ประกาศความเป็นส่วนตัว

1 บทนำและขอบเขตการบังคับใช้

กลุ่มบริษัท ASC Group ("บริษัท") ให้ความสำคัญสูงสุดต่อการคุ้มครองข้อมูลส่วนบุคคลของผู้ติดต่อ ผู้ใช้งาน และผู้มีอำนาจตัดสินใจขององค์กรลูกค้า ที่เข้ามาใช้บริการของบริษัท

ประกาศความเป็นส่วนตัวฉบับนี้อธิบายว่าบริษัทเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของท่าน (ในฐานะผู้ติดต่อหรือบุคลากรขององค์กรลูกค้า) อย่างไร ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

ประกาศนี้ครอบคลุมการให้บริการทั้งสามประเภท:

เจ้าของข้อมูลส่วนบุคคลตามประกาศฉบับนี้ คือ บุคคลธรรมดาที่ดำเนินการตามองค์กรลูกค้า ได้แก่ ผู้ติดต่อประสานงาน ผู้จัดการฝ่าย HR, IT หรือการจัดซื้อ ผู้มีอำนาจลงนาม และผู้ใช้งานบนแพลตฟอร์มของบริษัท

2 ผู้ควบคุมข้อมูลส่วนบุคคล

กลุ่มบริษัท ASC Group ประกอบด้วยนิติบุคคลดังต่อไปนี้ ซึ่งทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตามบริการที่ท่านใช้งาน:

• 1 บริษัท แอดวานซ์ซิสเต็มส์คอนซัลติ้ง จำกัด (Advanced Systems Consulting Co., Ltd.)
• 2 บริษัท แอดวานซ์เพอร์ซเนล แอนด์โซลูชั่น จำกัด (Advanced Personnel and Solution Co., Ltd.)
• 3 บริษัท แอดวานซ์แอดมินิสเตรชั่น จำกัด (Advanced Administration Co., Ltd.)
• 4 บริษัท แอดวานซ์เอาท์ซอร์สซิ่ง เซอร์วิสเซส จำกัด (Advanced Outsourcing Services Co., Ltd.)
• 5 บริษัท แอดวานซ์ ไอเซอร์วิส จำกัด (Advanced iService Co., Ltd.)

แต่ละบริษัทในเครือดำเนินการเป็นผู้ควบคุมข้อมูลอิสระตามขอบเขตบริการของตน โดยมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ส่วนกลางทำหน้าที่ดูแลและประสานงานด้านการปฏิบัติตาม PDPA สำหรับทั้งกลุ่ม

3 ข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวม

บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลจากผู้ติดต่อและผู้ใช้งานขององค์กรลูกค้า ดังต่อไปนี้:

4 วัตถุประสงค์และฐานกฎหมายในการประมวลผล

บริษัทประมวลผลข้อมูลส่วนบุคคลของท่านตามวัตถุประสงค์และฐานกฎหมายดังต่อไปนี้:

5 การเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลภายนอก

บริษัทอาจเปิดเผยข้อมูลส่วนบุคคลของท่านต่อบุคคลหรือองค์กรภายนอกในกรณีต่อไปนี้เท่านั้น:

5.1 บริษัทในเครือ ASC Group

บริษัทในเครือที่เกี่ยวข้องกับการให้บริการตามสัญญา เพื่อส่งต่อการประสานงานระหว่างทีม ให้บริการมีประสิทธิภาพ โดยทุกบริษัทในเครืออยู่ภายใต้นโยบายคุ้มครองข้อมูลเดียวกัน

5.2 ผู้ให้บริการภายนอก (Processors)

• ผู้ให้บริการ Cloud Infrastructure (เช่น AWS, Microsoft Azure, Google Cloud, INET) สำหรับการจัดเก็บข้อมูลและประมวลผลระบบ
• ผู้ให้บริการระบบอีเมลและการสื่อสาร

ผู้ให้บริการทุกรายลงนามตามสัญญาประมวลผลข้อมูล (Data Processing Agreement — DPA) และต้องดำเนินการตามมาตรการความปลอดภัยที่บริษัทกำหนด

5.3 ที่ปรึกษาและผู้สอบบัญชี

ทนายความ ที่ปรึกษากฎหมาย และผู้สอบบัญชี เฉพาะเมื่อจำเป็นสำหรับการปฏิบัติตามกฎหมาย หรือการใช้สิทธิ์ทางกฎหมาย โดยอยู่ภายใต้ข้อตกลงรักษาความลับ

5.4 หน่วยงานราชการและกฎหมาย

บริษัทจะเปิดเผยข้อมูลต่อหน่วยงานรัฐ กรมสรรพากร กรมแรงงาน สำนักงาน PDPC หรือศาล เมื่อมีคำสั่งตามกฎหมายเท่านั้น

6 ระยะเวลาการเก็บรักษาข้อมูล

บริษัทจะเก็บรักษาข้อมูลส่วนบุคคลของท่านตามระยะเวลาดังต่อไปนี้ หรือตลอดกว่าวัตถุประสงค์การประมวลผลจะสิ้นสุด แล้วแต่กรณีจะนานกว่า:

เมื่อครบกำหนดระยะเวลา บริษัทจะลบหรือทำลายข้อมูลด้วยวิธีที่ปลอดภัย หรืออาจดำเนินการ Anonymization เพื่อใช้เพื่อการวิเคราะห์เชิงสถิติต่อไป

7 มาตรการรักษาความปลอดภัยของข้อมูล

บริษัทดำเนินมาตรการรักษาความปลอดภัยทั้งด้านเทคนิคและด้านองค์กร เพื่อคุ้มครองข้อมูลส่วนบุคคลของท่านจากการเข้าถึง การเปิดเผย การใช้ หรือการทำลายโดยไม่ได้รับอนุญาต

7.1 มาตรการด้านเทคนิค

• การเข้ารหัสข้อมูล (Encryption) ทั้งขณะส่งผ่าน (TLS/HTTPS) และขณะจัดเก็บ (AES-256)
• ระบบควบคุมการเข้าถึงตามบทบาทหน้าที่ (Role-Based Access Control — RBAC)
• การยืนยันตัวตนสองขั้น (Multi-Factor Authentication — MFA) สำหรับการเข้าถึงระบบสำคัญ
• ระบบ Firewall, Intrusion Detection System (IDS) และการตรวจสอบความปลอดภัยอย่างต่อเนื่อง
• การสำรองข้อมูล (Backup) และแผนฟื้นคืนระบบ (Disaster Recovery Plan)

7.2 มาตรการด้านองค์กร

• จำกัดการเข้าถึงข้อมูลเฉพาะบุคคลที่มีความจำเป็นตามหน้าที่งาน
• การอบรมพนักงานด้าน PDPA และความปลอดภัยข้อมูลเป็นประจำ
• นโยบายการจัดการข้อมูล การทำลายข้อมูล และการตอบสนองต่อเหตุการณ์รั่วไหล
• การตรวจสอบและประเมินความเสี่ยงด้านความปลอดภัยอย่างสม่ำเสมอตามมาตรฐาน ISO/IEC 27001

8 สิทธิของเจ้าของข้อมูลส่วนบุคคล

ในฐานะเจ้าของข้อมูลส่วนบุคคล (ผู้ติดต่อหรือผู้ใช้งานตามองค์กรลูกค้า) ท่านมีสิทธิตาม PDPA ดังนี้:

ท่านสามารถใช้สิทธิ์ดังกล่าวโดยติดต่อบริษัทตามที่ระบุไว้ในข้อ 11 บริษัทจะดำเนินการตอบสนองคำร้องภายใน 30 วันนับจากวันที่ได้รับคำร้อง หากมีเหตุจำเป็นต้องขยายเวลา บริษัทจะแจ้งให้ท่านทราบล่วงหน้า

9 การโอนข้อมูลต่างประเทศ

บริษัทอาจโอนข้อมูลส่วนบุคคลของท่านไปยังผู้ให้บริการ Cloud Infrastructure ที่มีเซิร์ฟเวอร์ตั้งอยู่ต่างประเทศ (เช่น สหรัฐอเมริกา สิงคโปร์ หรือสหภาพยุโรป) ซึ่งจำเป็นสำหรับการให้บริการแพลตฟอร์มออนไลน์

บริษัทดำเนินการโอนข้อมูลดังกล่าวโดยปฏิบัติตามมาตรา 28 แห่ง PDPA โดยตรวจสอบให้แน่ใจว่าประเทศหรือองค์กรผู้รับมีมาตรการคุ้มครองข้อมูลที่เพียงพอตามที่กฎหมายกำหนด หรือมีสัญญาประมวลผลข้อมูล (DPA) ที่มีมาตรฐานสากล (เช่น Standard Contractual Clauses)

10 การเปลี่ยนแปลงประกาศความเป็นส่วนตัว

บริษัทอาจปรับปรุงประกาศความเป็นส่วนตัวฉบับนี้เป็นครั้งคราว เพื่อให้สอดคล้องกับการเปลี่ยนแปลงทางกฎหมาย การปรับปรุงบริการ หรือแนวปฏิบัติที่ดีที่สุด

• เมื่อมีการเปลี่ยนแปลงที่มีนัยสำคัญ บริษัทจะแจ้งให้ท่านทราบทางอีเมลที่ท่านลงทะเบียนไว้ หรือประกาศบนเว็บไซต์และแพลตฟอร์มที่เกี่ยวข้อง ล่วงหน้าไม่น้อยกว่า 30 วัน
• การใช้บริการต่อภายหลังมีการเปลี่ยนแปลง ถือว่าท่านรับทราบและยอมรับการเปลี่ยนแปลงนั้น
• ท่านสามารถตรวจสอบประกาศฉบับล่าสุดได้ที่เว็บไซต์ของบริษัทหรือแพลตฟอร์มที่ท่านใช้งาน

11 ช่องทางติดต่อและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

หากท่านมีข้อสงสัย ต้องการใช้สิทธิ หรือมีข้อร้องเรียนเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของท่าน กรุณาติดต่อ:

หากท่านเห็นว่าบริษัทประมวลผลข้อมูลส่วนบุคคลของท่านโดยไม่เป็นไปตามกฎหมาย ท่านมีสิทธิยื่นร้องเรียนต่อ:

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม
  เว็บไซต์: www.pdpc.or.th  |  โทรศัพท์: 02-142-2983