Data Processing Agreement (DPA) / ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล

OpsAdmin — AI Admin Desktop Application

⚠️ DISCLAIMER (สำหรับเจ้าของกิจการ): เอกสารฉบับนี้เป็น template DPA สำหรับ OpsAdmin ในฐานะ Data Processor ที่ลูกค้า B2B (Data Controller) จะลงนามกับเรา ก่อนใช้งานจริงควรให้ทนายตรวจสอบ โดยเฉพาะหากลูกค้าเป็นองค์กรขนาดใหญ่หรือมีการแก้ไขเงื่อนไข ใช้ DPA นี้ เสริม ToS หลัก — ไม่แทนที่ ช่องที่ต้องกรอกข้อมูลจริงแสดงเป็น [ตัวอย่างนี้]

🇹🇭 ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (ภาษาไทย)

ข้อตกลงฉบับนี้ ("DPA") เป็นส่วนหนึ่งของและประกอบกับ Terms of Service ("ToS หลัก") ระหว่าง:

ทั้งสองฝ่ายตกลงดังนี้:

1. คำนิยาม

ใช้คำนิยามตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เว้นแต่ระบุไว้เป็นอย่างอื่น:

2. ขอบเขตการประมวลผล (Subject Matter)

ทั้งสองฝ่ายยืนยันว่าภายใต้ข้อตกลงนี้:

• ลูกค้าเป็น Controller ของข้อมูลส่วนบุคคลของ End-Customer ที่นำเข้าระบบ OpsAdmin
• OpsAdmin เป็น Processor ที่ประมวลผลตามคำสั่งของลูกค้าเท่านั้น
• ข้อมูลส่วนบุคคลที่ OpsAdmin เก็บเกี่ยวกับ ลูกค้า (เช่น ชื่อ-บัญชี, ใบเสร็จ) — OpsAdmin เป็น Controller ตาม Privacy Policy หลัก ไม่อยู่ในขอบเขต DPA นี้

2.1 กรณี Local License

หากลูกค้าใช้ Local License และรันบนเครื่องของตนเองโดยไม่ใช้ Relay หรือ Cloud — OpsAdmin ไม่ได้ประมวลผลข้อมูลใดๆ ในความหมายของ PDPA ในกรณีนี้ DPA นี้ใช้กับเฉพาะ:

• ข้อมูล telemetry/error report ที่ลูกค้า opt-in
• ข้อมูล support ที่ลูกค้าส่งให้

3. รายละเอียดการประมวลผล (Annex I)

ดูรายละเอียดใน Annex I ท้ายเอกสาร

4. หน้าที่ของลูกค้า (Controller Obligations)

ลูกค้ารับรองและรับผิดชอบในการ:

1. มีฐานทางกฎหมาย ที่ถูกต้องในการประมวลผลข้อมูล End-Customer (consent, contract, legitimate interest ฯลฯ)
2. แจ้ง End-Customer ตามที่ PDPA กำหนด (privacy notice ของลูกค้า)
3. ให้คำสั่งที่ชอบด้วยกฎหมาย แก่ OpsAdmin
4. ไม่นำเข้าข้อมูลละเอียดอ่อน (sensitive data) เช่น ข้อมูลสุขภาพ ศาสนา การเมือง — เว้นแต่ระบุไว้ใน Annex I
5. จัดการคำขอใช้สิทธิ์ ของ End-Customer (เช่น ขอเข้าถึง, ลบ) — OpsAdmin จะช่วยตามที่ระบุในข้อ 7
6. รักษา API key และ credential ที่ใช้กับระบบเป็นความลับ

5. หน้าที่ของ OpsAdmin (Processor Obligations)

5.1 ประมวลผลตามคำสั่ง

OpsAdmin จะประมวลผลข้อมูลส่วนบุคคล เฉพาะตามคำสั่งของลูกค้าที่เป็นลายลักษณ์อักษร (รวมถึงการตั้งค่าใน software) เว้นแต่กฎหมายบังคับ — ในกรณีนี้ OpsAdmin จะแจ้งลูกค้าก่อน เว้นแต่กฎหมายห้ามไว้

5.2 ความลับ (Confidentiality)

• พนักงานและ contractor ของ OpsAdmin ที่เข้าถึงข้อมูลต้องลงนาม ข้อตกลงรักษาความลับ
• การเข้าถึงข้อมูลจำกัดเฉพาะที่จำเป็น (need-to-know basis)

5.3 มาตรการความปลอดภัย

OpsAdmin จะใช้มาตรการที่เหมาะสม ตามที่ระบุใน Annex II — Security Measures

5.4 Sub-processors

• OpsAdmin ใช้ Sub-processors ตามที่ระบุใน Annex III
• ก่อนเพิ่ม/เปลี่ยน Sub-processor: แจ้งลูกค้าล่วงหน้าอย่างน้อย 30 วัน ทางอีเมล
• ลูกค้ามีสิทธิ์คัดค้าน ภายใน 30 วัน:
  • หากไม่คัดค้าน → ถือว่ายอมรับ
  • หากคัดค้านอย่างมีเหตุผล → ทั้งสองฝ่ายเจรจาหาทางออก; หากไม่ตกลงได้ ลูกค้ายกเลิกบริการได้โดยไม่มีค่าปรับ
• OpsAdmin รับผิดต่อการกระทำของ Sub-processor เสมือนเป็นการกระทำของตนเอง

5.5 การโอนข้อมูลข้ามประเทศ

• ข้อมูลอาจถูกโอนไป สหรัฐอเมริกาและ/หรือสิงคโปร์ ผ่าน Sub-processor (LLM providers, cloud)
• การโอนได้รับการคุ้มครองโดย:
  • DPA ระหว่าง OpsAdmin กับ Sub-processor
  • Standard Contractual Clauses (SCC) ของแต่ละ provider
  • ระดับการคุ้มครองเทียบเท่า PDPA
• ลูกค้าสามารถจำกัดการโอนได้โดย เลือกใช้ Local License หรือเลือก provider เฉพาะที่ตั้งอยู่ในประเทศไทย/อาเซียน (ถ้ามีให้เลือก)

5.6 ช่วยเหลือลูกค้า

OpsAdmin จะช่วยลูกค้าใน (ค่าใช้จ่ายตามสมควรอาจเรียกเก็บได้):

• การตอบคำขอใช้สิทธิ์ของ End-Customer
• การทำ Data Protection Impact Assessment (DPIA)
• การตรวจสอบและรายงานเหตุละเมิดข้อมูล
• การประสานงานกับ สคส. (PDPC)

6. การแจ้งเหตุละเมิดข้อมูล (Breach Notification)

6.1 หาก OpsAdmin ทราบว่ามีเหตุละเมิด

OpsAdmin จะแจ้งลูกค้า ภายใน 72 ชั่วโมง หลังทราบ โดยมีข้อมูล:

• ลักษณะของเหตุการณ์
• ประเภทและจำนวนข้อมูล/บุคคลที่ได้รับผลกระทบ
• ผลกระทบที่คาดว่าจะเกิด
• มาตรการที่ดำเนินการแล้ว / กำลังจะทำ
• ข้อมูลติดต่อของ DPO หรือ point of contact

6.2 หาก OpsAdmin ยังตรวจสอบไม่ครบ

อาจส่งข้อมูลเป็น รายงานเบื้องต้น ก่อน แล้วตามด้วยรายงานฉบับสมบูรณ์ภายใน 7 วัน

6.3 ลูกค้ามีหน้าที่

แจ้งต่อ สคส. (PDPC) ภายใน 72 ชม. ตามที่ PDPA กำหนด — OpsAdmin จะช่วยเตรียมข้อมูลที่จำเป็น

7. สิทธิ์ของเจ้าของข้อมูล (Data Subject Rights)

• ลูกค้ารับผิดชอบการรับและตอบคำขอจาก End-Customer
• หาก End-Customer ติดต่อ OpsAdmin โดยตรง: เราจะ forward คำขอให้ลูกค้า ภายใน 5 วันทำการ
• OpsAdmin จะช่วยลูกค้าทาง technical (เช่น export ข้อมูล, ลบข้อมูล) ผ่าน dashboard หรือ API

8. การตรวจสอบ (Audit)

8.1 สิทธิ์ตรวจสอบของลูกค้า

ลูกค้ามีสิทธิ์ตรวจสอบการปฏิบัติตาม DPA ของ OpsAdmin โดย:

• วิธีหลัก: OpsAdmin จะให้ เอกสาร compliance report ประจำปี เช่น
  • SOC 2 Type II report (ถ้ามี)
  • ISO 27001 certificate (ถ้ามี)
  • รายงานการ pentest
  • รายชื่อ sub-processor และสถานะ DPA
• วิธีเสริม: หากลูกค้ามีเหตุอันสมควรเชื่อว่ามีปัญหา:
  • แจ้งล่วงหน้า อย่างน้อย 30 วัน
  • ตรวจสอบ ปีละไม่เกิน 1 ครั้ง (เว้นแต่กรณีเหตุละเมิด)
  • ค่าใช้จ่ายของการตรวจสอบที่ลูกค้าเริ่ม → ลูกค้าออก
  • ทำในเวลาทำการปกติ ไม่รบกวนการดำเนินงาน
  • ผู้ตรวจสอบต้องลงนาม NDA

8.2 ขอบเขตการตรวจสอบ

ไม่รวมข้อมูลของลูกค้ารายอื่น ความลับทางธุรกิจ หรือข้อมูลที่กฎหมายห้ามเปิดเผย

9. การลบหรือคืนข้อมูล (Return or Delete)

9.1 ตอนสิ้นสุดบริการ

ภายใน 30 วัน หลังสิ้นสุดข้อตกลง:

• OpsAdmin จะให้ลูกค้า export ข้อมูล ในรูปแบบ standard (JSON/CSV) ผ่าน dashboard หรือ API
• หลัง 30 วัน ลูกค้าไม่ขอ → OpsAdmin ลบข้อมูลถาวร ภายใน 90 วันถัดไป

9.2 ข้อยกเว้น

ข้อมูลที่กฎหมายบังคับให้เก็บ (เช่น ใบเสร็จ 7 ปี ตามกฎหมายภาษี) จะถูกเก็บแยกในระบบ archive ที่จำกัดการเข้าถึง และลบเมื่อพ้นกำหนด

9.3 การยืนยันการลบ

ลูกค้าขอ certificate of deletion เป็นลายลักษณ์อักษรได้

10. ความรับผิดและการชดใช้ (Liability)

10.1 ขอบเขตความรับผิด

ความรับผิดของแต่ละฝ่ายภายใต้ DPA นี้ ขึ้นกับขอบเขตที่ระบุใน ToS หลัก (ข้อ Limitation of Liability)

10.2 การจัดสรรความรับผิดระหว่างฝ่าย

• ลูกค้ารับผิด หากเหตุละเมิดเกิดจาก:
  • การไม่มีฐานทางกฎหมาย
  • คำสั่งที่ไม่ชอบด้วยกฎหมาย
  • การละเลยหน้าที่ของลูกค้าใน DPA นี้
  • การที่ API key/credential ของลูกค้ารั่วไหล
• OpsAdmin รับผิด หากเหตุเกิดจาก:
  • การละเมิดหน้าที่ใน DPA นี้
  • การละเลย Annex II (Security Measures)
  • การกระทำของ Sub-processor ที่ OpsAdmin เลือก

10.3 PDPA Fine

ค่าปรับจาก สคส. (PDPC) ที่ฝ่ายใดถูกปรับโดยตรง → ฝ่ายนั้นรับเอง (เว้นแต่ฝ่ายอื่นเป็นต้นเหตุ → ฝ่ายต้นเหตุชดใช้)

11. ระยะเวลาและการยกเลิก

• DPA นี้มีผลตราบเท่าที่ ToS หลักมีผล
• การยกเลิก ToS หลัก = ยกเลิก DPA โดยอัตโนมัติ
• ข้อ 9 (การลบข้อมูล), 10 (ความรับผิด), 13 (กฎหมายที่ใช้) ยังคงผูกพันหลังยกเลิก

12. การแก้ไข

DPA ฉบับนี้แก้ไขได้โดย:

• ทั้งสองฝ่ายลงนามเอกสารแก้ไข หรือ
• OpsAdmin แจ้งล่วงหน้า ≥ 60 วัน หากการเปลี่ยนแปลงเป็นไปเพื่อความสอดคล้องกับกฎหมายใหม่ — ลูกค้าคัดค้านได้

13. กฎหมายที่ใช้

กฎหมายไทย — ดูข้อ 17 ของ ToS หลัก

14. ลำดับความสำคัญของเอกสาร

ในกรณีที่ขัดแย้งกัน:

1. DPA นี้ (เฉพาะเรื่องการคุ้มครองข้อมูล)
2. ToS หลัก
3. Order Form / สัญญาเฉพาะ

📎 Annex I — Details of Processing

1. หัวเรื่องและวัตถุประสงค์ของการประมวลผล

ให้บริการ OpsAdmin: AI admin chatbot, knowledge base management, lead management, รายงาน

2. ระยะเวลา

ตราบเท่าที่ ToS หลักมีผล

3. ลักษณะของการประมวลผล

• เก็บ จัดระเบียบ ค้นหา ดึงข้อมูล
• ส่งต่อไป LLM provider เพื่อสร้าง response
• ส่ง/รับข้อความผ่าน FB Messenger / LINE OA
• สร้างรายงาน analytics

4. ประเภทข้อมูลส่วนบุคคล

5. ข้อมูลละเอียดอ่อน (Sensitive Data) — ห้ามนำเข้า เว้นแต่ระบุชัด

• ข้อมูลสุขภาพ
• ความเชื่อทางศาสนา
• ความคิดเห็นทางการเมือง
• ข้อมูลพันธุกรรม/ชีวภาพ
• ประวัติอาชญากรรม
• อื่นๆ (ระบุ): ____________

6. ประเภทเจ้าของข้อมูล (Data Subjects)

• End-Customer ของลูกค้า (ลูกค้าที่ติดต่อผ่านช่องทาง chat)
• พนักงาน/ทีมงานของลูกค้า (admin users ใน OpsAdmin)

📎 Annex II — Security Measures

OpsAdmin จะใช้มาตรการต่อไปนี้ (อาจปรับปรุงให้แข็งแกร่งขึ้นได้ ไม่ลดระดับ):

Technical Measures

Organizational Measures

Physical Measures (สำหรับ cloud infrastructure)

ใช้ผ่าน cloud provider ที่ได้รับการรับรอง ISO 27001 / SOC 2 (DigitalOcean, Cloudflare ฯลฯ)

📎 Annex III — Approved Sub-processors

ณ วันที่ DPA นี้มีผล:

หมายเหตุ:

• รายชื่อล่าสุดดูได้ที่ [https://yourdomain.com/sub-processors] (ปรับให้ตรงกับเว็บจริง)
• BYOK: หากลูกค้านำ LLM API key ของตัวเองมาใช้ ความสัมพันธ์ระหว่างลูกค้ากับ LLM provider เป็น direct relationship — provider นั้นยังคงเป็น Sub-processor ในการประมวลผลข้อมูลที่ส่งผ่าน OpsAdmin

📝 ลายเซ็น (Signatures)

สำหรับ ลูกค้า (Controller):

สำหรับ OpsAdmin (Processor):

🇬🇧 Data Processing Agreement (English)

This Agreement ("DPA") forms part of and supplements the Terms of Service ("Main ToS") between:

Both parties agree as follows:

1. Definitions

Definitions follow the Thai Personal Data Protection Act B.E. 2562 (PDPA) unless otherwise stated:

2. Subject Matter

Both parties confirm:

• Customer is Controller of End-Customer personal data imported into OpsAdmin
• OpsAdmin is Processor, processing only on Customer instructions
• Personal data OpsAdmin holds about the Customer (account info, invoices) — OpsAdmin is the Controller under the main Privacy Policy, outside this DPA's scope

2.1 Local License

If Customer uses Local License entirely on their own machine without Relay/Cloud — OpsAdmin does not process data within PDPA meaning. This DPA then applies only to:

• Telemetry/error reports Customer opts into
• Support communications

3. Processing Details

See Annex I.

4. Controller Obligations

Customer represents and is responsible for:

1. Having a valid legal basis for processing End-Customer data
2. Informing End-Customers as required by PDPA (Customer's own privacy notice)
3. Providing lawful instructions to OpsAdmin
4. Not importing sensitive data (health, religion, political views) unless specified in Annex I
5. Handling Data Subject requests — OpsAdmin assists per Section 7
6. Keeping API keys and credentials confidential

5. Processor Obligations

5.1 Processing per Instructions

OpsAdmin processes personal data only per Customer's documented instructions (including software configurations) unless required by law — in which case OpsAdmin notifies Customer first unless prohibited by law.

5.2 Confidentiality

• OpsAdmin employees/contractors with data access sign confidentiality agreements
• Access limited on need-to-know basis

5.3 Security Measures

OpsAdmin implements measures per Annex II — Security Measures

5.4 Sub-processors

• OpsAdmin uses Sub-processors per Annex III
• Before adding/changing Sub-processor: 30 days' advance notice by email
• Customer may object within 30 days:
  • No objection → deemed accepted
  • Reasonable objection → parties negotiate; if unresolved, Customer may terminate without penalty
• OpsAdmin is liable for Sub-processor acts as its own

5.5 Cross-border Transfers

• Data may be transferred to US and/or Singapore via Sub-processors (LLM providers, cloud)
• Transfers protected by:
  • DPAs between OpsAdmin and Sub-processors
  • Standard Contractual Clauses (SCC)
  • Protection level equivalent to PDPA
• Customer can limit transfers by using Local License or selecting providers based in Thailand/ASEAN (where available)

5.6 Assistance

OpsAdmin assists Customer with (reasonable costs may apply):

• Responding to End-Customer rights requests
• Data Protection Impact Assessments (DPIA)
• Investigation and breach reporting
• Liaising with PDPC

6. Breach Notification

6.1 Notification by OpsAdmin

OpsAdmin notifies Customer within 72 hours of becoming aware, including:

• Nature of the incident
• Type and number of data/individuals affected
• Likely consequences
• Measures taken/to be taken
• DPO or point of contact information

6.2 Partial Investigation

May provide initial report first, followed by full report within 7 days

6.3 Customer Obligation

Customer notifies PDPC within 72 hours per PDPA — OpsAdmin helps prepare required info

7. Data Subject Rights

• Customer is responsible for receiving and responding to End-Customer requests
• If End-Customer contacts OpsAdmin directly: we forward to Customer within 5 business days
• OpsAdmin technically assists (data export, deletion) via dashboard/API

8. Audit

8.1 Customer Audit Rights

Customer may audit OpsAdmin's DPA compliance by:

• Primary method: OpsAdmin provides annual compliance reports:
  • SOC 2 Type II report (if available)
  • ISO 27001 certificate (if available)
  • Pentest summary
  • Sub-processor list and DPA status
• Secondary method: If Customer has reasonable grounds for concern:
  • 30 days' advance notice
  • Max once per year (except after breach)
  • Customer-initiated audit costs borne by Customer
  • During business hours, non-disruptive
  • Auditors must sign NDA

8.2 Audit Scope

Excludes other customers' data, trade secrets, or legally protected information

9. Return or Deletion

9.1 End of Service

Within 30 days of agreement termination:

• OpsAdmin enables Customer to export data in standard format (JSON/CSV) via dashboard/API
• After 30 days without request → OpsAdmin permanently deletes within next 90 days

9.2 Exceptions

Data required to be retained by law (e.g., 7-year invoice retention) stored separately in restricted archive, deleted at expiry

9.3 Deletion Certificate

Customer may request written certificate of deletion

10. Liability

10.1 Liability Scope

Each party's liability under this DPA is subject to limits in Main ToS (Limitation of Liability section)

10.2 Allocation

• Customer liable when breach arises from:
  • Lack of legal basis
  • Unlawful instructions
  • Failure of Customer's DPA obligations
  • Customer's API key/credential leak
• OpsAdmin liable when breach arises from:
  • Breach of DPA obligations
  • Failure of Annex II measures
  • Acts of OpsAdmin-selected Sub-processors

10.3 PDPA Fines

Fines from PDPC directly imposed on a party → that party bears (unless caused by the other party → causing party indemnifies)

11. Term and Termination

• DPA in effect as long as Main ToS
• Main ToS termination = automatic DPA termination
• Sections 9 (Deletion), 10 (Liability), 13 (Governing Law) survive termination

12. Amendments

This DPA may be amended by:

• Both parties signing an amendment, OR
• OpsAdmin providing ≥ 60 days' notice if change is to comply with new law — Customer may object

13. Governing Law

Thai law — see Section 17 of Main ToS

14. Order of Precedence

In case of conflict:

1. This DPA (for data protection matters)
2. Main ToS
3. Order Form / specific agreement

📎 Annex I — Details of Processing (English)

1. Subject Matter and Purpose

Providing OpsAdmin: AI admin chatbot, knowledge base management, lead management, reports

2. Duration

For the term of Main ToS

3. Nature of Processing

• Collection, organization, search, retrieval
• Forwarding to LLM providers for response generation
• Sending/receiving messages via FB Messenger / LINE OA
• Generating analytics reports

4. Categories of Personal Data

5. Sensitive Data — Not Permitted Unless Specified

• Health data
• Religious beliefs
• Political opinions
• Genetic/biometric
• Criminal records
• Other (specify): ____________

6. Data Subject Categories

• Customer's End-Customers
• Customer's employees (admin users in OpsAdmin)

📎 Annex II — Security Measures (English)

OpsAdmin implements the following (may strengthen, not weaken):

Technical Measures

Organizational Measures

📎 Annex III — Approved Sub-processors (English)

As of DPA effective date:

Note:

• Latest list at [https://yourdomain.com/sub-processors]
• BYOK: If Customer uses their own LLM API key, the Customer-LLM provider relationship is direct — provider remains a Sub-processor for data flowing through OpsAdmin

📝 Signatures

For Customer (Controller):

For OpsAdmin (Processor):

📝 Implementation Checklist (Internal)

Before offering this DPA to B2B customers:

• Replace all [placeholder] fields with real entity info
• Confirm Annex III matches actual sub-processors used
• Sign DPAs with each listed sub-processor:
  • Anthropic
  • Google Cloud
  • OpenAI
  • Cloudflare
  • DigitalOcean
  • Omise / Stripe
  • SendGrid
  • Sentry
• Verify Annex II measures are actually implemented (no overstating)
• Build sub-processor change notification workflow (email list)
• Set up dpa@[yourdomain] mailbox or use general legal@
• Prepare audit response process
• Decide: offer DPA as PDF download or click-to-sign (DocuSign)
• Have Thai lawyer review (especially Annex II claims)
• Maintain DPA signing log per customer
• Train sales/support on when to send DPA

💡 Workflow แนะนำ

When to offer DPA:

• B2B customer ที่จดทะเบียนนิติบุคคล + ขอเป็นทางการ → ส่ง DPA ให้เซ็นก่อนใช้บริการ
• ลูกค้ารายเล็ก/บุคคล → ToS + Privacy Policy เพียงพอ (ตอน accept = ยอมรับ DPA ในตัว)
• ลูกค้าที่จัดการข้อมูลละเอียดอ่อน → บังคับเซ็น DPA + เพิ่มเงื่อนไขใน Annex I

How to deliver:

1. Tier เริ่มต้น: PDF download + sign แล้วส่งกลับ (manual review)
2. Tier scale up: DocuSign integration (auto-countersigned)
3. Tier enterprise: เจรจาแก้ไขรายข้อตามคำขอ (chargeable legal review fee)

Template prepared 2026-06-02 for OpsAdmin Always have a lawyer review before publishing