数据处理协议（Data Processing Agreement，DPA）
版本日期：2026年10月
SiamPoints 平台通用使用条款之附件
协议双方： 相应企业/店铺（以下简称“控制者”或“Data Controller”）与 First Class Tech Ventures Co., Ltd.（SiamPoints 的运营者，以下简称“处理者”或“Data Processor”）
1. 标的与适用范围
本数据处理协议（DPA）规定双方在处理者受控制者委托处理个人数据方面的权利与义务。该处理在提供“SiamPoints” SaaS 平台（积分系统、预订引擎、电子商务网店、API 支付集成、付款凭证核验、企业自设表单字段及群发消息）的范围内进行。本协议是对我们使用条款的补充。
本 DPA 仅适用于商家依据泰国 PDPA 作为数据控制者的个人数据（例如与订单相关的收货地址、店铺特定的预订详情、购买记录、API 支付转发、上传的付款凭证、顾客的反馈、企业自设表单字段中的信息以及群发消息的同意）。对于终端客户为创建全局 SiamPoints 账户而提供的主要注册数据（电子邮箱地址，或通过 Google、Apple、Facebook 或 LINE 登录——不为此使用手机号码），SiamPoints 依据我们另行制定的隐私政策，作为独立的数据控制者。
SiamPoints 不是支付服务提供商：处理者不代控制者或其顾客收款，不持有资金，也不转付任何款项；顾客的付款直接支付给控制者。处理者向控制者的支付服务提供商或核验服务转交交易数据或付款凭证时，仅从技术上代控制者进行。
2. 数据类型与数据主体范围
处理者受控制者委托，处理终端客户（顾客）的以下类别数据：
- 身份识别及联系数据： 姓名、电子邮箱地址，以及仅在顾客为配送而自行填写时的电话号码。
- 交易数据： 累积的积分、在线预订详情（例如日期、人数、特殊要求），以及顾客向控制者提交的反馈和请求。
- 电子商务及支付数据： 收货地址、账单地址、所订购商品，以及为处理付款而通过平台接口转发给集成的支付服务提供商的交易详情；此外还包括上传的付款凭证（图片、付款人姓名、金额、时间）及其核验结果。
- 企业自设表单字段中的信息： 顾客在控制者于其表单中设置的附加字段中填写的内容。
- 群发消息： 顾客按服务分别作出的同意及其凭证（时间、同意文本的版本、方式、IP 地址）、顾客在该服务中的标识、退订记录，以及所发送消息的内容和日志。
数据主体范围（Data Subjects）： 通过平台与相应控制者（店铺/企业）互动的终端客户（顾客）。
3. 处理者（SiamPoints）的义务
根据泰国 PDPA 的规定，处理者承诺如下：
3.1 严格遵循指示 处理者仅在控制者有记录的指示范围内处理个人数据。控制者使用 SiamPoints 平台的功能即构成此类有记录的指示。明确禁止处理者为其自身的广告或群发目的而针对控制者的终端客户处理数据。处理者仅代控制者、通过控制者自己在相应服务的账户传送控制者的消息（群发消息），仅发送给已有效同意的顾客，且每条消息均附有退订链接。
3.2 数据安全（技术和组织措施） 处理者采取适当的技术和组织安全措施，保护数据免遭未经授权的访问、丢失、盗窃、毁损或篡改。这包括使用安全的服务器基础设施和加密的数据传输。
3.3 数据泄露通知义务（Data Breach Notification） 如处理者发现个人数据保护遭到破坏（黑客攻击、数据泄露），应立即通知控制者，最迟不超过知悉后36小时。这使控制者能够在规定的72小时内履行其向泰国个人数据保护主管机关（PDPC）报告的法定义务。
3.4 协助控制者 处理者通过适当的技术措施，协助控制者履行其答复数据主体行使权利之请求（例如访问、删除、更正）的义务。
3.5 数据的删除或返还 主合同终止后（SiamPoints 订阅结束后），以及因未付款而被停用期间，处理者将其受托处理的控制者个人数据保存六个月，以便控制者重新激活订阅（订阅条款第10.3条）。如控制者在此之前要求删除或返还，处理者将根据控制者的选择，安全删除该等数据，或以通用格式返还。六个月期满后，处理者将安全删除该等数据。上述各项均以泰国法律（例如《计算机犯罪法》）未规定须更长期保存技术日志为限。顾客的积分将保留在其 SiamPoints 账户中。
3.6 保密、记录与法定义务 处理者要求所有处理数据的人员承担保密义务，并依据 PDPA 保存其处理活动记录。如法律、政府机关或法院依泰国法律要求披露，处理者可披露数据——例如依《计算机犯罪法》第26条保存的日志；在法律允许的范围内，处理者将就此通知控制者。
4. 分处理者（Sub-Processors）的委任与跨境传输
控制者特此一般性授权处理者委任为平台安全运行所绝对必需的其他处理者（分处理者）。该等分处理者尤其包括：
- 云及服务器托管服务提供商
- 内容分发网络（CDN）和安全基础设施（例如提供用于防御网络攻击的 Web 应用防火墙、Turnstile 及公开媒体文件存储的 Cloudflare）
- 通信网关（例如电子邮件发送服务、LINE Messaging API）
- 地址搜索和地图（Geoapify、OpenFreeMap）
- 支付服务提供商 / 支付网关（例如 Stripe、Opn Payments 或同类提供商），以其集成被用于控制者网店中的 B2C 支付处理为限——通过控制者自己的账户。
付款凭证核验：如控制者开启自动核验，由控制者自行选择核验服务（例如 SlipOK、EasySlip 或 Thunder），并通过其自己的账户使用；与该服务提供商的合同是控制者自己的合同，费用亦由控制者承担。处理者仅从技术上代控制者转交付款凭证。同样，对于群发消息，控制者使用其自己在相应服务的账户（在泰国为 LINE）；该账户适用相应服务的条款以及群发消息补充条款。
跨境数据传输：控制者知悉并明确同意，上述部分分处理者（尤其是云托管和 CDN 提供商）在泰国境外运营服务器基础设施。因此，所处理的数据可能被跨境传输。处理者通过合同和技术手段确保该等分处理者和接收国具备符合泰国 PDPA（尤其是第28条）要求的充分数据保护标准。
5. 控制者（商家/店铺）的义务与责任
- 法律依据： 控制者保证，其通过平台收集和处理数据（尤其是超出上述范围的预订或订单数据）具有 PDPA 规定的有效法律依据。控制者独自负责对其终端客户的数据保护请求进行法律评估和处理。
- 赔偿与责任限制： 对于因控制者造成的违反 PDPA 的行为而产生的任何第三方（包括泰国个人数据保护主管机关 PDPC）的索赔、处罚或损害赔偿请求，控制者应全面赔偿处理者并使其免受损害。关于处理者（SiamPoints）依据本 DPA 承担的合同责任，通用使用条款中的责任限制和责任上限完全并相应适用。
- 自设表单字段、群发消息及核验服务： 控制者独自对其自设表单字段的内容（敏感数据仅限于取得明确同意后收集）、群发消息中的同意和消息内容，以及其核验服务和支付服务提供商的选择与使用承担责任。第2项规定的赔偿同样适用于上述情形。
6. 最终条款
本 DPA 受泰王国法律管辖。本 DPA 自控制者以电子方式表示同意（例如在注册时勾选复选框）之时起生效，并构成 SiamPoints 平台通用使用条款不可分割的组成部分。以泰文版本为准（使用条款第14条）。