ข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement)
ข้อตกลงฉบับนี้ (“DPA”) กำหนดเงื่อนไขที่ WealthD (“ผู้ประมวลผลข้อมูล”) ประมวลผลข้อมูลส่วนบุคคลในนามของที่ปรึกษาการเงินหรือผู้ประกอบวิชาชีพ (“ผู้ควบคุมข้อมูล”) ที่ใช้บริการ Wealth Pro ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)
1. คำนิยาม
- ข้อมูลส่วนบุคคล — ข้อมูลใดๆ ที่สามารถระบุตัวตนบุคคลธรรมดาได้ ตามนิยามใน PDPA
- ผู้ควบคุมข้อมูล — ที่ปรึกษาการเงิน / ผู้ประกอบวิชาชีพที่สมัคร Wealth Pro และนำข้อมูลลูกค้าเข้าระบบ
- ผู้ประมวลผลข้อมูล — WealthD (getwealthd.com) ซึ่งดำเนินการจัดเก็บและประมวลผลข้อมูลตามคำสั่งของผู้ควบคุมข้อมูล
- เจ้าของข้อมูล — ลูกค้าของผู้ควบคุมข้อมูล ซึ่งเป็นบุคคลที่ข้อมูลส่วนบุคคลอ้างถึง
2. ขอบเขตและวัตถุประสงค์การประมวลผล
ผู้ประมวลผลข้อมูลประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลเฉพาะตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลและเพื่อวัตถุประสงค์ดังต่อไปนี้เท่านั้น:
- จัดเก็บและแสดงข้อมูลแผนการเงินของลูกค้าในระบบ WealthD
- คำนวณตัวชี้วัดทางการเงิน และสร้างรายงาน PDF ตามที่ผู้ควบคุมข้อมูลร้องขอ
- ให้บริการแพลตฟอร์มแก่ผู้ควบคุมข้อมูลตามข้อตกลงการให้บริการ (Terms of Service)
3. ประเภทข้อมูลและกลุ่มเจ้าของข้อมูล
ข้อมูลที่ประมวลผลอาจรวมถึง:
- ชื่อ-นามสกุล วันเกิด เพศ สถานภาพสมรส และข้อมูลครอบครัว
- รายได้ รายจ่าย ทรัพย์สิน หนี้สิน และข้อมูลทางการเงินส่วนบุคคล
- เป้าหมายทางการเงิน ระดับความเสี่ยงที่ยอมรับได้ และแผนการลงทุน
4. พันธกรณีของผู้ประมวลผลข้อมูล (WealthD)
- ประมวลผลข้อมูลตามคำสั่งที่เป็นลายลักษณ์อักษรจากผู้ควบคุมข้อมูลเท่านั้น
- ดำเนินมาตรการรักษาความปลอดภัยทางเทคนิคและองค์กรที่เหมาะสม
- แจ้งผู้ควบคุมข้อมูลโดยไม่ชักช้าหากทราบถึงการละเมิดข้อมูลส่วนบุคคล
- ไม่เปิดเผยข้อมูลแก่บุคคลที่สามโดยไม่ได้รับอนุญาต เว้นแต่กฎหมายกำหนด
- ให้ความร่วมมือเพื่อให้ผู้ควบคุมข้อมูลสามารถปฏิบัติตามสิทธิ์ของเจ้าของข้อมูล
- ลบหรือส่งคืนข้อมูลเมื่อสิ้นสุดการให้บริการ ตามที่ผู้ควบคุมข้อมูลเลือก
5. พันธกรณีของผู้ควบคุมข้อมูล (ที่ปรึกษา)
- รับประกันว่าได้รับความยินยอมที่ถูกต้องจากเจ้าของข้อมูล ก่อนนำข้อมูลเข้าระบบ
- แจ้งเจ้าของข้อมูลถึงการใช้ระบบ WealthD ในฐานะผู้ประมวลผลข้อมูล
- ใช้ระบบตามวัตถุประสงค์ที่ระบุไว้เท่านั้น
- รับผิดชอบต่อความถูกต้องและความครบถ้วนของข้อมูลที่นำเข้าระบบ
6. ผู้ประมวลผลข้อมูลช่วง (Sub-processors)
WealthD ใช้บริการจากผู้ให้บริการบุคคลที่สามดังต่อไปนี้ในการประมวลผลข้อมูล โดยแต่ละรายผูกพันตามข้อตกลงการประมวลผลข้อมูลของผู้ให้บริการนั้นๆ:
- Supabase — จัดเก็บข้อมูล (database hosting) ใน region AWS ap-south-1 (South Asia / Mumbai, ประเทศอินเดีย)
- Vercel — web hosting และ edge computing (สหรัฐอเมริกา)
- Clerk — การยืนยันตัวตนและการจัดการบัญชีผู้ใช้ (สหรัฐอเมริกา)
WealthD จะแจ้งผู้ควบคุมข้อมูลล่วงหน้าหากมีการเปลี่ยนแปลง sub-processors ที่สำคัญ และกำหนดให้ sub-processor แต่ละรายปฏิบัติตามมาตรฐานการคุ้มครองข้อมูลที่ไม่ต่ำกว่าข้อตกลงฉบับนี้
7. มาตรการรักษาความปลอดภัย
WealthD ดำเนินมาตรการทางเทคนิคและองค์กรที่เหมาะสมตาม PDPA มาตรา 37(1) ดังต่อไปนี้:
- การเข้ารหัสข้อมูลระหว่างการส่ง (TLS 1.2 ขึ้นไป)
- การเข้ารหัสข้อมูลส่วนบุคคลในระดับฟิลด์ขณะจัดเก็บ (field-level encryption at rest) ด้วยอัลกอริทึม AES-256-GCM สำหรับข้อมูลระบุตัวตนและข้อความอิสระ (เช่น ชื่อ-นามสกุล อีเมล เบอร์โทรศัพท์ วันเกิด อาชีพ บันทึก และข้อมูลผู้อยู่ในอุปการะ) โดยกุญแจเข้ารหัสถูกเก็บแยกจากฐานข้อมูล — ผู้ดูแลระบบฐานข้อมูลไม่สามารถอ่านค่าจริงได้
- การควบคุมการเข้าถึงโดยใช้หลักการสิทธิ์น้อยที่สุด (Least Privilege) และการยืนยันตัวตนผู้ใช้
- การบันทึก Audit Log แบบ append-only สำหรับการสร้าง/อ่าน/แก้ไข/ลบ/ส่งออกข้อมูลส่วนบุคคล (PDPA มาตรา 39)
- การเปิดเผยข้อมูลที่เข้ารหัสแก่ผู้ดูแลระบบทำได้ผ่านช่องทางที่ถูกบันทึกการเข้าถึง (audited) เท่านั้น
- การทดสอบและทบทวนมาตรการรักษาความปลอดภัยเป็นระยะ
8. การโอนข้อมูลไปยังต่างประเทศ (Cross-border Transfer)
เนื่องจาก sub-processors ในข้อ 6 ตั้งอยู่นอกประเทศไทย (อินเดียและสหรัฐอเมริกา) การประมวลผลจึงมีการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ตาม PDPA มาตรา 28–29 โดย WealthD อาศัยฐานทางกฎหมายและมาตรการคุ้มครองดังต่อไปนี้:
- จัดให้มี มาตรการคุ้มครองที่เหมาะสมและบังคับใช้ได้ (appropriate safeguards) ผ่านข้อตกลงการประมวลผลข้อมูลกับ sub-processor แต่ละราย ซึ่งกำหนดมาตรฐานการคุ้มครอง ไม่ต่ำกว่าที่ PDPA กำหนด พร้อมสิทธิเรียกร้องและการเยียวยาที่บังคับใช้ได้แก่เจ้าของข้อมูล
- ข้อมูลส่วนบุคคลที่ระบุตัวตนถูก เข้ารหัสในระดับฟิลด์ก่อนจัดเก็บ (ดูข้อ 7) จึงลดความเสี่ยงของการโอนข้อมูลข้ามพรมแดน
- ผู้ควบคุมข้อมูลรับทราบและตกลงให้มีการโอนข้อมูลไปยังประเทศปลายทางข้างต้น และมีหน้าที่ แจ้งและขอความยินยอมจากเจ้าของข้อมูลตามที่กฎหมายกำหนด (ดูข้อ 5)
WealthD มิได้อ้างว่าประเทศปลายทางได้รับการวินิจฉัยว่ามีมาตรฐานการคุ้มครองที่เพียงพอ (adequacy decision) จากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล แต่อาศัยมาตรการคุ้มครองที่เหมาะสม ตามมาตรา 28(2) เป็นฐานในการโอน
9. การแจ้งเหตุละเมิดข้อมูล
หากพบการละเมิดข้อมูลส่วนบุคคล WealthD จะแจ้งผู้ควบคุมข้อมูลผ่านทาง support@getwealthd.com ภายใน 72 ชั่วโมงนับจากทราบเหตุ โดยระบุลักษณะของการละเมิด ข้อมูลที่ได้รับผลกระทบ และมาตรการที่ดำเนินการแก้ไข เพื่อให้ผู้ควบคุมข้อมูลสามารถปฏิบัติตามหน้าที่ในการแจ้งเหตุ ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและเจ้าของข้อมูลได้ตาม PDPA มาตรา 37(4)
10. การส่งคืนและลบข้อมูล
เมื่อสิ้นสุดสัญญาหรือตามคำขอของผู้ควบคุมข้อมูล WealthD จะ:
- ลบข้อมูลส่วนบุคคลออกจากระบบอย่างถาวรภายใน 30 วัน หรือ
- ส่งคืนข้อมูลในรูปแบบ JSON / CSV ตามที่ร้องขอก่อนลบ
ทั้งนี้ ระยะเวลาการเก็บรักษาและการลบข้อมูลอัตโนมัติเป็นไปตามที่ระบุใน หน้าข้อมูล PDPA และ นโยบายความเป็นส่วนตัว เว้นแต่กฎหมายกำหนดให้เก็บรักษาไว้นานกว่านั้น (เช่น Audit Log)
11. ความรับผิดและการชดใช้
แต่ละฝ่ายรับผิดต่อความเสียหายที่เกิดจากการที่ตนไม่ปฏิบัติตามหน้าที่ภายใต้ PDPA และข้อตกลงฉบับนี้ ผู้ควบคุมข้อมูลรับผิดชอบต่อความชอบด้วยกฎหมายของฐานการประมวลผลและความยินยอมที่ได้รับจากเจ้าของข้อมูล ขณะที่ WealthD รับผิดชอบต่อการดำเนินมาตรการรักษาความปลอดภัยและการประมวลผลตามคำสั่งที่ได้รับ ตามขอบเขตในข้อ 2 และ 4
12. ระยะเวลาและการสิ้นสุด
DPA ฉบับนี้มีผลตั้งแต่วันที่ผู้ควบคุมข้อมูลยอมรับ ณ หน้า checkout และสิ้นสุดเมื่อสัญญาบริการ Wealth Pro สิ้นสุดลง โดยข้อผูกพันด้านความลับ การรักษาความปลอดภัย และการลบ/ส่งคืนข้อมูล ยังคงมีผลจนกว่าจะดำเนินการแล้วเสร็จ
13. กฎหมายที่ใช้บังคับและเขตอำนาจศาล
ข้อตกลงฉบับนี้อยู่ภายใต้บังคับของกฎหมายแห่งราชอาณาจักรไทย และข้อพิพาทที่เกิดขึ้นให้อยู่ในเขตอำนาจของศาลที่มีเขตอำนาจในประเทศไทย
14. ติดต่อ
สอบถามหรือแจ้งปัญหาเกี่ยวกับ DPA ได้ที่: support@getwealthd.com (ผู้ดำเนินการ WealthD)
เวอร์ชัน DPA 1.0 · มีผลบังคับใช้ 2026-05-11 · ปรับปรุงล่าสุด 2026-06-05
⚠️ เอกสารนี้เป็นร่างต้นแบบ ควรผ่านการตรวจสอบโดยที่ปรึกษากฎหมายก่อนนำไปใช้จริง