ประกาศความเป็นส่วนตัว (Privacy Notice)

1. บทนำและขอบเขตการบังคับใช้

กลุ่มบริษัท ASC Group ("บริษัท") ให้ความสำคัญสูงสุดต่อการคุ้มครองข้อมูลส่วนบุคคลของผู้ติดต่อ ผู้ใช้งาน และผู้มีอำนาจตัดสินใจขององค์กรลูกค้า ที่เข้ามาใช้บริการของบริษัท ประกาศความเป็นส่วนตัวฉบับนี้อธิบายว่าบริษัทเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของท่าน (ในฐานะผู้แทนหรือบุคลากรขององค์กรลูกค้า) อย่างไร ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

ประกาศนี้ครอบคลุมการให้บริการทั้งสองประเภท:

เจ้าของข้อมูลส่วนบุคคลตามประกาศฉบับนี้ คือ บุคคลธรรมดาที่ดำเนินการในนามองค์กรลูกค้า ได้แก่ ผู้ติดต่อประสานงาน ผู้จัดการฝ่าย HR, IT หรือการจัดซื้อ ผู้มีอำนาจลงนาม และผู้ใช้งานแพลตฟอร์มของบริษัท

2. ผู้ควบคุมข้อมูลส่วนบุคคล

กลุ่มบริษัท ASC Group ประกอบด้วยนิติบุคคลต่อไปนี้ ซึ่งทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตามบริการที่ท่านใช้งาน:

แต่ละบริษัทในเครือดำเนินการในฐานะผู้ควบคุมข้อมูลอิสระตามขอบเขตบริการของตน โดยมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ส่วนกลางทำหน้าที่กำกับดูแลและประสานงานด้านการปฏิบัติตาม PDPA สำหรับทั้งกลุ่ม

3. ข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวม

บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลจากผู้ติดต่อและผู้ใช้งานขององค์กรลูกค้า ดังต่อไปนี้:

4. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล

บริษัทประมวลผลข้อมูลส่วนบุคคลของท่านตามวัตถุประสงค์และฐานทางกฎหมายดังต่อไปนี้:

5. การเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลภายนอก

บริษัทอาจเปิดเผยข้อมูลส่วนบุคคลของท่านต่อบุคคลหรือองค์กรภายนอกในกรณีต่อไปนี้เท่านั้น:

5.1 บริษัทในเครือ ASC Group
บริษัทในเครือที่เกี่ยวข้องกับการให้บริการตามสัญญา เช่น การส่งต่องานระหว่างทีม เพื่อให้บริการมีประสิทธิภาพ โดยทุกบริษัทในเครืออยู่ภายใต้นโยบายคุ้มครองข้อมูลเดียวกัน

5.2 ผู้ให้บริการภายนอก (Processors)

• ผู้ให้บริการ Cloud Infrastructure (เช่น AWS, Microsoft Azure, Google Cloud, INET) สำหรับการจัดเก็บข้อมูลและประมวลผลระบบ
• ผู้ให้บริการระบบอีเมลและการสื่อสาร

ผู้ให้บริการทุกรายลงนามสัญญาประมวลผลข้อมูล (Data Processing Agreement — DPA) และต้องดำเนินการตามมาตรฐานความปลอดภัยที่บริษัทกำหนด

5.3 ที่ปรึกษาและผู้สอบบัญชี
ทนายความ ที่ปรึกษากฎหมาย และผู้สอบบัญชี เฉพาะเมื่อจำเป็นสำหรับการปฏิบัติตามกฎหมายหรือการแก้ไขข้อพิพาท โดยอยู่ภายใต้ข้อตกลงรักษาความลับ

5.4 หน่วยงานราชการและกฎหมาย
บริษัทจะเปิดเผยข้อมูลต่อหน่วยงานรัฐ กรมสรรพากร กรมแรงงาน สำนักงาน PDPC หรือศาล เมื่อมีคำสั่งตามกฎหมายเท่านั้น

6. ระยะเวลาการเก็บรักษาข้อมูล

บริษัทเก็บรักษาข้อมูลส่วนบุคคลของท่านตามระยะเวลาดังต่อไปนี้ หรือจนกว่าวัตถุประสงค์การประมวลผลจะสิ้นสุด แล้วแต่ว่ากรณีใดจะนานกว่า:

เมื่อครบกำหนดระยะเวลา บริษัทจะลบหรือทำลายข้อมูลด้วยวิธีที่ปลอดภัย หรืออาจทำ Anonymization เพื่อใช้ในการวิเคราะห์เชิงสถิติต่อไป

7. มาตรการรักษาความปลอดภัยของข้อมูล

บริษัทดำเนินมาตรการรักษาความปลอดภัยด้านเทคนิคและด้านองค์กร เพื่อปกป้องข้อมูลส่วนบุคคลของท่านจากการเข้าถึง การเปิดเผย การแก้ไข หรือการทำลายโดยไม่ได้รับอนุญาต

7.1 มาตรการด้านเทคนิค

• การเข้ารหัสข้อมูล (Encryption) ทั้งขณะส่งผ่าน (TLS/HTTPS) และขณะจัดเก็บ (AES-256)
• ระบบควบคุมการเข้าถึงตามบทบาทหน้าที่ (Role-Based Access Control — RBAC)
• การยืนยันตัวตนสองชั้น (Multi-Factor Authentication — MFA) สำหรับการเข้าถึงระบบสำคัญ
• ระบบ Firewall, Intrusion Detection System (IDS) และการตรวจสอบความปลอดภัยอย่างต่อเนื่อง
• การสำรองข้อมูล (Backup) และแผนกู้คืนระบบ (Disaster Recovery Plan)

7.2 มาตรการด้านองค์กร

• จำกัดการเข้าถึงข้อมูลเฉพาะพนักงานที่มีความจำเป็นตามหน้าที่งาน
• การฝึกอบรมพนักงานด้าน PDPA และความปลอดภัยข้อมูลเป็นประจำ
• นโยบายการจัดการข้อมูล การทำลายข้อมูล และการตอบสนองต่อเหตุการณ์รั่วไหล
• การตรวจสอบและประเมินความเสี่ยงด้านความปลอดภัยอย่างสม่ำเสมอตามมาตรฐาน ISO/IEC 27001

8. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ในฐานะเจ้าของข้อมูลส่วนบุคคล (ผู้ติดต่อหรือผู้ใช้งานในนามองค์กรลูกค้า) ท่านมีสิทธิตาม PDPA ดังนี้:

ท่านสามารถใช้สิทธิได้โดยติดต่อบริษัทผ่านช่องทางที่ระบุในข้อ 11 บริษัทจะดำเนินการตอบสนองคำร้องภายใน 30 วันนับจากวันที่ได้รับคำร้อง หากมีเหตุจำเป็นต้องขยายเวลา บริษัทจะแจ้งให้ท่านทราบล่วงหน้า
หมายเหตุ: สิทธิบางประการอาจถูกจำกัดตามกฎหมายที่เกี่ยวข้อง เช่น สิทธิลบข้อมูลอาจไม่สามารถใช้ได้หากบริษัทยังมีภาระผูกพันตามสัญญาหรือกฎหมายในการเก็บข้อมูลนั้น

9. การโอนข้อมูลไปต่างประเทศ

บริษัทอาจโอนข้อมูลส่วนบุคคลของท่านไปยังผู้ให้บริการ Cloud Infrastructure ที่มีเซิร์ฟเวอร์ตั้งอยู่ในต่างประเทศ (เช่น สหรัฐอเมริกา สิงคโปร์ หรือสหภาพยุโรป) ซึ่งจำเป็นสำหรับการให้บริการแพลตฟอร์มออนไลน์

บริษัทดำเนินการโอนข้อมูลดังกล่าวโดยปฏิบัติตามมาตรา 28 แห่ง PDPA โดยตรวจสอบให้แน่ใจว่าประเทศหรือองค์กรผู้รับมีมาตรฐานการคุ้มครองข้อมูลเทียบเท่ากับที่กฎหมายไทยกำหนด หรือมีสัญญาประมวลผลข้อมูล (DPA) ที่เป็นมาตรฐานสากล (เช่น Standard Contractual Clauses)

10. การเปลี่ยนแปลงประกาศความเป็นส่วนตัว

บริษัทอาจปรับปรุงประกาศความเป็นส่วนตัวฉบับนี้เป็นครั้งคราว เพื่อให้สอดคล้องกับการเปลี่ยนแปลงทางกฎหมาย การปรับปรุงบริการ หรือแนวปฏิบัติที่ดีที่สุด

• เมื่อมีการเปลี่ยนแปลงที่มีนัยสำคัญ บริษัทจะแจ้งท่านผ่านอีเมลที่ท่านลงทะเบียนไว้ หรือประกาศบนเว็บไซต์ของบริษัทและแพลตฟอร์มที่เกี่ยวข้อง ล่วงหน้าไม่น้อยกว่า 30 วัน
• การใช้บริการต่อเนื่องหลังการแจ้งถือว่าท่านรับทราบประกาศฉบับที่แก้ไข
• ท่านสามารถตรวจสอบประกาศฉบับล่าสุดได้ที่เว็บไซต์ของบริษัทหรือแพลตฟอร์มที่ท่านใช้งาน

11. ช่องทางติดต่อและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

หากท่านมีข้อสงสัย ต้องการใช้สิทธิ หรือมีข้อร้องเรียนเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของท่าน กรุณาติดต่อ:

หากท่านเห็นว่าบริษัทประมวลผลข้อมูลส่วนบุคคลของท่านโดยไม่ชอบด้วยกฎหมาย ท่านมีสิทธิยื่นร้องเรียนต่อ:

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
  เว็บไซต์: www.pdpc.or.th | โทรศัพท์: 02-142-2983

เอกสารนี้มีผลบังคับใช้ตั้งแต่วันที่ 16 กรกฎาคม 2569 เป็นต้นไป | ASC-PDPA-PN-002 v1.0 | © กลุ่มบริษัท ASC Group