ประกาศความเป็นส่วนตัวและหนังสือขอความยินยอม

1เกี่ยวกับประกาศฉบับนี้

ประกาศฉบับนี้จัดทำขึ้นเพื่อแจ้งให้ท่านซึ่งเป็นพนักงานสัญญาจ้างที่ปฏิบัติงานภายใต้บริการด้านแรงงานของบริษัท พีอาร์ทีอาร์ กรุ๊ป จำกัด (มหาชน) และบริษัทในเครือ (“บริษัทฯ”) ทราบถึงรายละเอียดการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของท่าน และขอความยินยอมที่จำเป็นตามกฎหมาย ก่อนที่ท่านจะใช้งานระบบ “PRTR Sign” เพื่อยืนยันตัวตนและลงลายมือชื่ออิเล็กทรอนิกส์ในสัญญาจ้างงานหรือเอกสารที่เกี่ยวข้อง

เอกสารนี้ใช้หลักการแจ้งแบบเป็นชั้น (Layered Notice) ตามแนวปฏิบัติสากล กล่าวคือ ระบบ PRTR Sign จะแสดง “ข้อความสรุปแบบย่อ” บนหน้าจอในขั้นตอน Consent พร้อมลิงก์ให้เข้าถึง “ประกาศฉบับเต็ม” นี้ได้ตลอดเวลา เพื่อให้ท่านสามารถศึกษารายละเอียดครบถ้วนก่อนตัดสินใจให้ความยินยอม

ประกาศฉบับนี้มีผลใช้เมื่อท่านเข้าใช้งานระบบ PRTR Sign เป็นครั้งแรก หรือเมื่อบริษัทฯ มีการปรับปรุงประกาศอย่างมีนัยสำคัญ ตามที่ระบุในขั้นตอน “Consent” ของระบบ

2ผู้ควบคุมข้อมูลส่วนบุคคลและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller): บริษัท พีอาร์ทีอาร์ กรุ๊ป จำกัด (มหาชน) และบริษัทในเครือ

ที่อยู่: 2034/83 ถนนเพชรบุรีตัดใหม่ แขวงบางกะปิ เขตห้วยขวาง กรุงเทพมหานคร 10320

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) — อีเมล: DPO@prtr.com โทรศัพท์: 02-716-0000

ในบางกรณี บริษัทฯ อาจว่าจ้างผู้ให้บริการภายนอกให้ทำหน้าที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) เพื่อสนับสนุนการดำเนินการของระบบ PRTR Sign ซึ่งจัดเก็บและประมวลผลข้อมูลบนโครงสร้างพื้นฐาน Microsoft Azure ของบริษัทฯ เอง เช่น ผู้ให้บริการยืนยันตัวตน ผู้ให้บริการส่ง SMS/OTP (ThaiBulkSMS) ผู้ให้บริการส่งอีเมลแจ้งเตือน (SendGrid) และผู้ให้บริการสร้างเอกสาร PDF (ApiTemplate) โดยผู้ประมวลผลดังกล่าวต้องดำเนินการภายใต้ข้อตกลงประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) และตามคำสั่งของบริษัทฯ เท่านั้น

3หลักการคุ้มครองข้อมูลส่วนบุคคลที่บริษัทฯ ยึดถือ

บริษัทฯ ดำเนินการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของท่าน โดยยึดหลักการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายไทยและแนวปฏิบัติที่เป็นมาตรฐานสากล ดังนี้

• ความชอบด้วยกฎหมาย ความเป็นธรรม และความโปร่งใส (Lawfulness, Fairness & Transparency)
• การจำกัดวัตถุประสงค์ (Purpose Limitation) — ใช้ข้อมูลเฉพาะตามวัตถุประสงค์ที่แจ้งไว้เท่านั้น
• การเก็บรวบรวมข้อมูลเท่าที่จำเป็น (Data Minimization)
• ความถูกต้องของข้อมูล (Accuracy)
• การจำกัดระยะเวลาจัดเก็บ (Storage Limitation)
• ความมั่นคงปลอดภัยและการรักษาความลับของข้อมูล (Integrity & Confidentiality)
• ความรับผิดชอบและตรวจสอบได้ (Accountability)

4ข้อมูลส่วนบุคคลที่เก็บรวบรวม แหล่งที่มา วัตถุประสงค์ ฐานกฎหมาย ระยะเวลาจัดเก็บ และผู้รับข้อมูล

ตารางแสดงประเภทข้อมูล แหล่งที่มา วัตถุประสงค์ และรายละเอียดที่กฎหมายกำหนดให้ต้องแจ้ง (มาตรา 23 แห่ง PDPA) ไว้ในตารางเดียว

5ฐานทางกฎหมายในการประมวลผลข้อมูลส่วนบุคคล

บริษัทฯ อาศัยฐานทางกฎหมายดังต่อไปนี้ในการประมวลผลข้อมูลส่วนบุคคลของท่าน ขึ้นอยู่กับประเภทข้อมูลและวัตถุประสงค์ (ดูรายละเอียดในตารางข้อ 4)

• ความจำเป็นเพื่อการปฏิบัติตามสัญญา หรือเพื่อดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญา (Contractual Necessity) ตามมาตรา 24
• ความจำเป็นเพื่อปฏิบัติตามกฎหมาย (Legal Obligation) ตามมาตรา 24 เช่น พ.ร.บ. ธุรกรรมทางอิเล็กทรอนิกส์ กฎหมายแรงงาน กฎหมายภาษีอากร
• ประโยชน์โดยชอบด้วยกฎหมายของบริษัทฯ (Legitimate Interest) ตามมาตรา 24 เช่น การรักษาความมั่นคงปลอดภัยของระบบและการป้องกันการทุจริต โดยไม่กระทบสิทธิขั้นพื้นฐานของท่านเกินสมควร

6การเปิดเผยข้อมูลส่วนบุคคลและผู้รับข้อมูล

บริษัทฯ อาจเปิดเผยหรือส่งต่อข้อมูลส่วนบุคคลของท่านให้แก่ผู้รับข้อมูลในหมวดหมู่ต่อไปนี้ เพื่อวัตถุประสงค์ตามข้อ 4 เท่านั้น

• ผู้ให้บริการระบบยืนยันตัวตนที่บริษัทฯ มอบหมาย
• ผู้ให้บริการส่งข้อความ SMS และรหัส OTP ที่บริษัทฯ มอบหมาย (ThaiBulkSMS)
• ผู้ให้บริการระบบลงลายมือชื่ออิเล็กทรอนิกส์และจัดเก็บเอกสาร (ระบบ PRTR Sign บน Microsoft Azure)
• ผู้ให้บริการส่งอีเมลแจ้งเตือน (SendGrid) — เซิร์ฟเวอร์ตั้งอยู่นอกราชอาณาจักรไทย (ดูรายละเอียดข้อ 7)
• ผู้ให้บริการสร้างเอกสาร PDF จากข้อมูลสัญญา (ApiTemplate) — เซิร์ฟเวอร์ตั้งอยู่นอกราชอาณาจักรไทย (ดูรายละเอียดข้อ 7)
• ระบบทรัพยากรบุคคลต้นทาง (IPOP) ในกรณีที่ต้องส่งสถานะหรือเอกสารที่ดำเนินการเสร็จสิ้นกลับไปยังระบบดังกล่าว
• หน่วยงานราชการ ศาล หรือหน่วยงานกำกับดูแล ในกรณีที่กฎหมายกำหนดหรืออนุญาตให้เปิดเผยได้

ผู้รับข้อมูลทุกรายมีหน้าที่รักษาความลับและความมั่นคงปลอดภัยของข้อมูลไม่ต่ำกว่ามาตรฐานที่บริษัทฯ กำหนด ภายใต้ข้อตกลงประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) และห้ามนำข้อมูลไปใช้เพื่อวัตถุประสงค์อื่นนอกเหนือจากที่บริษัทฯ มอบหมาย บริษัทฯ จะไม่เปิดเผยข้อมูลส่วนบุคคลของท่านให้แก่บุคคลอื่นใดนอกเหนือจากที่ระบุไว้ เว้นแต่ได้รับความยินยอมเพิ่มเติมจากท่าน หรือเป็นกรณีที่กฎหมายกำหนด

7การโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

บริษัทฯ อาจมีความจำเป็นต้องโอนหรือเปิดเผยข้อมูลส่วนบุคคลของท่านไปยังผู้ให้บริการภายนอกที่บริษัทฯ ใช้ในการให้บริการระบบ Document Sign และการจัดทำเอกสารอิเล็กทรอนิกส์ ซึ่งอาจมีการประมวลผลหรือจัดเก็บข้อมูลบนเซิร์ฟเวอร์ที่ตั้งอยู่ในต่างประเทศ ดังนี้

• Microsoft Azure สำหรับการให้บริการโครงสร้างพื้นฐานของระบบ
• SendGrid สำหรับการจัดส่งอีเมลแจ้งเตือนและการสื่อสารทางอีเมล โดยข้อมูลอาจได้รับการประมวลผลบนเซิร์ฟเวอร์ที่ตั้งอยู่ในประเทศสหรัฐอเมริกา
• APITemplate.io สำหรับการสร้างเอกสาร PDF โดยข้อมูลอาจได้รับการประมวลผลหรือจัดเก็บบนเซิร์ฟเวอร์ในประเทศสิงคโปร์

ข้อมูลส่วนบุคคลที่อาจมีการโอนไปยังผู้ให้บริการดังกล่าวจะเป็นเท่าที่จำเป็นต่อการให้บริการ เช่น ชื่อ-นามสกุล รหัสพนักงาน เลขประจำตัวประชาชน ข้อมูลเกี่ยวกับผู้รับผลประโยชน์ ข้อมูลประกันสังคม และข้อมูลอื่นที่จำเป็นสำหรับการสร้างเอกสารหรือการจัดส่งอีเมล ทั้งนี้ ข้อมูลที่ส่งไปยังผู้ให้บริการแต่ละรายจะขึ้นอยู่กับประเภทของเอกสารหรือบริการที่ใช้งาน

บริษัทฯ จะดำเนินการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศโดยปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และจะกำหนดให้ผู้รับข้อมูลมีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลในระดับที่เหมาะสม รวมถึงดำเนินมาตรการทางสัญญาหรือมาตรการอื่นตามที่กฎหมายกำหนด เพื่อให้ข้อมูลส่วนบุคคลของท่านได้รับความคุ้มครองอย่างเพียงพอตลอดระยะเวลาที่มีการประมวลผลข้อมูล

8ระยะเวลาในการจัดเก็บข้อมูลส่วนบุคคล

บริษัทฯ จะจัดเก็บข้อมูลส่วนบุคคลของท่านไว้ตราบเท่าที่จำเป็นตามวัตถุประสงค์ที่แจ้งไว้เท่านั้น โดยหลักเกณฑ์ทั่วไป คือ ตลอดระยะเวลาที่ท่านมีสถานะเป็นพนักงานสัญญาจ้าง และเก็บรักษาต่อไปอีกไม่เกิน 10 ปี นับแต่วันที่พ้นสภาพการเป็นพนักงาน เพื่อรองรับการตรวจสอบ การพิสูจน์สิทธิ และการดำเนินคดีตามอายุความที่กฎหมายกำหนด (ดูระยะเวลาเฉพาะของข้อมูลแต่ละประเภทในตารางข้อ 4) เมื่อครบกำหนดระยะเวลาดังกล่าว บริษัทฯ จะลบหรือทำลายข้อมูลส่วนบุคคลของท่านตามมาตรการที่กำหนดไว้ในนโยบายการคุ้มครองข้อมูลส่วนบุคคล (PDPA) ของบริษัทฯ ทั้งนี้ ระยะเวลาที่ระบุข้างต้นเป็นนโยบายการจัดเก็บของบริษัทฯ ปัจจุบันกลไกการลบ/ทำลายข้อมูลโดยอัตโนมัติของระบบยังอยู่ระหว่างการพัฒนา บริษัทฯ จะดำเนินการลบหรือทำลายข้อมูลด้วยกระบวนการที่มีอยู่จนกว่ากลไกอัตโนมัติดังกล่าวจะแล้วเสร็จ

9มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

บริษัทฯ จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม สอดคล้องกับนโยบายการรักษาความปลอดภัยด้านเทคโนโลยีสารสนเทศของบริษัทฯ ซึ่งรวมถึงแต่ไม่จำกัดเพียง

• การควบคุมการเข้าถึงข้อมูลและการยืนยันตัวตนแบบหลายขั้นตอน (Multi-Factor Authentication) ผ่านกระบวนการ Verify-ID และ Verify-OTP โดยรหัส OTP จัดเก็บในรูปแบบ hash และมีการปกปิด (mask) บางส่วนของหมายเลขโทรศัพท์ที่แสดงผล
• การเข้ารหัสข้อมูลระหว่างการส่งและการจัดเก็บ (Encryption in transit and at rest)
• การบันทึกและตรวจสอบกิจกรรมการใช้งานระบบ (Audit Log)
• กระบวนการบริหารจัดการเหตุการณ์ความมั่นคงปลอดภัยสารสนเทศ (Incident Management) และการตอบสนองต่อเหตุการณ์ผิดปกติ
• การประเมินและตรวจสอบผู้ให้บริการภายนอกเป็นประจำ (Third-Party Risk Assessment) ก่อนและระหว่างการใช้บริการ

10การประมวลผลข้อมูลโดยอัตโนมัติและการทำโปรไฟล์

บริษัทฯ ไม่มีการใช้ข้อมูลส่วนบุคคลของท่านในการประมวลผลโดยอัตโนมัติเพื่อจัดทำโปรไฟล์ หรือเพื่อตัดสินใจใด ๆ ที่มีผลกระทบอย่างมีนัยสำคัญต่อท่าน โดยปราศจากการพิจารณาจากบุคคล ทั้งนี้ ระบบใช้การตรวจสอบเลขประจำตัวประชาชน/Passport ที่ท่านกรอกกับข้อมูลในระบบทรัพยากรบุคคล (HRIS) และการยืนยันรหัส OTP เพื่อสนับสนุนกระบวนการยืนยันตัวตนก่อนการลงนามเท่านั้น หากท่านไม่เห็นด้วยกับผลการยืนยันตัวตนทางอัตโนมัติ ท่านสามารถติดต่อฝ่ายทรัพยากรบุคคลเพื่อดำเนินการยืนยันตัวตนด้วยวิธีอื่นได้

11สิทธิของเจ้าของข้อมูลส่วนบุคคล

ท่านมีสิทธิตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังต่อไปนี้

• สิทธิได้รับการแจ้งรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล (มาตรา 23) — ซึ่งเป็นที่มาของประกาศฉบับนี้
• สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของท่าน (มาตรา 30)
• สิทธิขอรับหรือขอให้โอนย้ายข้อมูลส่วนบุคคลไปยังผู้ควบคุมข้อมูลรายอื่น ในกรณีที่สามารถทำได้ด้วยวิธีการอัตโนมัติ (มาตรา 31)
• สิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล (มาตรา 32)
• สิทธิขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลไม่สามารถระบุตัวบุคคลได้ เมื่อพ้นความจำเป็นในการเก็บรักษา (มาตรา 33)
• สิทธิขอให้ระงับการใช้ข้อมูลส่วนบุคคลในบางกรณี (มาตรา 34)
• สิทธิขอให้แก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด (มาตรา 35-36)
• สิทธิขอถอนความยินยอมเมื่อใดก็ได้ตลอดระยะเวลาที่ข้อมูลของท่านอยู่กับบริษัทฯ (มาตรา 19) — โปรดดูรายละเอียดในข้อ 13
• สิทธิร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากเห็นว่าบริษัทฯ ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล (มาตรา 73)

ท่านสามารถใช้สิทธิดังกล่าวได้โดยติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ ตามช่องทางที่ระบุไว้ในข้อ 2 และข้อ 17 ทั้งนี้ สิทธิบางประการอาจถูกจำกัดตามที่กฎหมายกำหนด

12ผลของการไม่ให้ความยินยอมหรือไม่รับทราบประกาศ

การรับทราบประกาศฉบับนี้และการให้ความยินยอมในส่วนที่กฎหมายกำหนดให้ต้องขอความยินยอม เป็นเงื่อนไขที่จำเป็นสำหรับการใช้งานระบบ PRTR Sign หากท่านไม่ดำเนินการดังกล่าว ท่านจะไม่สามารถดำเนินการขั้นตอนต่อไปในระบบได้ ซึ่งรวมถึงการลงลายมือชื่ออิเล็กทรอนิกส์ในสัญญาจ้างงาน ทั้งนี้ บริษัทฯ จะแจ้งช่องทางหรือวิธีการอื่นในการลงนามสัญญาจ้างงาน เช่น การลงนามในรูปแบบเอกสารกระดาษ เพื่อไม่ให้กระทบต่อสิทธิของท่านในการเข้าทำสัญญาจ้างงานกับบริษัทฯ

13การถอนความยินยอม

ท่านมีสิทธิถอนความยินยอมที่ให้ไว้ได้ทุกเมื่อโดยง่าย เช่นเดียวกับตอนที่ให้ความยินยอม โดยติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของบริษัทฯ ตามช่องทางที่ระบุไว้ในข้อ 2 ทั้งนี้ การถอนความยินยอมจะไม่ส่งผลกระทบต่อความสมบูรณ์และผลผูกพันทางกฎหมายของการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล และการลงลายมือชื่ออิเล็กทรอนิกส์ที่ได้ดำเนินการไปแล้วโดยชอบก่อนการถอนความยินยอม และอาจมีข้อจำกัดสิทธิในการถอนความยินยอมตามที่กฎหมายหรือสัญญากำหนด

14ความยินยอมเกี่ยวกับการลงลายมือชื่ออิเล็กทรอนิกส์ (Electronic Signature Consent)

• การยืนยันตัวตนของท่านผ่านขั้นตอน Verify-ID และ Verify-OTP ถือเป็นวิธีการที่น่าเชื่อถือในการระบุและยืนยันตัวท่านในฐานะผู้ลงลายมือชื่อ
• การลงลายมือชื่ออิเล็กทรอนิกส์ของท่านผ่านระบบ PRTR Sign มีผลผูกพันทางกฎหมายเช่นเดียวกับการลงลายมือชื่อในเอกสารกระดาษ ตามพระราชบัญญัติว่าด้วยธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2544 และที่แก้ไขเพิ่มเติม
• เอกสารสัญญาที่ลงลายมือชื่ออิเล็กทรอนิกส์แล้ว บริษัทฯ จะจัดเก็บในรูปแบบข้อมูลอิเล็กทรอนิกส์ และท่านสามารถขอรับสำเนาได้ตามสิทธิในข้อ 11
• ท่านตกลงจะไม่ปฏิเสธผลผูกพันทางกฎหมายของสัญญาที่ลงลายมือชื่อผ่านระบบดังกล่าว โดยยกเหตุเพียงว่าเป็นการลงลายมือชื่อในรูปแบบอิเล็กทรอนิกส์

15การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

ในกรณีที่เกิดเหตุการละเมิดข้อมูลส่วนบุคคลของท่านอันมีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของท่าน บริษัทฯ จะแจ้งเหตุดังกล่าวต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายในระยะเวลาที่กฎหมายกำหนด และจะแจ้งให้ท่านทราบพร้อมมาตรการเยียวยาในกรณีที่การละเมิดมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของท่าน

16การเปลี่ยนแปลงประกาศฉบับนี้

บริษัทฯ อาจปรับปรุงหรือแก้ไขประกาศฉบับนี้เป็นครั้งคราว เพื่อให้สอดคล้องกับการเปลี่ยนแปลงของกฎหมายหรือการดำเนินธุรกิจของบริษัทฯ ในกรณีที่มีการเปลี่ยนแปลงที่มีนัยสำคัญ ระบบ PRTR Sign จะแสดงข้อความสรุปฉบับปรับปรุงให้ท่านพิจารณาและให้ความยินยอมใหม่อีกครั้งก่อนดำเนินการขั้นตอนถัดไป โดยจะมีการบันทึกเวอร์ชันและวันที่ท่านรับทราบ/ยินยอมไว้เป็นหลักฐานเสมอ

17ช่องทางการติดต่อและการร้องเรียน

หากท่านมีข้อสงสัยเกี่ยวกับประกาศฉบับนี้ หรือต้องการใช้สิทธิของท่านตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล กรุณาติดต่อ

หากท่านเห็นว่าบริษัทฯ ไม่ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ท่านมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ได้ตามมาตรา 73 แห่ง PDPA