Punpun · version 2026-10-25 · draft
This agreement is between [Punpun legal entity], [registered address], company registration no. [number] ("Punpun"), and the restaurant business that accepts the Eatery Terms of Service ("the Eatery"). It forms part of those Terms.
1.1 For the personal data described in Annex 1 (the Eatery's customers' orders and bills, and its staff's work records), the Eatery is the data controller and Punpun is its data processor.
1.2 For diner accounts, reviews, Discover, and staff sign-in identities, Punpun is a controller in its own right, under its privacy notice. This agreement does not cover that processing.
Punpun will:
2.1 process the Annex 1 data only to provide the service under the Terms and on the Eatery's documented instructions. The Eatery's settings and its use of the service are those instructions, including the data retention periods in section 6, which the Eatery accepts as its standing instruction. If Punpun believes an instruction breaks the law, it will tell the Eatery.
2.2 keep the data confidential and limit access to people who need it to run the service. Each of them is bound to confidentiality and has acknowledged Punpun's security policies.
2.3 apply the security measures in Annex 2, and keep them at least at that level.
2.4 use subprocessors only as set out in section 4.
2.5 help the Eatery answer data subjects' requests (access, correction, deletion, objection, portability), sent to privacy@punpun.cc, within 10 business days of the Eatery asking. A request Punpun receives directly about the Eatery's data is passed to the Eatery within 5 business days.
2.6 notify the Eatery of a personal data breach affecting its data without undue delay and within 48 hours of becoming aware of it. Punpun becomes aware when it has reasonable grounds to believe a breach has occurred, not at the first alert. The first notice may contain only what is known so far. The notice says what happened, what data and how many people are affected, the likely consequences, and what has been done. Updates follow as more is known, so the Eatery can meet its own 72-hour duty to the PDPC (PDPA s.37(4)). At the Eatery's reasonable request, Punpun assists with the notice to the PDPC and to the people affected.
2.7 keep a record of processing (PDPA s.40(3)) and make the information needed to show compliance with this agreement available to the Eatery on reasonable request. That includes Punpun's security policies, its findings register and, once issued, its SOC 2 report.
2.8 at the end of the service, delete the data as set out in section 5.
3.1 The Eatery has a lawful basis for the data it puts into the service and gives its customers and staff the notices the PDPA requires.
3.2 The Eatery manages its staff accounts and their roles, removes people who leave, and keeps its own sign-in credentials and payment-provider credentials safe.
3.3 The Eatery does not put sensitive personal data (PDPA s.26) into the service, for example in item notes or table names. Allergy and dietary information is health data under s.26: the Eatery records it in a free-text field only when the diner volunteered it, and only for preparing the order.
4.1 The Eatery authorises the subprocessors in Annex 3. Each is bound by a written contract with data protection obligations at least as protective as this agreement.
4.2 Punpun gives the Eatery at least 30 days' notice of a new subprocessor, by email and on [subprocessor page URL]. The Eatery may object on reasonable data-protection grounds within that time. If the objection cannot be resolved, the Eatery may end the Terms without penalty; that is its sole remedy. Where a subprocessor must be replaced urgently for security or continuity, Punpun may do so first and notify within 5 business days.
4.3 Punpun remains responsible to the Eatery for its subprocessors' performance.
5.1 The Eatery's orders and bills are stored in Thailand (Huawei Cloud, Bangkok). Annex 3 lists the subprocessors that receive data abroad and why. The Eatery authorises Punpun to make those transfers on its behalf. Each is made under a contract with the recipient containing appropriate safeguards recognised by the PDPC under section 29 (standard contractual clauses), or under an exception in section 28.
5.2 Push notifications carry only a device token and a short text with no names or amounts (for example "Your order is ready").
6.1 While its account is open, the Eatery's admin can export the Eatery's data at any time, once a day, from the shop app: CSV files of its bills and their lines, payments, cash drawers, business days and daily reports, and tax documents, mailed as a link valid for 7 days. That is the Eatery's data in the Annex 1 scope, not Punpun's own diner-account data. For the 90 days after the account closes, Punpun sends the same export on request, within 14 days.
6.2 When the Eatery's account is closed, the data stays restorable for 90 days. After that, Punpun deletes it within 24 hours, as described in our retention schedule:
6.3 Retention while the account is open, from our retention schedule:
| Data | Kept |
|---|---|
| bills, payments, cash drawers, daily (Z) reports | 7 years from the end of the calendar year of the business day |
| audit trail (who did what) | 7 years, for integrity and forensics |
| a closed eatery's data | 90 days, then deleted as in 6.2 |
| backups | 14 days |
| privacy requests passed to or received by Punpun | 3 years after the request is closed (the limitation period for tort claims, CCC s.448) |
6.4 On request, Punpun gives the Eatery the disposal certificate the deletion produces: what was deleted, what was kept and until when, and when the last backup expires.
7.1 Punpun answers the Eatery's reasonable written security questionnaire once a year, and after a breach that affected the Eatery's data. Once Punpun has a SOC 2 Type II report, providing it satisfies the yearly questionnaire unless the Eatery shows a specific concern.
7.2 Where the PDPA or a regulator requires more than that, Punpun allows an audit by the Eatery or an independent auditor bound by confidentiality, on 30 days' notice, during business hours, at the Eatery's cost, no more than once a year.
8.1 This agreement lasts as long as Punpun processes the Eatery's data under the Terms.
8.2 Liability under this agreement follows the limits in the Terms, except where the PDPA does not allow a limit.
| Subject matter | Running the Eatery's ordering, kitchen, table, payment and cash-drawer operations |
| Duration | The term of the Terms, plus the deletion periods in section 6 |
| Data subjects | the Eatery's customers (diners); the Eatery's staff |
| Personal data | diners: name given at the table or on a ticket, orders, amounts, payment method and reference, table and visit time, push token for "food ready" if allowed. Staff: name, role, the outlets they work in, and what they did (who served, settled, voided, attested, changed a price) |
| Sensitive data | none intended (section 3.3) |
| Operations | collection, storage, organisation, display to the Eatery's staff, transmission to the kitchen and printers, payment verification with the Eatery's bank, reporting, deletion |
| Location | Huawei Cloud, Bangkok region (ap-southeast-2) |
Each line is a commitment of policies.md. Evidence for each is named there and in findings.md.
From the our vendor register, limited to those that receive Annex 1 data.
| Subprocessor | What it does | Data it receives | Location |
|---|---|---|---|
| Huawei Cloud (Sparkoo Technologies (Thailand) Co., Ltd.) | hosting, database, storage, backups | all Annex 1 data | Bangkok, Thailand |
| Brevo | sending email: receipts, sign-in codes, notices | email address, mail content | European Union |
| Google Firebase Cloud Messaging (Google LLC) | push notifications to Android devices | push token, notification text | United States |
| Apple Push Notification service (Apple Inc.) | push notifications to iOS devices | push token, notification text | United States |
| Google Workspace (Google LLC) | the privacy@punpun.cc mailbox: data-subject requests about the Eatery's data pass through it (section 2.5) | the requester's details and the request | any country where Google has facilities, under its Cloud Data Processing Addendum including EU SCCs |
| Anthropic | AI assistant Punpun's operator uses to build and run the Service; it sees Eatery Data only when handling a security incident or a request from the Eatery, limited to the records needed; inputs are not used for model training | the records needed for that incident or request | United States |
Independent identity providers, not subprocessors. Google Sign-In, Sign in with Apple and LINE Login (LY Corporation) sign people in at their own choice. They are controllers in their own right, disclosed in the privacy notice, and receive no Annex 1 data.
The Eatery's own bank (for example SCB or KBank), which issues payment QR codes and confirms payments at the Eatery's choice, is the Eatery's processor or a controller in its own right, not Punpun's subprocessor.
Punpun · ฉบับ 2026-10-25 · ร่าง คำแปลจากฉบับภาษาอังกฤษ รอการตรวจของทนายความ
ข้อตกลงนี้ทำขึ้นระหว่าง [นิติบุคคลของ Punpun] [ที่อยู่จดทะเบียน] ทะเบียนนิติบุคคลเลขที่ [เลขที่] ("Punpun") กับธุรกิจร้านอาหารที่ยอมรับข้อกำหนดการใช้บริการสำหรับร้านอาหาร ("ร้าน") และเป็นส่วนหนึ่งของข้อกำหนดนั้น
1.1 สำหรับข้อมูลส่วนบุคคลตามภาคผนวก 1 (คำสั่งซื้อและบิลของลูกค้าของร้าน และบันทึกการทำงานของพนักงานของร้าน) ร้านเป็นผู้ควบคุมข้อมูลส่วนบุคคล และ Punpun เป็นผู้ประมวลผลข้อมูลส่วนบุคคลของร้าน
1.2 สำหรับบัญชีของผู้มารับประทานอาหาร รีวิว หน้า Discover และตัวตนในการเข้าสู่ระบบของพนักงาน Punpun เป็นผู้ควบคุมข้อมูล ในฐานะของตนเอง ตามประกาศความเป็นส่วนตัว ข้อตกลงนี้ไม่ครอบคลุมการประมวลผลดังกล่าว
Punpun จะ:
2.1 ประมวลผลข้อมูลตามภาคผนวก 1 เพื่อให้บริการตามข้อกำหนดการใช้บริการ และตามคำสั่งที่เป็นลายลักษณ์อักษรของร้านเท่านั้น การตั้งค่าของร้านและการใช้บริการของร้านถือเป็นคำสั่งดังกล่าว รวมถึงระยะเวลาเก็บรักษาข้อมูลตามข้อ 6 ซึ่งร้านยอมรับเป็นคำสั่งประจำ หาก Punpun เห็นว่าคำสั่งใดขัดต่อกฎหมาย Punpun จะแจ้งร้าน
2.2 รักษาข้อมูลเป็นความลับ และจำกัดการเข้าถึงเฉพาะผู้ที่จำเป็นต้องใช้เพื่อดำเนินบริการ ทุกคนมีหน้าที่รักษาความลับ และรับทราบนโยบายความปลอดภัยของ Punpun แล้ว
2.3 ใช้มาตรการรักษาความปลอดภัยตามภาคผนวก 2 และคงไว้ไม่ต่ำกว่าระดับนั้น
2.4 ใช้ผู้ประมวลผลข้อมูลช่วงตามข้อ 4 เท่านั้น
2.5 ช่วยร้านตอบคำขอของเจ้าของข้อมูล (การเข้าถึง การแก้ไข การลบ การคัดค้าน การโอนย้ายข้อมูล) ที่ส่งมาที่ privacy@punpun.cc ภายใน 10 วันทำการ นับแต่ร้านร้องขอ คำขอเกี่ยวกับข้อมูลของร้านที่ส่งถึง Punpun โดยตรง จะส่งต่อให้ร้านภายใน 5 วันทำการ
2.6 แจ้งร้านเมื่อมีการละเมิดข้อมูลส่วนบุคคลที่กระทบข้อมูลของร้าน โดยไม่ชักช้าและภายใน 48 ชั่วโมง นับแต่ทราบ Punpun ถือว่าทราบเมื่อมีเหตุอันสมควรเชื่อว่าเกิดการละเมิดขึ้น ไม่ใช่เมื่อได้รับการแจ้งเตือนครั้งแรก การแจ้งครั้งแรกอาจมีเพียง ข้อมูลเท่าที่ทราบในขณะนั้น การแจ้งระบุว่าเกิดอะไรขึ้น ข้อมูลใดและจำนวนบุคคลที่ได้รับผลกระทบ ผลที่น่าจะเกิดขึ้น และสิ่งที่ได้ดำเนินการแล้ว จากนั้นจะแจ้งเพิ่มเติมเมื่อทราบมากขึ้น เพื่อให้ร้านปฏิบัติหน้าที่แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงได้ (มาตรา 37(4)) เมื่อร้านร้องขอตามสมควร Punpun จะช่วยในการแจ้งสำนักงานฯ และผู้ได้รับผลกระทบ
2.7 จัดทำบันทึกรายการกิจกรรมการประมวลผล (มาตรา 40(3)) และให้ข้อมูลที่จำเป็นเพื่อแสดงการปฏิบัติตามข้อตกลงนี้แก่ร้านเมื่อร้องขอ ตามสมควร รวมถึงนโยบายความปลอดภัยของ Punpun ทะเบียนข้อบกพร่อง และรายงาน SOC 2 เมื่อออกแล้ว
2.8 ลบข้อมูลเมื่อสิ้นสุดบริการตามข้อ 6
3.1 ร้านมีฐานทางกฎหมายสำหรับข้อมูลที่ใส่ลงในบริการ และแจ้งลูกค้าและพนักงานของร้านตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลกำหนด
3.2 ร้านจัดการบัญชีและบทบาทของพนักงาน นำผู้ที่ลาออกออกจากระบบ และเก็บรักษาข้อมูลการเข้าสู่ระบบและข้อมูลรับรองของ ผู้ให้บริการชำระเงินของร้านให้ปลอดภัย
3.3 ร้านจะไม่ใส่ข้อมูลส่วนบุคคลอ่อนไหว (มาตรา 26) ลงในบริการ เช่น ในหมายเหตุรายการหรือชื่อโต๊ะ ข้อมูลการแพ้อาหารและข้อจำกัด ด้านอาหารเป็นข้อมูลสุขภาพตามมาตรา 26 ร้านจะบันทึกในช่องข้อความอิสระเฉพาะเมื่อผู้มารับประทานอาหารแจ้งเอง และเพื่อการเตรียม อาหารตามคำสั่งนั้นเท่านั้น
4.1 ร้านอนุญาตให้ใช้ผู้ประมวลผลข้อมูลช่วงตามภาคผนวก 3 แต่ละรายผูกพันด้วยสัญญาเป็นลายลักษณ์อักษรที่มีหน้าที่คุ้มครองข้อมูล ไม่น้อยกว่าข้อตกลงนี้
4.2 Punpun จะแจ้งร้านล่วงหน้า อย่างน้อย 30 วัน ก่อนใช้ผู้ประมวลผลข้อมูลช่วงรายใหม่ ทางอีเมลและที่ [URL หน้ารายชื่อผู้ประมวลผลข้อมูลช่วง] ร้านอาจคัดค้านด้วยเหตุผลอันสมควรด้านการคุ้มครองข้อมูลภายในระยะเวลานั้น หากแก้ไขข้อคัดค้านไม่ได้ ร้านอาจเลิกข้อกำหนดการใช้บริการ โดยไม่มีค่าปรับ ซึ่งเป็นการเยียวยาเพียงอย่างเดียว ในกรณีที่ต้องเปลี่ยนผู้ประมวลผลข้อมูลช่วงอย่างเร่งด่วนเพื่อความปลอดภัย หรือความต่อเนื่องของบริการ Punpun อาจดำเนินการก่อนและแจ้งภายใน 5 วันทำการ
4.3 Punpun ยังคงรับผิดชอบต่อร้านในการปฏิบัติงานของผู้ประมวลผลข้อมูลช่วง
5.1 คำสั่งซื้อและบิลของร้านจัดเก็บในประเทศไทย (Huawei Cloud กรุงเทพฯ) ภาคผนวก 3 ระบุผู้ประมวลผลข้อมูลช่วงที่ได้รับข้อมูล ในต่างประเทศและเหตุผล ร้านอนุญาตให้ Punpun ส่งข้อมูลดังกล่าวในนามของร้าน การส่งแต่ละครั้งทำภายใต้สัญญากับผู้รับที่มีมาตรการ คุ้มครองที่เหมาะสมซึ่งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลรับรองตามมาตรา 29 (ข้อสัญญามาตรฐาน) หรือตามข้อยกเว้นในมาตรา 28
5.2 การแจ้งเตือนแบบพุชมีเพียงโทเคนของอุปกรณ์และข้อความสั้นที่ไม่มีชื่อหรือจำนวนเงิน (เช่น "อาหารของคุณพร้อมแล้ว")
6.1 ระหว่างที่บัญชียังเปิดอยู่ ผู้ดูแลร้านส่งออกข้อมูลของร้านได้ทุกเมื่อ วันละครั้ง จากแอปร้าน เป็นไฟล์ CSV ของบิลและรายการ การชำระเงิน ลิ้นชักเงินสด วันทำการและรายงานประจำวัน และเอกสารภาษี โดยส่งเป็นลิงก์ทางอีเมลที่ใช้ได้ 7 วัน ได้แก่ข้อมูลของร้าน ในขอบเขตภาคผนวก 1 ไม่รวมข้อมูลบัญชีผู้มารับประทานอาหารของ Punpun เอง ภายใน 90 วันหลังปิดบัญชี Punpun จะส่งข้อมูลชุดเดียวกัน เมื่อร้านร้องขอ ภายใน 14 วัน
6.2 เมื่อบัญชีของร้านถูกปิด ข้อมูลยังกู้คืนได้ภายใน 90 วัน หลังจากนั้น Punpun จะลบข้อมูลภายใน 24 ชั่วโมง ดังนี้:
6.3 การเก็บรักษาระหว่างที่บัญชียังเปิดอยู่:
| ข้อมูล | ระยะเวลาเก็บ |
|---|---|
| บิล การชำระเงิน ลิ้นชักเงินสด รายงานประจำวัน (Z) | 7 ปีนับแต่สิ้นปีปฏิทินของวันทำการ |
| บันทึกการตรวจสอบ (ใครทำอะไร) | 7 ปี เพื่อความถูกต้องครบถ้วนและการตรวจพิสูจน์ |
| ข้อมูลของร้านที่ปิดแล้ว | 90 วัน แล้วลบตามข้อ 6.2 |
| ข้อมูลสำรอง | 14 วัน |
| คำขอด้านความเป็นส่วนตัวที่ส่งต่อหรือส่งถึง Punpun | 3 ปีหลังปิดคำขอ (อายุความฟ้องคดีละเมิด ป.พ.พ. มาตรา 448) |
6.4 เมื่อร้านร้องขอ Punpun จะให้หนังสือรับรองการทำลายข้อมูลที่การลบสร้างขึ้น ระบุสิ่งที่ถูกลบ สิ่งที่เก็บไว้และถึงเมื่อใด และวันที่ข้อมูลสำรองชุดสุดท้ายหมดอายุ
7.1 Punpun ตอบแบบสอบถามด้านความปลอดภัยที่เป็นลายลักษณ์อักษรตามสมควรของร้านปีละหนึ่งครั้ง และหลังการละเมิดที่กระทบข้อมูลของร้าน เมื่อ Punpun มีรายงาน SOC 2 Type II แล้ว การส่งรายงานนั้นถือว่าเพียงพอสำหรับแบบสอบถามประจำปี เว้นแต่ร้านแสดงข้อกังวลที่เฉพาะเจาะจง
7.2 ในกรณีที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลหรือหน่วยงานกำกับกำหนดให้มากกว่านั้น Punpun ยินยอมให้ร้านหรือผู้ตรวจสอบอิสระ ที่มีหน้าที่รักษาความลับเข้าตรวจสอบได้ โดยแจ้งล่วงหน้า 30 วัน ในเวลาทำการ ด้วยค่าใช้จ่ายของร้าน ไม่เกินปีละหนึ่งครั้ง
8.1 ข้อตกลงนี้มีผลตราบเท่าที่ Punpun ประมวลผลข้อมูลของร้านตามข้อกำหนดการใช้บริการ
8.2 ความรับผิดตามข้อตกลงนี้เป็นไปตามเพดานในข้อกำหนดการใช้บริการ เว้นแต่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลไม่อนุญาตให้จำกัด
| เรื่อง | การดำเนินงานด้านการสั่งอาหาร ครัว โต๊ะ การชำระเงิน และลิ้นชักเงินสดของร้าน |
| ระยะเวลา | ระยะเวลาของข้อกำหนดการใช้บริการ บวกระยะเวลาการลบตามข้อ 6 |
| เจ้าของข้อมูล | ลูกค้าของร้าน (ผู้มารับประทานอาหาร) และพนักงานของร้าน |
| ข้อมูลส่วนบุคคล | ผู้มารับประทานอาหาร: ชื่อที่ให้ไว้ที่โต๊ะหรือบนบัตรคิว คำสั่งซื้อ จำนวนเงิน วิธีชำระเงินและเลขอ้างอิง โต๊ะและเวลาที่มา โทเคนพุชสำหรับแจ้ง "อาหารพร้อม" หากอนุญาต พนักงาน: ชื่อ บทบาท สาขาที่ทำงาน และสิ่งที่ทำ (ใครเสิร์ฟ ปิดบิล ยกเลิกบิล รับรองการชำระ หรือเปลี่ยนราคา) |
| ข้อมูลอ่อนไหว | ไม่มีเจตนาประมวลผล (ข้อ 3.3) |
| การดำเนินการ | การเก็บรวบรวม การจัดเก็บ การจัดระเบียบ การแสดงแก่พนักงานของร้าน การส่งไปยังครัวและเครื่องพิมพ์ การตรวจสอบการชำระเงินกับธนาคารของร้าน การทำรายงาน และการลบ |
| สถานที่ | Huawei Cloud ภูมิภาคกรุงเทพฯ (ap-southeast-2) |
เฉพาะผู้ที่ได้รับข้อมูลตามภาคผนวก 1
| ผู้ประมวลผลข้อมูลช่วง | หน้าที่ | ข้อมูลที่ได้รับ | สถานที่ |
|---|---|---|---|
| Huawei Cloud (Sparkoo Technologies (Thailand) Co., Ltd.) | โฮสติ้ง ฐานข้อมูล พื้นที่จัดเก็บ ข้อมูลสำรอง | ข้อมูลตามภาคผนวก 1 ทั้งหมด | กรุงเทพฯ ประเทศไทย |
| Brevo | ส่งอีเมล: ใบเสร็จ รหัสเข้าสู่ระบบ การแจ้งเตือน | ที่อยู่อีเมล เนื้อหาอีเมล | สหภาพยุโรป |
| Google Firebase Cloud Messaging (Google LLC) | การแจ้งเตือนแบบพุชไปยังอุปกรณ์ Android | โทเคนพุช ข้อความแจ้งเตือน | สหรัฐอเมริกา |
| Apple Push Notification service (Apple Inc.) | การแจ้งเตือนแบบพุชไปยังอุปกรณ์ iOS | โทเคนพุช ข้อความแจ้งเตือน | สหรัฐอเมริกา |
| Google Workspace (Google LLC) | กล่องอีเมล privacy@punpun.cc ซึ่งคำขอของเจ้าของข้อมูลเกี่ยวกับข้อมูลของร้านผ่านเข้ามา (ข้อ 2.5) | ข้อมูลของผู้ร้องขอและคำขอ | ประเทศใดก็ได้ที่ Google มีสถานที่ ภายใต้ Cloud Data Processing Addendum ซึ่งรวมข้อสัญญามาตรฐานของสหภาพยุโรป |
| Anthropic | ผู้ช่วย AI ที่ผู้ดูแลระบบของ Punpun ใช้สร้างและดำเนินบริการ เห็นข้อมูลร้านเฉพาะเมื่อจัดการเหตุการณ์ด้านความปลอดภัยหรือคำขอของร้าน และเฉพาะรายการที่จำเป็น ข้อมูลที่ป้อนไม่ถูกใช้ฝึกโมเดล | รายการที่จำเป็นสำหรับเหตุการณ์หรือคำขอนั้น | สหรัฐอเมริกา |
ผู้ให้บริการยืนยันตัวตนอิสระ ซึ่งไม่ใช่ผู้ประมวลผลข้อมูลช่วง. Google Sign-In, Sign in with Apple และ LINE Login (LY Corporation) ใช้เข้าสู่ระบบตามที่บุคคลเลือกเอง เป็นผู้ควบคุมข้อมูลในฐานะของตนเอง เปิดเผยไว้ในประกาศความเป็นส่วนตัว และไม่ได้รับข้อมูลตามภาคผนวก 1
ธนาคารของร้านเอง (เช่น SCB หรือ KBank) ซึ่งออก QR สำหรับชำระเงินและยืนยันการชำระตามที่ร้านเลือก เป็นผู้ประมวลผลข้อมูลของร้าน หรือเป็นผู้ควบคุมข้อมูลในฐานะของตนเอง ไม่ใช่ผู้ประมวลผลข้อมูลช่วงของ Punpun