ประกวดราคาจ้างโครงการจ้างดําเนินการพัฒนาและปรับปรุงระบบบริหารงานเทคโนโลยีสารสนเทศตามมาตรฐาน ISO 27001 2022

• เพื่อพัฒนาระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศตามมาตรฐานสากล ISO/IEC 27001:2022
• เพื่อเตรียมความพร้อมและขอรับการรับรองมาตรฐาน ISO/IEC 27001:2022 จากผู้ตรวจประเมินภายนอก (Certification Body: CB)
• เพื่อพัฒนาระบบให้สอดคล้องกับระเบียบข้อบังคับของ กสศ. และกฎหมายด้านความมั่นคงปลอดภัยสารสนเทศ (พ.ร.บ. ไซเบอร์, พ.ร.บ. คอมพิวเตอร์, พ.ร.บ. ธุรกรรมอิเล็กทรอนิกส์)
• เพื่อพัฒนาบุคลากรของ กสศ. ให้มีความรู้ความเข้าใจด้านการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ

• จัดทำแผนดำเนินงานโครงการ (Project Plan) โดยละเอียด
• ให้คำปรึกษาตามขอบเขตการขอรับรอง ISMS และทบทวนแนวทางการกำหนดมาตรการความปลอดภัย
• ทบทวนนโยบายและแนวปฏิบัติให้สอดคล้องกับกฎหมายไทยที่เกี่ยวข้อง
• ดำเนินการวิเคราะห์ Gap Analysis ตามข้อกำหนด Annex A ของ ISO/IEC 27001:2022 และจัดทำรายงานสรุป
• จัดทำ ปรับปรุง และตรวจสอบเอกสารระบบ ISMS ทั้งหมด (Policy, Procedure, Risk Assessment, SoA, WI, Form)
• ออกแบบและปฏิบัติใช้กระบวนการควบคุมความมั่นคงปลอดภัย (Risk Treatment, Internal Audit)
• ดำเนินการตรวจสอบภายใน (Internal Audit) และจัดทำรายงานผล
• จัดฝึกอบรมด้านความมั่นคงปลอดภัยสารสนเทศ (ISMS Requirements และ Awareness Training) รวม 4 รุ่น พร้อมออกใบประกาศนียบัตร
• ให้คำปรึกษาและช่วยเหลือในการเตรียมเอกสารและบุคลากรเพื่อรับการตรวจประเมินจาก CB จนกว่าจะได้ใบรับรอง
• ตรวจสอบและเก็บข้อมูลระบบงานต่างๆ (บัญชี, จัดซื้อ, คลังพัสดุ, สินทรัพย์, HR) เพื่อปรับปรุงเอกสาร ISMS ให้เป็นปัจจุบัน

• งวดที่ 1: แผนการดำเนินงาน (Project Plan)
• งวดที่ 2: เอกสารนโยบายและแนวปฏิบัติการรักษาความมั่นคงปลอดภัยสารสนเทศ และรายงานสรุปผลการวิเคราะห์ Gap Analysis
• งวดที่ 3: รายงานผลการประเมินความเสี่ยง (Risk Assessment Report), แผนจัดการความเสี่ยง, เอกสารระบบ ISMS อื่นๆ และรายงานผลการตรวจประเมินภายใน (Internal Audit Report)
• งวดที่ 4: รายงานผลการตรวจประเมินจากผู้ตรวจประเมินภายนอก (CB), เอกสารมาตรฐาน ISO/IEC 27001:2022 ฉบับสมบูรณ์, เอกสารประกอบการอบรมและไฟล์บันทึกการอบรม

ภายใน 180 วัน นับถัดจากวันลงนามในสัญญา

• Eligibility Requirements: เป็นนิติบุคคลที่มีอาชีพรับจ้างงานที่เกี่ยวข้องกับขอบเขตงานนี้ และไม่อยู่ในบัญชีรายชื่อผู้ทิ้งงาน
• Standards Compliance: ผู้ยื่นข้อเสนอต้องได้รับการรับรองมาตรฐาน ISO/IEC 27001:2022 (ต้องแนบสำเนาใบรับรอง)
• Experience: ต้องเป็นบริษัทที่จดทะเบียนในไทยมาไม่ต่ำกว่า 3 ปี และมีวัตถุประสงค์ธุรกิจด้านคำปรึกษา/ตรวจสอบความมั่นคงปลอดภัย
• Previous Project Cost: มีผลงานเป็นที่ปรึกษา ISO/IEC 27001:2022 ให้หน่วยงานรัฐ รัฐวิสาหกิจ สถาบันการเงิน หรือบริษัทมหาชน อย่างน้อย 1 โครงการ มูลค่าไม่ต่ำกว่า 900,000 บาท ภายในระยะเวลาไม่เกิน 3 ปี
• Technical Capabilities: ต้องเป็นที่ปรึกษาที่ขึ้นทะเบียนกับศูนย์ข้อมูลที่ปรึกษากระทรวงการคลัง สาขา ICT และสาขาคุณภาพด้าน ISO/IEC 27001
• Personnel:
  • ผู้จัดการโครงการ (1 ท่าน): ปริญญาโท ICT หรือที่เกี่ยวข้อง, ประสบการณ์ 10 ปี, มีใบเซอร์ Lead Auditor (ISO 27001 หรือ 22301)
  • ผู้เชี่ยวชาญด้านการจัดการความมั่นคง (1 ท่าน): ปริญญาโท ICT หรือที่เกี่ยวข้อง, ประสบการณ์ 10 ปี, มีใบเซอร์ CISSP หรือ CISM หรือ Lead Auditor ISO 27001:2022
  • ผู้เชี่ยวชาญด้านการตรวจประเมิน (1 ท่าน): ปริญญาตรีขึ้นไป, ประสบการณ์ 10 ปี ในการเป็น Internal Audit หรือสนับสนุนการตรวจรับรอง ISO 27001, มีใบเซอร์ CISA หรือ Lead Auditor (ISO 27001 หรือ 22301)

• พิจารณาโดยใช้เกณฑ์ราคาประกอบเกณฑ์คุณภาพ (Price Performance)
• สัดส่วนคะแนน: เกณฑ์ราคา 20% และเกณฑ์คุณภาพ 80%
• รายละเอียดเกณฑ์คุณภาพ (100 คะแนน):
  1. แผนและการบริหารโครงการ (30 คะแนน)
  2. ผลงานอ้างอิงที่ดำเนินการเสร็จเรียบร้อยแล้ว (30 คะแนน)
  3. คุณสมบัติผู้ยื่นข้อเสนอและบุคลากร (20 คะแนน)
  4. การอบรมการบริหารจัดการความมั่นคงปลอดภัย (20 คะแนน)
• ผู้เสนอราคาต้องได้คะแนนเกณฑ์คุณภาพไม่น้อยกว่า 70% จึงจะได้รับการพิจารณา

• พัฒนาระบบตามมาตรฐาน ISO/IEC 27001:2022 (เวอร์ชันล่าสุด)
• ครอบคลุมการวิเคราะห์ Gap Analysis ตาม Annex A
• จัดทำเอกสาร ISMS ครบถ้วนตามข้อกำหนด (Policy, Procedure, SoA, Risk Assessment)
• ต้องมีการฝึกอบรม Awareness Training อย่างน้อย 3 รุ่น และหลักสูตรผู้บริหาร 1 รุ่น
• ให้คำปรึกษาจนกว่าจะได้รับใบรับรอง (Certification) จาก CB

• การจ่ายเงิน: แบ่งเป็น 4 งวด (10%, 20%, 20%, 50%)
• ค่าปรับ: กรณีไม่ส่งมอบงานตามกำหนด ปรับรายวันในอัตราร้อยละ 0.1 ของราคางานจ้าง (ไม่ต่ำกว่าวันละ 100 บาท)
• การรับประกัน: ไม่ระบุระยะเวลาขั้นต่ำใน TOR (ระบุเป็น “-”) แต่ต้องแก้ไขงานภายใน 7 วันหลังได้รับแจ้ง
• การบอกเลิกสัญญา: กสศ. มีสิทธิบอกเลิกหากงานล่าช้า หรือไม่มีความจำเป็นต้องใช้งานอีกต่อไป หรือผู้รับจ้างทำผิดสัญญา

• Q: มาตรฐาน ISO 27001 ที่ใช้ในโครงการนี้คือเวอร์ชันใด?
  A: เวอร์ชันปี 2022 (ISO/IEC 27001:2022)
  • Q: ผู้รับจ้างต้องให้คำปรึกษาจนถึงขั้นตอนใด?
    A: จนกว่า กสศ. จะได้รับใบรับรองมาตรฐาน ISO/IEC 27001:2022 จากผู้ตรวจประเมินภายนอก
  • Q: ต้องจัดฝึกอบรมทั้งหมดกี่รุ่น?
    A: รวมทั้งหมด 4 รุ่น แบ่งเป็นหลักสูตรผู้บริหาร/คณะทำงาน 1 รุ่น และหลักสูตรสร้างความตระหนัก (Awareness) 3 รุ่น
  • Q: การวิเคราะห์ Gap Analysis ต้องอ้างอิงส่วนใดของมาตรฐาน?
    A: ต้องเปรียบเทียบกับข้อกำหนดทั้งหมดใน Annex A ของมาตรฐาน ISO/IEC 27001:2022
  • Q: ระบบงานใดบ้างที่ต้องนำมาปรับปรุงเอกสาร ISMS?
    A: ระบบบัญชี, จัดซื้อ/จัดจ้าง, คลังพัสดุ, สินทรัพย์ถาวร และบริหารทรัพยากรบุคคล
  • Q: หากบุคลากรในโครงการลาออก ต้องดำเนินการอย่างไร?
    A: ต้องจัดหาบุคลากรที่มีคุณสมบัติเท่าเดิมหรือดีกว่า และแจ้ง กสศ. ล่วงหน้าอย่างน้อย 3 วันทำการเพื่อขออนุมัติ
  • Q: เกณฑ์การตัดสินผู้ชนะใช้เกณฑ์ใด?
    A: เกณฑ์ราคาประกอบเกณฑ์คุณภาพ (Price Performance) โดยให้น้ำหนักคุณภาพสูงถึง 80%
  • Q: ผลงานอ้างอิงต้องมีมูลค่าขั้นต่ำเท่าใด?
    A: ไม่ต่ำกว่า 900,000 บาท ต่อ 1 สัญญา และต้องเป็นผลงานภายใน 3 ปีที่ผ่านมา
  • Q: ผู้ยื่นข้อเสนอต้องมีใบรับรองมาตรฐานใดเป็นของตนเองหรือไม่?
    A: ต้องได้รับการรับรองมาตรฐาน ISO/IEC 27001:2022 และแนบสำเนาใบรับรองในวันยื่นข้อเสนอ
  • Q: ขอบเขตงานครอบคลุมถึงการจัดหาผู้ตรวจประเมินภายนอก (CB) หรือไม่?
    A: TOR ระบุให้ที่ปรึกษาเตรียมความพร้อมและให้คำปรึกษาจนกว่าจะผ่านการตรวจจาก CB แต่ไม่ได้ระบุชัดเจนว่าเป็นผู้จ่ายค่าธรรมเนียม CB (ปกติหน่วยงานเจ้าของโครงการจะเป็นผู้จ้าง CB แยกต่างหาก)

เอกสารแนบประกวดราคา
ขอบเขตของงาน (Terms of Reference : TOR)
โครงการ: จ้างดำเนินการพัฒนาและปรับปรุงระบบบริหารงาน
เทคโนโลยีสารสนเทศตามมาตรฐาน ISO 27001 2022
กองทุนเพื่อความเสมอภาคทางการศึกษา
๑. ความเป็นมา
ในปัจจุบันระบบเทคโนโลยีสารสนเทศได้มีการพัฒนาไปอย่างรวดเร็ว และได้เข้ามามีบทบาทสำคัญในการ ดำเนินงานของกองทุนเพื่อความเสมอภาคทางการศึกษา (กสศ.) ดังนั้นจึงจำเป็นต้องมีการบริหารจัดการความมั่นคง ปลอดภัยสารสนเทศให้เป็นไปตามมาตรฐาน ISO/IEC 27001:2022 และมีการปรับปรุงการบริหารจัดการความมั่นคง ปลอดภัยสารสนเทศอย่างต่อเนื่อง เพื่อให้ผู้ใช้งานสามารถปฏิบัติงานได้อย่างมีประสิทธิภาพเป็นไปตามมาตรฐาน ส่งผลให้ผู้ใช้บริการของ กสศ. มีความมั่นใจในระบบงาน รวมถึงการให้บริการแก่ผู้ใช้งานได้อย่างมีประสิทธิภาพ โดยมีความมั่นคงปลอดภัยและความต่อเนื่องในการให้บริการ
๒. วัตถุประสงค์
๒.๑ พัฒนาระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศตามมาตรฐานสากล ISO/IEC 27001:2022 เพื่อเตรียมความพร้อมขอรับการรับรองมาตรฐาน ISO/IEC 27001:2022 ให้ผ่านการตรวจประเมินจาก ผู้ตรวจประเมินภายนอก (Certification Body: CB)
๒.๒ พัฒนาระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศให้สอดคล้องกับระเบียบข้อบังคับของ กสศ. และข้อกฎหมายด้านความมั่นคงปลอดภัยสารสนเทศที่ต้องปฏิบัติตาม
๒.๓ พัฒนาบุคลากรในด้านบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ
๓. คุณสมบัติของผู้ยื่นข้อเสนอ
๓.๑ มีความสามารถตามกฎหมาย
๓.๒ ไม่เป็นบุคคลล้มละลาย
๓.๓ ไม่อยู่ระหว่างเลิกกิจการ
๓.๔ ไม่เป็นบุคคลซึ่งอยู่ระหว่างถูกระงับการยื่นข้อเสนอหรือทำสัญญากับหน่วยงานของรัฐไว้ชั่วคราวเนื่องจาก เป็นผู้ที่ไม่ผ่านเกณฑ์การประเมินผลการปฏิบัติงานของผู้ประกอบการตามระเบียบที่รัฐมนตรีว่าการกระทรวงการคลัง กำหนดตามที่ประกาศเผยแพร่ในระบบเครือข่ายสารสนเทศของกรมบัญชีกลาง
๓.๕ ไม่เป็นบุคคลซึ่งถูกระบุชื่อไว้ในบัญชีรายชื่อผู้ทิ้งงานและได้แจ้งเวียนชื่อให้เป็นผู้ทิ้งงานของหน่วยงานของรัฐ ในระบบเครือข่ายสารสนเทศของกรมบัญชีกลาง ซึ่งรวมถึงนิติบุคคลที่ผู้ทิ้งงานเป็นหุ้นส่วนผู้จัดการกรรมการผู้จัดการ ผู้บริหาร ผู้มีอำนาจในการดำเนินงานในกิจการของนิติบุคคลนั้นด้วย
๓.๖ มีคุณสมบัติและไม่มีลักษณะต้องห้ามตามที่คณะกรรมการนโยบายการจัดซื้อจัดจ้างและการบริหารพัสดุ ภาครัฐกำหนดในราชกิจจานุเบกษา

• ๒ -
  ๓.๗ มีสถานะเป็น
  □ บุคคลธรรมดา 🗹 นิติบุคคล ผู้มีอาชีพขายพัสดุหรือผู้มีอาชีพรับจ้างงาน ที่มีลักษณะเช่นเดียวกัน กับขอบเขตของงานโครงการนี้
  ๓.๘ ไม่เป็นผู้มีผลประโยชน์ร่วมกันกับผู้ยื่นข้อเสนอรายอื่นที่เข้ายื่นข้อเสนอ ให้แก่ กองทุนเพื่อความเสมอภาค ทางการศึกษา ณ วันยื่นข้อเสนอหรือวันประกาศประกวดราคาอิเล็กทรอนิกส์ หรือไม่เป็นผู้กระทำการอันเป็น การขัดขวางการแข่งขันอย่างเป็นธรรม ในการยื่นข้อเสนอหรือการประกวดราคาอิเล็กทรอนิกส์ครั้งนี้
  ๓.๙ ไม่เป็นผู้ได้รับเอกสิทธิ์หรือความคุ้มกัน ซึ่งอาจปฏิเสธไม่ยอมขึ้นศาลไทย เว้นแต่ รัฐบาลของผู้ยื่นข้อเสนอได้มี คำสั่งให้สละเอกสิทธิ์และความคุ้มกันเช่นว่านั้น
  ๓.๑๐ ผู้ยื่นข้อเสนอที่ยื่นข้อเสนอในรูปแบบของ “กิจการร่วมค้า” ต้องมีคุณสมบัติดังนี้
  กรณีที่ข้อตกลงระหว่างผู้เข้าร่วมค้ากำหนดให้ผู้เข้าร่วมค้ารายใดรายหนึ่งเป็นผู้เข้าร่วมค้าหลัก ข้อตกลง ระหว่างผู้เข้าร่วมค้าจะต้องมีการกำหนดสัดส่วนหน้าที่และความรับผิดชอบในปริมาณงาน สิ่งของ หรือมูลค่า ตามสัญญาของผู้เข้าร่วมค้าหลักมากกว่าผู้เข้าร่วมค้ารายอื่นทุกราย
  กรณีที่ข้อตกลงระหว่างผู้เข้าร่วมค้ากำหนดให้ผู้เข้าร่วมค้ารายใดรายหนึ่งเป็นผู้เข้าร่วมค้าหลัก กิจการร่วมค้า นั้นต้องใช้ผลงานของผู้เข้าร่วมค้าหลักรายเดียวเป็นผลงานของกิจการร่วมค้าที่ยื่นข้อเสนอ สำหรับข้อตกลงระหว่างผู้เข้าร่วมค้าที่ไม่ได้กำหนดให้ผู้เข้าร่วมค้ารายใดเป็นผู้เข้าร่วมค้าหลัก ผู้เข้าร่วมค้า ทุกรายจะต้องมีคุณสมบัติครบถ้วนตามเงื่อนไขที่กำหนดไว้ในเอกสารเชิญชวน หรือหนังสือเชิญชวน กรณีที่ข้อตกลงระหว่างผู้เข้าร่วมค้ากำหนดให้มีการมอบหมายผู้เข้าร่วมค้ารายใดรายหนึ่งเป็นผู้ยื่นข้อเสนอ ในนามกิจการร่วมค้า การยื่นข้อเสนอดังกล่าวไม่ต้องมีหนังสือมอบอำนาจ
  สำหรับข้อตกลงระหว่างผู้เข้าร่วมค้าที่ไม่ได้กำหนดให้ผู้เข้าร่วมค้ารายใดเป็นผู้ยื่นข้อเสนอ ผู้เข้าร่วมค้า ทุกรายจะต้องลงลายมือชื่อในหนังสือมอบอำนาจให้ผู้เข้าร่วมค้ารายใดรายหนึ่งเป็นผู้ยื่นข้อเสนอในนามกิจการร่วมค้า ๓.๑๑ □ ผู้ยื่นข้อเสนอต้องมีผลงาน 🗹 ไม่กำหนดเป็นคุณสมบัติของผู้ยื่นข้อเสนอ
  □ การจำหน่ายพัสดุ ประเภทเดียวกันกับขอบเขตของงานโครงการนี้ซึ่งได้ส่งมอบพัสดุและมีผลการ ตรวจรับเป็นที่เรียบร้อยแล้ว ภายในระยะเวลาไม่เกิน…..ปี นับถึงวันยื่นข้อเสนอโดยมีมูลค่างานในวงเงิน ไม่น้อยกว่า …………………. บาท (……………………..) ต่อ ๑ สัญญา และเป็นผลงานที่เป็นคู่สัญญาโดยตรงกับหน่วยงานของรัฐ หรือหน่วยงานเอกชน ที่กองทุนเพื่อความเสมอภาคทางการศึกษา เชื่อถือ
  □ รับจ้างงาน ประเภทเดียวกันกับขอบเขตของงานโครงการนี้ซึ่งได้ส่งมอบพัสดุและมีผลการตรวจรับ เป็นที่เรียบร้อยแล้ว ภายในระยะเวลาไม่เกิน…..ปี นับถึงวันยื่นข้อเสนอโดยมีมูลค่างานในวงเงิน ไม่น้อยกว่า …………………. บาท (……………………..) ต่อ ๑ สัญญา และเป็นผลงานที่เป็นคู่สัญญาโดยตรงกับหน่วยงานของรัฐ หรือหน่วยงานเอกชน ที่กองทุนเพื่อความเสมอภาคทางการศึกษา เชื่อถือ
  ๓.๑๒ ผู้ยื่นข้อเสนอต้องมีมูลค่าสุทธิของกิจการ ดังนี้
  ๓.๑๒.๑ กรณีผู้ยื่นข้อเสนอเป็นนิติบุคคลที่จัดตั้งขึ้นตามกฎหมายไทย/กฎหมายต่างประเทศ ซึ่งได้ จดทะเบียนเกินกว่า ๑ ปี ต้องมีมูลค่าสุทธิของกิจการ จากผลต่างระหว่างสินทรัพย์สุทธิหักด้วยหนี้สินสุทธิที่ปรากฏ ในงบแสดงฐานะการเงินที่มีการตรวจรับรองแล้ว ของ ๑ ปีสุดท้ายก่อนวันยื่นข้อเสนอ ซึ่งจะต้องแสดงค่าเป็นบวก

• ๓ -
  ๓.๑๒.๒ กรณีผู้ยื่นข้อเสนอเป็นนิติบุคคลที่จัดตั้งขึ้นตามกฎหมายไทย/กฎหมายต่างประเทศ ซึ่งยังไม่มี การรายงานงบแสดงฐานะการเงินกับกรมพัฒนาธุรกิจการค้า ให้พิจารณาการกำหนดมูลค่าของทุนจดทะเบียน โดยผู้ยื่นข้อเสนอจะต้องมีทุนจดทะเบียนที่เรียกชำระมูลค่าหุ้นแล้ว ณ วันที่ยื่นข้อเสนอ ดังนี้ (๑) มูลค่าการจัดซื้อจัดจ้างไม่เกิน ๑ ล้านบาท ไม่ต้องกำหนดทุนจดทะเบียน
  (๒) มูลค่าการจัดซื้อจัดจ้างเกิน ๑ ล้านบาท แต่ไม่เกิน ๕ ล้านบาท ต้องมีทุนจดทะเบียนไม่ตํ่ากว่า ๑ ล้านบาท
  (๓) มูลค่าการจัดซื้อจัดจ้างเกิน ๕ ล้านบาท แต่ไม่เกิน ๑๐ ล้านบาท ต้องมีทุนจดทะเบียน ไม่ต่ำกว่า ๒ ล้านบาท
  (๔) มูลค่าการจัดซื้อจัดจ้างเกิน ๑๐ ล้านบาท แต่ไม่เกิน ๒๐ ล้านบาท ต้องมีทุนจดทะเบียน ไม่ตํ่ากว่า ๓ ล้านบาท
  (๕) มูลค่าการจัดซื้อจัดจ้างเกิน ๒๐ ล้านบาท แต่ไม่เกิน ๖๐ ล้านบาท ต้องมีทุนจดทะเบียน ไม่ตํ่ากว่า ๘ ล้านบาท
  (๖) มูลค่าการจัดซื้อจัดจ้างเกิน ๖๐ ล้านบาท แต่ไม่เกิน ๑๕๐ ล้านบาท ต้องมีทุนจดทะเบียน ไม่ตํ่ากว่า ๒๐ ล้านบาท
  (๗) มูลค่าการจัดซื้อจัดจ้างเกิน ๑๕๐ ล้านบาท แต่ไม่เกิน ๓๐๐ ล้านบาท ต้องมีทุนจดทะเบียน ไม่ตํ่ากว่า ๖๐ ล้านบาท
  (๘) มูลค่าการจัดซื้อจัดจ้างเกิน ๓๐๐ ล้านบาท แต่ไม่เกิน ๕๐๐ ล้านบาท ต้องมีทุนจดทะเบียน ไม่ตํ่ากว่า ๑๐๐ ล้านบาท
  (๙) มูลค่าการจัดซื้อจัดจ้างเกิน ๕๐๐ ล้านบาทขึ้นไป ต้องมีทุนจดทะเบียนไม่ตํ่ากว่า ๒๐๐ ล้านบาท
  ๓.๑๒.๓ กรณีผู้ยื่นข้อเสนอเป็นบุคคลธรรมดาถือสัญชาติไทย/บุคคลธรรมดาที่มิได้ถือสัญชาติไทย ผู้ยื่นข้อเสนอต้องมีเงินฝากคงเหลือในบัญชีธนาคารเป็นมูลค่าไม่น้อยกว่า ๑ ใน ๔ ของมูลค่างบประมาณ ของโครงการนี้หรือรายการที่ยื่นข้อเสนอในแต่ละครั้ง โดยหนังสือรับรองบัญชีเงินฝากซึ่งธนาคารออกให้แก่ผู้ยื่น ข้อเสนอนับถึงวันยื่นข้อเสนอต้องมีอายุไม่เกิน ๙๐ วัน
  ทั้งนี้ หากผู้ยื่นข้อเสนอเป็นผู้ชนะการจัดซื้อจัดจ้างหรือเป็นผู้ได้รับการคัดเลือก จะต้องแสดงหนังสือรับรอง บัญชีเงินฝากที่มีมูลค่าดังกล่าวอีกครั้งหนึ่งในวันลงนามในสัญญาหรือใบสั่งจ้าง โดยหนังสือรับรองบัญชีเงินฝากซึ่ง ธนาคารออกให้แก่ผู้ยื่นข้อเสนอนับถึงวันลงนามในสัญญาหรือใบสั่งจ้างต้องมีอายุไม่เกิน ๙๐ วัน
  ๓.๑๒.๔ กรณีที่ผู้ยื่นข้อเสนอมีคุณสมบัติไม่เป็นไปตามข้อ ๓.๑๒.๑ ข้อ ๓.๑๒.๒ และข้อ ๓.๑๒.๓ ผู้ยื่นข้อเสนอสามารถขอหนังสือรับรองวงเงินสินเชื่อที่ธนาคารภายในประเทศ หรือบริษัทเงินทุนหรือ บริษัทเงินทุนหลักทรัพย์ที่ได้รับอนุญาตให้ประกอบกิจการเงินทุนเพื่อการพาณิชย์และประกอบธุรกิจค้ำประกัน ตามประกาศของธนาคารแห่งประเทศไทย ตามรายชื่อบริษัทเงินทุนที่ธนาคารแห่งประเทศไทยแจ้งเวียนให้ทราบ หรือเป็นสินเชื่อที่ธนาคารต่างประเทศหรือบริษัทเงินทุนหรือบริษัทเงินทุนหลักทรัพย์ที่ได้รับอนุญาตให้ประกอบ กิจการเงินทุนเพื่อการพาณิชย์และประกอบธุรกิจค้ำประกันตามประกาศของธนาคารกลางของประเทศนั้น ตามรายชื่อบริษัทเงินทุนที่ธนาคารกลางของประเทศนั้นแจ้งเวียนให้ทราบ โดยพิจารณาจากยอดเงินรวมของวงเงิน

• ๔ -
  สินเชื่อที่สำนักงานใหญ่รับรอง หรือที่สำนักงานสาขารับรอง (กรณีได้รับมอบอำนาจจากสำนักงานใหญ่) ซึ่งออกให้แก่ ผู้ยื่นข้อเสนอ นับถึงวันยื่นข้อเสนอไม่เกิน ๙๐ วัน โดยต้องมีวงเงินสินเชื่อจากธนาคารไม่น้อยกว่า ๑ ใน ๔ ของมูลค่า งบประมาณของโครงการนี้หรือรายการที่ยื่นข้อเสนอในแต่ละครั้ง ทั้งนี้ สำหรับธนาคารภายในประเทศหนังสือรับรอง วงเงินสินเชื่อให้เป็นไปตามแบบที่คณะกรรมการวินิจฉัยปัญหาการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐกำหนด
  ๓.๑๒.๕ กรณีนิติบุคคลที่จัดตั้งขึ้นตามกฎหมายต่างประเทศและบุคคลธรรมดาที่มิได้ถือสัญชาติไทย ตามข้อ ๓.๑๒.๒ ข้อ ๓.๑๒.๓ และข้อ ๓.๑๒.๔ มูลค่าจะต้องเป็นไปตามอัตราแลกเปลี่ยนเงินตราตามประกาศที่ธนาคารแห่ง ประเทศไทยกำหนดในช่วงระหว่างวันที่เผยแพร่ประกาศและเอกสารเชิญชวนในระบบจัดซื้อจัดจ้างภาครัฐด้วย อิเล็กทรอนิกส์ (e-GP) หรือมีหนังสือเชิญชวน จนถึงวันเสนอราคา
  ๓.๑๓ ผู้ยื่นข้อเสนอต้องลงทะเบียนที่มีข้อมูลถูกต้องครบถ้วนในระบบจัดซื้อจัดจ้างภาครัฐด้วยอิเล็กทรอนิกส์ (Electronic Government Procurement : e-GP) ของกรมบัญชีกลาง
  ๓.๑๔ ผู้ยื่นข้อเสนอจะต้องเป็นบริษัทที่จดทะเบียนในประเทศไทยมาเป็นเวลาไม่ต่ำกว่า ๓ ปี และมีวัตถุประสงค์ ในการดำเนินธุรกิจที่เกี่ยวข้องกับการให้คำปรึกษาและตรวจสอบด้านความมั่นคงปลอดภัย ๓.๑๕ ผู้ยื่นข้อเสนอต้องได้รับการรับรอง มาตรฐาน ISO/IEC 27001:2022 โดยจะต้องแนบสำเนาใบรับรอง มาพร้อมกันในวันยื่นข้อเสนอ
  ๓.๑๖ ผู้ยื่นข้อเสนอจะต้องเป็นที่ปรึกษาที่ได้ขึ้นทะเบียนไว้กับศูนย์ข้อมูลที่ปรึกษากระทรวงการคลัง ในสาขา เทคโนโลยีสารสนเทศและการสื่อสาร และสาขาคุณภาพด้าน ISO/IEC27001
  ๓.๑๗ ผู้ยื่นข้อเสนอต้องมีผลงานการเป็นที่ปรึกษาในการพัฒนาระบบบริหารจัดการความมั่นคงปลอดภัย สารสนเทศตามมาตรฐาน ISO/IEC 27001:2022 ให้แก่หน่วยงานราชการ หรือหน่วยงานรัฐวิสาหกิจ หรือสถาบัน การเงินในประเทศไทย หรือภาคเอกชนที่เป็นบริษัทจำกัดหรือบริษัทมหาชนจำกัด อย่างน้อย 1 (หนึ่ง) โครงการ และ ต้องเป็นผลงานที่ดำเนินการตามสัญญาเป็นที่เรียบร้อยแล้ว ระยะเวลาของผลงานไม่เกิน 3 (สาม) ปีนับถึงวันที่ยื่น ข้อเสนอ ซึ่งมีมูลค่าผลงานไม่ต่ำกว่า 900,000.00 บาท (เก้าแสนบาทถ้วน) โดยจะต้องแนบสำเนาหนังสือรับรอง ผลงาน หรือสำเนาสัญญาพร้อมรับรองสำเนาถูกต้องมาพร้อมกันในวันยื่นข้อเสนอ
  ๓.๑๘ ผู้ยื่นข้อเสนอจะต้องมีบุคลากรที่รับผิดชอบในโครงการที่มีคุณสมบัติและประกาศนียบัตรสากล อย่างน้อย ดังต่อไปนี้
  บุคลากร
  จำนวน
  วุฒิการศึกษา
  ประสบการณ์ / คุณสมบัติ
  ประสบการณ์ การทำงาน
  อย่างน้อย (ปี)
  ๑. ผู้จัดการโครงการ
  ๑ ท่าน
  ไม่ต่ำกว่าระดับ
  ปริญญาโทสาขา
  เทคโนโลยี
  สารสนเทศหรือ
  สาขาที่เกี่ยวข้อง
  ๑) เป็นผู้จัดการโครงการด้านความ มั่นคงปลอดภัยสารสนเทศ
  ๑๐
  ๒) ประกาศนียบัตรสากลที่เกี่ยวข้อง ด้านการรักษาความมั่นคงปลอดภัย สารสนเทศที่ยังไม่หมดอายุ อย่างน้อย ๑ ใบ ดังนี้

• ๕ -

  • CQI and IRCA Certified ISO/IEC 27001:2022Lead Auditor

• CQI and IRCA Certified ISO/IEC 22301Lead Auditor

• (PECB) ISO/IEC 27001Lead Auditor

  ๒. ผู้เชี่ยวชาญด้าน การจัดการการรักษา ความมั่นคง
  ๑ ท่าน
  ไม่ต่ำกว่าระดับ
  ปริญญาโทสาขา
  เทคโนโลยี
  สารสนเทศหรือ
  สาขาที่เกี่ยวข้อง
  ๑) ด้านการจัดการการรักษาความ มั่นคงปลอดภัยสารสนเทศ หรือ
  เทียบเท่า
  ๑๐
  ๒) ประกาศนียบัตรสากลที่เกี่ยวข้อง ด้านการรักษาความมั่นคงปลอดภัย สารสนเทศที่ยังไม่หมดอายุ
  อย่างน้อย ๑ ใบ ดังนี้

• Certified Information System
  Security Professional (CISSP)

• Certified Information Security Manager (CISM)

• CQI and IRCA Certified ISO/IEC 27001:2022Lead Auditor

  ๓. ผู้เชี่ยวชาญด้าน การตรวจประเมิน
  รับรองระบบการ
  จัดการการรักษา
  ความมั่นคง
  ปลอดภัย
  สารสนเทศ
  ๑ ท่าน
  ไม่ต่ำกว่าระดับ
  ปริญญาตรี
  ๑) เป็นผู้ตรวจประเมินภายใน
  (Internal Audit) หรือเป็นผู้ตรวจประเมิน รับรองระบบการจัดการการรักษาความ มั่นคงปลอดภัยสารสนเทศหรือสนับสนุน การตรวจประเมินรับรองตามมาตรฐาน ISO/IEC 27001
  ๑๐
  ๒) ประกาศนียบัตรสากลที่เกี่ยวข้องกับ การรักษามาตรฐานด้านจัดการการรักษา ความมั่นคงปลอดภัยสารสนเทศ
  (Information Security Management System Auditor ตามมาตรฐาน ISO/IEC 27001) ที่ยังไม่หมดอายุ อย่างน้อย ๑ ใบ ดังรายการดังนี้

• CQI and IRCA Certified ISO/IEC 27001:2022Lead Auditor

• ๖ -

  • CQI and IRCA Certified ISO/IEC 22301Lead Auditor

• (PECB) ISO/IEC 27001Lead Auditor - Certified Information System Auditor (CISA)

ทั้งนี้ ผู้ยื่นข้อเสนอจะต้องผ่านคุณสมบัติเบื้องต้นตามข้อ ๓. ก่อน กสศ. จึงจะนำข้อเสนอโครงการ มาพิจารณาคัดเลือกต่อไป
๔. รายละเอียดคุณลักษณะเฉพาะของพัสดุที่จะดำเนินการจัดซื้อ หรือขอบเขตของงานที่จะดำเนินการจัดจ้าง และเอกสารแนบท้ายอื่น ๆ
๔.๑ ผู้ยื่นข้อเสนอที่เป็นผู้ชนะการจัดซื้อจัดจ้างหรือเป็นผู้ได้รับการคัดเลือกต้องดำเนินการ/ให้บริการ ดังนี้ ๔.๑.๑ ดำเนินการพัฒนาและปรับปรุงระบบบริหารงานเทคโนโลยีสารสนเทศตามมาตรฐาน ISO/IEC 27001:2022 โดยอย่างน้อยต้องประกอบด้วย/ให้บริการ ดังต่อไปนี้
(๑) ผู้รับจ้างจะต้องจัดทำแผนดำเนินงาน (Project Plan) อย่างละเอียด
(๒) ผู้รับจ้างจะต้องให้คำปรึกษาตามขอบเขตการขอรับรองของระบบบริหารจัดการความมั่นคง ปลอดภัยสารสนเทศ (Information Security Management System: ISMS) ตามมาตรฐาน
ISO/IEC 27001:2022 และคำแนะนำ (Guidance) ISO/IEC 27001:2022 ในการตรวจเพื่อต่อ
อายุการรับรองมาตรฐาน ISO/IEC 27001:2022 และทบทวนแนวทางการกำหนดมาตรการ
หรือแนวทางปฏิบัติในการพัฒนาระบบให้มีความมั่นคงปลอดภัย
๔.๑.๒ ผู้รับจ้างจะต้องให้คำปรึกษาและทบทวนแนวทางการกำหนดนโยบายการรักษาความมั่นคงปลอดภัย ด้านสารสนเทศและแนวทางปฏิบัติในการรักษาความมั่นคงปลอดภัยสารสนเทศของ กสศ. ให้เป็นไป ตามกฎหมายหรือประกาศที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยสารสนเทศ ได้แก่
(๑) พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. ๒๕๔๔
(๒) พระราชบัญญัติ การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. ๒๕๖๒
(๓) พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และ พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (ฉบับที่ ๒) พ.ศ. ๒๕๖๐
(๔) กฎหมายหรือประกาศที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยสารสนเทศอื่น ๆ
๔.๑.๓ ผู้รับจ้างจะต้องดำเนินการวิเคราะห์ Gap Analysis สำหรับการดำเนินงานในส่วนที่เกี่ยวข้องกับ ขอบข่ายของระบบ ISMS ของ กสศ. เปรียบเทียบกับข้อกำหนดทั้งหมดใน Annex A ของมาตรฐาน ISO/IEC 27001:2022 พร้อมทั้งจัดทำรายงานสรุปผลการวิเคราะห์

• ๗ -
  ๔.๑.๔ ผู้รับจ้างจะต้องดำเนินการต่าง ๆ ในการจัดทำ ปรับปรุง และตรวจสอบเอกสารต่าง ๆ ที่เกี่ยวข้องกับ ระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (ISMS) ตามที่ กสศ. กำหนดให้อย่างน้อยดังนี้ (๑) แผนการดำเนินโครงการ (Project Plan)
  (๒) รายงานการประเมินความเสี่ยง (Risk Assessment Report)
  (๓) แผนการจัดการกับความเสี่ยง (Risk Treatment Plan)
  (๔) เอกสารระดับนโยบายและขั้นตอนปฏิบัติงานด้านความมั่นคงปลอดภัย (Security Policy & Procedure)
  (๕) เอกสาร Statement of Applicability
  (๖) เอกสาร Work instruction (WI)
  (๗) เอกสาร Form (FM)
  (๘) เอกสารอื่น ๆ ทั้งหมดที่เกี่ยวข้องกับระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (ISMS) เพื่อนำไปสู่การได้รับการรับรองระบบบริหารความมั่นคงปลอดภัยสารสนเทศ ( ISMS Certification) ตามมาตรฐาน ISO/IEC 27001:2022
  ๔.๑.๕ ผู้รับจ้างจะต้องดำเนินการต่าง ๆ ที่เกี่ยวกับการออกแบบ พัฒนา และปฏิบัติใช้กระบวนการและ มาตรการควบคุมความมั่นคงปลอดภัยต่าง ๆ ที่มีความสำคัญต่อระบบบริหารความมั่นคงปลอดภัย สารสนเทศ (ISMS) ตามที่ กสศ. กำหนดให้ อย่างน้อยดังนี้
  (๑) การประเมินความเสี่ยง (Risk Assessment)
  (๒) การแก้ไขความเสี่ยง (Risk Treatment)
  (๓) การบังคับใช้นโยบายและขั้นตอนปฏิบัติงานด้านความมั่นคงปลอดภัย
  (๔) การตรวจประเมินภายในสำหรับระบบ ISMS (Internal ISMS Audit)
  (๕) กิจกรรมหรือกระบวนการอื่น ๆ ที่จำเป็นสำหรับระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (ISMS) เพื่อนำไปสู่การได้รับการรับรองระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (ISMS Certification) ตามมาตรฐาน ISO/IEC 27001:2022 รวมทั้งกิจกรรมตรวจสอบความ พร้อมเอกสารหลักฐาน ตามขอบเขตการประเมินเพื่อขอการรับรอง
  ๔.๑.๖ ผู้รับจ้างจะต้องดำเนินการตรวจสอบภายใน (Internal Audit) พร้อมทั้งจัดทำผลการตรวจสอบภายใน (Internal Audit Report)
  ๔.๑.๗ ผู้รับจ้างจะต้องจัดทำเอกสารอบรม ไฟล์บันทึกการอบรม และรายชื่อผู้เข้าร่วมอบรม พร้อมออก ใบประกาศ (Certificate) การเข้ารับการอบรมในหลักสูตรด้านการรักษาความมั่นคงปลอดภัย สารสนเทศ ให้กับเจ้าหน้าที่ กสศ. โดยมีรายละเอียดดังต่อไปนี้
  (๑) การบริหารจัดการความมั่นคงปลอดภัยสารสนเทศตามข้อกำหนดของมาตรฐาน ISO/IEC 27001:2022 สำหรับผู้บริหารและคณะทำงานความมั่นคงปลอดภัยสารสนเทศ จำนวน ๑ รุ่น (๒) การสร้างความตระหนักความมั่นคงปลอดภัยสารสนเทศและด้านความมั่นคงปลอดภัยไซเบอร์ (Awareness Training) ที่เกี่ยวข้องตามข้อกำหนดของมาตรฐาน ISO/IEC 27001:2022 หรือ ตามที่ กสศ. กำหนด จำนวน ๓ รุ่น
• ๘ -
  ๔.๑.๘ ผู้รับจ้างจะต้องให้คำปรึกษา ให้ความช่วยเหลือต่างๆ โดยทำงานร่วมกับ กสศ. ตามการร้องขอต่าง ๆ ในการจัดเตรียมความพร้อมทั้งในด้านเอกสารและบุคลากรที่เกี่ยวข้องกับระบบบริหารจัดการ ความมั่นคงปลอดภัยสารสนเทศ เพื่อให้มีความพร้อมสำหรับการขอรับการรับรองมาตรฐาน ISO/IEC 27001:2022 จนกว่าจะได้ใบรับรองมาตรฐาน ISO/IEC 27001:2022
  ๔.๑.๙ ผู้รับจ้างจะต้องให้คำแนะนำการใช้ระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (ISMS) ร่วมกับระบบ สารสนเทศของ กสศ.
  ๔.๑.๑๐ กรณีที่บุคลากรของผู้รับจ้างไม่สามารถปฏิบัติงานได้ ผู้รับจ้างจะต้องจัดหาบุคลากรที่มีประสบการณ์ / คุณสมบัติเทียบเท่ากับหรือดีกว่าบุคลากรคนเดิม และต้องแจ้งต่อ กสศ. เป็นลายลักษณ์อักษรล่วงหน้า อย่างน้อย ๓ วันทำการ เพื่อให้ กสศ. เห็นชอบก่อนเปลี่ยนแปลงบุคลากรในโครงการ
  ๔.๒ ข้อเสนออื่น ๆ
  ๔.๒.๑ ผู้รับจ้างจะต้องตรวจสอบ และเก็บข้อมูลของระบบงานต่าง ๆ ตามการร้องขอจาก กสศ. เพื่อนำไปปรับปรุงเอกสารต่างๆ ที่เกี่ยวข้องกับระบบบริหารความมั่นคงปลอดภัยสารสนเทศ (ISMS) ทั้งหมดให้เป็นปัจจุบัน โดยให้เอกสารทั้งหมดมีความพร้อมสำหรับการนำไปใช้ และการขอรับการ รับรองมาตรฐาน ISO/IEC 27001:2022 อย่างน้อย ดังนี้
  • ระบบบัญชี
  • ระบบจัดซื้อ/จัดจ้าง
  • ระบบคลังพัสดุ
  • ระบบสินทรัพย์ถาวร
  • ระบบบริหารทรัพยากรบุคคล
  ๕. ระยะเวลาการดำเนินการ (รวมทั้งโครงการ)
  🗹 ภายใน ๑๘๐ วัน (ตั้งแต่วันที่ …….. ถึงวันที่……….)
  □ ภายในวันที่ นับถัดจากวันที่ในใบสั่งซื้อ/ใบสั่งจ้าง ถึงวันที่
  ๖. กำหนดเวลาส่งมอบพัสดุหรือผลงาน
  🗹 ภายใน ๑๘๐ วัน
  □ ภายในวันที่…………เดือน……….……….ปี…………..
  ๗. งวดงาน งวดเงิน และเงื่อนไขการจ่ายเงิน
  ๗.๑ งวดงาน งวดเงิน
  □ ส่งมอบครั้งเดียว
  🗹 แบ่งการส่งมอบ ออกเป็นงวด จำนวน ๔ งวด และแบ่งการชำระเงินออกเป็นงวด จำนวน ๔ งวด ดังนี้
• ๙ -
  งวดที่
  พัสดุ/ผลงานที่ต้องส่งมอบ
  จำนวน
  ระยะเวลาการ
  ส่งมอบผลงาน
  งวดเงิน
  ร้อยละ
  ๑.
  แผนการดำเนินงาน (Project Plan) ข้อ ๔.๑.๑ (๑)
  ๑ งาน
  ภายใน ๑๕ วัน นับถัดจากวันลง นามในสัญญา
  ร้อยละ ๑๐
  ของวงเงินจัดซื้อ จัดจ้าง
  ๒.
  ๑) เอกสารนโยบายการรักษาความมั่นคงปลอดภัยด้าน สารสนเทศและแนวทางปฏิบัติในการรักษาความ มั่นคงปลอดภัยสารสนเทศ ข้อ ๔.๑.๒
  ๒ ) เ อ ก ส า ร ร า ย ง า น ส ร ุ ป ผ ล ก า ร ว ิ เ ค ร า ะ ห์ (Gap Analysis) ข้อ ๔.๑.๓
  ๑ งาน
  ภายใน ๙๐ วัน นับถัดจากวันลง นามในสัญญา
  ร้อยละ ๒๐
  ของวงเงินจัดซื้อ จัดจ้าง
  ๓.
  ๑) รายงานผลการประเมินความเสี่ยง (Risk Assessment Report) และเอกสารข้อ ๔.๑.๔ ๒) รายงานและเอกสารข้อ ๔.๑.๕
  ๓) เอกสารรายงานผลตรวจประเมินภายใน (Internal Audit Report) ข้อ ๔.๑.๖
  ๑ งาน
  ภายใน ๑๒๐ วัน นับถัดจากวันลง นามในสัญญา
  ร้อยละ ๒๐
  ของวงเงินจัดซื้อ จัดจ้าง
  ๔.
  ๑) รายงานผลการตรวจประเมินมาตรฐาน ISO/IEC 27001:2022 จากผู้ตรวจประเมินภายนอก
  (Certification Body: CB) ข้อ ๔.๑.๙
  ๒ ) เ อ ก ส า ร ISO/IEC 27001:2022 Information security, Cybersecurity and Privacy protection, Information Security Controls
  ๓) เอกสารอบรมและไฟล์บันทึกการ อ บ ร ม ข้อ ๔.๑.๗ และ ข้อ ๔.๑.๘
  ๑ งาน
  ภายใน ๑๘๐ วัน นับถัดจากวันลง นามในสัญญา
  ร้อยละ ๕๐
  ของวงเงินจัดซื้อ จัดจ้าง
  รวมทั้งสิ้น
  ๑๐๐

ผู้ยื่นข้อเสนอที่เป็นผู้ชนะการจัดซื้อจัดจ้างหรือเป็นผู้ได้รับการคัดเลือก (ซึ่งต่อไปรวมเรียกว่า “ผู้ขาย /ผู้รับจ้าง”) จะต้องส่งมอบใบแจ้งหนี้มาพร้อมกับใบส่งของหรือหนังสือส่งมอบงานภายในวันเดียวกัน หรือภายใน ๕ วันทำการ นับแต่วันที่ส่งมอบพัสดุหรือผลงาน ทั้งนี้ การนำส่งใบแจ้งหนี้ล่าช้าเกินกว่ากำหนดเวลาดังกล่าวให้ถือว่า ผู้ขาย/ผู้รับจ้างยังมิได้มีการส่งมอบพัสดุหรือผลงานภายในกำหนดระยะเวลาตามสัญญาหรือหรือใบสั่งจ้าง

• ๑๐ -
  ๗.๒ เงื่อนไขการจ่ายเงิน
  เมื่อคณะกรรมการตรวจรับพัสดุในงานซื้อหรืองานจ้างได้ตรวจรับพัสดุ/ผลงานไว้โดยชอบแล้ว กสศ. จะดำเนินการ เบิกจ่ายเงินงวดค่าพัสดุ/ค่าผลงาน เป็นเงินจำนวนตามสัดส่วนของพัสดุ/ผลงานที่คณะกรรมการตรวจรับพัสดุฯ ได้ ตรวจรับไว้ให้แก่ผู้ขาย/ผู้รับจ้าง โดยวิธีการโอนเงินค่าพัสดุ/ค่าผลงาน ที่ได้หักค่าธรรมเนียมธนาคาร ค่าปรับ ค่าเสียหาย ภาษี ณ ที่จ่าย และภาษีอากรอื่นทั้งปวง รวมถึงค่าฤชาธรรมเนียมและค่าใช้จ่ายอื่นใด (ถ้ามี) แล้ว เข้า
  บัญชีเงินฝากธนาคารชื่อบัญชีของผู้ขาย/ผู้รับจ้างเท่านั้น
  ๘. วงเงินงบประมาณในการจัดหา
  ใช้เงินจากงบประมาณรายจ่ายประจำปีงบประมาณ พ.ศ. ๒๕๖๙ จำนวนเงิน ๒,๔๐๐,๐๐๐.๐๐ บาท
  ๙. อัตราค่าปรับ
  กรณีผู้ขาย/ผู้รับจ้างมิได้ส่งมอบพัสดุหรือผลงานภายในกำหนดระยะเวลาตามสัญญาหรือใบสั่งจ้าง ถือว่าผู้ขาย/ ผู้รับจ้างกระทำผิดสัญญาและจะต้องชำระค่าปรับให้แก่ กสศ. ดังนี้
  □ กรณีผลสำเร็จของงานเป็นรายงวด ต้องชำระค่าปรับเป็นรายวันในอัตราร้อยละ ๐.๒ ของราคาพัสดุที่ยัง ไม่ได้รับมอบ หรือของราคางานจ้างนั้น
  🗹 กรณีผลสำเร็จของงานทั้งหมดพร้อมกัน ต้องชำระค่าปรับเป็นรายวันในอัตราร้อยละ ๐.๑ ของราคางานจ้าง นั้นแต่จะต้องไม่ต่ำกว่าวันละ ๑๐๐ บาท
  ๑๐. การกำหนดระยะเวลารับประกันความชำรุดบกพร่อง (ถ้ามี)
  ๑๐.๑ ผู้ขาย/ผู้รับจ้างต้องรับประกันความชำรุดบกพร่องของพัสดุ/ผลงานที่ส่งมอบ เป็นระยะเวลาไม่น้อยกว่า - เดือน นับถัดจากวันที่ กสศ. ได้ตรวจรับพัสดุ
  ๑๐.๒ กรณี กสศ. แจ้งให้ผู้ขาย/ผู้รับจ้างดำเนินการแก้ไขพัสดุ/ผลงานให้ถูกต้องครบถ้วนตามที่กำหนด ในสัญญา/ใบสั่งจ้าง ผู้ขาย/ผู้รับจ้างต้องดำเนินการแก้ไขให้แล้วเสร็จภายใน ๗ วัน นับถัดจากวันที่ได้รับแจ้งเป็น ลายลักษณ์อักษรจาก กสศ.
  ๑๑. สถานที่ส่งมอบพัสดุ
  ณ สำนักงานกองทุนเพื่อความเสมอภาคทางการศึกษา หรือสถานที่อื่นใดตามที่ กสศ. กำหนด หรือผ่านทางอีเมล ของ กสศ. ([email protected]) ภายในเวลา ๑๗.๓๐ น.ของทุกวันทำการ (โดยนับเวลาที่ กสศ.ได้รับอีเมล ทั้งนี้หาก ส่งมอบหลังเวลาดังกล่าวให้ถือว่าเป็นการส่งมอบงานในวันทำการถัดไป)
  ๑๒. เงินประกันผลงาน (ถ้ามี)
  □ มีการหักเงินที่จะจ่ายค่าพัสดุ/ค่าจ้างแต่ละงวดในอัตราร้อยละ ๕ ของงวดนั้น และ กสศ. จะคืนเงินประกัน ผลงานดังกล่าวให้โดยไม่มีดอกเบี้ยพร้อมกับการจ่ายเงินค่าพัสดุ/ค่าจ้างในงวดสุดท้าย
  🗹 ไม่มี
• ๑๑ -
  ๑๓. วิธีที่จะจัดซื้อจัดจ้าง
  🗹 วิธีประกาศเชิญชวนทั่วไป
  □ วิธีคัดเลือก
  □ วิธีเฉพาะเจาะจง
  ๑๔. รูปแบบการเสนอราคา
  □ แบบทั่วไป คือ การเสนอเอกสารคุณสมบัติและเทคนิคพร้อมกับใบเสนอราคา (พิจารณาคัดเลือกข้อเสนอ โดยใช้เกณฑ์ราคา)
  🗹 แบบ ๒ ซอง คือ การแยกเอกสารทางเทคนิคกับใบเสนอราคาออกจากกัน (พิจารณาคัดเลือกข้อเสนอโดยใช้ เกณฑ์ราคาประกอบเกณฑ์อื่น)
  ๑๕. หลักเกณฑ์ในการพิจารณาคัดเลือกข้อเสนอ
  □ เกณฑ์ราคา
  🗹 เกณฑ์ราคาประกอบเกณฑ์อื่น (กรอกสัดส่วนน้ำหนัก ข้อ ๑๕.๑ และกรอกเกณฑ์คุณภาพ ข้อ ๑๕.๒)
  ๑๕.๑ การกำหนดสัดส่วนของน้ำหนักในการให้คะแนนระหว่างเกณฑ์ราคาและเกณฑ์อื่นเพื่อใช้ในการประเมิน การพิจารณาคัดเลือกข้อเสนอ โดยกำหนดให้น้ำหนักรวมทั้งหมดเท่ากับร้อยละ ๑๐๐
• เกณฑ์ราคา
  กำหนดน้ำหนักร้อยละ ๒๐
  • เกณฑ์อื่น (เกณฑ์คุณภาพ)
    กำหนดน้ำหนักร้อยละ ๘๐

๑๕.๒ การกำหนดเกณฑ์การพิจารณาย่อยในการให้คะแนนของแต่ละเกณฑ์คุณภาพ ตามข้อ ๑๕.๑
เกณฑ์คุณภาพและเกณฑ์ย่อย
คะแนน
(๑)
แผนและการบริหารโครงการ
(๑.๑) แผนการดำเนินโครงการ (๒๐ คะแนน)

• มีแผนการดำเนินโครงการครบถ้วนชัดเจน (Project Plan) (๒๐ คะแนน) - มีแผนการดำเนินโครงการบางส่วน (Project Plan) (๑๐ คะแนน)

• ไม่มีแผนการดำเนินโครงการ หรือแผนไม่ตรงกับขอบเขตงาน (Project Plan) (๐ คะแนน)
  (๑.๒) การบริหารโครงการ (๑๐ คะแนน)

• มีการบริหารโครงการให้สำเร็จลุล่วง น้อยกว่า ๑๘๐ วัน (๑๐ คะแนน) - มีการบริหารโครงการให้สำเร็จลุล่วงตามระยะเวลาที่ กสศ. กำหนด (๕ คะแนน) - ไม่มีการแสดงการบริหารโครงการ หรือระยะเวลาการบริหารโครงการล่าช้ากว่า ขอบเขตงานที่ กสศ. กำหนด (๐ คะแนน)
  ๓๐

• ๑๒ -
  (๒)
  ผลงานอ้างอิงที่ดำเนินการเสร็จเรียบร้อยแล้ว

• จำนวนผลงานการตรวจรับรองมาตรฐาน ISO/IEC 27001:2022 รวมกันมากกว่า ๕ ผลงานขึ้นไป (๓๐ คะแนน)

• จำนวนผลงานการตรวจรับรองมาตรฐาน ISO/IEC 27001:2022 รวมกัน ๔ - ๕ ผลงาน (๒๐ คะแนน)

• จำนวนผลงานการตรวจรับรองมาตรฐาน ISO/IEC 27001:2022 รวมกัน ๒ - ๓ ผลงาน (๑๐ คะแนน)

• จำนวนผลงานการตรวจรับรองมาตรฐาน ISO/IEC 27001:2022 น้อยกว่า ๒ ผลงาน หรือไม่มีผลงานที่เกี่ยวข้อง (๐ คะแนน)
  ๓๐
  (๓)
  คุณสมบัติผู้ยื่นข้อเสนอและบุคลากรที่รับผิดชอบในโครงการ

• เป็นที่ปรึกษาที่ได้ขึ้นทะเบียนไว้กับศูนย์ข้อมูลที่ปรึกษากระทรวงการคลัง และได้รับ การรับรอง มาตรฐาน ISO/IEC 27001:2022 รวมทั้งคุณสมบัติบุคลากรที่รับผิดชอบ ในโครงการ มีคุณสมบัติมากกว่าที่กำหนด ตามข้อ ๓.๑๘ (๒๐ คะแนน)

• เป็นที่ปรึกษาที่ได้ขึ้นทะเบียนไว้กับศูนย์ข้อมูลที่ปรึกษากระทรวงการคลัง หรือได้รับ การรับรอง มาตรฐาน ISO/IEC 27001:2022 รวมทั้งคุณสมบัติบุคลากรที่รับผิดชอบ ในโครงการ มีคุณสมบัติเท่ากับที่กำหนด ตามข้อ ๓.๑๘ (๑๐ คะแนน)
  ๒๐
  (๔)
  การอบรมการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ

• มีการอบรมการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ และการสร้างความ ตระหนักความมั่นคงปลอดภัยสารสนเทศและด้านไซเบอร์ ตามข้อกำหนดของ มาตรฐาน ISO/IEC 27001:2022 สำหรับผู้บริหารและคณะทำงานความมั่นคง ปลอดภัยสารสนเทศ จำนวนไม่น้อยกว่า ๔ รุ่น พร้อมเอกสารการอบรม และคลิป วิดีโอการอบรมแต่ละรุ่น ตลอดระยะเวลาของสัญญา (๒๐ คะแนน)

• มีการอบรมการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ และการสร้างความ ตระหนักความมั่นคงปลอดภัยสารสนเทศและด้านไซเบอร์ ตามข้อกำหนดของ มาตรฐาน ISO/IEC 27001:2022 สำหรับผู้บริหารและคณะทำงานความมั่นคง ปลอดภัยสารสนเทศ น้อยกว่า ๔ รุ่น พร้อมเอกสารการอบรม และคลิปวิดีโอการ อบรมแต่ละรุ่น ตลอดระยะเวลาของสัญญา (๑๐ คะแนน)

• มีการอบรมการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ และการสร้างความ ตระหนักความมั่นคงปลอดภัยสารสนเทศและด้านไซเบอร์ ตามข้อกำหนดของ มาตรฐาน ISO/IEC 27001:2022 สำหรับผู้บริหารและคณะทำงานความมั่นคง ปลอดภัยสารสนเทศ แต่ไม่แสดงรายละเอียดการอบรมตามขอบเขตงาน เช่น จำนวน ครั้งในการจัดอบรม เอกสารประกอบการอบรม และคลิปวิดีโอการอบรม (๕ คะแนน)
  ๒๐

• ๑๓ -

  • ไม่มีอบรมการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ และการสร้างความ ตระหนักความมั่นคงปลอดภัยสารสนเทศและด้านไซเบอร์ ตามข้อกำหนดของ มาตรฐาน ISO/IEC 27001:2022 สำหรับผู้บริหารและคณะทำงานความมั่นคง ปลอดภัยสารสนเทศ (๐ คะแนน)

  คะแนนรวม
  ๑๐๐

ทั้งนี้ ผู้เสนอราคาที่ได้คะแนนเกณฑ์คุณภาพ ร้อยละ ๗๐ ขึ้นไป จะถือว่าเป็นผู้ผ่านเกณฑ์การพิจารณา คัดเลือกข้อเสนอ
หมายเหตุ :
(๑) คณะกรรมการฯ ทรงไว้ซึ่งสิทธิที่จะไม่รับราคาต่ำสุด หรือราคาหนึ่งราคาใด หรือราคาที่เสนอทั้งหมดก็ได้ และอาจพิจารณาเลือกซื้อในจำนวน หรือประเภท หรือเฉพาะรายการหนึ่งรายการใด หรืออาจจะยกเลิกการจัดซื้อ จัดจ้างโดยไม่พิจารณาคัดเลือกก็ได้ ตามที่เห็นสมควร ทั้งนี้ เพื่อประโยชน์ของ กสศ. และเป้าหมายของงานเป็นสำคัญ
และให้ถือว่าการตัดสินของคณะกรรมการฯ เป็นที่สุด ผู้ยื่นข้อเสนอจะเรียกร้องค่าเสียหายใด ๆ มิได้ (๒) กรณีมีผู้ผ่านเกณฑ์ราคาประกอบเกณฑ์อื่นได้คะแนนรวมเท่ากันหลายราย กสศ. ขอสงวนสิทธิ ในการคัดเลือกผู้ยื่นข้อเสนอที่ได้คะแนนเกณฑ์คุณภาพสูงสุดเป็นผู้ชนะการจัดซื้อจัดจ้างหรือเป็นผู้ที่ได้รับคัดเลือก
๑๖. กำหนดยืนราคาไม่น้อยกว่า ๖๐ วัน
๑๗. กำหนดวันทำสัญญาหรือข้อตกลงเป็นหนังสือ ภายใน ๑๕ วัน นับถัดจากวันที่ได้รับแจ้งจาก กสศ.
๑๘. สถานที่จัดส่งเอกสาร/ติดต่อสอบถามข้อมูล
สำนักงานกองทุนเพื่อความเสมอภาคทางการศึกษา
ผู้ประสานงาน: นายธนศักดิ์ สุกรีวนัส
โทรศัพท์: ๐๖๑-๘๙๖-๕๔๔๙
อีเมล: [email protected]
๑๙. การบอกเลิกสัญญาหรือข้อตกลงเป็นหนังสือ
๑๙.๑ ถ้าผู้ขาย/ผู้รับจ้าง ไม่ทำงานให้แล้วเสร็จภายในระยะเวลาที่กำหนด หรือไม่ส่งมอบพัสดุ/ไม่ส่งมอบงานให้ เป็นไปตามกำหนดในสัญญาหรือใบสั่งจ้าง กสศ. มีสิทธิบอกเลิกสัญญาหรือใบสั่งจ้าง และไม่จ่ายเงินค่าพัสดุ/ค่าจ้าง ทั้งหมดของงวดงานที่ล่าช้าได้
๑๙.๒ กสศ. มีสิทธิบอกเลิกสัญญาหรือใบสั่งจ้างได้ ในกรณีที่เห็นว่าพัสดุ/พัสดุ ตามสัญญาหรือใบสั่งจ้าง ไม่มีความจำเป็นที่จะต้องใช้งานอีกต่อไป หรือในกรณีการดำเนินงานหรือรับมอบพัสดุ/ผลงานตามสัญญาหรือใบสั่งจ้าง ต่อไป จะไม่เป็นประโยชน์แก่ กสศ. ทั้งนี้ กสศ. จะพิจารณาตรวจรับพัสดุ/ผลงาน และเบิกจ่ายเงินค่าพัสดุ/ค่าจ้างตาม ความเป็นจริงโดยคำนวณตามจำนวนพัสดุ/ปริมาณงาน ที่ได้ดำเนินการหรือตรวจรับไว้โดยชอบแล้ว

• ๑๔ -
  ๑๙.๓ กสศ. มีสิทธิบอกเลิกสัญญาหรือใบสั่งจ้าง ถ้าเห็นว่าผู้ขาย/ผู้รับจ้างมิได้ปฏิบัติงานด้วยความชำนาญหรือ มิได้ปฏิบัติตามข้อสัญญาหรือใบสั่งจ้างข้อหนึ่งข้อใด และเงื่อนไขที่กำหนดในสัญญาหรือใบสั่งจ้าง ในกรณีเช่นนี้ กสศ. จะบอกกล่าวให้ผู้ขาย/ผู้รับจ้างทราบ เมื่อผู้ขาย/ผู้รับจ้างได้รับหนังสือบอกกล่าวนั้นแล้ว ผู้ขาย/ผู้รับจ้างต้องหยุด ปฏิบัติงานทันที
  ๑๙.๔ กสศ. อาจมีหนังสือบอกกล่าวให้ผู้ขาย/ผู้รับจ้างทราบล่วงหน้าเมื่อใดก็ได้ว่า กสศ. มีเจตนาที่จะระงับการ ทำงานทั้งหมด หรือแต่บางส่วน หรือจะบอกเลิกสัญญาหรือใบสั่งจ้าง ในกรณีการบอกเลิกสัญญาหรือใบสั่งจ้างดังกล่าว จะมีผลในเวลาไม่น้อยกว่า ๓๐ วัน นับจากวันที่ผู้ขาย/ผู้รับจ้างได้รับหนังสือบอกกล่าวนั้น เมื่อครบกำหนดเวลา ดังกล่าวแล้วผู้ขาย/ผู้รับจ้างต้องหยุดปฏิบัติงานทันที
  ๑๙.๕ หากผู้ขาย/ผู้รับจ้าง และพนักงาน ลูกจ้าง ตัวแทน หรือบุคคลอื่นใดที่ได้รับมอบหมายของผู้ขาย/ผู้รับจ้าง (ซึ่งต่อไปรวมเรียกว่า “ลูกจ้าง”) กระทำด้วยประการใด ๆ อันเป็นการทำผิดสัญญาหรือใบสั่งจ้าง โดยมิชอบ โดยจงใจ หรือประมาทเลินเล่อ ทำให้ กสศ. ได้รับความเสียหาย ผู้ขาย/ผู้รับจ้าง ตกลงยินยอมให้ กสศ. ใช้สิทธิบอกเลิกสัญญา หรือใบสั่งจ้าง และมีสิทธิเรียกร้องค่าเสียหายจากผู้ขาย/ผู้รับจ้าง โดยให้ กสศ. มีสิทธินำค่าเสียหายมาหักออกจากค่า พัสดุ/ค่าจ้างได้ และหากยังไม่เพียงพอกับความเสียหายที่เกิดขึ้น กสศ. มีสิทธิเรียกร้องค่าเสียหายจากผู้ขาย/ผู้รับจ้าง จนกว่าจะได้รับครบจำนวน
  ๒๐. ข้อมูลส่วนบุคคล
  ๒๐.๑ นโยบายคุ้มครองข้อมูลส่วนบุคคล
  ผู้ขาย/ผู้รับจ้าง ตกลงจะศึกษาและรับทราบนโยบายการคุ้มครองข้อมูลส่วนบุคคลของ กสศ. นโยบาย การคุ้มครองข้อมูลส่วนบุคคลสำหรับคู่สัญญา รวมถึงนโยบายและประกาศอื่นใดที่เกี่ยวข้องกับการคุ้มครองข้อมูล ส่วนบุคคลของ กสศ. ทั้งที่มีผลใช้บังคับอยู่ในขณะนี้ รวมถึงที่จะมีผลใช้บังคับต่อไปภายหน้า โดยผู้ขาย/ผู้รับจ้างตกลง ปฏิบัติตามนโยบายและประกาศดังกล่าวอย่างเคร่งครัด ทั้งนี้ ผู้ขาย/ผู้รับจ้างตกลงจะติดตามนโยบายและประกาศ ดังกล่าวของ กสศ. ที่เว็บไซต์ของ กสศ. (www.eef.or.th)
  ๒๐.๒ การประมวลผลข้อมูลส่วนบุคคล และเงื่อนไขในการประมวลผลข้อมูลส่วนบุคคล
  ๒๐.๒.๑ การประมวลผลข้อมูลส่วนบุคคล
  □การดำเนินงานของโครงการนี้ไม่มีการประมวลผลข้อมูลส่วนบุคคล
  🗹 การดำเนินงานของโครงการนี้ผู้ขาย/ผู้รับจ้างต้องดำเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคล (ซึ่งต่อไปนี้รวมเรียกว่า “ประมวลผลข้อมูลส่วนบุคคล”) โดยมีรายละเอียดตามรายการประมวลผลข้อมูล ส่วนบุคคลเอกสารแนบท้ายขอบเขตงานนี้
  ทั้งนี้ กรณีมีการประมวลผลข้อมูลส่วนบุคคลผู้ขาย/ผู้รับจ้างต้องประมวลผลข้อมูลส่วนบุคคลเพียงเท่าที่ จำเป็นเพื่อให้การดำเนินงานบรรลุตามวัตถุประสงค์ของโครงการตามรายการประมวลผลข้อมูลส่วนบุคคลที่กำหนดไว้ ในข้อตกลงการประมวลผลข้อมูลส่วนบุคคล รวมถึงตกลงจะดำเนินการอื่นใดที่เกี่ยวข้องกับการประมวลผลข้อมูล ส่วนบุคคลให้สอดคล้องกับกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
• ๑๕ -
  ๒๐.๒.๒ กรณีการดำเนินงานตามโครงการนี้ไม่มีการประมวลผลข้อมูลส่วนบุคคลแต่ผู้ขาย/ผู้รับจ้าง ได้ประมวลผลข้อมูลส่วนบุคคล หรือกรณีที่โครงการนี้มีการประมวลผลข้อมูลส่วนบุคคลแต่ผู้ขาย/ผู้รับจ้าง ได้ประมวลผลข้อมูลส่วนบุคคลนอกเหนือหรือเกินไปจากที่กำหนดไว้ในรายการประมวลผลข้อมูลส่วนบุคคลตามที่ กำหนดในข้อตกลงการประมวลผลข้อมูลส่วนบุคคล ให้ถือว่าการประมวลผลข้อมูลส่วนบุคคลดังกล่าวของผู้ขาย/ผู้รับจ้าง เป็นการประมวลผลข้อมูลส่วนบุคคลในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามกฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคลอย่างเป็นอิสระแยกจาก กสศ. ทั้งนี้
  (๑) กรณีเจ้าของข้อมูลส่วนบุคคลหรือบุคคลอื่นใด ใช้สิทธิฟ้องร้อง หรือใช้สิทธิเรียกร้อง หรือใช้สิทธิอื่นใด เนื่องจากการประมวลผลข้อมูลส่วนบุคคลของผู้ขาย/ผู้รับจ้าง ผู้ขาย/ผู้รับจ้างตกลงรับผิดชอบในบรรดาความเสียหาย ทั้งปวงแต่เพียงผู้เดียว
  (๒) กรณีเจ้าของข้อมูลส่วนบุคคลหรือบุคคลอื่นใด ใช้สิทธิฟ้องร้อง หรือใช้สิทธิเรียกร้อง หรือใช้สิทธิอื่นใด ให้ กสศ. ชดใช้ค่าเสียหายเนื่องจากการประมวลผลข้อมูลส่วนบุคคลของผู้ขาย/ผู้รับจ้าง ผู้ขาย/ผู้รับจ้างตกลงจะชดใช้ ค่าเสียหายและค่าใช้จ่ายทั้งปวงที่เกิดขึ้นแทน กสศ. ทั้งนี้ การที่ผู้ขาย/ผู้รับจ้างชดใช้เงินและค่าเสียหายดังกล่าวไม่เป็น การตัดสิทธิของ กสศ. ในการดำเนินการตามกฎหมาย
  ๒๑. การรักษาข้อมูลไว้เป็นความลับ
  ๒๑.๑ ผู้ขาย/ผู้รับจ้าง และลูกจ้าง ต้องเก็บรักษาข้อมูลและรายละเอียดต่าง ๆ ที่เกิดขึ้นจากการทำงานตามสัญญา หรือใบสั่งจ้าง ทั้งในระหว่างระยะเวลาในสัญญาหรือใบสั่งจ้าง และหลังสิ้นสุดสัญญาหรือใบสั่งจ้าง ไว้เป็นความลับ ไม่มอบหรือเปิดเผยข้อมูลแก่ผู้อื่นโดยไม่ได้รับอนุญาตจาก กสศ. และ/หรือเอาไปเพื่อประโยชน์อื่นใดแก่ตนเอง โดยหาก มีการนำไปใช้ หรือเปิดเผย หรือเผยแพร่ ข้อมูลดังกล่าวอันจะก่อให้เกิดความเสียหายแก่ กสศ. ผู้ขาย/ผู้รับจ้าง จะต้อง รับผิดชอบต่อการกระทำดังกล่าว และ กสศ. มีสิทธิดำเนินการตามกฎหมายกับผู้ขาย/ผู้รับจ้าง
  ๒๑.๒ ข้อมูลที่เป็นความลับทั้งที่อยู่ในรูปของเอกสาร โปรแกรมคอมพิวเตอร์ ข้อมูลอิเล็กทรอนิกส์ ที่บันทึกลงในสื่อต่าง ๆ หรือสิ่งอื่นใดที่เป็นรูปธรรมที่ กสศ. เปิดเผยแก่ผู้ขาย/ผู้รับจ้าง ผู้ขาย/ผู้รับจ้าง ต้องทำ เครื่องหมาย “ลับ” ไว้กับสิ่งนั้นอย่างชัดเจน ส่วนการเปิดเผยข้อมูลที่เป็นความลับด้วยวาจาหรือด้วยวิธีการอื่นใดที่ไม่ เป็นรูปธรรม ซึ่ง กสศ. ได้แจ้งให้ผู้ขาย/ผู้รับจ้าง ทราบ ณ เวลาเปิดเผยนั้นว่าเป็นการเปิดเผยข้อมูลที่เป็นความลับ ผู้ขาย/ผู้รับจ้าง จะต้องสรุปสาระสำคัญของข้อมูลที่เป็นความลับดังกล่าวเป็นลายลักษณ์อักษร พร้อมทั้งทำ เครื่องหมาย “ลับ” หรือเครื่องหมายที่มีความหมายทำนองเดียวกันนี้ไว้กับข้อความสรุปนั้นอย่างชัดเจน พร้อมทั้งส่ง มอบข้อความสรุปดังกล่าว ให้แก่ กสศ. ภายใน ๑๕ วัน นับตั้งแต่วันที่ กสศ. เปิดเผยข้อมูลที่เป็นความลับนั้น
  ๒๑.๓ ผู้ขาย/ผู้รับจ้างตกลงจะเก็บรักษาข้อมูลที่เป็นความลับที่ กสศ. ได้เปิดเผยแก่ผู้ขาย/ผู้รับจ้าง รวมถึงจะ จัดให้มีมาตรการที่เหมาะสมตามมาตรฐานของการรักษาความมั่นคงปลอดภัยของข้อมูลที่เป็นความลับนั้นเพื่อป้องกัน มิให้บุคคลภายนอกเข้าถึงข้อมูลที่เป็นความลับได้
• ๑๖ -
  ๒๒. กรรมสิทธิ์ในผลงาน และสิทธิในทรัพย์สินทางปัญญา
  ๒๒.๑ ผลงาน ซึ่งหมายความรวมถึงข้อมูล รายงาน เอกสาร ผลการศึกษา วิเคราะห์ วิจัย และที่เรียกชื่ออื่นใด ทั้งหมดที่ผู้รับจ้างและ/หรือลูกจ้าง เป็นผู้ดำเนินการหรือได้รับจากการดำเนินงานภายใต้สัญญาหรือใบสั่งจ้าง ให้ผลงาน ดังกล่าวเป็นกรรมสิทธิ์ของ กสศ.
  ๒๒.๒ สิทธิเหนือทรัพย์สินทางปัญญาใด ๆ (ไม่ว่าจะเป็นลิขสิทธิ์ สิทธิบัตร หรือสิทธิในทรัพย์สินทางปัญญาใด ๆ) ในผลงานตามข้อ ๒๒.๑ ที่ผู้รับจ้างและ/หรือลูกจ้างของผู้รับจ้างได้สร้างสรรค์ ประพันธ์ สร้างขึ้น หรือจัดทำขึ้นจากการ ดำเนินงานภายใต้สัญญาหรือใบสั่งจ้างให้เป็นของ กสศ.
  ๒๒.๓ หากผู้รับจ้างประสงค์จะนำสิทธิในทรัพย์สินทางปัญญาของ กสศ. ไปใช้จะต้องได้รับความยินยอมเป็น หนังสือจาก กสศ. ก่อน
  ๒๓. การประเมินผลการปฏิบัติงานของผู้ประกอบการ
  ผู้ชนะการจัดซื้อจัดจ้างหรือคู่สัญญาจะต้องได้รับการประเมินผลการปฏิบัติงานตามหลักเกณฑ์ที่ คณะกรรมการนโยบายการจัดซื้อจัดจ้างและการบริหารพัสดุภาครัฐกำหนด เพื่อใช้ประกอบการพิจารณาคุณสมบัติ ของผู้ยื่นเสนอราคาในครั้งถัดไป โดยพิจารณาจากเกณฑ์ดังต่อไปนี้
  ๒๓.๑ ความถูกต้องครบถ้วน ผลงานต้องเป็นไปตามรายละเอียดคุณลักษณะ (TOR) ทุกประการ ๒๓.๒ ความตรงต่อเวลา การส่งมอบงานในแต่ละงวดงานต้องไม่เกินระยะเวลาที่กำหนดในสัญญา ๒๓.๓ คุณภาพของงาน ความเรียบร้อย การแก้ปัญหาเฉพาะหน้า และการปฏิบัติตามมาตรฐานวิชาชีพ ๒๓.๔ การปฏิบัติตามกฎหมาย/ระเบียบ เช่น การปฏิบัติตามมาตรการความปลอดภัย หรือกฎหมายแรงงานโดย รูปแบบการให้คะแนนเป็นไปตามเกณฑ์กรมบัญชีกลางและคณะกรรมการตรวจรับพัสดุจะประเมินผลเมื่อสิ้นสุดสัญญา
  ๒๔. เงื่อนไขอื่น ๆ
  กรณีวงเงินงบประมาณตามข้อ ๘. เป็นเงินจากงบประมาณรายจ่ายประจำปีงบประมาณถัดไป กสศ. จะลงนาม ในสัญญาหรือใบสั่งจ้างกับผู้ขาย/ผู้รับจ้างก็ต่อเมื่อพระราชบัญญัติงบประมาณรายจ่ายประจำปีงบประมาณนั้นมีผลใช้ บังคับและ กสศ. ได้รับการจัดสรรงบประมาณรายจ่ายประจำปีจากสำนักงบประมาณแล้ว
  ทั้งนี้ กสศ. ขอสงวนสิทธิในการยกเลิกการจัดซื้อจัดจ้างครั้งนี้ กรณีที่ กสศ. ไม่ได้รับการจัดสรรงบประมาณ เพื่อการจัดซื้อจัดจ้างโครงการนี้

สัญญา/ใบสั่งจ้างเลขที่……………..
ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement)
ข้อตกลงนี้ทำขึ้น ณ สำนักงานกองทุนเพื่อความเสมอภาคทางการศึกษา ตั้งอยู่เลขที่ 388 อาคาร เอส.พี. ชั้น 13 ถนนพหลโยธิน แขวงสามเสนใน เขตพญาไท กรุงเทพมหานคร เมื่อวันที่ ……………………… ระหว่าง
กองทุนเพื่อความเสมอภาคทางการศึกษา โดย ………………………………………………………. ตำแหน่ง ……………………………………………………………………………………………………………………………………………………… ซึ่งต่อไปในข้อตกลงนี้เรียกว่า “ผู้ว่าจ้าง” ฝ่ายหนึ่ง กับ
……………………………………………………………………………………………………………………………………………………….. โดย ……………………………………………………… ตำแหน่ง………………………………………….. ……………………………. ……………………………………………………………………………………………………………………………………………………………… ……………………………………………………………………………………………………………………………………………………… สำนักงานตั้งอยู่ เลขที่ ……….. หมู่บ้าน/อาคาร ……………………. หมู่ที่ …. ซอย ……………………….ถนน …………………… ตำบล/แขวง …………………………….. อำเภอ/เขต …………………………… จังหวัด ………………………. รหัสไปรษณีย์………………
โทรศัพท์ ……………………. Email: ………………………………. ซึ่งต่อไปในข้อตกลงนี้เรียกว่า “ผู้รับจ้าง” อีกฝ่ายหนึ่ง
โดยที่ผู้รับจ้างได้ทำสัญญา/ใบสั่งจ้างโครงการจ้างดำเนินการพัฒนาและปรับปรุงระบบบริหารงาน เทคโนโลยีสารสนเทศตามมาตรฐาน ISO 27001 2022 กับ กสศ. (ซึ่งต่อไปในข้อตกลงนี้เรียกว่า “สัญญาหลัก”) ซึ่งใน การดำเนินงานตามสัญญาหลักดังกล่าว ผู้รับจ้างมีหน้าที่ต้องดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล ส่วนบุคคลตามคำสั่งหรือในนามของผู้ว่าจ้าง ดังนั้น เพื่อควบคุมการดำเนินงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคลและ เพื่อป้องกันมิให้มีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยปราศจากอำนาจหรือโดยมิชอบ รวมถึงเพื่อเป็น การก่อตั้งสิทธิ หน้าที่ และความรับผิด ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ผู้ว่าจ้างในฐานะผู้ควบคุม ข้อมูลส่วนบุคคล และรับจ้างในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล จึงตกลงทำข้อตกลงการประมวลผลข้อมูล ส่วนบุคคล (Data Processing Agreement) นี้ขึ้น โดยมีรายละเอียด ดังนี้
ข้อ 1 คำจำกัดความ
ในข้อตกลงนี้
“ข้อมูลส่วนบุคคล” “ผู้ควบคุมข้อมูลส่วนบุคคล” และ “ผู้ประมวลผลข้อมูลส่วนบุคคล” ให้มีความหมายตามคำนิยามในกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
“กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล” หมายความว่า กฎหมาย กฎ ระเบียบ และข้อกำหนด ทางกฎหมายอื่นใดทั้งปวง ซึ่งรวมถึงแต่ไม่จำกัดเฉพาะพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายลำดับรอง แนวทางปฏิบัติที่เป็นทางการและการตีความที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล (ตามที่ได้มีการแก้ไขเพิ่มเติมหรือแทนที่)

• 2 -
  “ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า การดำเนินการหรือชุดการดำเนินการใดที่กระทำขึ้นต่อ ข้อมูลส่วนบุคคล ไม่ว่าจะโดยวิธีการอัตโนมัติ หรือไม่อัตโนมัติ เช่น การเก็บรวบรวม การบันทึก การจัดการ การจัดเก็บ การปรับเปลี่ยน การเปลี่ยนแปลง การทำซ้ำ การสำเนา การเรียกคืน การปรึกษา การใช้ การเปิดเผยด้วยการโอน การส่งต่อ การเผยแพร่ การทำให้เข้าถึงได้ หรือการทำให้มีอยู่โดยวิธีการอื่นใด การโอนไปยังต่างประเทศ การปรับแนว หรือการรวม การขัดขวาง การลบ หรือการทำลายซึ่งข้อมูลส่วนบุคคล
  “ข้อมูลส่วนบุคคลอ่อนไหว” หมายความว่า ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็น ทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคล ในทำนองเดียวกับที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนดตามมาตรา 26 แห่งพระราชบัญญัติ
  คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
  “เจ้าของข้อมูลส่วนบุคคล” หมายความว่า บุคคลธรรมดาที่สามารถระบุตัวตนได้จากข้อมูลส่วนบุคคล ไม่ว่าทางตรงหรือทางอ้อม และให้หมายรวมถึงผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์ ผู้อนุบาล ที่มีอำนาจกระทำการแทนคนไร้ความสามารถ หรือผู้พิทักษ์ที่มีอำนาจกระทำการแทนคนเสมือนไร้ความสามารถ รวมตลอดทั้งผู้ที่ถือว่าเป็นเจ้าของข้อมูลส่วนบุคคลภายใต้กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
  “ลูกจ้าง” หมายความว่า บุคลากร เจ้าหน้าที่ ลูกจ้าง ผู้รับจ้าง ตัวแทน คณะทำงาน หรือบุคคลอื่นใด ที่ได้ปฏิบัติงานให้แก่ผู้รับจ้างตามสัญญาหลัก หรือได้รับมอบหมายจากผู้รับจ้างให้ดำเนินการอื่นใดที่เกี่ยวเนื่องกับ สัญญาหลัก
  “การละเมิดข้อมูลส่วนบุคคล” หมายความว่า การละเมิดมาตรการรักษาความมั่นคงปลอดภัยที่ทำให้ เกิดการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ ไม่ว่า จะเกิดจากเจตนา ความจงใจ ความประมาทเลินเล่อ การกระทำโดยปราศจากอำนาจหรือโดยมิชอบ การกระทำความผิด เกี่ยวกับคอมพิวเตอร์ ภัยคุกคามทางไซเบอร์ ข้อผิดพลาดบกพร่องหรืออุบัติเหตุ หรือเหตุอื่นใด
  ข้อ 2 วัตถุประสงค์และขอบเขตในการประมวลผลข้อมูลส่วนบุคคล
  วัตถุประสงค์และขอบเขตในการประมวลผลข้อมูลส่วนบุคคลในการดำเนินงานตามสัญญาหลัก ให้เป็นไป ตามรายการข้อมูลส่วนบุคคลและวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลเอกสารแนบท้ายข้อตกลงนี้และ ให้ถือเป็นส่วนหนึ่งของข้อตกลงนี้
  ข้อ 3 หน้าที่และความรับผิดชอบของผู้รับจ้าง
  ในการประมวลผลข้อมูลส่วนบุคคลตามสัญญาหลัก ผู้รับจ้างมีหน้าที่ และความรับผิดชอบ ดังนี้ 3.1 การประมวลผลข้อมูลส่วนบุคคล
  3.1.1 ในการดำเนินงานตามสัญญาหลักผู้รับจ้างต้องประมวลผลข้อมูลส่วนบุคคลเท่าที่จำเป็น เพื่อให้บรรลุวัตถุประสงค์ของสัญญาหลักเท่านั้น และเป็นไปตามรายการข้อมูลส่วนบุคคลและวัตถุประสงค์ ในการประมวลผลข้อมูลส่วนบุคคลตามข้อ 2
• 3 -
  3.1.2 ก่อนการเก็บรวบรวมข้อมูลส่วนบุคคล ผู้รับจ้างต้องแจ้ง และ/หรือบอกกล่าวให้เจ้าของข้อมูล ส่วนบุคคลได้รับทราบเกี่ยวกับวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล นโยบายคุ้มครองข้อมูลส่วนบุคคล สิทธิของเจ้าของข้อมูลส่วนบุคคล และข้อมูลอื่นใดที่จำเป็น ให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
  ทั้งนี้ กรณีการจัดประชุม สัมมนา หรือกิจกรรมอื่นใด ผู้รับจ้างต้องแจ้ง และ/หรือ บอกกล่าวเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล ให้ผู้เข้าร่วมประชุม ผู้เข้าร่วมสัมมนา หรือผู้เข้าร่วมกิจกรรม ทราบโดยชัดแจ้ง และสอดคล้องตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด
  3.1.3 ผู้รับจ้างต้องจัดทำบันทึกรายการของกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing: RoPA/ROP) ทั้งหมดที่ผู้รับจ้างได้ดำเนินการภายใต้สัญญาหลัก ให้เป็นไปตามหลักเกณฑ์และวิธีการที่ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด และเก็บรักษาไว้เพื่อรองรับการตรวจสอบหรือ เพื่อดำเนินการอื่นใดตามกฎหมาย
  3.1.4 ผู้รับจ้างต้องดำเนินการให้ข้อมูลส่วนบุคคลที่ทำการประมวลผลข้อมูลส่วนบุคคล มีความถูกต้องเป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
  3.2 การประมวลผลข้อมูลส่วนบุคคลนอกเหนือจากข้อ 2
  3.2.1 กรณีการดำเนินงานเพื่อให้บรรลุวัตถุประสงค์ตามสัญญาหลัก ผู้รับจ้างมีความจำเป็น ต้องประมวลผลข้อมูลส่วนบุคคลอื่นใดนอกเหนือจากรายการข้อมูลส่วนบุคคลและวัตถุประสงค์ในการประมวลผล ข้อมูลส่วนบุคคลตามข้อ 2 ผู้รับจ้างต้องแจ้งเหตุผลและความจำเป็นของประมวลผลข้อมูลส่วนบุคคลนั้น ให้ผู้ว่าจ้างได้พิจารณาล่วงหน้าก่อนดำเนินการประมวลผลข้อมูลส่วนบุคคล และเมื่อผู้ว่าจ้างให้ความเห็นชอบ การประมวลผลข้อมูลส่วนบุคคลเพิ่มเติมดังกล่าวแล้ว ให้ทั้งสองฝ่ายร่วมกันจัดทำวัตถุประสงค์และรายการข้อมูล ส่วนบุคคลเพิ่มเติมเป็นหนังสือ และให้ใช้หนังสือวัตถุประสงค์และรายการข้อมูลส่วนบุคคลเพิ่มเติมดังกล่าว เป็นเอกสารแนบท้ายข้อตกลงนี้ และถือเป็นส่วนหนึ่งของข้อตกลงนี้
  3.2.2 กรณีผู้รับจ้างได้ทำการประมวลผลข้อมูลส่วนบุคคลอื่นใดนอกเหนือหรือเกินไป จากรายการข้อมูลส่วนบุคคลและวัตถุประสงค์ตามข้อ 2 หรือนอกเหนือหรือเกินไปจากที่ระบุไว้ในวัตถุประสงค์และ รายการข้อมูลส่วนบุคคลเพิ่มเติมตามข้อ 3.2.1 ให้ถือว่าการประมวลผลข้อมูลส่วนบุคคลนอกเหนือหรือเกินไปดังกล่าว ผู้รับจ้างได้ประมวลผลข้อมูลส่วนบุคคลในฐานะผู้ควบคุมข้อมูลส่วนบุคคลที่เป็นอิสระแยกจากผู้ว่าจ้าง
  3.3การเก็บรักษาและลบหรือทำลายข้อมูลส่วนบุคคล
  3.3.1 ผู้รับจ้างต้องเก็บรักษาข้อมูลส่วนบุคคลที่ทำการประมวลผลข้อมูลส่วนบุคคลไว้ ในระยะเวลาเท่าที่จำเป็นและสอดคล้องกับระยะเวลาตามสัญญาหลัก และผู้รับจ้างต้องทำการลบ หรือทำลายข้อมูล ส่วนบุคคลที่ทำการประมวลผลข้อมูลส่วนบุคคลตามข้อตกลงนี้ในทันทีเมื่อผู้รับจ้างได้ประมวลผลข้อมูลส่วนบุคคล เสร็จสิ้น หรือเมื่อสัญญาหลักสิ้นสุดลง หรือเมื่อข้อตกลงนี้สิ้นสุดลง เว้นแต่จะเป็นไปตามข้อ 3.3.2 หรือมีกฎหมาย บัญญัติไว้เป็นอย่างอื่น
  3.3.2 กรณีที่สัญญาหลักมีวัตถุประสงค์เป็นการจัดทำ หรือพัฒนา หรือดูแล ระบบสารสนเทศ เทคโนโลยีหรือข้อมูลอื่นใด ผู้รับจ้างจะทำการลบหรือทำลายข้อมูลส่วนบุคคลที่ทำการประมวลผลข้อมูลส่วนบุคคลได้ เมื่อมีการส่งมอบระบบสารสนเทศ เทคโนโลยีหรือข้อมูลให้ผู้ว่าจ้างครบถ้วนแล้ว และผู้ว่าจ้างได้แจ้งเป็นหนังสือให้ ผู้รับจ้างทำการลบหรือทำลายข้อมูลส่วนบุคคลดังกล่าว
• 4 -
  3.3.3 ในการลบหรือทำลายข้อมูลส่วนบุคคลตามข้อ 3.3.1 และข้อ 3.3.2 ผู้รับจ้างต้องดำเนินการลบ หรือทำลายข้อมูลส่วนบุคคลด้วยกระบวนการหรือวิธีการตามนโยบายการเก็บรักษาและการลบหรือทำลายข้อมูล ส่วนบุคคลของผู้ว่าจ้าง และสอดคล้องตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด
  3.3.4 กรณีที่ผู้รับจ้างละเลยหรือเพิกเฉยหรือไม่ทำการลบหรือทำลายข้อมูลส่วนบุคคล ที่ทำการประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามที่กำหนดไว้ในข้อตกลงนี้ไม่ว่าด้วยเหตุใด ๆ ถือว่าผู้รับจ้างกระทำผิด ข้อตกลงนี้และกระทำผิดสัญญาหลัก
  3.3.5 กรณีผู้รับจ้างได้ดำเนินการประมวลผลข้อมูลส่วนบุคคลภายหลังพ้นกำหนดเวลา ตามข้อ 3.3.1 และข้อ 3.3.2 ให้ถือว่าผู้รับจ้างได้ประมวลผลข้อมูลส่วนบุคคลในฐานะผู้ควบคุมข้อมูล ส่วนบุคคลที่เป็นอิสระแยกจากผู้ว่าจ้าง
  3.4 มาตรการรักษาความมั่นคงปลอดภัย และการรักษาความลับของข้อมูลส่วนบุคคล
  3.4.1 ผู้รับจ้างต้องจัดให้มีและใช้มาตรการรักษาความมั่นคงปลอดภัย ที่เหมาะสม เพื่อรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล รักษาความลับของข้อมูลส่วนบุคคล และป้องกันการละเมิดข้อมูล ส่วนบุคคล จากอุบัติเหตุ การทำลาย การสูญหาย การเปลี่ยนแปลงหรือการประมวลผลข้อมูลส่วนบุคคล โดยไม่ได้รับอนุญาตหรือไม่ชอบด้วยกฎหมาย หรือจากความเสี่ยงอื่นใดต่อข้อมูลส่วนบุคคล ทั้งในเชิงเทคนิคและ เชิงบริหารจัดการ ซึ่งอย่างน้อยต้องสอดคล้องกับมาตรฐานที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือ กฎหมายอื่นใดที่เกี่ยวข้องกับมาตรการรักษาความมั่นคงปลอดภัยหรือการรักษาความลับกำหนด
  3.4.2 ผู้รับจ้างต้องเก็บรักษาข้อมูลส่วนบุคคลที่ทำการประมวลผลข้อมูลส่วนบุคคลตามข้อตกลงนี้ และตามสัญญาหลักไว้เป็นความลับ
  3.4.3 ผู้รับจ้างต้องจำกัดบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคลหรือประมวลผลข้อมูล ส่วนบุคคล เฉพาะลูกจ้างเท่านั้น รวมถึงต้องควบคุม ดูแล ลูกจ้างให้เก็บรักษาข้อมูลส่วนบุคคลที่ทำการประมวลผล ข้อมูลส่วนบุคคลไว้เป็นความลับ ไม่ทำซ้ำ ไม่คัดลอก ไม่ทำสำเนา หรือไม่บันทึกภาพข้อมูลส่วนบุคคลไม่ว่าทั้งหมดหรือ แค่บางส่วนเป็นอันขาด เว้นแต่มีความจำเป็นเพื่อการปฏิบัติหน้าที่ตามสัญญาหลัก หรือเพื่อการประมวลผลข้อมูล ส่วนบุคคลตามข้อ 2 โดยอาศัยหลักความจำเป็นในการรู้ข้อมูล (need-to-know basis) หรือเพื่อปฏิบัติตามกฎหมายที่ ใช้บังคับ
  3.5การปฏิบัติตามสิทธิของเจ้าของข้อมูลส่วนบุคคล
  3.5.1 กรณีที่ผู้ว่าจ้างถูกร้องขอให้ปฏิบัติตามคำขอจากเจ้าของข้อมูลส่วนบุคคล หรือการตรวจสอบ หรือคำสั่งของหน่วยงานที่มีอำนาจให้เปิดเผย นำส่ง หรือจัดส่งข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ผู้รับจ้างต้องให้การสนับสนุนผู้ว่าจ้างและดำเนินการตามที่ได้รับแจ้งจากผู้ว่าจ้างในการปฏิบัติตามคำร้องขอหรือคำสั่ง ดังกล่าวเพื่อให้เป็นไปตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล
  3.5.2 กรณีที่เจ้าของข้อมูลส่วนบุคคลยื่นคำร้องขอใช้สิทธิตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคลต่อผู้รับจ้างโดยตรง ผู้รับจ้างต้องไม่ดำเนินการตามคำขอดังกล่าวโดยพลการ แต่ต้องแจ้งและส่งคำขอดังกล่าวให้แก่ผู้ว่าจ้างทราบเป็นลายลักษณ์อักษรผ่านทางอีเมล [email protected] โดยทันที
• 5 -
  เท่าที่จะสามารถกระทำได้และผู้รับจ้างจะต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงการจัดการตามคำขอหรือ ข้อร้องเรียนของเจ้าของข้อมูลส่วนบุคคลนั้นด้วย
  3.5.3 ผู้รับจ้างต้องให้ความร่วมมือ อำนวยความสะดวก สนับสนุน และช่วยเหลือผู้ว่าจ้าง ให้ปฏิบัติหน้าที่ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลให้เป็นไปตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด
  ข้อ 4การจ้างช่วง
  4.1 ผู้รับจ้างต้องไม่จ้างช่วงบุคคลอื่นใด ให้ดำเนินการเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล ตามข้อตกลงนี้เว้นแต่ได้รับอนุญาตเป็นหนังสือจากผู้ว่าจ้าง
  4.2 การจ้างบุคคลหรือนิติบุคคลอื่นใดให้ดำเนินการเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล ผู้รับจ้างต้องจัดให้มีข้อตกลงที่กำหนดให้ผู้รับจ้างช่วงมีหน้าที่ในการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายว่าด้วย การคุ้มครองข้อมูลส่วนบุคคลเช่นเดียวกับหน้าที่ของผู้รับจ้างตามข้อตกลงนี้ นอกจากนี้ผู้รับจ้างช่วงต้องรับประกันว่า จะใช้มาตรการคุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด และมาตรการ ดังกล่าวต้องให้ความคุ้มครองในระดับเดียวกับมาตรการที่ระบุตามข้อตกลงนี้
  4.3 ผู้รับจ้างต้องรับผิดชอบในบรรดาความเสียหายทั้งปวงจากการกระทำ การงดเว้น การละเมิด หรือ ปฏิบัติผิดข้อตกลงนี้ของผู้รับจ้างช่วง เสมือนเป็นการกระทำของผู้รับจ้างเอง
  ข้อ 5การละเมิดข้อมูลส่วนบุคคล
  5.1 การดำเนินการกรณีมีเหตุการละเมิดข้อมูลส่วนบุคคล
  กรณีมีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลจริง ผู้รับจ้างมีหน้าที่และความรับผิดชอบ ดังต่อไปนี้
  5.1.1 ผู้รับจ้างต้องดำเนินการจัดทำข้อมูลเกี่ยวเหตุการละเมิดข้อมูลส่วนบุคคล โดยอย่างน้อย ต้องระบุสาระสำคัญดังต่อไปนี้ เท่าที่จะสามารถกระทำได้
  (1) ข้อมูลโดยสังเขปเท่าที่จะสามารถระบุได้เกี่ยวกับลักษณะและประเภทของการละเมิดข้อมูล ส่วนบุคคล โดยอาจบรรยายถึงลักษณะและจำนวนเจ้าของข้อมูลส่วนบุคคลหรือลักษณะและจำนวนรายการ (records) ของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการละเมิด
  (2) ชื่อ สถานที่ติดต่อ และวิธีการติดต่อของบุคคลที่ผู้รับจ้างมอบหมายให้ทำหน้าที่ประสานงาน และให้ข้อมูลเพิ่มเติม
  (3) ข้อมูลเกี่ยวกับผลกระทบที่อาจเกิดขึ้นจากเหตุการละเมิดข้อมูลส่วนบุคคล
  (4) ข้อมูลเกี่ยวกับมาตรการที่ผู้ประมวลผลข้อมูลส่วนบุคคลใช้หรือจะใช้เพื่อป้องกัน ระงับ หรือ แก้ไขเหตุการละเมิดข้อมูลส่วนบุคคล หรือเยียวยาความเสียหาย โดยอาจใช้มาตรการทางบุคลากร กระบวนการ หรือ เทคโนโลยี หรือมาตรการอื่นใดที่จำเป็นและเหมาะสม
• 6 -
  5.1.2 ผู้รับจ้างต้องแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล และข้อมูลเกี่ยวเหตุการละเมิดข้อมูล ส่วนบุคคลตามข้อ 5.1.1 เป็นลายลักษณ์อักษรแก่ผู้ว่าจ้างภายในเจ็ดสิบสองชั่วโมงนับตั้งแต่ทราบเหตุว่า มีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลจริง ผ่านทางอีเมล [email protected]
  5.1.3 ผู้รับจ้างต้องให้ความร่วมมือและสนับสนุน ข้อมูล ข้อเท็จจริง เอกสารหลักฐาน รวมถึง การดำเนินการอื่นใดตามที่ได้รับแจ้งจากผู้ว่าจ้าง เพื่อให้ผู้ว่าจ้างสามารถแจ้งเหตุการละเมิดข้อมูลส่วนบุคคลแก่ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ทันภายในเวลาตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูล ส่วนบุคคลกำหนด และเพื่อตรวจสอบ ป้องกัน ระงับ หรือแก้ไขเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าว
  5.1.4 ผู้รับจ้างต้องดำเนินการตามมาตรการที่จำเป็นและเหมาะสมเพื่อระงับ ตอบสนอง แก้ไข หรือ ฟื้นฟูสภาพ จากเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าว รวมทั้งป้องกันและลดผลกระทบจากการเกิดเหตุการละเมิด ข้อมูลส่วนบุคคลในลักษณะเดียวกันในอนาคต ซึ่งรวมถึงการทบทวนมาตรการรักษาความมั่นคงปลอดภัยเพื่อให้มี ประสิทธิภาพในการรักษาความมั่นคงปลอดภัยที่เหมาะสม โดยคำนึงถึงระดับความเสี่ยงตามปัจจัยทางเทคโนโลยี บริบท สภาพแวดล้อม มาตรฐานที่เป็นที่ยอมรับสำหรับหน่วยงานหรือกิจการในประเภทหรือลักษณะเดียวกันหรือใกล้เคียงกัน ลักษณะและวัตถุประสงค์ของการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ทรัพยากรที่ต้องใช้ และความเป็นไปได้ ในการดำเนินการประกอบกัน
  5.1.5ผู้รับจ้างต้องให้ความร่วมมือ อำนวยความสะดวก ให้การสนับสนุน และช่วยเหลือบุคลากรของ ผู้ว่าจ้างหรือผู้ที่ผู้ว่าจ้างมอบหมาย ในการแสวงหาข้อเท็จจริง ติดตาม ตรวจสอบ และการดำเนินการอื่นใดที่เกี่ยวเนื่อง กับเหตุการละเมิดข้อมูลส่วนบุคคล
  5.1.6 ผู้รับจ้างต้องดำเนินการปรับปรุงกระบวนการทำงาน ระบบเทคโนโลยี ระบบสารสนเทศ มาตรการรักษาความมั่นคงปลอดภัย และการรักษาความลับของข้อมูลส่วนบุคคล และการดำเนินการอื่นใด เพื่อเพิ่มประสิทธิภาพในการป้องกันมิให้เกิดเหตุการละเมิดข้อมูลส่วนบุคคลขึ้นอีก
  5.2 กรณีผู้รับจ้างพบเหตุการละเมิดข้อมูลส่วนบุคคล
  5.2.1 เมื่อผู้รับจ้างได้รับแจ้งข้อมูลในเบื้องต้นจากผู้ใด ไม่ว่าโดยทางวาจาเป็นหนังสือ หรือวิธีการอื่น ทางอิเล็กทรอนิกส์ หรือผู้รับจ้างทราบเอง ว่ามีหรือน่าจะมีเหตุการละเมิดข้อมูลส่วนบุคคล ที่ผู้รับจ้างทำ การประมวลผลข้อมูลส่วนบุคคลตามข้อตกลงนี้และสัญญาหลัก ผู้รับจ้างต้องดำเนินการประเมินความน่าเชื่อถือของ ข้อมูลดังกล่าว และตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลในเบื้องต้น และตรวจสอบมาตรการ รักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ตามหลักเกณฑ์ที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กำหนด โดยไม่ชักช้าเท่าที่จะสามารถกระทำได้
  5.2.2 กรณีมีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูลส่วนบุคคลจริง ให้ผู้รับจ้างดำเนินการตามข้อ 5.1 5.3 กรณีผู้ว่าจ้างพบเหตุการละเมิดข้อมูลส่วนบุคคล
  5.3.1 กรณีผู้ว่าจ้างได้รับแจ้งข้อมูลในเบื้องต้นจากผู้ใด ไม่ว่าโดยทางวาจาเป็นหนังสือ หรือวิธีการ อื่นทางอิเล็กทรอนิกส์ หรือผู้ว่าจ้างทราบเอง ว่ามีหรือน่าจะมีเหตุการละเมิดข้อมูลส่วนบุคคลที่ผู้รับจ้างทำ การประมวลผลข้อมูลส่วนบุคคลตามข้อตกลงนี้และสัญญาหลักผู้ว่าจ้างอาจแจ้งให้ผู้รับจ้างดำเนินการประเมิน
• 7 -
  ความน่าเชื่อถือของข้อมูลดังกล่าวและตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลในเบื้องต้น และ ตรวจสอบมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลให้แล้วเสร็จภายในเวลาที่ผู้ว่าจ้างกำหนด 5.3.2 เมื่อผู้รับจ้างได้รับแจ้งจากผู้ว่าจ้างตามข้อ 5.3.1 ผู้รับจ้างต้องดำเนินการประเมิน ความน่าเชื่อถือของข้อมูลดังกล่าว และตรวจสอบข้อเท็จจริงเกี่ยวกับการละเมิดข้อมูลส่วนบุคคลในเบื้องต้นและ ตรวจสอบมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ตามหลักเกณฑ์ที่กฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคลกำหนด ให้แล้วเสร็จและแจ้งผลการตรวจสอบให้ผู้ว่าจ้างภายในระยะเวลาที่ผู้ว่าจ้างกำหนด 5.3.3 กรณีผลการตรวจสอบข้อเท็จจริงตามข้อ 5.3.2 มีเหตุอันควรเชื่อว่ามีการละเมิดข้อมูล ส่วนบุคคลจริง ผู้รับจ้างดำเนินการตามข้อ 5.1
  5.4 การใช้สิทธิตามกฎหมาย
  5.4.1 กรณีเหตุการละเมิดข้อมูลส่วนบุคคลเกิดจากการกระทำการ หรือละเว้นกระทำการ หรือประมาท เลินเล่อของลูกจ้าง หรือผู้รับจ้างช่วง ผู้รับจ้างต้องดำเนินการกับบุคคลดังกล่าวให้เป็นไปตามกฎหมาย 5.4.2 การที่ผู้รับจ้างได้ดำเนินการตามข้อ 5.1 ข้อ 5.2ข้อ 5.3. และข้อ 5.4.1 ไม่เป็นการตัดสิทธิของ ผู้รับจ้างในการดำเนินการเกี่ยวกับเหตุการละเมิดข้อมูลส่วนบุคคลดังกล่าวตามกฎหมาย
  ข้อ 6กรณีผิดสัญญาและการชดใช้ความเสียหาย
  6.1 กรณีที่ผู้รับจ้าง ลูกจ้าง ได้ดำเนินการใด ๆ เกี่ยวกับข้อมูลส่วนบุคคลอันเป็นการฝ่าฝืนหรือไม่ปฏิบัติ ตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลหรือข้อตกลงนี้ หรือเกิดการละเมิดข้อมูลส่วนบุคคลทำให้เกิด ความเสียหายต่อเจ้าของข้อมูลส่วนบุคคล ไม่ว่าการดำเนินการนั้นจะเกิดจากการกระทำโดยจงใจหรือประมาทเลินเล่อ หรือไม่ก็ตาม ผู้รับจ้างต้องชดใช้ค่าสินไหมทดแทนให้แก่เจ้าของข้อมูลส่วนบุคคลจนสิ้นเชิง เว้นแต่ผู้รับจ้างจะพิสูจน์ได้ว่า
  6.1.1 ความเสียหายนั้นเกิดจากเหตุสุดวิสัย หรือเกิดจากความผิดของเจ้าของข้อมูลส่วนบุคคลนั้นเอง 6.1.2 เป็นการปฏิบัติตามคำสั่งของเจ้าหน้าที่ซึ่งปฏิบัติการตามหน้าที่และอำนาจตามกฎหมาย 6.2 กรณีผู้รับจ้าง ลูกจ้าง ไม่ปฏิบัติตามข้อตกลงนี้ ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายว่าด้วยการคุ้มครอง ข้อมูลส่วนบุคคล หรือกระทำการ หรือละเว้นกระทำการ หรือประมาทเลินเล่อ เป็นเหตุให้ผู้ว่าจ้างได้รับความเสียหาย ผู้รับจ้างต้องชดใช้ค่าสินไหมทดแทน ค่าปรับ และค่าเสียหายทั้งปวงให้แก่ผู้ว่าจ้าง
  6.3กรณีที่ผู้ว่าจ้างได้ชดใช้ค่าเสียหาย ค่าปรับ ค่าใช้จ่าย หรือค่าสินไหมทดแทนดังกล่าวให้แก่เจ้าของ ข้อมูลส่วนบุคคล หรือบุคคลอื่นไปตามความจำเป็นและสมควรเพื่อป้องกันความเสียหายที่กำลังจะเกิดขึ้น หรือระงับ ความเสียหายที่เกิดขึ้นแล้วแทนผู้รับจ้าง ผู้รับจ้างตกลงชดใช้คืนทั้งหมดให้แก่ผู้ว่าจ้างทันที
  6.4 กรณีที่ผู้ว่าจ้างถูกเรียกร้องหรือถูกฟ้องร้องหรือต้องชดใช้ค่าเสียหายให้แก่เจ้าของข้อมูลส่วนบุคคล หรือบุคคลอื่น ผู้รับจ้างต้องรับผิดชอบค่าใช้จ่ายในการดำเนินการเพื่อให้มีการว่าต่างหรือแก้ต่างให้แก่ผู้ว่าจ้างรวมทั้ง ชดใช้ค่าสินไหมทดแทน ค่าเสียหายและค่าใช้จ่ายทั้งปวงอันเกิดจากการดังกล่าวแทนผู้ว่าจ้างตามที่ได้รับแจ้งจากผู้ว่าจ้าง
  6.5 การที่ผู้รับจ้างได้ชดใช้ค่าสินไหมทดแทน ค่าเสียหาย หรือค่าใช้จ่ายดังกล่าว ไม่เป็นการตัดสิทธิของ ผู้ว่าจ้างในการดำเนินการตามกฎหมาย
• 8 -
  ข้อ 7การมีผลใช้บังคับและหน้าที่ภายหลังสิ้นสุดของข้อตกลง
  7.1 ข้อตกลงนี้มีผลสมบูรณ์เมื่อทั้งสองฝ่ายได้ลงลายมือชื่ออิเล็กทรอนิกส์ โดยให้ถือวันที่ฝ่าย กสศ. ลงลายมือชื่อเป็นวันที่ทำข้อตกลง และให้ข้อตกลงนี้มีผลใช้บังคับนับถัดจากวันที่ทำข้อตกลง ถึงวันที่สัญญาหลักสิ้นสุดลง ไม่ว่าด้วยเหตุใด ๆ
  7.2 ผู้รับจ้างต้องหยุดทำการประมวลผลข้อมูลส่วนบุคคลในทันทีที่สัญญาหลักและข้อตกลงนี้สิ้นสุดลง หรือครบกำหนด ทั้งนี้ การสิ้นสุดของข้อตกลงนี้ ไม่กระทบต่อหน้าที่ของผู้รับจ้างในการเก็บรักษาและลบหรือทำลาย ข้อมูลส่วนบุคคลตามข้อ 3.3 มาตรการรักษาความมั่นคงปลอดภัย และการรักษาความลับของข้อมูลส่วนบุคคลตาม ข้อ 3.4 ความรับผิดชอบในบรรดาความเสียหายของผู้รับจ้างช่วงตามข้อ 4.3 และหน้าที่ของผู้รับจ้างกรณีผิดสัญญาและ การชดใช้ความเสียหายตามข้อ 6
  ข้อ 8การแก้ไขเพิ่มเติมข้อตกลง
  8.1 ข้อตกลงนี้อาจแก้ไขเพิ่มเติมได้ด้วยการตกลงเป็นหนังสือ และทั้งสองฝ่ายลงนามร่วมกัน และให้หนังสือดังกล่าวเป็นส่วนหนึ่งของข้อตกลงนี้
  8.2 กรณีที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลมีการแก้ไขเพิ่มเติมและมีผลกระทบต่อเงื่อนไข ในข้อตกลงนี้ ทั้งสองฝ่ายตกลงและยินยอมปฏิบัติตามกฎหมายที่เปลี่ยนแปลง โดยไม่จำเป็นต้องแก้ไขเพิ่มเติมข้อความ ในข้อตกลงนี้แต่อย่างใด และให้ข้อความใด ๆ ในข้อตกลงที่ขัดหรือแย้งกับกฎหมายดังกล่าวเป็นอันสิ้นผล และถือว่า ถูกแก้ไขเปลี่ยนแปลงให้เป็นไปตามกฎหมายทันที
  ข้อ 9 การทำสัญญาผ่านสื่ออิเล็กทรอนิกส์
  9.1 กรณีการทำสัญญาผ่านสื่ออิเล็กทรอนิกส์ที่ผู้ว่าจ้างกำหนด ผู้รับจ้างต้องดำเนินการ ผ่านสื่ออิเล็กทรอนิกส์ดังกล่าวด้วยตนเอง และเก็บรักษารหัสผ่านไว้เป็นความลับ หากผู้รับจ้างยินยอม หรือประมาทเลินเล่อให้บุคคลอื่นดำเนินการทำข้อตกลงนี้ผ่านสื่ออิเล็กทรอนิกส์ดังกล่าว ให้ถือว่าเป็นการทำข้อตกลงนี้ ด้วยตนเองของผู้รับจ้าง
  9.2 ผู้รับจ้างตกลงยอมรับและรับรองว่าการดำเนินการใด ๆ ที่ได้กระทำผ่านสื่ออิเล็กทรอนิกส์โดยใช้รหัสมี ความครบถ้วนและถูกต้อง มีผลผูกพันผู้รับจ้างทุกประการ และถือว่าผู้รับจ้างได้ลงลายมือชื่ออิเล็กทรอนิกส์ไว้เป็น หลักฐาน โดยถูกต้องเรียบร้อยแล้ว และผู้รับจ้างตกลงให้ผู้ว่าจ้างใช้ข้อตกลงนี้ ซึ่งจัดเก็บไว้ในรูปแบบอิเล็กทรอนิกส์ หรือในรูปแบบอื่นใด เป็นหลักฐานในการดำเนินทางกฎหมายทุกประการ
  9.3 ในกรณีที่ข้อมูลทางอิเล็กทรอนิกส์ และ/หรือความในข้อตกลงขัดแย้งกัน ผู้รับจ้างตกลงยินยอมปฏิบัติตามคำ วินิจฉัยของผู้จัดการ กสศ. และคำวินิจฉัยของผู้จัดการ กสศ. ให้ถือเป็นที่สุด
• 9 -
  ข้อ 10 เอกสารอันเป็นส่วนหนึ่งของสัญญาหลัก
  ข้อตกลงนี้เป็นส่วนหนึ่งของสัญญาหลัก โดยให้เงื่อนไขและข้อกำหนดในสัญญาหลักยังคงมีผลใช้บังคับ ต่อไปทุกประการ เว้นแต่ข้อตกลงนี้จะกำหนดไว้เป็นอย่างอื่น ในกรณีที่เงื่อนไขและ/หรือข้อความในข้อตกลงนี้ขัดหรือ แย้งกับสัญญาหลัก ให้ใช้บังคับตามสัญญาหลัก
  คู่สัญญาทั้งสองฝ่ายได้อ่านและเข้าใจข้อความในข้อตกลงนี้โดยตลอดแล้วเห็นว่าถูกต้องตรงตาม ความประสงค์ จึงได้ลงลายมือชื่อไว้เป็นหลักฐาน
  ลงชื่อ ……..….…………….…………………………… ผู้ว่าจ้าง ลงชื่อ ………..……..…….………………………….. ผู้รับจ้าง (……………………………………) (……………………………………….)
  สัญญา/ใบสั่งจ้างเลขที่……………..
  เอกสารแนบท้าย
  ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement)
  วัตถุประสงค์และขอบเขตในการประมวลผลข้อมูลส่วนบุคคลในการดำเนินงานโครงการจ้างดำเนินการ พัฒนาและปรับปรุงระบบบริหารงานเทคโนโลยีสารสนเทศตามมาตรฐาน ISO 27001 2022 ตามสัญญาหลัก ผู้รับจ้าง ต้องประมวลผลข้อมูลส่วนบุคคลเพียงเท่าที่จำเป็นเพื่อให้บรรลุวัตถุประสงค์ของสัญญาหลัก และเป็นไปตามรายการ ข้อมูลส่วนบุคคลและวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล ดังต่อไปนี้
  กิจกรรมการประมวลผลข้อมูลส่วนบุคคล
  รายการข้อมูลส่วนบุคคล
  วัตถุประสงค์ในการประมวลผล ข้อมูลส่วนบุคคล
  รายการประมวลผลข้อมูลส่วนบุคคลจะ เป็นไปตามเอกสารเข้าร่วมโครงการ ทั้งนี้กสศ. จะแจ้งในวันที่ทำสัญญาอีกครั้ง
  รายการประมวลผลข้อมูลส่วนบุคคลจะ เป็นไปตามเอกสารเข้าร่วมโครงการ ทั้งนี้กสศ. จะแจ้งในวันที่ทำสัญญาอีกครั้ง
  รายการประมวลผลข้อมูลส่วนบุคคล จะเป็นไปตามเอกสารเข้าร่วมโครงการ ทั้งนี้กสศ. จะแจ้งในวันที่ทำสัญญาอีก ครั้ง