในฐานะผู้ควบคุมข้อมูลส่วนบุคคล ไฟล์บันทึกและข้อมูลการประชุมจะถูกลบโดยอัตโนมัติเมื่อพ้นระยะเวลาการเก็บรักษาที่ตั้งค่าไว้สำหรับแพลตฟอร์มของลูกค้าหรือที่ระบุไว้ในเอกสารสั่งซื้อ เว้นแต่ลูกค้าจะร้องขอเป็นอย่างอื่นหรือกฎหมายกำหนดให้ต้องเก็บรักษาไว้ บันทึกการทำงานทางเทคนิคจะเก็บไว้เพียงเท่าที่จำเป็นต่อการดำเนินงานและการรักษาความปลอดภัยของบริการเท่านั้น
8. มาตรการรักษาความปลอดภัย
RIADVICE ใช้มาตรการเชิงเทคนิคและเชิงองค์กรที่เหมาะสมกับความเสี่ยง ซึ่งรวมถึง:
- การเข้ารหัสข้อมูลระหว่างการส่งผ่านและการเข้ารหัสข้อมูลอันเป็นความลับ
- การควบคุมการเข้าถึง กลไกการยืนยันตัวตน และการจำกัดการเข้าถึงไว้เฉพาะพนักงานที่ได้รับอนุญาตตามความจำเป็นในการปฏิบัติงาน
- การแยกสภาพแวดล้อมและข้อมูลของลูกค้าแต่ละราย ในกรณีที่การออกแบบบริการรองรับ
- การอัปเดตและแพตช์ความปลอดภัยอย่างสม่ำเสมอ
- การเฝ้าระวังระบบและบริการ
- ขั้นตอนการสำรองและกู้คืนข้อมูล
- การทำความตกลงรักษาความลับ และการฝึกอบรมพนักงานด้านการคุ้มครองข้อมูลส่วนบุคคลและ GDPR
9. การละเมิดข้อมูลส่วนบุคคล
RIADVICE จะแจ้งลูกค้าโดยไม่ชักช้าเกินสมควรหลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคลที่กระทบต่อข้อมูลของลูกค้า การแจ้งดังกล่าวจะอธิบายลักษณะของการละเมิด ประเภทและจำนวนโดยประมาณของเจ้าของข้อมูลส่วนบุคคลและรายการข้อมูลที่เกี่ยวข้อง ผลที่น่าจะเกิดขึ้น และมาตรการที่ได้ดำเนินการหรือเสนอให้ดำเนินการ เท่าที่มีข้อมูล จากนั้น RIADVICE จะให้ข้อมูลเพิ่มเติมเมื่อได้รับข้อมูล และช่วยเหลือลูกค้าในการปฏิบัติตามหน้าที่ของลูกค้าเองในการแจ้งหน่วยงานกำกับดูแล และแจ้งเจ้าของข้อมูลส่วนบุคคลในกรณีที่กฎหมายกำหนด
10. ผู้ประมวลผลข้อมูลส่วนบุคคลช่วง
ลูกค้าให้อำนาจทั่วไปแก่ RIADVICE ในการใช้ผู้ประมวลผลข้อมูลส่วนบุคคลช่วง RIADVICE กำหนดหน้าที่ด้านการคุ้มครองข้อมูลส่วนบุคคลที่เทียบเท่ากับหน้าที่ในคำแถลงนี้ให้แก่ผู้ประมวลผลข้อมูลส่วนบุคคลช่วงแต่ละราย โดยทำสัญญาเป็นลายลักษณ์อักษร และยังคงรับผิดชอบต่อลูกค้าสำหรับผู้ประมวลผลข้อมูลส่วนบุคคลช่วงของตน RIADVICE จะแจ้งการเพิ่มหรือการเปลี่ยนผู้ประมวลผลข้อมูลส่วนบุคคลช่วงที่ประสงค์จะดำเนินการ ทางอีเมลหรือโดยการปรับปรุงรายชื่อนี้ ก่อนที่การเปลี่ยนแปลงจะมีผลหากสามารถทำได้ตามสมควร ลูกค้าอาจคัดค้านได้ด้วยเหตุผลอันสมควรด้านการคุ้มครองข้อมูลส่วนบุคคล หากคู่สัญญาไม่สามารถยุติข้อคัดค้านได้ ลูกค้าอาจบอกเลิกบริการที่ได้รับผลกระทบได้
ผู้ประมวลผลข้อมูลส่วนบุคคลช่วงที่ใช้สำหรับบริการโฮสติ้งและบริการแบบมีการจัดการ ได้แก่:
| ผู้ประมวลผลข้อมูลส่วนบุคคลช่วง | บริการที่ให้ | ภูมิภาค |
| OVHcloud | โครงสร้างพื้นฐานโฮสติ้งหลัก | ฝรั่งเศส / EU |
| GCore | CDN ทั่วโลกและโฮสติ้งที่ขอบเครือข่าย (edge) | EU / ทั่วโลก |
| Contabo | เซิร์ฟเวอร์เสมือนส่วนตัว (VPS) | EU / เยอรมนี |
| TailorMadeServers | โครงสร้างพื้นฐานโฮสติ้งแบบเซิร์ฟเวอร์เฉพาะ (dedicated) | สหรัฐอเมริกา |
| บริการวิเคราะห์ข้อมูล เครื่องมือเพิ่มประสิทธิภาพการทำงาน และบริการคลาวด์ | EU / ทั่วโลก |
ไม่ได้ใช้ผู้ประมวลผลข้อมูลส่วนบุคคลช่วงทุกรายสำหรับทุกบริการ เอกสารสั่งซื้อหรือการตั้งค่าแพลตฟอร์มของลูกค้าจะระบุสถานที่โฮสต์บริการของลูกค้า รายชื่อผู้ประมวลผลข้อมูลส่วนบุคคลช่วงที่เกี่ยวข้องกับบริการเฉพาะรายการมีให้เมื่อได้รับการร้องขอ
11. การโอนข้อมูลระหว่างประเทศ
RIADVICE จัดตั้งขึ้นในประเทศตูนิเซีย ซึ่งไม่อยู่ภายใต้คำวินิจฉัยว่ามีมาตรฐานการคุ้มครองที่เพียงพอ (adequacy decision) ของคณะกรรมาธิการยุโรป ข้อมูลส่วนบุคคลที่ลูกค้าในสหภาพยุโรปหรือเขตเศรษฐกิจยุโรปโอนให้แก่ RIADVICE ได้รับความคุ้มครองโดยข้อสัญญามาตรฐาน (Standard Contractual Clauses) ที่คณะกรรมาธิการยุโรปรับรองตามคำวินิจฉัยเพื่อการบังคับใช้ (EU) 2021/914 (โมดูลสอง ผู้ควบคุมข้อมูลส่วนบุคคลถึงผู้ประมวลผลข้อมูลส่วนบุคคล หรือโมดูลสาม ผู้ประมวลผลข้อมูลส่วนบุคคลถึงผู้ประมวลผลข้อมูลส่วนบุคคล) เสริมด้วยมาตรการในข้อ 8 ในกรณีที่ผู้ประมวลผลข้อมูลส่วนบุคคลช่วงประมวลผลข้อมูลส่วนบุคคลนอกสหภาพยุโรปหรือเขตเศรษฐกิจยุโรป RIADVICE อาศัยคำวินิจฉัยว่ามีมาตรฐานการคุ้มครองที่เพียงพอหรือข้อสัญญามาตรฐาน การโอนข้อมูลจากประเทศตูนิเซียดำเนินการภายใต้เงื่อนไขของกฎหมายประกอบรัฐธรรมนูญเลขที่ 2004-63 รวมถึงการได้รับอนุญาตจาก INPDP ในกรณีที่กำหนดไว้
12. คำขอของเจ้าของข้อมูลส่วนบุคคล
ภายใต้ GDPR เจ้าของข้อมูลส่วนบุคคลมีสิทธิเข้าถึง แก้ไข และลบข้อมูลของตน มีสิทธิขอให้จำกัดหรือคัดค้านการประมวลผลข้อมูลของตน และมีสิทธิในการโอนย้ายข้อมูล ผู้ใช้บริการที่โฮสต์ควรติดต่อองค์กรของตนซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลก่อน หาก RIADVICE ได้รับคำขอโดยตรง RIADVICE จะส่งต่อคำขอนั้นไปยังลูกค้าโดยไม่ชักช้าเกินสมควร และจะไม่ตอบคำขอนั้นเอง เว้นแต่ลูกค้าจะอนุญาต RIADVICE ช่วยเหลือลูกค้าในการตอบคำขอ เช่น โดยการค้นหา ส่งออก หรือลบข้อมูล
13. การส่งคืนและการลบข้อมูล
เมื่อสิ้นสุดการให้บริการ ลูกค้าอาจส่งออกข้อมูลของตนตามที่กำหนดไว้ในข้อ 25 ของข้อกำหนดการใช้งาน จากนั้น RIADVICE จะลบข้อมูลส่วนบุคคลออกจากระบบที่ใช้งานอยู่ และจากข้อมูลสำรองเมื่อข้อมูลสำรองถูกเขียนทับตามรอบการหมุนเวียนปกติ เว้นแต่กฎหมายจะกำหนดให้ต้องเก็บรักษาไว้ ข้อมูลที่รอการลบออกจากข้อมูลสำรองจะไม่ถูกประมวลผลต่อไป เว้นแต่เพื่อกู้คืนระบบ เมื่อได้รับการร้องขอ RIADVICE จะยืนยันการลบเป็นลายลักษณ์อักษร
14. การตรวจสอบและการให้ข้อมูล
RIADVICE ตอบคำถามเป็นลายลักษณ์อักษรและแบบสอบถามด้านความปลอดภัยที่สมเหตุสมผลจากลูกค้าเกี่ยวกับการประมวลผลของ RIADVICE ในกรณีที่ข้อมูลดังกล่าวไม่เพียงพอที่จะแสดงการปฏิบัติตามกฎหมาย ลูกค้าอาจดำเนินการตรวจสอบด้วยตนเองหรือผ่านผู้ตรวจสอบอิสระที่ผูกพันตามหน้าที่รักษาความลับ ได้ไม่เกินปีละหนึ่งครั้ง เว้นแต่มีเหตุอันสมควรจากการละเมิดข้อมูลส่วนบุคคลหรือจากคำขอของหน่วยงานกำกับดูแล โดยต้องแจ้งล่วงหน้าไม่น้อยกว่าสามสิบ (30) วัน ดำเนินการในเวลาทำการ และไม่รบกวนการให้บริการหรือกระทบต่อความปลอดภัยหรือความลับของข้อมูลของลูกค้ารายอื่น คู่สัญญาแต่ละฝ่ายรับผิดชอบค่าใช้จ่ายของตนเอง เว้นแต่การตรวจสอบจะพบการฝ่าฝืนในสาระสำคัญโดย RIADVICE
15. ผู้ติดต่อด้านการคุ้มครองข้อมูลส่วนบุคคล
ผู้ติดต่อด้านการคุ้มครองข้อมูลส่วนบุคคลของ RIADVICE กำกับดูแลการปฏิบัติตามกฎหมาย และตอบคำถามและคำขอเกี่ยวกับข้อมูลส่วนบุคคลที่ privacy@riadvice.tn
16. การติดต่อ
หากต้องการข้อมูลเพิ่มเติมเกี่ยวกับการปฏิบัติตาม GDPR หรือแนวปฏิบัติด้านความเป็นส่วนตัวของเรา โปรดติดต่อ privacy@riadvice.tn หรือ contact@riadvice.com หรือเขียนถึง RIADVICE SUARL, Appartement B1, Résidence Ramzi, 2074 Mourouj 5, Ben Arous, Tunisia
อัปเดตล่าสุด: 9 ตุลาคม 2026