อัปเดตล่าสุดเมื่อวันที่ 18 พฤศจิกายน 2025

ข้อตกลงการประมวลผลข้อมูล ("DPA") นี้อยู่ภายใต้และเป็นส่วนหนึ่งของข้อตกลง และกำกับดูแลการประมวลผลข้อมูลส่วนบุคคลของ Stripe และบริษัทในเครือ

1. โครงสร้าง

หากบัญชี Stripe ของผู้ใช้อยู่ในทวีปอเมริกาเหนือหรืออเมริกาใต้ ให้ถือว่าผู้ใช้ทำ DPA นี้กับ Stripe, LLC แต่หากบัญชี Stripe ของผู้ใช้อยู่ที่อื่น ให้ถือว่าผู้ใช้ทำ DPA นี้กับ Stripe Payments Europe, Limited ("SPEL") ด้วยเหตุนี้ การอ้างอิงถึง "Stripe" ใน DPA นี้จึงหมายถึง Stripe, LLC หรือ SPEL ตามที่เกี่ยวข้อง

2. Stripe ในฐานะผู้ประมวลผลข้อมูลและผู้ควบคุมข้อมูล

3. ภาระหน้าที่ของ Stripe เมื่อทำหน้าที่เป็นผู้ประมวลผลข้อมูล

3.1 ภาระหน้าที่

เมื่อ Stripe ทำหน้าที่เป็นผู้ประมวลผลข้อมูลให้กับผู้ใช้ Stripe จะปฏิบัติดังนี้ โดยเป็นไปตามขอบเขตที่กฎหมาย DP กำหนดไว้

(a) ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ใช้และตามคำสั่งของผู้ใช้ โดย Stripe จะแจ้งให้ผู้ใช้ทราบว่าคำสั่งต่างๆ เป็นการละเมิดหรือฝ่าฝืนกฎหมาย DP หรือไม่ (ตามความเห็นของ Stripe)

(b) ตรวจสอบว่าบุคคลทั้งหมดที่ Stripe อนุญาตให้ประมวลผลข้อมูลส่วนบุคคลได้รับสิทธิ์ในการเข้าถึงข้อมูลส่วนบุคคลเท่าที่จำเป็นต้องทราบ และมุ่งมั่นที่จะเคารพในการรักษาความลับของข้อมูลส่วนบุคคลนั้นๆ

(c) แจ้งให้ผู้ใช้ทราบถึงคำขอแต่ละรายการที่ Stripe ได้รับจากเจ้าของข้อมูล (เช่น "คำขอของผู้บริโภคที่ตรวจสอบยืนยันได้" ตามที่กำหนดไว้ใน CCPA) โดยใช้สิทธิ์ของตนตามกฎหมาย DP เพื่อ (1) เข้าถึง (เช่น สิทธิ์ที่จะรับทราบภายใต้ CCPA) ข้อมูลส่วนบุคคลของตน (2) สั่งให้แก้ไขหรือลบข้อมูลส่วนบุคคลของตน (3) จำกัดหรือคัดค้านการประมวลผลของ Stripe หรือ (4) การเคลื่อนย้ายข้อมูล (เรียกรวมกันว่า "คำขอจากเจ้าของข้อมูล") ทั้งนี้ นอกเหนือจากการขอข้อมูลเพิ่มเติม ระบุตัวตนของเจ้าของข้อมูล และให้เจ้าของข้อมูลติดต่อผู้ใช้ในฐานะผู้ควบคุมข้อมูล (หากเกี่ยวข้อง) Stripe จะไม่ตอบกลับคำขอเหล่านี้ เว้นแต่ผู้ใช้จะสั่งให้ Stripe ดำเนินการดังกล่าวอย่างเป็นลายลักษณ์อักษร Stripe จะช่วยเหลือผู้ใช้ด้วยมาตรการทางเทคนิคและองค์กรที่เหมาะสมเท่าที่สามารถทำได้ โดยคำนึงถึงลักษณะการประมวลผล เพื่อช่วยให้ผู้ใช้สามารถปฏิบัติตามภาระหน้าที่ในการตอบสนองต่อคำขอจากเจ้าของข้อมูลได้

(d) แจ้งให้ผู้ใช้ทราบถึงคำขอจากหน่วยงานบังคับใช้กฎหมายแต่ละรายการที่ Stripe ได้รับจากหน่วยงานของรัฐ ซึ่งกำหนดให้ Stripe ต้องเปิดเผยข้อมูลส่วนบุคคลหรือมีส่วนร่วมในการสืบสวนซึ่งกำหนดให้ Stripe ต้องเปิดเผยข้อมูลส่วนบุคคล เว้นแต่กฎหมายจะห้ามไว้

(e) ให้ความช่วยเหลือตามสมควรแก่ผู้ใช้ โดยทำตามคำขออย่างเป็นลายลักษณ์อักษรจากผู้ใช้ เพื่อช่วยให้ผู้ใช้ปฏิบัติตามภาระหน้าที่ของตนภายใต้กฎหมาย DP และ Stripe จะให้ข้อมูลตามสมควรเพื่อช่วยผู้ใช้ในการประเมินผลกระทบด้านการคุ้มครองข้อมูล หรือปรึกษาหารือกับหน่วยงานกำกับดูแล โดยคำนึงถึงลักษณะของการประมวลผลและข้อมูลที่ Stripe มีอยู่ หากผู้ใช้ขอความช่วยเหลือจาก Stripe ที่เกินกว่าภาระหน้าที่ของ Stripe ตามกฎหมาย DP หรือข้อตกลงนี้ Stripe อาจเรียกเก็บค่าธรรมเนียมตามสมควรจากผู้ใช้

(f) หาก Stripe ประสบเหตุการณ์เกี่ยวกับข้อมูล จะแจ้งให้ผู้ใช้ทราบโดยไม่ล่าช้าเกินควร ซึ่งในกรณีที่เป็นเหตุการณ์เกี่ยวกับข้อมูลที่ส่งผลกระทบต่อข้อมูลส่วนบุคคลที่อยู่ภายใต้ GDPR หรือ GDPR ของสหราชอาณาจักร จะดำเนินการภายในไม่เกิน 48 ชั่วโมงในแต่ละกรณีหลังจากที่ทราบถึงเหตุการณ์เกี่ยวกับข้อมูลนั้นๆ การแจ้งที่ Stripe ส่งให้ผู้ใช้จะอธิบายรายละเอียดตามสมควรเกี่ยวกับ (1) ประเภทของข้อมูลส่วนบุคคลที่เป็นประเด็นในเหตุการณ์เกี่ยวกับข้อมูลนั้นๆ (2) หมวดหมู่และจำนวนบุคคลหรือบันทึกที่อาจได้รับผลกระทบ (รวมถึงประเทศ) และ (3) สถานะการสืบสวนของ Stripe และมาตรการแก้ไขในปัจจุบันหรือที่วางแผนไว้ตามขอบเขตเท่าที่ Stripe ทราบ ทั้งนี้ หลังจากแจ้งให้ทราบแล้ว Stripe จะส่งข้อมูลอัปเดตที่เกี่ยวข้องเพื่อช่วยเหลือผู้ใช้ในการปฏิบัติตามภาระหน้าที่ของตนภายใต้กฎหมาย DP

(g) มีส่วนร่วมในการตรวจสอบหรือการตรวจตราโดยเปิดให้ผู้ใช้สามารถดูรายงานการตรวจสอบได้เมื่อผู้ใช้ร้องขออย่างเป็นลายลักษณ์อักษร ทั้งนี้ Stripe จะมอบเอกสารหรือทำแบบสอบถามด้านการรักษาความปลอดภัยของข้อมูลแบบเป็นลายลักษณ์อักษรเกี่ยวกับขอบเขตและระยะเวลาตามสมควรในการประมวลผลข้อมูลส่วนบุคคลของ Stripe และบริษัทในเครือโดยเร็วเมื่อได้รับคำขอนี้และไม่มากไปกว่าปีละหนึ่งครั้ง โดยรายงานและเอกสารทั้งหมดที่มอบให้ (เช่น คำตอบในแบบสอบถามด้านการรักษาความปลอดภัย) ถือเป็นข้อมูลที่เป็นความลับของ Stripe และ

(h) ลบหรือส่งคืนข้อมูลส่วนบุคคลทั้งหมดที่ได้รับการประมวลผลโดยเกี่ยวเนื่องกับบริการให้แก่ผู้ใช้ตามความต้องการของผู้ใช้ และลบสำเนาที่มีอยู่หลังจากยุติข้อตกลง เว้นแต่ Stripe จะไม่จำเป็นต้องลบหรือส่งคืนข้อมูลส่วนบุคคลดังกล่าวหรือลบสำเนาที่มีอยู่ ในกรณีที่การจัดเก็บข้อมูลส่วนบุคคลนั้นหรือสำเนาดังกล่าวของ Stripe (1) เป็นสิ่งที่ Stripe กำหนดให้ต้องทำเพื่อใช้สิทธิ์ของตนและปฏิบัติหน้าที่ตามข้อตกลงนี้ หรือ (2) เป็นสิ่งที่กฎหมาย DP กำหนดให้ต้องทำหรืออนุญาตให้ทำได้เป็นระยะเวลานานขึ้น

3.2 ผู้ประมวลผลข้อมูลย่อย

(a) Stripe ว่าจ้างผู้ประมวลผลข้อมูลย่อย (ซึ่งอาจรวมถึงบริษัทในเครือ) ตามความจำเป็นในการให้บริการ ผู้ใช้ยินยอมให้ Stripe ใช้ผู้ประมวลผลข้อมูลย่อยที่มีอยู่ตามที่ระบุไว้ในรายชื่อผู้ประมวลผลข้อมูลย่อยของ Stripe และให้การอนุญาตอย่างเป็นลายลักษณ์อักษรโดยทั่วไปแก่ Stripe ในการว่าจ้างผู้ประมวลผลข้อมูลย่อยตามความจำเป็นในการให้บริการ หากผู้ใช้สมัครรับการแจ้งเตือนทางอีเมลเกี่ยวกับรายชื่อผู้ประมวลผลข้อมูลย่อยของ Stripe ทาง Stripe ก็จะแจ้งให้ผู้ใช้ทราบทางอีเมลหาก Stripe ตั้งใจที่จะเพิ่มผู้ประมวลผลข้อมูลย่อยอย่างน้อย 1 รายในรายชื่อดังกล่าวก่อนที่การเปลี่ยนแปลงจะมีผลเป็นเวลาอย่างน้อย 30 วัน ทั้งนี้ ผู้ใช้สามารถคัดค้านการเปลี่ยนแปลงดังกล่าวได้ตามสมควรภายใต้หลักกฎหมายภายใน 30 วันหลังจากที่ผู้ใช้ได้รับแจ้งให้ทราบถึงการเปลี่ยนแปลงนั้นๆ ผู้ใช้รับทราบว่าผู้ประมวลผลข้อมูลย่อยของ Stripe มีความสำคัญในการให้บริการ และหากผู้ใช้คัดค้านการใช้ผู้ประมวลผลข้อมูลย่อยของ Stripe ทาง Stripe ก็จะไม่มีภาระหน้าที่ในการให้บริการต่างๆ ที่ Stripe ใช้ผู้ประมวลผลข้อมูลย่อยรายดังกล่าวแก่ผู้ใช้ ไม่ว่าจะมีข้อกำหนดใดๆ ระบุไว้เป็นอื่นในข้อตกลงฉบับนี้ (รวมถึง DPA นี้) ก็ตาม

(b) Stripe จะทำข้อตกลงแบบเป็นลายลักษณ์อักษรกับผู้ประมวลผลข้อมูลย่อยแต่ละราย ซึ่งกำหนดภาระหน้าที่ให้กับผู้ประมวลผลข้อมูลย่อยรายนั้นๆ เทียบเท่ากับภาระหน้าที่ที่กำหนดให้กับ Stripe ภายใต้ DPA นี้ รวมถึงภาระหน้าที่ในการใช้มาตรการรักษาความปลอดภัยของข้อมูลที่เหมาะสม ทั้งนี้ หากผู้ประมวลผลข้อมูลย่อยไม่ปฏิบัติตามภาระหน้าที่ในการคุ้มครองข้อมูลของตนตามข้อตกลงดังกล่าว Stripe จะยังคงรับผิดต่อผู้ใช้สำหรับการกระทำและการละเว้นของผู้ประมวลผลข้อมูลย่อยในระดับเดียวกับที่ Stripe จะต้องรับผิดในกรณีที่เป็นการให้บริการที่เกี่ยวข้องโดยตรงภายใต้ DPA นี้

3.3 CCPA

Stripe จะไม่ (ยกเว้นเพื่อให้บริการของ Stripe ตามที่กฎหมายอนุญาต) (a) ขายหรือเผยแพร่ข้อมูลส่วนบุคคล (ตามที่กำหนดไว้ภายใต้ CCPA) (b) เก็บรักษา ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนอกเหนือความสัมพันธ์ทางธุรกิจโดยตรงกับผู้ใช้ เว้นแต่จะเป็นไปเพื่อมอบผลิตภัณฑ์และบริการของ Stripe และตามที่จำเป็นในการปฏิบัติตามกฎหมาย และ (c) รวมข้อมูลส่วนบุคคลที่ได้รับจากหรือผ่านทางผู้ใช้เข้ากับข้อมูลส่วนบุคคลที่ได้รับจากหรือในนามของบุคคลอื่นหรือรวบรวมจากปฏิสัมพันธ์ระหว่าง Stripe เองกับบุคคลอื่น โดยเป็นไปตามขอบเขตที่ CCPA มีผลบังคับใช้และ Stripe ทำหน้าที่เป็นผู้ประมวลผลข้อมูล ทั้งนี้ Stripe รับรองว่าตนเข้าใจและจะปฏิบัติตามข้อกำหนดต่างๆ ใน DPA นี้ที่เกี่ยวข้องกับ CCPA และจะให้การคุ้มครองความเป็นส่วนตัวแก่ข้อมูลส่วนบุคคลในระดับเดียวกับที่ CCPA กำหนดไว้ Stripe จะแจ้งให้ผู้ใช้ทราบหากพิจารณาแล้วเห็นว่าไม่สามารถปฏิบัติตามภาระหน้าที่ภายใต้ CCPA ได้อีกต่อไป และจะใช้มาตรการตามสมควรและเหมาะสมเพื่อแก้ไขการประมวลผลข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต

3.4 ข้อจำกัดความรับผิด

Stripe และบริษัทในเครือจะไม่รับผิดต่อการเรียกร้องใดๆ จากเจ้าของข้อมูลที่เกิดขึ้นจากหรือเกี่ยวข้องกับการกระทำหรือการละเว้นของ Stripe หรือบริษัทในเครือใดๆ ตามขอบเขตที่ Stripe ได้กระทำการตามคำสั่งของผู้ใช้ ไม่ว่าจะมีข้อกำหนดใดๆ ระบุไว้เป็นอื่นในข้อตกลงฉบับนี้ (รวมถึง DPA นี้) ก็ตาม

4. ภาระหน้าที่ของผู้ใช้เมื่อทำหน้าที่เป็นผู้ควบคุมข้อมูล

4.1 คำสั่ง

ผู้ใช้จะต้องให้คำสั่งที่ชอบด้วยกฎหมายแก่ Stripe เท่านั้น

4.2 การปฏิบัติตามกฎหมาย DP

ผู้ใช้ต้องปฏิบัติตามและทำตามภาระหน้าที่ของผู้ใช้ภายใต้กฎหมาย DP เช่นในเรื่องเกี่ยวกับสิทธิ์ของเจ้าของข้อมูล การรักษาความปลอดภัยและการรักษาความลับของข้อมูล และตรวจสอบให้แน่ใจว่าผู้ใช้มีฐานทางกฎหมายที่เหมาะสมรองรับในการประมวลผลข้อมูลส่วนบุคคลตามที่อธิบายไว้ในข้อตกลง (รวมถึง DPA นี้) และ

4.3 การเปิดเผยข้อมูล

ผู้ใช้ต้องแจ้งประกาศที่จำเป็นทั้งหมด (เช่น โดยการเปิดให้เข้าถึงนโยบายความเป็นส่วนตัว) แก่เจ้าของข้อมูล (รวมถึงลูกค้า) และขอสิทธิ์ การอนุญาต และความยินยอมที่จำเป็นทั้งหมดจากบุคคลดังกล่าวเพื่อให้ Stripe สามารถประมวลผลข้อมูลส่วนบุคคลใดๆ ที่ผู้ใช้ให้มาตามที่อธิบายไว้ในข้อตกลง (รวมถึง DPA นี้) ได้อย่างถูกต้องตามกฎหมาย ทั้งนี้ ผู้ใช้จะมีหน้าที่รับผิดชอบแต่เพียงผู้เดียวต่อเนื้อหาของประกาศที่มอบให้กับลูกค้าของตน

5. ภาระหน้าที่ของ Stripe เมื่อทำหน้าที่เป็นผู้ควบคุมข้อมูล

Stripe ต้องปฏิบัติตามและทำตามภาระหน้าที่ภายใต้กฎหมาย DP เมื่อประมวลผลข้อมูลส่วนบุคคล (เช่น การเปิดให้เข้าถึงนโยบายความเป็นส่วนตัวที่อธิบายถึงวิธีการและวัตถุประสงค์ที่ Stripe เก็บรวบรวม ใช้ เก็บรักษา เปิดเผย และปกป้องข้อมูลส่วนบุคคล)

6. การโอนข้อมูล

6.1 การโอนข้อมูลข้ามพรมแดนโดยผู้ใช้

ผู้ใช้รับทราบว่า ผู้ใช้จะโอนข้อมูลส่วนบุคคลไปยัง Stripe, LLC ในสหรัฐอเมริกาเพื่อให้ Stripe สามารถให้บริการได้ แต่หากการโอนดังกล่าวมีข้อมูลส่วนบุคคลที่ต้องใช้กลไกการโอนข้อมูล ภาคผนวกเกี่ยวกับการโอนข้อมูลซึ่งรวมอยู่กับ DPA นี้จะมีผลบังคับใช้

6.2 การโอนข้อมูลข้ามพรมแดนโดย Stripe

Stripe และบริษัทในเครืออาจโอนข้อมูลส่วนบุคคลระหว่างประเทศได้ตามที่จำเป็นในการให้บริการ โดยเฉพาะอย่างยิ่ง ข้อมูลส่วนบุคคลอาจถูกโอนไปให้ Stripe, LLC ในสหรัฐอเมริกา รวมถึงบริษัทในเครือและผู้ประมวลผลข้อมูลย่อยของ Stripe ในเขตอำนาจศาลอื่นๆ

7. ข้อขัดแย้ง

ในกรณีที่มีข้อขัดแย้งระหว่างข้อกำหนดของ DPA นี้กับข้อกำหนดใดๆ ของ

(a) ข้อตกลงเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล ให้ยึดตามข้อกำหนดของ DPA นี้ และ

(b) ภาคผนวกเกี่ยวกับการโอนข้อมูล ให้ยึดตามข้อกำหนดของภาคผนวกเกี่ยวกับการโอนข้อมูล

8. คำจำกัดความ

คำในเครื่องหมายอัญประกาศที่ไม่ได้ให้คำจำกัดความไว้ใน DPA นี้จะมีความหมายตามที่กำหนดไว้ในข้อตกลง

"ข้อตกลง" มีความหมายตามที่ระบุไว้ในข้อตกลงการให้บริการของ Stripe ระหว่างผู้ใช้และ Stripe ซึ่งเข้าดูได้ที่ www.stripe.com/legal/ssa หรือตามที่ทั้งสองฝ่ายตกลงกันไว้เป็นอย่างอื่น

"บริการที่ได้รับอนุญาต" หมายถึงบริการที่หน่วยงานของรัฐได้อนุญาต อนุมัติ หรือกำกับดูแล

"CCPA" หมายถึง California Consumer Privacy Act of 2018 (กฎหมายความเป็นส่วนตัวของผู้บริโภคแห่งรัฐแคลิฟอร์เนีย ปี 2018), Cal. Civ. Code (ประมวลกฎหมายแพ่งแห่งรัฐแคลิฟอร์เนีย) มาตรา 1798.100-1798.199 และระเบียบข้อบังคับต่างๆ ที่ใช้บังคับ

"ผู้ควบคุมข้อมูล" หมายถึงนิติบุคคลซึ่งกำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคลแต่เพียงผู้เดียวหรือร่วมกับผู้อื่น ซึ่งอาจรวมถึง "ธุรกิจ" ตามที่กำหนดไว้ภายใต้ CCPA (ตามที่เกี่ยวข้อง)

"เหตุการณ์เกี่ยวกับข้อมูล" หมายถึงการประมวลผล การใช้ การเข้าถึง การสูญหาย การเปิดเผย การทำลาย หรือการปรับเปลี่ยนข้อมูลส่วนบุคคลที่อยู่ในความครอบครองหรือการควบคุมของคู่สัญญาหรือบริษัทในเครือ (หรือผู้ทำสัญญาช่วง ตัวแทน หรือผู้แทนของคู่สัญญาหรือบริษัทในเครือ) โดยไม่ได้รับอนุญาตหรือไม่ชอบด้วยกฎหมาย

"กรอบการทำงานด้านความเป็นส่วนตัวของข้อมูล" หมายถึงโปรแกรมการรับรองด้วยตนเองว่าด้วยกรอบการทำงานด้านความเป็นส่วนตัวของข้อมูลระหว่างสหภาพยุโรป-สหรัฐอเมริกา, สวิตเซอร์แลนด์-สหรัฐอเมริกา หรือสหราชอาณาจักร-สหรัฐอเมริกา (ตามที่เกี่ยวข้อง) ซึ่งดำเนินการโดย Department of Commerce (กระทรวงพาณิชย์) ของสหรัฐอเมริกา

"ผู้ประมวลผลข้อมูล" หมายถึงนิติบุคคลที่ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ควบคุมข้อมูล ซึ่งอาจรวมถึง "ผู้ให้บริการ" ตามที่กำหนดไว้ภายใต้ CCPA (ตามที่เกี่ยวข้อง)

"มาตรการรักษาความปลอดภัยของข้อมูล" หมายถึงมาตรการทางเทคนิคและองค์กรที่มีวัตถุประสงค์เพื่อรักษาความปลอดภัยของข้อมูลส่วนบุคคลให้มีระดับการรักษาความปลอดภัยที่เหมาะสมกับความเสี่ยงในการประมวลผล

"เจ้าของข้อมูล" หมายถึงบุคคลธรรมดาที่ได้รับการระบุตัวตนแล้วหรือระบุตัวตนได้ ซึ่งข้อมูลส่วนบุคคลเกี่ยวข้องกับบุคคลนั้นๆ

"กลไกการโอนข้อมูล" หมายถึงกลไกการโอนที่ช่วยให้สามารถโอนข้อมูลส่วนบุคคลข้ามพรมแดนได้อย่างถูกต้องตามกฎหมายภายใต้กฎหมาย DP ซึ่งรวมถึงกลไกการโอนที่กำหนดภายใต้กฎหมาย DP ใน EEA, สวิตเซอร์แลนด์ และสหราชอาณาจักร เช่น กรอบการทำงานด้านความเป็นส่วนตัวของข้อมูล, ข้อสัญญามาตรฐานของ EEA, ภาคผนวกเกี่ยวกับการโอนข้อมูลระหว่างประเทศของสหราชอาณาจักร และกลไกการโอนข้อมูลใดๆ ที่มีอยู่ภายใต้กฎหมาย DP ที่รวมอยู่ใน DPA นี้

"ภาคผนวกเกี่ยวกับการโอนข้อมูล" หมายถึงภาคผนวกเกี่ยวกับการโอนข้อมูลซึ่งเข้าดูได้ที่ www.stripe.com/legal/dta โดยมีการปรับปรุงเป็นครั้งคราว

"กฎหมาย DP" หมายถึงกฎหมายที่บังคับใช้กับการประมวลผลข้อมูลส่วนบุคคลภายใต้ข้อตกลงและ DPA นี้ เช่น กฎหมายระหว่างประเทศ รัฐบาลกลาง รัฐ จังหวัด และท้องถิ่นที่เกี่ยวข้องกับความเป็นส่วนตัว การคุ้มครองข้อมูล หรือการรักษาความปลอดภัยของข้อมูลไม่ว่าในลักษณะใดก็ตาม

"EEA" หมายถึงเขตเศรษฐกิจยุโรป

"ข้อสัญญามาตรฐานของ EEA" หมายถึงโมดูล 1 (การโอน: ผู้ควบคุมถึงผู้ควบคุม) และโมดูล 2 (การโอน: ผู้ควบคุมถึงผู้ประมวลผล) ของข้อสัญญามาตรฐานที่กำหนดไว้ใน European Commission Implementing Decision (EU) 2021/914 ว่าด้วยข้อสัญญามาตรฐานสำหรับการโอนข้อมูลส่วนบุคคลไปยังประเทศที่สามตาม GDPR

"GDPR" หมายถึง General Data Protection Regulation (EU) 2016/679 (กฎระเบียบว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล (สหภาพยุโรป) 2016/679)

"คำสั่ง" หมายถึงการสื่อสารหรือเอกสารใดๆ รวมถึงข้อมูลที่อาจให้มาผ่าน Stripe API หรือแดชบอร์ด Stripe หรือข้อตกลงแบบเป็นลายลักษณ์อักษรระหว่างผู้ใช้กับ Stripe ซึ่งผู้ควบคุมข้อมูลสั่งให้ผู้ประมวลผลข้อมูลทำการประมวลผลข้อมูลส่วนบุคคลในรูปแบบที่เฉพาะเจาะจงสำหรับผู้ควบคุมข้อมูลรายนั้นๆ

"ผู้ควบคุมร่วม" หมายถึงผู้ควบคุมข้อมูลที่ร่วมกันกำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคลร่วมกับผู้ควบคุมข้อมูลตั้งแต่หนึ่งรายขึ้นไป

"ข้อมูลส่วนบุคคล" หมายถึงข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่สามารถระบุตัวตนได้ซึ่งได้รับการประมวลผลโดยเกี่ยวเนื่องกับบริการ และรวมถึง "ข้อมูลส่วนบุคคล" ตามที่กำหนดไว้ใน GDPR และ "ข้อมูลส่วนบุคคล" ตามที่กำหนดไว้ใน CCPA

"นโยบายความเป็นส่วนตัว" หมายถึงนโยบายความเป็นส่วนตัว ประกาศความเป็นส่วนตัว นโยบายข้อมูล นโยบายคุกกี้ ประกาศเกี่ยวกับคุกกี้ใดๆ หรือทั้งหมดที่เผยแพร่แบบสาธารณะ หรือนโยบายสาธารณะหรือประกาศสาธารณะอื่นๆ ที่คล้ายคลึงกัน ซึ่งระบุถึงแนวทางปฏิบัติและข้อผูกมัดเกี่ยวกับข้อมูลส่วนบุคคลของฝ่ายใดฝ่ายหนึ่ง

"ประมวลผล" หมายถึงการดำเนินการหรือชุดการดำเนินการใดๆ กับข้อมูลส่วนบุคคลหรือชุดข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม การบันทึก การจัดระเบียบ การจัดโครงสร้าง การจัดเก็บ การปรับเปลี่ยนหรือการเปลี่ยนแปลง การเรียกดู การให้คำปรึกษา การใช้ การเปิดเผยโดยการส่ง การเผยแพร่ หรือการเปิดให้เข้าถึงได้ในลักษณะอื่นใด การปรับให้สอดคล้องหรือการรวม การจำกัด การลบ หรือการทำลายตามที่อธิบายไว้ในกฎหมาย DP ทั้งนี้ "ถูกประมวลผล" และ "การประมวลผล" จะมีความหมายที่สอดคล้องกัน

"ข้อมูลที่ละเอียดอ่อน" หมายถึง (a) ข้อมูลส่วนบุคคลที่เป็นข้อมูลทางพันธุกรรม ข้อมูลไบโอเมตริก ข้อมูลเกี่ยวกับสุขภาพ ชีวิตด้านเพศหรือรสนิยมทางเพศของบุคคลธรรมดา (b) ข้อมูลเกี่ยวกับเชื้อชาติหรือชาติพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนาหรือปรัชญา หรือการเป็นสมาชิกสหภาพแรงงาน (c) ข้อมูลตำแหน่งทางภูมิศาสตร์ หรือ (d) ข้อมูลส่วนบุคคลที่ละเอียดอ่อนตามที่กำหนดไว้ใน CCPA (ตามขอบเขตที่ข้อมูลนี้ได้รับการปฏิบัติอย่างชัดเจนว่าเป็นหมวดหมู่พิเศษของข้อมูลส่วนบุคคลตามกฎหมาย DP)

"ผู้ประมวลผลข้อมูลย่อย" หมายถึงนิติบุคคลที่ผู้ประมวลผลข้อมูลว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคลในนามของผู้ประมวลผลข้อมูลรายนั้นๆ โดยเกี่ยวข้องกับบริการ

"รายชื่อผู้ประมวลผลข้อมูลย่อยของ Stripe" หมายถึงรายชื่อผู้ประมวลผลข้อมูลย่อยและบริษัทในเครือของ Stripe ซึ่งเข้าดูได้ที่ www. stripe.com/legal/service-providers โดยมีการปรับปรุงเป็นครั้งคราว

"หน่วยงานกำกับดูแล" หมายถึงหน่วยงานอิสระของรัฐซึ่ง (1) จัดตั้งขึ้นโดยประเทศสมาชิกสหภาพยุโรปตามมาตรา 51 ของ GDPR หรือ (2) หน่วยงานของรัฐที่กำกับดูแลการคุ้มครองข้อมูล ซึ่งมีอำนาจกำกับดูแลและเขตอำนาจศาลเหนือผู้ใช้

"GDPR ของสหราชอาณาจักร" หมายถึง GDPR ที่ถูกนำมาใช้กับกฎหมายระดับประเทศของสหราชอาณาจักรโดยการบังคับใช้มาตรา 3 ของ European Union (Withdrawal) Act 2018 และตามที่แก้ไขเพิ่มเติมโดย Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019

"ภาคผนวกเกี่ยวกับการโอนข้อมูลระหว่างประเทศของสหราชอาณาจักร" หมายถึง ภาคผนวกเกี่ยวกับการโอนข้อมูลระหว่างประเทศสำหรับข้อสัญญามาตรฐานของ EEA ที่ออกโดยสำนักงานคณะกรรมการข้อมูลสารสนเทศ (Information Commissioner's Office) ของสหราชอาณาจักร

เอกสาร: การรักษาความปลอดภัยของข้อมูลของ STRIPE

ดาวน์โหลด DPA

คลิกที่นี่เพื่อดาวน์โหลด DPA ของ Stripe