ข้อตกลงของ Dropbox Business

ประกาศ: 14 กันยายน 2016

ข้อตกลงของ Dropbox Business นี้ ("ข้อตกลง") เป็นข้อตกลงระหว่าง Dropbox International Unlimited Company หากองค์กรของคุณตั้งอยู่นอกสหรัฐอเมริกา แคนาดา และเม็กซิโก ("อเมริกาเหนือ") หรือหากองค์กรของคุณตั้งอยู่ในอเมริกาเหนือ กับ Dropbox, Inc. ซึ่งเป็นบริษัท Delaware corporation ("Dropbox") และหน่วยงานที่ยอมรับในข้อตกลงต่างๆ เหล่านี้ ("ลูกค้า") ข้อตกลงนี้จะใช้บังคับการเข้าถึงและการใช้งานซอฟต์แวร์ไคลเอนท์และบริการของ Dropbox Business (โดยเรียกรวมว่า "Dropbox Business") รวมทั้งบริการเบต้าอื่นๆ ที่พร้อมใช้งานสำหรับคุณ (เมื่อรวมกับ Dropbox Business จะเรียกว่า "บริการ") การคลิก "ฉันยอมรับ" เพื่อลงนามในสัญญาสำหรับบริการหรือการใช้งานบริการ เป็นการแสดงว่าคุณยอมรับในข้อตกลงนี้ในฐานะลูกค้า

ในกรณีที่ Dropbox, Inc. ประมวลผลข้อมูลของลูกค้าในนามของลูกค้า ภายใต้บังคับของกฎหมายในประเทศที่ใช้ข้อกำหนดการปกป้องข้อมูลของสหภาพยุโรป (EU Data Protection Directive (95/46/EC)) ("ข้อกำหนดการปกป้องข้อมูลของสหภาพยุโรป") เมื่อคลิก "ฉันยอมรับ" เท่ากับคุณยอมรับในข้อสัญญามาตรฐานของสหภาพยุโรป (EU Standard Contractual Clauses) กับ Dropbox, Inc. สำหรับการถ่ายโอนข้อมูลส่วนบุคคลไปให้ผู้ประมวลผลที่ระบุไว้ในวาระที่ 1

หากคุณยอมรับข้อตกลงนี้และวาระที่ 1 (หากมี) สำหรับการใช้บริการโดยองค์กร เท่ากับคุณยอมรับข้อตกลงนี้ในนามขององค์กรนั้น คุณต้องมีอำนาจในการผูกมัดองค์กรนั้นกับข้อกำหนดเหล่านี้ มิฉะนั้น คุณจะต้องไม่ลงทะเบียนสำหรับบริการนี้

1. บริการ
   1. ข้อกำหนดของบริการ  ลูกค้าและผู้ใช้บัญชีบริการของลูกค้า ("ผู้ใช้") สามารถเข้าถึงและใช้บริการได้ตามที่กำหนดไว้ในข้อตกลงนี้
   2. สิ่งอำนวยความสะดวกและการประมวลผลข้อมูล  Dropbox จะใช้มาตรฐานรักษาความปลอดภัยในเชิงเทคนิคและการจัดระเบียบตามมาตรฐานของอุตสาหกรรมเป็นอย่างน้อยเพื่อถ่ายโอน จัดเก็บ และประมวลผลข้อมูลลูกค้า มาตรการเหล่านี้ออกแบบมาเพื่อปกป้องความครบถ้วนสมบูรณ์ของข้อมูลลูกค้าและป้องกันการเข้าถึง การใช้งาน และการประมวลผลข้อมูลผู้ใช้โดยไม่ได้รับอนุญาตหรือผิดกฎหมาย ลูกค้ายินยอมให้ Dropbox ถ่ายโอน จัดเก็บ และประมวลผลข้อมูลลูกค้าในสหรัฐอเมริกาและสถานที่อื่น นอกเหนือจากประเทศของลูกค้าได้ ในกรณีที่ข้อมูลของลูกค้าอยู่ภายใต้บังคับของข้อกำหนดการปกป้องข้อมูลของสหภาพยุโรปและ Dropbox ได้ประมวลผลข้อมูลนั้นในฐานะผู้ประมวลผลโดยได้ดำเนินการในนามของลูกค้า (ในฐานะผู้ควบคุมข้อมูล) Dropbox จะใช้และประมวลผลข้อมูลลูกค้าดังกล่าวตามที่ลูกค้าระบุเพื่อให้บริการและปฏิบัติตามภาระหน้าที่ของ Dropbox ที่อยู่ภายใต้ข้อตกลงนี้ "ข้อมูลลูกค้า" หมายถึงข้อมูลที่จัดเก็บและข้อมูลบัญชีผู้ใช้ "ข้อมูลที่จัดเก็บ" หมายถึงไฟล์และข้อมูลที่มีการจัดโครงสร้างที่ส่งไปยังบริการโดยลูกค้าหรือผู้ใช้ "ข้อมูลบัญชี" หมายถึงข้อมูลบัญชีหรือข้อมูลติดต่อที่ส่งไปยังบริการโดยลูกค้าหรือผู้ใช้ปลายทาง
   3. การแก้ไขบริการ  Dropbox อาจอัพเดตบริการเป็นครั้งคราว หาก Dropbox เปลี่ยนแปลงบริการในลักษณะใดๆ ที่จะลดประสิทธิภาพในการทำงานลงอย่างมีนัยสำคัญ Dropbox จะแจ้งให้ลูกค้าทราบผ่านทางอีเมลแอดเดรสที่เกี่ยวข้องกับบัญชีผู้ใช้นั้น
   4. ซอฟต์แวร์  บริการบางอย่างอนุญาตให้ลูกค้าดาวน์โหลดซอฟต์แวร์ของ Dropbox ซึ่งอาจมีการอัพเดทโดยอัตโนมัติ ลูกค้าสามารถใช้ซอฟต์แวร์นี้เพื่อเข้าถึงบริการเท่านั้น หากส่วนใดก็ตามของซอฟต์แวร์นี้จัดหาให้ภายใต้สิทธิ์ใช้งานแบบโอเพ่นซอร์ส Dropbox จะดำเนินการให้สิทธิ์ใช้งานดังกล่าวสามารถใช้ได้โดยลูกค้า และจะระบุอย่างชัดแจ้งให้ใช้ข้อกำหนดของสิทธิ์ใช้งานนั้นแทนบางส่วนของเงื่อนไขของข้อตกลงนี้
   5. บริการเบต้าDropbox อาจมอบคุณสมบัติหรือผลิตภัณฑ์ที่เรายังทำการทดลองหรือประเมินอยู่ในขณะนั้น ผลิตภัณฑ์และคุณสมบัติดังกล่าวจะได้รับการระบุว่าเป็นอัลฟ่า เบต้า ตัวอย่าง การใช้งานล่วงหน้า หรือการประเมิน (หรืออาจเป็นคำหรือข้อความที่มีความหมายในทำนองเดียวกัน) (โดยรวมเรียกว่า "บริการเบต้า") โดยไม่คำนึงถึงข้อขัดแย้งใดๆ ในข้อตกลงนี้หรือในวาระที่ 1 ข้อตกลงต่อไปนี้มีผลต่อบริการเบต้าทั้งหมด: (ก) คุณสามารถใช้หรือปฏิเสธการใช้บริการเบต้าใดๆ (ข) บริการเบต้าอาจถูกยกเลิกการสนับสนุนหรืออาจเปลี่ยนแปลงเมื่อใดก็ได้โดยไม่แจ้งให้คุณทราบ (ค) บริการเบต้าอาจไม่เสถียรหรือพร้อมใช้งานเท่าเทียมกับ Dropbox Business (ง) บริการเบต้าไม่ได้อยู่ภายใต้มาตรการรักษาความปลอดภัยและการตรวจสอบต่างๆ ซึ่ง Dropbox Business ต้องมี และ (จ) DROPBOX จะไม่รับผิดชอบกรณีใดๆ ที่เกิดจากหรือเกี่ยวเนื่องกับบริการเบต้า การใช้งานถือเป็นความเสี่ยงของคุณเอง
2. ข้อผูกพันของลูกค้า
   1. การปฏิบัติตามข้อกำหนดลูกค้าต้องรับผิดชอบในการใช้บริการของผู้ใช้ของตน ลูกค้าและผู้ใช้ต้องใช้บริการโดยปฏิบัติตาม นโยบายการใช้งานที่ยอมรับได้ลูกค้าจะต้องได้รับการยินยอมจากผู้ใช้เพื่ออนุญาตให้ผู้ดูแลระบบสามารถเข้าไปเกี่ยวข้องในกิจกรรมต่างๆ ตามที่ได้ระบุไว้ในข้อตกลงนี้ และเพื่ออนุญาตให้ Dropbox สามารถให้บริการได้ ลูกค้าจะต้องปฏิบัติตามกฎหมายและระเบียบข้อบังคับที่บังคับใช้ในการใช้งานบริการของลูกค้า หากมี
   2. การดูแลจัดการบริการนี้โดยลูกค้า  ลูกค้าอาจระบุให้ผู้ใช้ปลายทางเป็น "ผู้ดูแลระบบ" โดยใช้แผงควบคุมของผู้ดูแลระบบ ผู้ดูแลระบบอาจสามารถเข้าถึง เปิดเผย จำกัด หรือลบข้อมูลลูกค้าในหรือจากบัญชีผู้ใช้บริการ ผู้ดูแลระบบยังอาจสามารถติดตามตรวจสอบ จำกัด หรือยุติการเข้าถึงบัญชีผู้ใช้บริการได้อีกด้วย ความรับผิดชอบของ Dropbox ไม่ได้ครอบคลุมถึงการบริหารจัดการภายในหรือการดูแลระบบของบริการ ลูกค้าจะต้องรับผิดชอบใน: (i) การเก็บรักษาความลับของรหัสผ่านและบัญชีผู้ดูแลระบบ (ii) จัดการสิทธิ์ในการเข้าถึงบัญชีผู้ดูแลระบบ และ (iii) ตรวจสอบให้แน่ใจว่าการใช้งานบริการนี้ของผู้ดูแลระบบเป็นไปตามข้อตกลงนี้ ลูกค้ารับทราบว่าหากลูกค้าซื้อบริการผ่านตัวแทนจำหน่าย และมอบหมายให้เจ้าหน้าที่ของตัวแทนจำหน่ายดังกล่าวเป็นผู้ดูแลระบบบัญชีบริการของลูกค้า ตัวแทนจำหน่ายอาจสามารถควบคุมข้อมูลบัญชี รวมถึง ข้อมูลของลูกค้า และเข้าถึงบัญชีบริการของลูกค้าดังที่อธิบายไว้ข้างต้นได้
   3. การใช้งานและการเข้าถึงโดยไม่ได้รับอนุญาต  ลูกค้าจะต้องป้องกันมิให้ผู้ใช้ใช้งานบริการนี้โดยไม่ได้รับอนุญาต และต้องยุติการใช้งานหรือเข้าถึงบริการนี้โดยไม่ได้รับอนุญาต บริการนี้ไม่ได้มีไว้เพื่อให้บริการแก่ผู้ใช้ที่มีอายุต่ำกว่า 13 ปี ลูกค้าจะต้องตรวจสอบให้แน่ใจว่า ไม่มีการอนุญาตให้เยาวชนที่อายุต่ำกว่า 13 ปีใช้บริการนี้ ลูกค้าจะแจ้งให้ Dropbox ทราบโดยทันที หากมีการใช้งานหรือเข้าถึงบริการโดยไม่ได้รับอนุญาต
   4. การใช้งานที่จำกัด  ลูกค้าจะต้องไม่ (i) ขาย ขายต่อ หรือให้เช่าซื้อบริการนี้ หรือ (ii) ใช้บริการนี้เพื่อทำกิจกรรมใดๆ ที่การใช้หรือไม่สามารถใช้บริการนี้อาจก่อให้เกิดความเสียหายต่อร่างกาย การเสียชีวิต หรือบาดเจ็บ หรือ (iii) ทำวิศวกรรมย้อนกลับในส่วนบริการ หรือไม่พยายามหรือไม่ให้การช่วยเหลือบุคคลอื่นใดในการดำเนินการดังกล่าว เว้นแต่การจำกัดนั้นจะถูกห้ามโดยข้อกฎหมาย
   5. คำขอของบุคคลที่สาม
      1. "คำขอของบุคคลที่สาม" หมายถึงคำขอจากบุคคลที่สามสำหรับข้อมูลบันทึกที่เกี่ยวข้องกับการใช้บริการของผู้ใช้ ซึ่งรวมถึงข้อมูลในหรือจากบัญชีบริการของผู้ใช้หรือลูกค้า คำขอของบุคคลที่สามอาจประกอบด้วยหมายค้น คำสั่งศาล หรือหมายศาล หรือคำขออื่นใดที่มีการลงนามยินยอมจากผู้ใช้เพื่ออนุญาตให้เปิดเผยข้อมูล
      2. ลูกค้ามีหน้าที่รับผิดชอบในการตอบสนองต่อคำขอของบุคคลที่สามโดยใช้การเข้าถึงของตนเองต่อข้อมูลดังกล่าว ลูกค้าจะดำเนินการจัดหาข้อมูลที่จำเป็นเพื่อตอบสนองต่อคำขอของบุคคลที่สามและจะติดต่อ Dropbox เฉพาะกรณีที่ลูกค้าไม่สามารถจัดหาข้อมูลนั้น แม้จะได้ใช้ความพยายามอย่างถึงที่สุดแล้วก็ตาม
      3. Dropbox จะใช้ความพยายามอย่างสมเหตุสมผลในเชิงพาณิชย์ภายในกรอบที่อนุญาตโดยกฎหมายและข้อกำหนดของคำขอของบุคคลที่สามเพื่อ: (ก) แจ้งให้ลูกค้าของ Dropbox ทราบโดยทันทีเมื่อได้รับคำขอของบุคคลที่สาม (ข) ปฏิบัติตามคำขอที่สมเหตุสมผลในเชิงพาณิชย์ของลูกค้าเกี่ยวกับความพยายามในการต่อต้านคำขอของบุคคลที่สาม และ (ค) จัดหาข้อมูลหรือเครื่องมือให้แก่ลูกค้าตามความจำเป็นของลูกค้าในการตอบสนองต่อคำขอของบุคคลที่สาม (ในกรณีที่ลูกค้าไม่สามารถจัดหาข้อมูลดังกล่าวได้) หากลูกค้าไม่สามารถตอบสนองต่อคำขอของบุคคลที่สามได้โดยทันที Dropbox อาจดำเนินการให้แทน แต่มิได้หมายความว่าเรามีข้อผูกมัดที่จะดำเนินการดังกล่าวให้แต่อย่างใด
3. บริการของบุคคลที่สาม  หากลูกค้าใช้บริการของบุคคลที่สามกับบริการนี้ (เช่น บริการที่ใช้ API ของ Dropbox) (ก) Dropbox จะไม่รับผิดชอบต่อการกระทำหรือการละเว้นไม่กระทำการใดๆ ของบุคคลที่สาม ซึ่งรวมถึงการใช้ข้อมูลของลูกค้าหรือผู้ใช้โดยบุคคลที่สาม และ (ข) Dropbox จะไม่รับประกันหรือสนับสนุนบริการใดๆ ที่จัดหาให้โดยบุคคลที่สาม
4. การระงับชั่วคราว
   1. การระงับบัญชีผู้ใช้โดย Dropbox  หากผู้ใช้ (i) ละเมิดข้อตกลงนี้ หรือ (iii) ใช้บริการในลักษณะที่ Dropbox เชื่อได้อย่างมีเหตุผลว่า อาจทำให้เราต้องรับผิด หากเป็นเช่นนั้น Dropbox อาจขอให้ลูกค้าระงับหรือยุติบัญชีผู้ใช้ที่เกี่ยวข้อง หากลูกค้าไม่สามารถระงับหรือยุติบัญชีผู้ใช้ได้ในทันที Dropbox อาจดำเนินการดังกล่าวเอง
   2. กรณีฉุกเฉินด้านความปลอดภัย  ไม่ว่าจะมีข้อกำหนดในข้อตกลงนี้อย่างไรก็ตาม แต่ในกรณีที่เกิดเหตุฉุกเฉินด้านความปลอดภัย Dropbox อาจระงับการใช้บริการโดยอัตโนมัติ Dropbox จะใช้ความพยายามอย่างสมเหตุสมผลในการปรับการระงับใช้ให้แคบลงที่สุดตามที่จำเป็น เพื่อป้องกันหรือยุติกรณีฉุกเฉินด้านความปลอดภัยนั้น "กรณีฉุกเฉินด้านความปลอดภัย" หมายถึง: (i) ใช้บริการที่ขัดขวางหรืออาจขัดขวางการให้บริการ การใช้งานบริการของลูกค้ารายอื่น หรือขัดขวางโครงสร้างพื้นฐานที่ใช้เพื่อให้บริการ และ (ii) การเข้าถึงบริการโดยไม่ได้รับอนุญาตของบุคคลที่สาม
5. สิทธิ์ในทรัพย์สินทางปัญญา
   1. การสงวนสิทธิ์  ข้อตกลงนี้จะไม่ให้ (i) สิทธิ์ในทรัพย์สินทางปัญญาในข้อมูลผู้ใช้แก่ Dropbox หรือ (ii) สิทธิ์ในทรัพย์สินทางปัญญาในบริการหรือเครื่องหมายการค้าของ Dropbox หรือคุณสมบัติต่างๆ ของแบรนด์แก่ลูกค้า เว้นแต่จะมีการระบุไว้โดยชัดแจ้งในที่นี้ "สิทธิ์ในทรัพย์สินทางปัญญา" หมายถึงสิทธิ์ในปัจจุบันและอนาคตที่ครอบคลุมทั่วโลกภายใต้สิทธิบัตร ลิขสิทธิ์ ความลับทางการค้า เครื่องหมายการค้า ธรรมสิทธิ และสิทธิ์ที่มีลักษณะคล้ายคลึงกันอื่นๆ
   2. การอนุญาตแบบจำกัด  ลูกค้าให้สิทธิ์แบบจำกัดแก่ Dropbox ซึ่งจำเป็นอย่างสมเหตุสมผลสำหรับ Dropbox ในการให้บริการ (เช่น การโฮสต์ข้อมูลที่จัดเก็บ) การอนุญาตนี้ยังครอบคลุมไปถึงบริษัทในเครือและบุคคลที่สามที่เชื่อถือได้ซึ่ง Dropbox ร่วมงานด้วยเพื่อเสนอบริการของเรา (เช่น ผู้ให้บริการด้านการชำระเงินซึ่งใช้เพื่อดำเนินการชำระค่าธรรมเนียม)
   3. คำแนะนำ  Dropbox อาจใช้ แก้ไข และนำข้อเสนอแนะ ความเห็น หรือคำแนะนำที่ลูกค้าหรือผู้ใช้ส่งให้แก่เรา หรือโพสต์ไว้ในฟอรัมของ Dropbox ไปผนวกรวมกับผลิตภัณฑ์และบริการ ตลอดจนสิทธิ์ในการใช้งาน สิทธิ์ย่อยในการใช้งานของเราโดยอยู่ในดุลยพินิจของเราแต่เพียงผู้เดียวและเพื่อวัตถุประสงค์ใดก็ได้ โดยปราศจากข้อผูกมัดกับลูกค้า
   4. รายชื่อลูกค้า  Dropbox อาจรวมชื่อของลูกค้าไว้ในรายชื่อลูกค้าของ Dropbox ในเว็บไซต์ Dropbox หรือในสื่อส่งเสริมการขาย
6. ค่าธรรมเนียมและการชำระเงิน
   1. ค่าธรรมเนียม  ลูกค้าจะต้องชำระเงินและให้สิทธิ์ Dropbox หรือตัวแทนจำหน่ายของลูกค้าเพื่อเรียกเก็บค่าใช้จ่ายโดยใช้วิธีการชำระเงินที่ลูกค้าเลือกไว้สำหรับค่าธรรมเนียมทั้งหมดที่สามารถนำมาใช้ได้ ค่าธรรมเนียมจะไม่สามารถขอคืนได้ เว้นแต่ว่ากฎหมายจะกำหนดไว้ ลูกค้าจะต้องรับผิดชอบในการให้ข้อมูลการจัดเก็บค่าบริการและการติดต่อที่ครบถ้วนและถูกต้องแก่ Dropbox หรือตัวแทนจำหน่ายของลูกค้า Dropbox อาจระงับหรือยุติบริการ หากค่าธรรมเนียมดังกล่าวเกินกำหนดชำระ
   2. การต่ออายุอัตโนมัติและการทดลองใช้งาน  หากบัญชีลูกค้าได้รับการตั้งค่าให้ต่ออายุโดยอัตโนมัติ หรืออยู่ในระยะเวลาการทดลองใช้งาน Dropbox (หรือตัวแทนจำหน่ายของลูกค้า) อาจเรียกเก็บค่าใช้จ่ายโดยอัตโนมัติเมื่อสิ้นสุดระยะเวลาการทดลองใช้งาน หรือเมื่อมีการต่ออายุ เว้นแต่ว่าลูกค้าจะแจ้ง Dropbox (หรือตัวแทนจำหน่ายของลูกค้าในกรณีที่สามารถนำมาใช้ได้) ว่าลูกค้าต้องการยกเลิกหรือปิดใช้งานการต่ออายุอัตโนมัติ Dropbox อาจแก้ไขอัตราค่าบริการโดยส่งการแจ้งมายังลูกค้าล่วงหน้าอย่างน้อย 30 วันก่อนถึงวันที่เก็บค่าใช้จ่ายครั้งถัดไป
   3. ภาษี  ลูกค้าต้องรับผิดชอบด้านภาษีทั้งหมด Dropbox หรือตัวแทนจำหน่ายของลูกค้าจะเรียกเก็บภาษีเมื่อถูกกำหนดให้ดำเนินการดังกล่าว หากกฎหมายกำหนดให้ลูกค้าต้องหักภาษี ณ ที่จ่ายใดๆ ลูกค้าต้องส่งหนังสือรับรองการหัก ณ ที่จ่ายหรือเอกสารที่ถูกต้องอื่นๆ มายัง Dropbox หรือตัวแทนจำหน่ายของลูกค้า
   4. ใบสั่งซื้อ  หากลูกค้าต้องการใช้ใบสั่งซื้อหรือเลขที่ใบสั่งซื้อ ลูกค้า (i) ต้องแจ้งเลขที่ใบสั่งซื้อในขณะที่ทำการซื้อ และ (ii) ตกลงว่า ข้อกำหนดและเงื่อนไขใดๆ ในใบสั่งซื้อของลูกค้าจะไม่นำมาใช้กับข้อตกลงนี้และจะเป็นโมฆะ หากลูกค้าซื้อผ่านตัวแทนจำหน่าย ข้อกำหนดและเงื่อนไขใดๆ จากตัวแทนจำหน่ายของลูกค้าหรือในใบสั่งซื้อระหว่างคุณและตัวแทนจำหน่าย ซึ่งขัดแย้งกับข้อตกลงของ Dropbox Business ให้ถือเป็นโมฆะ
7. ระยะเวลาและการเลิกสัญญา
   1. ระยะเวลา  ข้อตกลงนี้จะยังคงมีผลบังคับใช้จนกว่าการสมัครสมาชิกของลูกค้าที่มีต่อบริการนี้จะหมดอายุหรือเลิกสัญญา หรือจนกว่าข้อตกลงนี้จะถูกเลิกสัญญา
   2. การเลิกสัญญาเนื่องจากการฝ่าฝืน  Dropbox หรือลูกค้าสามารถบอกเลิกสัญญาของข้อตกลงนี้ได้ หาก: (i) อีกฝ่ายหนึ่งฝ่าฝืนข้อตกลงนี้อย่างมีนัยสำคัญหรือไม่สามารถแก้ไขการฝ่าฝืนดังกล่าวได้ภายใน 30 วันหลังจากได้รับการแจ้งอย่างเป็นลายลักษณ์อักษร หรือ (ii) อีกฝ่ายหนึ่งสิ้นสุดการดำเนินธุรกิจหรือเข้าสู่กระบวนการพิจารณาคดีล้มละลายและการพิจารณาคดีดังกล่าวไม่มีการยกฟ้องภายใน 90 วัน
   3. ผลของการเลิกสัญญา  ในกรณีที่ข้อตกลงนี้มีการเลิกสัญญา: (i) สิทธิ์ที่ Dropbox มอบให้แก่ลูกค้าจะสิ้นสุดลงทันที (เว้นแต่จะมีการกำหนดไว้ในส่วนนี้) (ii) Dropbox อาจให้สิทธิ์แก่ลูกค้าในการเข้าถึงบัญชีผู้ใช้ของตนในอัตรา ณ เวลานั้นเพื่อให้ลูกค้าสามารถนำข้อมูลที่จัดเก็บไว้ของตนออกมา และ (iii) หลังจากระยะเวลาที่สมเหตุสมผลในเชิงพาณิชย์ Dropbox อาจลบข้อมูลที่จัดเก็บไว้ซึ่งเกี่ยวข้องกับบัญชีของลูกค้า ส่วนต่อไปนี้จะยังคงมีผลต่อไปแม้ว่าข้อตกลงนี้จะหมดอายุหรือมีการเลิกสัญญา: 1(e) คำขอของบุคคลที่สาม, 5 (สิทธิ์ในทรัพย์สินทางปัญญา), 6 (ค่าธรรมเนียมและการชำระเงิน), 7(c) (ผลของการเลิกสัญญา), 8 (ค่าสินไหมทดแทน), 9 (การปฏิเสธความรับผิด), 10 (การจำกัดความรับผิดชอบ), 11 (ข้อพิพาท) และ 12 (เบ็ดเตล็ด)
8. ค่าสินไหมทดแทน
   1. โดยลูกค้า  ลูกค้าจะจ่ายค่าสินไหมทดแทน คุ้มครอง และชดใช้ค่าเสียหายแก่ Dropbox จากการรับผิด ความเสียหาย และค่าใช้จ่ายใดๆ (ซึ่งรวมถึงการชำระหนี้และค่าใช้จ่ายของทนายความตามความเหมาะสม) ที่เกิดจากการเรียกร้องใดๆ ของบุคคลที่สามที่มีต่อ Dropbox และบริษัทในเครืออันเกี่ยวเนื่องมาจาก: (i) ข้อมูลของลูกค้า (ii) การใช้บริการนี้ของลูกค้าโดยฝ่าฝืนข้อตกลงนี้ หรือ (iii) การใช้บริการนี้ของผู้ใช้โดยฝ่าฝืนข้อตกลงนี้
   2. โดย Dropbox  Dropbox จะจ่ายค่าสินไหมทดแทน คุ้มครอง และชดใช้ค่าเสียหายแก่ลูกค้าจากการรับผิด ความเสียหาย และค่าใช้จ่ายใดๆ (ซึ่งรวมถึงการชำระหนี้และค่าใช้จ่ายของทนายความตามความเหมาะสม) ที่เกิดจากการเรียกร้องของบุคคลที่สามต่อลูกค้าภายใต้ข้อกล่าวหาว่าเทคโนโลยีของ Dropbox ที่ใช้เพื่อจัดหาบริการแก่ลูกค้ามีการฝ่าฝืนหรือทำให้มีการใช้ลิขสิทธิ์ ความลับทางการค้า สิทธิบัตรของสหรัฐอเมริกา หรือสิทธิ์ในเครื่องหมายการค้าของบุคคลที่สามในทางที่ผิด อย่างไรก็ดี ไม่ว่าในกรณีใดๆ ก็ตาม Dropbox จะไม่มีสัญญาผูกมัดหรือต้องรับผิดภายใต้ส่วนนี้อันเกิดจาก: (i) การใช้บริการภายใต้รูปแบบที่มีการดัดแปลงหรือใช้ร่วมกับสาระสำคัญใดๆ ที่ไม่ได้จัดหาให้โดย Dropbox และ (ii) เนื้อหา ข้อมูล หรือข้อมูลดิบที่จัดหาโดยลูกค้า ผู้ใช้ หรือบุคคลที่สาม
   3. การฝ่าฝืนที่อาจเกิดขึ้น  หาก Dropbox เชื่อว่าบริการนี้ฝ่าฝืนหรืออาจถูกกล่าวหาว่าฝ่าฝืนสิทธิ์ในทรัพย์สินทางปัญญาของบุคคลที่สามแล้ว Dropbox อาจ: (i) ดำเนินการเพื่อให้ได้มาซึ่งสิทธิ์สำหรับลูกค้าโดยใช้ค่าใช้จ่ายของ Dropbox เองเพื่อให้สามารถใช้บริการนี้ได้ต่อไป (ii) จัดหาบริการทดแทนที่มีการใช้งานซึ่งเทียบเท่าได้โดยไม่มีการฝ่าฝืน (iii) แก้ไขบริการเพื่อมิให้มีการฝ่าฝืนใดๆ อีกต่อไป หาก Dropbox ไม่เชื่อว่าทางเลือกใดๆ ที่ระบุไว้ในส่วนนี้สมเหตุสมผลในเชิงพาณิชย์ Dropbox อาจระงับหรือบอกเลิกสัญญาการใช้บริการที่มีผลกระทบนั้นของลูกค้า (โดยมีการคืนเงินค่าบริการที่ได้ชำระมาแล้วให้ตามสัดส่วน)
   4. ทั่วไป  ฝ่ายที่เรียกร้องค่าสินไหมทดแทนจะต้องแจ้งให้อีกฝ่ายทราบโดยทันทีถึงข้อเรียกร้องและให้ความร่วมมือกับอีกฝ่ายหนึ่งในการแก้ต่างข้อเรียกร้องดังกล่าว ฝ่ายที่จ่ายค่าสินไหมทดแทนมีสิทธิ์และการควบคุมอย่างเต็มที่ในการแก้ต่างดังกล่าว เว้นแต่ว่า: (i) การชำระหนี้ใดๆ ที่กำหนดให้ฝ่ายที่เรียกร้องค่าสินไหมทดแทนต้องยอมรับในความรับผิดนั้นจำเป็นต้องมีการยินยอมอย่างเป็นลายลักษณ์อักษรล่วงหน้า โดยจะไม่มีการระงับหรือล่าช้าอย่างไม่สมเหตุสมผล และ (ii) อีกฝ่ายหนึ่งอาจร่วมในการแก้ต่างนั้นโดยใช้ที่ปรึกษาของตนเองและออกค่าใช้จ่ายเอง ค่าสินไหมทดแทนข้างต้นคือวิธีเยียวยาเพียงประการเดียวของ Dropbox และลูกค้าภายใต้ข้อตกลงนี้สำหรับการละเมิดสิทธิ์ในทรัพย์สินทางปัญญาของบุคคลที่สามโดยอีกฝ่ายหนึ่ง
9. การปฏิเสธการรับผิด  บริการนี้นำเสนอ "ตามที่เป็น" ทั้งนี้ ภายใต้ขอบเขตสูงสุดที่กฎหมายอนุญาต เว้นแต่จะระบุไว้โดยชัดแจ้งในข้อตกลงนี้ ลูกค้า และ Dropbox หรือบริษัทในเครือ ตลอดจนซัพพลายเออร์และผู้จัดจำหน่ายจะไม่ให้การรับประกันในลักษณะใดๆ ไม่ว่าจะโดยชัดแจ้งหรือโดยนัย การรับประกันตามกฎหมายหรือลักษณะอื่นใด รวมถึงการรับประกันความความสามารถในเชิงพาณิชย์และความเหมาะสมในการใช้งานที่เฉพาะเจาะจง หรือการไม่ละเมิดสิทธิ์ ลูกค้ามีหน้าที่รับผิดชอบในการบำรุงรักษาและสำรองข้อมูลที่จัดเก็บไว้
10. การจำกัดความรับผิด
    1. การจำกัดความรับผิดทางอ้อม  ภายใต้ขอบเขตสูงสุดที่กฎหมายกำหนด ลูกค้าและ Dropbox ตลอดจนบริษัทในเครือ ซัพพลายเออร์ และผู้จัดจำหน่ายจะไม่รับผิดภายใต้ข้อตกลงนี้สำหรับ (I) ความเสียหายทางอ้อม ความเสียหายจำเพาะ ความเสียหายอันเนื่องมาจากการผิดสัญญา ความเสียหายที่เป็นผลสืบเนื่อง ค่าเสียหายที่เป็นการตักเตือนหรือเชิงลงโทษ หรือ (II) การสูญเสียการใช้ประโยชน์ ข้อมูล ธุรกิจ รายได้ หรือผลกำไร (ในแต่ละกรณีไม่ว่าจะโดยทางตรงหรือทางอ้อมก็ตาม) แม้ว่าฝ่ายดังกล่าวจะรับทราบหรือควรได้รับทราบถึงความเป็นไปได้ในการเกิดความเสียหายนั้นแล้วก็ตาม หรือแม้ว่าการเยียวยานั้นจะไม่บรรลุผลตามวัตถุประสงค์ที่สำคัญก็ตาม เว้นแต่ว่าจะมีข้อผูกมัดในการชดใช้ค่าสินไหมทดแทนของ Dropbox หรือลูกค้า
    2. การจำกัดจำนวนเงินในการรับผิดชอบ  ภายใต้ขอบเขตสูงสุดที่กฎหมายกำหนด การรับผิดโดยรวมของ Dropbox ภายใต้ข้อตกลงนี้จะต้องไม่เกิน 100,000 ดอลลาร์หรือน้อยกว่า หรือไม่เกินจำนวนเงินที่ลูกค้าชำระเป็นค่าบริการในระหว่างสิบสองเดือนก่อนหน้าที่จะเกิดการเรียกร้องให้มีการรับผิดดังกล่าว
11. ข้อพิพาท
    1. การแก้ไขข้อพิพาทอย่างไม่เป็นทางการ  Dropbox ต้องการแก้ไขข้อกังวลของคุณโดยไม่จำเป็นต้องพึ่งพาการฟ้องร้องคดีอย่างเป็นทางการ ก่อนที่จะยื่นข้อเรียกร้อง คู่สัญญาแต่ละฝ่ายตกลงที่จะพยายามแก้ไขข้อพิพาทโดยติดต่อคู่สัญญาอีกฝ่ายผ่านกระบวนการส่งหนังสือแจ้งตามที่ระบุไว้ในส่วน 12(e) หากข้อพิพาทดังกล่าวไม่สามารถแก้ไขได้ภายใน 30 วันหลังจากการแจ้ง ลูกค้าหรือ Dropbox อาจนำข้อพิพาทนั้นเข้าสู่การพิจารณาคดีอย่างเป็นทางการต่อไป
    2. การเห็นชอบร่วมกันเพื่อให้ตัดสินโดยอนุญาโตตุลาการ  ลูกค้าและ Dropbox เห็นชอบร่วมกันที่จะให้แก้ไขข้อเรียกร้องใดๆ ที่เกี่ยวข้องกับข้อตกลงหรือบริการนี้ผ่านการตัดสินชี้ขาดขั้นสุดท้ายที่มีผลผูกพัน เว้นแต่จะกำหนดไว้ด้านล่างนี้ สมาคมอนุญาโตตุลาการของสหรัฐอเมริกา (American Arbitration Association หรือ AAA) จะทำหน้าที่บริหารจัดการการตัดสินโดยอนุญาโตตุลาการภายใต้ข้อบังคับอนุญาโตตุลาการการค้า (Commercial Arbitration Rules) การอนุญาโตตุลาการจะดำเนินการในซานฟรานซิสโก (CA) หรือในสถานที่อื่นที่คู่สัญญาตกลงกันเป็นลายลักษณ์อักษร
    3. ข้อยกเว้นของการเห็นชอบร่วมกันเพื่อให้ตัดสินโดยอนุญาโตตุลาการ  คู่สัญญาฝ่ายหนึ่งฝ่ายใดอาจยื่นให้มีการพิจารณาคดีในศาลรัฐบาลกลางหรือศาลมลรัฐของเขตซานฟรานซิสโก มลรัฐแคลิฟอร์เนีย เพื่อให้มีคำสั่งคุ้มครองชั่วคราวให้หยุดการใช้บริการที่ไม่ได้รับอนุญาตหรือการใช้บริการในทางที่ผิด หรือการละเมิดสิทธิ์ในทรัพย์สินทางปัญญาโดยไม่ได้ทำขั้นตอนการแจ้งข้อพิพาทอย่างไม่เป็นทางการในเบื้องต้นตามที่ระบุไว้ข้างต้น ทั้งลูกค้าและ Dropbox ยอมรับในสถานที่พิจารณาคดีและอํานาจพิจารณาพิพากษาคดีเหนือบุคคลให้เกิดขึ้นในศาลดังกล่าว
    4. ไม่มีการดำเนินคดีแบบกลุ่ม  ลูกค้าสามารถแก้ไขข้อพิพาทกับ Dropbox ในลักษณะแบบรายบุคคล และจะไม่ยื่นข้อเรียกร้องเพื่อดำเนินการคดีแบบกลุ่ม แบบรวม หรือแบบโดยตัวแทน ทั้งนี้ ไม่อนุญาตให้มีการอนุญาโตตุลาการแบบกลุ่ม การดำเนินคดีแบบกลุ่ม การดำเนินคดีโดยอัยการในภาคเอกชน และการรวมเข้ากับการอนุญาโตตุลาการอื่นๆ
12. เบ็ดเตล็ด
    1. การแก้ไขข้อกำหนด  Dropbox อาจแก้ไขข้อตกลงนี้เป็นครั้งคราว และจะมีการประกาศเนื้อหาของข้อตกลงฉบับล่าสุดไว้บนเว็บไซต์ของ Dropbox Business เสมอ หากการแก้ไขดังกล่าวนั้นเป็นการแก้ไขในส่วนสาระสำคัญ Dropbox จะแจ้งให้ลูกค้าทราบ (เช่น โดยการส่งอีเมลไปยังที่อยู่อีเมลที่เกี่ยวข้องกับบัญชีที่มีผลนั้น) ทั้งนี้โดยอยู่ภายใต้ดุลยพินิจของ Dropbox แต่เพียงผู้เดียว การแก้ไขอื่นๆ อาจประกาศในบล็อกของ Dropbox หรือหน้าแสดงข้อกำหนด และลูกค้ามีหน้าที่รับผิดชอบในการตรวจสอบข้อความประกาศนั้นอย่างสม่ำเสมอ การเข้าถึงหรือใช้บริการของเราต่อไป หลังจากการเปลี่ยนแปลงเหล่านั้นมีผลบังคับใช้แล้ว เป็นการแสดงว่าลูกค้ายอมรับที่จะผูกพันตามข้อตกลงที่ได้รับการแก้ไขแล้ว หากลูกค้าไม่ยอมรับในเงื่อนไขของข้อตกลงที่มีการแก้ไขนี้ ลูกค้าสามารถบอกเลิกบริการนี้ได้ภายใน 30 วันหลังจากได้รับหนังสือแจ้งการเปลี่ยนแปลง
    2. ข้อตกลงที่สมบูรณ์  ข้อตกลงนี้ ซึ่งรวมถึงใบแจ้งหนี้ของลูกค้าและแบบฟอร์มสั่งซื้อ กับ Dropbox (หากมี) จะประกอบกันเป็นข้อตกลงที่สมบูรณ์ระหว่างลูกค้าและ Dropbox โดยเกี่ยวข้องกับสาระสำคัญของข้อตกลงนี้ และจะใช้แทนที่และมีผลบังคับใช้เหนือข้อสัญญาหรือข้อตกลงร่วมกันที่มีขึ้นก่อนหน้านี้หรือในเวลาเดียวกันนี้ ไม่ว่าจะเป็นลายลักษณ์อักษรหรือทางวาจา อันเกี่ยวข้องกับสาระสำคัญของข้อตกลงนี้ หากมีข้อขัดแย้งใดๆ ระหว่างเอกสารต่างๆ ที่ประกอบกันเป็นข้อตกลงนี้ เอกสารดังกล่าวจะมีผลควบคุมโดยเรียงตามลำดับดังต่อไปนี้: ใบแจ้งหนี้ Dropbox, แบบฟอร์มสั่งซื้อ Dropbox, ข้อตกลง
    3. กฎหมายที่ควบคุม  ข้กตกลงนี้จะถูกควบคุมโดยกฎหมายของมลรัฐแคลิฟอร์เนีย เว้นแต่จะมีข้อขัดแย้งกับหลักของกฎหมาย
    4. การเป็นโมฆะเป็นบางส่วน  ข้อกำหนดที่ไม่สามารถบังคับใช้ได้จะได้รับการแก้ไขเพื่อแสดงถึงเจตนาของคู่สัญญา และในเฉพาะขอบเขตที่จำเป็นเพื่อทำให้ข้อกำหนดดังกล่าวนั้นสามารถบังคับใช้ได้ ส่วนข้อกำหนดอื่นๆ ที่เหลือของข้อตกลงนี้จะยังคงมีผลบังคับใช้โดยสมบูรณ์ต่อไป
    5. หนังสือแจ้ง  หนังสือแจ้งต้องส่งทางบริการจัดส่งชั้นหนึ่ง ทางอากาศ หรือแบบข้ามคืน และถือว่าได้ส่งมอบให้แล้วเมื่อได้รับ หนังสือแจ้งถึงลูกค้าอาจส่งไปยังอีเมลแอดเดรสของบัญชีที่ใช้งาน และถือว่าได้ส่งมอบให้แล้วเมื่อได้รับ หนังสือแจ้งถึง Dropbox ต้องส่งไปยัง Dropbox, Inc., P.O. Box 77767, San Francisco, CA 94107 พร้อมสำเนาถึงแผนกกฎหมาย
    6. การสละสิทธิ์  การสละสิทธิ์ในเหตุผิดข้อสัญญาใดๆ จะไม่เป็นการสละสิทธิ์ในเหตุผิดข้อสัญญาใดๆ ที่เกิดขึ้นตามมาด้วย
    7. การโอนสิทธิ์  ลูกค้าไม่สามารถโอนสิทธิ์หรือถ่ายโอนส่วนใดๆ ของข้อตกลงนี้ หรือสิทธิ์หรือข้อผูกพันใดๆ ภายใต้ข้อตกลงนี้ โดยปราศจากการยินยอมเป็นลายลักษณ์อักษรจาก Dropbox Dropbox ไม่สามารถโอนสิทธิ์ในข้อตกลงนี้โดยไม่ได้แจ้งให้ลูกค้าทราบ เว้นเสียแต่ว่า Dropbox จะโอนสิทธิ์ในข้อตกลงนี้ หรือสิทธิ์หรือข้อผูกพันภายใต้ข้อตกลงนี้ไปยังบริษัทในเครือหรือในกรณีที่เกี่ยวข้องกับการควบรวมกิจการ การเข้าซื้อกิจการ การปรับโครงสร้างที่เกี่ยวข้อง หรือการขายสินทรัพย์ทั้งหมดหรือส่วนสำคัญของสินทรัพย์ทั้งหมดโดยไม่ต้องแจ้งให้ทราบ ความพยายามอื่นๆ ในการถ่ายโอนหรือโอนสิทธิ์จะเป็นโมฆะ
    8. ไม่มีการเป็นตัวแทน  Dropbox และลูกค้าไม่ใช่หุ้นส่วนตามกฎหมายหรือตัวแทนของกันและกัน แต่เป็นเพียงผู้ทำสัญญาที่เป็นอิสระ
    9. เหตุสุดวิสัย  Dropbox และลูกค้าจะไม่ต้องรับผิดต่อการดำเนินการที่ต่ำกว่ามาตรฐานกำหนด อันเนื่องมาจากเงื่อนไขที่เกินขอบเขตการควบคุมที่สมเหตุสมผลของตน (เช่น ภัยพิบัติตามธรรมชาติ สงครามหรือการก่อการร้าย เหตุจลาจล สภาพแรงงาน การดำเนินการขอภาครัฐ และการรบกวนสัญญาณอินเทอร์เน็ต) เว้นเสียแต่จะมีข้อผูกพันในด้านการชำระเงิน
    10. ไม่มีผู้รับผลประโยชน์บุคคลที่สาม  ข้อตกลงนี้จะไม่มีผู้รับผลประโยชน์บุคคลที่สาม ทั้งนี้ โดยปราศจากข้อจำกัดของส่วนนี้ ผู้ใช้ของลูกค้าจะไม่ใช่ผู้รับผลประโยชน์บุคคลที่สามสำหรับสิทธิ์ของลูกค้าภายใต้ข้อตกลงนี้
    11. การจำกัดการส่งออก  การส่งออกหรือส่งออกซ้ำข้อมูลลูกค้าผ่านบริการนี้อาจได้รับการควบคุมภายใต้ระเบียบข้อบังคับของฝ่ายบริหารการส่งออกสหรัฐอเมริกา (United States Export Administration Regulations) หรือข้อจำกัดในการส่งออกที่บังคับใช้หรือคำสั่งห้ามค้าขายอื่นๆ บริการนี้ไม่สามารถใช้ได้ในประเทศคิวบา อิหร่าน เกาหลีเหนือ ซูดาน หรือซีเรีย หรือประเทศอื่นๆ ที่มีคำสั่งห้ามค้าขายโดยสหรัฐอเมริกา และลูกค้าต้องไม่ใช้บริการโดยฝ่าฝืนข้อจำกัดการส่งออกหรือคำสั่งห้ามค้าขายโดยสหรัฐอเมริกา หรือเขตอำนาจศาลที่มีผลบังคับใช้อื่นๆ นอกจากนั้น ลูกค้าต้องแน่ใจว่าบริการนี้ไม่ได้มีให้แก่บุคคลที่มีรายชื่ออยู่ในตารางรายชื่อที่ได้รับการปฏิเสธ (Table of Denial Orders) ตลอดจนรายชื่อหน่วยงาน (Entity List) หรือรายชื่อพลเมืองที่ระบุชื่อเป็นกรณีพิเศษ (Specially Designated Nationals) ของสหรัฐอเมริกา

วัตถุประสงค์ของบทที่ 26(2) แห่งข้อกำหนด 95/46/EC ว่าด้วยการถ่ายโอนข้อมูลส่วนบุคคลไปยังผู้ประมวลผลที่อยู่ในประเทศที่สามซึ่งไม่สามารถให้การรับรองระดับการปกป้องข้อมูลที่พอเพียง

ชื่อองค์กรที่ส่งออกข้อมูล: ลูกค้าที่เป็นคู่สัญญาในข้อตกลง Dropbox Business กับ Dropbox International Unlimited Company
( ผู้ส่งออกข้อมูล)

และ

ชื่อองค์กรที่นำเข้าข้อมูล: Dropbox, Inc.
ที่อยู่: 333 Brannan Street, San Francisco, CA 94107 USA
(ผู้นำเข้า ข้อมูล)

เรียกแต่ละฝ่ายว่า "คู่สัญญา" และเรียกรวมว่า "คู่สัญญา"

ได้ยอมรับข้อสัญญามาตรฐาน (ข้อสัญญา) ต่อไปนี้ เพื่ออ้างอิงถึงมาตรการปกป้องที่พอเพียงในด้านการปกป้องความเป็นส่วนตัวและสิทธิขั้นพื้นฐาน รวมถึงเสรีภาพส่วนบุคคลในการถ่ายโอนข้อมูลจากผู้ส่งออกข้อมูลไปยังผู้นำเข้าข้อมูลของข้อมูลส่วนบุคคลที่ระบุใน ภาคผนวกที่ 1

สำหรับวัตถุประสงค์ของข้อสัญญา:

1. "ข้อมูลส่วนตัว" "ข้อมูลประเภทพิเศษ" "ประมวลผล/การประมวลผล" "ผู้ควบคุม" "ผู้ประมวลผล" "เจ้าของข้อมูล" และ "หน่วยงานกำกับดูแล" มีความหมายเหมือนในข้อกำหนด 95/46/EC ของรัฐสภายุโรปและกรรมาธิการ ณ วันที่ 24 ตุลาคม 1995 เรื่องการปกป้องบุคคลที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลและการเคลื่อนย้ายอย่างอิสระของข้อมูลดังกล่าว¹
2. "ผู้ส่งออกข้อมูล" หมายถึงผู้ควบคุมที่ถ่ายโอนข้อมูลส่วนบุคคล
3. "ผู้นำเข้าข้อมูล" หมายถึงผู้ประมวลผลที่ยินยอมที่จะรับข้อมูลส่วนบุคคลจากผู้ส่งออกข้อมูลที่มุ่งหวังจะประมวลผลในนามบุคคลนั้นหลังการถ่ายโอนข้อมูลที่เป็นไปตามคำสั่งและข้อตกลงในข้อสัญญา โดยบุคคลนั้นไม่อยู่ภายใต้บังคับของระบบในประเทศที่สามซึ่งให้การรับรองว่ามีการปกป้องอย่างพอเพียงภายใต้ความหมายตามบทที่ 25(1) ของข้อกำหนด 95/46/EC
4. "ผู้ประมวลผลย่อย" หมายถึงผู้ประมวลผลใดๆ ที่มีส่วนเกี่ยวข้องกับผู้นำเข้าข้อมูลหรือผู้ประมวลผลย่อยอื่นๆ ของผู้นำเข้าข้อมูล ซึ่งยินยอมที่จะรับข้อมูลส่วนบุคคลจากผู้นำเข้าข้อมูลหรือจากผู้ประมวลผลย่อยรายอื่นๆ ของผู้นำเข้าข้อมูล ซึ่งมุ่งหวังที่จะประมวลผลกิจกรรมเพื่อดำเนินการในนามของผู้ส่งออกข้อมูลหลังการถ่ายโอนข้อมูลที่เป็นไปตามคำสั่งและข้อตกลงในข้อสัญญาและข้อตกลงในสัญญาย่อยที่เขียนเป็นลายลักษณ์อักษร
5. ""กฎหมายการปกป้องข้อมูลที่เกี่ยวข้อง" หมายถึงตัวบทกฎหมายที่ปกป้องสิทธิพื้นฐานและเสรีภาพส่วนบุคคล โดยเฉพาะอย่างยิ่งสิทธิความเป็นส่วนตัวในเรื่องการประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวกับผู้ควบคุมข้อมูลในรัฐสมาชิกที่ผู้ส่งออกข้อมูลตั้งอยู่
6. "มาตรการการรักษาความปลอดภัยเชิงเทคนิคและเชิงองค์กร" หมายถึงมาตรการต่างๆ ที่มีเป้าหมายในการปกป้องข้อมูลส่วนบุคคลให้พ้นจากความเสียหายโดยไม่ตั้งใจหรือเกิดจากการกระทำที่ผิดกฎหมาย หรือเกิดความสูญเสียโดยไม่ตั้งใจ การแก้ไข การเปิดเผยหรือเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต โดยเฉพาะอย่างยิ่งเมื่อการประมวลผลเกี่ยวข้องการการส่งข้อมูลผ่านเครือข่าย และปลอดจากรูปแบบการประมวลผลที่ผิดกฎหมายอื่นๆ

รายละเอียดของการถ่ายโอน โดยเฉพาะอย่างยิ่งข้อมูลส่วนบุคคลประเภทพิเศษที่เกี่ยวข้องมีระบุอยู่ในภาคผนวกที่ 1 ซึ่งถือเป็นส่วนหนึ่งของข้อสัญญา

1. เจ้าของข้อมูลสามารถบังคับใช้กฎหมายกับผู้ส่งออกข้อมูลในข้อสัญญานี้ ข้อสัญญา 4(ข) ถึง (ฌ) ข้อสัญญา 5(ก) ถึง (จ) และ (ช) ถึง (ญ) ข้อสัญญา 6(1) และ (2) ข้อสัญญา 7 ข้อสัญญา 8(2) และข้อสัญญา 9 ถึง 12 ในฐานะบุคคลที่สามที่ได้รับผลประโยชน์
2. เจ้าของข้อมูลสามารถบังคับใช้กฎหมายกับผู้นำเข้าข้อมูลในข้อสัญญานี้ ข้อสัญญา 5(ก) ถึง (จ) และ (ช) ข้อสัญญา 6 ข้อสัญญา 7 ข้อสัญญา 8(2) และข้อสัญญา 9 ถึง 12 ในกรณีที่ผู้ส่งออกข้อมูลหายไปตามข้อเท็จจริงหรือยกเลิกการคงสภาพตามกฎหมาย ยกเว้นในกรณีที่นิติบุคคลที่รับช่วงต่อได้รับภาระผูกพันทางกฎหมายทั้งหมดต่อจากผู้ส่งออกข้อมูลตามสัญญาหรือตามการดำเนินการทางกฎหมาย อันเป็นผลส่งให้ต้องสืบทอดสิทธิและภาระผูกพันของผู้ส่งออกข้อมูล ซึ่งหากเป็นเช่นนั้นเจ้าของข้อมูลจะสามารถบังคับใช้กฎหมายกับนิติบุคคลดังกล่าวได้
3. เจ้าของข้อมูลสามารถบังคับใช้กฎหมายกับผู้ประมวลผลย่อยในข้อสัญญานี้ ข้อสัญญา 5(ก) ถึง (จ) และ (ช) ข้อสัญญา 6 ข้อสัญญา 7 ข้อสัญญา 8(2) และข้อสัญญา 9 ถึง 12 ในกรณีที่ทั้งผู้ส่งออกข้อมูลและผู้นำเข้าข้อมูลหายไปตามข้อเท็จจริงหรือยกเลิกการคงสภาพตามกฎหมาย หรือกลายสถานะเป็นผู้ล้มละลาย ยกเว้นในกรณีที่นิติบุคคลที่รับช่วงต่อได้รับภาระผูกพันทางกฎหมายทั้งหมดต่อจากผู้ส่งออกข้อมูลตามสัญญาหรือตามการดำเนินการทางกฎหมาย อันเป็นผลส่งให้ต้องสืบทอดสิทธิและภาระผูกพันของผู้ส่งออกข้อมูล ซึ่งหากเป็นเช่นนั้นเจ้าของข้อมูลจะสามารถบังคับใช้กฎหมายกับนิติบุคคลดังกล่าวได้ ความรับผิดต่อบุคคลที่สามของผู้ประมวลผลย่อยจะจำกัดเพียงการดำเนินการประมวลผลในส่วนของตนภายใต้ข้อสัญญาเท่านั้น
4. คู่สัญญาจะไม่คัดค้านในกรณีที่เจ้าของข้อมูลต้องการให้องค์กรหรือหน่วยงานเป็นตัวแทน หากเจ้าของข้อมูลแสดงเจตนาอย่างชัดเจนและกฎหมายของประเทศนั้นอนุญาตให้ทำได้

ผู้ส่งออกข้อมูลให้ความยินยอมและรับรองดังต่อไปนี้

1. การประมวลผล ซึ่งรวมถึงการถ่ายโอนข้อมูลส่วนบุคคลได้ดำเนินการมาและจะดำเนินการต่อไปตามข้อบังคับที่เกี่ยวข้องของกฎหมายการปกป้องข้อมูล (และหากเกี่ยวข้องจะต้องแจ้งไปยังหน่วยงานกำกับดูแลที่เกี่ยวข้องในรัฐของสมาชิกที่ผู้ส่งออกข้อมูลตั้งอยู่) และไม่ละเมิดข้อบังคับที่เกี่ยวข้องของรัฐนั้น
2. ได้ให้คำแนะนำและจะให้คำแนะนำผู้นำเข้าข้อมูลตลอดช่วงเวลาการให้บริการด้านการประมวลผลข้อมูลส่วนบุคคลในการที่จะประมวลผลข้อมูลส่วนบุคคลที่ถ่ายโอนในนามของผู้ส่งออกข้อมูลเท่านั้น และจะปฏิบัติตามกฎหมายการปกป้องข้อมูลและข้อสัญญาที่เกี่ยวข้อง
3. ผู้นำเข้าข้อมูลจะให้การรับรองที่เพียงพอเกี่ยวกับมาตรการการรักษาความปลอดภัยเชิงเทคนิคและเชิงองค์กร ดังที่ระบุไว้ใน ภาคผนวกที่ 2 ของสัญญาฉบับนี้
4. หลังจากประเมินข้อกำหนดของกฎหมายการปกป้องข้อมูลที่เกี่ยวข้องแล้ว มาตรการรักษาความปลอดภัยต้องเหมาะสมสำหรับการปกป้องข้อมูลส่วนบุคคลให้พ้นจากความเสียหายโดยไม่ตั้งใจหรือเกิดจากการกระทำที่ผิดกฎหมาย หรือเกิดความสูญเสียโดยไม่ตั้งใจ การแก้ไข การเปิดเผยหรือเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต โดยเฉพาะอย่างยิ่งเมื่อการประมวลผลเกี่ยวข้องการการส่งสัญญาณข้อมูลผ่านเครือข่าย และปลอดจากรูปแบบการประมวลผลที่ผิดกฎหมายอื่นๆ มาตรการดังกล่าวต้องประกันการตอบรับความเสี่ยงจากการประมวลผลและลักษณะธรรมชาติของข้อมูลด้วยระดับการรักษาความปลอดภัยที่เหมาะสมโดยคำนึงถึงความทันสมัยและต้นทุนในการนำไปปฏิบัติ
5. จะรับรองการปฏิบัติให้เป็นไปตามมาตรการรักษาความปลอดภัย
6. หากการถ่ายโอนเกี่ยวข้องกับข้อมูลประเภทพิเศษ เจ้าของข้อมูลต้องได้รับแจ้งหรือจะได้รับแจ้งก่อน หรือโดยเร็วที่สุดเท่าที่จะสามารถหลังจากที่อาจมีการส่งสัญญาณการถ่ายโอนข้อมูลของตนไปยังประเทศที่สามซึ่งไม่มีมาตรการปกป้องที่เพียงพอตามที่บัญญัติในข้อกำหนด 95/46/EC
7. จะส่งต่อการแจ้งใดๆ ที่ได้รับจากผู้นำเข้าข้อมูลหรือผู้ประมวลผลข้อมูลย่อยตามข้อสัญญา 5(ข) และข้อสัญญา 8(3) ไปให้หน่วยงานที่กำกับดูแลการปกป้องข้อมูล หากผู้ส่งออกข้อมูลตัดสินใจที่จะดำเนินการถ่ายโอนข้อมูลต่อไปหรือยกเลิกการระงับ
8. จะจัดหาสำเนาข้อสัญญาเมื่อเจ้าของข้อมูลร้องขอ ยกเว้นภาคผนวกที่ 2 และคำอธิบายสรุปของมาตรการรักษาความปลอดภัย รวมทั้งสำเนาของสัญญาบริการประมวลผลย่อยใดๆ ซึ่งจะต้องเป็นไปตามข้อสัญญา ยกเว้นในกรณีที่ข้อสัญญาหรือสัญญานั้นมีข้อมูลทางการค้าอยู่ หากเป็นเช่นนั้นอาจลบข้อมูลทางการค้าดังกล่าวออกได้
9. ในกรณีที่มีการประมวลผลย่อย กิจกรรมการประมวลผลโดยผู้ประมวลผลย่อยจะต้องดำเนินการตามข้อสัญญาที่ 11 โดยให้ระดับการป้องกันข้อมูลส่วนบุคคลและสิทธิของเจ้าของข้อมูลในฐานะผู้นำเข้าข้อมูลภายใต้ข้อสัญญาในระดับเดียวกันเป็นอย่างน้อย และ
10. จะรับรองการปฏิบัติให้เป็นไปตามข้อสัญญา 4 (ก) ถึง (ฌ)

ผู้นำเข้าข้อมูลให้ความยินยอมและรับรองดังต่อไปนี้

1. การประมวลผลข้อมูลส่วนบุคคลจะทำในนามของผู้ส่งออกข้อมูลเท่านั้นและจะปฏิบัติตามคำสั่งและข้อสัญญา หากไม่สามารถปฏิบัติตามข้อกำหนดนั้นไม่ว่าจะด้วยเหตุผลใดก็ตาม ผู้นำเข้าข้อมูลยินยอมที่จะแจ้งให้ผู้ส่งออกข้อมูลทราบถึงการที่ไม่สามารถปฎิบัติตามข้อกำหนดภายในเวลาที่เหมาะสม ซึ่งในกรณีดังกล่าวผู้ส่งออกข้อมูลมีสิทธิ์ที่จะระงับการถ่ายโอนข้อมูลและ/หรือยุติสัญญา
2. ผู้นำเข้าข้อมูลไม่มีเหตุใดๆ ที่ทำให้เชื่อว่ากฎหมายที่เกี่ยวข้องสั่งห้ามไม่ให้ผู้นำเข้าข้อมูลดำเนินการตามคำสั่งที่ได้รับจากผู้ส่งออกข้อมูลและภาระผูกพันภายใต้สัญญา และหากเกิดการเปลี่ยนแปลงด้านกฎหมายซึ่งมีแนวโน้มที่จะก่อให้เกิดผลกระทบสำคัญที่ไม่พึงประสงค์เกี่ยวกับการประกันและภาระผูกพันตามข้อสัญญา ผู้นำเข้าข้อมูลจะต้องแจ้งให้ผู้ส่งออกข้อมูลทราบถึงการเปลี่ยนแปลงทันทีที่ตนทราบ ซึ่งในกรณีดังกล่าวผู้ส่งออกข้อมูลมีสิทธิ์ที่จะระงับการถ่ายโอนข้อมูลและ/หรือยุติสัญญา
3. ได้นำมาตรการการรักษาความปลอดภัยเชิงเทคนิคและเชิงองค์กรที่ระบุในภาคผนวกที่ 2 มาใช้ก่อนประมวลผลข้อมูลส่วนบุคคลที่ถ่ายโอน
4. จะแจ้งให้ผู้ส่งออกข้อมูลทราบเกี่ยวกับเรื่องต่อไปนี้ในเวลาที่เหมาะสม
   1. คำขอที่เป็นข้อผูกมัดทางกฎหมายให้เปิดเผยข้อมูลส่วนบุคคลจากหน่วยงานที่บังคับใช้กฎหมาย ยกเว้นในกรณีที่ถูกห้ามไว้ เช่น การสั่งห้ามภายใต้กฎหมายอาชญากรรมเพื่อรักษาความลับในการดำเนินคดีของหน่วยงานที่บังคับใช้กฎหมาย
   2. การเข้าถึงโดยไม่ตั้งใจหรือการเข้าถึงที่ไม่ได้รับอนุญาต และ
   3. คำขอใดๆ ที่ได้รับจากเจ้าของข้อมูลโดยตรงโดยไม่ตอบรับคำขอดังกล่าว ยกเว้นในกรณีที่ได้รับอนุญาตให้ดำเนินการตามนั้น
5. การจัดการตามที่ผู้ส่งออกข้อมูลสอบถามทั้งหมดในเวลาและวิธีที่เหมาะสม เกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลที่อยู่ภายใต้บังคับการถ่ายโอนและการปฏิบัติตามคำสั่งของหน่วยงานกำกับดูแลด้านการประมวลผลข้อมูลที่ถ่ายโอน
6. เมื่อได้รับคำขอจากผู้ส่งออกข้อมูลให้ส่งสถานที่ทำการประมวลผลข้อมูลให้รับการตรวจสอบกิจกรรมการประมวลผลที่ครอบคลุมตามข้อสัญญา ซึ่งจะดำเนินการโดยผู้ส่งออกข้อมูลเองหรือคณะกรรมการตรวจสอบที่ประกอบด้วยสมาชิกอิสระซึ่งมีคุณสมบัติทางวิชาชีพที่กำหนดและมีข้อผูกมัดตามหน้าที่ซึ่งเป็นความลับ ซึ่งผู้ส่งออกข้อมูลเป็นผู้เลือก และหากเกี่ยวข้องจะต้องเป็นไปตามข้อตกลงกับหน่วยงานกำกับดูแล
7. จะจัดหาสำเนาข้อสัญญาหรือสัญญาการประมวลผลย่อยใดๆ ที่มี เมื่อเจ้าของข้อมูลร้องขอ ยกเว้นในกรณีที่ข้อสัญญาหรือสัญญานั้นมีข้อมูลทางการค้าอยู่ หากเป็นเช่นนั้นอาจลบข้อมูลทางการค้าดังกล่าวออกได้ ทั้งนี้ยกเว้นภาคผนวกที่ 2 ซึ่งถูกแทนด้วยคำอธิบายโดยสรุปเกี่ยวกับมาตรการการรักษาความปลอดภัยในกรณีดังกล่าวที่เจ้าของข้อมูลไม่สามารถรับสำเนาจากผู้ส่งออกข้อมูล
8. ในกรณีที่มีการประมวลผลย่อย จะต้องแจ้งผู้ส่งออกข้อมูลโดยต้องได้รับความยินยอมเป็นลายลักษณ์อักษรล่วงหน้า
9. บริการประมวลผลของผู้ประมวลผลย่อยจะดำเนินการตามข้อสัญญาที่ 11
10. จะส่งสำเนาข้อตกลงของผู้ประมวลผลย่อยใดๆ ที่สรุปอยู่ภายใต้ข้อสัญญาให้กับผู้ส่งออกข้อมูล

1. คู่สัญญายอมรับว่าเจ้าของข้อมูลใดก็ตามที่ได้รับความเสียหายอันเป็นผลจากการผิดสัญญาตามภาระผูกพันที่อ้างไว้ในข้อสัญญาที่ 3 หรือในข้อสัญญาที่ 11 โดยคู่สัญญาฝ่ายใดฝ่ายหนึ่งหรือผู้ประมวลผลย่อย เจ้าของข้อมูลนั้นมีสิทธิ์ที่จะได้รับการชดใช้จากผู้ส่งออกข้อมูลสำหรับความเสียหายที่ได้รับ
2. หากเจ้าของข้อมูลไม่สามารถทวงสิทธิ์ในการชดใช้ตามย่อหน้าที่ 1 จากผู้ส่งออกข้อมูล เนื่องจากการผิดสัญญาตามภาระผูกพันดังที่อ้างถึงในข้อสัญญาที่ 3 หรือข้อสัญญาที่ 11 ของผู้นำเข้าข้อมูลหรือผู้ประมวลผลย่อย หรือเนื่องจากผู้ส่งออกข้อมูลหายไปตามข้อเท็จจริงหรือยกเลิกการคงสภาพตามกฎหมาย หรือกลายสถานะเป็นผู้ล้มละลาย ผู้นำเข้าข้อมูลยินยอมให้เจ้าของข้อมูลทวงสิทธิ์จากผู้นำเข้าข้อมูลเสมือนเป็นผู้ส่งออกข้อมูล ยกเว้นในกรณีที่นิติบุคคลที่รับช่วงต่อได้รับภาระผูกพันทางกฎหมายทั้งหมดต่อจากผู้ส่งออกข้อมูลตามสัญญาหรือตามการดำเนินการทางกฎหมาย ซึ่งหากเป็นเช่นนั้นเจ้าของข้อมูลจะสามารถบังคับใช้สิทธิ์ของตนกับนิติบุคคลดังกล่าวได้
   ผู้นำเข้าข้อมูลจะไม่ใช้การผิดสัญญาตามภาระผูกพันของผู้ประมวลผลย่อยเป็นข้ออ้างในการเลี่ยงความรับผิดของตนเอง
3. หากเจ้าของข้อมูลไม่สามารถทวงสิทธิ์จากผู้ส่งออกหรือผู้นำเข้าข้อมูลตามย่อหน้าที่ 1 และ 2 เนื่องจากเป็นการผิดสัญญาตามภาระผูกพันดังที่อ้างถึงในข้อสัญญาที่ 3 หรือข้อสัญญาที่ 11 ของผู้ประมวลผลย่อย หรือเนื่องจากทั้งผู้ส่งออกข้อมูลและผู้นำเข้าข้อมูลหายไปตามข้อเท็จจริงหรือยกเลิกการคงสภาพตามกฎหมาย หรือกลายสถานะเป็นผู้ล้มละลาย หากเป็นเช่นนั้นผู้ประมวลผลย่อยยินยอมให้เจ้าของข้อมูลทวงสิทธิ์ที่เกี่ยวกับการดำเนินการประมวลผลข้อมูลของตนเองภายใต้ข้อสัญญา เสมือนเป็นผู้ส่งออกหรือผู้นำเข้าข้อมูล ยกเว้นในกรณีที่นิติบุคคลที่รับช่วงต่อได้รับภาระผูกพันทางกฎหมายทั้งหมดต่อจากผู้ส่งออกหรือผู้นำเข้าข้อมูลตามสัญญาหรือตามการดำเนินการทางกฎหมาย ซึ่งหากเป็นเช่นนั้นเจ้าของข้อมูลจะสามารถบังคับใช้สิทธิ์ของตนกับนิติบุคคลดังกล่าวได้ ความรับผิดของผู้ประมวลผลย่อยจะจำกัดเพียงการดำเนินการประมวลผลของตนเองภายใต้ข้อสัญญาเท่านั้น

1. ผู้นำเข้าข้อมูลให้ความยินยอมในกรณีที่เจ้าของข้อมูลเพิกถอนสิทธิ์บุคคลที่สามที่เป็นผู้รับผลประโยชน์ของตน และ/หรือ การทวงสิทธิ์ให้ชดใช้ค่าเสียหายภายใต้ข้อสัญญา ผู้นำเข้าข้อมูลจะยอมรับการตัดสินใจต่อไปนี้ของเจ้าของข้อมูล
   1. การขอให้ไกล่เกลี่ยข้อพิพาทโดยบุคคลอิสระหรือหน่วยงานกำกับดูแลเมื่อเกี่ยวข้อง
   2. การขอให้ไกล่เกลี่ยข้อพิพาทในศาลของรัฐสมาชิกที่ผู้ส่งออกข้อมูลตั้งอยู่
2. คู่สัญญาตกลงที่จะไม่มีอคติกับตัวเลือกในการใช้สิทธิสำคัญหรือสิทธิตามขั้นตอนที่เจ้าของข้อมูลจะใช้แก้ไขปัญหา ซึ่งเป็นไปโดยสอดคล้องกับข้อบังคับของกฎหมายในประเทศหรือกฏหมายนานาชาติ

ข้อสัญญาที่ 8

การให้ความร่วมมือกับหน่วยงานกำกับดูแล

1. ผู้ส่งออกข้อมูลยินยอมที่จะนำส่งสำเนาของสัญญาฉบับนี้ให้หน่วยงานกำกับดูแลเมื่อมีการร้องขอ หรือหากกฎหมายการปกป้องข้อมูลที่เกี่ยวข้องกำหนดไว้
2. คู่สัญญายอมรับว่าหน่วยงานกำกับดูแลมีสิทธิ์ที่จะดำเนินการตรวจสอบผู้นำเข้าข้อมูลและผู้ประมวลผลย่อยอื่นๆ ซึ่งมีขอบเขตหน้าที่และอยู่ภายใต้เงื่อนไขเดียวกันที่ใช้กับการตรวจสอบผู้ส่งออกข้อมูลภายใต้กฎหมายการปกป้องข้อมูลที่เกี่ยวข้อง
3. ผู้นำเข้าข้อมูลจะแจ้งให้ผู้ส่งออกข้อมูลทราบในเวลาที่เหมาะสมเกี่ยวกับข้อบังคับทางกฎหมายที่มีซึ่งเกี่ยวข้องตนหรือผู้ประมวลผลย่อย ที่จะป้องกันการดำเนินการตรวจสอบผู้นำเข้าข้อมูลหรือผู้ประมวลผลตามย่อหน้าที่ 2 ซึ่งในกรณีดังกล่ว ผู้ส่งออกข้อมูลมีสิทธิ์ที่จะใช้มาตรการตามที่เห็นควรในข้อสัญญาที่ 5

ข้อสัญญานี้อยู่ภายใต้บังคับของกฎหมายของรัฐสมาชิกที่ที่ผู้ส่งออกข้อมูลตั้งอยู่

คู่สัญญายินยอมที่จะไม่เปลี่ยนแปลงหรือแก้ไขข้อสัญญา ซึ่งจะไม่ขัดขวางการที่คู่สัญญาจะเพิ่มข้อสัญญาที่เกี่ยวข้องกับธุรกิจเมื่อจำเป็น โดยทั้งนี้จะต้องไม่ขัดกับข้อสัญญาเดิม

1. ผู้นำเข้าข้อมูลจะไม่ทำสัญญารับช่วงการดำเนินการประมวลผลข้อมูลในนามของผู้ส่งออกข้อมูลภายใต้ข้อสัญญา หากไม่ได้รับความยินยอมเป็นลายลักษณ์อักษรล่วงหน้าจากผู้ส่งออกข้อมูล หากผู้นำเข้าข้อมูลทำสัญญารับช่วงภาระผูกพันภายใต้ข้อสัญญาโดยได้รับความยินยอมจากผู้ส่งออกข้อมูล ผู้นำเข้าข้อมูลจะสามารถดำเนินการดังกล่าวได้หากมีข้อตกลงที่เป็นลายลักษณ์อักษรกับผู้ประมวลผลย่อยซึ่งจะต้องยอมรับภาระผูกพันของผู้ประมวลผลย่อยเหมือนกับภาระผูกพันของผู้นำเข้าข้อมูลในข้อสัญญา³หากผู้ประมวลผลย่อยไม่สามารถดำเนินการตามภาระผูกพันการปกป้องข้อมูลภายใต้ข้อตกลงที่เป็นลายลักษณ์อักษรดังกล่าว ความรับผิดชอบทั้งหมดสำหรับการดำเนินการตามภาระผูกพันภายใต้สัญญาดังกล่าวของผู้ประมวลผลย่อยที่มีต่อผู้ส่งออกข้อมูลยังคงเป็นของผู้นำเข้าข้อมูล
2. สัญญาลายลักษณ์อักษรระหว่างผู้นำเข้าข้อมูลและผู้ประมวลผลย่อยที่กล่าวไว้ก่อนหน้าจะพูดถึงเรื่องข้อสัญญาเกี่ยวกับผลประโยชน์ของบุคคลที่ 3 ตามที่กล่าวไว้ในข้อสัญญาที่ 3 สำหรับกรณีที่เจ้าของข้อมูลไม่สามารถทวงสิทธิ์การชดใช้ค่าเสียหายจากผู้ส่งออกหรือผู้นำเข้าข้อมูลตามย่อหน้าที่ 1 และ 2 เนื่องจากทั้งคู่หายไปตามข้อเท็จจริงหรือยกเลิกการคงสภาพตามกฎหมาย หรือกลายสถานะเป็นผู้ล้มละลาย โดยไม่มีนิติบุคคลที่รับช่วงต่อมารับภาระผูกพันทางกฎหมายทั้งหมดต่อจากผู้ส่งออกหรือผู้นำเข้าข้อมูลตามสัญญาหรือตามการดำเนินการทางกฎหมาย ความรับผิดชอบต่อบุคคลที่สามของผู้ประมวลผลย่อยจะจำกัดเพียงการดำเนินการประมวลผลในส่วนของตนภายใต้ข้อสัญญาเท่านั้น
3. ข้อบังคับเกี่ยวกับการปกป้องข้อมูลสำหรับการประมวลผลย่อยของสัญญาที่อ้างถึงในย่อหน้าที่ 1 อยู่ภายใต้บังคับกฎหมายของรัฐสมาชิกที่ผู้ส่งออกข้อมูลตั้งอยู่
4. ผู้ส่งออกข้อมูลจะต้องเก็บรักษารายการข้อตกลงของการประมวลผลย่อยโดยสรุปภายใต้ข้อสัญญาและแจ้งให้ผู้นำเข้าข้อมูลตามข้อสัญญาที่ 5 (ญ) และทำการปรับปรุงข้อมูลอย่างน้อยปีละหนึ่งครั้ง รายการดังกล่าวต้องพร้อมมอบให้หน่วยงานที่กำกับดูแลการปกป้องข้อมูลของผู้ส่งออกข้อมูล

ภาระผูกพันหลังการยุติบริการการประมวลผลข้อมูลส่วนบุคคล

1. คู่สัญญายอมรับว่าเมื่อยุติการให้บริการการประมวลผลข้อมูล ผู้นำเข้าข้อมูลและผู้ประมวลผลย่อยจะส่งคืนข้อมูลส่วนบุคคลทั้งหมดที่ถ่ายโอน รวมทั้งสำเนาข้อมูลให้ผู้ส่งออกข้อมูลตามวิธีที่ผู้ส่งออกข้อมูลเลือก หรือจะทำลายข้อมูลส่วนบุคคลทั้งหมดและให้การยืนยันกับผู้ส่งออกข้อมูลว่าได้ดำเนินการดังกล่าว ยกเว้นในกรณีที่มีข้อบังคับทางกฎหมายสั่งห้ามไม่ให้ส่งคืนหรือทำลายข้อมูลส่วนบุคคลที่ถ่ายโอน หากเป็นเช่นนั้น ผู้นำเข้าข้อมูลต้องประกันว่าจะรับรองว่าจะเก็บรักษาข้อมูลส่วนบุคคลที่ถ่ายโอนเป็นความลับและจะไม่มีการประมวลผลข้อมูลส่วนบุคคลที่ถ่ายโอนอีก
2. ผู้นำเข้าข้อมูลและผู้ประมวลผลย่อยรับรองว่าเมื่อได้รับคำขอจากผู้ส่งออกข้อมูลและ/หรือหน่วยงานที่กำกับดูแล จะส่งสถานที่ทำการประมวลผลข้อมูลให้ตรวจสอบมาตรการตามที่อ้างถึงในย่อหน้าที่ 1

คำหลักที่ขึ้นต้นด้วยตัวพิมพ์ใหญ่ในส่วน ก. ถึง ค. และในภาคผนวกแต่ไม่มีคำจำกัดความอยู่ในข้อสัญญาจะมีความหมายตามข้อตกลง Dropbox Business ระหว่างผู้ส่งออกข้อมูลและ Dropbox International Unlimited Company

1. การตรวจสอบการรักษาความปลอดภัยผู้นำเข้าข้อมูลจะต้องรักษาไว้ซึ่งใบรับรอง ISO/IEC 27001:2013 และ ISO/IEC 27018:2014 ที่ออกโดยหน่วยงานการตรวจสอบอิสระ ผู้นำเข้าข้อมูลจะต้องเข้ารับการตรวจสอบ ISO/IEC 27001:2013 และ ISO/IEC 27018 ที่จำเป็นอย่าสม่ำเสมอเพื่อรักษาไว้ซึ่งใบรับรองสำหรับบริการในช่วงระยะสัญญา นอกจากนี้ ผู้นำเข้าข้อมูลยังต้องเข้ารับการตรวจสอบ Service Organization Control 2 (SOC 2) Type II ตามปกติ ผู้นำเข้าข้อมูลจะต้องนำส่งสำเนาของรายงาน SOC 2 Type II ไม่เกินปีละหนึ่งครั้งให้ผู้ส่งออกข้อมูลเมื่อมีคำขอเป็นลายลักษณ์อักษร ทั้งนี้ให้เป็นไปตามภาระผูกพันด้านการรักษาความลับของผู้นำเข้าข้อมูล ผู้นำเข้าข้อมูลจะต้องพร้อมนำส่งรายงาน SOC 2 ฉบับใหม่ทันทีที่เสร็จเรียบร้อย ทั้งนี้ให้เป็นไปตามข้อกำหนดด้านการรักษาความลับของผู้นำเข้าข้อมูล ผู้นำเข้าข้อมูลจะต้องตรวจสอบองค์กรที่สามที่ให้บริการย่อยอย่างสม่ำเสมอ โดยจะต้องผ่านการตรวจสอบ Standards for Attestation Engagements No. 16 (SSAE 16) / International Standard on Assurance Engagements No. 3402 (ISAE 3402) Service Organization Control 1 (SOC 1) Type II หรือ Service Organization Control 2 (SOC 2) Type II ที่ประเมินการออกแบบและประสิทธิภาพของนโนบาย ขั้นตอน และการควบคุมด้านการรักษาความปลอดภัย

   ผู้ส่งออกข้อมูลยอมรับว่าภาระผูกพันของผู้นำเข้าข้อมูลที่ระบุในส่วน ก. เหมาะสมกับสิทธิในการตรวจสอบภายใต้ข้อสัญญาที่ 5 (ฉ) และข้อสัญญาที่ 12 (2) ของข้อสัญญานี้

2. การประมวลผลย่อยผู้นำเข้าข้อมูลอาจขอให้บริษัทอื่นเข้ามามีส่วนในด้านในด้านหนึ่งที่จำกัดของบริการ (รวมถึงบริการสนับสนุน) ในนามของผู้นำเข้าข้อมูล โดยผู้ส่งออกข้อมูลได้ยินยอมให้ผู้นำเข้าข้อมูลทำสัญญารับช่วงการประมวลผลข้อมูลส่วนบุคคลกับผู้ประมวลผลย่อยที่อธิบายไว้ในข้อสัญญา ผู้นำเข้าข้อมูลจะต้องรับประกันว่าผู้ประมวลผลย่อยจะเข้าถึงและใช้ข้อมูลส่วนบุคคลในการให้บริการเฉพาะตามที่ระบุในข้อตกลงที่เป็นลายลักษณ์อักษรระหว่างผู้นำเข้าข้อมูลกับผู้ประมวลผลย่อยเท่านั้น ผู้ส่งออกข้อมูลรับทราบว่าข้อกำหนดที่เกี่ยวข้องกับผู้นำเข้าข้อมูลภายใต้ข้อสัญญาเรื่องข้อตกลงกับผู้ประมวลผลย่อยจะต้องเป็นไปตามที่ระบุในข้อตกลงการประมวลผลย่อยระหว่างผู้นำเข้าข้อมูลและผู้ประมวลข้อมูลย่อยโดยอย่างน้อยจะต้องจัดเตรียมระดับการปกป้องข้อมูลตามที่กำหนดในข้อตกลง Dropbox Business
3. ความรับผิดข้อสัญญาจะอยู่ภายใต้ข้อจำกัดและข้อยกเว้นด้านความรับผิดที่อยู่ในส่วน "ข้อจำกัดด้านความรับผิด" ของข้อตกลง Dropbox Business โดยความรับผิดรวมของผู้นำเข้าข้อมูลและ Dropbox International Unlimited Company เมื่อรวมกันแล้วจะต้องไม่เกินจำนวนที่จำกัดไว้ในข้อตกลง Dropbox Business เพื่อหลีกเลี่ยงความสับสน ผู้ส่งออกข้อมูลจะไม่มีสิทธิ์รับการชดใช้จากทั้งผู้นำเข้าข้อมูลและ Dropbox International Unlimited Company ในกรณีความเสียหายเดียวกัน

ภาคผนวกนี้ประกอบเข้าเป็นส่วนหนึ่งของข้อสัญญา ซึ่งคู่สัญญาทั้งสองฝ่ายจะต้องกรอกข้อมูลและลงนามให้เรียบร้อย

รัฐสมาชิกอาจกรอกหรือระบุข้อมูลตามขั้นตอนในประเทศนั้น โดยข้อมูลเพิ่มเติมที่จำเป็นจะต้องอยู่ในภาคผนวกนี้

ผู้ส่งออกข้อมูล

ผู้ส่งออกข้อมูลคือ (กรุณาระบุกิจกรรมที่เกี่ยวข้องกับการถ่ายโอนโดยสรุป):

ลูกค้าที่ทำข้อตกลง Dropbox Business กับ Dropbox International Unlimited Company

ผู้นำเข้าข้อมูล

ผู้นำเข้าข้อมูลคือ (กรุณาระบุกิจกรรมที่เกี่ยวข้องกับการถ่ายโอนโดยสรุป):

Dropbox, Inc. ซึ่งเป็นผู้ให้บริการระบบคลาวด์สำหรับลูกค้ารายบุคคลและธุรกิจทั่วโลก Dropbox, Inc. และบริษัทในเครือให้บริการเว็บไซต์ ซอฟต์แวร์และแอพพลิเคชันสำหรับอุปกรณ์เคลื่อนที่ซึ่งช่วยให้บุคคลสามารถจัดเก็บไฟล์ ซิงค์ไฟล์ บนอุปกรณ์ที่หลากหลายและทำงานร่วมกันกับผู้อื่น นอกจากนี้ บริการของ Dropbox, Inc. ยังสามารถเข้าถึงผ่าน Application Programming Interfaces (API)

เจ้าของข้อมูล

ข้อมูลส่วนบุคคลที่ถ่ายโอนซึ่งเกี่ยวข้องกับประเภทของเจ้าของข้อมูลต่อไปนี้ (กรุณาระบุ):

ผู้ใช้ปลายทางของผู้ส่งออกข้อมูลและบริษัทในเครือของผู้ส่งออกข้อมูล ซึ่งรวมถึงพนักงาน ที่ปรึกษา ผู้ทำสัญญาจ้างของผู้ส่งออกข้อมูล รวมทั้งบุคคลใดบุคคลหนึ่งที่ทำงานร่วมกันหรือแบ่งปันข้อมูลกับผู้ใช้ปลายทางเหล่านี้โดยใช้บริการของผู้นำเข้าข้อมูล

ประเภทข้อมูล

ข้อมูลส่วนบุคคลที่มีการถ่ายโอนซึ่งเกี่ยวข้องกับประเภทข้อมูลต่อไปนี้ (กรุณาระบุ):

ผู้ใช้ปลายทางที่ระบุว่าข้อมูลและข้อมูลขององค์กร (ทั้งแบบออนไลน์และออฟไลน์) รวมถึงเอกสาร รูปภาพ และเนื้อหาอื่นๆ หรือข้อมูลในรูปแบบอิเล็กทรอนิคส์ที่จัดเก็บหรือส่งสัญญาณโดยผู้ใช้ปลายทางผ่านบริการของผู้นำเข้าข้อมูล

การดำเนินการด้านการประมวลผล

ข้อมูลส่วนบุคคลที่ถ่ายโอนจะเป็นไปตามกิจกรรมการประมวลผลพื้นฐานต่อไปนี้ (กรุณาระบุ):

ผู้นำเข้าข้อมูลหรือผู้ประมวลผลย่อยจะใช้และประมวลผลข้อมูลส่วนบุคคลตามคำสั่งที่ผู้ส่งออกข้อมูลระบุให้ผู้นำเข้าข้อมูลใช้และประมวลผลข้อมูลเพื่อให้บริการภายใต้ข้อตกลง Dropbox Business

ภาคผนวกนี้ประกอบเข้าเป็นส่วนหนึ่งของข้อสัญญา ซึ่งคู่สัญญาทั้งสองฝ่ายจะต้องกรอกข้อมูลและลงนามให้เรียบร้อย

คำอธิบายมาตรการรักษความปลอดภัยและเทคนิคขององค์กรที่ผู้นำเข้าข้อมูลนำไปใช้ตามข้อสัญญาที่ 4 (ง) และ 5 (ค) (หรือเอกสารหรือข้อบังคับทางกฎหมายที่แนบมาด้วย):

ข้อมูลติดต่อด้านการรักษาความเป็นส่วนตัวของข้อมูล

เจ้าหน้าที่ด้านการรักษาความเป็นส่วนตัวของข้อมูลของผู้นำเข้าข้อมูลสามารถติดต่อได้ที่ privacy@dropbox.com

มาตรการการรักษาความปลอดภัย

ผู้นำเข้าข้อมูลได้ใช้และจะคงไว้ซึ่งมาตรการทางการบริหารจัดการ เทคนิค และทางกายภาพที่เหมาะสมในการปกป้องข้อมูลส่วนบุคคลดังที่ได้อธิบายเพิ่มเติมไว้ในรายงานการรักษาความปลอดภัยของ Dropbox Business (ซึ่งพร้อมให้บริการในวันที่มีผลบังคับที่: https://www.dropbox.com/…/Security_Whitepaper.pdf) และระบุเพิ่มเติมที่ด้านล่างนี้ ผู้นำเข้าข้อมูลอาจทำการปรับปรุงมาตรการการรักษาความปลอดภัยเหล่านี้เป็นครั้งคราว โดยเวอร์ชันล่าสุดจะพร้อมให้บริการที่ URL ข้างต้น (หรือ URL อื่นตามที่ผู้นำเข้าข้อมูลจะแจ้งให้ทราบ) โดยมีเงื่อนไขว่าผู้นำเข้าข้อมูลจะต้องแจ้งให้ผู้ส่งออกข้อมูลทราบหากผู้นำเข้าข้อมูลปรับปรุงมาตรการรักษาความปลอดภัยซึ่งอาจลดคุณสมบัติทางด้านการบริหารจัดการ เทคนิค หรือทางกายภาพของการรักษาความปลอดภัยที่อธิบายไว้ ณ ที่นี้ หรือในภาคผนวกที่ 2

1. การรักษาความปลอดภัยของบริการ
   1. สถาปัตกรรมของ Dropboxบริการของผู้นำเข้าข้อมูลได้รับการออกแบบมาพร้อมการปกป้องหลายชั้นซึ่งครอบคลุมการถ่ายโอนข้อมูลที่ปลอดภัย การเข้ารหัส การกำหนดค่าเครือข่าย และการควบคุมในระดับแอพพลิเคชัน ซึ่งกระจายอยู่ในโครงสร้างพื้นฐานที่ปลอดภัยและปรับขนาดได้ ผู้ใช้ปลายทางของบริการของผู้นำเข้าข้อมูลสามารถเข้าถึงไฟล์และโฟลเดอร์ได้ตลอดเวลาจากเดสก์ท็อป เว็บ และไคลเอนท์บนอุปกรณ์เคลื่อนที่ ไคลเอนท์ดังกล่าวจะเชื่อมต่อบริการที่ปลอดภัย เพื่อให้การเข้าถึงไฟล์ อนุญาตการแบ่งปันไฟล์กับบุคคลอื่น และอัพเดตอุปกรณ์ที่เชื่อมโยงเมื่อมีการเพิ่ม เปลี่ยนแปลง หรือลบไฟล์ โดยสามารถใช้และเข้าถึงบริการนี้ผ่านอินเตอร์เฟซที่หลากหลาย แต่ละอินเทอร์เฟซมีการตั้งค่าการรักษาความปลอดภัยและคุณสมบัติต่างๆ ซึ่งทำหน้าที่ประมวลผลและปกป้องข้อมูลผู้ใช้ พร้อมกับให้การเข้าถึงที่ง่ายดาย 
   2. ความเชื่อถือได้บริการของผู้นำเข้าข้อมูลพัฒนาขึ้นพร้อมการปกป้องซ้ำหลายชั้นจึงสามารถปกป้องไม่ให้ข้อมูลสูญหายและรับรองความพร้อมในการใช้งาน
   3. การเข้ารหัสสำหรับการปกป้องข้อมูลระหว่างการถ่ายโอนระหว่างผู้ส่งออกข้อมูลและผู้นำเข้าข้อมูล ผู้นำเข้าข้อมูลจึงใช้เลเยอร์ซ็อคเก็ตรักษาความปลอดภัย (Secure Sockets Layer - SSL)/ความมั่นคงของชั้นขนส่ง (Transport Layer Security - TLS) สำหรับการถ่ายโอนข้อมูล สร้างอุโมงค์ส่งผ่านข้อมูลที่ได้รับการปกป้องโดยการเข้ารหัส Advanced Encryption Standard (AES) 128 บิตขึ้นไป ข้อมูลไฟล์ที่เหลือจะถูกเข้ารหัสโดยใช้มาตรฐานการเข้ารหัสลับขั้นสูง (Advanced Encryption Standard - AES) 256 บิต โครงสร้างพื้นฐานในการจัดการคีย์การเข้ารหัสของผู้นำเข้าข้อมูลออกแบบมาพร้อมการควบคุมความปลอดภัยทั้งในระดับการทำงาน เทคนิค และกระบวนวิธี โดยจำกัดการเข้าถึงคีย์โดยตรงอย่างเข้มงวด การสร้าง การแลกเปลี่ยน และการจัดเก็บคีย์การเข้ารหัส จะถูกจัดสรรเพื่อการประมวลผลแบบกระจายส่วน
   4. คุณสมบัติการบริหารจัดการผู้ใช้ผู้ใช้ปลายทางของบริการของผู้นำเข้าข้อมูลสามารถเรียกคืนไฟล์ที่สูญหาย และกู้คืนไฟล์เวอร์ชันก่อนหน้าได้แบบไม่จำกัด จึงมั่นใจว่าสามารถติดตามและกู้คืนการเปลี่ยนแปลงในไฟล์ที่ได้ บริการของผู้นำเข้าข้อมูลช่วยให้ผู้ใช้สามารถใช้ขั้นตอนการพิสูจน์ตัวตนสองขั้นซึ่งช่วยเพิ่มการปกป้องให้แน่นหนาขึ้นอีกชั้น
   5. ศูนย์ข้อมูลระบบองค์กรและการผลิตของผู้นำเข้าข้อมูลอยู่ที่ศูนย์ข้อมูลสำหรับองค์กรบริการย่อยภายนอก และจัดการโดยผู้ให้บริการในสหรัฐอเมริกา ผู้นำเข้าข้อมูลได้ตรวจสอบรายงานของศูนย์ข่อมูลขององค์กรที่ให้บริการย่อยเกี่ยวกับ Service Organization Control (SOC) 1 และ/หรือ SOC 2 อย่างน้อยปีละครั้งเพื่อให้การควบคุมด้านการรักษาความปลอดภัยเป็นไปอย่างพอเพียง
2. การรักษาความปลอดภัยของข้อมูล
   1. นโยบายผู้นำเข้าข้อมูลได้ตั้งชุดนโยบายการรักษาความปลอดภัยที่รอบคอบโดยครอบคลุมด้านการรักษาความปลอดภัยของข้อมูล การรักษาความปลอดภัยทางกายภาพ การตอบสนองต่อเหตุการณ์ การเข้าถึงทางตรรกะ การเข้าถึงการผลิตทางกายภาพ การจัดการและสนับสนุนการเปลี่ยนแปลง นโยบายเหล่านี้ได้รับการตรวจสอบและอนุมัติอย่างน้อยปีละครั้ง บุคลากรของผู้นำเข้าข้อมูลจะได้รับแจ้งเกี่ยวกับการปรับปรุงนโยบายและจะได้รับการฝึกอบรมด้านการรักษาความปลอดภัย
   2. นโยบายและการเข้าถึงของบุคลากร นโยบายภายในของผู้นำเข้าข้อมูลกำหนดให้ขั้นตอนการอนุญาตให้พนักงานใช้งานรวมถึงการตรวจสอบภูมิหลัง (ตามที่กฎหมายท้องถิ่นอนุญาต) การรับทราบถึงนโยบายการรักษาความปลอดภัย และข้อตกลงว่าจะไม่เปิดเผยข้อมูล สิทธิ์ในการเข้าถึงของพนักงานจะถูกลบในเวลาที่เหมาะสมเมื่อพนักงานหรือบุคลากรตามสัญญาจ้างลาออกจากบริษัท ผู้นำเข้าข้อมูลใช้การควบคุมการเข้าถึงทางเทคนิคและนโยบายภายในเพื่อยับยั้งมิให้พนักงานหรือบุคลากรตามสัญญาจ้างเข้าถึงข้อมูลไฟล์ของผู้ใช้โดยพลการ และเพื่อห้ามการเข้าถึงเมตะดาต้าและข้อมูลอื่นๆ เกี่ยวกับบัญชีของผู้ใช้ปลายทาง เพื่อปกป้องความเป็นส่วนตัวและการรักษาความปลอดภัยของผู้ใช้ปลายทาง จะมีพนักงานหรือบุคลากรตามสัญญาจ้างเพียงส่วนน้อยเท่านั้นที่มีสิทธิ์เข้าถึงในบริเวณที่จัดเก็บไฟล์ของผู้ใช้ปลายทาง ผู้บริหารจะเก็บบันทึกคำขอเข้าถึง เหตุผลที่ให้ และการอนุมัติ โดยจะมอบสิทธิ์การเข้าถึงให้บุคลากรที่เหมาะสมเท่านั้น
   3. การรักษาความปลอดภัยของเครือข่ายผู้นำเข้าข้อมูลรักษาความปลอดภัยของเครือข่ายและติดตามตรวจสอบเทคนิคที่ออกแบบมาเพื่อมอบการปกป้องและคุ้มกันหลายชั้น ผู้นำเข้าข้อมูลใช้เทคนิคการปกป้องที่เป็นมาตรฐานอุตสาหกรรม ได้แก่ ไฟร์วอลล์ การตรวจตราการรักษาความปลอดภัยของเครือข่าย และระบุตรวจจับการรุกล้ำ เพื่อให้แน่ใจว่ามีแค่ทราฟฟิคที่ถูกต้องเท่านั้นที่เข้าถึงโครงสร้างพื้นฐานของผู้นำเข้าข้อมูล
   4. การจัดการความเปลี่ยนแปลงผู้นำเข้าข้อมูลให้การรับรองว่าการเปลี่ยนแปลงที่เกี่ยวข้องกับการรักษาความปลอดภัยต้องได้รับการอนุมัติก่อนนำไปใช้ในสภาพแวดล้อมการผลิต การเปลี่ยนแปลงรหัสที่มาเริ่มต้นจากนักพัฒนาโปรแกรมที่ต้องการเสริมสร้างประสิทธิภาพของแอพพลิเคชันหรือบริการของผู้นำเข้าข้อมูล การเปลี่ยนแปลงด้านโครงสร้างพื้นฐานของผู้นำเข้าข้อมูลจะจำกัดเฉพาะบุคลากรที่ได้รับอนุญาตเท่านั้น ความเปลี่ยนแปลงด้านระดับการนำไปใช้ของบริการต้องผ่านกระบวนการทดสอบเพื่อประกันคุณภาพ (Quality Assurance - QA) โดยอัตโนมัติเพื่อยืนยันว่าเป็นไปตามข้อกำหนดด้านการรักษาความปลอดภัย เมื่อผ่านกระบวนการทดสอบเพื่อประกันคุณภาพ (QA) เรียบร้อยแล้วจึงจะนำการเปลี่ยนแปลงนั้นไปใช้ได้
   5. การปฏิบัติตามข้อกำหนดผู้นำเข้าข้อมูลและผู้ให้บริการศูนย์ข้อมูลของตน รวมถึงผู้ให้บริการที่จัดการจะต้องผ่านการตรวจสอบด้านการรักษาความปลอดภัยโดยหน่วยงานอิสระภายนอกเป็นประจำ ผู้นำเข้าข้อมูลจะเข้าร่วมในการตรวจสอบ ISO/IEC 27001:2013 และ ISO/IEC 27018:2014 เป็นประจำอย่างต่อเนื่อง นอกจากนี้ผู้นำเข้าข้อมูลยังต้องตรวจสอบรายงาน SOC 1 และ/หรือ SOC 2 สำหรับองค์กรที่ให้บริการย่อยทั้งหมด ในกรณีที่รายงาน SOC 1 และ/หรือ SOC 2 ขององค์กรที่ให้บริการย่อยยังไม่พร้อมใช้งาน ผู้นำเข้าข้อมูลจะต้องดำเนินการตรวจสอบการรักษาความปลอดภัยด้วยการไปเยี่ยมชมสถานที่เพื่อยืนยันการควบคุมทางกายภาพ สิ่งแวดล้อม และการดำเนินการรักษาความปลอดภัยว่าเป็นไปตามเกณฑ์ข้อกำหนดที่ตั้งไว้ในสัญญา ผู้นำเข้าข้อมูลจะประเมินใบรับรองและหลักฐานการปฏิบัติตามข้อกำหนดเพิ่มเติมตามที่ผู้นำเข้าข้อมูลได้รับจากผู้ให้บริการย่อยอย่างต่อเนื่องสม่ำเสมอ
3. การรักษาความปลอดภัยทางกายภาพ 
   1. โครงสร้างพื้นฐานการเข้าถึงทางกายภาพในสถานที่ขององค์กรที่ให้บริการย่อยอันเป็นที่ตั้งของระบบการผลิตจะจำกัดเฉพาะบุคลากรที่ได้รับอนุญาตจากผู้นำเข้าข้อมูลให้ดำเนินการตามหน้าที่งานที่กำหนดเท่านั้น บุคคลใดก็ตามที่ต้องการสิทธิ์เพิ่มเติมเพื่อเข้าถึงสถานที่แวดล้อมทางการผลิตจะได้รับสิทธิ์การเข้าถึงผ่านการอนุมัติที่ชี้ชัดจากผู้บริหารที่เหมาะสม
   2. สำนักงานผู้นำเข้าข้อมูลเก็บรักษาทีมการรักษาความปลอดภัยทางกายภาพที่รับผิดชอบด้านการบังคับใช้นโยบายการรักษาความปลอดภัยทางกายภาพและกำกับดูแลการรักษาความปลอดภัยในสำนักงานใหญ่ของผู้นำเข้าข้อมูล การเข้าถึงบริเวณที่ให้บริการสำนักงานต้องจำกัดเฉพาะบุคลากรที่ได้รับอนุญาตผ่านบทบาทขั้นสูงที่ได้รับผ่านระบบการเข้าถึงแบบติดป้ายกำกับ