นโยบายคุ้มครองข้อมูลส่วนบุคคล

บริษัท อิชิตัน กรุ๊ป จำกัด (มหาชน) ตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคล เนื่องจากการคุ้มครองข้อมูลส่วนบุคคลเป็นส่วนหนึ่งของการรับผิดชอบต่อสังคมและเป็นรากฐานในการสร้างความสัมพันธ์ทางธุรกิจที่น่าเชื่อถือกับลูกค้า บริษัทฯ จึงยึดมั่นในการปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และกฎเกณฑ์ทางการอื่น ๆ ที่เกี่ยวข้อง

นโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ถูกจัดทำขึ้นเพื่อจัดให้มีวิธีการจัดการข้อมูลส่วนบุคคลที่เหมาะสม และมีมาตรการรักษาความปลอดภัยที่เหมาะสมสำหรับการปกป้องข้อมูลส่วนบุคคลของลูกค้าที่บริษัทฯ ทำการรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลให้ถูกต้องตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล กฎหมายและกฎเกณฑ์ทางการ อื่นๆ ที่เกี่ยวข้อง

ผู้บริหารและพนักงานต้องประมวลผลและรักษาความปลอดภัยของข้อมูลส่วนบุคคลไว้ให้เป็นข้อมูลลับ และรักษาไว้มิให้สูญหาย ถูกนำไปใช้ในทางมิชอบ หรือถูกเข้าถึงโดยมิได้รับอนุญาต ผู้บริหารและพนักงานเท่านั้นที่ได้รับอนุญาตให้เข้าถึงข้อมูลส่วนบุคคลได้ตามความจำเป็น เพื่อตอบสนองความจำเป็นทางธุรกิจซึ่งถูกต้องตามกฎหมาย ภายในขอบเขตของบทบาทหน้าที่และภาระงานที่ตนได้รับมอบหมายเท่านั้น ห้ามมิให้ผู้บริหารและพนักงานใช้หรือเข้าถึงข้อมูลส่วนบุคคลเกินกว่าขอบเขตการทำงานของบริษัทฯ ห้ามเปิดเผยข้อมูลแก่ผู้ที่มิได้รับอนุญาต ทั้งภายในหรือภายนอกบริษัท และห้ามประมวลผลข้อมูลส่วนบุคคลในลักษณะอันใดไม่สอดคล้องตรงตามนโยบายนี้

นิยาม

บริษัทฯ หมายถึง บริษัท อิชิตัน กรุ๊ป จำกัด (มหาชน)

ผู้ใช้บริการ/ลูกค้า หมายถึง บุคคลหรือนิติบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคล ที่เข้าใช้บริการต่าง ๆ ของ บริษัท อิชิตัน กรุ๊ป จำกัด (มหาชน)

ผู้มีอำนาจอนุมัติ หมายถึง ผู้ที่ได้รับมอบหมายจากบริษัทฯ ให้มีอำนาจในการอนุมัติใด ๆ ภายใต้ขอบเขตอำนาจที่ได้รับจากบริษัทฯ

ผู้ดูแลระบบงาน หมายถึง หน่วยงานหรือผู้ที่ได้รับมอบหมายจากเจ้าของระบบงานหรือเจ้าของข้อมูลส่วนบุคคล ให้ทำหน้าที่รับผิดชอบดูแลระบบงานหนึ่ง ๆ

เจ้าของระบบงาน หมายถึง ผู้บริหารของฝ่ายงานทางธุรกิจ หรือผู้บริหาร ที่มีหน้าที่และความรับผิดชอบต่อระบบงานหนึ่ง ๆ

ผู้บริหารและพนักงาน ผู้บริหาร ผู้อำนวยการ เจ้าหน้าที่ พนักงาน พนักงานชั่วคราว และบุคคลใด ๆ ที่ได้รับการจ้างงานหรือรับจ้างทำงานตามสัญญา บริษัท อิชิตัน กรุ๊ป จำกัด (มหาชน)

เจ้าของข้อมูล ส่วนบุคคล หมายถึง บุคคลซึ่งสามารถถูกระบุตัวตนได้โดยข้อมูลส่วนบุคคลนั้น ๆ ไม่ว่าโดยทางตรงหรือทางอ้อม มีความหมายในลักษณะเป็นบุคคลที่ข้อมูลนั้นชี้บ่งไปถึง ไม่ใช่เป็นเจ้าของในลักษณะทรัพยสิทธิ หรือเป็นคนสร้างข้อมูลนั้นขึ้นมา

ผู้เยาว์ หมายถึง บุคคลธรรมดาที่มีอายุยังไม่ครบยี่สิบปีบริบูรณ์ ยกเว้นบุคคลธรรมดาที่มีอายุยังไม่ครบยี่สิบปีบริบูรณ์แต่ได้ทำการสมรสตามกฎหมายอันมีผลให้เป็นผู้บรรลุนิติภาวะตามบทบัญญัติแห่งกฎหมาย

คนไร้ความสามารถ หมายถึง บุคคลที่มีการพิการ หรือมีจิตฟั่นเฟือนไม่สมประกอบ หรือประพฤติสุรุ่ยสุร่ายเสเพลเป็นอาจิณ หรือติดสุรายาเมา หรือเหตุอื่นใดทำนองเดียวกัน จนไม่สามารถจัดทำการงานโดยตนเองได้ หรือจัดกิจการไปในทางที่เสื่อมเสียแก่ทรัพย์สินของตนเองหรือครอบครัว ซึ่งศาลได้สั่งให้เป็นคนเสมือนไร้ความสามารถและอยู่ในความดูแลของผู้พิทักษ์ที่ศาลแต่งตั้ง

ผู้พิทักษ์ หมายถึง ผู้มีหน้าที่ดูแล “คนเสมือนไร้ความสามารถ” โดยพนักงานอัยการ ร้องขอต่อศาล และศาลได้ตัดสินให้เป็น “ผู้พิทักษ์” ให้ทำการดูแล “คนเสมือนไร้ความสามารถ”

ผู้อนุบาล หมายถึง ผู้ที่มีหน้าที่ดูแล “คนไร้ความสามารถ” รวมทั้งจัดการดูแลทรัพย์สินตลอดจนทำหน้าที่ต่าง ๆ แทนคนไร้ความสามารถ

ข้อมูลส่วนบุคคล หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ (มาตรา ๖ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒) เช่น ชื่อ นามสกุล อีเมล รูป ลายนิ้วมือ รหัสประชาชนสามารถระบุตัวบุคคลได้ในทางตรง หรือ การเก็บ Location หรือ Cookie เป็นการเก็บข้อมูลซึ่งทำให้สามารถระบุตัวบุคคลได้ในทางอ้อม นอกจากนี้ ข้อมูลที่โดยพื้นฐานแล้วไม่สามารถนำไประบุตัวบุคคลได้ แต่เมื่อนำไปใช้ร่วมกับข้อมูลอื่นแล้วก่อให้เกิดชุดข้อมูลที่สามารถระบุข้อมูลส่วนบุคคลได้ เก็บข้อมูลเหล่านั้นไว้ ก็เป็นการเก็บข้อมูลส่วนบุคคล เช่น ที่อยู่ เพศและอายุ เมื่อนำมารวมกันสามารถนำไประบุตัวบุคคลได้ก็จะเกิดเป็นข้อมูลส่วนบุคคล

ข้อมูลส่วนบุคคลที่มีความอ่อนไหว หมายถึง ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ

ข้อมูลชีวภาพ หมายถึง ข้อมูลส่วนบุคคลที่เกิดจากการใช้เทคนิคหรือเทคโนโลยีที่เกี่ยวข้องกับการนำลักษณะเด่นทางกายภาพหรือทางพฤติกรรมของบุคคลมาใช้ทำให้สามารถยืนยันตัวตนของบุคคลนั้นที่ไม่เหมือนกับบุคคลอื่นได้ เช่น ข้อมูลจำลองภาพใบหน้า (Face Recognition) ข้อมูลจำลองม่านตา หรือข้อมูลจำลองลายนิ้วมือ

ข้อมูลสาธารณะ หมายถึง ข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลได้เปิดเผยต่อสาธารณชน เช่น ข้อมูลโปรไฟล์สื่อสังคมออนไลน์ เมื่อมีการใช้ข้อมูลและรหัสการเข้าระบบของสื่อสังคมออนไลน์ (Social Media Credential) เช่น Facebook Twitter และ Line เพื่อเชื่อมต่อหรือเข้าสู่บริการใด ๆ ของบริษัทฯ เช่น บัญชีสื่อสังคมออนไลน์ (Social Media Account ID) สิ่งที่สนใจ (Interests) รายการที่ชอบ (Likes) และรายชื่อเพื่อนของเจ้าของข้อมูลส่วนบุคคล ซึ่งเจ้าของข้อมูลส่วนบุคคลสามารถควบคุมการจัดเก็บความเป็นส่วนตัวนี้ผ่านการตั้งค่าบัญชีสื่อสังคมออนไลน์ที่จัดทำไว้ให้โดยผู้ให้บริการสื่อสังคมออนไลน์ดังกล่าว

ผู้ควบคุมข้อมูลส่วนบุคคล หมายถึง ผู้ที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

ผู้ประมวลผลข้อมูล หมายถึง ผู้ซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล

การประมวลผลข้อมูล หมายถึง การดำเนินการใด ๆ ซึ่งกระทำต่อข้อมูลส่วนบุคคลหรือชุดข้อมูลส่วนบุคคล ไม่ว่าจะโดยวิธีการอัตโนมัติหรือไม่ เช่น การเก็บ บันทึก จัดระบบจัดโครงสร้างเก็บรักษา เปลี่ยนแปลงหรือปรับเปลี่ยน การรับ พิจารณา ใช้ เปิดเผยด้วยการส่งต่อ เผยแพร่ หรือการกระทำอื่นใดซึ่งทำให้เกิดความพร้อมใช้งาน การจัดวางหรือผสมเข้าด้วยกัน การจำกัด การลบ หรือการทำลาย

แอปพลิเคชัน หมายถึง โปรแกรม หรือชุดคำสั่งที่ใช้ควบคุมการทำงานของคอมพิวเตอร์เคลื่อนที่และอุปกรณ์ต่อพ่วงต่าง ๆ เพื่อให้ทำงานตามคำสั่ง และตอบสนองความต้องการของผู้ใช้ โดยแอปพลิเคชัน (Application) ต้องมีสิ่งที่เรียกว่า ส่วนติดต่อกับผู้ใช้ (User Interface หรือ UI) เพื่อเป็นตัวกลางการใช้งานต่าง ๆ

IP Address หมายถึง สัญลักษณ์เชิงหมายเลขที่กำหนดให้แก่อุปกรณ์แต่ละชนิด เช่น คอมพิวเตอร์ หรือ เครื่องพิมพ์ ที่มีส่วนร่วมอยู่ในเครือข่ายคอมพิวเตอร์หนึ่ง ๆ ที่ใช้อินเทอร์เน็ตโพรโทคอลในการสื่อสาร

คุกกี้ (Cookie) หมายถึง ข้อมูลขนาดเล็กที่เว็บไซต์ของบริษัทฯ ส่งไปยังคอมพิวเตอร์หรืออุปกรณ์อิเล็กทรอนิกส์ที่เชื่อมต่ออินเทอร์เน็ต เพื่อเก็บข้อมูลส่วนบุคคล โดยคุกกี้จะถูกส่งกลับไปที่เว็บไซต์ต้นทางในแต่ละครั้งที่กลับเข้ามาดูที่เว็บไซต์ดังกล่าว

สำนักงาน หมายถึง สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

บทบาทหน้าที่และความรับผิดชอบ

2.1 คณะกรรมการบริษัท มีหน้าที่ กำกับดูแลให้มีการคุ้มครองข้อมูลส่วนบุคคลให้เป็นไปตามกฎหมายและกฎเกณฑ์ ทางราชการ และ แต่งตั้งหรือปรับเปลี่ยนคณะทำงานการจัดการข้อมูลส่วนบุคคลเพื่อสนับสนุนการดำเนินงานของคณะกรรมการฯ

2.2 คณะทำงานกำกับการคุ้มครองข้อมูลส่วนบุคคล (PDPA Steering Committee) ได้รับมอบหมายจากคณะกรรมการบริษัทฯ ให้

- กำกับดูแลการดำเนินงานของคณะทำงานการจัดการข้อมูลส่วนบุคคล

- กำหนดแนวทางการจัดทำและทบทวนนโยบายรวมถึงกรอบการดำเนินงานด้านการจัดการข้อมูลส่วนบุคคล

- ให้ข้อเสนอแนะและพิจารณากลั่นกรอง วัตถุประสงค์ นโยบาย แผนงาน แนวปฏิบัติ กระบวนการและเอกสาร ที่เกี่ยวข้องด้านการจัดการข้อมูลส่วนบุคคล

- ควบคุมดูแลและประเมินผลการปฏิบัติงานด้านการจัดการข้อมูลส่วนบุคคล

- แต่งตั้งหรือปรับเปลี่ยนคณะทำงานการจัดการข้อมูลส่วนบุคคลเพื่อสนับสนุนการดำเนินงานของ คณะกรรมการฯ ได้ตามความเหมาะสม

- สามารถเชิญหน่วยงานที่เกี่ยวข้องเข้าร่วมชี้แจงหรือให้ข้อคิดเห็นที่เป็นประโยชน์ต่อการดำเนินงานได้

- กำกับดูแลการปฏิบัติตามนโยบายและมีอำนาจอนุมัติการเปลี่ยนแปลงแก้ไขหรือทบทวนนโยบายนี้

2.3 ผู้บริหารระดับสูงมีหน้าที่จัดการและควบคุมการปฏิบัติงานเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลให้ถูกต้องตามกฎหมายและกฎเกณฑ์ทางการ รวมถึงจัดให้มีการรักษาความปลอดภัยของข้อมูลที่มีประสิทธิผล

2.4 พนักงานมีหน้าที่ปฏิบัติตามนโยบายฉบับนี้ ระเบียบปฏิบัติ และคำสั่งของบริษัทฯ รวมถึงกฎหมายและกฎเกณฑ์ทางการต่าง ๆ ที่เกี่ยวข้องโดยเคร่งครัด

บททั่วไป

ข้อกำหนดทั่วไป

3.1. การป้องกันข้อมูลส่วนบุคคลตามนโยบายฉบับนี้ครอบคลุมข้อมูลส่วนบุคคลของลูกค้าบุคคลธรรมดา

3.2 บริษัทฯ กำหนดให้ DPO มีหน้าที่ดำเนินการทบทวนนโยบายฉบับนี้อย่างน้อยปีละ 1 ครั้ง หรือ เมื่อมีการเปลี่ยนแปลงที่มีนัยสำคัญต่อการปฏิบัติงานตามนโยบายฉบับนี้ และการเปลี่ยนแปลงใด ๆ บริษัทฯ จะประกาศให้ทราบผ่านเว็บไซต์ของบริษัทฯ

3.3 บริษัทฯ เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเมื่อได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนหรือในขณะนั้น เว้นแต่บริษัทฯ ทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้หรือมีฐานที่ชอบด้วยกฎหมายรองรับ ดังนี้

- เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญา

- เป็นการปฏิบัติตามกฎหมาย

- เป็นการจำเป็นภายใต้ประโยชน์โดยชอบด้วยกฎหมาย โดยไม่เกินขอบเขตที่เจ้าของข้อมูลส่วนบุคคลสามารถคาดหมายได้อย่างสมเหตุผล

- เป็นการจำเป็นเพื่อดำเนินภารกิจเพื่อประโยชน์สาธารณะ

- เพื่อป้องกันหรือระงับอันตรายต่อชีวิต

- เพื่อการจัดทำเอกสารประวัติศาสตร์หรือจดหมายเหตุเพื่อประโยชน์สาธารณะ

3.4 บริษัทฯ เก็บรวบรวมข้อมูลส่วนบุคคลเพียงเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย และแจ้งรายละเอียดในการเก็บรวบรวมข้อมูลส่วนบุคคลให้เจ้าของข้อมูลทราบตามที่กฎหมายกำหนด

3.5 บริษัทฯ ลบ ทำลายข้อมูลส่วนบุคคลหรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ เมื่อพ้นกำหนดระยะเวลาการเก็บรักษาหรือเกินความจำเป็นตามวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลหรือตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอหรือตามที่เจ้าของข้อมูลส่วนบุคคลถอนความยินยอม เว้นแต่มีเหตุโดยชอบด้วยกฎหมายหรือกฎเกณฑ์ทางราชการ ที่ทำให้บริษัทฯ ต้องเก็บรักษาข้อมูลส่วนบุคคลนั้นต่อไป

3.6 บริษัทฯ มีการดูแลข้อมูลส่วนบุคคลอย่างปลอดภัย รวมถึงคำนึงถึงความเป็นส่วนตัวของเจ้าของข้อมูลส่วนบุคคลและการรักษาความลับของข้อมูลส่วนบุคคล

การขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล

4.1 การขอความยินยอมในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคล ต้องดำเนินการอย่างชัดแจ้ง เป็นหนังสือหรือทำโดยผ่านระบบอิเล็กทรอนิกส์ เว้นแต่โดยสภาพไม่อาจขอความยินยอมด้วยวิธีดังกล่าวได้ การขอความยินยอมด้วยวิธีอื่นจะต้องมีหลักฐานที่น่าเชื่อถือได้ว่าเจ้าของข้อมูลส่วนบุคคลได้แสดงเจตนาให้ความยินยอม

4.2 เจ้าของข้อมูลส่วนบุคคลต้องได้รับการแจ้งให้ทราบถึงวัตถุประสงค์ของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลอย่างชัดเจน เข้าใจง่าย ไม่หลอกลวงหรือทำให้เจ้าของข้อมูลส่วนบุคคลเข้าใจผิดในวัตถุประสงค์และคำนึงอย่างที่สุดในความเป็นอิสระของเจ้าของข้อมูลส่วนบุคคลในการให้ความยินยอม

4.3 กรณีเจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ซึ่งยังไม่บรรลุนิติภาวะโดยการสมรสหรือไม่มีฐานะเสมือนดังบุคคลซึ่งบรรลุนิติภาวะแล้ว ให้ขอความยินยอมจากผู้ใช้อำนาจปกครองที่มีอำนาจกระทำการแทนผู้เยาว์

4.4 กรณีเจ้าของข้อมูลส่วนบุคคลเป็นคนไร้ความสามารถ ให้ขอความยินยอมจากผู้อนุบาลที่มีอำนาจการทำการแทนคนไร้ความสามารถ

4.5 กรณีเจ้าของข้อมูลส่วนบุคคลเป็นคนเสมือนไร้ความสามารถ ให้ขอความยินยอมจากผู้พิทักษ์ที่มีอำนาจกระทำการแทนคนเสมือนไร้ความสามารถ

4.6 กรณีเจ้าของข้อมูลส่วนบุคคล หรือผู้มีอำนาจตามข้อ 4.3, 4.4, 4.5 ต้องการถอนความยินยอมที่เคยให้ไว้ให้ดำเนินการตามที่เจ้าของข้อมูลส่วนบุคคลขอโดยง่ายเช่นเดียวกับการให้ความยินยอม และหากการถอนความยินยอมส่งผลกระทบต่อเจ้าของข้อมูลส่วนบุคคลในเรื่องใด ให้แจ้งถึงผลกระทบจากการถอนความยินยอมนั้นให้เจ้าของข้อมูลส่วนบุคคลทราบ

4.7 บริษัทฯ ต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งแก่เจ้าของข้อมูลส่วนบุคคลเท่านั้น การเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่แตกต่างจากวัตถุประสงค์ที่ได้แจ้งไว้ จะทำไม่ได้เว้นแต่ได้แจ้งวัตถุประสงค์ใหม่ให้เจ้าของข้อมูลส่วนบุคคลทราบโดยได้รับความยินยอมก่อนเก็บรวบรวม ใช้ หรือเปิดเผยแล้ว

วัตถุประสงค์การเก็บรวบรวมข้อมูลส่วนบุคคล

5.1 การเก็บรวบรวมข้อมูลส่วนบุคคลต้องมีวัตถุประสงค์เพื่อนำข้อมูลส่วนบุคคลมาใช้ในการดำเนินงานของบริษัทฯ ในด้านต่าง ๆ ภายใต้ข้อกำหนดของกฎหมายหรือกฎเกณฑ์ทางการ

5.2 ในการเก็บรวบรวมข้อมูลส่วนบุคคล ให้แจ้งเจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะรวบรวมข้อมูลส่วนบุคคลถึงรายละเอียดดังต่อไปนี้

- วัตถุประสงค์ของการเก็บรวบรวมเพื่อการนำข้อมูลส่วนบุคคลไปใช้หรือเปิดเผย

- ความจำเป็นที่เจ้าของข้อมูลส่วนบุคคลต้องให้ข้อมูลส่วนบุคคลเพื่อปฏิบัติตามกฎหมายหรือเพื่อเข้าทำสัญญา และผลกระทบที่เป็นไปได้จากการไม่ให้ข้อมูลส่วนบุคคล

- ข้อมูลส่วนบุคคลที่จะมีการเก็บรวบรวมและระยะเวลาในการเก็บรวบรวมไว้

- ประเภทของบุคคลหรือหน่วยงานที่อาจได้รับการเปิดเผยข้อมูลส่วนบุคคล รวมถึงรายชื่อของบุคคลหรือหน่วยงานดังกล่าว (ตามแต่กรณี)

- สิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย

- ข้อมูลเกี่ยวกับบริษัทฯ และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล สถานที่ติดต่อ และวิธีการติดต่อ

5.3 ข้อมูลส่วนบุคคลที่เก็บรวบรวมต้องถูกต้องครบถ้วนตามข้อเท็จจริงที่ได้รับแจ้งจากเจ้าของข้อมูลส่วนบุคคล หากข้อมูลมีการเปลี่ยนแปลง ให้ดำเนินการแก้ไขให้ถูกต้องและเป็นปัจจุบัน

5.4 การเก็บรวบรวมข้อมูลส่วนบุคคลที่มีความอ่อนไหว ให้ดำเนินการขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลส่วนบุคคลเว้นแต่มีฐานที่ชอบด้วยกฎหมายรองรับ โดยต้องขออนุมัติจากผู้มีอำนาจอนุมัติ

5.5 การเก็บรวบรวมข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลส่วนบุคคลโดยตรง ต้องแจ้งเจ้าของข้อมูลส่วนบุคคลให้ทราบภายใน 30 วันนับแต่เก็บรวบรวมข้อมูลส่วนบุคคล โดยขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลเว้นแต่มีฐานที่ชอบด้วยกฎหมายรองรับ โดยขออนุมัติจากผู้มีอำนาจอนุมัติ

5.6 การเก็บรวบรวมข้อมูลส่วนบุคคล ต้องมีการบันทึกรายละเอียดวัตถุประสงค์การเก็บรวบรวมข้อมูลส่วนบุคคลแต่ละประเภท ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล ระยะเวลาเก็บรักษาข้อมูล สิทธิและวิธีการเข้าถึงข้อมูลส่วนบุคคลและเงื่อนไขเกี่ยวกับบุคคลที่มีสิทธิเข้าถึงข้อมูลส่วนบุคคล รวมถึงรายละเอียดอื่น ๆ ตามที่กฎหมายกำหนด เพื่อให้เจ้าของข้อมูลส่วนบุคคลหรือสำนักงานตรวจสอบได้

การเข้าถึงและการใช้ข้อมูลส่วนบุคคล

6.1 พนักงานของบริษัทฯ สามารถเข้าถึงหรือใช้ข้อมูลส่วนบุคคลได้เท่าที่จำเป็นเพื่อการปฏิบัติงานและตามสิทธิที่บริษัทฯ กำหนด หากพนักงานของบริษัทฯ มีความจำเป็นในการปฏิบัติงานที่ต้องเข้าถึงข้อมูลส่วนบุคคลเกินกว่าสิทธิที่บริษัทฯ กำหนด ต้องดำเนินการขออนุมัติจากผู้มีอำนาจ

6.2 พนักงานของบริษัทฯ ต้องใช้ข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่เก็บรวบรวมข้อมูลส่วนบุคคล หรือตามที่เจ้าของข้อมูลส่วนบุคคลให้ความยินยอมเท่านั้น เว้นแต่มีฐานที่ชอบด้วยกฎหมายรองรับ

6.3 ผู้ดูแลระบบงานและเจ้าของระบบงานต้องอนุญาตให้พนักงานของบริษัทฯ เข้าถึงข้อมูลส่วนบุคคลได้เฉพาะพนักงานของบริษัทฯ ที่มีสิทธิตามที่กำหนด หรือได้รับการอนุมัติจากผู้มีอำนาจอนุมัติ

วิธีที่ได้มา

บริษัทฯ มีการจัดเก็บรวบรวมข้อมูลส่วนบุคคลด้วยกระบวนการต่อไปนี้

7.1 ข้อมูลส่วนบุคคลที่ได้รับจากเจ้าของข้อมูลส่วนบุคคลโดยตรง

ก่อนการเข้าทำร่วมกิจกรรมต่างๆ ของบริษัท- หรือการดำเนินการอื่นใด บริษัทฯ จะแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงเหตุผลและความจำเป็นในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลก่อน (หรือในขณะ) จัดเก็บข้อมูลส่วนบุคคลทุกกรณี รวมทั้งจะแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบถึงกรณีที่บริษัทฯ อาจเปิดเผยข้อมูลส่วนบุคคลต่อไปยังบุคคลภายนอกตามที่กล่าวไว้ข้างต้น ทั้งนี้ หากเจ้าของข้อมูลส่วนบุคคลทราบและยินยอมให้บริษัทฯ เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของตนดังกล่าวแล้ว เจ้าของข้อมูลส่วนบุคคลสามารถแสดงความยินยอมผ่านช่องทางเป็นหนังสือ หรือระบบคอมพิวเตอร์หรืออุปกรณ์อิเล็กทรอนิกส์อื่นใดที่บริษัทจัดเตรียมไว้ ทั้งนี้ กระบวนการให้ความยินยอมนั้นบริษัทฯ จะให้เจ้าของข้อมูลให้ความยินยอมอย่างอิสระ เข้าถึงได้ง่ายและเข้าใจได้ถึงวัตถุประสงค์ของการให้ความยินยอมตามมาตรฐานที่กฎหมายกำหนด

7.2 ข้อมูลส่วนบุคคลที่ได้รับจากบริษัทในเครือ

7.3 ข้อมูลส่วนบุคคลจากบุคคลที่สาม เช่น ตัวแทน ร้านค้า หรือบริษัทที่ให้การบริการจัดเก็บรวบรวมข้อมูล คู่ค้า พันธมิตร เป็นต้น

7.4 ข้อมูลส่วนบุคคลที่ได้รับจากการเข้าเยี่ยมชมเว็บไซต์ เช่น ชื่อของผู้ให้บริการอินเทอร์เน็ต และที่อยู่ไอพี (IP Address) ผ่านการเข้าใช้อินเทอร์เน็ต วันที่และเวลาของการเข้าเยี่ยมชมเว็บไซต์ หน้าเพจที่เข้าเยี่ยมชมขณะเข้าเว็บไซต์ และที่อยู่ของเว็บไซต์ ซึ่งเชื่อมโยงโดยตรงกับเว็บไซต์ของบริษัทฯ

7.5 ข้อมูลส่วนบุคคลที่ได้รับจากข้อมูลสาธารณะ (Public Records) และที่ไม่ใช่สาธารณะ (Non-Public Records) ที่บริษัทฯ มีสิทธิเก็บรวบรวมได้ตามกฎหมาย

7.6 ข้อมูลส่วนบุคคลที่ได้รับจากหน่วยงานภาครัฐ หน่วยงานกำกับดูแลที่ใช้อำนาจตามกฎหมาย

การเปิดเผยและการรับข้อมูลส่วนบุคคล

8.1 การเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลหรือองค์กรภายนอกบริษัทฯ ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล และต้องได้รับอนุมัติจากคณะทำงานกำกับการคุ้มครองข้อมูลส่วนบุคคล (PDPA Steering Committee) เว้นแต่เป็นการปฏิบัติตามกฎหมายหรือกฎเกณฑ์ทางการ

บริษัทฯ จะเปิดเผยข้อมูลส่วนบุคคลให้แก่ บุคคลภายนอก และ/หรือ องค์กร หรือหน่วยงานภายนอกเฉพาะในกรณี ดังต่อไปนี้

8.1.1 ผู้ที่ได้รับอนุญาตให้เป็นคนกลาง ได้แก่ บริษัทขนส่ง บริษัทที่ให้บริการในการจัดเก็บข้อมูล และรวบรวมข้อมูล บริษัทรับพัฒนา และบำรุงรักษาระบบ ในการดำเนินกิจกรรมต่าง ๆ ของบริษัทฯ

8.1.2 คู่ค้า พันธมิตรทางธุรกิจ บริษัทย่อย และ/หรือ ผู้ให้บริการภายนอก เพื่อให้บริการในการนำเสนอสิทธิประโยชน์และบริการอื่น ๆ ของบริษัทฯ แก่เจ้าของข้อมูลส่วนบุคคล รวมถึงการพัฒนา ปรับปรุง ผลิตภัณฑ์ หรือบริการของบริษัทฯ เช่น การวิเคราะห์ข้อมูล การประมวลผลข้อมูล การให้บริการด้านเทคโนโลยีสารสนเทศและการจัดเตรียมโครงสร้างพื้นฐานที่เกี่ยวข้อง การพัฒนาแพลตฟอร์มบริการลูกค้า การส่งอีเมล/SMS การพัฒนาเว็บไซต์ การพัฒนาแอปพลิเคชันบนมือถือ การสำรวจความพึงพอใจและการทำวิจัย การบริหารความสัมพันธ์กับลูกค้าโดยจะมีการทำสัญญารักษาข้อมูลส่วนบุคคลไว้เป็นความลับ กรณีนิติบุคคลจะต้องมีมาตรฐานด้านความคุ้มครองข้อมูลส่วนบุคคลที่มีมาตรฐานเป็นที่ยอมรับ

8.1.3 หน่วยงานรัฐบาล รัฐบาล หรือองค์กรอื่นตามกฎหมาย เพื่อเป็นการปฏิบัติตามกฎหมาย คำสั่ง คำร้องขอ เพื่อการประสานงานกับหน่วยงานต่าง ๆ ในเรื่องที่เกี่ยวข้องกับการปฏิบัติตามกฎหมาย

8.2 การรับข้อมูลส่วนบุคคลจากบุคคลหรือองค์กรภายนอกบริษัทฯ ต้องตรวจสอบให้มั่นใจว่าข้อมูลส่วนบุคคลที่ได้รับมีฐานที่ชอบด้วยกฎหมายรองรับ และต้องได้รับอนุมัติจากคณะทำงานกำกับการคุ้มครองข้อมูลส่วนบุคคล (PDPA Steering Committee) เว้นแต่เป็นการปฏิบัติตามกฎหมายหรือกฎเกณฑ์ทางการ

บริษัทฯ จะทำการเก็บรวบรวมข้อมูลที่เจ้าของข้อมูลส่วนบุคคลได้ให้ไว้กับบริษัทฯ โดยตรงหรือข้อมูลส่วนบุคคลที่บริษัทฯ ได้รับจากการให้บริการหรือการดำเนินงานของบริษัทฯ ผ่านทุกช่องทาง ซึ่งรวมถึงช่องทาง ดังต่อไปนี้

8.2.1 ข้อมูลที่ได้รับเมื่อเจ้าของข้อมูลส่วนบุคคล ทำการลงทะเบียน หรือกรอกใบสมัครขอเข้าร่วมกิจกรรมต่าง ๆ ของบริษัทฯ หรือการใช้บริการอื่น ๆ ของบริษัทฯ เช่น ชื่อ นามสกุล หมายเลขบัตรประจำตัวประชาชน หรือบัตรประจำตัวอื่น ๆ หมายเลขโทรศัพท์ วันเดือนปีเกิด ที่อยู่ อีเมล เป็นต้น

8.2.2 ข้อมูลจากการสมัครสมาชิก หรือเข้าร่วมกิจกรรม ข้อมูลในการสร้างบัญชีผู้ใช้งาน (Account) ที่ถูกสร้างโปรไฟล์ที่ประกอบด้วยรายละเอียดข้อมูลส่วนบุคคลที่ให้ไว้กับบริษัทฯ เพื่อการเข้าใช้บริการในช่องทางการให้บริการของบริษัทฯ อาทิ แอปพลิเคชันการใช้งานผ่านอุปกรณ์เคลื่อนที่ และ/หรือ ผ่านเว็บไซต์ของบริษัทฯ ได้แก่ บัญชีออนไลน์ หรือ บัญชีของแอปพลิเคชัน ที่ให้บริการของบริษัทฯ ตลอดจนข้อมูลส่วนบุคคลที่ให้ไว้เพื่อทำการสมัครต่าง ๆ ได้แก่ สมัครเข้าร่วมกิจกรรม และ/หรือ ติดต่อกับบริษัทฯ ผ่านทางเว็บไซต์หรือทางช่องทางอื่น ๆ ตามที่บริษัทฯ กำหนด

8.2.3 ข้อมูลการสมัครรับข่าวสารต่าง ๆ จากการทำแบบสำรวจ หรือข้อมูลการร่วมกิจกรรมต่าง ๆ เช่น ความ

พึงพอใจ ความสนใจ หรือพฤติกรรมการบริโภค เป็นต้น

8.2.4 ข้อมูลเกี่ยวกับการทำธุรกรรมกับบริษัทฯ หรือกับบริษัทในเครือ หรืออื่น ๆ เช่น ข้อมูลการสมัครงาน ข้อมูลการสมัครเป็นตัวแทน ข้อมูลเพื่อการเข้าเสนอราคา ซึ่งรวมถึงข้อมูลบัตรเครดิตหรือบัตรเดบิต หมายเลขบัญชีธนาคาร หรือข้อมูลเกี่ยวกับธนาคารหรือการชำระเงินอื่น ๆ รวมทั้ง วันที่และเวลาที่ชำระเงิน ทั้งนี้ ขึ้นอยู่กับประเภทของการทำธุรกรรมของเจ้าของข้อมูลส่วนบุคคล

8.2.5 ข้อมูลจากการเข้าชม หรือใช้เว็บไซต์ของบริษัทฯ เว็บไซต์อื่น ๆ ของบริษัทในเครือ หรือแอปพลิเคชันของบริษัทฯ หรือที่บริษัทฯ เป็นผู้ดำเนินการ ข้อมูลการใช้ Social Media และการโต้ตอบกับโฆษณาออนไลน์ของบริษัทฯ รุ่นและประเภทของโปรแกรมคอมพิวเตอร์ที่ใช้เปิดเข้าชมเว็บไซต์ ประเภทของอุปกรณ์ที่ใช้เพื่อเข้าถึงการบริการ เช่น เครื่องคอมพิวเตอร์ส่วนบุคคล Laptop หรือ สมาร์ทโฟน ข้อมูลประเภทระบบปฏิบัติการและแพลตฟอร์ม ที่อยู่ IP address ของอุปกรณ์ หรือเครื่องมือปลายทาง ข้อมูล Location ข้อมูลเกี่ยวกับการบริการและผลิตภัณฑ์ที่เจ้าของข้อมูลส่วนบุคคลเข้าชมหรือค้นหา

8.2.6 ข้อมูลจากบันทึกการติดต่อของเจ้าของข้อมูลส่วนบุคคลกับบริษัทฯ ซึ่งเก็บในรูปแบบของบันทึกข้อความของผู้รับบริการ การประเมินความพึงพอใจ การวิจัยและสถิติ หรือ การบันทึกเสียงสนทนา หรือการบันทึกภาพผ่านกล้อง CCTV เมื่อเจ้าของข้อมูลส่วนบุคคลติดต่อกับบริษัทฯ เช่นศูนย์บริการลูกค้าของบริษัทฯ รวมไปถึงการให้ข้อมูลผ่านสื่อที่ทำการวิจัยต่าง ๆ อาทิ SMS Social Media แอปพลิเคชัน หรือ อีเมล เป็นต้น

8.2.7 ข้อมูลโปรไฟล์สื่อสังคมออนไลน์ เมื่อมีการใช้ข้อมูลและรหัสการเข้าสู่ระบบของสื่อสังคมออนไลน์ (Social Media Credential) เช่น Facebook Twitter และ Line เพื่อเชื่อมต่อหรือเข้าสู่บริการใด ๆ ของบริษัทฯ เช่น บัญชีสื่อสังคมออนไลน์ (Social Media Account ID) สิ่งที่สนใจ (Interests) รายการที่ชอบ (Likes) และรายชื่อเพื่อนของเจ้าของข้อมูลส่วนบุคคล ซึ่งเจ้าของข้อมูลส่วนบุคคลสามารถควบคุมการจัดเก็บความเป็นส่วนตัวนี้ ผ่านการตั้งค่าบัญชีสื่อสังคมออนไลน์ที่จัดทำไว้ให้โดยผู้ให้บริการสื่อสังคมออนไลน์ดังกล่าว

8.2.8 การสอบถามทางจดหมาย แฟกซ์ อีเมลจากลูกค้าและการตรวจสอบหลังขาย นอกจากนี้การสอบถามทางโทรศัพท์ บริษัทฯ จะถูกบันทึกไว้เพื่อความถูกต้อง ข้อมูลส่วนบุคคลเหล่านี้อาจถูกใช้เพื่อรักษาความสัมพันธ์ที่ดีกับลูกค้าเช่นการตรวจสอบการสอบสวนและการตอบข้อซักถามและอาจถูกนำไปใช้โดยไม่ระบุตัวตนเพื่อวัตถุประสงค์ในการขายและการศึกษาเช่นการติดต่อบุคลากรทางการแพทย์การแจ้งเตือนและการรายงานไปยังหน่วยงานของรัฐเป็นต้น

8.3 กรณีที่บริษัทฯ ให้บุคคลหรือองค์กรภายนอกบริษัทฯ เก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลแทนบริษัทฯ (ผู้ประมวลผลข้อมูลส่วนบุคคล) ต้องใช้ผู้ประมวลผลข้อมูลส่วนบุคคลที่มีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสมและเทียบเท่ามาตรฐานของบริษัทฯ ตามนโยบายความมั่นคงปลอดภัยในการบริหารจัดการผู้ให้บริการภายนอกด้านเทคโนโลยีสารสนเทศ และต้องจัดให้มีข้อตกลงระหว่างกันเพื่อควบคุมการดำเนินงานของผู้ประมวลผลข้อมูลส่วนบุคคลให้เป็นไปตามกฎหมายโดยกำหนดวัตถุประสงค์หรือคำสั่งในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูลส่วนบุคคลอย่างชัดเจน และกำหนดมาตรการป้องกันไม่ให้ผู้ประมวลผลข้อมูลส่วนบุคคลเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่ได้รับจากบริษัทฯ นอกเหนือจากวัตถุประสงค์หรือคำสั่งที่ บริษัทฯ กำหนด

การส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ

ในกรณีที่บริษัทฯ มีการโอน ถ่าย และ/หรือ ส่งข้อมูลไปยังต่างประเทศ บริษัทฯ จะกำหนดมาตรฐานในการทำข้อตกลง และ/หรือ สัญญาร่วมธุรกิจกับหน่วยงาน องค์กรที่จะได้รับข้อมูลส่วนบุคคลนั้น มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เป็นที่ยอมรับ และสอดคล้องกับกฎหมายที่เกี่ยวข้อง เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลนั้น จะได้รับการคุ้มครองอย่างปลอดภัย อาทิเช่น

9.1 กรณีที่บริษัทฯ มีความจำเป็นในการจัดเก็บ และ/หรือ โอน ถ่าย ข้อมูลส่วนบุคคล เพื่อการจัดเก็บ

9.2 การประมวลผลในระบบคลาวด์ (Cloud) บริษัทฯ จะพิจารณาองค์กรที่มีมาตรฐานความมั่นคงปลอดภัยในระดับสากล และจะจัดเก็บข้อมูลส่วนบุคคลในรูปแบบการเข้ารหัส หรือวิธีการอื่น ๆ ที่ไม่สามารถระบุตัวตนของเจ้าของข้อมูลส่วนบุคคลได้ เป็นต้น

ทั้งนี้ รายชื่อบุคคลภายนอกที่บริษัทฯ จะทำการเปิดข้อมูลส่วนบุคคลนั้น อาจมีการเพิ่มขึ้นหรือลดลงได้ ซึ่งบริษัทฯ จะทำข้อมูลให้เป็นปัจจุบันเสมอ

การรักษาความมั่นคงปลอดภัยและความลับของข้อมูลส่วนบุคคล

เพื่อให้เจ้าของข้อมูลส่วนบุคคลมีความมั่นใจในการบริหารจัดการของบริษัทฯ ในการป้องกันความเสี่ยงอันอาจทำให้ข้อมูลส่วนบุคคลถูกเข้าถึงโดยมิชอบ รั่วไหล ถูกเปลี่ยนแปลงแก้ไข สูญหาย บริษัทฯ ถือปฏิบัติตามนโยบายความมั่นคงปลอดภัยข้อมูลสารสนเทศ รวมทั้งปฏิบัติตามมาตรฐานสากลด้านการรักษาความปลอดภัยสารสนเทศที่เป็นที่ยอมรับ และการบริหารความต่อเนื่องทางธุรกิจ และเป็นไปตามที่กฎหมายกำหนด

บริษัทฯ มีมาตรการปกป้องความเป็นส่วนตัวของเจ้าของข้อมูลส่วนบุคคล โดยการจำกัดสิทธิ์การเข้าถึงข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล จะกำหนดให้เฉพาะบุคคลที่จำเป็นต้องใช้ข้อมูลส่วนบุคคลดังกล่าว ในการนำเสนอผลิตภัณฑ์และบริการของบริษัทฯ เพื่อการให้บริการของบริษัทฯ เช่น พนักงานบริษัทฯ ซึ่งเป็นบุคคลที่บริษัทฯ อนุญาตให้เข้าถึงข้อมูลส่วนบุคคลนั้น จะต้องยึดมั่นและปฏิบัติตามมาตรการการปกป้องข้อมูลส่วนบุคคลของบริษัทฯ อย่างเคร่งครัด ตลอดจนการรักษาความลับของข้อมูลส่วนบุคคลดังกล่าว โดยบริษัทฯ มีมาตรการป้องกันทั้งทางกายภาพและทางอิเล็กทรอนิกส์เป็นไปตามมาตรฐานการกำกับดูแลที่บังคับใช้เพื่อปกป้องข้อมูลส่วนบุคคล

เมื่อบริษัทฯ ทำสัญญา หรือ ข้อตกลงกับบุคคลที่สาม บริษัทฯ จะกำหนดมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคล การรักษาข้อมูลที่เป็นความลับที่เหมาะสม เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลที่บริษัทฯ ครอบครองจะความปลอดภัย

สิทธิของเจ้าของข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิดังต่อไปนี้

- สิทธิในการขอรับทราบความมีอยู่ ลักษณะของข้อมูลส่วนบุคคล วัตถุประสงค์ของการนำข้อมูลส่วนบุคคลไปใช้ของบริษัทฯ

- สิทธิในการเข้าถึง และขอรับสำเนาข้อมูลส่วนบุคคลของตน ซึ่งบริษัทฯ จะมีขั้นตอนที่เหมาะสมเพื่อให้ท่านยืนยันตัวตนกับทางบริษัทฯ ก่อน

- สิทธิในการขอแก้ไข หรือเปลี่ยนแปลงข้อมูลส่วนบุคคลของตนให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์และไม่ก่อให้เกิดความเข้าใจผิด

- สิทธิในการคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตน รวมถึงสิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล

- สิทธิในการขอระงับการใช้ หรือเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตนเป็นการชั่วคราว

- สิทธิในการขอให้ดำเนินการลบ หรือทำลายข้อมูลส่วนบุคคลที่เกี่ยวกับตน หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้

- สิทธิในการขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่เกี่ยวกับตน ในกรณีที่เป็นข้อมูลซึ่งผู้ใช้บริการไม่ได้ให้ความยินยอมในการรวบรวมหรือจัดเก็บ

- สิทธิในการถอนความยินยอมที่เคยให้แก่บริษัทฯ ในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล ทั้งนี้ การถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลที่ได้ให้ความยินยอมไว้แล้ว

ทั้งนี้ บริษัทฯ ได้กำหนดช่องทางการติดต่อเพื่อใช้สิทธิของท่านตามรายละเอียด ข้อที่ 17 โดยบริษัทฯ จะดำเนินการและพิจารณาตามที่ท่านร้องขอภายในระยะเวลา 30 วัน นับตั้งแต่วันที่ได้รับคำร้อง อย่างไรก็ตามบริษัทฯ สามารถปฏิเสธการดำเนินการตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ตามที่กฎหมายกำหนด หรือตามสัญญาที่ทำไว้กับบริษัทฯ กรณีที่จะทำให้เจ้าของข้อมูลส่วนบุคคลเสียสิทธิ์ประโยชน์ต่าง ๆ

อนึ่ง การลบหรือทำลาย หรือทำให้ข้อมูลส่วนบุคคลของท่านอยู่ในรูปแบบที่ไม่สามารถระบุตัวบุคคลที่เป็นเจ้าของข้อมูลส่วนบุคคลได้ หรือการยกเลิกความยินยอมของเจ้าของข้อมูลส่วนบุคคลสามารถทำได้ภายใต้ข้อกำหนดของกฎหมายและสัญญาที่ทำไว้กับบริษัทฯ เท่านั้น ทั้งนี้ การใช้สิทธิดังกล่าวอาจจะส่งผลต่อกรณีการปฏิบัติตามสัญญาที่ทำไว้กับบริษัทฯ หรือกรณีการให้บริการอื่น ๆ เนื่องจากจะไม่สามารถระบุตัวตนของเจ้าของข้อมูลส่วนบุคคลได้ จึงอาจเกิดข้อจำกัดในการให้บริการในบางส่วนที่จำเป็นต้องใช้ข้อมูลส่วนบุคคล และอาจทำให้เจ้าของข้อมูลส่วนบุคคลนั้นไม่ได้รับสิทธิประโยชน์การบริการ และข่าวสารจากบริษัทฯ ต่อไป

ระยะเวลาจัดเก็บ และสถานที่จัดเก็บข้อมูลส่วนบุคคล

บริษัทฯ จะจัดเก็บข้อมูลส่วนบุคคลตราบเท่าที่จำเป็น โดยคำนึงถึงวัตถุประสงค์และความจำเป็นที่บริษัทฯ จะต้องดำเนินการจัดเก็บรวบรวมและประมวลผล ซึ่งรวมไปถึงการปฏิบัติตามข้อกำหนดของกฎหมายที่ใช้บังคับ บริษัทฯ จะจัดเก็บข้อมูลส่วนบุคคลไว้หลังระยะเวลาที่เจ้าของข้อมูลไม่มีปฏิสัมพันธ์กับบริษัทฯ ระยะเวลาหนึ่ง และสอดคล้องตามระยะเวลาและอายุความของกฎหมายที่เกี่ยวข้อง โดยบริษัทฯ จะจัดเก็บไว้ในสถานที่จัดเก็บที่เหมาะสมตามประเภทของข้อมูลส่วนบุคคล ทั้งนี้บริษัทฯ อาจจำเป็นต้องเก็บข้อมูลส่วนบุคคลต่อไปแม้จะพ้นกำหนดอายุความตามกฎหมายแล้วก็ตาม เช่น กรณีอยู่ระหว่างการดำเนินคดีตามกฎหมาย เป็นต้น

บริษัทจะเก็บรักษาข้อมูลส่วนบุคคลทุกประเภทที่บริษัทเก็บจากเจ้าของข้อมูลส่วนบุคคลตามระยะเวลาที่กฎหมายกำหนดให้จัดเก็บ เช่น กฎหมายเกี่ยวกับบัญชีและภาษี ซึ่งอาจมีระยะเวลาที่กฎหมายกำหนดให้จัดเก็บแตกต่างกัน ทั้งนี้ บริษัทอาจเก็บรักษาข้อมูลส่วนบุคคลของเจ้าของข้อมูลไว้นานขึ้นหากกฎหมายกำหนดให้แตกต่างไป และเมื่อหมดระยะเวลาที่ต้องเก็บข้อมูลไว้ตามกฎหมายแล้วบริษัทจะทำการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลนั้นไม่เป็นข้อมูลที่สามารถระบุตัวบุคคลได้ด้วยวิธีการที่รอบคอบ รัดกุม และคำนึงถึงประโยชน์ของเจ้าของข้อมูลส่วนบุคคลให้มากที่สุด

อย่างไรก็ตามบริษัทอาจดำเนินการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลนั้นไม่เป็นข้อมูลที่สามารถระบุตัวบุคคลได้ ก่อนถึงเวลาที่ควรต้องจัดเก็บไว้ตามกฎหมาย หากได้รับการติดต่อจากเจ้าของข้อมูลส่วนบุคคลเพื่อขอให้ลบหรือทำลายข้อมูลส่วนบุคคลก่อนถึงเวลาต้องทำลาย

ทั้งนี้ การลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลนั้นไม่เป็นข้อมูลที่สามารถระบุตัวบุคคลได้ดังกล่าวอยู่ภายใต้คำร้องขอเป็นลายลักษณ์อักษรจากเจ้าของข้อมูลส่วนบุคคลโดยผ่านกระบวนการยืนยันตัวตนของเจ้าของข้อมูลส่วนบุคคลเช่นเดียวกับเมื่อเจ้าของข้อมูลส่วนบุคคลให้ความยินยอมในการเก็บรวบรวม ใช้และเปิดเผยข้อมูลส่วนบุคคล เพื่อวัตถุประสงค์ในการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลนั้นไม่เป็นข้อมูลที่สามารถระบุตัวบุคคลได้อย่างถูกต้อง ไม่ผิดตัวบุคคล

นอกจากนี้ ข้อมูลส่วนบุคคลบางประเภท บริษัทอาจกำหนดระยะเวลาลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลนั้นไม่เป็นข้อมูลที่สามารถระบุตัวบุคคลได้ ไว้อย่างเฉพาะเจาะจง เช่น 1 (หนึ่ง) ปี นับแต่วันที่ได้เก็บรวบรวมข้อมูลไว้ หรือนับแต่วันสุดท้ายของการเข้าทำรายการใดๆ กับบริษัทฯ เช่น ข้อมูลผู้เข้ามาสมัครงานแต่ไม่ได้รับการคัดเลือกให้เข้าทำสัญญาจ้างงานกับบริษัทฯ ข้อมูลผู้เข้าเยี่ยมชมเวปไซต์บริษัทฯผ่านช่องทางต่างๆ หรือข้อมูลผู้ถือหุ้นที่พ้นสภาพจากการเป็นผู้ถือหุ้นของบริษัทฯแล้ว ทั้งนี้ หากบริษัทใช้วิธีการทำให้ข้อมูลส่วนบุคคลดังกล่าวไม่เป็นข้อมูลส่วนบุคคลที่สามารถระบุตัวบุคคลได้ แม้ข้อมูลส่วนบุคคลดังกล่าวจะไม่เป็นข้อมูลที่สามารถระบุตัวบุคคลได้แล้วก็ตามแต่บริษัทฯอาจเก็บข้อมูลนั้นๆ ไว้ต่อไปเพื่อประโยชน์ในการวิเคราะห์ด้านสถิติเพื่อนำมาใช้ประกอบการพัฒนาบุคลากร การพัฒนาด้านการให้บริการสินเชื่อหรือการออกผลิตภัณฑ์ใหม่ หรือการพัฒนาระบบเทคโนโลยีสารสนเทศของบริษัทฯเท่านั้น

หากบริษัทฯทำการลบ หรือทำลาย หรือทำให้ข้อมูลข้อมูลส่วนบุคคลนั้นไม่เป็นข้อมูลที่สามารถระบุตัวบุคคลได้ตามความประสงค์ของเจ้าของข้อมูลส่วนบุคคลแล้ว อาจทำให้เกิดข้อจำกัดที่ทำให้บริษัทฯไม่สามารถดำเนินการให้บริการด้านต่างๆ แก่เจ้าของข้อมูลส่วนบุคคลได้อีกต่อไป (แต่ไม่รวมถึงการให้บริการด้านต่างๆ ที่บริษัทฯได้ดำเนินการไปก่อนที่จะมีการลบหรือทำลายหรือทำให้ข้อมูลส่วนบุคคลนั้นไม่เป็นข้อมูลที่สามารถระบุตัวบุคคลได้) ทั้งนี้ หากการดำเนินการดังกล่าวมีค่าใช้จ่ายเกิดขึ้น บริษัทฯขอสงวนสิทธิในการคิดค่าใช้จ่ายที่เกี่ยวข้องและจำเป็นต่อการเข้าดำเนินการในส่วนที่เกี่ยวข้องตามที่เจ้าของข้อมูลส่วนบุคคลร้องขอดังกล่าว

การใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาด

นอกจากวัตถุประสงค์ดังกล่าวข้างต้นและภายใต้ข้อกำหนดของกฎหมาย บริษัทฯ จะใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ทางการตลาด เช่น การจัดส่งเอกสารเกี่ยวกับโปรโมชั่นต่าง ๆ ทางไปรษณีย์ อีเมล และด้วยวิธีการอื่นใด รวมถึงการดำเนินการด้านการตลาดแบบตรง เพื่อเพิ่มสิทธิประโยชน์ที่เจ้าของข้อมูลส่วนบุคคลจะได้รับจากการเป็นลูกค้าของบริษัทฯ ผ่านการแนะนำผลิตภัณฑ์และบริการที่เกี่ยวข้อง

ท่านสามารถเลือกที่จะไม่รับการสื่อสารเพื่อวัตถุประสงค์ทางการตลาดจากบริษัทฯ ยกเว้นการติดต่อสื่อสารที่เกี่ยวข้องกับเจ้าของข้อมูล และ/หรือบริการที่บริษัทฯ ได้ให้แก่ท่าน เช่น ใบเสร็จรับเงิน เป็นต้น

คุกกี้

บริษัทฯ จะใช้คุกกี้ในการเก็บรวบรวมข้อมูลการใช้งานของเจ้าของข้อมูลส่วนบุคคล เพื่อเก็บข้อมูลและรวบรวมสถิติ วิจัย วิเคราะห์แนวโน้ม ตลอดจนนำมาปรับปรุง และควบคุมการทำงานของเว็บไซต์ และ/หรือ แอปพลิเคชัน ทั้งนี้การเก็บคุกกี้นั้นเป็นข้อมูลที่ไม่สามารถระบุตัวตนของเจ้าของข้อมูลส่วนบุคคลได้

การเชื่อมต่อไปยังเว็บไซต์ภายนอก

เว็บไซต์ของบริษัทฯ จะมีการเชื่อมต่อไปยังเว็บไซต์ของบุคคลที่สามซึ่งเว็บไซต์เหล่านั้นอาจมีนโยบายคุ้มครองข้อมูลส่วนบุคคล ที่แตกต่างจากของบริษัทฯ ขอให้เจ้าของข้อมูลส่วนบุคคลศึกษานโยบายข้อมูลส่วนบุคคลของเว็บไซต์นั้น ๆ เพื่อเข้าใจถึงรายละเอียดการคุ้มครองข้อมูลส่วนบุคคล และเพื่อตัดสินใจในการเปิดเผยข้อมูลส่วนบุคคล ทั้งนี้ บริษัทฯ จะไม่รับผิดชอบต่อเนื้อหา นโยบาย ความเสียหาย หรือการกระทำอันเกิดจากเว็บไซต์ของบุคคลที่สาม

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

บริษัทฯ ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล เพื่อตรวจสอบการดำเนินการที่เกี่ยวกับการเก็บ รวบรวม ใช้ หรือ เปิดเผยข้อมูลส่วนบุคคล ให้สอดคล้องตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และ นโยบาย ระเบียบ ประกาศ คำสั่ง ของบริษัทฯ รวมทั้งประสานงานและให้ความร่วมมือกับสำนักงานคุ้มครองข้อมูลส่วนบุคคล

คำถามที่เกี่ยวกับนโยบายความเป็นส่วนตัว

หากท่านมีคำถามหรือข้อสงสัย เกี่ยวกับถ้อยแถลงนโยบายความเป็นส่วนตัวนี้ หรือการจัดการดูแลข้อมูลของท่าน ท่านสามารถติดต่อมายัง

สถานที่ติดต่อ : บริษัท อิชิตัน กรุ๊ป จำกัด (มหาชน) เลขที่ 8 อาคารทีวัน ชั้น 42 - 44 ซอย สุขุมวิท 40 แขวงพระโขนง เขตคลองเตย กรุงเทพมหานคร 10110

ช่องทางการติดต่อ: หมายเลขโทรศัพท์

อีเมล : DPO@ichitangroup.com

ช่องทางการติดต่อ

หากท่านมีข้อสงสัยเกี่ยวกับนโยบายความเป็นส่วนตัวของบริษัทฯ ข้อมูลที่ทางบริษัทฯ เก็บรวบรวม หรือต้องการใช้สิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลอย่างใดอย่างหนึ่งตามข้อ 11. ท่านสามารถติดต่อมายัง

สถานที่ติดต่อ : บริษัท อิชิตัน กรุ๊ป จำกัด (มหาชน) เลขที่ 8 อาคารทีวัน ชั้น 42 - 44 ซอย สุขุมวิท 40 แขวงพระโขนง เขตคลองเตย กรุงเทพมหานคร 10110

ช่องทางการติดต่อ: หมายเลขโทรศัพท์

อีเมล : DPO@ichitangroup.com

ติดต่อหน่วยงานผู้มีอำนาจ (Appropriate Authority)

หากท่านต้องการรายงานเรื่องร้องเรียน หรือหากท่านรู้สึกว่าบริษัทฯ ไม่ตอบข้อกังวลของท่านในลักษณะที่น่าพึงพอใจ ท่านสามารถติดต่อและ/หรือร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ตามรายละเอียดด้านล่าง

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

สำนักงานปลัดกระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม

อีเมล : pdpc@mdes.go.th

โทร : 02-142-1033

จึงประกาศมาเพื่อทราบ และถือปฏิบัติโดยทั่วกัน

ลงวันที่ 16 มกราคม 2566

(ตัน ภาสกรนที)

กรรมการผู้อำนวยการ