สำหรับโรงเรียนที่ต้องการข้อตกลงอย่างเป็นทางการกับผู้ให้บริการ — ผู้อำนวยการหรือผู้รับมอบอำนาจ ยอมรับได้ที่เมนู ตั้งค่า → ข้อมูลโรงเรียน หรือดาวน์โหลดฉบับพิมพ์ไปลงนามแล้วส่งกลับในระบบ
1. คู่สัญญาและบทบาท
ข้อตกลงฉบับนี้ทำขึ้นระหว่างโรงเรียนซึ่งใช้บริการระบบสมุดพก ในฐานะ "ผู้ควบคุมข้อมูลส่วนบุคคล" ฝ่ายหนึ่ง กับผู้ให้บริการระบบสมุดพก (samudpok.app) ในฐานะ "ผู้ประมวลผลข้อมูลส่วนบุคคล" อีกฝ่ายหนึ่ง ตามมาตรา 40 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
ผู้ให้บริการประมวลผลข้อมูลส่วนบุคคลตามคำสั่งและเพื่อวัตถุประสงค์ของโรงเรียนเท่านั้น และไม่อ้างกรรมสิทธิ์ในข้อมูลที่บันทึกในระบบ
2. ขอบเขตข้อมูลและวัตถุประสงค์
ข้อมูลที่ประมวลผลได้แก่ ข้อมูลทะเบียนนักเรียน (ชื่อ รหัสประจำตัว ชื่อเล่น รูปถ่าย วันเกิด ข้อมูลติดต่อของนักเรียนและผู้ปกครอง) ผลการเรียน การมาเรียน งานที่ส่ง ข้อมูลสุขภาพพื้นฐาน (น้ำหนัก ส่วนสูง) และข้อมูลบัญชีครูผู้ใช้งาน
วัตถุประสงค์จำกัดเฉพาะการบริหารจัดการการเรียนการสอน การวัดและประเมินผล การจัดทำเอกสารตามระเบียบราชการ (เช่น ปพ.5 ปพ.6) และการแจ้งเตือนที่เกี่ยวข้องกับการเรียนเท่านั้น
3. หน้าที่ของผู้ประมวลผลข้อมูล
ผู้ให้บริการตกลงดังต่อไปนี้
- ประมวลผลข้อมูลตามคำสั่งที่ชอบด้วยกฎหมายของโรงเรียนเท่านั้น ไม่นำไปใช้เพื่อประโยชน์อื่น ไม่ขาย และไม่ใช้เพื่อการโฆษณา
- จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ได้แก่ การควบคุมการเข้าถึงระดับแถวข้อมูล (Row Level Security) การเข้ารหัสรหัสผ่านและ PIN แบบทางเดียว การจัดเก็บไฟล์แบบไม่เปิดสาธารณะ และการล็อกบัญชีเมื่อพบการพยายามเข้าถึงผิดปกติ
- รักษาความลับของข้อมูล และจำกัดการเข้าถึงเฉพาะบุคลากรเท่าที่จำเป็นต่อการให้บริการ
- ไม่โอนข้อมูลไปยังผู้ประมวลผลช่วงรายอื่นนอกจากที่ระบุในข้อ 4 หากจะเปลี่ยนแปลงจะแจ้งให้โรงเรียนทราบล่วงหน้า
- แจ้งโรงเรียนโดยไม่ชักช้าและไม่เกิน 48 ชั่วโมงนับแต่ทราบเหตุ เมื่อเกิดการละเมิดข้อมูลส่วนบุคคล พร้อมรายละเอียดเท่าที่มีเพื่อให้โรงเรียนแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ภายใน 72 ชั่วโมงตามกฎหมาย
- ให้ความช่วยเหลือโรงเรียนในการตอบสนองคำขอใช้สิทธิของเจ้าของข้อมูล (ขอเข้าถึง ขอสำเนา ขอแก้ไข ขอลบ) ผ่านเครื่องมือในระบบ
- จัดทำบันทึกรายการประมวลผลที่เกี่ยวข้องตามที่กฎหมายกำหนด
4. ผู้ประมวลผลช่วง
ผู้ให้บริการใช้โครงสร้างพื้นฐานของ Supabase (ศูนย์ข้อมูลภูมิภาคสิงคโปร์) สำหรับจัดเก็บฐานข้อมูลและไฟล์ และ Vercel สำหรับให้บริการเว็บแอปพลิเคชัน ผู้ประมวลผลช่วงทั้งสองประมวลผลข้อมูลตามคำสั่งของผู้ให้บริการเท่านั้น
5. ระยะเวลาและการสิ้นสุด
ข้อตกลงมีผลตราบเท่าที่โรงเรียนยังใช้บริการ เมื่อสิ้นสุดการใช้บริการ โรงเรียนเลือกได้ว่าจะรับข้อมูลคืน (ระบบมีเครื่องมือส่งออกเป็น Excel และไฟล์ข้อมูล) หรือให้ลบข้อมูล ทั้งนี้ไฟล์งานของนักเรียนถูกลบอัตโนมัติตามรอบการเก็บรักษาที่ประกาศในนโยบายความเป็นส่วนตัวอยู่แล้ว
เมื่อบัญชีหมดอายุ ข้อมูลจะไม่ถูกลบโดยอัตโนมัติ — บัญชีเปลี่ยนเป็นโหมดอ่านอย่างเดียวเพื่อให้โรงเรียนยังเข้าถึงและส่งออกข้อมูลได้
6. ความรับผิด
ความรับผิดของผู้ให้บริการภายใต้ข้อตกลงฉบับนี้เป็นไปตามข้อจำกัดความรับผิดในข้อตกลงการใช้บริการ เว้นแต่ความเสียหายเกิดจากการที่ผู้ให้บริการฝ่าฝืนข้อตกลงฉบับนี้โดยจงใจหรือประมาทเลินเล่ออย่างร้ายแรง
7. การลงนาม
ผู้ลงนามฝ่ายโรงเรียนต้องเป็นผู้มีอำนาจกระทำการแทนโรงเรียน (ผู้อำนวยการสถานศึกษา หรือผู้ได้รับมอบอำนาจเป็นหนังสือ) การยอมรับผ่านระบบอิเล็กทรอนิกส์โดยผู้มีอำนาจดังกล่าว มีผลผูกพันเช่นเดียวกับการลงนามในเอกสาร ตามพระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544