นโยบายความเป็นส่วนตัว และ คุ้มครองข้อมูลส่วนบุคคล (Privacy Policy)

1. คำนิยาม

“ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

“ข้อมูลส่วนบุคคลอ่อนไหว” หมายความว่า ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ ตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

“ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล

“เจ้าของข้อมูล” หมายความว่า ลูกค้า พนักงาน คู่ค้า ซึ่งเป็นบุคคลธรรมดา “บุคคล” หมายความว่า บุคคลธรรมดา

2. วัตถุประสงค์ในการจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคล

บริษัทจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลเพื่อคุ้มครองข้อมูลของลูกค้า พนักงาน รวมตลอดถึงคู่ค้าของบริษัท ในการทำธุรกรรมต่าง ๆ กับบริษัท ให้มีความปลอดภัย น่าเชื่อถือ และเพื่อให้เจ้าของข้อมูลได้รับการคุ้มครองอย่างมีประสิทธิภาพ ได้รับการป้องกันการนำข้อมูลส่วนบุคคลไปใช้โดยไม่ได้รับอนุญาต อีกทั้งเพื่อให้มีการเยียวยาเจ้าของข้อมูลส่วนบุคคลตามกฎหมายที่เกี่ยวข้อง

2/1. ประเภทข้อมูลส่วนบุคคลที่เก็บรวบรวม

บริษัทอาจเก็บรวบรวมข้อมูลส่วนบุคคลของท่านเท่าที่จำเป็นแก่การให้บริการ โดยมีประเภทข้อมูลดังต่อไปนี้

• ข้อมูลส่วนตัว เช่น ชื่อ-นามสกุล เพศ วันเดือนปีเกิด เลขประจำตัวประชาชน และข้อมูลบนเอกสารแสดงตน
• ข้อมูลการติดต่อ เช่น ที่อยู่ หมายเลขโทรศัพท์ อีเมล บัญชีไลน์ (LINE) และช่องทางสื่อสังคมออนไลน์
• ข้อมูลทางการเงิน เช่น เลขที่บัญชีธนาคาร ข้อมูลบัตร/ช่องทางการชำระเงิน และข้อมูลธุรกรรม
• ข้อมูลการใช้บริการและข้อมูลทางเทคนิค เช่น หมายเลขไอพี (IP Address) คุกกี้ (Cookies) ประวัติการใช้งาน (Log) ประเภทอุปกรณ์และเบราว์เซอร์
• ข้อมูลส่วนบุคคลอ่อนไหว บริษัทจะเก็บรวบรวมเฉพาะเท่าที่จำเป็นและโดยได้รับความยินยอมโดยชัดแจ้ง หรืออาศัยฐานทางกฎหมายตามมาตรา 26 เท่านั้น

3. การเก็บข้อมูลส่วนบุคคลอย่างจำกัด และฐานทางกฎหมายในการประมวลผล

การจัดเก็บรวบรวมข้อมูลส่วนบุคคลจะกระทำโดยมีวัตถุประสงค์ ขอบเขต และใช้วิธีการที่ชอบด้วยกฎหมายและเป็นธรรม โดยเก็บรวบรวมและจัดเก็บข้อมูลส่วนบุคคลอย่างจำกัดเพียงเท่าที่จำเป็นแก่การให้บริการ ภายใต้วัตถุประสงค์ของบริษัทเท่านั้น ทั้งนี้ บริษัทจะประมวลผลข้อมูลส่วนบุคคลภายใต้ฐานทางกฎหมายที่เหมาะสม โดยจะขอความยินยอมจากท่านเฉพาะในกรณีที่กฎหมายกำหนดให้ต้องได้รับความยินยอมเท่านั้น ในกรณีที่ขอความยินยอม บริษัทจะดำเนินการให้ท่านรับรู้และให้ความยินยอมทางอิเล็กทรอนิกส์ตามแบบวิธีการของบริษัท โดยมีรายละเอียดของฐานทางกฎหมายและข้อยกเว้น ดังนี้

(ก) ฐานทางกฎหมายสำหรับข้อมูลส่วนบุคคลทั่วไป (ตามมาตรา 24) บริษัทอาจเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลทั่วไปโดยอาศัยฐานความยินยอม หรือโดยไม่ต้องขอความยินยอมเมื่อเข้าข้อยกเว้นกรณีใดกรณีหนึ่งตามมาตรา 24 ดังนี้

• 3.1 เป็นการปฏิบัติตามกฎหมาย เช่น พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พระราชบัญญัติการประกอบกิจการโทรคมนาคม พระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน ประมวลกฎหมายแพ่งและพาณิชย์และอาญา เป็นต้น
• 3.2 เป็นไปเพื่อประโยชน์แก่การสอบสวนของพนักงานสอบสวน หรือการพิจารณาพิพากษาคดีของศาล
• 3.3 เพื่อประโยชน์ของท่าน และการขอความยินยอมไม่อาจกระทำได้ในเวลานั้น
• 3.4 เป็นการจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของบริษัท หรือของบุคคลหรือนิติบุคคลอื่นที่ไม่ใช่บริษัท
• 3.5 เป็นการจำเป็นเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
• 3.6 เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งเจ้าของข้อมูลส่วนบุคคลเป็นคู่สัญญา หรือเพื่อใช้ในการดำเนินการตามคำขอก่อนเข้าทำสัญญานั้น
• 3.7 เพื่อให้บรรลุวัตถุประสงค์เกี่ยวกับการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุ เพื่อประโยชน์สาธารณะ การศึกษา วิจัย หรือการจัดทำสถิติ

(ข) ฐานทางกฎหมายสำหรับข้อมูลส่วนบุคคลอ่อนไหว (ตามมาตรา 26) 3.8 สำหรับข้อมูลส่วนบุคคลอ่อนไหว เช่น ข้อมูลสุขภาพ ประวัติอาชญากรรม ข้อมูลความพิการ หรือข้อมูลชีวภาพ บริษัทจะประมวลผลโดยอาศัยฐานความยินยอมโดยชัดแจ้ง (Explicit Consent) เป็นหลัก เว้นแต่เป็นกรณีที่กฎหมายอนุญาตให้ดำเนินการได้โดยไม่ต้องขอความยินยอมตามมาตรา 26 เช่น เพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมายหรือการต่อสู้สิทธิเรียกร้องตามกฎหมาย เพื่อปฏิบัติตามกฎหมายด้านการคุ้มครองแรงงานหรือการประกันสังคม หรือเพื่อประโยชน์ด้านสาธารณสุข ทั้งนี้ บริษัทจะไม่นำข้อยกเว้นของข้อมูลส่วนบุคคลทั่วไป (มาตรา 24) มาใช้กับการประมวลผลข้อมูลส่วนบุคคลอ่อนไหว

(ค) ข้อกำหนดเพิ่มเติมเกี่ยวกับการประมวลผล ข้อกำหนดเพิ่มเติมเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล มีดังนี้

• 3.9 ข้อมูลพฤติกรรมการใช้งานจะถูกนำไปวิเคราะห์ความสามารถของแพลตฟอร์ม รวมถึงวางแผนการพัฒนาแพลตฟอร์มในอนาคต โดยเป็นข้อมูลการใช้งานและไม่เกี่ยวข้องกับข้อมูลส่วนบุคคลใด ๆ
• 3.10 ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล บริษัทจะอ้างอิงฐานทางกฎหมาย (Lawful Basis) ที่เหมาะสมตามมาตรา 24 และมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้แก่ ฐานความยินยอม ฐานสัญญา ฐานประโยชน์โดยชอบด้วยกฎหมาย ฐานการปฏิบัติตามกฎหมาย ฐานประโยชน์สำคัญต่อชีวิต และฐานภารกิจสาธารณะ แล้วแต่กรณี
• 3.11 บริษัทอาจใช้คุกกี้ (Cookies) และเทคโนโลยีที่คล้ายคลึงกันบนเว็บไซต์และแอปพลิเคชัน เพื่อพัฒนาประสบการณ์การใช้งานและวิเคราะห์การใช้บริการ โดยท่านสามารถจัดการการตั้งค่าคุกกี้ได้ผ่านการตั้งค่าของเบราว์เซอร์หรือเครื่องมือที่บริษัทจัดให้

4. วัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคล

บริษัทจะดำเนินการจัดเก็บรวบรวม ใช้ ปรับปรุง และเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ ขอบเขต และวิธีการที่กฎหมายกำหนด โดยจัดเก็บเพียงเท่าที่จำเป็นแก่การให้บริการเพื่อประโยชน์ของเจ้าของข้อมูลเป็นหลัก เพื่อวัตถุประสงค์ ดังนี้

• 4.1 เพื่อใช้ในการประมวลผล บริหารจัดการ พิจารณา ให้บริการและการดำเนินงานต่าง ๆ ซึ่งเกี่ยวกับธุรกิจของบริษัทที่มีอยู่ในปัจจุบันและอาจมีขึ้นในอนาคต รวมถึงการจัดทำบัญชี งบการเงิน และข้อมูลทางบัญชีของบริษัท
• 4.2 เพื่อนำส่งข้อมูลส่วนบุคคลไปยังหน่วยงานที่เกี่ยวข้องเพื่อประโยชน์ในการพิจารณาที่เกี่ยวข้องกับการให้บริการแก่ผู้ให้ข้อมูล
• 4.3 เพื่อใช้ในการติดตามและเรียกเก็บค่าบริการตามสัญญา และหนี้สินอื่นใด (ถ้ามี) จากเจ้าของข้อมูล ซึ่งบริษัทมีสิทธิตามกฎหมาย
• 4.4 เพื่อใช้ในการแก้ไข ยกเลิก และ/หรือต่ออายุสัญญาบริการ สัญญาจ้าง และสัญญาอื่นใดระหว่างเจ้าของข้อมูลกับบริษัท
• 4.5 เพื่อใช้เป็นข้อมูลในการวิเคราะห์ เสนอ ให้ใช้ เพื่อการวิจัยการตลาดและ/หรือการจัดกิจกรรมส่งเสริมการขาย และ/หรือเพื่อปรับปรุงการให้บริการ การดำเนินการ หรือผลิตภัณฑ์ของบริษัท
• 4.6 เพื่อปฏิบัติตามระเบียบ ประกาศ ข้อบังคับ รวมตลอดถึงข้อกำหนดอื่นใดซึ่งบริษัทมีหน้าที่ผูกพันในการปฏิบัติตามกฎหมาย
• 4.7 เพื่อการนำเสนอข้อมูล ติดตาม ประสานงาน และการให้บริการหลังการขาย รวมตลอดถึงการจัดทำบริการทางอิเล็กทรอนิกส์
• 4.8 เพื่อดำเนินการอื่นใดที่เกี่ยวข้องเพื่อให้บรรลุวัตถุประสงค์ดังที่ได้กล่าวมาข้างต้น

เพื่อความโปร่งใส (Transparency) บริษัทสรุปการจับคู่ระหว่างวัตถุประสงค์ ประเภทข้อมูลส่วนบุคคล และฐานทางกฎหมายที่ใช้ในการประมวลผล ดังตารางต่อไปนี้

5. ข้อจำกัดในการใช้ข้อมูลส่วนบุคคล

บริษัทจะเก็บข้อมูลส่วนบุคคลตามมาตรฐานที่กฎหมายกำหนด และจะไม่ใช้หรือเปิดเผยข้อมูลดังกล่าวต่อบุคคลภายนอกโดยไม่ได้รับความยินยอมของเจ้าของข้อมูล เว้นแต่เพื่อปฏิบัติตามวัตถุประสงค์ที่ระบุไว้ข้างต้น หรือตามที่กฎหมายกำหนดให้ต้องเปิดเผย โดยจะเปิดเผยให้กับหน่วยงานหรือบุคคลที่เกี่ยวข้องดังนี้

• 5.1 กลุ่มธุรกิจ พันธมิตรทางธุรกิจของบริษัท รวมตลอดถึงหน่วยงานของรัฐที่เกี่ยวข้อง ในการให้บริการ ประมวลผล บริหารจัดการ และการดำเนินงานต่าง ๆ
• 5.2 บริษัทในเครือกิจการหรือเครือธุรกิจเดียวกัน หรือหน่วยงานอื่นที่เกี่ยวข้อง
• 5.3 พนักงาน ผู้รับมอบอำนาจ ตัวแทน ผู้ตรวจสอบบัญชี และผู้ให้บริการภายนอกที่เกี่ยวข้องกับการดำเนินงานของบริษัท
• 5.4 พนักงาน ผู้รับมอบอำนาจ ตัวแทน บุคคล นิติบุคคลหรือหน่วยงานอื่นใด เพื่อปฏิบัติตามข้อกำหนดของกฎหมายหรือก่อตั้งสิทธิตามสัญญาของบริษัท
• 5.5 ในกรณีที่บริษัทมอบหมายให้บุคคลภายนอกเป็นผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) บริษัทจะจัดให้มีข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) เพื่อกำหนดหน้าที่และมาตรการคุ้มครองข้อมูลให้เป็นไปตามที่กฎหมายกำหนด
• 5.6 ทั้งนี้ ประเภทของผู้ให้บริการภายนอก (Third-party Service Providers) ที่บริษัทอาจเปิดเผยหรือส่งต่อข้อมูลให้เท่าที่จำเป็น ได้แก่ ผู้ให้บริการระบบคลาวด์และโครงสร้างพื้นฐานด้านไอที (Cloud Service Providers), ธนาคารและผู้ให้บริการรับชำระเงิน (Payment Service Providers), ผู้ให้บริการจัดส่งสินค้าและเอกสาร, ผู้ให้บริการด้านการตลาดและการวิเคราะห์ข้อมูล และผู้ให้บริการด้านการสื่อสารและสนับสนุนลูกค้า โดยบริษัทจะเปิดเผยข้อมูลเพียงเท่าที่จำเป็นแก่การให้บริการนั้น ๆ เท่านั้น

5/1. การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

ในกรณีที่บริษัทมีความจำเป็นต้องส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ เช่น การใช้บริการระบบโครงสร้างพื้นฐานคลาวด์ (Cloud Service) ที่ตั้งอยู่ในต่างประเทศ บริษัทจะดำเนินการให้เป็นไปตามมาตรา 28 และมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยจะตรวจสอบให้ประเทศปลายทางหรือผู้รับข้อมูลมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ หรือจัดให้มีมาตรการคุ้มครองที่เหมาะสมตามที่กฎหมายกำหนด

6. สิทธิของเจ้าของข้อมูลส่วนบุคคล

บริษัทให้ความสำคัญกับสิทธิของเจ้าของข้อมูลส่วนบุคคล จึงได้กำหนดสิทธิของเจ้าของข้อมูลให้สอดคล้องกับกฎหมาย ดังนี้

• 6.1 สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตน หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลที่ตนไม่ได้ให้ความยินยอม
• 6.2 สิทธิขอรับและขอให้โอนย้ายข้อมูลส่วนบุคคล (Data Portability) ในรูปแบบที่อ่านหรือใช้งานได้ด้วยเครื่องมืออัตโนมัติ
• 6.3 สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเมื่อใดก็ได้ ตามที่กฎหมายกำหนด
• 6.4 สิทธิขอให้ลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ ในกรณีตามที่กฎหมายกำหนด
• 6.5 สิทธิขอให้ระงับการใช้ข้อมูลส่วนบุคคล ในกรณีตามที่กฎหมายกำหนด
• 6.6 สิทธิขอให้ดำเนินการให้ข้อมูลส่วนบุคคลถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
• 6.7 สิทธิร้องเรียนในกรณีที่ผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล รวมทั้งลูกจ้างหรือผู้รับจ้าง ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

ทั้งนี้ เจ้าของข้อมูลมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส./PDPC) ในกรณีที่เห็นว่าการดำเนินการของบริษัทไม่เป็นไปตามกฎหมาย

7. การเพิกถอนความยินยอม

เจ้าของข้อมูลสามารถเพิกถอนความยินยอมที่ได้ให้ไว้กับบริษัทในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเมื่อใดก็ได้ ด้วยการแจ้งความประสงค์ให้บริษัททราบ โดยบริษัทจะดำเนินการตามที่ได้รับแจ้ง เว้นแต่กรณีมีข้อจำกัดสิทธิในการถอนความยินยอมโดยกฎหมายหรือสัญญาที่ให้ประโยชน์แก่เจ้าของข้อมูล ทั้งนี้ การเพิกถอนความยินยอมจะไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้ให้ความยินยอมไปแล้วก่อนหน้านั้น

7/1. การให้ความยินยอมของผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ

ในกรณีที่เจ้าของข้อมูลเป็นผู้เยาว์ (อายุไม่เกิน 20 ปีและยังไม่บรรลุนิติภาวะด้วยการสมรส) คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ การให้ความยินยอมต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครอง ผู้อนุบาล หรือผู้พิทักษ์ที่มีอำนาจกระทำการแทน (แล้วแต่กรณี) เว้นแต่เป็นกรณีที่กฎหมายกำหนดให้ผู้เยาว์สามารถดำเนินการได้เองโดยลำพัง หากบริษัททราบภายหลังว่าได้เก็บรวบรวมข้อมูลของผู้เยาว์โดยไม่ได้รับความยินยอมที่ถูกต้อง บริษัทจะดำเนินการลบหรือทำลายข้อมูลดังกล่าวโดยไม่ชักช้า

8. การปฏิเสธและการจัดทำบันทึก

ในกรณีที่เจ้าของข้อมูลร้องขอให้บริษัทดำเนินการตามที่ระบุไว้ในข้อ 6 หรือข้อ 7 บริษัทจะดำเนินการตามคำร้องขอภายในเวลาที่เหมาะสมและตามขั้นตอนของบริษัท

ทั้งนี้ บริษัทอาจปฏิเสธการใช้สิทธิของเจ้าของข้อมูลได้เฉพาะกรณีที่กฎหมายกำหนดไว้เท่านั้น โดยจะพิจารณาเหตุแห่งการปฏิเสธให้สอดคล้องกับประเภทของสิทธิที่ร้องขอแต่ละสิทธิ (เช่น สิทธิขอเข้าถึง สิทธิขอให้ลบ หรือสิทธิคัดค้าน ซึ่งมีเงื่อนไขการปฏิเสธตามกฎหมายที่แตกต่างกัน) และจะไม่เป็นการจำกัดสิทธิของเจ้าของข้อมูลเกินกว่าที่กฎหมายบัญญัติ โดยกรณีที่บริษัทอาจปฏิเสธการดำเนินการ ได้แก่

• 8.1 โดยสภาพแล้วไม่อาจดำเนินการได้
• 8.2 เป็นการปฏิเสธตามกฎหมายหรือตามคำสั่งศาล และอาจกระทบต่อสิทธิและเสรีภาพของบุคคลอื่น
• 8.3 การส่งหรือการโอนข้อมูลเป็นการปฏิบัติหน้าที่เพื่อประโยชน์สาธารณะหรือตามกฎหมาย หรืออาจเป็นการละเมิดสิทธิหรือเสรีภาพของบุคคลอื่น
• 8.4 ผู้ควบคุมข้อมูลส่วนบุคคลได้แสดงให้เห็นถึงเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า
• 8.5 เป็นไปเพื่อก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย

ในกรณีที่บริษัทปฏิเสธคำร้องขอ บริษัทจะจัดทำบันทึกการปฏิเสธพร้อมเหตุผลจัดเก็บไว้

9. มาตรการรักษาความมั่นคงปลอดภัยและคุณภาพของข้อมูล

บริษัทตระหนักถึงความสำคัญของการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล จึงกำหนดให้มีมาตรการในการรักษาความมั่นคงปลอดภัยอย่างเหมาะสม เพื่อป้องกันการสูญหาย การเข้าถึง ทำลาย ใช้ แปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่มีสิทธิหรือโดยไม่ชอบด้วยกฎหมาย นอกจากนี้บริษัทได้จัดทำนโยบาย ระเบียบปฏิบัติ คู่มือ และอบรมให้ความรู้แก่พนักงานทุกระดับ

ทั้งนี้ มาตรการรักษาความมั่นคงปลอดภัยของบริษัทเป็นไปตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565 ซึ่งครอบคลุมมาตรการเชิงองค์กร มาตรการเชิงเทคนิค และมาตรการทางกายภาพ รวมถึงการควบคุมการเข้าถึง (Access Control) และการรักษาความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งานของข้อมูล (Confidentiality, Integrity, Availability)

9/1. การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

ในกรณีที่เกิดเหตุการละเมิดข้อมูลส่วนบุคคล บริษัทจะแจ้งเหตุดังกล่าวแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล บริษัทจะแจ้งเหตุการละเมิดพร้อมแนวทางการเยียวยาให้เจ้าของข้อมูลทราบโดยไม่ชักช้า ทั้งนี้ เป็นไปตามมาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง หลักเกณฑ์และวิธีการในการแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล พ.ศ. 2565

10. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

บริษัทได้ดำเนินการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer : DPO) เพื่อตรวจสอบการดำเนินการของบริษัทที่เกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลให้สอดคล้องกับกฎหมาย ทั้งนี้ เป็นไปตามมาตรา 41 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง การจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลตามมาตรา 41 (2) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 พ.ศ. 2566 นอกจากนี้ บริษัทได้จัดทำระเบียบและคำสั่งให้ผู้เกี่ยวข้องดำเนินการตามที่กำหนด เพื่อให้การดำเนินงานเป็นไปด้วยความเรียบร้อย

11. ระยะเวลาการเก็บและการทำลายข้อมูลส่วนบุคคล

บริษัทจะจัดเก็บรักษาข้อมูลตามระยะเวลาเท่าที่จำเป็นในการดำเนินการตามวัตถุประสงค์ดังที่ได้กล่าวมาข้างต้นเท่านั้น เว้นแต่ในกรณีที่มีกฎหมายกำหนดไว้โดยเฉพาะให้เก็บไว้ได้นานกว่านั้น หรือเป็นการจำเป็นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้ซึ่งสิทธิเรียกร้องตามกฎหมาย หรือเพื่อดำเนินการตามสัญญาซึ่งบริษัทมีสิทธิตามกฎหมาย

ทั้งนี้ เพื่อให้เจ้าของข้อมูลสามารถคาดหมายระยะเวลาการเก็บรักษาได้ บริษัทกำหนดระยะเวลาการเก็บรักษาข้อมูลโดยประมาณ ดังนี้

• สำหรับลูกค้า: เก็บรักษาไว้ตลอดระยะเวลาที่ยังเป็นสมาชิกหรือใช้บริการ และเก็บต่อไปอีก 10 ปีนับแต่วันสิ้นสุดสัญญาหรือการใช้บริการครั้งสุดท้าย เพื่อประโยชน์ในการก่อตั้งหรือต่อสู้สิทธิเรียกร้องตามอายุความทางแพ่ง
• สำหรับพนักงาน: เก็บรักษาไว้ตลอดระยะเวลาการจ้างงาน และเก็บต่อไปอีก 10 ปีนับแต่วันสิ้นสุดสภาพการเป็นพนักงาน
• สำหรับคู่ค้า: เก็บรักษาไว้ตลอดระยะเวลาความสัมพันธ์ทางธุรกิจ และเก็บต่อไปอีก 10 ปีนับแต่วันสิ้นสุดสัญญา เว้นแต่กฎหมายกำหนดไว้เป็นอย่างอื่น

เมื่อพ้นกำหนดระยะเวลาการเก็บรักษา บริษัทจะดำเนินการลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ ด้วยวิธีการที่เหมาะสมและปลอดภัย

11/1. การแก้ไขปรับปรุงนโยบายความเป็นส่วนตัว

บริษัทอาจแก้ไขปรับปรุงนโยบายความเป็นส่วนตัวฉบับนี้เป็นครั้งคราวเพื่อให้สอดคล้องกับการเปลี่ยนแปลงของกฎหมายหรือการให้บริการ ในกรณีที่มีการแก้ไขปรับปรุงในสาระสำคัญ บริษัทจะแจ้งให้เจ้าของข้อมูลทราบล่วงหน้าผ่านการประกาศบนหน้าเว็บไซต์ www.sawgrow.com และ www.sawhr.com และ/หรือทางอีเมล ก่อนที่นโยบายฉบับใหม่จะมีผลบังคับใช้ พร้อมระบุวันที่มีผลบังคับใช้ให้ชัดเจน ทั้งนี้ ขอแนะนำให้เจ้าของข้อมูลตรวจสอบนโยบายฉบับล่าสุดผ่านช่องทางดังกล่าวอย่างสม่ำเสมอ

12. ช่องทางการติดต่อบริษัท

บริษัท ซอฟท์เค๊ก จำกัด (สำนักงานใหญ่) เลขที่ 290/112 หมู่ที่ 11 ถนนสวนผัก แขวงตลิ่งชัน เขตตลิ่งชัน กรุงเทพมหานคร 10170

• อีเมล: [email protected]
• LINE OA: @HR.Innzpy
• โทร: (+66) 02-962-6655
• ศูนย์ช่วยเหลือ: https://sawhr.com/customer-service/

นโยบายฉบับนี้ปรับปรุงให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง