นโยบายความเป็นส่วนตัว

1. ข้อมูลที่เราเก็บรวบรวม

เราเก็บข้อมูลส่วนบุคคลของท่านเพื่อให้บริการอบรม ออกใบรับรอง และดำเนินการตามสัญญา โดยแบ่งเป็นประเภทดังนี้:

1.1 ข้อมูลทั่วไป (Personal Data)

• ชื่อ-นามสกุล คำนำหน้าชื่อ
• อีเมล หมายเลขโทรศัพท์
• ที่อยู่ (สำหรับออกใบกำกับภาษีและจัดส่งวุฒิบัตร)
• ตำแหน่งงาน บริษัท/หน่วยงานที่สังกัด

1.2 ข้อมูลเฉพาะของผู้เข้าอบรม

• เลขประจำตัวประชาชน/หนังสือเดินทาง — ใช้ยืนยันตัวตน
• วันเดือนปีเกิด คุณวุฒิการศึกษา
• รูปถ่ายผู้เข้าอบรม (กรณีจำเป็นต่อใบรับรองหรือบัตรประจำตัว เช่น CP Safety Passport)
• สำเนาบัตรประชาชน วุฒิบัตรการศึกษา หรือเอกสารยืนยันคุณสมบัติเฉพาะหลักสูตร

1.3 ข้อมูลของผู้เข้าอบรมที่ท่านส่งมา

กรณีท่านเป็นเจ้าหน้าที่ HR / ผู้ประสานงาน ที่ลงทะเบียนแทนผู้เข้าอบรมในนามบริษัท ข้อมูลส่วนบุคคลของผู้เข้าอบรมที่ท่านส่งให้เราจะถูกประมวลผลภายใต้นโยบายฉบับนี้เช่นเดียวกัน ท่านต้องมีอำนาจในการส่งข้อมูลผู้อื่นและแจ้งให้ผู้เข้าอบรมทราบล่วงหน้า ว่าข้อมูลของเขาจะถูกประมวลผลโดย NET เพื่อวัตถุประสงค์การอบรม

บทบาททางกฎหมายของ NET: NET ทำหน้าที่เป็น ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) สำหรับการประมวลผลทั้งหมดที่ระบุในนโยบายฉบับนี้ — รวมกรณีข้อมูลที่ส่งผ่านเจ้าหน้าที่ HR/ผู้ประสานงาน NET เป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผลโดยตรง

1.4 ข้อมูลละเอียดอ่อนด้านสุขภาพ (เฉพาะบางหลักสูตร)

สำหรับหลักสูตรที่มีความเสี่ยงทางกายภาพและกฎหมายกำหนดให้ผู้เข้าอบรมต้องผ่านการตรวจสุขภาพ เช่น การทำงานบนที่สูง (เสาทาวเวอร์) และ การทำงานในที่อับอากาศ เราอาจเก็บใบรับรองแพทย์ของท่าน ซึ่งจัดเป็นข้อมูลส่วนบุคคลอ่อนไหวตาม PDPA มาตรา 26

• เก็บเฉพาะข้อมูลที่จำเป็นต่อการประเมินความพร้อมในการเข้าอบรม
• เข้าถึงได้เฉพาะเจ้าหน้าที่ผู้ได้รับมอบหมายเท่านั้น
• ลบหรือทำลายหลังหมดอายุการใช้งานตามนโยบายการเก็บรักษา (หัวข้อ 6)

1.5 ข้อมูลการใช้งานเว็บไซต์

• IP address ประเภทเบราว์เซอร์ ระบบปฏิบัติการ
• หน้าที่เข้าชม เวลาที่ใช้งาน และพฤติกรรมการคลิก
• คุกกี้และเทคโนโลยีที่คล้ายคลึง (รายละเอียดในหัวข้อ 3)

2. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล

ตาม PDPA มาตรา 24 ข้อมูลของท่านจะถูกประมวลผลภายใต้ฐานทางกฎหมายอย่างใดอย่างหนึ่งดังต่อไปนี้:

3. การใช้คุกกี้

เว็บไซต์ของเราใช้คุกกี้และเทคโนโลยีที่คล้ายคลึงเพื่อให้บริการที่ดีขึ้น แบ่งเป็น 3 ประเภท:

ท่านสามารถจัดการคุกกี้ได้ผ่านการตั้งค่าเบราว์เซอร์ การปิดคุกกี้บางประเภทอาจส่งผลให้บางบริการทำงานไม่สมบูรณ์

4. การแบ่งปันข้อมูลกับบุคคลที่สาม

เราไม่ขาย ไม่แลกเปลี่ยน และไม่ให้ข้อมูลส่วนบุคคลของท่านแก่บุคคลภายนอกเพื่อวัตถุประสงค์การตลาด อย่างไรก็ตาม เราอาจเปิดเผยข้อมูลให้บุคคลที่สามต่อไปนี้เพื่อให้บริการตามวัตถุประสงค์:

4.1 ผู้ให้บริการด้านเทคโนโลยี (Data Processors)

• Google Firebase / Google Cloud — ระบบฐานข้อมูล (Firestore), การยืนยันตัวตน (Authentication), การจัดเก็บไฟล์ (Cloud Storage), และการประมวลผล (App Hosting)
• Cloudflare — Content Delivery Network (CDN), DNS, และระบบป้องกัน DDoS
• ผู้ให้บริการอีเมล — สำหรับส่งอีเมลแจ้งเตือน OTP และยืนยันการลงทะเบียน
• ผู้ให้บริการจัดส่งเอกสาร — สำหรับจัดส่งวุฒิบัตร บัตร PVC ใบเสร็จในรูปแบบกระดาษ

4.2 หน่วยงานที่เกี่ยวข้องกับการอบรม

• ระบบ CP Safety Passport (cpsafetypassport.net) — กรณีท่านอบรมหลักสูตรในเครือเจริญโภคภัณฑ์ (CP Group) เราจะส่งข้อมูลผู้ผ่านการอบรมเข้าระบบเพื่อออกบัตร
• การไฟฟ้านครหลวง (MEA) / การไฟฟ้าส่วนภูมิภาค (PEA) — กรณีหลักสูตรที่หน่วยงานเหล่านี้รับรอง
• กรมพัฒนาฝีมือแรงงาน / กรมโรงงานอุตสาหกรรม / กรมธุรกิจพลังงาน — รายงานผู้ผ่านการอบรมตามที่กฎหมายกำหนด
• บริษัทผู้ว่าจ้าง (กรณี Inhouse Training) — เราจะส่งรายชื่อผู้เข้าอบรมและผลการอบรมให้บริษัทผู้จัดอบรม

4.3 หน่วยงานรัฐและการบังคับใช้กฎหมาย

• กรมสรรพากร และหน่วยงานทางบัญชี/ภาษีตามที่กฎหมายกำหนด
• หน่วยงานบังคับใช้กฎหมาย กรณีมีคำสั่งศาลหรือกฎหมายกำหนด

ผู้รับข้อมูลทั้งหมดผูกพันด้วยข้อกำหนดการรักษาความลับและประมวลผลข้อมูลเฉพาะเพื่อวัตถุประสงค์ที่ระบุเท่านั้น

5. การโอนข้อมูลข้ามพรมแดน

ระบบของเราใช้บริการ cloud จากผู้ให้บริการระดับสากล ซึ่งอาจมีการประมวลผลและจัดเก็บข้อมูลของท่านในประเทศต่อไปนี้:

• Google Firebase / Google Cloud — ข้อมูลหลักจัดเก็บใน ประเทศสิงคโปร์ (asia-southeast1) การประมวลผลบางส่วน เช่น การส่งอีเมลและการสำรองข้อมูลข้ามภูมิภาค อาจดำเนินการในสหรัฐอเมริกาตามที่ผู้ให้บริการเห็นว่าจำเป็น
• Cloudflare — เครือข่าย CDN ที่กระจายอยู่ใน Data Center ทั่วโลก ใช้สำหรับเร่งการโหลดเว็บไซต์ และคุกกี้ที่จำเป็นต่อความปลอดภัย ข้อมูลที่ผ่าน Cloudflare เป็นข้อมูลที่ไม่ระบุตัวตน (anonymized)

มาตรการคุ้มครองการโอนข้อมูลข้ามพรมแดน (PDPA §28-29)

• ผู้ให้บริการทั้งหมดได้รับรองมาตรฐาน ISO/IEC 27001, SOC 2, และมาตรฐานความปลอดภัยอื่นๆ ที่เกี่ยวข้อง
• ข้อมูลถูกเข้ารหัสทั้งขณะส่ง (TLS 1.3) และขณะจัดเก็บ (AES-256)
• มีข้อตกลงประมวลผลข้อมูล (Data Processing Agreement) กำกับ — ผู้ให้บริการ cloud (Google, Cloudflare) ลงนามข้อตกลง DPA ที่กำหนดให้ประมวลผลข้อมูลตามคำสั่งของเราเท่านั้นและคุ้มครองข้อมูลตามมาตรฐานสากล
• ประเทศปลายทางมีระดับการคุ้มครองข้อมูลที่เพียงพอตามมาตรฐานสากล

6. ระยะเวลาเก็บรักษาข้อมูล

เราจะเก็บข้อมูลของท่านตามระยะเวลาที่จำเป็นต่อวัตถุประสงค์ หรือตามที่กฎหมายกำหนด ดังนี้:

เมื่อหมดระยะเวลา เราจะลบหรือทำลายข้อมูลด้วยวิธีที่ไม่สามารถกู้คืนได้

7. มาตรการรักษาความปลอดภัย

ตาม PDPA มาตรา 37 เราใช้มาตรการทางเทคนิคและการบริหารจัดการที่เหมาะสมเพื่อปกป้องข้อมูลของท่าน:

• การเข้ารหัส (Encryption) — ข้อมูลถูกเข้ารหัสทั้งขณะส่ง (TLS 1.3) และขณะจัดเก็บ (AES-256)
• การควบคุมการเข้าถึง (Access Control) — ระบบ Role-Based Access Control (RBAC) จำกัดการเข้าถึงเฉพาะพนักงานที่มีความจำเป็น
• การยืนยันตัวตน (Authentication) — Multi-factor authentication สำหรับเจ้าหน้าที่ที่เข้าถึงข้อมูลที่ละเอียดอ่อน
• การบันทึกการเข้าถึง (Audit Log) — บันทึกการเข้าถึงและการแก้ไขข้อมูลทั้งหมดเพื่อตรวจสอบย้อนหลัง
• การสำรองข้อมูล (Backup) — สำรองข้อมูลรายวันในระบบที่แยกต่างหากเพื่อกู้คืนกรณีฉุกเฉิน
• การตรวจสอบความปลอดภัย — อัปเดตระบบ ตรวจหาช่องโหว่ และฝึกอบรมพนักงานด้านความปลอดภัยเป็นประจำ

8. สิทธิ์ของท่านและวิธีการใช้สิทธิ์

ภายใต้ PDPA ท่านมีสิทธิ์ดังต่อไปนี้:

• สิทธิ์เข้าถึงข้อมูล (§30) — ขอสำเนาข้อมูลส่วนบุคคลของท่านที่เราเก็บไว้
• สิทธิ์แก้ไขข้อมูล (§35) — แก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่เป็นปัจจุบัน
• สิทธิ์ลบข้อมูล / สิทธิ์ที่จะถูกลืม (§33) — ขอให้ลบข้อมูลของท่าน เว้นแต่กฎหมายกำหนดให้เก็บ
• สิทธิ์คัดค้านการประมวลผล (§32) — คัดค้านการประมวลผลที่ใช้ฐานผลประโยชน์โดยชอบ
• สิทธิ์โอนย้ายข้อมูล (§31) — รับข้อมูลในรูปแบบที่อ่านได้โดยเครื่อง
• สิทธิ์ถอนความยินยอม (§19) — ถอนความยินยอมที่เคยให้ไว้ทุกเมื่อ
• สิทธิ์ระงับการใช้ข้อมูล (§34) — ขอระงับการใช้ข้อมูลในระหว่างตรวจสอบความถูกต้อง

วิธีการใช้สิทธิ์

ส่งคำขอผ่านช่องทางใดช่องทางหนึ่งต่อไปนี้:

• อีเมล: [email protected] (ระบุ "ขอใช้สิทธิ์ PDPA" ในหัวข้อ)
• Line Official: @net10
• ฟอร์มติดต่อ: /contact
• โทร: 02-109-4264 (จันทร์-เสาร์ 08:00-17:00)

เราจะตอบกลับคำขอภายใน 30 วัน ตาม PDPA มาตรา 30 โดยไม่มีค่าใช้จ่าย เว้นแต่กรณีคำขอที่ซ้ำซ้อนหรือใช้สิทธิ์เกินสมควร เราอาจคิดค่าธรรมเนียมตามต้นทุนที่เกิดขึ้นจริง

9. การแจ้งเตือนการละเมิดข้อมูล

ในกรณีเกิดการละเมิดข้อมูลส่วนบุคคล (Data Breach) ที่อาจส่งผลกระทบต่อท่าน เราจะดำเนินการตาม PDPA มาตรา 37:

• แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ภายใน 72 ชั่วโมงนับจากที่ทราบเหตุ
• แจ้งท่านโดยตรงผ่านอีเมลหรือช่องทางที่เหมาะสม หากการละเมิดมีความเสี่ยงสูงต่อสิทธิ์และเสรีภาพของท่าน
• ดำเนินมาตรการลดผลกระทบและป้องกันไม่ให้เกิดเหตุการณ์ลักษณะเดียวกันอีก
• ให้คำแนะนำกับท่านเกี่ยวกับมาตรการป้องกันตนเองที่ควรดำเนินการ

10. สิทธิ์ในการร้องเรียนต่อ PDPC

หากท่านเห็นว่าการประมวลผลข้อมูลของเราไม่เป็นไปตาม PDPA ท่านสามารถร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ได้โดยตรง:

อย่างไรก็ตาม เราขอให้ท่านแจ้งให้เราทราบก่อน (หัวข้อ 13) เพื่อให้เราได้ดำเนินการแก้ไขโดยเร็ว

11. ข้อจำกัดอายุของผู้ใช้บริการ

หลักสูตรอบรมความปลอดภัยของเราเปิดรับเฉพาะผู้ที่มีอายุ 18 ปีบริบูรณ์ขึ้นไป เนื่องจากเนื้อหาเกี่ยวข้องกับงานในสภาพแวดล้อมที่มีความเสี่ยงและกฎหมายแรงงานกำหนดอายุขั้นต่ำในการทำงาน หากท่านมีอายุต่ำกว่า 18 ปี กรุณาอย่าส่งข้อมูลผ่านระบบของเรา หากเราตรวจพบว่ามีการลงทะเบียนของผู้ที่มีอายุต่ำกว่า 18 ปี เราจะลบข้อมูลและยกเลิกการลงทะเบียนทันที และจะแจ้งผู้ปกครองตามที่ PDPA มาตรา 20 กำหนด

หมายเหตุ: PDPA มาตรา 20 กำหนดให้ผู้ที่ยังไม่บรรลุนิติภาวะ (อายุไม่ครบ 20 ปีบริบูรณ์) ต้องได้รับความยินยอมจากผู้ปกครองในบางกรณี เกณฑ์ 18 ปีของเราเข้มงวดกว่ากฎหมายกำหนด ตามนโยบายของบริษัทเพื่อความปลอดภัย

12. การเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว เพื่อสะท้อนการเปลี่ยนแปลงของกฎหมาย เทคโนโลยี หรือบริการของเรา:

• การเปลี่ยนแปลงเล็กน้อย (แก้คำผิด ปรับสำนวน) — ประกาศบนเว็บไซต์ พร้อมอัปเดตวันที่ผลบังคับใช้และเวอร์ชัน
• การเปลี่ยนแปลงที่มีนัยสำคัญ (เพิ่ม/ลดวัตถุประสงค์การประมวลผล เปลี่ยนผู้ให้บริการที่สำคัญ) — แจ้งทางอีเมลและประกาศบนเว็บไซต์อย่างน้อย 30 วันก่อนมีผล และอาจขอความยินยอมใหม่หากจำเป็น

ท่านสามารถดูเวอร์ชันและวันที่ผลบังคับใช้ปัจจุบันได้ที่ส่วนหัวของหน้านี้

13. ติดต่อเรา

หากท่านมีคำถามเกี่ยวกับนโยบายฉบับนี้ หรือต้องการใช้สิทธิ์ของท่านภายใต้ PDPA กรุณาติดต่อ: