ข้อตกลงการรักษาความลับ

อ้างอิง TOR: ข้อ 13 (การเก็บรักษาความลับ)

สถานะเอกสาร: เอกสารนี้เป็น ร่างข้อตกลง ที่ผู้รับจ้างจัดเตรียมเพื่อแสดงแนวทางปฏิบัติตาม TOR ข้อ 13 ประกอบระบบสาธิต (Demo) ยังไม่มีการลงนามและยังไม่มีผลผูกพันทางกฎหมาย ถ้อยคำที่มีผลบังคับให้เป็นไปตามสัญญาและเอกสารแนบท้ายสัญญาฉบับลงนาม ซึ่งมหาวิทยาลัยอาจกำหนดแบบของตนเอง

1. คู่สัญญา

ฝ่าย	รายละเอียด
ผู้เปิดเผยข้อมูล	มหาวิทยาลัยมหามกุฏราชวิทยาลัย (ต่อไปเรียกว่า "มหาวิทยาลัย")
ผู้รับข้อมูล	(ชื่อนิติบุคคลของผู้รับจ้าง — ระบุเมื่อทำสัญญา) (ต่อไปเรียกว่า "ผู้รับจ้าง")
โครงการ	จ้างพัฒนาระบบแชตบอตปัญญาประดิษฐ์เฉพาะทางพระพุทธศาสนาและเว็บไซต์

2. คำนิยาม

"ข้อมูลความลับ" หมายถึง ข้อมูล เอกสาร หรือสิ่งใดที่ผู้รับจ้างได้รับ เข้าถึง หรือจัดทำขึ้นเนื่องจากการปฏิบัติงานตามสัญญา ไม่ว่าในรูปแบบใด ซึ่งรวมถึงแต่ไม่จำกัดเพียงรายการต่อไปนี้

ประเภท	ตัวอย่างในโครงการนี้
ข้อมูลองค์ความรู้ที่ยังไม่เผยแพร่	ไฟล์ต้นฉบับพระไตรปิฎกและอรรถกถาแปล ฉบับมหามกุฏราชวิทยาลัย ที่มหาวิทยาลัยส่งมอบเพื่อนำเข้าระบบ ไฟล์จากเว็บไซต์คลังปัญญาพระพุทธศาสนา (Dhammaverse)
ชุดทดสอบและเฉลย	ชุด Benchmark ธรรมศึกษา นักธรรม ชุด Retrieval และชุด Guardrail พร้อมเฉลยและเกณฑ์ให้คะแนน
ข้อมูลส่วนบุคคลและข้อมูลการใช้งาน	บัญชีผู้ใช้ บทสนทนา ผลการให้คะแนนคำตอบ สถิติการใช้โทเคน บันทึก Audit Log
ข้อมูลรับรองการเข้าถึง	คีย์ LLM API ของมหาวิทยาลัย บัญชี Cloud รหัสผ่าน ใบรับรองดิจิทัล กุญแจเข้ารหัสข้อมูล
ข้อมูลทางเทคนิคและการตั้งค่า	สถาปัตยกรรมเครือข่าย รายการ IP Allowlist ค่าตั้งค่าความปลอดภัย System Prompt และ Guardrail ที่ใช้งานจริง
ผลการทดสอบความปลอดภัย	รายงาน Vulnerability Scan รายงาน Penetration Test และรายละเอียดช่องโหว่
เอกสารโครงการ	รายงานการประชุม รายงานความก้าวหน้า ข้อมูลงบประมาณและการเบิกจ่าย

"บุคลากรของผู้รับจ้าง" หมายถึง พนักงาน ลูกจ้าง และผู้บริหารของผู้รับจ้างที่ได้รับมอบหมายให้ปฏิบัติงานในโครงการ

3. หน้าที่ของผู้รับจ้าง

1. เก็บรักษาข้อมูลความลับไว้เป็นความลับ และไม่เปิดเผย เผยแพร่ หรือส่งต่อแก่บุคคลภายนอก ไม่ว่าทั้งหมดหรือบางส่วน เว้นแต่ได้รับความยินยอมเป็นลายลักษณ์อักษรจากมหาวิทยาลัย
2. ใช้ข้อมูลความลับเพื่อการปฏิบัติงานตามสัญญานี้เท่านั้น ไม่นำไปใช้เพื่อประโยชน์ของตนเองหรือบุคคลอื่น และไม่นำไปใช้ในเชิงพาณิชย์ (สอดคล้องกับข้อ 15.3)
3. ไม่นำข้อมูลความลับ รวมถึงเนื้อหาคัมภีร์ที่ยังไม่เผยแพร่ ชุดทดสอบ และบทสนทนาของผู้ใช้ ไปใช้ฝึกสอน ปรับแต่ง หรือประเมินโมเดลปัญญาประดิษฐ์อื่นใดนอกเหนือจากโครงการนี้
4. เปิดเผยข้อมูลความลับแก่บุคลากรของผู้รับจ้างเฉพาะผู้ที่จำเป็นต้องทราบเพื่อการปฏิบัติงาน (Need-to-know) และจัดให้บุคลากรดังกล่าวลงนามรับทราบและผูกพันตามข้อตกลงนี้
5. จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมตามข้อ 5 ของเอกสารนี้
6. ไม่ทำสำเนาข้อมูลความลับเกินความจำเป็น และไม่นำข้อมูลออกนอกสภาพแวดล้อมที่มหาวิทยาลัยเห็นชอบ
7. แจ้งมหาวิทยาลัยโดยไม่ชักช้าเมื่อทราบหรือมีเหตุอันควรสงสัยว่ามีการเปิดเผย การเข้าถึง หรือการใช้ข้อมูลความลับโดยไม่ได้รับอนุญาต และให้ความร่วมมือในการสอบสวนและบรรเทาความเสียหาย
8. ไม่จ้างช่วงงานอันจะเป็นเหตุให้บุคคลภายนอกเข้าถึงข้อมูลความลับ (ข้อ 16.1)

4. ข้อยกเว้น

หน้าที่รักษาความลับไม่ครอบคลุมข้อมูลที่ผู้รับจ้างพิสูจน์ได้ว่า

1. เป็นข้อมูลที่เปิดเผยต่อสาธารณะอยู่แล้วโดยมิใช่ความผิดของผู้รับจ้าง เช่น เนื้อหาคัมภีร์ที่เผยแพร่ทั่วไป หรือซอฟต์แวร์โอเพนซอร์ส
2. ผู้รับจ้างมีอยู่ก่อนโดยชอบด้วยกฎหมายก่อนได้รับจากมหาวิทยาลัย
3. ผู้รับจ้างได้รับจากบุคคลที่สามซึ่งมีสิทธิเปิดเผยโดยชอบ
4. ต้องเปิดเผยตามกฎหมาย คำสั่งศาล หรือคำสั่งของหน่วยงานที่มีอำนาจ ทั้งนี้ผู้รับจ้างต้องแจ้งมหาวิทยาลัยล่วงหน้าเท่าที่กฎหมายอนุญาต และเปิดเผยเท่าที่จำเป็น

5. มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลความลับ

ด้าน	มาตรการ	การรองรับในระบบ
การควบคุมการเข้าถึง	สิทธิ์ตามบทบาท (RBAC) รหัสผ่านผู้ดูแลที่ซับซ้อน จำกัด IP ที่เข้าหน้าผู้ดูแลได้	/admin/users, IP Allowlist (ก.6.1.1, ก.6.1.4)
ข้อมูลรับรองและคีย์	คีย์ LLM API รหัสผ่าน และกุญแจเข้ารหัสเก็บในตัวแปรสภาพแวดล้อมหรือระบบจัดการความลับ ไม่บันทึกลงซอร์สโค้ดหรือ Repository	ไฟล์ .env ไม่ถูก Commit มีเฉพาะ .env.example ที่ไม่มีค่าจริง
การเข้ารหัส	เข้ารหัสระหว่างส่งด้วย TLS และเข้ารหัสข้อมูลส่วนบุคคลขณะจัดเก็บ	AES-256-GCM ระดับคอลัมน์สำหรับอีเมลและชื่อที่แสดง (14.3)
การบันทึกและตรวจสอบ	บันทึกการเข้าถึงและการเปลี่ยนแปลงสำคัญ แก้ไขหรือลบไม่ได้	/admin/audit-log แบบ Append-only พร้อม Hash Chain (ก.6.5)
การเข้าถึงบทสนทนา	ผู้ดูแลที่เปิดดูบทสนทนาของผู้ใช้ถูกบันทึกทุกครั้ง	เหตุการณ์ประเภทการเข้าถึงบทสนทนาใน Audit Log (ก.6.5.1)
การแยกสภาพแวดล้อม	แยก Dev/Test/Production ไม่ใช้ข้อมูลจริงในสภาพแวดล้อมพัฒนาโดยไม่จำเป็น	การตั้งค่าและฐานข้อมูลแยกกัน (4.6.2)
อุปกรณ์ของบุคลากร	เข้ารหัสดิสก์ ล็อกหน้าจอ ไม่เก็บข้อมูลความลับในอุปกรณ์ส่วนตัวที่ไม่ได้รับอนุมัติ	มาตรการเชิงองค์กรของผู้รับจ้าง
รายงานความปลอดภัย	รายงานช่องโหว่ส่งเฉพาะผู้ที่มหาวิทยาลัยกำหนด ผ่านช่องทางที่ตกลงกัน	มาตรการเชิงองค์กรของผู้รับจ้าง

6. การใช้บริการภายนอกที่เกี่ยวข้องกับข้อมูล

1. ระบบส่งข้อความคำถามและบริบทที่สืบค้นได้ไปยังผู้ให้บริการ LLM API เพื่อสร้างคำตอบ ผู้ให้บริการดังกล่าวและผู้ให้บริการ Cloud เป็นบริการที่มหาวิทยาลัยจัดหาตามข้อ 4.6.1 รายละเอียดการประมวลผลข้อมูลส่วนบุคคลระบุในเอกสาร pdpa-dpa
2. ผู้รับจ้างจะไม่ส่งข้อมูลความลับไปยังบริการภายนอกอื่นใดที่มหาวิทยาลัยไม่ได้เห็นชอบ รวมถึงเครื่องมือปัญญาประดิษฐ์สาธารณะ บริการแปลภาษา หรือบริการจัดเก็บไฟล์ส่วนบุคคล
3. ในระบบสาธิต โมเดลภาษาที่เรียกใช้คือ Typhoon ของ SCB 10X ผ่าน API และข้อมูลในระบบสาธิตเป็นข้อมูลตัวอย่าง ไม่ใช่ข้อมูลความลับของมหาวิทยาลัย

7. ระยะเวลาของหน้าที่รักษาความลับ

1. หน้าที่ตามข้อตกลงนี้มีผลตั้งแต่วันที่ผู้รับจ้างได้รับข้อมูลความลับครั้งแรก ตลอดอายุสัญญาและระยะเวลารับประกัน
2. หน้าที่รักษาความลับยังคงมีผลต่อไปภายหลังสัญญาสิ้นสุด ตามระยะเวลาที่กำหนดในสัญญาฉบับลงนาม สำหรับข้อมูลส่วนบุคคลและข้อมูลรับรองการเข้าถึง หน้าที่ดังกล่าวคงอยู่ตราบเท่าที่ข้อมูลยังมีสภาพเป็นความลับ

8. การส่งคืนและการลบทำลายข้อมูล

1. เมื่อสัญญาสิ้นสุดหรือเมื่อมหาวิทยาลัยร้องขอ ผู้รับจ้างต้องส่งคืนหรือลบทำลายข้อมูลความลับทั้งหมดที่อยู่ในความครอบครอง รวมถึงสำเนา สำเนาสำรอง และข้อมูลในอุปกรณ์ของบุคลากร
2. ผู้รับจ้างออกหนังสือรับรองการลบทำลายข้อมูลให้มหาวิทยาลัย (ข้อ 4.11.3) ระบบมีหน้า /admin/data-destruction สำหรับลบข้อมูลตามขอบเขตที่เลือกและออกใบรับรองที่ระบุรายการ จำนวน ค่าแฮชของรายการก่อนลบ วันเวลา และผู้สั่ง
3. Audit Log ของระบบที่ส่งมอบให้มหาวิทยาลัยไม่ถูกลบโดยกระบวนการนี้ เพื่อคงหลักฐานการตรวจสอบไว้กับมหาวิทยาลัย

9. ความรับผิดและการเยียวยา

1. ผู้รับจ้างต้องรับผิดต่อความเสียหายที่เกิดจากการฝ่าฝืนข้อตกลงนี้ ไม่ว่าเกิดจากการกระทำของผู้รับจ้างเองหรือบุคลากรของผู้รับจ้าง
2. มหาวิทยาลัยมีสิทธิใช้มาตรการตามสัญญาและตามกฎหมาย รวมถึงการบอกเลิกสัญญาและเรียกค่าเสียหาย
3. กรณีข้อมูลความลับเป็นข้อมูลส่วนบุคคล ให้นำข้อตกลงประมวลผลข้อมูลส่วนบุคคล (pdpa-dpa) และ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาใช้บังคับด้วย

10. แบบรับทราบของบุคลากร

บุคลากรของผู้รับจ้างทุกคนที่เข้าถึงข้อมูลความลับลงนามในแบบรับทราบต่อไปนี้ก่อนเริ่มปฏิบัติงาน (ตารางนี้เป็นแบบฟอร์ม ยังไม่มีการลงนามจริง)

ลำดับ	ชื่อ-สกุล	ตำแหน่งในโครงการ	ขอบเขตข้อมูลที่เข้าถึง	วันที่ลงนาม	ลายมือชื่อ
1	(ระบุชื่อเมื่อทำสัญญา)	Project Manager	เอกสารโครงการ รายงาน
2	(ระบุชื่อเมื่อทำสัญญา)	AI Engineer	ข้อมูลองค์ความรู้ ชุดทดสอบ Prompt
3	(ระบุชื่อเมื่อทำสัญญา)	Senior Software Engineer	ซอร์สโค้ด ฐานข้อมูลสภาพแวดล้อมพัฒนา
4	(ระบุชื่อเมื่อทำสัญญา)	UX/UI Designer	เอกสารออกแบบ
5	(ระบุชื่อเมื่อทำสัญญา)	Business Analyst	ความต้องการ รายงานการประชุม
6	(ระบุชื่อเมื่อทำสัญญา)	Tech Lead	ซอร์สโค้ด การตั้งค่า สถาปัตยกรรม
7	(ระบุชื่อเมื่อทำสัญญา)	QA Engineer	ชุดทดสอบ รายงานความปลอดภัย
8	(ระบุชื่อเมื่อทำสัญญา)	DevOps Engineer	บัญชี Cloud ข้อมูลรับรอง สำเนาสำรอง

11. การลงนาม

ฝ่ายมหาวิทยาลัย	ฝ่ายผู้รับจ้าง
ลงชื่อ ........................................	ลงชื่อ ........................................
(ผู้มีอำนาจลงนาม)	(ผู้มีอำนาจลงนาม — ระบุเมื่อทำสัญญา)
วันที่ ........................................	วันที่ ........................................