นโยบายความเป็นส่วนตัว

บริษัท เด็พธเฟิร์สท จำกัด “บริษัท” ให้บริการเว็บไซต์ แพลตฟอร์มออนไลน์ บริการดิจิทัล ช่องทางสื่อสังคมออนไลน์ กิจกรรม การฝึกอบรม ตลอดจนบริการอื่นที่เกี่ยวข้อง

บริษัทตระหนักและให้ความสำคัญต่อสิทธิในความเป็นส่วนตัวและการคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้บริการ ลูกค้า ผู้ติดต่อทางธุรกิจ ผู้เข้าร่วมกิจกรรม และบุคคลอื่นซึ่งบริษัทมีการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล “เจ้าของข้อมูลส่วนบุคคล”

นโยบายความเป็นส่วนตัวฉบับนี้จัดทำขึ้นเพื่อแจ้งให้ทราบถึงวิธีการที่บริษัทเก็บรวบรวม ใช้ เปิดเผย หรือดำเนินการอื่นใดเกี่ยวกับข้อมูลส่วนบุคคล วัตถุประสงค์และฐานทางกฎหมายในการประมวลผลข้อมูล ประเภทบุคคลหรือหน่วยงานที่อาจได้รับการเปิดเผยข้อมูล ระยะเวลาการเก็บรักษา มาตรการรักษาความมั่นคงปลอดภัย การโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ตลอดจนสิทธิของเจ้าของข้อมูลส่วนบุคคล

เพื่อวัตถุประสงค์ของนโยบายฉบับนี้ “ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 “PDPA”

คำว่า “ประมวลผลข้อมูลส่วนบุคคล” ให้หมายความรวมถึง การเก็บรวบรวม การใช้ การเปิดเผย หรือการดำเนินการใด ๆ เกี่ยวกับข้อมูลส่วนบุคคล

บริษัทเป็นผู้กำหนดวัตถุประสงค์และวิธีการในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล จึงมีฐานะเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” สำหรับข้อมูลส่วนบุคคลที่อยู่ในความรับผิดชอบของบริษัท

บริษัทอาจว่าจ้างผู้ให้บริการหรือบุคคลอื่นให้ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลแทนบริษัทในฐานะ “ผู้ประมวลผลข้อมูลส่วนบุคคล” โดยผู้ประมวลผลข้อมูลส่วนบุคคลดังกล่าวจะต้องดำเนินการตามคำสั่งของบริษัท ข้อตกลงที่เกี่ยวข้อง และกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

กรรมการ พนักงาน และบุคลากรที่ได้รับอนุญาตของบริษัทอาจเข้าถึงหรือประมวลผลข้อมูลส่วนบุคคลได้เฉพาะเท่าที่จำเป็นต่อการปฏิบัติหน้าที่ และต้องปฏิบัติตามนโยบายภายในของบริษัทและกฎหมายที่เกี่ยวข้อง

ข้อที่ 1. ข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวม ใช้ และ/หรือเปิดเผย

ประเภทข้อมูลส่วนบุคคลที่บริษัทอาจเก็บรวบรวมขึ้นอยู่กับลักษณะความสัมพันธ์ระหว่างเจ้าของข้อมูลส่วนบุคคลกับบริษัท ซึ่งอาจรวมถึงข้อมูลดังต่อไปนี้

1.1 ข้อมูลระบุตัวบุคคล เช่น

• ชื่อและนามสกุล
• คำนำหน้าชื่อ
• เพศ
• อายุ
• วันเดือนปีเกิด
• สัญชาติ
• สถานภาพสมรส
• เลขประจำตัวประชาชน
• หมายเลขหนังสือเดินทาง
• ข้อมูลระบุตัวบุคคลอื่นที่จำเป็นต่อการให้บริการหรือกิจกรรมที่เกี่ยวข้อง

1.2 ข้อมูลการติดต่อ เช่น

• ที่อยู่ที่พักอาศัย
• ที่อยู่สถานที่ทำงาน
• หมายเลขโทรศัพท์
• ที่อยู่อีเมล
• LINE ID
• ช่องทางสื่อสังคมออนไลน์
• ข้อมูลการติดต่ออื่นที่เจ้าของข้อมูลให้แก่บริษัท

1.3 ข้อมูลเกี่ยวกับการทำงานหรือวิชาชีพ เช่น

• นายจ้างหรือหน่วยงานต้นสังกัด
• สถานที่ทำงาน
• ฝ่ายหรือแผนก
• ตำแหน่งงาน
• ข้อมูลทางวิชาชีพ
• ข้อมูลอื่นที่เกี่ยวข้องกับการทำงานของเจ้าของข้อมูลส่วนบุคคล

1.4 ข้อมูลเกี่ยวกับธุรกรรมและการใช้บริการ เช่น

• ข้อมูลการลงทะเบียน
• คำขอใช้บริการ
• ประวัติการทำธุรกรรม
• ข้อมูลเกี่ยวกับการเรียกเก็บเงินและการชำระเงิน
• การติดต่อกับบริษัท
• การเข้าร่วมกิจกรรมของบริษัท
• ประวัติการให้บริการลูกค้า
• ข้อมูลอื่นเกี่ยวกับการใช้ผลิตภัณฑ์หรือบริการของบริษัท

1.5 ข้อมูลทางเทคนิคและข้อมูลออนไลน์ เช่น

• IP Address
• MAC Address
• Cookie ID
• ข้อมูลอุปกรณ์
• ข้อมูลเบราว์เซอร์
• Log
• ข้อมูลการใช้งานเว็บไซต์
• ข้อมูลการใช้งานแพลตฟอร์ม
• ข้อมูลที่ได้จากคุกกี้หรือเทคโนโลยีที่มีลักษณะคล้ายคลึงกัน

1.6 ข้อมูลภาพ เสียง และกิจกรรม เช่น

• ภาพถ่าย
• ภาพเคลื่อนไหว
• วิดีโอ
• เสียงบันทึก
• ข้อมูลเกี่ยวกับการเข้าร่วมกิจกรรม
• ข้อมูลที่เกิดขึ้นจากกิจกรรม การสัมมนา หรือการฝึกอบรมของบริษัท

1.7 ข้อมูลส่วนบุคคลอ่อนไหว

โดยทั่วไปบริษัทไม่มีนโยบายเก็บรวบรวมข้อมูลส่วนบุคคลอ่อนไหว เว้นแต่มีความจำเป็น

ข้อมูลส่วนบุคคลอ่อนไหวอาจรวมถึงข้อมูลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนา หรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นตามที่กฎหมายกำหนด

ในกรณีที่บริษัทมีความจำเป็นต้องประมวลผลข้อมูลส่วนบุคคลอ่อนไหว บริษัทจะดำเนินการเฉพาะเมื่อมีฐานทางกฎหมาย รวมถึงการขอความยินยอมโดยชัดแจ้งในกรณีที่กฎหมายกำหนด

ข้อที่ 2. แหล่งที่มาของข้อมูลส่วนบุคคล

บริษัทอาจได้รับข้อมูลส่วนบุคคลจากแหล่งดังต่อไปนี้

2.1 ได้รับโดยตรงจากเจ้าของข้อมูลส่วนบุคคล เช่น

• การลงทะเบียนเว็บไซต์หรือแพลตฟอร์ม
• แบบฟอร์ม
• สัญญา
• ใบสมัคร
• การติดต่อกับบริษัท
• การลงทะเบียนเข้าร่วมกิจกรรมหรือการฝึกอบรม
• แบบสอบถามหรือแบบประเมิน
• การติดต่อฝ่ายบริการ
• การใช้งานเว็บไซต์หรือระบบของบริษัท
• คุกกี้หรือเทคโนโลยีที่คล้ายคลึงกัน

2.2 ได้รับจากแหล่งอื่น

บริษัทอาจได้รับข้อมูลส่วนบุคคลจากแหล่งอื่นโดยชอบด้วยกฎหมาย เช่น

• นายจ้างหรือหน่วยงานต้นสังกัดของเจ้าของข้อมูลส่วนบุคคล
• คู่ค้าทางธุรกิจ
• ลูกค้าของบริษัท
• ผู้จัดกิจกรรมหรือผู้จัดการฝึกอบรม
• ผู้รับมอบอำนาจ
• ผู้รับจ้างหรือผู้ให้บริการ
• แหล่งข้อมูลที่เปิดเผยต่อสาธารณะ
• บุคคลอื่นที่มีสิทธิเปิดเผยข้อมูลให้แก่บริษัทโดยชอบด้วยกฎหมาย

ในกรณีที่บริษัทไม่ได้เก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง บริษัทจะปฏิบัติตามหลักเกณฑ์เกี่ยวกับการแจ้งข้อมูลที่กฎหมายกำหนด

หากฐานในการประมวลผลเป็นความยินยอม บริษัทจะดำเนินการแจ้งเจ้าของข้อมูลส่วนบุคคลและขอความยินยอมตามที่กฎหมายกำหนด

หากบริษัทสามารถเก็บรวบรวมข้อมูลได้โดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูล บริษัทอาจดำเนินการดังกล่าวโดยไม่ต้องขอความยินยอม ทั้งนี้ ภายใต้เงื่อนไขและหน้าที่ตามกฎหมาย

หากบริษัทนำข้อมูลที่ได้รับจากแหล่งอื่นไปใช้ในการติดต่อเจ้าของข้อมูลส่วนบุคคล บริษัทจะแจ้งรายละเอียดที่กฎหมายกำหนดอย่างช้าที่สุดในการติดต่อกับเจ้าของข้อมูลส่วนบุคคลครั้งแรก

หากบริษัทประสงค์จะเปิดเผยข้อมูลดังกล่าวแก่บุคคลอื่น บริษัทจะแจ้งรายละเอียดที่กฎหมายกำหนดก่อนการเปิดเผยครั้งแรก เว้นแต่เข้าข้อยกเว้นตามกฎหมาย

ข้อที่ 3. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

บริษัทอาจเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังต่อไปนี้

3.1 เพื่อให้บริการ ดำเนินงาน ดูแล และบริหารเว็บไซต์ แพลตฟอร์มออนไลน์ บริการดิจิทัล ผลิตภัณฑ์ และบริการอื่นของบริษัท

3.2 เพื่อรับสมัคร ลงทะเบียน และบริหารจัดการการเข้าร่วมกิจกรรม งานสัมมนา การฝึกอบรม หรือบริการอื่นของบริษัท

3.3 เพื่อการติดต่อสื่อสาร เช่น

• ติดต่อเจ้าของข้อมูลส่วนบุคคล
• แจ้งข้อมูลเกี่ยวกับผลิตภัณฑ์ บริการ หรือกิจกรรม
• ตอบข้อสอบถาม
• ให้บริการสนับสนุน
• ประสานงานเกี่ยวกับการให้บริการ

3.4 เพื่อการเข้าทำและปฏิบัติตามสัญญา เช่น

• เข้าทำสัญญา
• ปฏิบัติตามสัญญา
• บริหารสัญญา
• บังคับสิทธิตามสัญญา
• ดำเนินการตามคำขอของเจ้าของข้อมูลส่วนบุคคลก่อนเข้าทำสัญญา

3.5 เพื่อการบริหารธุรกิจ รวมถึง

• ธุรกรรม
• การเรียกเก็บเงิน
• การชำระเงิน
• บัญชี
• ภาษี
• การตรวจสอบบัญชี
• การบริหารงานภายใน
• การจัดทำและเก็บรักษาเอกสาร

3.6 เพื่อวิเคราะห์ ประเมิน พัฒนา หรือปรับปรุง

• เว็บไซต์
• แพลตฟอร์ม
• ผลิตภัณฑ์
• บริการ
• กระบวนการทำงาน
• ประสบการณ์ของผู้ใช้
• กิจกรรม
• หลักสูตรหรือการฝึกอบรม

ในกรณีที่สามารถดำเนินการได้ บริษัทอาจใช้ข้อมูลในลักษณะข้อมูลรวม ข้อมูลสถิติ หรือข้อมูลที่ทำให้ไม่สามารถระบุตัวบุคคลได้

3.7 เพื่อรักษาความมั่นคงปลอดภัยและป้องกันการใช้งานโดยมิชอบ เช่น

• รักษาความปลอดภัยของระบบและข้อมูล
• ตรวจสอบและยืนยันตัวตน
• ควบคุมสิทธิการเข้าถึง
• ตรวจจับและป้องกันการทุจริต
• ตรวจสอบเหตุการณ์ด้านความมั่นคงปลอดภัย
• ป้องกันการใช้งานระบบโดยมิชอบ
• ก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย

3.8 เพื่อปฏิบัติตามกฎหมาย เช่น

• กฎหมาย
• ระเบียบ
• ข้อกำหนดของหน่วยงานกำกับดูแล
• คำสั่งศาล
• คำสั่งหรือคำร้องขอโดยชอบด้วยกฎหมายของหน่วยงานรัฐ
• หน้าที่ตามกฎหมายของบริษัท

3.9 เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ รวมถึงการช่วยเหลือในกรณีฉุกเฉินหรือเหตุจำเป็นอื่นเพื่อการตลาดและประชาสัมพันธ์ เช่น

• ผลิตภัณฑ์
• บริการ
• กิจกรรม
• งานสัมมนา
• การฝึกอบรม
• รายการส่งเสริมการขาย

ทั้งนี้ เมื่อกฎหมายกำหนดให้ต้องได้รับความยินยอม หรือบริษัทอาศัยความยินยอมเป็นฐานในการประมวลผล บริษัทจะขอความยินยอมก่อนดำเนินการ

เจ้าของข้อมูลส่วนบุคคลสามารถถอนความยินยอมหรือคัดค้านการประมวลผลเพื่อการตลาดทางตรงได้ตามที่กฎหมายกำหนด

บริษัทจะไม่กำหนดให้การให้ความยินยอมเพื่อการตลาดเป็นเงื่อนไขของการได้รับบริการอื่น หากข้อมูลดังกล่าวไม่มีความจำเป็นต่อบริการนั้น

3.10 บริษัทอาจอาศัยฐานทางกฎหมายหนึ่งฐานหรือหลายฐานในการประมวลผลข้อมูลส่วนบุคคล ได้แก่

• ความยินยอม
• ความจำเป็นในการปฏิบัติตามสัญญา
• การปฏิบัติตามกฎหมาย
• การป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ
• การดำเนินภารกิจเพื่อประโยชน์สาธารณะ ในกรณีที่ใช้บังคับ
• ประโยชน์โดยชอบด้วยกฎหมายของบริษัทหรือบุคคลอื่น โดยไม่กระทบสิทธิและเสรีภาพขั้นพื้นฐานของเจ้าของข้อมูลส่วนบุคคลเกินสมควร

หากบริษัทประสงค์จะประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใหม่ที่แตกต่างในสาระสำคัญจากวัตถุประสงค์ที่ได้แจ้งไว้ บริษัทจะแจ้งเจ้าของข้อมูลส่วนบุคคลและขอความยินยอมในกรณีที่กฎหมายกำหนด

ข้อที่ 4. ความจำเป็นในการให้ข้อมูลส่วนบุคคล

4.1 ข้อมูลส่วนบุคคลบางประเภทที่บริษัทร้องขออาจมีความจำเป็นเพื่อ

• ปฏิบัติตามกฎหมาย
• เข้าทำหรือปฏิบัติตามสัญญา
• ลงทะเบียนใช้บริการหรือเข้าร่วมกิจกรรม
• ให้บริการ
• ตรวจสอบตัวตน
• ทำธุรกรรม
• ปฏิบัติหน้าที่อื่นที่เกี่ยวข้อง

หากข้อมูลใดเป็นข้อมูลที่จำเป็น บริษัทจะแจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบ รวมถึงผลที่อาจเกิดขึ้นหากไม่ให้ข้อมูลดังกล่าว

4.2 หากเจ้าของข้อมูลส่วนบุคคลไม่ให้ข้อมูลที่จำเป็น บริษัทอาจไม่สามารถ

• เข้าทำหรือปฏิบัติตามสัญญา
• ให้บริการตามที่ร้องขอ
• ลงทะเบียนกิจกรรม
• ดำเนินธุรกรรม
• ปฏิบัติตามคำขอของเจ้าของข้อมูลส่วนบุคคล

ข้อมูลที่ระบุว่าเป็นข้อมูลทางเลือก เจ้าของข้อมูลส่วนบุคคลสามารถเลือกให้หรือไม่ให้ได้

ข้อที่ 5. ความยินยอม

ในกรณีที่บริษัทอาศัยความยินยอมเป็นฐานในการประมวลผลข้อมูลส่วนบุคคล บริษัทจะขอความยินยอมโดยอิสระ เฉพาะเจาะจง และบนพื้นฐานที่เจ้าของข้อมูลส่วนบุคคลได้รับข้อมูลอย่างเพียงพอ ตามที่กฎหมายกำหนด

การขอความยินยอมจะแยกออกจากข้อความหรือเรื่องอื่นอย่างชัดเจน ใช้ภาษาที่อ่านง่ายและเข้าใจได้

เจ้าของข้อมูลส่วนบุคคลมีสิทธิให้หรือปฏิเสธความยินยอมโดยอิสระ

บริษัทจะไม่กำหนดให้ความยินยอมเป็นเงื่อนไขของการทำสัญญาหรือรับบริการ หากข้อมูลส่วนบุคคลนั้นไม่มีความจำเป็นหรือเกี่ยวข้องกับการทำสัญญาหรือการให้บริการดังกล่าว

เจ้าของข้อมูลส่วนบุคคลสามารถถอนความยินยอมเมื่อใดก็ได้ภายใต้เงื่อนไขที่กฎหมายกำหนด

การถอนความยินยอมต้องสามารถกระทำได้โดยง่ายเช่นเดียวกับการให้ความยินยอม และจะไม่กระทบความชอบด้วยกฎหมายของการประมวลผลที่ได้ดำเนินการไปก่อนการถอนความยินยอม

กรณีเจ้าของข้อมูลส่วนบุคคลเป็นผู้เยาว์ คนไร้ความสามารถ หรือคนเสมือนไร้ความสามารถ บริษัทจะดำเนินการเกี่ยวกับความยินยอมตามกฎหมายที่เกี่ยวข้อง

ข้อที่ 6. การใช้และการเปิดเผยข้อมูลส่วนบุคคล

บริษัทจะเปิดเผยข้อมูลส่วนบุคคลเฉพาะเท่าที่จำเป็นสำหรับวัตถุประสงค์ที่ได้แจ้งไว้ในนโยบายฉบับนี้ ผู้รับข้อมูลอาจรวมถึง

6.1 บุคลากรของบริษัท เช่น กรรมการ ผู้บริหาร พนักงาน และบุคลากรที่ได้รับอนุญาตและจำเป็นต้องใช้ข้อมูลเพื่อปฏิบัติหน้าที่

6.2 ผู้ให้บริการและผู้ประมวลผลข้อมูลส่วนบุคคล เช่น

• ผู้ให้บริการเทคโนโลยีสารสนเทศ
• ผู้ให้บริการ Cloud หรือ Hosting
• ผู้ให้บริการซอฟต์แวร์
• ผู้ให้บริการจัดเก็บข้อมูล
• ผู้ให้บริการด้านการชำระเงิน
• ผู้ให้บริการด้านบัญชีหรือการตรวจสอบ
• ผู้จัดกิจกรรมหรือการฝึกอบรม
• ผู้ให้บริการด้านการตลาดหรือการวิเคราะห์ข้อมูล
• ผู้รับจ้างอื่นที่สนับสนุนการดำเนินธุรกิจของบริษัท

ในกรณีที่บุคคลดังกล่าวเป็นผู้ประมวลผลข้อมูลส่วนบุคคลแทนบริษัท บริษัทจะจัดให้มีข้อตกลงหรือมาตรการที่เหมาะสมตามกฎหมาย

6.3 บริษัทอาจเปิดเผยข้อมูลแก่คู่ค้าทางธุรกิจ ลูกค้า บริษัทในเครือ หรือหน่วยงานอื่น เท่าที่จำเป็นต่อธุรกรรม กิจกรรม บริการ หรือความสัมพันธ์ทางธุรกิจ

6.4 ที่ปรึกษาวิชาชีพ เช่น

• ทนายความ
• ผู้สอบบัญชี
• นักบัญชี
• ที่ปรึกษา

ในกรณีที่จำเป็นต่อการให้คำปรึกษา การตรวจสอบ หรือการก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้อง

6.5 บริษัทอาจเปิดเผยข้อมูลส่วนบุคคลแก่หน่วยงานรัฐ หน่วยงานกำกับดูแล ศาล เจ้าหน้าที่บังคับใช้กฎหมาย หรือหน่วยงานที่มีอำนาจตามกฎหมาย เมื่อมีกฎหมายกำหนดหรืออนุญาต

6.6 บริษัทอาจเปิดเผยข้อมูลให้บุคคลอื่นตามคำสั่งหรือความยินยอมที่ชอบด้วยกฎหมายของเจ้าของข้อมูลส่วนบุคคล หากผู้รับข้อมูลมีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลโดยอิสระ ผู้รับข้อมูลดังกล่าวมีหน้าที่รับผิดชอบต่อการประมวลผลข้อมูลของตนตามกฎหมาย

ข้อที่ 7. การเชื่อมโยงหรือรวมข้อมูลส่วนบุคคล

บริษัทอาจเชื่อมโยงหรือรวมข้อมูลส่วนบุคคลกับข้อมูลจากแหล่งอื่นที่ได้รับมาโดยชอบด้วยกฎหมาย หากมีความจำเป็นต่อวัตถุประสงค์ที่ได้แจ้งไว้และมีฐานทางกฎหมายรองรับ หากการดำเนินการดังกล่าวต้องอาศัยความยินยอม บริษัทจะแจ้งข้อมูลที่เกี่ยวข้องและขอความยินยอมก่อนดำเนินการ บริษัทจะไม่เชื่อมโยงหรือรวมข้อมูลส่วนบุคคลในลักษณะที่ไม่สอดคล้องกับวัตถุประสงค์ที่ได้แจ้งไว้ เว้นแต่กฎหมายอนุญาต

ข้อที่ 8. ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล

บริษัทจะเก็บรักษาข้อมูลส่วนบุคคลไว้เฉพาะเท่าที่จำเป็นสำหรับวัตถุประสงค์ในการเก็บรวบรวมหรือประมวลผล ในการกำหนดระยะเวลาการเก็บรักษา บริษัทอาจพิจารณาจาก

• ลักษณะและความอ่อนไหวของข้อมูล
• วัตถุประสงค์ของการประมวลผล
• เงื่อนไขตามสัญญา
• หน้าที่ตามกฎหมาย
• กฎหมายบัญชีและภาษี
• การตรวจสอบ
• อายุความ
• ข้อกำหนดของหน่วยงานกำกับดูแล
• ความจำเป็นในการก่อตั้ง ใช้ หรือยกขึ้นต่อสู้สิทธิเรียกร้อง

เอกสารเกี่ยวกับสัญญา ธุรกรรม หรือข้อมูลอื่นที่อาจมีความจำเป็นเพื่อวัตถุประสงค์ด้านบัญชี ภาษี การตรวจสอบ การปฏิบัติตามกฎหมาย หรือข้อพิพาท อาจถูกเก็บรักษาไว้ไม่เกินสิบ (10) ปีนับจากสิ้นสุดความสัมพันธ์ตามสัญญาหรือความสัมพันธ์ทางธุรกิจ หากมีความจำเป็นหรือมีกฎหมายกำหนด

ข้อมูลประเภทอื่นจะถูกเก็บตามตารางระยะเวลาการเก็บรักษาข้อมูลของบริษัท เมื่อพ้นกำหนดระยะเวลาหรือข้อมูลไม่มีความจำเป็นอีกต่อไป บริษัทจะลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ตามกฎหมายและขั้นตอนของบริษัท

ข้อที่ 9. การส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ

บริษัทอาจส่งหรือโอนข้อมูลส่วนบุคคลไปยังผู้รับข้อมูลที่อยู่ต่างประเทศ หากมีความจำเป็นต่อวัตถุประสงค์ตามนโยบายฉบับนี้ บริษัทจะดำเนินการส่งหรือโอนข้อมูลดังกล่าวตามกฎหมาย และประกาศที่เกี่ยวข้อง

บริษัทอาจใช้วิธีการใดวิธีการหนึ่งตามที่กฎหมายอนุญาต เช่น

• โอนไปยังประเทศหรือองค์การระหว่างประเทศที่มีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ อาศัยข้อยกเว้นที่กฎหมายกำหนด
• จัดให้มีมาตรการคุ้มครองที่เหมาะสมซึ่งสามารถบังคับสิทธิของเจ้าของข้อมูลส่วนบุคคลได้
• ใช้นโยบายคุ้มครองข้อมูลส่วนบุคคลภายในเครือกิจการที่ได้รับการรับรอง
• ใช้กลไกอื่นที่กฎหมายอนุญาต

ข้อที่ 10. มาตรการรักษาความมั่นคงปลอดภัย

บริษัทจัดให้มีมาตรการด้านองค์กร ด้านเทคนิค และด้านกายภาพที่เหมาะสม โดยคำนึงถึงลักษณะ ขอบเขต บริบท วัตถุประสงค์ของการประมวลผล และความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล มาตรการดังกล่าวอาจรวมถึงตามความเหมาะสม เช่น

• การควบคุมการเข้าถึง
• การยืนยันตัวตน
• การบริหารสิทธิผู้ใช้งาน
• มาตรการรักษาความลับ
• การเข้ารหัส
• การจัดเก็บ Log
• การตรวจสอบระบบ
• การสำรองและกู้คืนข้อมูล
• การทดสอบความมั่นคงปลอดภัย
• กระบวนการจัดการเหตุการณ์ข้อมูลส่วนบุคคล
• มาตรการอื่นเพื่อป้องกันการเข้าถึง ใช้ เปลี่ยนแปลง สูญหาย เปิดเผย หรือทำลายข้อมูลโดยมิชอบ

บริษัทจะทบทวนและปรับปรุงมาตรการดังกล่าวตามความจำเป็นให้สอดคล้องกับเทคโนโลยี ความเสี่ยง และลักษณะการประมวลผลที่เปลี่ยนแปลงไป

หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล บริษัทจะประเมินและดำเนินการตาม PDPA และกฎหมายลำดับรอง รวมถึงการแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและเจ้าของข้อมูลส่วนบุคคลในกรณีที่กฎหมายกำหนด

ข้อที่ 11. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้เงื่อนไข ข้อจำกัด และข้อยกเว้นตามกฎหมาย เจ้าของข้อมูลส่วนบุคคลมีสิทธิดังต่อไปนี้

11.1 เจ้าของข้อมูลส่วนบุคคลมีสิทธิถอนความยินยอมได้ตลอดเวลาสำหรับการประมวลผลที่อาศัยความยินยอมเป็นฐาน การถอนความยินยอมไม่กระทบต่อการประมวลผลที่ได้ดำเนินการไปโดยชอบก่อนการถอนความยินยอม

11.2 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลเกี่ยวกับตนซึ่งอยู่ในความรับผิดชอบของบริษัท รวมถึงมีสิทธิขอให้บริษัทเปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่เจ้าของข้อมูลส่วนบุคคลไม่ได้ให้ความยินยอม

11.3 ในกรณีที่เข้าเงื่อนไขตามกฎหมาย เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอรับข้อมูลส่วนบุคคลในรูปแบบที่สามารถอ่านหรือใช้งานได้โดยทั่วไปด้วยเครื่องมือหรืออุปกรณ์อัตโนมัติ และขอให้บริษัทส่งหรือโอนข้อมูลดังกล่าวไปยังผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นหากสามารถดำเนินการได้ทางเทคนิค

11.4 เจ้าของข้อมูลส่วนบุคคลมีสิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลในกรณีที่กฎหมายกำหนด รวมถึงการประมวลผลบางกรณีที่อาศัยประโยชน์โดยชอบด้วยกฎหมายหรือประโยชน์สาธารณะ และการประมวลผลเพื่อการวิจัยหรือสถิติบางประเภท กรณีบริษัทประมวลผลข้อมูลเพื่อการตลาดทางตรง เจ้าของข้อมูลส่วนบุคคลมีสิทธิคัดค้านได้ตลอดเวลา

11.5 เจ้าของข้อมูลส่วนบุคคลอาจขอให้บริษัทลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ในกรณีตามที่กฎหมายกำหนด เช่น

• ข้อมูลหมดความจำเป็นตามวัตถุประสงค์เดิม
• มีการถอนความยินยอมและไม่มีฐานกฎหมายอื่นรองรับ
• เจ้าของข้อมูลใช้สิทธิคัดค้านโดยชอบ
• ข้อมูลถูกประมวลผลโดยไม่ชอบด้วยกฎหมาย
• กฎหมายกำหนดให้ต้องลบหรือทำลาย

11.6 เจ้าของข้อมูลส่วนบุคคลสามารถขอให้บริษัทระงับการใช้ข้อมูลส่วนบุคคลในกรณีตามที่กฎหมายกำหนด

11.7 เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้บริษัทแก้ไขข้อมูลที่ไม่ถูกต้อง ไม่เป็นปัจจุบัน ไม่สมบูรณ์ หรือก่อให้เกิดความเข้าใจผิด

11.8 เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อหน่วยงานที่มีอำนาจ หากเห็นว่าบริษัทหรือผู้ประมวลผลข้อมูลส่วนบุคคลฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

ข้อที่ 12. การใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลที่ประสงค์จะใช้สิทธิตาม PDPA สามารถยื่นคำขอผ่านช่องทางที่บริษัทกำหนดไว้ และบริษัทอาจขอข้อมูลหรือเอกสารที่จำเป็นเพื่อ ดังนี้

• พิสูจน์และยืนยันตัวตนของผู้ยื่นคำขอ
• ตรวจสอบอำนาจของผู้รับมอบอำนาจ
• ระบุข้อมูลส่วนบุคคลที่เกี่ยวข้องกับคำขอ
• ป้องกันการเปิดเผยข้อมูลให้แก่บุคคลที่ไม่มีสิทธิ

สำหรับการใช้สิทธิขอเข้าถึง ขอรับสำเนาข้อมูลส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่เจ้าของข้อมูลไม่ได้ให้ความยินยอม บริษัทจะดำเนินการตามกฎหมายและประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง

คำขออาจจัดทำเป็นหนังสือหรือในรูปแบบอิเล็กทรอนิกส์ และต้องมีรายละเอียดที่เพียงพอสำหรับให้บริษัทสามารถตรวจสอบตัวตน ขอบเขตของข้อมูลที่ร้องขอ และดำเนินการตามคำขอได้

หากคำขอหรือเอกสารประกอบไม่ถูกต้อง ไม่ครบถ้วน หรือบริษัทไม่สามารถยืนยันตัวตนของผู้ยื่นคำขอได้ บริษัทจะแจ้งให้ผู้ยื่นคำขอแก้ไขหรือจัดส่งเอกสารเพิ่มเติม และกำหนดระยะเวลาให้ดำเนินการไม่น้อยกว่าสิบ (10) วัน

ในกรณีดังกล่าว วันที่บริษัทได้รับคำขอที่แก้ไขหรือมีเอกสารครบถ้วนแล้ว จะถือเป็นวันที่บริษัทได้รับคำขอเพื่อการคำนวณระยะเวลาดำเนินการ

เมื่อคำขอถูกต้องครบถ้วนและไม่เข้ากรณีที่กฎหมายอนุญาตให้ปฏิเสธ บริษัทจะดำเนินการโดยไม่ชักช้า และไม่เกินสามสิบ (30) วันนับแต่วันที่ได้รับคำขอที่ถูกต้องครบถ้วน

หากคำขอมีข้อมูลปริมาณมากหรือมีเหตุจำเป็นอื่นที่ทำให้บริษัทไม่สามารถดำเนินการได้ภายในสามสิบ (30) วัน บริษัทอาจขยายระยะเวลาได้อีกไม่เกินสามสิบ (30) วัน โดยบริษัทจะแจ้งเหตุผล ความจำเป็น และรายละเอียดเกี่ยวกับการขยายระยะเวลาให้เจ้าของข้อมูลส่วนบุคคลหรือผู้รับมอบอำนาจทราบ บริษัทอาจดำเนินการตามคำขอด้วยวิธีการที่เหมาะสม เช่น

• จัดให้เจ้าของข้อมูลตรวจดูข้อมูลส่วนบุคคล
• จัดทำสำเนาเอกสาร
• จัดส่งข้อมูลให้แก่เจ้าของข้อมูลหรือผู้รับมอบอำนาจ
• จัดให้เข้าถึงข้อมูลในรูปแบบอิเล็กทรอนิกส์ หากสามารถดำเนินการได้

หากเจ้าของข้อมูลยื่นคำขอผ่านช่องทางอิเล็กทรอนิกส์ และไม่ได้ร้องขอให้จัดส่งข้อมูลในรูปแบบอื่น บริษัทอาจจัดให้เข้าถึงหรือส่งข้อมูลในรูปแบบอิเล็กทรอนิกส์ หากสามารถกระทำได้ บริษัทอาจปฏิเสธหรือจำกัดการดำเนินการตามคำขอได้เฉพาะกรณีที่กฎหมายอนุญาต เช่น

• เป็นการปฏิเสธตามกฎหมายหรือคำสั่งศาล
• การดำเนินการตามคำขออาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่นเกินสมควร เช่น กระทบความเป็นส่วนตัว ความลับทางราชการ ความลับทางการค้า ลิขสิทธิ์ หรือทรัพย์สินทางปัญญา
• คำขอไม่มีสาระสำคัญอย่างชัดเจน มีลักษณะซ้ำซากโดยไม่มีเหตุผลอันสมควร หรือสร้างภาระแก่บริษัทเกินสมควร

หากบริษัทสามารถดำเนินการตามคำขอบางส่วนได้โดยไม่กระทบสิทธิของบุคคลอื่นเกินสมควร บริษัทจะดำเนินการเฉพาะในส่วนที่สามารถเปิดเผยได้ เช่น การปกปิด ตัดทอน หรือดำเนินการอื่นเพื่อมิให้ข้อมูลของบุคคลอื่นถูกเปิดเผย

หากบริษัทปฏิเสธคำขอ บริษัทจะแจ้งเจ้าของข้อมูลส่วนบุคคลหรือผู้รับมอบอำนาจ พร้อมเหตุผลตามที่กฎหมายกำหนด และจัดทำบันทึกเกี่ยวกับการปฏิเสธดังกล่าว

โดยหลัก บริษัทจะไม่เรียกเก็บค่าธรรมเนียมในการดำเนินการตามคำขอที่ไม่ต้องมีการจัดทำข้อมูลในรูปแบบเฉพาะและไม่ก่อให้เกิดค่าใช้จ่ายในการขนส่งหรือจัดส่งข้อมูลโดยตรง

อย่างไรก็ดี บริษัทอาจเรียกเก็บค่าธรรมเนียมตามสมควรในกรณีที่กฎหมายอนุญาต รวมถึงกรณีที่ต้องจัดทำสำเนาหรือมีค่าใช้จ่ายที่เกิดขึ้นจริง ทั้งนี้ ต้องไม่เกินอัตราที่กฎหมายหรือประกาศที่เกี่ยวข้องกำหนด

หากมีการเรียกเก็บค่าธรรมเนียม บริษัทจะแจ้งอัตราและรายละเอียดให้เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะที่ใช้สิทธิ

บริษัทจะบันทึกรายละเอียดเกี่ยวกับคำขอ เอกสารประกอบ การดำเนินการตามคำขอ หรือการปฏิเสธคำขอ และเก็บรักษาบันทึกดังกล่าวไว้ไม่น้อยกว่าสอง (2) ปี เพื่อประโยชน์ในการตรวจสอบและอ้างอิง

ข้อที่ 13. คุกกี้และเทคโนโลยีที่มีลักษณะคล้ายคลึงกัน

13.1 คุกกี้คืออะไร คุกกี้คือไฟล์หรือข้อมูลขนาดเล็กที่เว็บไซต์หรือบริการออนไลน์จัดเก็บไว้ในอุปกรณ์ของผู้ใช้

13.2 คุกกี้อาจถูกใช้เพื่อ

• ให้เว็บไซต์ทำงานได้อย่างถูกต้อง
• รักษาความมั่นคงปลอดภัย
• จดจำการตั้งค่า
• วิเคราะห์การใช้งานเว็บไซต์
• พัฒนาประสบการณ์ใช้งาน
• นำเสนอเนื้อหาหรือโฆษณาที่เกี่ยวข้อง

13.3 วัตถุประสงค์ในการใช้คุกกี้ เช่น

• รักษาความต่อเนื่องและความปลอดภัยในการใช้งาน
• ยืนยันตัวตน
• จดจำการตั้งค่า
• รักษาการทำงานของเว็บไซต์
• วิเคราะห์จำนวนและพฤติกรรมผู้ใช้งาน
• วัดประสิทธิภาพเว็บไซต์
• พัฒนาเว็บไซต์และแพลตฟอร์ม
• การตลาดหรือโฆษณาในกรณีที่กฎหมายอนุญาต

13.4 ประเภทคุกกี้

บริษัทอาจใช้คุกกี้ประเภทดังต่อไปนี้

• คุกกี้ที่จำเป็นอย่างยิ่ง (Strictly Necessary Cookies) จำเป็นต่อการทำงาน ความปลอดภัย และฟังก์ชันพื้นฐานของเว็บไซต์
• คุกกี้เพื่อการทำงาน (Functionality Cookies) ใช้จดจำการตั้งค่าหรือความต้องการของผู้ใช้
• คุกกี้วิเคราะห์และประสิทธิภาพ (Performance and Analytics Cookies) ใช้วิเคราะห์พฤติกรรมการใช้งาน จำนวนผู้เข้าชม และพัฒนาประสิทธิภาพของระบบ
• คุกกี้การตลาดหรือโฆษณา (Advertising or Marketing Cookies) อาจใช้เพื่อทำความเข้าใจความสนใจของผู้ใช้ นำเสนอเนื้อหาหรือโฆษณาที่เกี่ยวข้อง และวัดผลกิจกรรมการตลาด

13.5 บริษัทอาจใช้บริการจากบุคคลภายนอก เช่น ผู้ให้บริการวิเคราะห์ข้อมูล ผู้ให้บริการโฆษณา หรือผู้ให้บริการเทคโนโลยี

13.6 ในกรณีที่คุกกี้ที่ไม่จำเป็นต้องอาศัยความยินยอม บริษัทจะใช้คุกกี้ดังกล่าวตามความยินยอมหรือการตั้งค่าของผู้ใช้หากบริษัทจัดให้มี Cookie Preference หรือ Consent Management Tool ผู้ใช้สามารถใช้เครื่องมือดังกล่าวในการ

• ยอมรับ
• ปฏิเสธ
• เปลี่ยนแปลงการตั้งค่า

13.7 สำหรับคุกกี้ที่ไม่จำเป็น ผู้ใช้อาจจัดการคุกกี้ผ่านการตั้งค่าเบราว์เซอร์ได้

13.8 การปฏิเสธหรือลบคุกกี้บางประเภทอาจส่งผลต่อการทำงานของเว็บไซต์ การตั้งค่าที่บันทึกไว้ หรือบริการบางส่วน

ข้อที่ 14. การแก้ไขนโยบายความเป็นส่วนตัว

บริษัทอาจแก้ไขหรือปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว เพื่อให้สอดคล้องกับ

• กฎหมายที่เปลี่ยนแปลง
• กิจกรรมการประมวลผลข้อมูลของบริษัท
• ผลิตภัณฑ์หรือบริการ
• เทคโนโลยี
• การดำเนินธุรกิจ
• สถานการณ์อื่นที่เกี่ยวข้อง

หากมีการเปลี่ยนแปลงที่มีสาระสำคัญ บริษัทจะแจ้งเจ้าของข้อมูลส่วนบุคคลผ่านช่องทางที่เหมาะสม

ข้อที่ 15. ข้อมูลผู้ควบคุมข้อมูลส่วนบุคคล

บริษัท เด็พธเฟิร์สท จำกัด

155/10 ถนนสุขุมวิท 21 (อโศก)

แขวงคลองเตยเหนือ เขตวัฒนา

กรุงเทพมหานคร 10110

โทรศัพท์: +66 (0)2 661 6609-10

ข้อที่ 16. ช่องทางการติดต่อและการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

หากท่านมีคำถาม ข้อคิดเห็น คำร้อง หรือประสงค์ใช้สิทธิตาม PDPA สามารถติดต่อหรือยื่นคำขอต่อบริษัทได้ดังนี้

16.1 ยื่นด้วยตนเอง

ฝ่ายกฎหมายและกำกับดูแล (Legal & Compliance)

บริษัท เด็พธเฟิร์สท จำกัด

155/10 ถนนสุขุมวิท 21 (อโศก)

แขวงคลองเตยเหนือ เขตวัฒนา

กรุงเทพมหานคร 10110

16.2 ทางไปรษณีย์

ถึง ผู้ประสานงานด้านการคุ้มครองข้อมูลส่วนบุคคล

ฝ่ายกฎหมายและกำกับดูแล (Legal & Compliance)

บริษัท เด็พธเฟิร์สท จำกัด

155/10 ถนนสุขุมวิท 21 (อโศก)

แขวงคลองเตยเหนือ เขตวัฒนา

กรุงเทพมหานคร 10110

อีเมล: compliance@depthfirst.co.th

โทรศัพท์: +66 (0)2 661 6609-10