ปกป้องข้อมูลของท่าน
ด้วยมาตรฐาน th32

นโยบายความเป็นส่วนตัวฉบับนี้ใช้บังคับกับการเก็บรวบรวม ใช้งาน และเปิดเผยข้อมูลส่วนบุคคลโดย th32 ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตามความหมายของ PDPA คำและวลีต่อไปนี้มีความหมายดังนี้

• "ข้อมูลส่วนบุคคล" หมายถึง ข้อมูลใดๆ ที่สามารถระบุตัวตนของบุคคลได้ทั้งทางตรงและทางอ้อม เช่น ชื่อ อีเมล หมายเลข IP และข้อมูลพฤติกรรมการใช้งาน
• "การประมวลผล" หมายถึง การกระทำใดๆ ต่อข้อมูลส่วนบุคคล ไม่ว่าจะเป็นการเก็บ บันทึก จัดเก็บ ใช้ เปลี่ยนแปลง เปิดเผย หรือลบทำลาย
• "เจ้าของข้อมูล" หมายถึง ท่านในฐานะผู้ใช้งานแพลตฟอร์ม th32
• "ผู้ประมวลผลข้อมูล" หมายถึง บุคคลหรือนิติบุคคลที่ประมวลผลข้อมูลในนามของ th32

นโยบายฉบับนี้ครอบคลุมการใช้งานทุกรูปแบบของ th32.app รวมถึงการเข้าชมเว็บไซต์ การสมัครสมาชิก การใช้ฟีเจอร์ต่างๆ และการติดต่อสื่อสารกับทีมงาน

th32 เก็บรวบรวมข้อมูลส่วนบุคคลของท่านผ่านช่องทางและวิธีการต่อไปนี้ โดยยึดหลักเก็บเฉพาะสิ่งที่จำเป็นต่อการให้บริการจริงๆ เท่านั้น

2.1 ข้อมูลที่ท่านให้โดยตรง

• ชื่อ-นามสกุล และชื่อผู้ใช้งาน (Username)
• ที่อยู่อีเมลและหมายเลขโทรศัพท์
• วันเดือนปีเกิดเพื่อยืนยันว่ามีอายุ 20 ปีขึ้นไป
• ข้อมูลบัญชีธนาคารที่ใช้ทำธุรกรรม
• เอกสารยืนยันตัวตน (KYC) เช่น บัตรประชาชน

2.2 ข้อมูลที่เก็บโดยอัตโนมัติ

• หมายเลข IP Address และข้อมูล Geolocation โดยประมาณ
• ประเภทเบราว์เซอร์ ระบบปฏิบัติการ และอุปกรณ์ที่ใช้
• หน้าเว็บที่เข้าชม ลำดับการเยี่ยมชม และระยะเวลาที่ใช้
• ข้อมูลการอ้างอิง (Referrer URL) และคำค้นหาที่นำมาสู่เว็บไซต์
• ข้อมูลคุกกี้และ Local Storage ตามที่ระบุในหัวข้อ 5

th32 ใช้ข้อมูลส่วนบุคคลของท่านเพื่อวัตถุประสงค์ที่ชัดเจนและชอบด้วยกฎหมายดังต่อไปนี้

th32 จะไม่นำข้อมูลของท่านไปใช้เพื่อวัตถุประสงค์อื่นนอกเหนือจากที่ระบุไว้ในตารางข้างต้นโดยไม่แจ้งให้ท่านทราบและขอความยินยอมใหม่ก่อน

th32 อาจเปิดเผยข้อมูลส่วนบุคคลของท่านต่อบุคคลที่สามในกรณีต่อไปนี้เท่านั้น โดยทุกกรณีจะกระทำภายใต้ข้อตกลงการประมวลผลข้อมูลที่เหมาะสม

• ผู้ให้บริการชำระเงิน: PromptPay, TrueMoney, K PLUS, SCB Easy, กรุงไทย, กรุงเทพ, กรุงศรี และ TMB เพื่อดำเนินธุรกรรมทางการเงิน
• ผู้ให้บริการโครงสร้างพื้นฐาน: ผู้ให้บริการ Cloud Hosting และ CDN ที่ผ่านการรับรองมาตรฐาน ISO 27001
• ผู้ให้บริการวิเคราะห์ข้อมูล: เครื่องมือวิเคราะห์ที่ไม่ระบุตัวตนผู้ใช้โดยตรง
• หน่วยงานบังคับใช้กฎหมาย: เมื่อได้รับคำสั่งศาลหรือคำร้องขอที่ชอบด้วยกฎหมายจากหน่วยงานรัฐ

th32 ใช้คุกกี้และเทคโนโลยีที่คล้ายคลึงกันเพื่อปรับปรุงประสบการณ์ใช้งานของท่าน โดยแบ่งประเภทคุกกี้ดังนี้

คุกกี้ที่จำเป็น (Strictly Necessary)

ใช้เพื่อให้เว็บไซต์ทำงานได้อย่างถูกต้อง เช่น การจดจำสถานะการเข้าสู่ระบบ การรักษาความปลอดภัยของเซสชัน และการตั้งค่าภาษา คุกกี้ประเภทนี้ไม่สามารถปิดได้โดยไม่กระทบการใช้งาน

คุกกี้วิเคราะห์ (Analytics)

ช่วยให้เราเข้าใจว่าผู้ใช้งานมีปฏิสัมพันธ์กับเว็บไซต์อย่างไร เช่น หน้าที่ได้รับความนิยม เวลาที่ใช้ในแต่ละหน้า และเส้นทางการเข้าชม ข้อมูลเหล่านี้รวบรวมในรูปแบบไม่ระบุตัวตน

คุกกี้การตลาด (Marketing)

ใช้เพื่อนำเสนอเนื้อหาและโปรโมชั่นที่ตรงกับความสนใจของท่าน คุกกี้ประเภทนี้จะถูกเปิดใช้งานเฉพาะเมื่อท่านให้ความยินยอมเท่านั้น

th32 กำหนดระยะเวลาการเก็บรักษาข้อมูลตามวัตถุประสงค์การใช้งานและข้อกำหนด ทางกฎหมายดังนี้

เมื่อครบกำหนดระยะเวลาที่ระบุ th32 จะดำเนินการลบหรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้ (Anonymization) อย่างปลอดภัยตามมาตรฐานสากล

ภายใต้ PDPA พ.ศ. 2562 ท่านในฐานะเจ้าของข้อมูลมีสิทธิ์ดังต่อไปนี้ ซึ่ง th32 พร้อมอำนวยความสะดวกในการใช้สิทธิ์เหล่านี้อย่างเต็มที่

• สิทธิ์รับทราบ: ท่านมีสิทธิ์ได้รับแจ้งเกี่ยวกับวิธีที่ th32 เก็บและใช้ข้อมูลของท่านก่อนหรือในขณะที่เก็บรวบรวม
• สิทธิ์เข้าถึงและขอสำเนา: ท่านสามารถขอดูข้อมูลส่วนบุคคลของท่านที่ th32 เก็บไว้ได้ตลอดเวลา
• สิทธิ์แก้ไขข้อมูล: หากข้อมูลของท่านไม่ถูกต้องหรือไม่ครบถ้วน ท่านสามารถขอให้แก้ไขได้ทันที
• สิทธิ์ขอลบข้อมูล: ท่านสามารถขอให้ลบข้อมูลได้เมื่อหมดความจำเป็น ยกเว้นกรณีที่กฎหมายกำหนดให้ต้องเก็บต่อ
• สิทธิ์โอนย้ายข้อมูล: ท่านสามารถขอรับข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องเพื่อโอนไปยังผู้ควบคุมข้อมูลรายอื่น
• สิทธิ์คัดค้านการประมวลผล: ท่านสามารถคัดค้านการประมวลผลข้อมูลเพื่อวัตถุประสงค์ทางการตลาดได้ทุกเมื่อ

th32 ใช้มาตรการทางเทคนิคและการบริหารจัดการที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคลจากการสูญหาย การเข้าถึงโดยไม่ได้รับอนุญาต การเปิดเผย การแก้ไข หรือการทำลาย

มาตรการทางเทคนิค

• การเข้ารหัสข้อมูลด้วย SSL/TLS 256-bit สำหรับข้อมูลที่รับส่งทั้งหมด
• การเข้ารหัสข้อมูลที่จัดเก็บ (Encryption at Rest) สำหรับข้อมูลที่มีความอ่อนไหว
• ระบบไฟร์วอลล์และการตรวจจับการบุกรุก (IDS/IPS) หลายชั้น
• การยืนยันตัวตนสองขั้นตอน (2FA) สำหรับการเข้าถึงระบบภายใน
• การทำ Regular Security Audit และ Penetration Testing

มาตรการการบริหารจัดการ

• การจำกัดสิทธิ์การเข้าถึงข้อมูลตามหลัก Least Privilege
• การฝึกอบรมด้านความปลอดภัยของข้อมูลให้กับพนักงานทุกคน
• ขั้นตอนการตอบสนองต่อเหตุการณ์ละเมิดข้อมูล (Incident Response Plan)
• การตรวจสอบและประเมินความเสี่ยงด้านความปลอดภัยเป็นประจำ

แม้เราจะใช้มาตรการที่ดีที่สุดเท่าที่เป็นไปได้ แต่ไม่มีระบบใดที่ปลอดภัย 100% เราแนะนำให้ท่านรักษารหัสผ่านของตนเองอย่างเคร่งครัดและไม่แชร์ข้อมูลการเข้าสู่ระบบกับผู้อื่น

ในบางกรณี th32 อาจจำเป็นต้องโอนหรือประมวลผลข้อมูลส่วนบุคคลของท่านในต่างประเทศ เช่น การใช้บริการ Cloud Infrastructure ที่มีเซิร์ฟเวอร์ในหลายภูมิภาค

• th32 จะโอนข้อมูลไปยังประเทศที่มีมาตรฐานการคุ้มครองข้อมูลเพียงพอ หรือมีกลไกการคุ้มครองที่เหมาะสมเท่านั้น
• ในกรณีที่ประเทศปลายทางไม่มีมาตรฐานเพียงพอ เราจะใช้ข้อสัญญามาตรฐาน (Standard Contractual Clauses) หรือกลไกคุ้มครองอื่นที่ได้รับการยอมรับ
• ผู้รับข้อมูลในต่างประเทศทุกรายจะต้องลงนามในข้อตกลงการประมวลผลข้อมูลที่มีมาตรฐานเทียบเท่า PDPA

th32 ขอสงวนสิทธิ์ในการปรับปรุงนโยบายความเป็นส่วนตัวฉบับนี้เป็นครั้งคราว เพื่อให้สอดคล้องกับการเปลี่ยนแปลงของกฎหมาย เทคโนโลยี หรือแนวปฏิบัติทางธุรกิจ

• การเปลี่ยนแปลงที่มีนัยสำคัญจะแจ้งให้ท่านทราบล่วงหน้าอย่างน้อย 30 วัน ผ่านอีเมลที่ท่านลงทะเบียนไว้และประกาศบนเว็บไซต์
• วันที่อัปเดตล่าสุดจะแสดงไว้ที่ส่วนบนของเอกสารฉบับนี้เสมอ
• การใช้งานแพลตฟอร์มต่อเนื่องหลังจากวันที่การเปลี่ยนแปลงมีผลบังคับใช้ถือว่าท่านยอมรับนโยบายฉบับใหม่
• หากท่านไม่เห็นด้วยกับการเปลี่ยนแปลง ท่านมีสิทธิ์ปิดบัญชีและขอให้ลบข้อมูลของท่านก่อนวันที่นโยบายใหม่มีผลบังคับใช้
• นโยบายเวอร์ชันก่อนหน้าจะถูกเก็บรักษาไว้และท่านสามารถขอตรวจสอบได้หากต้องการ

หากท่านมีคำถาม ข้อสงสัย หรือต้องการใช้สิทธิ์ใดๆ ที่ระบุในนโยบายฉบับนี้ ท่านสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer — DPO) ของ th32 ได้ผ่านช่องทางต่อไปนี้

หากท่านเชื่อว่า th32 ไม่ได้ปฏิบัติตาม PDPA ท่านมีสิทธิ์ยื่นเรื่องร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ซึ่งเป็นหน่วยงานกำกับดูแลตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562