นโยบายความเป็นส่วนตัว

การคุ้มครองข้อมูลส่วนบุคคลเป็นส่วนสำคัญของการให้บริการดิจิทัล เราจัดทำแนวทางด้านความเป็นส่วนตัวโดยคำนึงถึงกฎหมายและข้อกำหนดที่เกี่ยวข้อง เช่น PDPA และ GDPR ในกรณีที่กฎหมายดังกล่าวมีผลบังคับใช้กับการประมวลผลข้อมูลนั้น ๆ หลักสำคัญคือการเก็บ ใช้ และเปิดเผยข้อมูลอย่างมีวัตถุประสงค์ พร้อมแจ้งรายละเอียดที่จำเป็นให้ผู้ใช้งานทราบอย่างเหมาะสมการบริหารจัดการข้อมูลส่วนบุคคลควรเริ่มตั้งแต่ขั้นตอนการออกแบบระบบ โดยกำหนดให้แต่ละบริการเก็บเฉพาะข้อมูลที่จำเป็นต่อวัตถุประสงค์ที่แจ้งไว้ แนวทาง Data Minimization ช่วยลดปริมาณข้อมูลที่ต้องดูแลและลดผลกระทบที่อาจเกิดขึ้นหากข้อมูลถูกเข้าถึงโดยไม่ได้รับอนุญาต ข้อมูลที่อาจถูกจัดเก็บขึ้นอยู่กับลักษณะของบริการและความจำเป็นในการดำเนินงาน เช่น ข้อมูลสำหรับยืนยันตัวตน ข้อมูลติดต่อ ข้อมูลธุรกรรม ข้อมูลอุปกรณ์ IP Address Cookies และ Log การใช้งาน โดยข้อมูลแต่ละประเภทควรถูกนำไปใช้ตามวัตถุประสงค์ที่กำหนด เช่น การดูแลบัญชี การรักษาความปลอดภัย การป้องกันการทุจริต การดำเนินการตามข้อกำหนดทางกฎหมาย หรือการพัฒนาประสิทธิภาพของระบบ ในด้านความปลอดภัย ระบบสามารถใช้มาตรการเข้ารหัสข้อมูลระหว่างการรับส่ง เช่น TLS และการเข้ารหัสข้อมูลที่จัดเก็บ พร้อมกำหนดสิทธิ์การเข้าถึงข้อมูลตามหน้าที่ของบุคลากร เพื่อจำกัดการเข้าถึงข้อมูลที่ไม่จำเป็น นอกจากนี้ การดำเนินการที่เกี่ยวข้องกับข้อมูลสำคัญสามารถถูกบันทึกใน Audit Log เพื่อรองรับการตรวจสอบย้อนหลัง ผู้ใช้งานอาจมีสิทธิตามกฎหมายที่เกี่ยวข้อง เช่น สิทธิในการเข้าถึงข้อมูล ขอแก้ไขข้อมูล ขอรับสำเนา คัดค้านหรือจำกัดการประมวลผล และขอลบข้อมูลในกรณีที่เข้าเงื่อนไขตามกฎหมาย โดยรายละเอียด ขั้นตอน และข้อยกเว้นควรระบุไว้อย่างชัดเจนในนโยบายความเป็นส่วนตัวของผู้ให้บริการด้านสิทธิของเจ้าของข้อมูล ควรมีช่องทางสำหรับส่งคำขอและระบบติดตามสถานะคำขอ เพื่อให้สามารถตรวจสอบได้ว่าคำขออยู่ในขั้นตอนใด รวมถึงควรอธิบายกรณีที่ไม่สามารถดำเนินการตามคำขอได้เนื่องจากข้อจำกัดทางกฎหมายองค์กรควรมีแผนรับมือเหตุการณ์ข้อมูลรั่วไหลหรือ Security Incident โดยกำหนดขั้นตอนตั้งแต่การตรวจพบ การจำกัดผลกระทบ การวิเคราะห์สาเหตุ การแก้ไข และการแจ้งหน่วยงานหรือเจ้าของข้อมูลตามที่กฎหมายกำหนด การซ้อมแผนอย่างสม่ำเสมอช่วยให้ทีมงานสามารถตอบสนองต่อเหตุการณ์ได้อย่างเป็นระบบ การลบข้อมูลควรดำเนินการตามนโยบายระยะเวลาการเก็บรักษาที่กำหนด และต้องพิจารณาข้อมูลที่อยู่ในระบบสำรองหรือพื้นที่จัดเก็บอื่น ๆ ด้วย โดยควรมีหลักฐานการดำเนินการเพื่อรองรับการตรวจสอบและการกำกับดูแลภายในองค์กร สำหรับการจัดเก็บข้อมูล เรากำหนดแนวทาง Data Lifecycle Management เพื่อควบคุมตั้งแต่การรวบรวม การใช้งาน การจัดเก็บ ไปจนถึงการลบหรือทำลายข้อมูลเมื่อหมดความจำเป็นหรือครบระยะเวลาที่กำหนด ทั้งนี้ การลบข้อมูลจะต้องคำนึงถึงข้อกำหนดทางกฎหมาย ภาระหน้าที่ในการเก็บรักษาหลักฐาน และระบบสำรองข้อมูลที่เกี่ยวข้อง เพื่อให้การจัดการข้อมูลเป็นไปอย่างเหมาะสมและตรวจสอบได้