Digital Compliance Consulting (DCC) ("เรา" หรือ "ผู้ควบคุมข้อมูลส่วนบุคคล") ตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลของท่าน จึงได้จัดทำประกาศความเป็นส่วนตัวฉบับนี้ขึ้น เพื่อชี้แจงรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของท่าน รวมถึงสิทธิของท่านตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ("PDPA")
1. ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)
ชื่อองค์กร: Digital Compliance Consulting (DCC)
เว็บไซต์ทางการ: https://www.digitalcompliance.asia/
ทีมที่ปรึกษาและ DPO: อีเมลติดต่อ info@digitalcompliance.asia | โทรศัพท์ 065-241-5449
2. ข้อมูลส่วนบุคคลที่เก็บรวบรวม และแหล่งที่มาของข้อมูล
เราเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นภายใต้วัตถุประสงค์อันชอบด้วยกฎหมาย (Data Minimization) จาก 2 แหล่งที่มาหลัก ได้แก่:
- 2.1 ข้อมูลที่ได้รับจากท่านโดยตรง: เมื่อท่านกรอกแบบฟอร์มขอรับคำปรึกษา นัดหมาย ทำแบบประเมินความเสี่ยง PDPA หรือยื่นคำร้องใช้สิทธิ (DSAR) ได้แก่ ชื่อ-นามสกุล, ชื่อคลินิก/สถานศึกษา/องค์กร, ตำแหน่งงาน, เบอร์โทรศัพท์ติดต่อ, อีเมลติดต่อ และรายละเอียดข้อความที่ท่านแจ้ง
- 2.2 ข้อมูลที่เก็บรวบรวมโดยอัตโนมัติเมื่อเข้าใช้งานเว็บไซต์: ได้แก่ ข้อมูลหมายเลข IP Address ที่ผ่านกระบวนการแปลงรหัสทางเดียว (SHA-256 Hash Pseudonymization), ประเภทของเว็บเบราว์เซอร์และอุปกรณ์, วันและเวลาที่เข้าใช้งาน, ข้อมูลคุกกี้ (Cookies) และบันทึกหลักฐานการให้ความยินยอม (Consent Audit Log)
3. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล (Lawful Basis)
| วัตถุประสงค์ในการประมวลผล |
ฐานทางกฎหมาย (พ.ร.บ. PDPA พ.ศ. 2562) |
| การติดต่อกลับเพื่อให้คำปรึกษา การวิเคราะห์ผลประเมินความเสี่ยงเบื้องต้น การจัดทำใบเสนอราคา และการดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญาบริการ |
ฐานสัญญา (Contractual Basis) ตามมาตรา 24 (3) |
| การรักษาความมั่นคงปลอดภัยของเว็บไซต์และฐานข้อมูล การป้องกันภัยคุกคามทางไซเบอร์ และการบริหารจัดการคุณภาพการให้บริการ |
ฐานประโยชน์อันชอบธรรม (Legitimate Interest) ตามมาตรา 24 (5) |
| การเก็บบันทึกหลักฐานความยินยอม (Consent Log) การรับและดำเนินการตามคำร้องขอใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล (DSAR) และการปฏิบัติตามกฎหมายภาษีอากร |
ฐานการปฏิบัติตามกฎหมาย (Legal Obligation) ตามมาตรา 24 (6) |
| การส่งข่าวสาร บทความอัปเดตกฎหมาย PDPA สิทธิพิเศษ และการใช้คุกกี้เพื่อการวิเคราะห์หรือการตลาด (เฉพาะกรณีที่ท่านเลือกให้ความยินยอมอย่างชัดแจ้ง) |
ฐานความยินยอม (Consent) ตามมาตรา 19 |
4. การเปิดเผยหรือส่งต่อข้อมูลส่วนบุคคลให้แก่บุคคลภายนอกและผู้ประมวลผลข้อมูล
เราไม่มีนโยบายจำหน่ายหรือเปิดเผยข้อมูลส่วนบุคคลของท่านให้แก่บุคคลภายนอกเพื่อวัตถุประสงค์ทางการค้า อย่างไรก็ตาม ในการดำเนินงานเว็บไซต์และระบบสื่อสาร เราใช้บริการผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processors) ที่ได้มาตรฐานความปลอดภัยระดับสากล ได้แก่:
- Cloudflare, Inc.: ให้บริการระบบคลาวด์ โฮสติ้ง (Cloudflare Pages) ระบบรักษาความปลอดภัยเครือข่าย (WAF / CDN) และระบบฐานข้อมูลเข้ารหัส (Cloudflare D1)
- ผู้ให้บริการระบบอีเมลระดับองค์กร: ให้บริการระบบรับ-ส่งอีเมลติดต่อและแจ้งเตือนคำขอรับคำปรึกษาภายใต้มาตรฐานความปลอดภัยสากล
- หน่วยงานราชการหรือหน่วยงานกำกับดูแล: เช่น สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เฉพาะกรณีที่มีคำสั่งหรือหน้าที่ตามกฎหมาย
5. การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ (Cross-Border Data Transfer)
เนื่องจากผู้ให้บริการโครงสร้างพื้นฐานด้านคลาวด์และผู้ให้บริการระบบอีเมลระดับองค์กรมีศูนย์ข้อมูลตั้งอยู่ในต่างประเทศ เราจึงดำเนินการตรวจสอบให้มั่นใจว่าผู้ให้บริการดังกล่าวมีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอตามมาตรฐานสากล (เช่น ISO/IEC 27001, SOC 2 Type II และข้อสัญญามาตรฐาน Standard Contractual Clauses) สอดคล้องตามมาตรา 28 และมาตรา 29 แห่ง พ.ร.บ. PDPA
6. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล (Retention Period)
- ข้อมูลผู้ติดต่อขอรับคำปรึกษาและขอใบเสนอราคาทั่วไป: เก็บรักษาไว้ไม่เกิน 2 ปี นับแต่วันที่ได้รับการติดต่อครั้งล่าสุด
- กรณีเข้าทำสัญญาว่าจ้างที่ปรึกษาหรือ Outsourced DPO: เก็บรักษาไว้ตลอดระยะเวลาของสัญญา และเก็บรักษาต่อเนื่องอีก 5 ปี นับแต่วันสิ้นสุดสัญญา เพื่อให้สอดคล้องกับอายุความทางกฎหมายและประมวลรัษฎากร
- บันทึกหลักฐานความยินยอม (Consent Log) และคำร้องใช้สิทธิ (DSAR): เก็บรักษาไว้ 3 ถึง 5 ปี เพื่อใช้เป็นหลักฐานการปฏิบัติตามกฎหมายต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)
7. มาตรการความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล (Security Measures - มาตรา 37)
เราจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยทั้งทางเทคนิคและทางกายภาพ (Organizational & Technical Measures) อาทิ การเข้ารหัสข้อมูลระหว่างรับ-ส่งด้วยโปรโตคอล TLS 1.3 (HTTPS), การแปลงหมายเลข IP Address เป็นรหัสทางเดียว (SHA-256 Hash), การกำหนดสิทธิ์การเข้าถึงข้อมูลตามหน้าที่ความรับผิดชอบ (Access Control) และการตรวจสอบความปลอดภัยของระบบอย่างสม่ำเสมอ
8. สิทธิของเจ้าของข้อมูลส่วนบุคคล (Data Subject Rights)
ภายใต้ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ท่านมีสิทธิดังต่อไปนี้:
- สิทธิในการเพิกถอนความยินยอม (Right to Withdraw Consent) ในกรณีที่ท่านได้ให้ความยินยอมไว้
- สิทธิในการขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล (Right to Access)
- สิทธิในการขอแก้ไขข้อมูลส่วนบุคคลให้ถูกต้องเป็นปัจจุบัน (Right to Rectification)
- สิทธิในการขอให้ลบหรือทำลายข้อมูลส่วนบุคคล (Right to Erasure)
- สิทธิในการขอให้ระงับการใช้ข้อมูลส่วนบุคคล (Right to Restriction of Processing)
- สิทธิในการขอรับหรือโอนย้ายข้อมูลส่วนบุคคล (Right to Data Portability)
- สิทธิในการคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (Right to Object)
- สิทธิในการร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ (สคส.) ในกรณีที่มีการฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย
9. นโยบายการใช้คุกกี้ (Cookie Policy) และการปรับปรุงประกาศความเป็นส่วนตัว
ท่านสามารถจัดการหรือเปลี่ยนแปลงการตั้งค่าคุกกี้ได้ตลอดเวลาผ่านเมนู "ตั้งค่าคุกกี้" ที่ส่วนท้ายของเว็บไซต์ ทั้งนี้ เราอาจทบทวนและปรับปรุงประกาศความเป็นส่วนตัวฉบับนี้ตามความเหมาะสม โดยจะระบุวันที่ปรับปรุงล่าสุดไว้อย่างชัดเจน