หลักเกณฑ์ของนโยบายความเป็นส่วนตัว(Privacy Policy)

ข้อมูลส่วนบุคคล (Personal Data)

คือข้อมูลเกี่ยวกับบุคคลที่สามารถระบุตัวบุคคลนั้นได้ ทั้งทางตรงหรือทางอ้อม แต่จะไม่นับรวมข้อมูลของผู้ที่เสียชีวิตไปแล้วซึ่งได้แก่ ชื่อ-นามสกุล หรือชื่อเล่น, รูปถ่าย, เลขประจำตัวประชาชน, เลขหนังสือเดินทาง, เลขบัตรประกันสังคม, เลขใบอนุญาตขับขี่, เลขประจำตัวผู้เสียภาษี, เลขบัญชีธนาคาร, เลขบัตรเครดิต (การเก็บเป็นภาพสำเนาบัตรประชาชนหรือสำเนาบัตรอื่นๆที่มีข้อมูลส่วนบุคคลที่กล่าวมาย่อมสามารถใช้ระบุตัวบุคคลได้โดยตัวมันเอง จึงถือเป็นข้อมูลส่วนบุคคล) รวมถึง ที่อยู่, อีเมล์, เลขโทรศัพท์ / ข้อมูลอุปกรณ์หรือเครื่องมือ เช่น IP address, MAC address, Cookie ID / ข้อมูลระบุทรัพย์สินของบุคคล เช่น ทะเบียนรถยนต์, โฉนดที่ดิน / ข้อมูลที่สามารถเชื่อมโยงไปยังข้อมูลข้างต้นได้ เช่น วันเกิดและสถานที่เกิด, เชื้อชาติ,สัญชาติ, น้ำหนัก, ส่วนสูง, ข้อมูลตำแหน่งที่อยู่ (location), ข้อมูลการแพทย์, ข้อมูลการศึกษา, ข้อมูลทางการเงิน, ข้อมูลการจ้างงาน / ข้อมูลหมายเลขอ้างอิงที่เก็บไว้ในไมโครฟิล์ม แม้ไม่สามารถระบุไปถึงตัวบุคคลได้ แต่หากใช้ร่วมกับระบบข้อมูลอีกระบบหนึ่งก็จะสามารถระบุไปถึงตัวบุคคลได้ / ข้อมูลบันทึกต่าง ๆ ที่ใช้ติดตามตรวจสอบกิจกรรมต่าง ๆ ของบุคคล เช่น log file

ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน (Sensitive Personal Data)

ข้อมูลที่สามารถใช้ในการค้นหาข้อมูลส่วนบุคคลอื่นในอินเทอร์เน็ต นอกจากนี้ ยังมีข้อมูลส่วนบุคคลอีกประเภท ที่ PDPA หรือ พ.ร.บ. ฉบับนี้ให้ความสำคัญและมีบทลงโทษที่รุนแรงด้วยกรณีเกิดการรั่วไหลสู่สาธารณะ เช่น ข้อมูล เชื้อชาติ, เผ่าพันธุ์, ความคิดเห็นทางการเมือง, ความเชื่อในลัทธิ ศาสนาหรือปรัชญา, พฤติกรรมทางเพศ, ประวัติอาชญากรรม, ข้อมูลสุขภาพ ความพิการ หรือข้อมูลสุขภาพจิต, ข้อมูลสหภาพแรงงาน, ข้อมูลพันธุกรรม, ข้อมูลชีวภาพ, ข้อมูลทางชีวมิติ (Biometric) เช่น รูปภาพใบหน้า, ลายนิ้วมือ, ฟิล์มเอกซเรย์, ข้อมูลสแกนม่านตา, ข้อมูลอัตลักษณ์เสียง, ข้อมูลพันธุกรรม เป็นต้น เหตุที่ข้อมูลส่วนบุคคลที่มีความละเอียดอ่อน (Sensitive Personal Data) หรือเป็นข้อมูลที่มีบทลงโทษที่รุนแรงกว่าข้อมูลส่วนบุคคลทั่วไป (Personal Data) นั่นเป็นเพราะ หากข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนมีการรั่วไหลไปสู่สาธารณะแล้ว จะเกิดผลเสียที่ร้ายแรงกับผู้เป็นเจ้าของข้อมูลส่วนบุคคล (Data Subject) ได้มากกว่าข้อมูลส่วนบุคคลอื่นๆ มีผลต่อสิทธิเสรีภาพของบุคคล เช่น สิทธิเสรีภาพในความคิด ความเชื่อทางศาสนา การแสดงออก การชุมนุม สิทธิในชีวิตร่างกาย การอยู่อาศัย การไม่ถูกเลือกปฏิบัติ ซึ่งอาจจะก่อให้เกิดการแทรกแซงซึ่งสิทธิเสรีภาพและการเลือกปฏิบัติต่อการใช้สิทธิเสรีภาพของบุคคลได้มากกว่าข้อมูลส่วนบุคคลทั่วไป ยกตัวอย่างเช่น ข้อมูลพฤติกรรมทางเพศ เชื่อชาติ ศาสนา ประวัติอาชญากรรม ถ้ารั่วไหลไปแล้ว ข้อมูลเหล่านี้จะนำมาสู่ความเป็นอคติและจะมีผลกระทบต่อชีวิตส่วนบุคคลได้มากกว่าข้อมูลทั่วไปเป็นอย่างมาก

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer – DPO)

หมายถึง พนักงานหรือผู้รับจ้างของผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคล มีหน้าที่ให้คำแนะนำเกี่ยวกับการปฏฺิบัตตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลแก่บุคคลในองค์กร และเพื่อตรวจสอบการดำเนินงานให้สอดคล้องกับพระราชบัญญัติ และตามกฎหมายต่างๆที่เกี่ยวข้อง โดยจัดให้มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

นโยบายความเป็นส่วนตัว (Privacy Policy) ของบริษัท โกลด์โฟน อีซี่ จำกัด

1. วัตถุประสงค์ในการกำหนดนโยบายความเป็นส่วนตัว คือ

   1. เพื่อกําหนดแนวทางในการบริหารจัดการในการจัดการข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
   2. เพื่อกําหนดบทบาทและหน้าที่ความรับผิดชอบของผู้ที่เกี่ยวข้องกับการจัดเก็บ และใช้ข้อมูลส่วนบุคคล
   3. เพื่อกําหนดลําดับชั้นความลับและการรักษาความปลอดภัยของข้อมูลส่วนบุคคล
   4. เพื่อกําหนดวิธีการจัดเก็บ การใช้งาน การส่งต่อ การเฝ้าระวัง การแจ้งเตือนหากมีเหตุไม่พึงประสงค์เกิดขึ้นกับการจัดการข้อมูลส่วนบุคคล
   5. เพื่อกําหนดความรับผิดและบทลงโทษที่เกี่ยวข้องกับการไม่ปฏิบัติตามกฎหมายเพื่อกําหนดแนวทางในการ ดําเนินการคุ้มครองข้อมูลส่วนบุคคลให้บุคลากรและผู้ที่ปฏิบัติงานร่วมกับบริษัททุกคนต้องรับทราบ ทําความ เข้าใจ และปฏิบัติตามนโยบายฉบับนี้อย่างเคร่งครัด หากลูกจ้างหรือบุคลากรของบริษัทไม่ปฏิบัติการตาม ข้อกําหนดและแนวทางในการดําเนินการคุ้มครองข้อมูลส่วนบุคคล กรณีดังกล่าวถือเป็นการฝ่าฝืนนโยบาย สําคัญที่เกี่ยวข้องกับการจ้างงานของบริษัท และบริษัทสงวนสิทธิ์ในการพิจารณาลงโทษบุคคลดังกล่าวตามสมควรต่อไป

2. ขอบเขต และผลบังคับใช้

   1. เอกสารฉบับนี้มีผลบังคับใช้กับ บริษัท โกลด์โฟน อีซี่ จำกัด ตลอดจนคู่สัญญา และตัวแทนจำหน่ายของบริษัทฯ
   2. นโยบายฉบับนี้จะถูกนํามาบังคับใช้กับการประกอบธุรกิจ การดําเนินการต่าง ๆ ของบริษัท ซึ่ง รวมถึง การดําเนินงานของบริษัทในฐานะนายจ้าง โดยนโยบายฉบับนี้จะนํามาใช้เป็นแนวทางสําหรับการเก็บ รวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลทุกประเภท ไม่ว่าที่จะอยู่ในรูปแบบของเอกสาร หรือที่มีการเก็บไว้ในรูปแบบอิเล็กทรอนิกส์ก็ตาม

3. นิยามต่าง ๆ

   1. มุ่งมั่นในการพัฒนา และมีมาตรฐานสูงตรงตามความต้องการของลูกค้า ภายใต้เทคโนโลยี่ที่ทันสมัยและมีประสิทธิภาพ มีระบบการตรวจสอบ
   2. จัดระบบที่สามารถให้ลูกค้าสามารถร้องเรียนข้อบกพร่อง และความไม่พอใจในการบริการ และเสนอข้อแนะนำที่เป็นประโยชน์เพื่อดำเนินการตอบสนองแก่ลูกค้าด้วยความรวดเร็ว
   3. ปฏิบัติตามเงื่อนไขที่มีต่อลูกค้าอย่างเคร่งครัดกรณีที่ไม่สามารถปฏิบัติตามเงื่อนไขได้ให้รีบแจ้งลูกค้าเพื่อทราบและร่วมกันพิจารณาหาแนวทางแก้ไขปัญหา รวมถึงการจัดทำแบบประเมินความพึงพอใจของลูกค้า เพื่อนำมาปรับปรุงและพัฒนาด้านการบริการต่อไป
   4. เสนอข่าวสารบริการแก่ลูกค้าอย่างเที่ยงตรงถูกต้องเป็นธรรมและไม่บิดเบือนข้อเท็จจริงใดๆ
   5. ให้ความสำคัญและไม่นำข้อมูลของลูกค้าไปเผยแพร่หรือหาประโยชน์ใส่ตนเอง

4. แหล่งที่มาของข้อมูลส่วนบุคคล (Personal Data Source)

   โดยแหล่งที่มาของข้อมูลส่วนบุคคล (Personal Data) ซึ่งเป็นข้อมูลที่บริษัทได้มาจากลูกค้าหรือตัวแทนของลูกค้าที่ติดต่อเข้ารับบริการ และเป็นผู้กรอกข้อมูลส่วนบุคคลต่างๆด้วยตัวเองหรือโดยตัวแทนผู้ที่ได้รับอนุญาติของเจ้าของข้อมูลส่วนบุคคลนั้นๆ เพื่อใช้ในการเข้าทำสัญญากับทางบริษัท ตามรายละเอียดและเงื่อนไขที่บริษัทกำหนดสำหรับการเข้ารับบริการ หรือเข้าทำสัญญากับทางบริษัท

5. กรอบในการบริหารจัดการการคุ้มครองข้อมูลส่วนบุคคล (Management Framework)

   การคุ้มครองข้อมูลส่วนบุคคลจะปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และพระราชบัญญัติว่าด้วยการกระทำผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. ๒๕๕๐ และ พ.ศ. ๒๕๖๐ อย่างเคร่งครัด

6. การจัดลําดับชั้นความลับของข้อมูลส่วนบุคคล

   เนื่องจากข้อมูลส่วนบุคคลมีความสําคัญและต้องมีการบริหารจัดการที่เหมาะสม ดังนั้นข้อมูลส่วนบุคคลจัดอยู่ในลําดับ ชั้น “ข้อมูลลับ” (Confidential) ให้ดําเนินการและจัดการตามนโยบายการจัดลําดับชั้นความลับของข้อมูล (Data Classification Policy)

7. แนวทางในการดําเนินการในการคุ้มครองข้อมูลส่วนบุคคล

   แผนการดำเนินงานลำดับต่อไปคือ การกําหนดให้จัดตั้งหน่วยงานควบคุมข้อมูล (Data Protection Office) มีหน้าที่ในการควบคุมการดําเนินการของกลุ่มบริษัท มีหน้าที่ในการ การกํากับดูแล นโยบายการคุ้มครองข้อมูลส่วน บุคคล และกรอบการดําเนินงาน โดยหน่วยงานมีหน้าที่ดังต่อไปนี้

   1. จัดทําแนวทางและนโยบายการกํากับดูแลในการคุ้มครองข้อมูลส่วนบุคคล นําเสนอและลงนามอนุมัติโดยผู้มีอํานาจ และประกาศใช้ทั่วทั้งองค์กร
   2. กําหนดให้มี “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล” (Data Protection Officer หรือ DPO) เป็นผู้รับผิดชอบในการจัดการตามนโยบายฉบับนี้ กําหนดให้ทราบได้ว่าการดําเนินการของบริษัทที่ทําให้บริษัทและผู้เกี่ยวข้องมีฐานะเป็น “ผู้ควบคุม ข้อมูลส่วนบุคคล” (Data Controller) ตามกฎหมาย ซึ่งจะมีหน้าที่ความรับผิดชอบของในการจัดการข้อมูลตามนโยบายฉบับนี้
   3. กําหนดให้การดําเนินการของบริษัทที่ทําให้บริษัทและผู้เกี่ยวข้องมีฐานะเป็น “ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) ตามกฎหมาย ซึ่งจะมีหน้าที่ความรับผิดชอบของในการจัดการข้อมูลตามนโยบายฉบับนี้
   4. พิจารณาข้อมูลต่าง ๆ ขององค์กรเพื่อกําหนด “ข้อมูลส่วนบุคคล" (Personal Data) ที่ต้องดําเนินการตามกฎหมายหรือกฎเกณฑ์ที่ประกาศบังคับใช้ กําหนด กรอบการกํากับดูแลและบริหารจัดการข้อมูลระดับองค์กร (Data Governance, Data Management, Data Protection)
   5. กําหนดกรอบการบริหารความเสี่ยง การประเมินความเสี่ยง การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล (Privacy/Data Protection Impact Assessment, Risk Assessment)
   6. กําหนดให้มีผู้รับผิดชอบในแต่ละกระบวนการทางธุรกิจ (Business Owner) และเจ้าของข้อมูล (Data Owner)
   7. จัดให้มีการเสริมสร้างความรู้ให้กับผู้ปฏิบัติงานเพื่อให้ทราบวิธีปฏิบัติ และขั้นตอนปฏิบัติ
   8. เสริมสร้างความรู้ให้กับผู้ที่รับมอบหมาย “เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer) และผู้ปฏิบัติงานที่เกี่ยวข้องตาม Privacy Data Protection
   9. กําหนดกรอบการประสานกับหน่วยงานกํากับดูแลของหน่วยงานภาครัฐ และหน่วยงานความร่วมมืออื่นที่มีส่วนเกี่ยวข้องในปัจจุบันและอนาคต

8. สิทธิและการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

   สิทธิของเจ้าของข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลมีสิทธิที่ได้รับการคุ้มครองตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ดังต่อไปนี้

   1. สิทธิในการขอถอนความยินยอมในกรณีที่บริษัทมีการขอและได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเพื่อเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล เพื่อประโยชน์ในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วน บุคคลดังกล่าวตามวัตถุประสงค์ที่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการแจ้งขอถอนความยินยอมในการให้บริษัทใช้ข้อมูลดังกล่าวได้ทุก เมื่อ โดยแจ้งความประสงค์ดังกล่าวเป็นลายลักษณ์อักษรมายังบริษัท เมื่อบริษัทได้รับแจ้งความประสงค์ในการใช้สิทธิในการถอนความยินยอมดังกล่าวแล้ว บริษัทจะหยุดการใช้ข้อมูลส่วนบุคคลดังกล่าวทันที
   2. สิทธิในการขอเข้าถึงและรับสําเนาข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่บริษัทจัดเก็บไว้ เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึงและรับสําเนาข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่บริษัทได้จัดเก็บไว้ได้ ทั้งนี้โดยเป็นไปตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลกําหนด เมื่อบริษัทได้รับแจ้งความประสงค์ในการใช้สิทธิดังกล่าวจากเจ้าของข้อมูลส่วนบุคคล บริษัทจะพิจารณาคําขอของเจ้าของข้อมูลส่วนบุคคลเพื่อดําเนินการที่เหมาะสมต่อไป ทั้งนี้ภายในระยะเวลาไม่เกิน 30 วัน นับแต่วันที่ได้รับคําขอดังกล่าว อย่างไรก็ตามบริษัทขอสงวนสิทธิในการปฏิเสธคําขอใช้สิทธิดังกล่าวของเจ้าของข้อมูลส่วนบุคคล หากเป็นการปฏิเสธตามกฎหมายหรือคําสั่งศาล และการเข้าถึงและขอรับสําเนาข้อมูลส่วนบุคคลนั้นจะส่งผลกระทบที่อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น
   3. สิทธิในการขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่บริษัทได้รับจากแหล่งอื่นในกรณีที่บริษัทได้รับข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลจากแหล่งอื่นซึ่งไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง หากบริษัทจะใช้ข้อมูลดังกล่าวบริษัทจะดําเนินการแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบภายใน 30 วันนับจากวันที่ได้รับข้อมูลส่วนบุคคลดังกล่าว (เว้นแต่เป็นกรณีที่กฎหมายยกเว้นให้ไม่ต้องแจ้ง) ในกรณีนี้เจ้าของข้อมูลส่วนบุคคลสามารถ สอบถามและขอให้บริษัทเปิดเผยแหล่งที่มาของข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลได้
   4. สิทธิในการขอรับ และขอให้บริษัทโอนย้าย หรือส่งต่อข้อมูลของเจ้าของข้อมูลส่วนบุคคลไปยังผู้ ควบคุมข้อมูลส่วนบุคคลอื่น ในกรณีที่บริษัทมีการปรับให้ข้อมูลของเจ้าของข้อมูลส่วนบุคคลอยู่ในรูปแบบที่สามารถอ่านหรือใช้งานได้โดยอุปกรณ์ที่ทํางานได้โดยอัตโนมัติ และสามารถส่งต่อได้โดยวิธีการอัตโนมัติ การโอนย้ายหรือส่งต่อข้อมูลส่วนบุคคลตามข้อนี้ หมายถึงกรณีที่ข้อมูลของเจ้าของข้อมูลส่วน บุคคลถูกจัดเก็บอยู่ในรูปแบบอิเล็กทรอนิกส์ ซึ่งการส่งต่อนั้นสามารถทําได้ผ่านอุปกรณ์ อิเล็กทรอนิกส์ที่สามารถอ่านข้อมูลที่อยู่ในรูปแบบอิเล็กทรอนิกส์เท่านั้น ไม่รวมถึงการให้บริษัท เป็นผู้นําส่ง หรือจัดส่งข้อมูลของเจ้าของข้อมูลส่วนบุคคลที่อยู่ในรูปแบบอื่น เมื่อบริษัทได้รับแจ้งความประสงค์ในการใช้สิทธิดังกล่าวจากเจ้าของข้อมูลส่วนบุคคล บริษัทจะพิจารณาคําขอของเจ้าของข้อมูลส่วนบุคคลเพื่อดําเนินการที่เหมาะสมต่อไปทั้งนี้ภายในระยะเวลาไม่เกิน 30 วัน นับแต่วันที่ได้รับคําขอดังกล่าว อย่างไรก็ตามบริษัทขอสงวนสิทธิใน การปฏิเสธคําขอใช้สิทธิดังกล่าวของเจ้าของข้อมูลส่วนบุคคล หากการใช้สิทธิดังกล่าวนั้นอาจ ก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น
   5. สิทธิในการคัดค้านการเก็บรวบรวม และใช้ข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการคัดค้านการเก็บรวบรวม และใช้ข้อมูลของเจ้าของข้อมูลส่วนบุคคลได้ในกรณีต่อไปนี้ โดยแจ้งเป็นลายลักษณ์อักษรให้บริษัททราบ
       (a) การเก็บรวบรวมข้อมูลส่วนบุคคลนั้นเป็นการเก็บรวบรวมได้โดยได้รับยกเว้นไม่ต้องขอความยินยอมเนื่องจากเป็นการจําเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของบริษัท หรือนิติบุคคลอื่นที่ไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคล (เว้นแต่ประโยชน์ดังกล่าวมีความสําคัญน้อยกว่าสิทธิขั้นพื้นฐานในข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล)
       (b) กรณีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้นเป็นไปเพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรงหรือเมื่อบริษัทได้รับแจ้งความประสงค์ในการใช้สิทธิ ดังกล่าวจากเจ้าของข้อมูลส่วนบุคคลบริษัทจะทําการแยกข้อมูลของเจ้าของข้อมูลออกจากข้อมูลอื่นๆ ทันที อย่างไรก็ตามบริษัทขอสงวนสิทธิในการปฏิเสธคําขอใช้สิทธิ ดังกล่าวของเจ้าของข้อมูลส่วนบุคคล ในกรณีที่บริษัทสามารถพิสูจน์ได้ว่า การเก็บ รวบรวมข้อมูลส่วนบุคคลที่ได้รับยกเว้นไม่ต้องขอความยินยอมเนื่องจากเป็นการจําเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของบริษัทนั้นมีเหตุอันชอบด้วยกฎหมายที่สําคัญยิ่งกว่า หรือ เป็นไปเพื่อการก่อตั้งสิทธิตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย
   5.1. สิทธิในการขอให้บริษัททําลายหรือทําให้ข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลเคยได้ให้ไว้กับบริษัทกลายเป็นข้อมูลที่ไม่สามารถใช้ระบุตัวตนได้ เจ้าของข้อมูลส่วนบุคคลสามารถแจ้งให้บริษัททําลายข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วน บุคคล และ/หรือทําให้ข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ไว้กลายเป็นข้อมูลที่ไม่สามารถระบุถึงตัวตนของเจ้าของข้อมูลส่วนบุคคลได้ในกรณีดังต่อไปนี้
       (a) เมื่อข้อมูลส่วนบุคคลหมดความจําเป็นในการเก็บรักษาข้อมูลส่วนบุคคลไว้ตามวัตถุประสงค์
       (b) เมื่อเจ้าของข้อมูลส่วนบุคคลถอนความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น และบริษัทไม่มีอํานาจตามกฎหมายที่จะเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น
       (c) เมื่อเจ้าของข้อมูลส่วนบุคคลใช้สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล และบริษัทไม่มีเหตุผลที่จะใช้ปฏิเสธคําขอได้
       (d) ข้อมูลส่วนบุคคลนั้นถูกเก็บรวบรวม ใช้ หรือเปิดเผยโดยไม่ชอบด้วยกฎหมาย
       (e) เมื่อบริษัทได้รับแจ้งความประสงค์ในการใช้สิทธิดังกล่าวจากเจ้าของข้อมูลส่วนบุคคล บริษัทจะพิจารณาคําขอของเจ้าของข้อมูลส่วนบุคคลเพื่อดําเนินการที่เหมาะสมต่อไปทั้งนี้ภายในระยะเวลาไม่เกิน 30 วัน นับแต่ วันที่ได้รับคําขอดังกล่าว อย่างไรก็ตามบริษัทขอสงวนสิทธิในการปฏิเสธคําขอใช้สิทธิดังกล่าวของเจ้าของข้อมูลส่วนบุคคล หากบริษัทมีความจําเป็นและสิทธิตามกฎหมายที่จะปฏิเสธคําขอดังกล่าวได้
       (f) สิทธิขอให้บริษัทระงับการใช้ข้อมูลของเจ้าของข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลสามารถแจ้งให้บริษัทระงับการใช้ข้อมูลของเจ้าของข้อมูลส่วนบุคคลได้ ทันที โดยแจ้งเป็นลายลักษณ์อักษรให้บริษัททราบ ในกรณีดังต่อไปนี้
           1) เมื่อผู้ควบคุมข้อมูลส่วนบุคคลอยู่ในระหว่างการตรวจสอบความถูกต้อง ครบถ้วนหรือปรับปรุงข้อมูลส่วนบุคคลนั้นให้เป็นข้อมูลปัจจุบันตามคําขอของเจ้าของข้อมูลส่วนบุคคล
           2) เมื่อข้อมูลส่วนบุคคลนั้นอาจถูกลบ หรือทําลายได้ แต่เจ้าของข้อมูลส่วนบุคคลแจ้งขอให้ระงับการใช้งานข้อมูลส่วนบุคคลนั้น แทนการลบ หรือทําลายข้อมูลส่วนบุคคล
           3) เมื่อข้อมูลส่วนบุคคลนั้นหมดความจําเป็นในการเก็บรักษาตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลนั้นแล้ว แต่เจ้าของข้อมูลส่วนบุคคลมีความจําเป็นต้องขอให้เก็บ รักษาไว้เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย หรือ
           4) เมื่อบริษัทอยู่ในระหว่างการพิจารณาการใช้สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
   6. สิทธิในการขอให้บริษัทปรับปรุงข้อมูลของเจ้าของข้อมูลส่วนบุคคลให้ถูกต้อง ให้ครบถ้วนสมบูรณ์ และเป็นข้อมูลที่ตรงตามสภาพปัจจุบัน ในกรณีที่มีการเปลี่ยนแปลงใดๆ ซึ่งข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ไว้กับบริษัท หรือที่บริษัทได้เก็บรวบรวมไว้ หากยังอยู่ภายในระยะเวลาจัดเก็บข้อมูลส่วนบุคคลตามที่กําหนด เจ้าของข้อมูลส่วนบุคคลสามารถแจ้งให้บริษัทดําเนินการแก้ไข ปรับปรุงข้อมูลส่วนบุคคลได้ทุกเมื่อ
   7. สิทธิในการร้องเรียนในกรณีที่พบว่ามีการฝ่าฝืนข้อกําหนดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ ในกรณีที่เจ้าของข้อมูลส่วนบุคคลพบว่าบริษัท และ/หรือ ลูกจ้างของ บริษัทมีการดําเนินการใดๆ ที่ฝ่าฝืนหรือไม่เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ เจ้าของข้อมูลส่วนบุคคลสามารถแจ้งการดําเนินการที่ไม่ถูกต้องนั้นมายังบริษัทและ/หรือหน่วยงานของรัฐที่เกี่ยวข้องได้

9. การเก็บรวบรวมข้อมูลส่วนบุคคล

   การเก็บรวบรวมข้อมูลส่วนบุคคล ในการเก็บรวบรวมข้อมูลส่วนบุคคลไม่ว่าในเวลาใด บริษัทจะปฏิบัติการตามหลักการและแนวทางดังต่อไปนี้

   1. บริษัทจะทําการเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จําเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย และตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้ก่อนหรือในขณะที่เก็บรวบรวมข้อมูลส่วนบุคคลเท่านั้น
   2. ก่อนดําเนินการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล บริษัทจะทําการพิจารณาดังต่อไปนี้
       (a) ข้อมูลส่วนบุคคลที่ต้องการเก็บรวบรวม ใช้ หรือเปิดเผยนั้น เป็นข้อมูลที่จําเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยตามวัตถุประสงค์หลักของการประกอบธุรกิจหรือไม่
       (b) ข้อมูลส่วนบุคคลที่ต้องการเก็บรวบรวม ใช้ หรือเปิดเผยนั้น เป็นการเก็บรวบรวม ใช้หรือเปิดเผยตามวัตถุประสงค์ซึ่งกฎหมายกําหนดให้สามารถเก็บรวบรวม ใช้ หรือเปิดเผย โดยไม่จําเป็นต้องได้รับความยินยอม หรือจําเป็นต้องได้รับความยินยอม
       (c) ข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล บริษัทจะต้องดําเนินการแจ้งรายละเอียดต่อไปนี้เสมอ
           1) วัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อนําไปใช้หรือเปิดเผย
           2) เหตุผลและความจําเป็นในการที่ต้องได้รับข้อมูลส่วนบุคคล รวมทั้งผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล
           3) ข้อมูลส่วนบุคคลที่ต้องการเก็บรวบรวม และระยะเวลาในการเก็บรวบรวม
           4) ประเภทของบุคคลหรือหน่วยงานซึ่งข้อมูลที่เก็บรวบรวมอาจถูกเปิดเผยต่อ
           5) ข้อมูลเกี่ยวกับบริษัทในฐานะผู้ควบคุมข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อ โดยในกรณีที่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลให้แจ้งข้อมูล สถานที่ติดต่อและวิธีการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลด้วย
       (d) ในกรณีที่บริษัทจะนําข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไปใช้สําหรับวัตถุประสงค์อื่นนอกจากที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบไว้แล้ว บริษัทจะต้องทําการแจ้งวัตถุประสงค์ ใหม่ให้เจ้าของข้อมูลส่วนบุคคลได้รับทราบและขอรับความยินยอมก่อนเก็บรวบรวมข้อมูลเสมอเว้นแต่เป็นกรณีที่กฎหมายอนุญาตให้กระทําได้

10. การเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นนอกจากเจ้าของข้อมูลส่วนบุคคล

    บริษัทจะทําการเก็บรวบรวมข้อมูลส่วนบุคคลโดยตรงจากเจ้าของข้อมูลส่วนบุคคลเสมอ เว้นแต่

    1. เป็นกรณีที่บริษัทได้รับยกเว้นตามกฎหมายให้สามารถเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคล หรือ
    2. เป็นกรณีที่บริษัทมีความจําเป็นต้องมีการเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่เจ้าของข้อมูลส่วนบุคคล บริษัทจะดําเนินการดังต่อไปนี้
        (a) ในกรณีที่บริษัทจะนําข้อมูลนั้นไปใช้เพื่อการติดต่อกับเจ้าของข้อมูล บริษัทต้องแจ้งให้เจ้าของข้อมูลทราบถึงการเก็บรวบรวมข้อมูลจากแหล่งอื่นนั้น ในการติดต่อครั้งแรก พร้อม ทั้งการแจ้งรายละเอียดก่อนการเก็บข้อมูลส่วนบุคคลดังที่ระบุในข้อ 8. รวมทั้ง วัตถุประสงค์ในการจัดเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ทั้งนี้ภายใน 30 วัน นับแต่วันที่มีการเก็บรวบรวมข้อมูล เว้นแต่เป็นกรณีที่บริษัทได้รับยกเว้นให้ไม่ต้องแจ้งวัตถุประสงค์ของการเก็บข้อมูลดังกล่าว
        (b) ในกรณีที่บริษัทได้รับความยินยอมให้สามารถเก็บรวบรวมข้อมูลส่วนบุคคลนั้น บริษัทต้องแจ้งให้เจ้าของข้อมูลทราบถึงการเก็บรวบรวมข้อมูลจากแหล่งอื่นนั้นให้เจ้าของข้อมูลส่วน บุคคลทราบภายใน 30 วัน นับแต่วันที่ได้รับความยินยอม พร้อมทั้งการแจ้งรายละเอียด ก่อนการเก็บข้อมูลส่วนบุคคลดังที่ระบุในข้อ 8. รวมทั้งวัตถุประสงค์ในการจัดเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ทั้งนี้ภายใน 30 วัน นับแต่วันที่มีการเก็บรวบรวมข้อมูล เว้นแต่เป็นกรณีที่บริษัทได้รับยกเว้นให้ไม่แจ้งวัตถุประสงค์ของการเก็บข้อมูลดังกล่าว ในกรณีที่บริษัทจะนําข้อมูลส่วนบุคคลที่เก็บจากแหล่งอื่นนั้นไปเปิดเผยต่อ บริษัทจะทําการแจ้งถึงการเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลจากแหล่งอื่นรวมทั้ง วัตถุประสงค์ในการจัดเก็บ ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนั้น ทั้งนี้ภายใน 30 วัน นับแต่ วันที่มีการเก็บรวบรวมข้อมูล เว้นแต่เป็นกรณีที่บริษัทได้รับยกเว้นให้ไม่จําเป็นต้องแจ้ง วัตถุประสงค์ของการเก็บข้อมูลดังกล่าว และต้องแจ้งกรณีดังกล่าวก่อนที่จะดําเนินการนําข้อมูลนั้นไปเปิดเผยเป็นครั้งแรก

11. การใช้ข้อมูลส่วนบุคคล

    1. บริษัทจะประมวลข้อมูลส่วนบุคคล เมื่อได้รับความยินยอมจากเจ้าของข้อมูล เว้นแต่การประมวลผลข้อมูลส่วนบุคคลดังกล่าวอยู่ภายใต้ข้อยกเว้นตามกฎหมาย ดังต่อไปนี้
        (a) ในส่วนสัญญา (Contract) เมื่อเจ้าของข้อมูลส่วนบุคคลติดต่อมายังบริษัทผ่านทางเว็บไซต์หรือโทรศัพท์ บริษัทจะนำข้อมูลส่วนบุคคลของเจ้าของข้อมูลไปประมวลผลเกี่ยวกับสินค้าหรือบริการ เพื่อดำเนินการติดต่อหรือเสนอบริการตามสัญญาต่อไป
        (b) ในส่วนความยินยอม (Consent) บริษัทอาจรวบรวมข้อมูลเพื่อเป็นฐานข้อมูลลูกค้า เพื่อนำไปวิเคราะห์หรือเสนอบริการใหม่หากเจ้าของข้อมูลไม่ประสงค์ สามารถแจ้งความประสงค์มายังบริษัท
        (c) ในส่วนประโยชน์อันชอบธรรม (Legitimate Interest) บริษัทอาจประมวลผลข้อมูลส่วนบุคคลเพื่อดำเนินงานที่จำเป็นภายใต้ประโยชน์โดยชอบด้วยกฎหมาย
        (d) ในส่วนประโยชน์สำคัญต่อชีวิต (Vital Interest) บริษัทอาจประมวลผลข้อมูลส่วนบุคคลเพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของเจ้าของข้อมูล
        (e) ในส่วนหน้าที่ตามกฎหมาย (Legal Obligation)
    2. หลักการทั่วไปในการใช้ข้อมูลส่วนบุคคล บริษัทจะใช้ข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้เท่านั้น สําหรับข้อมูลส่วนบุคคลที่บริษัทสามารถเก็บรวบรวมได้โดยไม่ต้องรับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลนั้น บริษัทจะใช้ข้อมูลส่วนบุคคลดังกล่าว เฉพาะเพื่อวัตถุประสงค์ของบริษัทเท่านั้น
    3. การเข้าถึงข้อมูลส่วนบุคคล บริษัทได้กําหนดเงื่อนไขและวิธีการเข้าถึงข้อมูลส่วนบุคคลที่บริษัทได้เก็บรวบรวมไว้ เพื่อใช้หรือเปิดเผยตามวัตถุประสงค์ที่ได้แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ
    4. การประเมินผลกระทบต่อข้อมูลส่วนบุคคล บริษัทจะจัดให้มีการดําเนินการประเมินผลกระทบต่อข้อมูลส่วนบุคคลทุกครั้งในกรณีที่บริษัทจะมีการใช้งาน ข้อมูลส่วนบุคคลในลักษณะที่มีความเสี่ยงสูง โดยจะจัดทําการประเมินดังกล่าวตามแบบประเมินผลกระทบต่อข้อมูลส่วนบุคคล (Data Protection Impact Assessment)

12. การจัดเก็บข้อมูลส่วนบุคคล และวิธีการเก็บรักษาและคุ้มครองข้อมูลส่วนบุคคล

    1. การบันทึกรายละเอียดเกี่ยวกับข้อมูลส่วนบุคคล
        (a) ในส่วนหน้าที่ตามกฎหมาย (Legal Obligation) การปฏิบัติงานของบริษัท จะจัดทํารายการเกี่ยวกับการจัดเก็บข้อมูลส่วนบุคคลของแต่ละแผนกของบริษัท เพื่อใช้ในการบันทึกและแสดงสรุปข้อมูลส่วนบุคคลที่มีการเก็บรวบรวมและวัตถุประสงค์ของการเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท และระยะเวลาในการจัดเก็บข้อมูลส่วนบุคคลแต่ละประเภท และจัดเก็บในระบบฐานข้อมูลของบริษัท
        (b) บริษัทจะจัดให้มีบันทึกการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล ซึ่งจะมีการบันทึกรายละเอียดเกี่ยวกับการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล และรายละเอียดการดําเนินการของบริษัทต่อคําร้องขอใช้สิทธินั้น ซึ่งรวมถึงกรณีที่บริษัทปฏิเสธการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล
    2. วิธีการเก็บรักษาข้อมูลส่วนบุคคล
        (a) บริษัทจะดําเนินการให้เป็นที่แน่ใจว่าการดําเนินการใดๆ กับข้อมูลส่วนบุคคลที่บริษัทได้จัดเก็บมานั้นจะได้รับการคุ้มครองที่เหมาะสม และปลอดภัยจากการสูญหาย การใช้ เข้าถึง เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยบุคคลที่ปราศจากอํานาจ หรือการดําเนินการใดๆ ที่ไม่ชอบด้วยกฎหมาย
        (b) บริษัทจะสร้างความมั่นคงปลอดภัยให้กับข้อมูลส่วนบุคคล ซึ่งครอบคลุมถึงการสร้างมาตรฐานการป้องกันความปลอดภัยให้กับข้อมูลส่วนบุคคลในเรื่องการเข้าถึงหรือควบคุมการใช้งานข้อมูล ส่วนบุคคล (access control) ทั้ง มาตรการป้องกันทางด้านการบริหารจัดการ (administrative safeguard) มาตรการป้องกันทางด้านเทคนิค (technical safeguard) และมาตรการป้องกันทางกายภาพ (physical safeguard) ซึ่งอย่างน้อยจะประกอบด้วย
            1) การควบคุมการเข้าถึงข้อมูลส่วนบุคคลและอุปกรณ์ในการจัดเก็บข้อมูลส่วนบุคคล
            2) การกําหนดเกี่ยวกับการอนุญาตหรือการกําหนดสิทธิในการเข้าถึงข้อมูลส่วนบุคคล
            3) การบริหารจัดการการเข้าถึงของผู้ใช้งานเพื่อควบคุมการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต การเปิดเผย การล่วงรู้ หรือการลักลอบทําสําเนาข้อมูลส่วนบุคคล การลักขโมยอุปกรณ์จัดเก็บหรือประมวลผลข้อมูลส่วนบุคคล
            4) การจัดให้มีวิธีการเพื่อให้สามารถตรวจสอบย้อนหลังเกี่ยวกับการเข้าถึง เปลี่ยนแปลง ลบ หรือถ่ายโอนข้อมูลส่วนบุคคล ให้สอดคล้องเหมาะสมกับวิธีการและสื่อที่ใช้ในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล
        (c) บริษัทจะทําการเก็บรักษาข้อมูลส่วนบุคคลในสถานที่ปลอดภัย ซึ่งได้รับการดูแลที่เหมาะสมสําหรับการเก็บข้อมูลในรูปแบบต่างๆ (เอกสาร และ/หรือไฟล์อิเล็กทรอนิกส์) ทั้งนี้ตามแนวนโยบายและวิธีการปฏิบัติที่กําหนดในเอกสารนโยบายวิธีการปฏิบัติ บริษัทได้จํากัดผู้ที่สามารถเข้าถึงข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลเฉพาะบุคคลที่มีหน้าที่และความรับผิดชอบเกี่ยวข้องกับการประมวลผลข้อมูลตามที่บริษัทกําหนด โดยบุคคลดังกล่าวจะสามารถดําเนินการใดๆ กับข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลได้เฉพาะตามหน้าที่และตามคําสั่งของบริษัทเท่านั้น และต้องเก็บข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไว้เป็นความลับ

13. การเปิดเผยข้อมูลส่วนบุคคล

    ในการเปิดเผยข้อมูลส่วนบุคคลซึ่งบริษัทได้เก็บรวบรวมไว้ ไม่ว่าในเวลาใด บริษัทจะปฏิบัติการตามหลักการ และแนวทางดังต่อไปนี้

    1. บริษัทจะเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งเจ้าของข้อมูลส่วนบุคคลไว้เท่านั้น
    2. สําหรับข้อมูลส่วนบุคคลที่บริษัทสามารถเก็บรวบรวมได้โดยไม่ต้องรับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล บริษัทจะเปิดเผยข้อมูลส่วนบุคคล ดังกล่าวเฉพาะเพื่อวัตถุประสงค์ที่บริษัทได้กำหนดไว้ และบริษัทจะทําการบันทึกการ เปิดเผยข้อมูลส่วนบุคคลดังกล่าวไว้ในบันทึกเกี่ยวกับการดําเนินการเรื่องข้อมูลส่วนบุคคลของบริษัท
    3. การเปิดเผยข้อมูลส่วนบุคคลไปยังผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัท
        (a) ในการดําเนินธุรกิจของบริษัท บริษัทอาจมอบหมายให้บุคคลอื่นนอกเหนือจากบุคลากรของบริษัทเป็นผู้ดําเนินการงานบางประเภทตามคําสั่งและขอบเขตงานที่กําหนดโดยบริษัท โดยในการดําเนินการงานดังกล่าว หากบุคคลดังกล่าวต้องมีการประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลซึ่งบริษัทได้จัดเก็บไว้เพื่อใช้ประกอบการปฏิบัติงานที่ได้รับมอบหมาย ตามคําสั่งของบริษัทเพื่อวัตถุประสงค์ตามที่บริษัทกําหนดแล้ว บุคคลดังกล่าวมีสถานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัท
        (b) ในการมอบหมายให้ผู้ประมวลผลข้อมูลส่วนบุคคลของบริษัทดําเนินการประมวลผลข้อมูลส่วนบุคคลนั้น บริษัทต้องกําหนดให้ผู้ประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ต้องปฏิบัติการตามคําสั่ง และเงื่อนไขการปฏิบัติงานในส่วนที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลตามนโยบายและ มาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ดีและสอดคล้องกับข้อกําหนดตามพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และระเบียบที่เกี่ยวข้อง และ บริษัทจะเข้าทําสัญญา ประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) กับผู้ประมวลผลข้อมูลส่วน บุคคล ซึ่งมีข้อกําหนดที่ชัดเจนในการให้ผู้ประมวลผลข้อมูลส่วนบุคคลต้องใช้ความพยายามอย่างเต็มที่ในการคุ้มครองข้อมูลส่วนบุคคล
        (c) การเปิดเผยข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลส่วนบุคคลอื่น
            1) ผู้ควบคุมข้อมูลส่วนบุคคลอื่น คือ บุคคลภายนอกที่ไม่ใช่บริษัท ไม่ว่าที่เป็นบุคคลธรรมดา หรือ นิติบุคคล ที่มีอํานาจหน้าที่ในการตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลด้วยตนเอง
            2) บริษัทจะทําการส่งหรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลไปให้กับบุคคลภายนอกอื่น เฉพาะเมื่อเป็นกรณีที่บริษัทมีความจําเป็นต้องปฏิบัติการตามกฎหมาย หรือ เนื่องจากผลของความผูกพันตามสัญญาระหว่างบริษัทและผู้ควบคุมข้อมูลส่วนบุคคลอื่น หรือ เมื่อได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล (แล้วแต่กรณี)
            3) ในการส่งหรือเปิดเผยข้อมูลส่วนบุคคลให้กับผู้ควบคุมข้อมูลส่วนบุคคลอื่นนั้น บริษัทจะแจ้งให้เจ้าของข้อมูลส่วนบุคคลได้รับทราบรายการข้อมูลที่จะเปิดเผย วัตถุประสงค์และเหตุผลในการเปิดเผย พร้อมทั้งชื่อของผู้ควบคุมข้อมูลส่วนบุคคลอื่นดังกล่าว เว้นแต่เป็นกรณีของการส่งข้อมูลส่วนบุคคลให้กับหน่วยงานรัฐที่มีอํานาจตามกฎหมายที่เกี่ยวข้อง บริษัทจะปฏิบัติการดังกล่าวตามกฎหมายที่เกี่ยวข้อง
            4) บริษัท จะไม่เปิดเผยข้อมูลส่วนบุคคลให้กับหน่วยงานหรือบุคคลอื่นใด เว้นแต่กรณีดังนี้
                i. ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
                ii. คำสั่งศาล พนักงานเจ้าหน้าที่ หรือ กฎหมาย ให้เปิดเผยข้อมูลดังกล่าว บริษัทอาจส่งต่อข้อมูลส่วนบุคคลของเจ้าของข้อมูลระหว่างบริษัทในเครือด้วยกัน เพื่อการให้บริการแก่เจ้าของข้อมูลอย่างมีประสิทธิภาพและบรรลุตามวัตถุประสงค์ โดยข้อมูลที่อาจส่งต่อได้แก่ ชื่อลูกค้า ที่อยู่ หมายเลขโทรศัพท์ หมายเลขโทรสาร ที่อยู่อีเมล ชื่อบริษัท (องค์กร) ตำแหน่งงาน และข้อมูลที่เกี่ยวข้องกับการขาย โดยจะเปิดเผยข้อมูลดังกล่าวเพื่อวัตถุประสงค์ในการให้บริการเท่านั้น

14. การทําลายข้อมูลส่วนบุคคล

    บริษัทจะดําเนินการลบหรือทําลายข้อมูลส่วนบุคคลเมื่อพ้นกําหนดระยะเวลาการเก็บรักษาข้อมูลตามที่ระบุไว้สําหรับ ข้อมูลแต่ละประเภท หรือในกรณีที่ข้อมูลส่วนบุคคลนั้นไม่จําเป็นตามวัตถุประสงค์ของบริษัทหรือกฎหมายที่เกี่ยวข้องในการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลดังกล่าวนั้นอีกต่อไป หรือเมื่อได้รับการร้องขอจากเจ้าของข้อมูลส่วนบุคคล ทั้งนี้ตามวิธีการและเงื่อนไขดังที่ระบุในนโยบายเกี่ยวกับการควบคุมเอกสารและการบันทึก

    1. หน่วยงานด้านเอกสาร หน่วยงานที่เป็นผู้ควบคุมเอกสารนั้น ของบริษัทจะมีหน้าที่ในการตรวจสอบและคัดแยกข้อมูลส่วนบุคคลที่ครบกําหนดระยะเวลาในการเก็บรักษาข้อมูล และดําเนินการในการทําลายเอกสาร ตามวิธีการและข้อกําหนดดังต่อไปนี้
    2. ในกรณีที่ข้อมูลส่วนบุคคลนั้นถูกจัดเก็บอยู่ในรูปแบบเอกสารหนังสือ ให้ทําการทําลายข้อมูลนั้นโดยการนําเข้าเครื่องย่อย หรือ ทําลายเอกสาร
    3. ในกรณีที่ข้อมูลส่วนบุคคลนั้นถูกจัดเก็บอยู่ในรูปแบบไฟล์อิเล็กทรอนิกส์ ให้หน่วยงานด้านเอกสาร /หน่วยงานที่เป็นผู้ควบคุมเอกสารนั้น ทําการติดต่อกับฝ่ายเทคโนโลยีสารสนเทศของบริษัท เพื่อทําการลบ ทําลายไฟล์อิเล็กทรอนิกส์ดังกล่าว

    ระยะเวลาในการเก็บรวบรวมข้อมูลส่วนบุคคลนั้น จะจัดเก็บไว้ตลอดระยะเวลาการทำสัญญา และอีกไม่เกิน 2 ปี นับแต่วันที่สัญญาครบกำหนด และบริษัทมีหน้าที่จัดให้มีระบบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคล เมื่อหมดความจำเป็นหรือพ้นกำหนดระยะเวลาการเก็บรักษา ซึ่งการดำเนินการลบหรือทำลาย (Erasure) หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้อีก (Anonymization)

15. การฝึกอบรมบุคลากรที่เกี่ยวข้อง และการให้ข้อมูล

    การฝึกอบรมบุคลากรที่เกี่ยวข้อง และการให้ข้อมูลเกี่ยวกับวิธีการปฏิบัติที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลกับคู่ค้า หรือผู้ใช้บริการของบริษัท บริษัทจะทําการจัดอบรมและให้ความรู้แก่บุคลากรของบริษัทเพื่อให้เข้าใจ รับทราบ ตระหนักถึงความสําคัญ และ สามารถปฏิบัติการตามข้อกําหนดและแนวทางเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลได้อย่างเหมาะสมและถูกต้อง

16. การตรวจสอบและปรับปรุงการดําเนินการของบริษัทเกี่ยวกับข้อมูลส่วนบุคคล

    บริษัทจะทําการพัฒนาและปรับปรุงนโยบายและเอกสารต่างๆ ที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลเป็นระยะๆ ทุกครั้งที่มีการปรับปรุงกฎหมายที่เกี่ยวข้อง หรือทุกครั้งที่มีการปรับปรุงการปฏิบัติภายในของบริษัท

17. การละเมิดข้อมูลส่วนบุคคล

    1. ในกรณีที่บุคคลใด ๆ พบว่ามีหรือมีเหตุอันควรให้สงสัยว่าอาจมีการรั่วไหลของข้อมูลส่วนบุคคล หรือการดําเนินการในส่วนที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยบริษัทนั้นขัดแย้ง หรือไม่เป็นไปตามข้อกําหนดของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และ/หรือ ระเบียบใด ๆ ที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล หรือข้อกําหนดตามนโยบายฉบับนี้ โปรดแจ้งให้บริษัทและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัทตามนโยบายฉบับนี้
    2. ในกรณีที่เกิดการรั่วไหลของข้อมูลส่วนบุคคล หรือการดําเนินการในส่วนที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลโดยบริษัทนั้นขัดแย้ง หรือไม่เป็นไปตามข้อกําหนดของพระราชบัญญัติ คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และ/หรือระเบียบใดๆ ที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วน บุคคล หรือข้อกําหนดตามนโยบายฉบับนี้ บริษัทจะปฏิบัติการตามข้อกําหนดและวิธีการที่ระบุไว้ในแนวปฏิบัติในกรณีเกิดการละเมิดข้อมูลส่วนบุคคลภายในระยะเวลาที่เหมาะสม
    3. บริษัทสนับสนุนให้การบริหารจัดการความเสี่ยงขององค์กร และหน่วยงานต่างๆที่เกี่ยวข้อง มีการพิจารณาความเสี่ยงที่เกี่ยวข้องกับข้อมูลส่วนบุคคล และดําเนินการจัดการความเสี่ยงที่มีอย่างเหมาะสม และให้มีการตรวจสอบการดําเนินการที่เกี่ยวข้องกับข้อมูลส่วนบุคคลโดยหน่วยงานตรวจสอบภายใน
    4. ในกรณีที่บริษัทมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคล เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลมีหน้าที่แจ้ง เหตุการณ์ละเมิดข้อมูลส่วนบุคคลแก่สํานักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน เจ็ดสิบสองชั่วโมง นับแต่ทราบเหตุเท่าที่จะสามารถกระทําได้ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะมี ผลกระทบต่อ สิทธิและเสรีภาพของบุคคล ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะมีผลกระทบต่อสิทธิและ เสรีภาพ ของบุคคล ให้แจ้งเหตุการละเมิดให้เจ้าของข้อมูลส่วนบุคคลทราบพร้อมกับแนวทางการเยียวยา โดย ไม่ชักช้าด้วย

18. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล/ หน่วยงานภายในที่ดูแลเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

    บริษัทได้ แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล / มอบหมายหน้าที่ให้กับหน่วยงานภายในที่ดูแลเกี่ยวกับการ คุ้มครองข้อมูลส่วนบุคคล เพื่อปฏิบัติหน้าที่ในการให้คําแนะนําและตรวจสอบการดําเนินการของบริษัทในส่วนที่ เกี่ยวข้องกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลให้เป็นไปตามข้อกําหนดภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ และกฎระเบียบที่เกี่ยวข้อง ในการนี้บริษัทได้จัดทําเอกสารสรุปหน้าที่ความ รับผิดชอบและการปฏิบัติหน้าที่ของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลไว้ในเอกสารสรุปหน้าที่ความรับผิดชอบ และคุณสมบัติในเบื้องต้นของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล และหน่วยงานภายในของบริษัทที่ เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล เพื่อให้การปฏิบัติงานของเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล/ หน่วยงานภายในที่ดูแลเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และบุคคลที่เกี่ยวข้องนั้นเป็นไปด้วยความเรียบร้อย และตรงตามวัตถุประสงค์ที่กําหนดในกฎหมายคุ้มครองข้อมูลส่วนบุคคล

    ในกรณีที่เจ้าของข้อมูลส่วนบุคคลประสงค์จะใช้สิทธิอย่างใด ๆ ของเจ้าของข้อมูลส่วนบุคคลสามารถแจ้งความประสงค์ในการใช้สิทธิดังกล่าวมายังบริษัท ได้ตามช่องทางการติดต่อของทางบริษัทดังต่อไปนี้
            ผู้ควบคุมข้อมูลส่วนบุคคล บริษัท โกลด์โฟน อีซี่ จำกัด
            91/21-22 หมู่บ้านธนานนท์ แลนด์ หมู่ที่ 1 ต.อ้อมเกร็ด อ.ปากเกร็ด จ.นนทบุรี 11120
            โทรศัพท์ : 02-109-4277
        หมายเหตุ : ปัจจุบันบริษัทยังไม่มีการแต่ตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer – DPO)

19. บทกําหนดโทษ

    การลงโทษตามระเบียบของบริษัท พนักงานที่ละเลยไม่ปฏิบัติตามตาม พรบ. คุ้มครองข้อมูล และไม่ปฏิบัติตามนโยบายฉบับนี้ ต้องได้รับโทษตามระเบียบของบริษัท รวมทั้งโทษอื่นที่เกี่ยวข้อง บริษัทสงวนสิทธิ์ในการแก้ไข เปลี่ยนแปลง หรือยกเลิกระเบียบฉบับนี้ได้ตามความเหมาะสม

20. การเปลี่ยนแปลงนโยบายความเป็นส่วนตัว (Privacy Policy)

    นโยบายของบริษัทที่เกี่ยวกับข้อมูลส่วนบุคคล (Privacy Policy) โดยนโยบายนี้จัดทำขึ้นเพื่อแจ้งรายละเอียดและวิธีการคุ้มครองข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล โดยบริษัทอาจดำเนินการปรับปรุงหรือแก้ไขนโยบายความเป็นส่วนตัวนี้ไม่ว่าบางส่วนหรือทั้งหมดเป็นครั้งคราว เพื่อให้สอดคล้องกับแนวทางและหลักเกณฑ์ของกฎหมายที่มีการเปลี่ยนแปลงไป ดังนั้นเจ้าของข้อมูลส่วนบุคคลจึงควรติดตามนโยบายความเป็นส่วนตัวที่กำหนดไว้นี้อยู่เสมอ

นโยบายฉบับนี้ให้มีผลบังคับใช้ตั้งแต่วันที่ 1 มิถุนายน 2569 เป็นต้นไป

บริษัท โกลด์โฟน อีซี่ จำกัด