ภาคผนวกเกี่ยวกับผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐในสหรัฐอเมริกาสําหรับข้อกำหนดด้านการคุ้มครองข้อมูลระหว่างผู้ควบคุมบริการวัดผลกับผู้ควบคุมข้อมูลร่วมของ Google

Google และลูกค้าได้ลงนามในข้อกําหนดด้านการคุ้มครองข้อมูลระหว่างผู้ควบคุมบริการวัดผลกับผู้ควบคุมข้อมูลร่วมของ Google ("ข้อกําหนดของผู้ควบคุมข้อมูล") ซึ่งจะเป็นส่วนเพิ่มเติมของข้อตกลงนี้ ภาคผนวกเกี่ยวกับผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐในสหรัฐอเมริกาสําหรับข้อกําหนดของผู้ควบคุมข้อมูล ("ภาคผนวกของผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐ") ที่ Google กับลูกค้าได้ลงนามไว้ และเป็นส่วนเพิ่มเติมของข้อตกลงนี้ ภาคผนวกนี้จะมีผลตั้งแต่วันที่ 1 มกราคม 2023 หรือวันที่ลูกค้าคลิกเพื่อยอมรับหรือคู่สัญญาตกลงเป็นอย่างอื่นในภาคผนวกนี้

1. บทนำ

Google อาจเสนอและลูกค้าอาจเปิดใช้การตั้งค่าบางอย่าง การกําหนดค่า หรือฟังก์ชันอื่นๆ ในผลิตภัณฑ์สําหรับบริการการวัดผลที่เกี่ยวข้องกับการประมวลผลข้อมูลแบบจํากัด ตามที่อธิบายไว้ในเอกสารประกอบที่ business.safety.google/rdp ตามการปรับปรุงเป็นครั้งคราว ("การประมวลผลข้อมูลแบบจํากัด") ภาคผนวกของกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐนี้จะระบุบทบัญญัติเกี่ยวกับการคุ้มครองข้อมูลที่เกี่ยวข้องกับการตั้งค่าการแชร์ข้อมูลเท่านั้น (เมื่อไม่ได้เปิดใช้การประมวลผลข้อมูลแบบจํากัด) และไม่ได้มีผลบังคับใช้กับการให้บริการวัดผล ลูกค้าเป็นผู้รับผิดแต่เพียงผู้เดียวต่อการปฏิบัติตามกฎหมายคุ้มครองความเป็นส่วนตัวที่เกี่ยวข้องแต่ละรายการในการใช้บริการของ Google ซึ่งรวมถึงการประมวลผลข้อมูลแบบจํากัด

ภาคผนวกของกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐฉบับนี้แสดงข้อตกลงของคู่สัญญาเกี่ยวกับการประมวลผลข้อมูลส่วนตัวของลูกค้าและข้อมูลที่ลบการระบุตัวตน (ตามที่ให้คํานิยามไว้ด้านล่าง) ตามการตั้งค่าการแชร์ข้อมูล ซึ่งเกี่ยวข้องกับกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐที่เกี่ยวข้อง (ตามที่ให้คํานิยามไว้ด้านล่าง) และมีผลบังคับใช้ตามขอบเขตที่กฎหมายคุ้มครองความเป็นส่วนตัวของรัฐที่เกี่ยวข้องบังคับใช้เท่านั้น

2. คำนิยามและการตีความ

2.1 "กฎหมายคุ้มครองความเป็นส่วนตัวของรัฐที่เกี่ยวข้อง" หมายถึง (ก) CCPA (ข) พระราชบัญญัติคุ้มครองข้อมูลผู้บริโภคแห่งเวอร์จิเนีย รัฐเวอร์จิเนีย ประมวลกฎหมายมาตรา 59.1-571 และมาตราอื่นๆ ที่เกี่ยวข้อง (ค) กฎหมายคุ้มครองความเป็นส่วนตัวของรัฐโคโลราโด กฎหมายรัฐโคโลราโดฉบับแก้ไข มาตรา 6-1-1301 และมาตราอื่นๆ ที่เกี่ยวข้อง รวมทั้งข้อบังคับอื่นๆ ทั้งหมดที่มีผลบังคับใช้ (ง) กฎหมายความเป็นส่วนตัวของข้อมูลและการตรวจสอบทางออนไลน์ของรัฐคอนเนตทิคัต กฎหมายมหาชนมาตรา 22015 และ (จ) กฎหมายคุ้มครองความเป็นส่วนตัวของผู้บริโภคแห่งรัฐยูทาห์ ประมวลกฎหมายแห่งรัฐยูทาห์มาตรา 13-61-101 และมาตราอื่นๆ ที่เกี่ยวข้อง

2.2 "CCPA" หมายถึงกฎหมายคุ้มครองความเป็นส่วนตัวของผู้บริโภคแห่งรัฐแคลิฟอร์เนียปี 2018 ฉบับแก้ไขเพิ่มเติม รวมถึงการแก้ไขโดยกฎหมายสิทธิความเป็นส่วนตัวแห่งรัฐแคลิฟอร์เนียปี 2020 พร้อมกับข้อบังคับทั้งหมดที่มีผลบังคับใช้

2.3 "ข้อมูลที่ลบการระบุตัวตน" หมายถึง ข้อมูลที่ "ลบการระบุตัวตน" (ตามที่กําหนดโดย CCPA) และ "ข้อมูลที่ลบการระบุตัวตน" (ตามคําจํากัดความของกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐที่เกี่ยวข้องอื่นๆ) ที่เปิดเผยโดยคู่สัญญาฝ่ายหนึ่งต่อคู่สัญญาอีกฝ่าย

2.4 คําว่า "ธุรกิจ" "ผู้บริโภค" "ผู้ควบคุมข้อมูล" "ข้อมูลส่วนตัว" "ข้อมูลส่วนตัว" "กระบวนการ" "การประมวลผลข้อมูล" "การขาย" และ "ขาย" ตามภาคผนวกเกี่ยวกับผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐฉบับนี้มีความหมายตามที่ระบุไว้ในกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐที่เกี่ยวข้อง

2.5 คําที่ขึ้นต้นด้วยอักษรตัวพิมพ์ใหญ่ที่ใช้แต่ไม่ได้ให้คํานิยามไว้ในภาคผนวกเกี่ยวกับผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐฉบับนี้จะมีความหมายตามที่ระบุไว้ในข้อกําหนดของผู้ควบคุมข้อมูล

3. ข้อกําหนดของกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐที่เกี่ยวข้อง

3.1 ข้อมูลที่ลบการระบุตัวตน คู่สัญญาแต่ละฝ่ายจะปฏิบัติตามข้อกําหนดสําหรับการประมวลผลชุดข้อมูลที่ลบการระบุตัวตนแล้ว ซึ่งเป็นไปตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐที่เกี่ยวข้อง โดยเกี่ยวข้องกับข้อมูลที่ลบการระบุตัวตนที่ได้รับจากคู่สัญญาอีกฝ่ายตามการตั้งค่าการแชร์ข้อมูล

3.2 ภาระหน้าที่ของ CCPA ของ Google ในส่วนของข้อมูลส่วนตัวของลูกค้าที่ประมวลผลโดยไม่มีการประมวลผลข้อมูลแบบจํากัดตามการตั้งค่าการแชร์ข้อมูล รวมถึงในขอบเขตที่ CCPA มีผลกับการประมวลผลข้อมูลส่วนตัวของลูกค้า

• (ก) Google จะประมวลผลข้อมูลส่วนตัวของลูกค้าตามการตั้งค่าการแชร์ข้อมูล ตามที่อธิบายไว้เพิ่มเติมในข้อตกลงและเอกสารสนับสนุน (เช่น บทความในศูนย์ช่วยเหลือ) หรือตามที่ได้รับอนุญาตภายใต้ CCPA และคู่สัญญายอมรับว่าลูกค้าทำให้ข้อมูลส่วนตัวของลูกค้าดังกล่าวพร้อมใช้งานแก่ Google เพื่อวัตถุประสงค์ดังกล่าว
• (ข) Google จะอนุญาตให้มีการตรวจสอบเพื่อยืนยันว่า Google ปฏิบัติตามภาระหน้าที่ภายใต้ภาคผนวกเกี่ยวกับผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐฉบับนี้ดังต่อไปนี้
  • (i) ลูกค้าอาจดําเนินการตรวจสอบเพื่อยืนยันการปฏิบัติตามภาระหน้าที่ของ Google ภายใต้ภาคผนวกเกี่ยวกับผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐฉบับนี้ด้วยการขอและตรวจสอบ (1) ใบรับรองที่ออกเพื่อขอรับการยืนยันความปลอดภัย โดยสะท้อนถึงผลการตรวจสอบที่ดําเนินการโดยผู้ตรวจสอบบุคคลที่สาม (เช่น การรับรอง ISO/IEC 27001 หรือการรับรองที่เทียบเท่าหรือการรับรองด้านความปลอดภัยอื่นๆ ของการตรวจสอบที่ดําเนินการโดยผู้ตรวจสอบบุคคลที่สาม ซึ่งลูกค้าและ Google ตกลงร่วมกันภายใน 12 เดือนนับจากวันที่ได้รับคําขอของลูกค้า และ (2) ข้อมูลอื่นๆ ที่ Google พิจารณาว่ามีความจำเป็นตามสมควรสำหรับลูกค้าในการตรวจสอบการปฏิบัติตามข้อกำหนดดังกล่าว
  • (ii) หรือ Google จะพิจารณาตามที่เห็นสมควรแต่เพียงผู้เดียวและเพื่อตอบสนองคำขอของลูกค้าในการตั้งผู้ตรวจสอบบุคคลที่สามเพื่อตรวจสอบการปฏิบัติตามข้อกำหนดของ Google ตามภาระหน้าที่ของตนภายใต้ภาคผนวกเกี่ยวกับผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐฉบับนี้ ในระหว่างการตรวจสอบดังกล่าว Google จะเปิดเผยข้อมูลที่จําเป็นทั้งหมดต่อผู้ตรวจสอบบุคคลที่สามเพื่อแสดงถึงการปฏิบัติตามข้อกำหนดดังกล่าว เมื่อลูกค้าขอการตรวจสอบดังกล่าว Google อาจเรียกเก็บค่าธรรมเนียม (ตามราคาที่สมเหตุสมผลของ Google) สําหรับการตรวจสอบใดๆ Google จะแจ้งรายละเอียดเพิ่มเติมเกี่ยวกับค่าธรรมเนียมที่เกี่ยวข้องและวิธีในการคำนวณให้ลูกค้าทราบก่อนการประเมิน ลูกค้าต้องรับผิดชอบค่าธรรมเนียมใดๆ ที่ผู้ตรวจสอบบุคคลที่สามเรียกเก็บจากการดําเนินการตรวจสอบดังกล่าว
  • (iii) ไม่มีส่วนใดในภาคผนวกเกี่ยวกับผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐฉบับนี้ที่กำหนดให้ Google ต้องเปิดเผยต่อลูกค้าหรือผู้ตรวจสอบบุคคลที่สาม หรืออนุญาตให้ลูกค้าหรือผู้ตรวจสอบบุคคลที่สามเข้าถึงข้อมูลต่อไปนี้
    • (1) ข้อมูลของลูกค้ารายอื่นๆ ของนิติบุคคล Google
    • (2) ข้อมูลการทําบัญชีหรือข้อมูลทางการเงินภายในของนิติบุคคล Google
    • (3) ความลับทางการค้าของนิติบุคคล Google
    • (4) ข้อมูลใดๆ ที่ตามความเห็นที่สมเหตุสมผลของ Google อาจ (ก) ส่งผลกระทบต่อความปลอดภัยของระบบหรือบริเวณสถานที่ของนิติบุคคลใดๆ ของ Google หรือ (ข) ทําให้นิติบุคคลของ Google ละเมิดภาระหน้าที่ของตนภายใต้กฎหมายคุ้มครองความเป็นส่วนตัวของรัฐที่เกี่ยวข้องหรือภาระหน้าที่ด้านความปลอดภัยและ/หรือความเป็นส่วนตัวต่อลูกค้าหรือบุคคลที่สาม หรือ
    • (5) ข้อมูลใดๆ ที่ลูกค้าหรือผู้ตรวจสอบบุคคลที่สามต้องการเข้าถึงด้วยเหตุผลอื่นใดนอกเหนือจากการปฏิบัติตามภาระหน้าที่โดยมีเจตนาดีของลูกค้าภายใต้กฎหมายคุ้มครองความเป็นส่วนตัวของรัฐที่เกี่ยวข้อง
• (ค) Google จะแจ้งให้ลูกค้าทราบหาก Google พิจารณาว่าไม่เป็นไปตามภาระหน้าที่ภายใต้ CCPA อีกต่อไป
• (ง) หากลูกค้ามีเหตุอันควรให้เชื่อว่า Google กําลังประมวลผลข้อมูลส่วนตัวของลูกค้าโดยไม่ได้รับอนุญาต ลูกค้ามีสิทธิ์ที่จะแจ้ง Google เกี่ยวกับความคิดดังกล่าวผ่านวิธีการที่อธิบายไว้ใน privacy.google.com/businesses/processorsupport และคู่สัญญาต่างๆ จะทํางานร่วมกันโดยมีเจตนาดีเพื่อแก้ไขปัญหากิจกรรมการประมวลผลข้อมูลที่มีการกล่าวหาว่าละเมิด หากจําเป็น และ
• (จ) Google จะปฏิบัติตามภาระหน้าที่ที่เกี่ยวข้องภายใต้ CCPA และจะให้การคุ้มครองความเป็นส่วนตัวในระดับเดียวกับที่ CCPA กําหนด

4. การเปลี่ยนแปลงภาคผนวกเกี่ยวกับผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐฉบับนี้

นอกเหนือจากส่วนที่ 9 ของข้อกําหนดของผู้ควบคุมข้อมูล (การเปลี่ยนแปลงข้อกําหนดของผู้ควบคุมข้อมูลเหล่านี้) Google อาจเปลี่ยนแปลงภาคผนวกเกี่ยวกับผู้ควบคุมข้อมูลตามกฎหมายคุ้มครองความเป็นส่วนตัวของรัฐฉบับนี้โดยไม่ต้องแจ้งให้ทราบหากการเปลี่ยนแปลง (ก) อยู่ภายใต้กฎหมายที่เกี่ยวข้อง ข้อบังคับที่เกี่ยวข้อง คําสั่งศาล หรือคําแนะนําที่ออกโดยหน่วยงานกํากับดูแลหรือหน่วยงานของรัฐบาลหรือ (ข) ไม่ส่งผลเสียอันเป็นสาระสําคัญต่อลูกค้าภายใต้กฎหมายคุ้มครองความเป็นส่วนตัวของรัฐที่เกี่ยวข้องตามที่ Google กําหนดอย่างสมเหตุสมผล

1 มกราคม 2023