บริษัท มีเดีย เน็ตเวิร์ค คอมมูนิเคชั่น จำกัด (“บริษัท”, “MNC”, “เรา”) ให้บริการและจำหน่าย ติดตั้ง รวมถึงให้คำปรึกษาเกี่ยวกับระบบสื่อสารองค์กร เช่น IP PBX, VoIP, IP Phone และระบบเสียงประกาศ/IP PA สำหรับลูกค้าองค์กรและบุคคลทั่วไปที่ติดต่อในนามองค์กร นโยบายฉบับนี้อธิบายวิธีที่ MNC เก็บรวบรวม ใช้ เปิดเผย รักษาความปลอดภัย และลบหรือทำลายข้อมูลส่วนบุคคลในการใช้งานเว็บไซต์ การส่งคำขอข้อมูลหรือใบเสนอราคา การสมัคร/เข้าสู่ระบบบัญชีผู้ใช้ การติดต่อผ่านอีเมลหรือช่องทางที่เชื่อมต่อจากเว็บไซต์ และการใช้คุกกี้บนเว็บไซต์

ในการดำเนินการดังกล่าว MNC มีสถานะเป็น ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) สำหรับข้อมูลที่เก็บจากผู้เยี่ยมชมเว็บไซต์และผู้ติดต่อเพื่อขอข้อมูลสินค้าหรือบริการ อย่างไรก็ตาม เมื่อ MNC ให้บริการประมวลผลข้อมูลของบุคคลอื่นตามคำสั่งของลูกค้า เช่น การดูแลระบบหรือบริการที่เกี่ยวข้องกับระบบของลูกค้า MNC อาจมีสถานะเป็นผู้ประมวลผลข้อมูล (Data Processor) และการประมวลผลดังกล่าวจะอยู่ภายใต้สัญญา ข้อกำหนด หรือประกาศคุ้มครองข้อมูลของโครงการนั้น

MNC จะเก็บรวบรวมข้อมูลเท่าที่จำเป็นและเหมาะสมกับวัตถุประสงค์ที่แจ้งไว้ ไม่ใช้ข้อมูลนอกวัตถุประสงค์ และจะกำหนดมาตรการที่เหมาะสมเพื่อให้เจ้าของข้อมูลสามารถเข้าใจ เข้าถึง แก้ไข คัดค้าน ถอนความยินยอม หรือขอให้ดำเนินการอื่นตามสิทธิที่กฎหมายกำหนดได้ นโยบายนี้อ้างอิงหลัก พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เป็นหลัก และเพิ่มหลักปฏิบัติที่สอดคล้องกับ GDPR เฉพาะเมื่อ GDPR ใช้บังคับกับการประมวลผลข้อมูลนั้น

นโยบายนี้ใช้กับข้อมูลที่เก็บผ่านเว็บไซต์และช่องทางที่เชื่อมโยงจากเว็บไซต์ หากท่านใช้บริการเฉพาะโครงการที่มีสัญญา คู่มือผู้ใช้งาน หรือประกาศคุ้มครองข้อมูลของระบบนั้นแยกต่างหาก เอกสารดังกล่าวอาจอธิบายข้อมูล ผู้ประมวลผล ระยะเวลาเก็บ และช่องทางติดต่อได้ละเอียดกว่านี้ ในกรณีที่ข้อความขัดกัน ให้ใช้เอกสารที่ระบุถึงบริการหรือระบบนั้นโดยตรงเป็นหลัก และแจ้ง MNC เพื่อขอคำอธิบายเพิ่มเติมได้

เราออกแบบกระบวนการเก็บข้อมูลตามหลักความชอบธรรมในการประมวลผล การกำหนดวัตถุประสงค์ให้ชัดเจน การเก็บให้น้อยที่สุด การรักษาความถูกต้อง การจำกัดการเข้าถึง และการกำหนดอายุข้อมูล หลักการเหล่านี้ใช้ตั้งแต่การออกแบบฟอร์ม การเลือกผู้ให้บริการ ไปจนถึงการตรวจสอบและลบข้อมูล เพื่อไม่ให้การใช้งานเว็บไซต์หรือบริการออนไลน์กลายเป็นการเก็บข้อมูลที่ไม่มีที่สิ้นสุดโดยไม่มีเหตุผล

เพื่อให้คำศัพท์ในนโยบายเข้าใจตรงกัน:

• ข้อมูลส่วนบุคคล หมายถึงข้อมูลเกี่ยวกับบุคคลที่สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าโดยทางตรงหรือทางอ้อม แต่ไม่รวมข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
• ผู้ควบคุมข้อมูลส่วนบุคคล หมายถึงบุคคลหรือนิติบุคคลที่มีอำนาจตัดสินใจเกี่ยวกับวัตถุประสงค์และวิธีการประมวลผลข้อมูล
• ผู้ประมวลผลข้อมูลส่วนบุคคล หมายถึงผู้ที่ประมวลผลตามคำสั่งของผู้ควบคุมข้อมูล ไม่ใช่ผู้กำหนดวัตถุประสงค์หลักเอง
• ข้อมูลอ่อนไหว หมายถึงข้อมูลตามกฎหมายที่ต้องใช้ความระมัดระวังเป็นพิเศษ เช่น ข้อมูลสุขภาพ ความเชื่อ หรือข้อมูลชีวมิติ
• คุกกี้ หมายถึงไฟล์ข้อมูลที่เว็บไซต์หรือบุคคลภายนอกจัดเก็บไว้ในเบราว์เซอร์เพื่อจดจำหรือติดตามการใช้งานตามรายละเอียดในหัวข้อ 8

2.1 ข้อมูลที่ท่านให้กับเราโดยตรง

เราอาจเก็บข้อมูลต่อไปนี้เมื่อท่านติดต่อหรือใช้งานฟังก์ชันบนเว็บไซต์:

• ชื่อ-นามสกุล ชื่อบัญชีผู้ใช้ อีเมล หมายเลขโทรศัพท์ และข้อมูลติดต่ออื่นที่ท่านส่งมา
• ชื่อบริษัท ตำแหน่งงาน และข้อมูลองค์กร เมื่อท่านติดต่อในนามบริษัทหรือระบุไว้ในข้อความ
• หัวข้อและเนื้อหาคำขอ เช่น รายละเอียดสินค้า ความต้องการด้านระบบ ข้อมูลโครงการ หรือคำถามด้านเทคนิค
• ข้อมูลบัญชีผู้ใช้ เช่น ชื่อผู้ใช้และอีเมลที่ใช้สมัคร และข้อมูลที่จำเป็นต่อการจัดการบัญชี ทั้งนี้ รหัสผ่านจะถูกเก็บในรูปแบบที่ระบบอนุญาตให้ตรวจสอบได้โดยไม่เปิดเผยรหัสผ่านต้นฉบับ
• ข้อมูลการค้นหาสินค้า ข้อความที่ส่งผ่านแบบฟอร์มติดต่อ อีเมล โทรศัพท์ หรือช่องทางสนทนาที่เชื่อมจากเว็บไซต์
• ข้อมูลการสั่งซื้อ การชำระเงิน การจัดส่ง หรือข้อมูลประวัติการใช้บริการ เฉพาะเมื่อ MNC เปิดใช้งานฟังก์ชันดังกล่าวบนเว็บไซต์

การสมัครสมาชิกหรือเข้าสู่ระบบอาจทำให้เราต้องเก็บชื่อบัญชี อีเมล รหัสผ่านที่เข้ารหัสแล้ว วันที่สร้างบัญชี และข้อมูลการกู้คืนบัญชี หากท่านเพิ่มสินค้าในตะกร้าหรือรายการโปรด ระบบอาจจดจำสถานะดังกล่าวเพื่ออำนวยความสะดวก ข้อมูลเหล่านี้ใช้เพื่อจัดการฟังก์ชันบัญชีและการทำงานของเว็บไซต์ ไม่ได้ใช้เพื่อระบุตัวบุคคลนอกเว็บไซต์โดยไม่มีเหตุผล

ข้อมูลบุคคลในบริบท B2B ยังคงเป็นข้อมูลส่วนบุคคลเมื่อสามารถระบุตัวบุคคลได้ แม้ท่านจะใช้อีเมลของบริษัทหรือติดต่อในนามตำแหน่งงานก็ตาม

2.2 ข้อมูลที่เก็บโดยอัตโนมัติ

เมื่อท่านเปิดเว็บไซต์หรือใช้งานฟังก์ชันของเว็บไซต์ ระบบอาจเก็บข้อมูลทางเทคนิคและข้อมูลการใช้งาน เช่น ที่อยู่ IP, ชนิดอุปกรณ์และเบราว์เซอร์, ภาษา, วันที่และเวลาที่เข้าถึง, หน้าเว็บที่เปิด, เว็บไซต์ต้นทาง, ข้อผิดพลาดของระบบ และตัวระบุคุกกี้ เพื่อให้เว็บไซต์ทำงาน รักษาความปลอดภัย วิเคราะห์ประสิทธิภาพ และปรับปรุงการให้บริการ

ข้อมูลบางรายการอาจถูกเก็บเพียงชั่วคราวใน session ของเบราว์เซอร์ และบางรายการอาจถูกเก็บเป็นรายการถาวรเพื่อจดจำการตั้งค่าหรือสถานะบางอย่าง เราอาจตัดข้อมูล IP หรือแยกข้อมูลออกจากชื่อและอีเมลก่อนนำไปวิเคราะห์ในรูปแบบสถิติ ทั้งนี้ การทำให้ข้อมูลเป็นนิรนามหรือแฝงตัวตนไม่ได้เกิดขึ้นกับข้อมูลทุกประเภท และเราจะไม่พยายามระบุตัวบุคคลจากข้อมูลสถิตินอกเหนือจากวัตถุประสงค์ที่แจ้งไว้

เราไม่ได้ตั้งใจเก็บข้อมูลบัตรชำระเงินแบบเต็มรูปแบบ ข้อมูลไบโอเมตริก ข้อมูลสุขภาพ หรือข้อมูลที่เกี่ยวกับประวัติอาชญากรรมจากการเยี่ยมชมเว็บไซต์ทั่วไป หากมีการเก็บเพิ่มเติมเพื่อการทำธุรกรรมหรือโครงการเฉพาะ เราจะแจ้งให้ท่านทราบก่อนตามความเหมาะสม และจะไม่นำข้อมูลไปใช้เพื่อการโฆษณาแบบไม่เหมาะสม

เว็บไซต์ปัจจุบันมีการใช้ Google Analytics (ทั้ง Google Analytics 4 และการตั้งค่า Universal Analytics ที่อาจยังปรากฏใน source code) และ SourceBuster/WooCommerce attribution สำหรับการวัดผลและติดตามแหล่งที่มาของการเข้าชม

2.3 ข้อมูลจากบุคคลภายนอก

เราอาจได้รับข้อมูลจากผู้ให้บริการระบบเว็บไซต์ ผู้ให้บริการวิเคราะห์ข้อมูล ผู้ให้บริการป้องกันสแปม เช่น Google reCAPTCHA ผู้ให้บริการโฮสติ้ง หรือบุคคล/องค์กรที่ท่านมอบหมายให้ติดต่อเรา เช่น ผู้แนะนำสินค้า ตัวแทน หรือผู้ติดต่อของบริษัทคู่ค้า

หากได้รับข้อมูลจากแหล่งอื่น เราจะแจ้งวัตถุประสงค์และรายละเอียดที่จำเป็นภายในเวลาที่กฎหมายกำหนด เว้นแต่ท่านทราบข้อมูลดังกล่าวอยู่แล้วหรือการแจ้งนั้นไม่สามารถทำได้โดยมีเหตุจำเป็นตามกฎหมาย

เราจะบันทึกแหล่งที่มา วันที่ได้รับข้อมูล และเหตุผลที่นำข้อมูลมาใช้ เพื่อให้สามารถตรวจสอบย้อนกลับได้ และจะไม่รับข้อมูลจากบุคคลภายนอกเพื่อวัตถุประสงค์ใหม่โดยไม่แจ้งหรือไม่มีฐานทางกฎหมาย หากแหล่งข้อมูลภายนอกเป็นสาธารณะ เราจะตรวจสอบว่าการนำข้อมูลมาใช้สอดคล้องกับข้อกำหนดของแหล่งนั้นและกฎหมายที่เกี่ยวข้อง

การรวบรวมข้อมูลจากผู้ใช้ต้องมีเหตุผลที่ชัดเจนและช่องทางให้ท่านตรวจสอบหรือแก้ไขข้อมูลได้ตามความเหมาะสม เราจะไม่ขอให้ท่านส่งข้อมูลส่วนเกินที่จำเป็นเพียงเพื่อให้แบบฟอร์มสมบูรณ์ตามอำเภอใจ และจะระบุให้ชัดเจนว่าข้อมูลใดเป็นข้อมูลจำเป็น ข้อมูลใดเป็นข้อมูลเสริม และข้อมูลใดไม่ควรส่งทางอีเมลหรือช่องทางสาธารณะ หากพบว่าได้รับข้อมูลมากเกินจำเป็น เราจะพิจารณาลดขอบเขตการใช้หรือลบข้อมูลส่วนที่ไม่จำเป็นโดยเร็ว

2.4 ข้อมูลอ่อนไหว

MNC ไม่มีเจตนาเก็บข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ การเมือง ศาสนา พันธุกรรม ชีวมิติ หรือประวัติอาชญากรรมผ่านเว็บไซต์โดยตรง หากมีความจำเป็นต้องเก็บข้อมูลดังกล่าวเพื่อโครงการเฉพาะ เราจะขอความยินยอมแบบชัดเจนหรืออาศัยฐานข้อยกเว้นตามมาตรา 26 แห่ง PDPA และจะแจ้งรายละเอียดเพิ่มเติมก่อนหรือขณะเก็บข้อมูล

เราจะใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ก่อนหรือขณะเก็บข้อมูล และจะไม่นำไปใช้ในลักษณะที่ไม่สอดคล้องกับวัตถุประสงค์ดังกล่าว การใช้แต่ละกิจกรรมจะมีฐานทางกฎหมายอย่างน้อยหนึ่งฐาน ดังนี้

หากข้อมูลบางรายการจำเป็นต่อการเข้าทำสัญญาหรือการปฏิบัติตามกฎหมาย เราจะแจ้งให้ท่านทราบถึงความจำเป็นและผลกระทบที่อาจเกิดขึ้นหากไม่ให้ข้อมูล การใช้เว็บไซต์ต่อ การส่งแบบฟอร์ม หรือการกดยอมรับข้อกำหนด ไม่ถือว่าเป็นความยินยอมโดยอัตโนมัติ สำหรับการใช้ข้อมูลนอกเหนือจากวัตถุประสงค์ที่จำเป็น และเราจะแยกการขอความยินยอมสำหรับการตลาดหรือคุกกี้ที่ไม่จำเป็นออกจากข้อกำหนดการให้บริการ

เราจะกำหนดฐานทางกฎหมายแยกตามกิจกรรม ไม่ใช้คำว่า “ประโยชน์อันชอบธรรม” เป็นเหตุผลกว้าง ๆ ครอบคลุมการใช้ข้อมูลทุกประเภท แต่จะประเมินว่าผลประโยชน์ของเราหรือบุคคลอื่นจำเป็นเพียงใด และมีผลกระทบต่อสิทธิของท่านอย่างไร หากมีวัตถุประสงค์ใหม่ เราจะแจ้งและขอความยินยอมใหม่เมื่อจำเป็น ก่อนถอนความยินยอม เราจะอธิบายผลกระทบที่อาจเกิดขึ้น เช่น การหยุดส่งข่าวสารหรือการยกเลิกฟังก์ชันส่วนบุคคล โดยไม่ถอนสิทธิในการใช้บริการหลักเพียงเพราะไม่ให้ consent

MNC จะไม่เปิดเผยข้อมูลส่วนบุคคลเกินความจำเป็น และอาจเปิดเผยให้กับผู้รับต่อไปนี้ ภายใต้หลักเกณฑ์การใช้ข้อมูลเท่าที่จำเป็น:

เราไม่มีนโยบายขายข้อมูลส่วนบุคคลให้แก่ผู้โฆษณา ผู้รับข้อมูลต้องมีเหตุผลและฐานในการรับข้อมูลที่ชัดเจน และหากเป็นการเปิดเผยเพื่อการตลาดหรือการใช้ข้อมูลร่วมกันนอกเหนือจากที่ท่านคาดได้ เราจะขอความยินยอมแยกก่อน เว้นแต่กฎหมายอนุญาตโดยไม่ต้องขอ consent

• พนักงานและผู้ปฏิบัติงานของ MNC ที่มีหน้าที่เกี่ยวข้องกับการขาย การตลาด การบัญชี เทคนิค ความปลอดภัย หรือการสนับสนุนลูกค้า โดยจำกัดสิทธิ์ตามหน้าที่
• ผู้ให้บริการภายนอก เช่น ผู้ให้บริการโฮสติ้งและดูแลเว็บไซต์ ผู้ให้บริการอีเมลหรือระบบสนับสนุน ผู้ให้บริการวิเคราะห์เว็บไซต์ ผู้ให้บริการป้องกันสแปม และผู้ให้บริการด้านความปลอดภัย
• ผู้ผลิต ผู้จัดจำหน่าย ตัวแทน หรือคู่ค้าทางธุรกิจ เฉพาะเมื่อจำเป็นต่อการตอบข้อซักถาม การรับประกัน การแก้ไขปัญหา หรือการให้บริการเกี่ยวกับสินค้า/ระบบที่ท่านร้องขอ
• ที่ปรึกษา ผู้สอบบัญชี ทนายความ หรือผู้ประกอบวิชาชีพอิสระ เมื่อจำเป็นเพื่อปกป้องสิทธิ ตรวจสอบ หรือดำเนินการตามกฎหมาย
• หน่วยงานรัฐ ศาล หรือบุคคลที่มีอำนาจตามกฎหมาย เมื่อมีคำสั่งหรือมีหน้าที่ต้องเปิดเผย
• ผู้รับโอนกิจการหรือสินทรัพย์ ในกรณีปรับโครงสร้าง ขายกิจการ หรือโอนธุรกิจบางส่วน เฉพาะเท่าที่จำเป็นและเป็นไปตามกฎหมาย

เราจะเลือกผู้ให้บริการที่มีความน่าเชื่อถือ และกำหนดข้อตกลงให้ผู้ประมวลผลปฏิบัติตามคำสั่งของเรา รักษาความลับ ใช้มาตรการรักษาความปลอดภัย และดำเนินการลบหรือคืนข้อมูลเมื่อสิ้นสุดวัตถุประสงค์ เว้นแต่มีเหตุจำเป็นตามกฎหมาย หาก MNC ประมวลผลข้อมูลตามคำสั่งของลูกค้า รายละเอียดบทบาท คำสั่ง การรักษาความปลอดภัย และการช่วยเหลือลูกค้าในการตอบสนองต่อคำขอใช้สิทธิจะอยู่ในสัญญาหรือ DPA ของโครงการ

สำหรับการเปิดเผยแต่ละครั้ง เราจะตรวจสอบว่าผู้รับจำเป็นต้องรู้ข้อมูลเท่าใด กำหนดช่วงเวลาการใช้ และห้ามผู้รับนำข้อมูลไปใช้เพื่อวัตถุประสงค์อื่น หากผู้รับฝ่าฝืนข้อกำหนด เราจะดำเนินการตามสัญญาและกฎหมายที่เกี่ยวข้อง

ในกรณีที่ MNC เป็นผู้ประมวลผลข้อมูลให้ลูกค้า เราจะประมวลผลตามคำสั่งที่ได้รับและไม่ใช้ข้อมูลเพื่อกิจกรรมส่วนตัวหรือการตลาดของเรา เว้นแต่ลูกค้าอนุญาตเป็นการเฉพาะ หากมีการกำหนดให้ MNC และลูกค้าร่วมกันตัดสินใจวัตถุประสงค์หรือวิธีประมวลผล เราจะจัดทำข้อตกลงแยกตามบทบาทที่แท้จริง เพื่อไม่ให้เกิดช่องว่างในการแจ้งเตือน การรับคำขอใช้สิทธิ หรือการแจ้งเหตุละเมิด

หากมีการส่งหรือโอนข้อมูลไปต่างประเทศ เช่น ไปยังผู้ให้บริการโฮสติ้งหรือบริษัทแม่ในต่างประเทศ เราจะดำเนินการตามมาตรา 28 และมาตรา 29 แห่ง PDPA ซึ่งรวมถึงการตรวจสอบมาตรฐานการคุ้มครองของประเทศปลายทางและการใช้มาตรการคุ้มครองที่เหมาะสม หากการโอนอยู่ภายใต้ GDPR เราจะใช้กลไกตามบทที่ V ของ GDPR เช่น adequacy decision, Standard Contractual Clauses หรือมาตรการอื่นที่กฎหมายอนุญาต และจะแจ้งข้อมูลดังกล่าวให้ท่านทราบเมื่อจำเป็น

เมื่อท่านเลือกใช้บริการ LINE, Facebook Messenger หรือแพลตฟอร์มภายนอกอื่นที่เชื่อมต่อจากเว็บไซต์ การสนทนาหรือข้อมูลที่ส่งผ่านแพลตฟอร์มนั้นอาจอยู่ภายใต้นโยบายของผู้ให้บริการแพลตฟอร์มด้วย นโยบายฉบับนี้ครอบคลุมข้อมูลที่ MNC เก็บหรือประมวลผลในฐานะผู้ควบคุมข้อมูล ไม่ได้เข้าแทนนโยบายของบุคคลภายนอก

ภายใต้ PDPA ท่านมีสิทธิ์ ขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคล ขอรับหรือขอให้ส่งต่อข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องมืออัตโนมัติ ขอแก้ไขข้อมูลให้ถูกต้อง ขอลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ ขอระงับการใช้ ขอคัดค้านการประมวลผล รวมถึงขอถอนความยินยอมได้ตลอดเวลา โดยการถอนความยินยอมต้องง่ายพอ ๆ กับการให้ความยินยอม และการถอนความยินยอมจะไม่กระทบการประมวลผลที่ได้ดำเนินการโดยชอบด้วยกฎหมายก่อนหน้านั้น

สิทธิขอเข้าถึงและขอสำเนายังรวมถึงการขอทราบที่มาของข้อมูลในกรณีที่เราได้รับข้อมูลจากแหล่งอื่นและท่านมีสิทธิตามกฎหมาย ทั้งนี้ เราอาจปกปิดข้อมูลของบุคคลอื่นหรือข้อมูลที่กฎหมายอนุญาตให้จำกัดการเปิดเผย และจะอธิบายเหตุผลเป็นลายลักษณ์อักษรเมื่อจำเป็น

เมื่อได้รับคำขอ เราจะตรวจสอบว่าคำขอนั้นเกี่ยวข้องกับข้อมูลของผู้ส่งคำขอจริงหรือไม่ และอาจขอให้ระบุขอบเขตหรือประเภทข้อมูลที่ต้องการเพื่อค้นหาได้ตรงจุด หากคำขอไม่ชัดเจน เราอาจติดต่อกลับเพื่อสอบถามเพิ่มเติมโดยไม่ถือว่าได้รับคำขอฉบับสมบูรณ์จนกว่าจะมีข้อมูลพอสำหรับการค้นหา ทั้งนี้ การขอข้อมูลเพิ่มเติมเพื่อยืนยันตัวตนต้องเป็นวิธีที่สมเหตุสมผลและไม่เกินความจำเป็น

หากท่านไม่พอใจผลการดำเนินการ เราจะชี้แจงเหตุผลและช่องทางอุทธรณ์หรือร้องเรียนที่เหมาะสม การติดต่อเราเพื่อสอบถามก่อนไม่เป็นการตัดสิทธิในการยื่นเรื่องต่อหน่วยงานกำกับดูแล หากข้อมูลที่ขอเป็นข้อมูลของบริษัทหรือหลายบุคคล เราอาจขอให้ผู้มีอำนาจหรือผู้แทนที่ได้รับมอบหมายเป็นผู้ยื่นคำขอแทน เพื่อปกป้องข้อมูลของบุคคลอื่น

หาก GDPR ใช้บังคับ ท่านอาจมีสิทธิ์ตาม Articles 15–22 ได้แก่ สิทธิเข้าถึง แก้ไข ลบ จำกัดการประมวลผล โอนย้ายข้อมูล คัดค้าน ถอนความยินยอม และสิทธิไม่อยู่ภายใต้การตัดสินใจโดยอัตโนมัติเพียงอย่างเดียวซึ่งมีผลทางกฎหมายหรือผลกระทบที่คล้ายกันอย่างมีนัยสำคัญ

ท่านสามารถส่งคำขอผ่านอีเมล wutthiphan@mnc.co.th หรือช่องทางติดต่อในหัวข้อ 11 และ 12 (สำหรับสถานะ DPO และสิทธิตามมาตรา 41) เราอาจขอหลักฐานยืนยันตัวตนตามความเหมาะสมเพื่อป้องกันการเข้าถึงข้อมูลของผู้อื่น และจะพิจารณาคำขอโดยไม่เลือกปฏิบัติ โดยทั่วไปเราจะดำเนินการภายใน 30 วันตาม PDPA หรือภายใน 1 เดือนตาม GDPR เมื่อกฎหมายอนุญาตให้ขยายเวลา เราจะแจ้งเหตุผลและกำหนดเวลาที่คาดว่าจะแล้วเสร็จ

เราอาจปฏิเสธหรือจำกัดสิทธิบางประการได้เท่าที่กฎหมายอนุญาต เช่น เพื่อปฏิบัติตามกฎหมาย รักษาหลักฐานหรือใช้สิทธิเรียกร้องทางกฎหมาย คุ้มครองสิทธิและเสรีภาพของผู้อื่น หรือเมื่อข้อมูลมีความจำเป็นต่อการปฏิบัติตามสัญญา หากท่านคัดค้านการใช้ข้อมูลเพื่อการตลาดโดยตรง เราจะหยุดการประมวลผลเพื่อการตลาดดังกล่าวโดยเร็วที่สุด และจะทำให้ช่องทางคัดค้านหรือยกเลิกการตลาดเห็นได้ชัดเจนและใช้งานง่าย

เราจะเก็บบันทึกคำขอ วันที่รับคำขอ ผลการตรวจสอบตัวตน การดำเนินการ และเหตุผลของการปฏิเสธไว้เท่าที่จำเป็น เพื่อให้การดำเนินการตรวจสอบและการร้องเรียนย้อนหลังเป็นไปอย่างมีหลักฐาน ท่านไม่ต้องเสียค่าใช้จ่ายในการยื่นคำขอตามสิทธิ เว้นแต่กฎหมายอนุญาตให้เรียกเก็บค่าใช้จ่ายในกรณีที่คำขอซ้ำหรือไม่มีเหตุอันควร

ท่านมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ได้ตามช่องทางปัจจุบันที่ https://www.pdpc.or.th/ หากการประมวลผลอยู่ภายใต้ GDPR ท่านอาจร้องเรียนต่อหน่วยงานกำกับดูแลในประเทศสมาชิกสหภาพยุโรปที่ท่านมีถิ่นพำนัก ทำงาน หรือเหตุการณ์ที่อ้างว่าละเมิดเกิดขึ้นได้

MNC จะเก็บข้อมูลเท่าที่จำเป็นต่อวัตถุประสงค์ ฐานทางกฎหมาย ภาระหน้าที่ และการใช้สิทธิตามกฎหมาย โดยมีระยะเวลาหรือเกณฑ์เบื้องต้นดังนี้:

เมื่อพ้นระยะเวลาหรือข้อมูลไม่จำเป็นต่อวัตถุประสงค์แล้ว MNC จะลบ ทำลาย หรือทำให้ข้อมูลเป็นนิรนามตามวิธีที่เหมาะสมกับรูปแบบข้อมูล เว้นแต่ต้องเก็บไว้เพื่อการปฏิบัติตามกฎหมาย การตั้งข้อหา การยื่นหรือต่อสู้คดี หรือเหตุจำเป็นอื่นตามกฎหมาย

ข้อมูลในสำเนาสำรอง (Backup): สำเนาข้อมูลที่จัดเก็บในระบบสำรองข้อมูลของ Hostinger จะถูกแยกจากข้อมูลใช้งานหลักและถูกลบโดยอัตโนมัติเมื่อพ้นรอบการสำรองข้อมูล — ปัจจุบันกำหนดให้เก็บไม่เกิน 30 วัน (รายวัน) และ 30 วัน (รายสัปดาห์) หากมีข้อมูลในสำเนาสำรองที่ยังไม่ถูกลบแต่ต้นทางถูกลบไปแล้ว ข้อมูลนั้นจะหมดอายุในรอบสำรองถัดไปโดยไม่ต้องดำเนินการเพิ่ม รายละเอียดเพิ่มเติมเกี่ยวกับนโยบายสำรองข้อมูลและการกู้คืนอยู่ในหัวข้อ 7.11 นโยบายสำรองข้อมูลและการกู้คืน

ระยะเวลาที่เสนอในตารางเป็นค่าเริ่มต้นสำหรับการออกแบบนโยบาย ไม่ใช่การรับรองว่าข้อมูลทุกรายการจะถูกเก็บครบตามระยะเวลาดังกล่าว หากมีเหตุการณ์ เช่น การตรวจสอบภาษี การโต้แย้ง การฟ้องร้อง หรือคำสั่งของหน่วยงานรัฐ เราอาจจำเป็นต้องเก็บข้อมูลบางส่วนไว้นานกว่าปกติตามกรอบที่กฎหมายกำหนด เมื่อเหตุการณ์สิ้นสุด เราจะกลับมาใช้กฎลบ/ทำลายตามปกติ

ในการกำหนด retention schedule เราจะพิจารณาประเภทข้อมูล ความไวของข้อมูล ความจำเป็นในการให้บริการ ระยะเวลาที่กฎหมายหรือสัญญากำหนด ความเสี่ยงจากการเข้าถึงโดยไม่ได้รับอนุญาต และข้อจำกัดในการเก็บข้อมูล ทั้งนี้ เราจะทบทวนระยะเวลาเมื่อมีการเปลี่ยนแปลงบริการ กฎหมาย หรือเทคโนโลยี โดยผู้รับผิดชอบหลักในการทบทวน retention schedule คือเจ้าของกิจการและทีม IT/Security ของ MNC ซึ่งจะทบทวนพร้อมกับการทบทวนมาตรการความปลอดภัยตามที่ระบุในหัวข้อ 7.10 ผู้รับผิดชอบและการทบทวน (อย่างน้อยปีละ 1 ครั้ง)

MNC ใช้มาตรการรักษาความปลอดภัยทั้งในระดับโครงสร้างพื้นฐาน (เซิร์ฟเวอร์ เครือข่าย) และระดับแอปพลิเคชัน (WordPress, ปลั๊กอิน) เพื่อปกป้องข้อมูลส่วนบุคคลจากการเข้าถึงโดยไม่ได้รับอนุญาต การเปลี่ยนแปลง การทำลาย หรือการเปิดเผยโดยไม่ชอบด้วยกฎหมาย มาตรการเหล่านี้ได้รับการประเมินและทบทวนเป็นประจำตามความเสี่ยงและลักษณะของข้อมูล รายละเอียดเชิงเทคนิคอ้างอิงตามผลการตรวจสอบความปลอดภัยเว็บไซต์ภายใน (รายงานฉบับลงนามรับรองโดยทีม IT/Security) คำศัพท์เฉพาะทางเทคนิคอธิบายเพิ่มเติมในหัวข้อ 13. อภิธานศัพท์

7.1 การเข้ารหัสข้อมูลระหว่างส่ง (Encryption in Transit)

ข้อมูลที่ท่านส่งระหว่างเบราว์เซอร์กับเว็บไซต์ของเราจะถูกเข้ารหัสเพื่อป้องกันการดักจับหรือแก้ไขระหว่างทาง โดยมีรายละเอียดดังนี้:

• เว็บไซต์ทุกหน้า ใช้ HTTPS กับ TLS 1.2 หรือ 1.3 (โปรโตคอลเข้ารหัสสมัยใหม่) เท่านั้น — ระบบจะปฏิเสธการเชื่อมต่อด้วย TLS 1.0 และ 1.1 ซึ่งล้าสมัยและไม่ปลอดภัย
• ใบรับรองดิจิทัล (SSL certificate) ออกโดย Let’s Encrypt และต่ออายุอัตโนมัติทุก 90 วัน เพื่อให้การเข้ารหัสเป็นปัจจุบันอยู่เสมอ
• รองรับ HTTP/2 และ HTTP/3 (QUIC) ซึ่งเป็นโปรโตคอลเว็บสมัยใหม่ที่ช่วยเพิ่มประสิทธิภาพและความปลอดภัย
• ใช้ ECDHE สำหรับ Perfect Forward Secrecy — แม้คีย์เข้ารหัสในอดีตจะรั่วไหล ก็ไม่สามารถถอดรหัส traffic ในอดีตได้

สิ่งที่อยู่ในแผนปรับปรุง: การเปิดใช้งาน HSTS (HTTP Strict Transport Security — สั่งให้เบราว์เซอร์ใช้ HTTPS เสมอโดยไม่ยอมรับ HTTP) เพื่อเพิ่มความปลอดภัยอีกชั้น อยู่ในแผนปรับปรุงระดับ P1

7.2 การเข้ารหัสข้อมูลขณะจัดเก็บ (Encryption at Rest)

ข้อมูลที่จัดเก็บในระบบของเราได้รับการปกป้องด้วยการเข้ารหัส ดังนี้:

• ผู้ให้บริการโฮสติ้ง Hostinger ได้รับการรับรอง ISO/IEC 27001:2022 (มาตรฐานการจัดการความปลอดภัยสารสนเทศระดับสากล) สำหรับโครงสร้างพื้นฐาน ซึ่งรวมถึงการเข้ารหัสข้อมูลขณะจัดเก็บสำหรับเซิร์ฟเวอร์และระบบสำรองข้อมูล
• รหัสผ่านของผู้ใช้งาน ในระบบ WordPress จัดเก็บในรูปแบบ hashed (เข้ารหัสทางเดียว ไม่สามารถถอดรหัสกลับเป็นรหัสผ่านต้นฉบับได้) ตามมาตรฐาน WordPress (bcrypt/phpass)
• ข้อมูลการชำระเงิน (บัตรเครดิต) ไม่ถูกจัดเก็บบนเซิร์ฟเวอร์ของ MNC โดยตรง — การประมวลผลบัตรชำระเงินทั้งหมดดำเนินการผ่าน Stripe ซึ่งได้รับการรับรองตามมาตรฐาน PCI-DSS (Payment Card Industry Data Security Standard)

7.3 การควบคุมการเข้าถึง (Access Control)

เราจำกัดการเข้าถึงระบบและข้อมูลเฉพาะผู้ที่จำเป็นต้องใช้ตามหน้าที่เท่านั้น (หลักการ Least Privilege):

• การเข้าถึง hPanel (แผงควบคุมโฮสติ้ง) จำกัดเฉพาะผู้ดูแลระบบที่ได้รับมอบหมาย พร้อมแนะนำให้เปิดใช้งาน 2FA (Two-Factor Authentication — ยืนยันตัวตนสองขั้นตอน) สำหรับทุกบัญชีผู้ดูแล
• การเข้าสู่ระบบ WordPress admin ใช้ URL ที่ถูกเปลี่ยนและซ่อนจาก URL เริ่มต้น (/wp-login.php) เพื่อลดความเสี่ยงจากการโจมตีแบบ brute-force (เดารหัสผ่านอัตโนมัติ)
• การเข้าถึงฐานข้อมูล (phpMyAdmin) ทำได้ผ่าน hPanel เท่านั้น พร้อม session-based authentication
• บัญชีผู้ใช้ WordPress แต่ละบัญชีมีสิทธิ์ตามหน้าที่เท่านั้น (admin / editor / author / subscriber)
• การทบทวนรายชื่อผู้ใช้ WordPress ทุกไตรมาส และลบบัญชีที่ไม่จำเป็นทันที

7.4 การป้องกันเครือข่ายและเว็บแอปพลิเคชัน

ผู้ให้บริการโฮสติ้ง Hostinger มีมาตรการป้องกันในตัวหลายชั้นที่เว็บไซต์ของเราได้รับโดยอัตโนมัติ:

• DDoS Protection — ป้องกันการโจมตีที่พยายามทำให้เว็บไซต์ล่มด้วย traffic จำนวนมหาศาล โดยใช้ Cloudflare-protected nameservers และ anti-DDoS traffic analyzer
• Web Application Firewall (WAF) — ระบบกรอง traffic ที่อาจเป็นอันตราย เช่น SQL injection (ฝังคำสั่งฐานข้อมูล) และ XSS (ฝังสคริปต์) ก่อนถึงเว็บไซต์
• Malware Scanner — สแกนไฟล์บนเซิร์ฟเวอร์เพื่อหามัลแวร์ทั้งแบบอัตโนมัติและตามคำขอ ผ่าน hPanel
• BitNinja Server Protection — ระบบป้องกันเซิร์ฟเวอร์แบบเรียลไทม์ ตรวจจับ brute-force ติดตาม IP ที่มีประวัติไม่ดี และสแกนมัลแวร์
• Patchstack (WordPress) — ระบบแจ้งเตือนและติดตามช่องโหว่ของ WordPress plugins/themes อัตโนมัติ
• Cloudflare Turnstile — ระบบยืนยันตัวตนที่ปกป้องหน้า login (hPanel) จาก bot และการโจมตี brute-force

7.5 HTTP Security Headers

เราตรวจสอบ HTTP security headers ที่เซิร์ฟเวอร์ส่งให้เบราว์เซอร์ทุกครั้งที่มีการเชื่อมต่อ เพื่อป้องกันการโจมตีในระดับเบราว์เซอร์ สถานะปัจจุบัน:

> หมายเหตุ: การเพิ่ม security headers ที่ขาดอยู่ในแผนปรับปรุง P1–P2 ถือเป็น IT Action Items ก่อนเผยแพร่นโยบายนี้ (ดูหมายเหตุภายในท้ายเอกสาร)

7.6 การบันทึกเหตุการณ์และการตรวจสอบ (Access Logging & Audit Trail)

เราบันทึกเหตุการณ์ที่เกี่ยวข้องกับความปลอดภัยเพื่อให้สามารถตรวจสอบย้อนหลังได้เมื่อเกิดเหตุผิดปกติ:

• hPanel บันทึกการเข้าสู่ระบบและการเปลี่ยนแปลงการตั้งค่าทุกครั้ง
• WordPress บันทึกการเข้าสู่ระบบของผู้ดูแล การเปลี่ยนแปลงเนื้อหา และความพยายามเข้าสู่ระบบที่ล้มเหลว
• Stripe บันทึกธุรกรรมการชำระเงินอย่างครบถ้วน

ระยะเวลาเก็บ log: 90 วันถึง 12 เดือน ขึ้นอยู่กับประเภทของ log และระดับความเสี่ยง log เหล่านี้ใช้เพื่อตรวจสอบเหตุการณ์ด้านความปลอดภัยเท่านั้น ไม่เปิดเผยต่อบุคคลภายนอก

7.7 การอัปเดตซอฟต์แวร์และการแก้ไขช่องโหว่

เราดูแลให้ซอฟต์แวร์ของเว็บไซต์เป็นเวอร์ชันปัจจุบันและปิดช่องโหว่ที่อาจถูกโจมตีได้:

• WordPress core ใช้เวอร์ชันปัจจุบัน — อัปเดต security patches (minor versions) อัตโนมัติ
• Plugins และ Themes ตรวจสอบและอัปเดตอย่างสม่ำเสมอ พร้อม Patchstack แจ้งเตือนช่องโหว่อัตโนมัติ
• PHP runtime ใช้เวอร์ชันที่ Hostinger จัดการ (ปัจจุบัน PHP 8.5.7)
• Staging/test environment ใช้ทดสอบก่อน deploy plugin/theme update ที่สำคัญ

7.8 การป้องกันข้อมูลรั่วไหลจาก WordPress

นอกเหนือจากมาตรการของ Hostinger เราป้องกันการเปิดเผยข้อมูลโดยไม่ตั้งใจจากการตั้งค่า WordPress โดยเฉพาะ:

• ซ่อน /wp-login.php — เปลี่ยนเป็น URL อื่น ป้องกันการโจมตีแบบ brute-force
• ปิด XML-RPC (/xmlrpc.php) — ลด attack surface (พื้นที่ที่ผู้โจมตีอาจใช้เป็นช่องทาง)
• ปิด directory listing — ป้องกันการเข้าถึงไฟล์ใน /wp-includes/, /wp-content/
• ปกป้อง /.env, /wp-config.php.bak, /.git/ — บล็อกการเข้าถึงไฟล์ configuration ที่อาจรั่วไหล
• จำกัด REST API User enumeration — ปัจจุบันระบบ /wp-json/wp/v2/users เปิดเผยรายชื่อผู้ดูแลระบบ อยู่ในแผนแก้ไข P1 (ติดตั้ง “Disable REST API” plugin หรือ restrict ผ่าน .htaccess)

7.9 การจัดการเหตุการณ์ด้านความปลอดภัย (Incident Response)

ในกรณีที่เกิดเหตุการณ์ละเมิดข้อมูลส่วนบุคคล (data breach) เราจะดำเนินการตามขั้นตอนต่อไปนี้:

1. ตรวจสอบและจำกัดผลกระทบ — ระบุขอบเขตของเหตุการณ์ ปิดช่องโหว่ หยุดการเข้าถึงที่ผิดปกติ
2. ประเมินความเสี่ยง — ระบุประเภทข้อมูลที่ได้รับผลกระทบ จำนวนเจ้าของข้อมูล ความรุนแรง
3. แจ้ง สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ภายใน 72 ชั่วโมง ตามมาตรา 37(4) แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (เว้นแต่ข้อมูลที่รั่วไหลไม่ก่อให้เกิดความเสี่ยงสูง)

4. แจ้งเจ้าของข้อมูล หากเหตุการณ์มีความเสี่ยงสูงต่อสิทธิและเสรีภาพ พร้อมแนวทางป้องกัน/บรรเทา

5. บันทึกเหตุการณ์ ใน incident log เพื่อการทบทวนและป้องกันการเกิดซ้ำ

6. ทบทวนมาตรการ หลังเหตุการณ์ เพื่อปรับปรุงกระบวนการและเทคนิค

7.10 ผู้รับผิดชอบและการทบทวน

• ผู้รับผิดชอบหลัก: เจ้าของกิจการและผู้ดูแลระบบที่ได้รับมอบหมาย (ปัจจุบัน: ทีม IT/Security ของ MNC)
• การทบทวน: มาตรการความปลอดภัยจะถูกทบทวนอย่างน้อย ปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญ (เช่น เปลี่ยน hosting, เพิ่มบริการใหม่, พบช่องโหว่ใหม่)
• การประเมินความเสี่ยง: ประเมินตามประเภทข้อมูล ช่องทางเข้าถึง จำนวนผู้ใช้ และผลกระทบหากเกิดเหตุ
• เอกสาร: บันทึกการตรวจสอบ (audit report) เก็บเป็นหลักฐานภายใน ไม่เปิดเผยต่อสาธารณะ

7.11 นโยบายสำรองข้อมูลและการกู้คืน (Backup & Recovery)

MNC มีนโยบายสำรองข้อมูลและการกู้คืนเพื่อให้สามารถกู้คืนเว็บไซต์และข้อมูลได้เมื่อเกิดเหตุการณ์ไม่คาดคิด (เช่น hardware failure, การโจมตีด้วยมัลแวร์ หรือข้อผิดพลาดจากการแก้ไขระบบ)

ผู้ให้บริการสำรองข้อมูล: Hostinger (แผน Business หรือสูงกว่า) — ผู้ให้บริการได้รับการรับรอง ISO/IEC 27001:2022 และมีระบบสำรองข้อมูลอัตโนมัติและระบบป้องกันภัยคุกคามระดับโครงสร้าง

รอบการสำรองข้อมูล (Backup Schedule):

ประเภท	ความถี่	ระยะเวลาเก็บสูงสุด
สำรองข้อมูลรายวัน (Daily backup)	ทุกวัน อัตโนมัติ	ไม่เกิน 30 วัน
สำรองข้อมูลรายสัปดาห์ (Weekly backup)	ทุกสัปดาห์ อัตโนมัติ	ไม่เกิน 30 วัน
สำรองข้อมูลด้วยตนเอง (Manual backup)	ตามคำขอ ผ่าน hPanel	ขึ้นกับความจำเป็น
สำรองข้อมูลนอกสถานที่ (Offsite backup)	แนะนำรายสัปดาห์ ผ่าน WordPress plugin	ตามปลายทาง (NAS / Google Drive / S3)

ตำแหน่งจัดเก็บและการเข้ารหัส:

• ข้อมูลสำรองของ Hostinger จัดเก็บ แยกจากเซิร์ฟเวอร์เว็บไซต์หลัก (off-server storage) เพื่อลดความเสี่ยงจากเหตุการณ์ที่กระทบเซิร์ฟเวอร์ต้นทาง
• Hostinger จัดเก็บข้อมูลสำรองด้วยการเข้ารหัส (at-rest encryption) ตามมาตรฐาน ISO/IEC 27001:2022
• การเข้าถึงข้อมูลสำรองจำกัดเฉพาะผู้ดูแลระบบของ MNC ที่ได้รับสิทธิ์ผ่าน hPanel โดยแนะนำให้เปิด 2FA

เป้าหมายการกู้คืน (Recovery Objectives):

ตัวชี้วัด	เป้าหมาย	ความหมาย
RPO (Recovery Point Objective)	24 ชั่วโมง	ยอมรับการสูญเสียข้อมูลได้ไม่เกิน 24 ชั่วโมง (เท่ากับรอบสำรองรายวัน)
RTO (Recovery Time Objective)	4 ชั่วโมง	เวลาสูงสุดที่ใช้กู้คืนเว็บไซต์ให้กลับมาใช้งานได้หลังเหตุการณ์ data loss

การทดสอบกู้คืน: MNC จะทดสอบการกู้คืนข้อมูลอย่างน้อย 1 ครั้งต่อไตรมาส เพื่อยืนยันว่าข้อมูลสำรองสามารถกู้คืนได้จริง วัดเวลาที่ใช้ (MTR — Mean Time to Restore) ตรวจสอบความสมบูรณ์ของข้อมูล และตรวจสอบสิทธิ์การเข้าถึงยังคงใช้งานได้ ผลการทดสอบจะถูกบันทึกเป็นหลักฐาน

ข้อจำกัดของระบบสำรองข้อมูล: เนื่องจาก MNC ใช้บริการ shared hosting ระบบสำรองข้อมูลจึงมีข้อจำกัดบางประการที่ผู้ใช้บริการควรทราบ:

• ไม่มี point-in-time recovery (กู้คืน ณ จุดเวลาใดเวลาหนึ่งย้อนหลัง) — กู้คืนได้เฉพาะ snapshot ที่ Hostinger สำรองไว้ตามรอบที่กำหนด
• ไม่มี granular restore (กู้คืนเฉพาะไฟล์/record เดียว) — ต้องกู้คืนทั้ง site
• การกู้คืนอาจใช้เวลา หลายนาทีถึงหลายชั่วโมง ขึ้นกับขนาดข้อมูล

มาตรการเสริม (Compensating Controls):

• ติดตั้ง ปลั๊กอินสำรองข้อมูลนอกสถานที่ เช่น UpdraftPlus หรือ Backup by Jetpack เพื่อ export ข้อมูลไปยัง Google Drive หรือ NAS ส่วนกลางของบริษัท (เสริมจาก Hostinger)
• สำรองข้อมูลด้วยตนเอง ผ่าน hPanel ทุกครั้งก่อนการอัปเดต WordPress core, plugin หลัก หรือเปลี่ยน theme
• ตรวจสอบสถานะการสำรองข้อมูล ใน hPanel ทุกเดือน

การแจ้งเหตุ data loss: หากเกิดเหตุการณ์ที่ทำให้ข้อมูลส่วนบุคคลสูญหายหรือถูกลบโดยไม่ตั้งใจ และอาจส่งผลกระทบต่อสิทธิของเจ้าของข้อมูล MNC จะดำเนินการตามมาตรา 37 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ภายใน 72 ชั่วโมงนับจากทราบเหตุ และแจ้งเจ้าของข้อมูลหากเหตุการณ์มีความเสี่ยงสูง

คุกกี้คือไฟล์ข้อมูลขนาดเล็กที่เว็บไซต์หรือผู้ให้บริการอาจจัดเก็บไว้ในเบราว์เซอร์เพื่อจดจำการตั้งค่า สถานะการเข้าสู่ระบบ การตั้งค่าคุกกี้ และวิเคราะห์การใช้งานบางประการ โดยทั่วไปแบ่งได้ดังนี้:

• Strictly Necessary Cookies: จำเป็นต่อการให้บริการพื้นฐาน การรักษาความปลอดภัย การจำล็อกอิน การใช้งานตะกร้า และการบันทึกค่าตั้งค่าคุกกี้ เช่น moove_gdpr_popup ไม่ควรปิดเพราะอาจทำให้ฟังก์ชันสำคัญใช้งานไม่ได้
• Analytics/Measurement Cookies: ใช้วัดจำนวนผู้เยี่ยมชม หน้าที่ได้รับความนิยม และประสิทธิภาพของเว็บไซต์ เช่น _ga, _gid, _gat ของ Google Analytics โดยตัวระบบที่พบใน source code คือ GA4 G-2PZFRZSYLB และมี Universal Analytics UA-1049102-33 ปรากฏอยู่ด้วย
• Security/Anti-bot Cookies: เช่น _GRECAPTCHA จาก Google reCAPTCHA ซึ่งใช้ตรวจสอบว่าการส่งแบบฟอร์มมาจากมนุษย์และป้องกันการสแปม
• Attribution/Performance Cookies: เช่น sbjs_current, sbjs_first, sbjs_session, sbjs_current_add, sbjs_first_add, sbjs_udata และ sbjs_migrations ที่พบจาก SourceBuster/WooCommerce ใช้เพื่อวิเคราะห์แหล่งที่มาของการเข้าชม

คุกกี้ที่ไม่จำเป็นควรถูกติดตั้งหรือเปิดใช้งานหลังจากท่านให้ความยินยอมแยกตามประเภท เมื่อกฎหมายกำหนด ท่านสามารถเลือกปฏิเสธได้โดยไม่กระทบการใช้งานเว็บไซต์ขั้นพื้นฐาน และสามารถเปลี่ยนใจได้จากแถบ “การตั้งค่า” บนเว็บไซต์หรือการตั้งค่าเบราว์เซอร์ การปิดกั้นคุกกี้บางประเภทอาจทำให้ฟังก์ชันบางอย่าง เช่น การเข้าสู่ระบบหรือการใช้ตะกร้า ไม่สามารถทำงานได้อย่างสมบูรณ์

เว็บไซต์นี้เป็นช่องทางสำหรับการติดต่อทางธุรกิจและข้อมูลสินค้า/บริการสำหรับองค์กรเป็นหลัก ไม่ได้มีเจตนาให้บริการหรือเก็บข้อมูลจากเด็กหรือบุคคลที่มีอายุต่ำกว่า 20 ปีโดยตรง หากผู้ใช้งานเป็นผู้เยาว์ตามกฎหมายไทย การให้ความยินยอม การแจ้งเตือน การใช้สิทธิ หรือการร้องเรียนจะดำเนินการตามมาตรา 20 แห่ง PDPA และอาจต้องได้รับความยินยอมหรือการดำเนินการจากผู้มีอำนาจกำกับดูแล/ผู้ปกครองตามความสามารถในการทำนิติกรรมของผู้เยาว์

กรณีที่ผู้เยาว์อายุ 10 ปีขึ้นไปทำนิติกรรมบางอย่างได้เองตามกฎหมาย การขอความยินยันยอมอาจไม่ต้องใช้ผู้ปกครองในทุกกรณี แต่เราจะพิจารณาความสามารถและฐานทางกฎหมายของกิจกรรมนั้นก่อนเสมอ หากไม่ชัดเจน ให้ติดต่อ DPO/ผู้ประสานงานเพื่อขอคำแนะนำและหลีกเลี่ยงการเก็บข้อมูลเกินความจำเป็น

หากเราทราบว่าได้รับข้อมูลจากผู้เยาว์โดยไม่มีฐานหรือการดำเนินการที่เหมาะสม เราจะดำเนินการตรวจสอบ ลบ ทำลาย หรือทำให้ข้อมูลเป็นนิรนามตามกฎหมาย หาก GDPR ใช้บังคับกับบริการที่มุ่งตรงถึงเด็ก ต้องประเมิน Article 8 และกฎหมายอายุของประเทศสมาชิกที่เกี่ยวข้องด้วย ไม่ควรใช้นโยบายนี้แทนการตรวจสอบอายุหรือมาตรการปกป้องเด็กที่เหมาะสมกับบริการจริง

เว็บไซต์ไม่ได้ออกแบบเพื่อสร้างโปรไฟล์หรือเสนอเนื้อหาเฉพาะบุคคลสำหรับผู้เยาว์ หากผู้ปกครองหรือผู้มีอำนาจดูแลแจ้งว่ามีข้อมูลของผู้เยาว์ถูกเก็บโดยไม่เหมาะสม เราจะตรวจสอบและดำเนินการตามคำขอโดยเร็ว

MNC อาจทบทวนและปรับปรุงนโยบายฉบับนี้เป็นระยะเพื่อให้สอดคล้องกับบริการ กฎหมาย และมาตรฐานความปลอดภัยที่เปลี่ยนแปลงไป เราจะประกาศฉบับที่มีผลบังคับใช้ วันที่มีผลบังคับใช้ และสรุปการเปลี่ยนแปลงสำคัญไว้บนเว็บไซต์ หากการเปลี่ยนแปลงกระทบสิทธิของท่านหรือมีวัตถุประสงค์ใหม่ที่ต้องขอความยินยอม เราจะแจ้งให้ท่านทราบและขอความยินยอมใหม่ก่อนเริ่มประมวลผลตามวัตถุประสงค์ใหม่นั้น

เราจะไม่ใช้นโยบายฉบับแก้ไขย้อนหลังเพื่อขยายวัตถุประสงค์การใช้ข้อมูลโดยไม่มีฐานทางกฎหมาย เว้นแต่กฎหมายอนุญาตเป็นอย่างอื่น ท่านสามารถตรวจสอบเวอร์ชันก่อนหน้าได้จากเอกสารสำรอง (รอดำเนินการ)

ผู้ควบคุมข้อมูลส่วนบุคคล: บริษัท มีเดีย เน็ตเวิร์ค คอมมูนิเคชั่น จำกัด / MEDIA NETWORK Communication Co., Ltd.

• เว็บไซต์: https://www.mnc.co.th/
• อีเมลหลักสำหรับเรื่องสิทธิข้อมูลส่วนบุคคล: wutthiphan@mnc.co.th (ยืนยันโดยผู้บริหาร 26 สิงหาคม 2569) — ช่องทางที่แนะนำสำหรับสิทธิตาม PDPA/GDPR, คำขอใช้สิทธิ, และข้อสงสัยเกี่ยวกับนโยบายนี้ (ดูรายละเอียดเพิ่มเติมในหัวข้อ 12)
• อีเมลทั่วไป: support@mnc.co.th — สำหรับการติดต่อทั่วไปที่ไม่ใช่เรื่องสิทธิข้อมูลส่วนบุคคล
• โทรศัพท์: 099-629-9460 และ 02-005-6587
• LINE Official: @mnc.th
• เลขประจำตัวผู้เสียภาษีอากร: 0-1055-50115-92-1
• ที่อยู่ติดต่อ: 151/268 ซอยพระรามที่ 2 ซอย 33 แขวงบางมด เขตจอมทอง กรุงเทพ 10150 (ยืนยันโดยผู้บริหาร 26 สิงหาคม 2569)
• ผู้แทนตาม GDPR Article 27 (ถ้ามี): (รอดำเนินการ)

สำหรับการใช้สิทธิตาม PDPA มาตรา 41 หรือสิทธิอื่น ๆ ตาม PDPA/GDPR: กรุณาใช้ช่องทาง wutthiphan@mnc.co.th หรือช่องทางในหัวข้อ 12 (สถานะการแต่งตั้ง DPO และช่องทางติดต่อด้านข้อมูลส่วนบุคคล) หากท่านต้องการสอบถามเกี่ยวกับนโยบาย โปรดระบุชื่อ อีเมลที่ใช้ติดต่อ และเรื่องที่ต้องการให้ดำเนินการ โดยไม่ต้องส่งรหัสผ่านหรือข้อมูลความปลอดภัยอื่นทางอีเมล

12.1 สถานะการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

ปัจจุบัน MNC ยังไม่ได้รับการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ตามมาตรา 41 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และ/หรือ Article 37 แห่ง GDPR (ในกรณีที่ GDPR ใช้บังคับ) สถานะ “ยังไม่ได้รับการแต่งตั้ง” ได้รับการยืนยันโดยผู้บริหารของบริษัทเมื่อวันที่ 26 สิงหาคม 2569

การไม่มี DPO ไม่ได้ ทำให้สิทธิของเจ้าของข้อมูลตามมาตรา 41 และส่วนอื่น ๆ ของ PDPA ลดลงแต่อย่างใด เจ้าของข้อมูลยังคงมีสิทธิทุกประการตามที่ระบุในหัวข้อ 5 และสามารถใช้สิทธิได้โดยติดต่อผู้ควบคุมข้อมูลโดยตรงผ่านช่องทางที่ระบุในหัวข้อ 12.2 ด้านล่าง

ในระหว่างที่ยังไม่มีการแต่งตั้ง DPO MNC จะทบทวนสถานะนี้เป็นประจำอย่างน้อยปีละ 1 ครั้ง หรือเมื่อ:

• มีการเปลี่ยนแปลงลักษณะหรือขอบเขตของกิจกรรมการประมวลผลข้อมูล
• มีการเพิ่มการประมวลผลข้อมูลอ่อนไหวจำนวนมาก
• มีการเปลี่ยนแปลงกฎหมายหรือแนวปฏิบัติที่เกี่ยวข้อง
• ผู้บริหารพิจารณาเห็นว่าควรแต่งตั้ง

หากมีการแต่งตั้ง DPO ในอนาคต จะมีการประกาศและปรับปรุงนโยบายนี้ในเวอร์ชันถัดไป

12.2 ช่องทางติดต่อด้านข้อมูลส่วนบุคคล (ระหว่างที่ยังไม่มี DPO)

ในระหว่างที่ยังไม่มีการแต่งตั้ง DPO ตามกฎหมาย ท่านสามารถติดต่อผู้ควบคุมข้อมูลส่วนบุคคลโดยตรงเพื่อใช้สิทธิทุกประการตาม PDPA มาตรา 41 และสิทธิอื่น ๆ ตามที่ระบุในหัวข้อ 5 ผ่านช่องทางต่อไปนี้:

• ผู้ประสานงานด้านข้อมูลส่วนบุคคล: เจ้าของกิจการ / Managing Director (ตำแหน่งดังกล่าวทำหน้าที่ประสานงานการใช้สิทธิของเจ้าของข้อมูล แต่มิใช่ “DPO” ตามคำนิยามในมาตรา 41)
• อีเมลสำหรับเรื่องสิทธิข้อมูลส่วนบุคคล: wutthiphan@mnc.co.th (ยืนยันโดยผู้บริหาร 26 สิงหาคม 2569)
• ที่อยู่สำหรับส่งเอกสาร: 151/268 ซอยพระรามที่ 2 ซอย 33 แขวงบางมด เขตจอมทอง กรุงเทพ 10150

คำชี้แจงเกี่ยวกับตำแหน่ง: ตำแหน่ง “ผู้ประสานงานด้านข้อมูลส่วนบุคคล” ในเอกสารนี้เป็นการอำนวยความสะดวกในการติดต่อเท่านั้น ไม่ถือเป็นการแต่งตั้ง DPO ตามมาตรา 41 แห่ง PDPA และไม่ก่อให้เกิดสิทธิหรือหน้าที่เพิ่มเติมนอกเหนือจากที่กฎหมายกำหนด

12.3 หน่วยงานกำกับดูแล

หากท่านต้องการร้องเรียนหรือปรึกษาเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล สามารถติดต่อหน่วยงานกำกับดูแลได้ที่:

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC): https://www.pdpc.or.th/
• กรณีที่ GDPR ใช้บังคับ: หน่วยงานกำกับดูแล (supervisory authority) ในประเทศสมาชิกสหภาพยุโรปที่ท่านมีถิ่นพำนัก ทำงาน หรือที่เหตุการณ์ที่อ้างว่าละเมิดเกิดขึ้น

> ข้อสรุปเพื่อการตรวจสอบภายใน: เอกสารฉบับนี้เป็นข้อมูลทางกฎหมายระดับทั่วไปและเป็นร่างเนื้อหา ไม่ใช่คำปรึกษาหรือความเห็นจากทนายความผู้ให้บริการจริง `

คำศัพท์เฉพาะทางเทคนิคที่ใช้ในนโยบายนี้ อธิบายเพื่อให้ผู้อ่านที่ไม่มีพื้นฐานด้านเทคนิคสามารถเข้าใจได้