นโยบายคุ้มครองข้อมูลส่วนบุคคล

กลุ่มบริษัทประมวลผลข้อมูลส่วนบุคคลของท่าน โดยพิจารณาจากวัตถุประสงค์ของการนำไปใช้ซึ่งข้อมูลส่วนบุคคลที่กลุ่มบริษัทประมวลผล
ข้อมูลส่วนบุคคลตามนโยบายฉบับนี้ หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ โดยอาจจัดเป็นข้อมูลส่วนบุคคล 2 ประเภท ดังนี้
1.1 ข้อมูลส่วนบุคคลทั่วไป
1) ข้อมูลเฉพาะตัวบุคคล เช่น ชื่อ นามสกุล เพศ อายุ วันเดือนปีเกิด หมายเลขบัตรประจำตัวประชาชน รูปถ่าย ลายมือชื่อ
2) ข้อมูลประวัติ เช่น ภาวะทางทหาร สถานภาพการสมรส เพศ สัญชาติ ประวัติการศึกษา ประวัติการทำงาน ความสามารถทางภาษา ความสามารถพิเศษ การรประเมินผลการทำงาน
3) ข้อมูลการติดต่อ เช่น ที่อยู่ หมายเลขโทรศัพท์ อีเมล
4) ข้อมูลทางการเงิน เช่น รายละเอียดบัตรเครดิต หมายเลขบัญชีเงินฝากธนาคาร
5) ข้อมูลเกี่ยวกับการทำงาน เช่น อาชีพ ตำแหน่ง สถานที่ทำงาน
6) ข้อมูลทางเทคนิค เช่น IP address, MAC address, บันทึกข้อมูลการเข้าใช้งานหรือการติดตามพฤติกรรมการใช้งานเว็บไซต์ ชนิดและรุ่นของเว็บเบราว์เซอร์
1.2 ข้อมูลส่วนบุคคลที่อ่อนไหว (Sensitive Data)
ข้อมูลส่วนบุคคลที่อ่อนไหว หมายถึง ข้อมูลส่วนบุคคลตามมาตรา 26 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ได้แก่ ข้อมูลเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ และข้อมูล อื่นใดตามที่คณะกรรมการประกาศกำหนด
ทั้งนี้ “ข้อมูลส่วนบุคคล” ที่กล่าวไว้ในนโยบายฉบับนี้ จะหมายความรวมถึง ข้อมูลส่วนบุคคลทั่วไปและข้อมูลส่วนบุคคลที่อ่อนไหว

โดยทั่วไปกลุ่มบริษัทจะดำเนินการเก็บรวบรวมข้อมูลส่วนบุคคลของท่านโดยตรงผ่านกิจกรรมต่าง ๆ ระหว่างท่านกับกลุ่มบริษัท อย่างไรก็ตาม ในบางกรณี กลุ่มบริษัทฯ อาจได้รับข้อมูลส่วนบุคคลของท่านจากแหล่งอื่น เช่น ข้อมูลส่วนบุคคลที่กลุ่มบริษัทฯ ได้รับจากบุคคลที่มีความเกี่ยวเนื่องกับท่าน เช่น บุคคลในครอบครัวของท่าน ผู้แนะนำ ผู้ติดต่อ ซึ่งได้แจ้งหรือแสดงให้กลุ่มบริษัทว่าเป็นผู้มีสิทธิแจ้งข้อมูลส่วนบุคคลของท่านต่อกลุ่มบริษัทเพื่อวัตถุประสงค์ในการประมวลผลตามนโยบายฉบับนี้

กลุ่มบริษัทเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของท่านเพื่อดำเนินการต่าง ๆ ตามขอบเขตและวัตถุประสงค์ดังต่อไปนี้
3.1 กรณีท่านเป็นลูกค้าของกลุ่มบริษัทฯ
1) เพื่อเข้าทำสัญญากับท่านตามที่ท่านได้ตกลงกับกลุ่มบริษัท
2) เพื่อให้บริการแก่ท่านตามสัญญาที่ท่านได้ตกลงไว้กับกลุ่มบริษัท
3) เพื่อดำเนินการชำระเงินตามสัญญาระหว่างท่านกับกลุ่มบริษัท
4) เพื่อนำเสนอข่าวสารที่น่าสนใจ ข้อเสนอ สิทธิประโยชน์ และโปรโมชันของกลุ่มบริษัท
5) เพื่อวัตถุประสงค์ทางการตลาดและการวิเคราะห์ข้อมูล
6) เพื่อรักษาความปลอดภัยภายในกลุ่มบริษัทฯ เช่น การบันทึกภาพด้วยกล้องวงจรปิด (CCTV)
7) เพื่อระงับข้อพิพาทหรือข้อขัดแย้งที่อาจเกิดขึ้นระหว่างท่านกับกลุ่มบริษัทอันเกี่ยวข้องกับการให้บริการ
8) เพื่อปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือกฎหมายอื่นที่เกี่ยวข้องกับวัตถุประสงค์ข้างต้น
3.2 กรณีท่านเป็นคู่ค้าของกลุ่มบริษัทฯ
1) เพื่อเข้าทำสัญญาหรือสัญญาบริการที่ท่านได้ตกลงกับกลุ่มบริษัท
2) เพื่อดำเนินการปฏิบัติตามสัญญา
3) เพื่อดำเนินการชำระเงินและการติดต่อ
4) เพื่อระงับข้อพิพาทหรือข้อขัดแย้งที่อาจเกิดขึ้นระหว่างท่านกับกลุ่มบริษัทอันเกี่ยวข้องกับการปฏิบัติตามสัญญา
5) เพื่อปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือกฎหมายอื่นที่เกี่ยวข้องกับวัตถุประสงค์ข้างต้น
3.3 กรณีท่านเป็นพนักงานของกลุ่มบริษัทฯ
1) เพื่อคัดเลือกบุคลากรเข้าทำงาน และการฝึกงาน
2) เพื่อดำเนินการตามสัญญาจ้างระหว่างท่านกับกลุ่มบริษัท เช่น การจ่ายเงินเดือน
3) เพื่อปฏิบัติตามกฎหมายที่บังคับต่อกลุ่มบริษัทในฐานะนายจ้าง เช่น คุ้มครองแรงงาน กองทุนประกันสังคม กองทุนเงินทดแทน กรมสรรพากร เป็นต้น
4) เพื่อรักษาความปลอดภัยภายในกลุ่มบริษัท เช่น การบันทึกภาพด้วยกล้องวงจรปิด (CCTV)
5) เพื่อระงับข้อพิพาทหรือข้อขัดแย้งที่อาจเกิดขึ้นระหว่างท่านกับกลุ่มบริษัทอันเกี่ยวข้องกับการปฏิบัติตามสัญญา
6) เพื่อปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือกฎหมายอื่นที่เกี่ยวข้องกับวัตถุประสงค์ข้างต้น
กลุ่มบริษัทอาศัยฐานทางกฎหมายดังต่อไปนี้ในการประมวลผลข้อมูลส่วนบุคคลของท่าน
โดยการประมวลผลข้อมูลส่วนบุคคลของท่านอาจอาศัยฐานทางกฎหมายเพียงฐานใดฐานหนึ่งหรือหลายฐานประกอบกันก็ได้

กลุ่มบริษัทอาจจำเป็นต้องเปิดเผยข้อมูลส่วนบุคคลของท่านให้แก่บุคคลภายนอก เพื่อประมวลผลข้อมูลส่วนบุคคลของท่าน โดยบุคคลดังกล่าวอาจรวมถึงแต่ไม่จำกัดเพียง
4.1 หน่วยงานภาครัฐที่มีหน้าที่กำกับดูแลตามกฎหมาย เช่น กรรมสรรพากร กรมบังคับคดีกองทุนสำรองเลี้ยงชีพ
4.2 ผู้ให้บริการภายนอก เช่น ผู้ให้บริการวิเคราะห์ข้อมูล
4.3 บริษัทประกัน
4.4 สถาบันการเงิน เช่น ธนาคารที่ให้บริการรับชำระเงิน

เพื่อวัตถุประสงค์ที่ระบุไว้ในนโยบายคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ กลุ่มบริษัทอาจเปิดเผยหรือโอนข้อมูลส่วนบุคคลของท่านไปยังบุคคล องค์กร หรือเซิร์ฟเวอร์ (server) ที่ตั้งอยู่ในต่างประเทศ ซึ่งอาจจะมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลเช่นเดียวกับประเทศไทยหรือไม่ก็ได้ โดยกลุ่มบริษัทจะดำเนินการตามมาตรการต่าง ๆ เพื่อให้ท่านมั่นใจได้ว่าข้อมูลส่วนบุคคลของท่านถูกโอนไปอย่างปลอดภัยและผู้รับข้อมูลมีการใช้มาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม และการโอนข้อมูลส่วนบุคคลดังกล่าวเป็นไปตามที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล กำหนด

กลุ่มบริษัทจะเก็บรักษาข้อมูลส่วนบุคคลของท่านไว้ตามระยะเวลาที่จำเป็นด้วยเหตุผลดังต่อไปนี้
1) เพื่อให้บรรลุวัตถุประสงค์ที่เกี่ยวข้องกับนโยบายฉบับนี้
2) เพื่อก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
3) เพื่อให้เป็นไปตามระยะเวลาตามกฎหมายที่ใช้บังคับกำหนด

โดยกลุ่มบริษัทจะทำการลบ ทำลาย หรือทำให้เป็นข้อมูลที่ไม่สามารถระบุตัวตนของท่านได้เมื่อหมดความจำเป็นหรือสิ้นสุดระยะเวลาดังกล่าว

เมื่อ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ในส่วนที่เกี่ยวข้องกับสิทธิของเจ้าของข้อมูลส่วนบุคคลมีผลบังคับใช้ ท่านมีสิทธิดังต่อไปนี้ ภายใต้หลักเกณฑ์และเงื่อนไขที่ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล กำหนด
1) สิทธิในการเพิกถอนความยินยอม ในกรณีที่กลุ่มบริษัทได้รับความยินยอมจากท่านในการประมวลผลข้อมูลส่วนบุคคล ท่านมีสิทธิที่จะถอนความยินยอมดังกล่าวเมื่อใดก็ได้ โดยการส่งหนังสือเพิกถอนความยินยอมให้แก่กลุ่มบริษัท
2) สิทธิในการเข้าถึงข้อมูลส่วนบุคคล ท่านมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลทั้งหมดที่เกี่ยวกับท่าน รวมทั้งการขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่ท่านไม่ได้ให้ความยินยอม
3) สิทธิในการให้โอนย้ายข้อมูลส่วนบุคคล ในกรณีที่กลุ่มบริษัทมีแพลตฟอร์มที่อนุญาตให้ท่านสามารถเข้าถึงข้อมูลส่วนบุคคลของท่านได้โดยวิธีการอัตโนมัติ
• ท่านอาจมีสิทธิร้องขอให้กลุ่มบริษัทโอนข้อมูลส่วนบุคคลของท่านไปยังองค์กรอื่นโดยวิธีการอัตโนมัติ
• ท่านอาจมีสิทธิร้องขอให้กลุ่มบริษัทโอนข้อมูลส่วนบุคคลของท่านไปยังองค์กรอื่นโดยตรง ยกเว้นในกรณีที่มีข้อจำกัดด้านเทคโนโลยี
4) สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล ท่านมีสิทธิคัดค้านการประมวลผลข้อมูลส่วนบุคคลของท่านที่กลุ่มบริษัทประมวลผลภายใต้ฐานผลประโยชน์อันชอบธรรมของกลุ่มบริษัท นอกจากนี้ท่านยังมีสิทธิคัดค้านการประมวลผลข้อมูลส่วนบุคคลของท่าน หากกลุ่มบริษัทประมวลผลข้อมูลส่วนบุคคลของท่านเพื่อวัตถุประสงค์ทางการตลาด และเกี่ยวกับการรวบรวมข้อมูลที่เป็นประโยชน์ (Profiling)
5) สิทธิขอให้ลบหรือทำลายข้อมูลส่วนบุคคล ท่านมีสิทธิขอลบหรือทำลายข้อมูลส่วนบุคคลของท่านหรือทำให้ข้อมูลส่วนบุคคลของท่านเป็นข้อมูลส่วนบุคคลที่ไม่สามารถระบุตัวท่านได้ ในกรณีดังต่อไปนี้
• ในกรณีที่ข้อมูลส่วนบุคคลของท่านไม่มีความจำเป็นสำหรับวัตถุประสงค์ในการประมวลผลอีกต่อไป
• ในกรณีที่ท่านได้เพิกถอนความยินยอม ให้กลุ่มบริษัทประมวลผลข้อมูลส่วนบุคคล และ/หรือ ข้อมูลส่วนบุคคลที่อ่อนไหวของท่าน
• ในกรณีที่ท่านคัดค้านการประมวลผลข้อมูลส่วนบุคคลของท่านซึ่งกลุ่มบริษัทได้ดำเนินการโดยอาศัยฐานประโยชน์อันชอบธรรม และกลุ่มบริษัทไม่มีเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่าในการประมวลผลข้อมูลส่วนบุคคล
• ในกรณีที่กิจกรรมการประมวลผลข้อมูลส่วนบุคคลไม่เป็นไปตามกฎหมาย
6) สิทธิขอให้ระงับการประมวลผลข้อมูลส่วนบุคคล ท่านอาจมีสิทธิร้องขอให้กลุ่มบริษัทระงับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของท่าน ในกรณีดังต่อไปนี้
• ในกรณีที่อยู่ระหว่างขั้นตอนการตรวจสอบตามที่ท่านได้ร้องขอใช้สิทธิในการแก้ไขข้อมูลส่วนบุคคลของท่าน
• ในกรณีที่เกี่ยวกับข้อมูลส่วนบุคคลที่ท่านได้เคยร้องขอให้กลุ่มบริษัทลบข้อมูลดังกล่าว แต่ท่านได้ใช้สิทธิร้องขอเพิ่มเติมให้กลุ่มบริษัทระงับการประมวลผลข้อมูลส่วนบุคคลของท่านแทนในภายหลัง
• ในกรณีที่ระยะเวลาการประมวลผลข้อมูลส่วนบุคคลได้สิ้นสุดลง แต่ท่านได้ร้องขอให้กลุ่มบริษัทระงับการประมวลผลข้อมูลเนื่องด้วยเหตุผลทางกฎหมาย
• ในกรณีที่อยู่ระหว่างขั้นตอนการตรวจสอบการคัดค้านการประมวลผลข้อมูลส่วนบุคคล
7) สิทธิขอให้แก้ไขข้อมูลส่วนบุคคล ท่านมีสิทธิขอแก้ไขข้อมูลส่วนบุคคลของท่านให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด

ในกรณีที่ท่านประสงค์ที่จะใช้สิทธิของท่านภายใต้ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ท่านสามารถติดต่อกลุ่มบริษัทผ่านช่องทางที่ระบุไว้ในข้อ 12. โดยกลุ่มบริษัทจะดำเนินการตอบคำขอของท่านภายใน 30 วันนับจากวันที่ได้รับคำขอ อย่างไรก็ตาม การใช้สิทธิของท่านตามที่ระบุไว้ข้างต้นขึ้นอยู่กับปัจจัยที่เกี่ยวข้องต่าง ๆ และกลุ่มบริษัทฯ อาจไม่สามารถดำเนินการตามคำขอของท่านได้ หากกลุ่มบริษัทสามารถอ้างฐานทางกฎหมายใด ๆ ในการประมวลผลข้อมูลส่วนบุคคลของท่านต่อไปได้

กลุ่มบริษัทอาจเรียกเก็บค่าธรรมเนียมสำหรับการดำเนินการตามคำขอของท่าน โดยการเรียกเก็บค่าธรรมเนียมดังกล่าวขึ้นอยู่กับดุลยพินิจของกลุ่มบริษัท

กลุ่มบริษัทจัดให้มีมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคลทั้งมาตรการเชิงองค์กร (Organizational Measures) และมาตรการเชิงเทคนิค (Technical Measures) ตามหลักการรักษาความลับ (Confidentiality) การรักษาความถูกต้องครบถ้วน (Integrity) และความพร้อมใช้งานของข้อมูล (Availability) เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผย นอกจากนี้ กลุ่มบริษัทจะจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ซึ่งครอบคลุมถึงมาตรการป้องกันด้านการบริหารจัดการ (Administrative Safeguard) มาตรการป้องกันด้านเทคนิค (Technical Safeguard) และมาตรการป้องกันทางกายภาพ (Physical Safeguard) ในเรื่องการเข้าถึงหรือควบคุมการใช้งานข้อมูลส่วนบุคคล (Access Control)

ทั้งนี้ กลุ่มบริษัทจะจำกัดการเข้าถึงข้อมูลส่วนบุคคลของท่าน โดยจะอนุญาตให้เฉพาะบุคคลที่มีความจำเป็นจะต้องเข้าถึงข้อมูลส่วนบุคคลนั้นเพื่อปฏิบัติหน้าที่ของตน ในกรณีที่บุคคลที่สามทำการประมวลผลข้อมูลส่วนบุคคลท่านจะต้องเป็นการประมวลผลตามคำสั่งของกลุ่มบริษัทตามที่กำหนดในสัญญาการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) ระหว่างผู้ควบคุมข้อมูลส่วนบุคคลและผู้ประมวลผลข้อมูลส่วนบุคคลเท่านั้น

ในกรณีที่มีเหตุละเมิดข้อมูลส่วนบุคคลของท่านเกิดขึ้น กลุ่มบริษัทฯ จะแจ้งให้สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลทราบโดยไม่ชักช้าภายใน 72 ชั่วโมง นับแต่ทราบเหตุ ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของท่าน กลุ่มบริษัทฯ จะแจ้งถึงเหตุการณ์ละเมิดให้ท่านทราบพร้อมกับ แนวทางการเยียวยาโดยไม่ชักช้าผ่านช่องทางต่าง ๆ

10.1 ลูกค้าและคู่ค้า
กรณีที่ท่านเป็นลูกค้าหรือคู่ค้าของกลุ่มบริษัทฯ กลุ่มบริษัทฯ อาจขอให้ท่านแจ้งการแก้ไขข้อมูลส่วนบุคคลของท่านให้ถูกต้อง เป็นปัจจุบัน และสมบูรณ์
10.2 พนักงานของกลุ่มบริษัทฯ
กรณีที่ท่านเป็นพนักงานของกลุ่มบริษัทฯ ซึ่งดำเนินงานเกี่ยวข้องกับข้อมูลส่วนบุคคล กลุ่มบริษัทฯ ขอให้ท่านดำเนินการดังต่อไปนี้
1) ปฏิบัติตามและให้ความสำคัญต่อการปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล และนโยบายฉบับนี้อย่างเคร่งครัด ในกรณีที่พนักงานไม่ปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล หรือนโยบายฉบับนี้ ถือเป็นความผิดต่อหน้าที่อย่างร้ายแรง ซึ่งอาจถูกลงโทษทางวินัยตามกระบวนการของกลุ่มบริษัทฯ และอาจมีความผิดและรับโทษตามที่กฎหมายกำหนด
2) เข้ารับการฝึกอบรมด้านการคุ้มครองข้อมูลส่วนบุคคลตามกำหนดการจัดอบรม และเมื่อได้รับแจ้งให้เข้ารับการอบรม โดยต้องให้ความสำคัญและให้ความร่วมมือในการเข้ารับการอบรมความรู้อย่างเคร่งครัด
3) ไม่กระทำการเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่ตนล่วงรู้หรือได้มาอันเนื่องจากการปฏิบัติงานให้แก่บุคคลอื่น เว้นแต่กฎหมายกำหนดไว้เป็นอย่างอื่น
4) รายงานกรณีพบเหตุการละเมิดข้อมูลส่วนบุคคลให้หัวหน้าหน่วยงานทราบเพื่อร่วมกันตรวจสอบข้อเท็จจริงของเหตุการณ์ดังกล่าว และแจ้งข้อมูลให้หน่วยงานกำกับดูแลทราบทันทีเมื่อพบเหตุการละเมิดข้อมูลส่วนบุคคล เพื่อแจ้งข้อมูลต่อสำนักงานฯ ต่อไป ภายในระยะเวลาที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด

กลุ่มบริษัทฯ อาจแก้ไขเปลี่ยนแปลงนโยบายนี้เป็นครั้งคราว โดยท่านสามารถทราบข้อกำหนดและเงื่อนไขนโยบายที่มีการแก้ไขเปลี่ยนแปลงนี้ได้ผ่านช่องทางการสื่อสารของกลุ่มบริษัทฯ ตามที่กลุ่มบริษัทฯ เห็นสมควร

หากท่านมีข้อเสนอแนะหรือต้องการสอบถามข้อมูลเกี่ยวกับรายละเอียดการประมวลผลข้อมูลส่วนบุคคล ของท่าน รวมถึงการขอใช้สิทธิตามกฎหมาย ท่านสามารถติดต่อได้ที่ช่องทางดังต่อไปนี้