---
title: "ข้อตกลงการรักษาความลับ"
titleEn: "Confidentiality Statement"
clauses: ["13"]
phase: 1
category: "สัญญา"
generated: false
---

# ข้อตกลงการรักษาความลับ

**อ้างอิง TOR:** ข้อ 13 (การเก็บรักษาความลับ)

> **สถานะเอกสาร:** เอกสารนี้เป็น **ร่างข้อตกลง** ที่ผู้รับจ้างจัดเตรียมเพื่อแสดงแนวทางปฏิบัติตาม TOR ข้อ 13 ประกอบระบบสาธิต (Demo) **ยังไม่มีการลงนามและยังไม่มีผลผูกพันทางกฎหมาย** ถ้อยคำที่มีผลบังคับให้เป็นไปตามสัญญาและเอกสารแนบท้ายสัญญาฉบับลงนาม ซึ่งมหาวิทยาลัยอาจกำหนดแบบของตนเอง

## 1. คู่สัญญา

| ฝ่าย | รายละเอียด |
|---|---|
| ผู้เปิดเผยข้อมูล | มหาวิทยาลัยมหามกุฏราชวิทยาลัย (ต่อไปเรียกว่า "มหาวิทยาลัย") |
| ผู้รับข้อมูล | (ชื่อนิติบุคคลของผู้รับจ้าง — ระบุเมื่อทำสัญญา) (ต่อไปเรียกว่า "ผู้รับจ้าง") |
| โครงการ | จ้างพัฒนาระบบแชตบอตปัญญาประดิษฐ์เฉพาะทางพระพุทธศาสนาและเว็บไซต์ |

## 2. คำนิยาม

**"ข้อมูลความลับ"** หมายถึง ข้อมูล เอกสาร หรือสิ่งใดที่ผู้รับจ้างได้รับ เข้าถึง หรือจัดทำขึ้นเนื่องจากการปฏิบัติงานตามสัญญา ไม่ว่าในรูปแบบใด ซึ่งรวมถึงแต่ไม่จำกัดเพียงรายการต่อไปนี้

| ประเภท | ตัวอย่างในโครงการนี้ |
|---|---|
| ข้อมูลองค์ความรู้ที่ยังไม่เผยแพร่ | ไฟล์ต้นฉบับพระไตรปิฎกและอรรถกถาแปล ฉบับมหามกุฏราชวิทยาลัย ที่มหาวิทยาลัยส่งมอบเพื่อนำเข้าระบบ ไฟล์จากเว็บไซต์คลังปัญญาพระพุทธศาสนา (Dhammaverse) |
| ชุดทดสอบและเฉลย | ชุด Benchmark ธรรมศึกษา นักธรรม ชุด Retrieval และชุด Guardrail พร้อมเฉลยและเกณฑ์ให้คะแนน |
| ข้อมูลส่วนบุคคลและข้อมูลการใช้งาน | บัญชีผู้ใช้ บทสนทนา ผลการให้คะแนนคำตอบ สถิติการใช้โทเคน บันทึก Audit Log |
| ข้อมูลรับรองการเข้าถึง | คีย์ LLM API ของมหาวิทยาลัย บัญชี Cloud รหัสผ่าน ใบรับรองดิจิทัล กุญแจเข้ารหัสข้อมูล |
| ข้อมูลทางเทคนิคและการตั้งค่า | สถาปัตยกรรมเครือข่าย รายการ IP Allowlist ค่าตั้งค่าความปลอดภัย System Prompt และ Guardrail ที่ใช้งานจริง |
| ผลการทดสอบความปลอดภัย | รายงาน Vulnerability Scan รายงาน Penetration Test และรายละเอียดช่องโหว่ |
| เอกสารโครงการ | รายงานการประชุม รายงานความก้าวหน้า ข้อมูลงบประมาณและการเบิกจ่าย |

**"บุคลากรของผู้รับจ้าง"** หมายถึง พนักงาน ลูกจ้าง และผู้บริหารของผู้รับจ้างที่ได้รับมอบหมายให้ปฏิบัติงานในโครงการ

## 3. หน้าที่ของผู้รับจ้าง

1. เก็บรักษาข้อมูลความลับไว้เป็นความลับ และไม่เปิดเผย เผยแพร่ หรือส่งต่อแก่บุคคลภายนอก ไม่ว่าทั้งหมดหรือบางส่วน เว้นแต่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากมหาวิทยาลัย
2. ใช้ข้อมูลความลับเพื่อการปฏิบัติงานตามสัญญานี้เท่านั้น ไม่นำไปใช้เพื่อประโยชน์ของตนเองหรือบุคคลอื่น และไม่นำไปใช้ในเชิงพาณิชย์ (สอดคล้องกับข้อ 15.3)
3. ไม่นำข้อมูลความลับ รวมถึงเนื้อหาคัมภีร์ที่ยังไม่เผยแพร่ ชุดทดสอบ และบทสนทนาของผู้ใช้ ไปใช้ฝึกสอน ปรับแต่ง หรือประเมินโมเดลปัญญาประดิษฐ์อื่นใดนอกเหนือจากโครงการนี้
4. เปิดเผยข้อมูลความลับแก่บุคลากรของผู้รับจ้างเฉพาะผู้ที่จำเป็นต้องทราบเพื่อการปฏิบัติงาน (Need-to-know) และจัดให้บุคลากรดังกล่าวลงนามรับทราบและผูกพันตามข้อตกลงนี้
5. จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามข้อ 5 ของเอกสารนี้
6. ไม่ทำสำเนาข้อมูลความลับเกินความจำเป็น และไม่นำข้อมูลออกนอกสภาพแวดล้อมที่มหาวิทยาลัยเห็นชอบ
7. แจ้งมหาวิทยาลัยโดยไม่ชักช้าเมื่อทราบหรือมีเหตุอันควรสงสัยว่ามีการเปิดเผย การเข้าถึง หรือการใช้ข้อมูลความลับโดยไม่ได้รับอนุญาต และให้ความร่วมมือในการสอบสวนและบรรเทาความเสียหาย
8. ไม่จ้างช่วงงานอันจะเป็นเหตุให้บุคคลภายนอกเข้าถึงข้อมูลความลับ (ข้อ 16.1)

## 4. ข้อยกเว้น

หน้าที่รักษาความลับไม่ครอบคลุมข้อมูลที่ผู้รับจ้างพิสูจน์ได้ว่า

1. เป็นข้อมูลที่เปิดเผยต่อสาธารณะอยู่แล้วโดยมิใช่ความผิดของผู้รับจ้าง เช่น เนื้อหาคัมภีร์ที่เผยแพร่ทั่วไป หรือซอฟต์แวร์โอเพนซอร์ส
2. ผู้รับจ้างมีอยู่ก่อนโดยชอบด้วยกฎหมายก่อนได้รับจากมหาวิทยาลัย
3. ผู้รับจ้างได้รับจากบุคคลที่สามซึ่งมีสิทธิเปิดเผยโดยชอบ
4. ต้องเปิดเผยตามกฎหมาย คำสั่งศาล หรือคำสั่งของหน่วยงานที่มีอำนาจ ทั้งนี้ผู้รับจ้างต้องแจ้งมหาวิทยาลัยล่วงหน้าเท่าที่กฎหมายอนุญาต และเปิดเผยเท่าที่จำเป็น

## 5. มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลความลับ

| ด้าน | มาตรการ | การรองรับในระบบ |
|---|---|---|
| การควบคุมการเข้าถึง | สิทธิ์ตามบทบาท (RBAC) รหัสผ่านผู้ดูแลที่ซับซ้อน จำกัด IP ที่เข้าหน้าผู้ดูแลได้ | `/admin/users`, IP Allowlist (ก.6.1.1, ก.6.1.4) |
| ข้อมูลรับรองและคีย์ | คีย์ LLM API รหัสผ่าน และกุญแจเข้ารหัสเก็บในตัวแปรสภาพแวดล้อมหรือระบบจัดการความลับ ไม่บันทึกลงซอร์สโค้ดหรือ Repository | ไฟล์ `.env` ไม่ถูก Commit มีเฉพาะ `.env.example` ที่ไม่มีค่าจริง |
| การเข้ารหัส | เข้ารหัสระหว่างส่งด้วย TLS และเข้ารหัสข้อมูลส่วนบุคคลขณะจัดเก็บ | AES-256-GCM ระดับคอลัมน์สำหรับอีเมลและชื่อที่แสดง (14.3) |
| การบันทึกและตรวจสอบ | บันทึกการเข้าถึงและการเปลี่ยนแปลงสำคัญ แก้ไขหรือลบไม่ได้ | `/admin/audit-log` แบบ Append-only พร้อม Hash Chain (ก.6.5) |
| การเข้าถึงบทสนทนา | ผู้ดูแลที่เปิดดูบทสนทนาของผู้ใช้ถูกบันทึกทุกครั้ง | เหตุการณ์ประเภทการเข้าถึงบทสนทนาใน Audit Log (ก.6.5.1) |
| การแยกสภาพแวดล้อม | แยก Dev/Test/Production ไม่ใช้ข้อมูลจริงในสภาพแวดล้อมพัฒนาโดยไม่จำเป็น | การตั้งค่าและฐานข้อมูลแยกกัน (4.6.2) |
| อุปกรณ์ของบุคลากร | เข้ารหัสดิสก์ ล็อกหน้าจอ ไม่เก็บข้อมูลความลับในอุปกรณ์ส่วนตัวที่ไม่ได้รับอนุมัติ | มาตรการเชิงองค์กรของผู้รับจ้าง |
| รายงานความปลอดภัย | รายงานช่องโหว่ส่งเฉพาะผู้ที่มหาวิทยาลัยกำหนด ผ่านช่องทางที่ตกลงกัน | มาตรการเชิงองค์กรของผู้รับจ้าง |

## 6. การใช้บริการภายนอกที่เกี่ยวข้องกับข้อมูล

1. ระบบส่งข้อความคำถามและบริบทที่สืบค้นได้ไปยังผู้ให้บริการ LLM API เพื่อสร้างคำตอบ ผู้ให้บริการดังกล่าวและผู้ให้บริการ Cloud เป็นบริการที่มหาวิทยาลัยจัดหาตามข้อ 4.6.1 รายละเอียดการประมวลผลข้อมูลส่วนบุคคลระบุในเอกสาร `pdpa-dpa`
2. ผู้รับจ้างจะไม่ส่งข้อมูลความลับไปยังบริการภายนอกอื่นใดที่มหาวิทยาลัยไม่ได้เห็นชอบ รวมถึงเครื่องมือปัญญาประดิษฐ์สาธารณะ บริการแปลภาษา หรือบริการจัดเก็บไฟล์ส่วนบุคคล
3. ในระบบสาธิต โมเดลภาษาที่เรียกใช้คือ Typhoon ของ SCB 10X ผ่าน API และข้อมูลในระบบสาธิตเป็นข้อมูลตัวอย่าง ไม่ใช่ข้อมูลความลับของมหาวิทยาลัย

## 7. ระยะเวลาของหน้าที่รักษาความลับ

1. หน้าที่ตามข้อตกลงนี้มีผลตั้งแต่วันที่ผู้รับจ้างได้รับข้อมูลความลับครั้งแรก ตลอดอายุสัญญาและระยะเวลารับประกัน
2. หน้าที่รักษาความลับยังคงมีผลต่อไปภายหลังสัญญาสิ้นสุด ตามระยะเวลาที่กำหนดในสัญญาฉบับลงนาม สำหรับข้อมูลส่วนบุคคลและข้อมูลรับรองการเข้าถึง หน้าที่ดังกล่าวคงอยู่ตราบเท่าที่ข้อมูลยังมีสภาพเป็นความลับ

## 8. การส่งคืนและการลบทำลายข้อมูล

1. เมื่อสัญญาสิ้นสุดหรือเมื่อมหาวิทยาลัยร้องขอ ผู้รับจ้างต้องส่งคืนหรือลบทำลายข้อมูลความลับทั้งหมดที่อยู่ในความครอบครอง รวมถึงสำเนา สำเนาสำรอง และข้อมูลในอุปกรณ์ของบุคลากร
2. ผู้รับจ้างออกหนังสือรับรองการลบทำลายข้อมูลให้มหาวิทยาลัย (ข้อ 4.11.3) ระบบมีหน้า `/admin/data-destruction` สำหรับลบข้อมูลตามขอบเขตที่เลือกและออกใบรับรองที่ระบุรายการ จำนวน ค่าแฮชของรายการก่อนลบ วันเวลา และผู้สั่ง
3. Audit Log ของระบบที่ส่งมอบให้มหาวิทยาลัยไม่ถูกลบโดยกระบวนการนี้ เพื่อคงหลักฐานการตรวจสอบไว้กับมหาวิทยาลัย

## 9. ความรับผิดและการเยียวยา

1. ผู้รับจ้างต้องรับผิดต่อความเสียหายที่เกิดจากการฝ่าฝืนข้อตกลงนี้ ไม่ว่าเกิดจากการกระทำของผู้รับจ้างเองหรือบุคลากรของผู้รับจ้าง
2. มหาวิทยาลัยมีสิทธิใช้มาตรการตามสัญญาและตามกฎหมาย รวมถึงการบอกเลิกสัญญาและเรียกค่าเสียหาย
3. กรณีข้อมูลความลับเป็นข้อมูลส่วนบุคคล ให้นำข้อตกลงประมวลผลข้อมูลส่วนบุคคล (`pdpa-dpa`) และ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับด้วย

## 10. แบบรับทราบของบุคลากร

บุคลากรของผู้รับจ้างทุกคนที่เข้าถึงข้อมูลความลับลงนามในแบบรับทราบต่อไปนี้ก่อนเริ่มปฏิบัติงาน (ตารางนี้เป็นแบบฟอร์ม ยังไม่มีการลงนามจริง)

| ลำดับ | ชื่อ-สกุล | ตำแหน่งในโครงการ | ขอบเขตข้อมูลที่เข้าถึง | วันที่ลงนาม | ลายมือชื่อ |
|---|---|---|---|---|---|
| 1 | (ระบุชื่อเมื่อทำสัญญา) | Project Manager | เอกสารโครงการ รายงาน | | |
| 2 | (ระบุชื่อเมื่อทำสัญญา) | AI Engineer | ข้อมูลองค์ความรู้ ชุดทดสอบ Prompt | | |
| 3 | (ระบุชื่อเมื่อทำสัญญา) | Senior Software Engineer | ซอร์สโค้ด ฐานข้อมูลสภาพแวดล้อมพัฒนา | | |
| 4 | (ระบุชื่อเมื่อทำสัญญา) | UX/UI Designer | เอกสารออกแบบ | | |
| 5 | (ระบุชื่อเมื่อทำสัญญา) | Business Analyst | ความต้องการ รายงานการประชุม | | |
| 6 | (ระบุชื่อเมื่อทำสัญญา) | Tech Lead | ซอร์สโค้ด การตั้งค่า สถาปัตยกรรม | | |
| 7 | (ระบุชื่อเมื่อทำสัญญา) | QA Engineer | ชุดทดสอบ รายงานความปลอดภัย | | |
| 8 | (ระบุชื่อเมื่อทำสัญญา) | DevOps Engineer | บัญชี Cloud ข้อมูลรับรอง สำเนาสำรอง | | |

## 11. การลงนาม

| ฝ่ายมหาวิทยาลัย | ฝ่ายผู้รับจ้าง |
|---|---|
| ลงชื่อ ........................................ | ลงชื่อ ........................................ |
| (ผู้มีอำนาจลงนาม) | (ผู้มีอำนาจลงนาม — ระบุเมื่อทำสัญญา) |
| วันที่ ........................................ | วันที่ ........................................ |