ประกาศความเป็นส่วนตัว (Privacy Notice)

1. บทนำและขอบเขตการบังคับใช้

กลุ่มบริษัท ASC Group ("บริษัท") ให้ความสำคัญสูงสุดต่อการคุ้มครองข้อมูลส่วนบุคคลของผู้ติดต่อ ผู้ใช้งาน และผู้มีอำนาจตัดสินใจขององค์กรลูกค้า ที่เข้ามาใช้บริการของบริษัท

ประกาศความเป็นส่วนตัวฉบับนี้อธิบายว่าบริษัทเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของท่าน (ในฐานะผู้ติดต่อหรือบุคลากรขององค์กรลูกค้า) อย่างไร ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

ประกาศนี้ครอบคลุมการให้บริการทั้งสามประเภท:

เจ้าของข้อมูลส่วนบุคคลตามประกาศฉบับนี้ คือ บุคคลธรรมดาที่ดำเนินการตามองค์กรลูกค้า ได้แก่ ผู้ติดต่อประสานงาน ผู้จัดการฝ่าย HR, IT หรือการจัดซื้อ ผู้มีอำนาจลงนาม และผู้ใช้งานบนแพลตฟอร์มของบริษัท

2. ผู้ควบคุมข้อมูลส่วนบุคคล

กลุ่มบริษัท ASC Group ประกอบด้วยนิติบุคคลดังต่อไปนี้ ซึ่งทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตามบริการที่ท่านใช้งาน:

• 1บริษัท แอดวานซ์ซิสเต็มส์คอนซัลติ้ง จำกัด (Advanced Systems Consulting Co., Ltd.)
• 2บริษัท แอดวานซ์เพอร์ซเนล แอนด์โซลูชั่น จำกัด (Advanced Personnel and Solution Co., Ltd.)
• 3บริษัท แอดวานซ์แอดมินิสเตรชั่น จำกัด (Advanced Administration Co., Ltd.)
• 4บริษัท เดอะวันจ็อบส์ จำกัด (The1Jobs Co., Ltd.)
• 5บริษัท แอดวานซ์ ไอเซอร์วิส จำกัด (Advanced iService Co., Ltd.)

แต่ละบริษัทในเครือดำเนินการเป็นผู้ควบคุมข้อมูลอิสระตามขอบเขตบริการของตน โดยมีเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ส่วนกลางทำหน้าที่ดูแลและประสานงานด้านการปฏิบัติตาม PDPA สำหรับทั้งกลุ่ม

3. ข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวม

บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลจากผู้ติดต่อและผู้ใช้งานขององค์กรลูกค้า ดังต่อไปนี้:

4. วัตถุประสงค์และฐานกฎหมายในการประมวลผล

บริษัทประมวลผลข้อมูลส่วนบุคคลของท่านตามวัตถุประสงค์และฐานกฎหมายดังต่อไปนี้:

5. การเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลภายนอก

บริษัทอาจเปิดเผยข้อมูลส่วนบุคคลของท่านต่อบุคคลหรือองค์กรภายนอกในกรณีต่อไปนี้เท่านั้น:

5.1 บริษัทในเครือ ASC Group

บริษัทในเครือที่เกี่ยวข้องกับการให้บริการตามสัญญา เพื่อส่งต่อการประสานงานระหว่างทีม ให้บริการมีประสิทธิภาพ โดยทุกบริษัทในเครืออยู่ภายใต้นโยบายคุ้มครองข้อมูลเดียวกัน

5.2 ผู้ให้บริการภายนอก (Processors)

• ผู้ให้บริการ Cloud Infrastructure (เช่น AWS, Microsoft Azure, Google Cloud, INET) สำหรับการจัดเก็บข้อมูลและประมวลผลระบบ
• ผู้ให้บริการระบบอีเมลและการสื่อสาร

ผู้ให้บริการทุกรายลงนามตามสัญญาประมวลผลข้อมูล (Data Processing Agreement — DPA) และต้องดำเนินการตามมาตรการความปลอดภัยที่บริษัทกำหนด

5.3 ที่ปรึกษาและผู้สอบบัญชี

ทนายความ ที่ปรึกษากฎหมาย และผู้สอบบัญชี เฉพาะเมื่อจำเป็นสำหรับการปฏิบัติตามกฎหมาย หรือการใช้สิทธิ์ทางกฎหมาย โดยอยู่ภายใต้ข้อตกลงรักษาความลับ

5.4 หน่วยงานราชการและกฎหมาย

บริษัทจะเปิดเผยข้อมูลต่อหน่วยงานรัฐ กรมสรรพากร กรมแรงงาน สำนักงาน PDPC หรือศาล เมื่อมีคำสั่งตามกฎหมายเท่านั้น

6. ระยะเวลาการเก็บรักษาข้อมูล

บริษัทจะเก็บรักษาข้อมูลส่วนบุคคลของท่านตามระยะเวลาดังต่อไปนี้ หรือตลอดกว่าวัตถุประสงค์การประมวลผลจะสิ้นสุด แล้วแต่กรณีจะนานกว่า:

เมื่อครบกำหนดระยะเวลา บริษัทจะลบหรือทำลายข้อมูลด้วยวิธีที่ปลอดภัย หรืออาจดำเนินการ Anonymization เพื่อใช้เพื่อการวิเคราะห์เชิงสถิติต่อไป

7. มาตรการรักษาความปลอดภัยของข้อมูล

บริษัทดำเนินมาตรการรักษาความปลอดภัยทั้งด้านเทคนิคและด้านองค์กร เพื่อคุ้มครองข้อมูลส่วนบุคคลของท่านจากการเข้าถึง การเปิดเผย การใช้ หรือการทำลายโดยไม่ได้รับอนุญาต

7.1 มาตรการด้านเทคนิค

• การเข้ารหัสข้อมูล (Encryption) ทั้งขณะส่งผ่าน (TLS/HTTPS) และขณะจัดเก็บ (AES-256)
• ระบบควบคุมการเข้าถึงตามบทบาทหน้าที่ (Role-Based Access Control — RBAC)
• การยืนยันตัวตนสองขั้น (Multi-Factor Authentication — MFA) สำหรับการเข้าถึงระบบสำคัญ
• ระบบ Firewall, Intrusion Detection System (IDS) และการตรวจสอบความปลอดภัยอย่างต่อเนื่อง
• การสำรองข้อมูล (Backup) และแผนฟื้นคืนระบบ (Disaster Recovery Plan)

7.2 มาตรการด้านองค์กร

• จำกัดการเข้าถึงข้อมูลเฉพาะบุคคลที่มีความจำเป็นตามหน้าที่งาน
• การอบรมพนักงานด้าน PDPA และความปลอดภัยข้อมูลเป็นประจำ
• นโยบายการจัดการข้อมูล การทำลายข้อมูล และการตอบสนองต่อเหตุการณ์รั่วไหล
• การตรวจสอบและประเมินความเสี่ยงด้านความปลอดภัยอย่างสม่ำเสมอตามมาตรฐาน ISO/IEC 27001

8. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ในฐานะเจ้าของข้อมูลส่วนบุคคล (ผู้ติดต่อหรือผู้ใช้งานตามองค์กรลูกค้า) ท่านมีสิทธิตาม PDPA ดังนี้:

ท่านสามารถใช้สิทธิ์ดังกล่าวโดยติดต่อบริษัทตามที่ระบุไว้ในข้อ 11 บริษัทจะดำเนินการตอบสนองคำร้องภายใน 30 วันนับจากวันที่ได้รับคำร้อง หากมีเหตุจำเป็นต้องขยายเวลา บริษัทจะแจ้งให้ท่านทราบล่วงหน้า

หมายเหตุ: สิทธิบางประการอาจถูกจำกัดตามกฎหมายที่เกี่ยวข้อง เช่น สิทธิลบข้อมูลอาจไม่สามารถใช้ได้หากบริษัทยังมีภาระผูกพันตามสัญญาหรือกฎหมายในการเก็บข้อมูลนั้น

9. การโอนข้อมูลต่างประเทศ

บริษัทอาจโอนข้อมูลส่วนบุคคลของท่านไปยังผู้ให้บริการ Cloud Infrastructure ที่มีเซิร์ฟเวอร์ตั้งอยู่ต่างประเทศ (เช่น สหรัฐอเมริกา สิงคโปร์ หรือสหภาพยุโรป) ซึ่งจำเป็นสำหรับการให้บริการแพลตฟอร์มออนไลน์

บริษัทดำเนินการโอนข้อมูลดังกล่าวโดยปฏิบัติตามมาตรา 28 แห่ง PDPA โดยตรวจสอบให้แน่ใจว่าประเทศหรือองค์กรผู้รับมีมาตรการคุ้มครองข้อมูลที่เพียงพอตามที่กฎหมายกำหนด หรือมีสัญญาประมวลผลข้อมูล (DPA) ที่มีมาตรฐานสากล (เช่น Standard Contractual Clauses)

10. การเปลี่ยนแปลงประกาศความเป็นส่วนตัว

บริษัทอาจปรับปรุงประกาศความเป็นส่วนตัวฉบับนี้เป็นครั้งคราว เพื่อให้สอดคล้องกับการเปลี่ยนแปลงทางกฎหมาย การปรับปรุงบริการ หรือแนวปฏิบัติที่ดีที่สุด

• เมื่อมีการเปลี่ยนแปลงที่มีนัยสำคัญ บริษัทจะแจ้งให้ท่านทราบทางอีเมลที่ท่านลงทะเบียนไว้ หรือประกาศบนเว็บไซต์และแพลตฟอร์มที่เกี่ยวข้อง ล่วงหน้าไม่น้อยกว่า 30 วัน
• การใช้บริการต่อภายหลังมีการเปลี่ยนแปลง ถือว่าท่านรับทราบและยอมรับการเปลี่ยนแปลงนั้น
• ท่านสามารถตรวจสอบประกาศฉบับล่าสุดได้ที่เว็บไซต์ของบริษัทหรือแพลตฟอร์มที่ท่านใช้งาน