1. คู่สัญญาและขอบเขต

ข้อตกลงการประมวลผลข้อมูลส่วนบุคคลฉบับนี้ ("ข้อตกลง") ทำขึ้นระหว่างองค์กรที่ยอมรับข้อตกลงการใช้บริการ TalentLAB ("บริษัท") กับ บริษัท เอชแอลเอส บริดจ์ แอดไวซอรี จำกัด (เลขประจำตัวผู้เสียภาษีอากร 0105569134149) No. 555, Rasa One, Building A, 2nd floor, Phaholyothin Road, Chatuchak Sub-District, Chatuchak District, Bangkok 10900 ("TalentLAB") เป็นส่วนหนึ่งของข้อตกลงการใช้บริการ และใช้กับข้อมูลส่วนบุคคลที่บริษัทหรือผู้ใช้งานของบริษัทนำเข้าสู่ TalentLAB ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ("พ.ร.บ.")

2. บทบาทและคำสั่ง

บริษัทเป็นผู้ควบคุมข้อมูลส่วนบุคคล และ TalentLAB เป็นผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัท TalentLAB ประมวลผลข้อมูลส่วนบุคคลของบริษัทตามคำสั่งที่เป็นลายลักษณ์อักษรของบริษัทเท่านั้น ซึ่งได้แก่การใช้ฟังก์ชันและการตั้งค่าของบริการ (เช่น การอัปโหลด CV การอนุมัติข้อมูล การส่งออก การตั้งระยะเวลาเก็บรักษา การลบ) เว้นแต่กฎหมายกำหนดไว้เป็นอย่างอื่น (มาตรา 40(1))

TalentLAB จะไม่ใช้ข้อมูลส่วนบุคคลของบริษัทเพื่อวัตถุประสงค์ของตนเอง จะไม่นำไปรวมหรือเปิดให้บริษัทอื่นใช้ จะไม่ขาย และจะไม่ใช้เพื่อฝึกโมเดล AI

3. การรักษาความลับและความมั่นคงปลอดภัย

ทุกคนใน TalentLAB ที่เข้าถึงข้อมูลส่วนบุคคลของบริษัทมีหน้าที่รักษาความลับ TalentLAB จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยตามภาคผนวก ข และจะไม่ลดระดับมาตรการดังกล่าวอย่างมีนัยสำคัญ (มาตรา 40(2))

4. ผู้ประมวลผลช่วง

บริษัทอนุญาตให้ TalentLAB ใช้ผู้ประมวลผลช่วงตามรายการที่ /subprocessors TalentLAB จะแจ้งเจ้าของบัญชีของบริษัทล่วงหน้าอย่างน้อย 30 วัน ทั้งในระบบและทางอีเมล ก่อนเพิ่มหรือเปลี่ยนผู้ประมวลผลช่วง หากบริษัทคัดค้านด้วยเหตุผลอันสมควรด้านการคุ้มครองข้อมูล และไม่มีทางเลือกอื่น บริษัทอาจยกเลิกการสมัครใช้บริการก่อนการเปลี่ยนแปลงมีผล โดยจะได้รับข้อมูลคืนและลบข้อมูลตามข้อ 8

TalentLAB จะใช้ผู้ประมวลผลช่วงภายใต้ข้อตกลงเป็นลายลักษณ์อักษรที่คุ้มครองข้อมูลส่วนบุคคลไม่น้อยกว่าข้อตกลงฉบับนี้ และยังคงรับผิดชอบต่อบริษัทสำหรับการดำเนินงานของผู้ประมวลผลช่วง

5. การส่งหรือโอนข้อมูลไปต่างประเทศ

ผู้ประมวลผลช่วงบางรายประมวลผลข้อมูลนอกประเทศไทย (มาเลเซีย อินเดีย สหรัฐอเมริกา และญี่ปุ่น ตามรายการที่ /subprocessors) TalentLAB อาศัยข้อตกลงการประมวลผลข้อมูลและมาตรการคุ้มครองการโอนข้อมูลของผู้ประมวลผลช่วงแต่ละราย ตามมาตรา 28–29

6. การช่วยเหลือตามคำขอของเจ้าของข้อมูลส่วนบุคคล

บริการนี้ช่วยให้บริษัทตอบคำขอของผู้สมัครได้เอง ได้แก่ การขอเข้าถึงและขอรับสำเนา (ดาวน์โหลดไฟล์ต้นฉบับและ PDF ของ CV) การขอแก้ไข (แก้ไขข้อมูลในช่องนั้น) การขอลบ (ปุ่มลบจะลบผู้สมัครและไฟล์ที่จัดเก็บไว้ทันที) และ CV แบบปิดชื่อในกรณีที่ไม่ควรเปิดเผยตัวตน

สำหรับกรณีที่บริษัทไม่สามารถดำเนินการเองได้ด้วยเครื่องมือดังกล่าว TalentLAB จะช่วยเหลือภายใน 14 วันนับจากได้รับคำขอทางช่องทางติดต่อด้านความเป็นส่วนตัว หากผู้สมัครติดต่อ TalentLAB โดยตรง TalentLAB จะส่งต่อคำขอให้บริษัท และจะไม่ตอบแทนบริษัท

7. เหตุการละเมิดข้อมูลส่วนบุคคล

TalentLAB จะแจ้งเจ้าของบัญชีของบริษัทโดยไม่ชักช้า และภายใน 48 ชั่วโมงนับจากยืนยันได้ว่าเกิดเหตุการละเมิดข้อมูลส่วนบุคคลที่กระทบข้อมูลของบริษัท เพื่อให้บริษัทสามารถแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ภายใน 72 ชั่วโมงตามหน้าที่ของบริษัท (มาตรา 37(4) และ 40(2)) โดยจะระบุเหตุที่เกิดขึ้น ข้อมูลและผู้สมัครที่อาจได้รับผลกระทบ (จากบันทึกกิจกรรม) ผลที่อาจเกิดขึ้น และสิ่งที่ TalentLAB ได้ดำเนินการและแนะนำ TalentLAB จะไม่แจ้งผู้สมัครหรือสำนักงานฯ แทนบริษัท เว้นแต่บริษัทร้องขอ

8. การเก็บรักษา การส่งคืน และการลบข้อมูล

ระหว่างการใช้บริการ ข้อมูลผู้สมัครจะถูกเก็บรักษาและลบตามข้อ 3 ของข้อตกลงการใช้บริการ (ระยะเวลาเก็บรักษาที่บริษัทตั้งไว้ รายการใกล้หมดอายุ และการลบด้วยตนเองได้ทันที)

เมื่อบริษัทยกเลิกการใช้บริการ TalentLAB จะเสนอให้ส่งออกไฟล์ CV ต้นฉบับและ PDF ของ CV ที่สร้างขึ้น และจะลบข้อมูลส่วนบุคคลทั้งหมดของบริษัทภายใน 30 วัน เว้นแต่กฎหมายกำหนดให้ TalentLAB ต้องเก็บไว้ สำเนาในข้อมูลสำรองของเซิร์ฟเวอร์จะถูกแทนที่ภายในประมาณ 14 วันหลังจากนั้น

9. บันทึกรายการและการแสดงการปฏิบัติตามกฎหมาย

TalentLAB จัดทำบันทึกรายการกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (มาตรา 40(3)) เจ้าของบัญชีของบริษัทสามารถดูและส่งออกบันทึกกิจกรรมการเปลี่ยนแปลงข้อมูลและการเข้าถึงไฟล์ย้อนหลัง 365 วันได้ตลอดเวลา และ TalentLAB จะตอบคำถามที่เป็นลายลักษณ์อักษรและสมเหตุสมผลของบริษัทเกี่ยวกับการปฏิบัติตามข้อตกลงนี้

10. ทั่วไป

ความรับผิดตามข้อตกลงนี้เป็นไปตามข้อตกลงการใช้บริการ หากข้อตกลงนี้ขัดกับข้อตกลงการใช้บริการในเรื่องข้อมูลส่วนบุคคล ให้ใช้ข้อตกลงนี้ ข้อตกลงนี้อยู่ภายใต้กฎหมายไทย ช่องทางติดต่อด้านความเป็นส่วนตัว: washirawish.ryuji@gmail.com

ภาคผนวก ก — รายละเอียดการประมวลผล

เจ้าของข้อมูลส่วนบุคคล: ผู้สมัครที่บริษัทอัปโหลด CV และผู้ติดต่อของลูกค้าที่บริษัทบันทึกไว้ใน TalentLAB

ข้อมูลส่วนบุคคล: ข้อมูลระบุตัวตนและข้อมูลติดต่อ ประวัติการทำงาน การศึกษา ทักษะ รูปถ่าย และข้อมูลอื่นใดในไฟล์ CV ที่อัปโหลด บันทึกและข้อมูล CV ของบริษัท ชื่อและข้อมูลติดต่อของผู้ติดต่อฝั่งลูกค้า

ข้อมูลอ่อนไหว (มาตรา 26): TalentLAB ไม่ขอและไม่ดึงข้อมูลดังกล่าวมาเป็นหัวข้อใน CV แต่ไฟล์ต้นฉบับที่อัปโหลดอาจมีข้อมูลเหล่านี้อยู่ (เช่น ศาสนาหรือข้อมูลสุขภาพใน CV ภาษาไทย) บริษัทควรหลีกเลี่ยงการอัปโหลดข้อมูลดังกล่าวหากไม่จำเป็น

ลักษณะและวัตถุประสงค์: จัดเก็บ ดึงข้อมูลและจัดโครงสร้างเนื้อหา CV ด้วย AI จัดรูปแบบและส่งออก CV ค้นหาและตอบคำถามเกี่ยวกับผู้สมัครของบริษัท บันทึก CRM และการส่งผ่าน LINE และอีเมล เพื่องานสรรหาบุคลากรของบริษัท

ระยะเวลา: ตลอดการใช้บริการ และหลังจากนั้นตามข้อ 8

ภาคผนวก ข — มาตรการรักษาความมั่นคงปลอดภัย

มาตรการที่มีอยู่: HTTPS สำหรับการรับส่งข้อมูลทั้งหมด (พร้อม HSTS) การจำกัดทุกคำสั่งดึงข้อมูลให้อยู่เฉพาะบริษัทที่เป็นเจ้าของข้อมูล สิทธิ์การเข้าถึงตามบทบาท การเข้าสู่ระบบด้วยลิงก์ทางอีเมล (ไม่เก็บรหัสผ่าน) บันทึกกิจกรรมการเปลี่ยนแปลงข้อมูลและการเข้าถึงไฟล์ที่เจ้าของบัญชีดูได้ การเข้ารหัสข้อมูลรับรองการเชื่อมต่อระบบภายนอก (AES-256-GCM) การตรวจสอบลายเซ็นและขนาดไฟล์ที่อัปโหลด การดาวน์โหลด CV ต้นฉบับและ PDF พร้อม header แบบ no-sniff และ no-store ลิงก์ดาวน์โหลดและภาพตัวอย่างที่ลงนามแยกตามวัตถุประสงค์ โดยลิงก์ดาวน์โหลด PDF หมดอายุใน 24 ชั่วโมง การลบไฟล์ของผู้สมัครพร้อมการลองใหม่อัตโนมัติ การเก็บรักษาตามระยะเวลาที่ไม่มีความเคลื่อนไหว CV แบบปิดชื่อ และภาพตัวอย่างใน LINE ที่ไม่แสดงชื่อ รูป หรือข้อมูลติดต่อ ข้อมูลสำรองของเซิร์ฟเวอร์รายสัปดาห์เก็บไว้ประมาณ 14 วัน

มาตรการที่ยังไม่มี: ฐานข้อมูลและไฟล์ที่จัดเก็บยังไม่ได้เข้ารหัสขณะจัดเก็บแยกต่างหากนอกเหนือจากโครงสร้างพื้นฐานของผู้ให้บริการเซิร์ฟเวอร์ และไฟล์ที่อัปโหลดยังไม่ได้สแกนมัลแวร์ TalentLAB จะเพิ่มการเข้ารหัสขณะจัดเก็บก่อนรับบริษัทรายถัดไป และจะปรับปรุงภาคผนวกนี้เมื่อดำเนินการแล้ว