1.นโยบายนี้ครอบคลุมอะไร
[ชื่อนิติบุคคลผู้ให้บริการ] (“เรา”) เป็นผู้ให้บริการ WrapUp ERP ระบบงานหลังบ้านออนไลน์สำหรับธุรกิจ และเว็บไซต์นี้ นโยบายนี้อธิบายว่าเราจัดการข้อมูลส่วนบุคคลอย่างไร ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“PDPA”)
ข้อมูลใน WrapUp ERP มีสองแบบ และเรามีหน้าที่ต่างกัน
เราเป็นผู้ควบคุมข้อมูล
ข้อมูลของผู้ที่สมัครใช้ เข้าสู่ระบบ ติดต่อเรา หรือเข้าชมเว็บไซต์นี้ เราเป็นผู้ตัดสินใจว่าจะเก็บและใช้อย่างไร
เราเป็นผู้ประมวลผลข้อมูล
ข้อมูลที่บริษัทลูกค้าบันทึกในระบบ เช่น ข้อมูลพนักงาน เวลาเข้างาน เงินเดือน ลูกค้า และผู้ขาย บริษัทลูกค้าเป็นผู้ควบคุมข้อมูล เราทำตามคำสั่งของบริษัทลูกค้าเท่านั้น (ดูข้อ 4)
2.ข้อมูลที่เราเก็บ และได้มาจากไหน
| ประเภท | ตัวอย่าง | ได้มาจาก |
|---|---|---|
| ข้อมูลบัญชีผู้ใช้ | ชื่อ อีเมล รหัสผ่าน (เก็บเป็นค่าแฮช เราอ่านรหัสผ่านของคุณไม่ได้) รูปโปรไฟล์ | คุณกรอกตอนสมัคร หรือจาก Google เมื่อคุณเลือกเข้าสู่ระบบด้วย Google (ชื่อ อีเมล รูปโปรไฟล์) |
| ข้อมูลบริษัท | ชื่อบริษัท ที่อยู่ เลขประจำตัวผู้เสียภาษี โลโก้ เบอร์โทร บัญชีธนาคารที่พิมพ์บนเอกสาร | ผู้ดูแลบริษัทกรอกในหน้าตั้งค่า |
| ข้อมูลการใช้งานและความปลอดภัย | หมายเลข IP เบราว์เซอร์และอุปกรณ์ที่ใช้เข้าสู่ระบบ เวลาเข้าใช้ ประวัติว่าใครแก้ไขข้อมูลอะไร เมื่อไร | ระบบบันทึกเองเมื่อคุณใช้งาน |
| ข้อมูลการติดต่อ | ชื่อ อีเมล เบอร์โทร และข้อความที่คุณส่งถึงเรา | คุณติดต่อเราเอง |
| ข้อมูลที่บริษัทลูกค้าบันทึก | ข้อมูลพนักงาน เวลาเข้า-ออกงาน เงินเดือน ลายนิ้วมือ ลูกค้า ผู้ขาย เอกสาร | บริษัทลูกค้าบันทึก หรือเครื่องสแกนนิ้วของบริษัทลูกค้าส่งเข้ามา (ดูข้อ 4 และ 5) |
เว็บไซต์นี้ไม่ได้เก็บข้อมูลส่วนบุคคลของผู้เข้าชม นอกจากบันทึกการเข้าถึงทางเทคนิคที่เครื่องแม่ข่ายบันทึกไว้ เช่น หมายเลข IP และเวลา เพื่อดูแลความปลอดภัย
3.เราใช้ข้อมูลเพื่ออะไร และใช้ฐานกฎหมายใด
| วัตถุประสงค์ | ฐานทางกฎหมาย |
|---|---|
| สร้างบัญชี ให้คุณเข้าสู่ระบบ และให้บริการ WrapUp ERP ตามที่คุณสมัคร รวมถึงช่วงทดลองใช้ฟรี | จำเป็นเพื่อปฏิบัติตามสัญญา (มาตรา 24(3)) |
| ติดต่อเรื่องการใช้งาน แจ้งเตือนเรื่องบัญชี และตอบคำถามหรือแก้ปัญหาที่คุณแจ้ง | จำเป็นเพื่อปฏิบัติตามสัญญา (มาตรา 24(3)) |
| ป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต ตรวจสอบเหตุผิดปกติ และเก็บประวัติการแก้ไขข้อมูล | ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)) |
| ปรับปรุงระบบจากปัญหาและสถิติการใช้งาน โดยไม่ระบุตัวบุคคล | ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)) |
| ออกใบกำกับภาษีค่าบริการ ทำบัญชี และปฏิบัติตามคำสั่งของหน่วยงานรัฐที่มีอำนาจตามกฎหมาย | ปฏิบัติตามกฎหมาย (มาตรา 24(6)) |
| ส่งข่าวสารหรือข้อเสนอเกี่ยวกับ WrapUp ERP | ความยินยอม (มาตรา 19) ถอนได้ทุกเมื่อ |
ถ้าคุณไม่ให้ข้อมูลที่จำเป็นต่อการสมัคร เช่น อีเมล เราจะสร้างบัญชีและให้บริการคุณไม่ได้
4.ข้อมูลที่บริษัทลูกค้าบันทึกในระบบ
ข้อมูลที่บริษัทลูกค้าบันทึกในระบบ บริษัทลูกค้าเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” และเราเป็น “ผู้ประมวลผลข้อมูลส่วนบุคคล” ตามมาตรา 40 แปลว่า
- เราประมวลผลข้อมูลเพื่อให้บริการตามคำสั่งของบริษัทลูกค้าเท่านั้น ไม่นำไปใช้เพื่อวัตถุประสงค์อื่น
- คนในบริษัทลูกค้าเห็นข้อมูลได้ตามสิทธิ์ที่ผู้ดูแลของบริษัทนั้นตั้ง และบริษัทหนึ่งเห็นข้อมูลของบริษัทอื่นไม่ได้
- ทีมงานของเราเข้าดูข้อมูลของบริษัทลูกค้าเฉพาะเมื่อบริษัทลูกค้าขอให้ช่วยแก้ปัญหา และเท่าที่จำเป็น
- บริษัทลูกค้ามีหน้าที่แจ้งพนักงานและบุคคลที่เกี่ยวข้องว่าเก็บข้อมูลอะไร เพื่ออะไร และขอความยินยอมเมื่อกฎหมายกำหนด
- ถ้าคุณเป็นพนักงานของบริษัทลูกค้าและต้องการใช้สิทธิกับข้อมูลของคุณ ให้ติดต่อนายจ้างของคุณก่อน เราจะช่วยนายจ้างดำเนินการตามคำขอ
5.ข้อมูลลายนิ้วมือ
WrapUp ERP ต่อกับเครื่องสแกนนิ้วของบริษัทลูกค้าได้ ข้อมูลลายนิ้วมือเป็น “ข้อมูลชีวภาพ” ซึ่งเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหวตามมาตรา 26
- บริษัทลูกค้าต้องได้รับความยินยอมโดยชัดแจ้งจากพนักงานแต่ละคนก่อนเก็บลายนิ้วมือ และควรมีวิธีลงเวลาแบบอื่นให้พนักงานที่ไม่ยินยอม
- ระบบเก็บข้อมูลลายนิ้วมือแบบเข้ารหัส (AES-256-GCM) แยกกุญแจของแต่ละรายการ และใช้เพื่อลงเวลาเข้า-ออกงานเท่านั้น
- บริษัทลูกค้าขอให้ลบลายนิ้วมือของพนักงานคนใดก็ได้ และเมื่อเลิกใช้บริการ ข้อมูลลายนิ้วมือจะถูกลบตามระยะเวลาในข้อ 9
8.การส่งข้อมูลไปต่างประเทศ
ข้อมูลในระบบเก็บไว้ที่ [ที่ตั้งเครื่องแม่ข่าย เช่น ประเทศไทย]ถ้าวันหนึ่งเราต้องส่งหรือเก็บข้อมูลไว้นอกประเทศไทย เราจะทำเฉพาะกับประเทศหรือผู้รับที่มีมาตรฐานการคุ้มครองข้อมูลเพียงพอตามมาตรา 28 และ 29 และจะแจ้งให้ทราบก่อน ส่วนการเข้าสู่ระบบด้วย Google ข้อมูลจะผ่านเครื่องแม่ข่ายของ Google ซึ่งอาจอยู่นอกประเทศไทย
9.เราเก็บข้อมูลนานแค่ไหน
| ข้อมูล | เก็บนานแค่ไหน |
|---|---|
| บัญชีผู้ใช้และข้อมูลบริษัท | ตลอดเวลาที่ใช้บริการ และลบภายใน [จำนวนวัน] วันหลังปิดบัญชีหรือหมดช่วงทดลองใช้โดยไม่ต่ออายุ |
| ข้อมูลที่บริษัทลูกค้าบันทึก | ตามที่บริษัทลูกค้ากำหนดระหว่างใช้บริการ เมื่อเลิกใช้ บริษัทลูกค้าขอส่งออกข้อมูลได้ แล้วเราจะลบภายใน [จำนวนวัน] วัน |
| ข้อมูลสำรอง (backup) | ลบตามรอบของข้อมูลสำรอง ไม่เกิน [จำนวนวัน] วัน |
| ประวัติการเข้าสู่ระบบและการแก้ไขข้อมูล | ตลอดเวลาที่บัญชีบริษัทยังอยู่ เพื่อใช้ตรวจสอบย้อนหลัง |
| เอกสารบัญชีและภาษีของค่าบริการ | อย่างน้อย 5 ปี ตามที่กฎหมายบัญชีและภาษีกำหนด |
เมื่อพ้นระยะเวลา เราจะลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้
10.เราดูแลข้อมูลอย่างไร
- ข้อมูลของแต่ละบริษัทแยกจากกัน ทุกคำขอตรวจว่าผู้ใช้เป็นสมาชิกของบริษัทนั้นจริง
- สิทธิ์ของผู้ใช้กำหนดได้ละเอียดตามแผนกและหน้าที่ เช่น ฝ่ายผลิตไม่เห็นเงินเดือน
- รหัสผ่านเก็บเป็นค่าแฮช ข้อมูลลายนิ้วมือเข้ารหัส และการรับส่งข้อมูลผ่าน HTTPS
- ทุกการแก้ไขข้อมูลมีบันทึกว่าใครทำ เมื่อไร และบันทึกนั้นแก้ย้อนหลังไม่ได้
- มีระบบสำรองข้อมูล และกู้คืนข้อมูลได้เมื่อเกิดปัญหา
ถ้าเกิดเหตุข้อมูลรั่วไหล เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับจากทราบเหตุตามที่กฎหมายกำหนด แจ้งบริษัทลูกค้าที่ได้รับผลกระทบโดยไม่ชักช้า และแจ้งเจ้าของข้อมูลเมื่อเหตุนั้นมีความเสี่ยงสูงต่อสิทธิของเขา
11.สิทธิของคุณ
คุณมีสิทธิต่อไปนี้กับข้อมูลส่วนบุคคลของคุณ
- ขอเข้าถึงและขอสำเนามาตรา 30
- ขอรับหรือขอให้ส่งข้อมูลไปที่อื่นมาตรา 31
- คัดค้านการใช้ข้อมูลมาตรา 32
- ขอให้ลบหรือทำลายมาตรา 33
- ขอให้ระงับการใช้มาตรา 34
- ขอให้แก้ไขให้ถูกต้องมาตรา 35 และ 36
- ถอนความยินยอมเมื่อใดก็ได้มาตรา 19
- ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลมาตรา 73
ส่งคำขอได้ทางช่องทางในข้อ 13 เราจะตอบภายใน 30 วันนับจากวันที่ได้รับคำขอ และอาจขอข้อมูลเพื่อยืนยันตัวตนก่อน บางกรณีเราอาจปฏิเสธคำขอได้ตามที่กฎหมายกำหนด เช่น เมื่อต้องเก็บข้อมูลไว้ตามกฎหมาย และจะแจ้งเหตุผลให้ทราบ การถอนความยินยอมไม่กระทบสิ่งที่ทำไปแล้วก่อนถอน
12.การเปลี่ยนแปลงนโยบาย
เราอาจปรับปรุงนโยบายนี้เมื่อบริการหรือกฎหมายเปลี่ยน ฉบับล่าสุดอยู่ที่หน้านี้เสมอ ถ้าเปลี่ยนเรื่องสำคัญ เราจะแจ้งในระบบก่อนมีผล
| ฉบับ | วันที่ | รายละเอียด |
|---|---|---|
| 0.1 | 15 ตุลาคม 2569 | ฉบับร่างแรก |
13.ติดต่อเรา
- ผู้ให้บริการ
- [ชื่อนิติบุคคลผู้ให้บริการ]
- ที่อยู่
- [ที่อยู่ตามหนังสือรับรองบริษัท]
- อีเมล
- [อีเมลสำหรับเรื่องข้อมูลส่วนบุคคล]
- เจ้าหน้าที่คุ้มครองข้อมูล (DPO)
- [ชื่อและช่องทางติดต่อ DPO ถ้ามี]
ถ้าเห็นว่าเราจัดการข้อมูลไม่ถูกต้องตามกฎหมาย คุณร้องเรียนได้ที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ทาง www.pdpc.or.th