บริษัท เอสบี ดีไซนด์สแควร์ จำกัด (“บริษัท”) รวมถึงกลุ่มบริษัท (ตามที่ได้ให้คำนิยามไว้ข้างล่าง) ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 จึงได้จัดทำนโยบายคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ขึ้น เพื่อแจ้งให้กรรมการ พนักงาน บุคลากรที่เกี่ยวข้องของบริษัททราบถึงรายละเอียดที่เกี่ยวข้องกับการเก็บรวบรวม ใช้ เปิดเผย ("ประมวลผล") ข้อมูลส่วนบุคคล รายละเอียดดังต่อไปนี้ 

ข้อ 1. ขอบเขตการใช้บังคับ 

            นโยบายคุ้มครองฉบับนี้ครอบคลุมการประมวลผลข้อมูลส่วนบุคคลทั้งหมดที่ดำเนินการโดยบริษัท รวมถึงบุคคลใด ๆ ซึ่งล่วงรู้ข้อมูลส่วนบุคคลเนื่องจากเกี่ยวข้องกับการดำเนินงานของบริษัท ซึ่งจะต้องปฏิบัติตามนโยบายฉบับนี้และตามหลักเกณฑ์ที่กฎหมายกำหนด 

ข้อ 2. คำนิยาม  

            “ผู้ควบคุมข้อมูลส่วนบุคคล” (Data Controller) หมายความว่า บุคคลหรือนิติบุคคลอื่นซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล 

            “ผู้ประมวลผลข้อมูลส่วนบุคคล” (Data Processor) หมายความว่า บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลที่ดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล 

            “ข้อมูลส่วนบุคคล” หมายความว่า ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ 

            “ข้อมูลส่วนบุคคลลักษณะพิเศษหรืออ่อนไหว” หมายความว่า ข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด 

“คุกกี้” (Cookies) หมายความว่า ไฟล์คอมพิวเตอร์ขนาดเล็ก ที่จะเก็บข้อมูลส่วนบุคคลชั่วคราวที่จำเป็นลงในเครื่องคอมพิวเตอร์ของเจ้าของข้อมูลส่วนบุคคล เพื่อความสะดวกและรวดเร็วในการติดต่อสื่อสารซึ่งจะมีผลในขณะที่เข้าใช้งานระบบเว็บไซต์เท่านั้น

            “เจ้าของข้อมูลส่วนบุคคล” (Data Subject) หมายความว่า บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล  

“กลุ่มบริษัท” หมายความว่า บริษัทและบริษัทย่อย

“บริษัทย่อย” หมายความว่า บริษัทซึ่งบริษัท

(1) ถือหุ้นที่มีสิทธิออกเสียงเกินกว่าร้อยละ 50 ของจำนวนสิทธิออกเสียงทั้งหมดของบริษัทนั้น ไม่ว่าโดยตรงหรือโดยอ้อม และ/หรือ

(2) มีอำนาจควบคุมคะแนนเสียงส่วนใหญ่ในที่ประชุมผู้ถือหุ้นของบริษัทนั้น ไม่ว่าโดยตรงหรือโดยอ้อม และ/หรือ

(3) มีอำนาจควบคุมการแต่งตั้งหรือถอดถอนกรรมการตั้งแต่กึ่งหนึ่งของกรรมการทั้งหมดไม่ว่าโดยตรงหรือโดยอ้อม

“ผู้บริหาร” หมายความว่า ประธานคณะผู้บริหาร กรรมการผู้จัดการ รองกรรมการผู้จัดการ ผู้บริหารสูงสุดของแต่ละกลุ่มธุรกิจ (Business Unit) และหน่วยงานสนับสนุน (Support Unit) ของบริษัทและ/หรือบริษัทย่อย

“พนักงาน” หมายความว่า ผู้บริหารและพนักงานที่ได้รับค่าจ้างเป็นรายเดือนและรายวันของบริษัท หรือบริษัทย่อย ไม่ว่าจะเป็นการว่าจ้างประจำหรือชั่วคราว หรือการว่าจ้างด้วยสัญญาพิเศษ

            "กฎหมายคุ้มครองข้อมูลส่วนบุคคล" หมายความว่า พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายลำดับรองที่เกี่ยวข้องทั้งหมด 

ข้อ 3. ข้อมูลส่วนบุคคลที่บริษัทประมวลผล

            บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง เช่น การติดต่อสื่อสาร การเสนอราคา การสรรหา การทำสัญญา เป็นต้น และเก็บรวบรวมจากแหล่งอื่น เช่น หน่วยงานของรัฐ พันธมิตรทางธุรกิจ บุคคลที่สาม เป็นต้น 

            1. ข้อมูลพื้นฐาน เช่น ชื่อ นามสกุล เพศ วันเดือนปีเกิด รูปภาพ ลายมือชื่อ ข้อมูลบัตรประชาชน ข้อมูลทะเบียนบ้าน ข้อมูลใบขับขี่ 

            2. ข้อมูลติดต่อ เช่น ที่อยู่ปัจจุบัน อีเมล เบอร์โทรศัพท์ ไลน์ไอดี  

            3. ข้อมูลการเงิน เช่น ข้อมูลบัญชีธนาคาร ข้อมูลการจ่ายเงินเดือน ข้อมูลสวัสดิการ 

            4. ข้อมูลอ่อนไหว เช่น ประวัติอาชญากรรม ข้อมูลสุขภาพ ข้อมูลชีวภาพ ข้อมูลศาสนา 

            5. ข้อมูลบุคคลที่สาม เช่น บุคคลอ้างอิง บุคคลติดต่อฉุกเฉิน สมาชิกในครอบครัว 

            6. ข้อมูลอื่น ๆ เช่น ข้อมูลคุกกี้ ข้อมูลการทำงาน ข้อมูลพฤติกรรม ข้อมูลทางเทคโนโลยี ข้อมูลทางการตลาด 

            กรณีบริษัทได้รับสำเนาบัตรประจำตัวประชาชนของท่าน เพื่อวัตถุประสงค์ในการพิสูจน์ตัวตน และ/หรือการทำธุรกรรมใด ๆ กับบริษัท ซึ่งอาจจะมีข้อมูลอ่อนไหว (เช่น ศาสนา หมู่โลหิต) อยู่ด้วย บริษัทไม่มีนโยบายจัดเก็บข้อมูลส่วนบุคคลดังกล่าวยกเว้นในกรณีที่บริษัทมีสิทธิตามกฎหมาย ทั้งนี้ บริษัทจะกำหนดวิธีการจัดการตามแนวทางปฏิบัติและเป็นไปตามที่กฎหมายอนุญาต 

ข้อ 4. หน้าที่ตามกฎหมายของบริษัท 

            4.1 บริษัทจะแจ้งประกาศความเป็นส่วนตัวให้แก่เจ้าของข้อมูลส่วนบุคคลทราบก่อนหรือในขณะที่จะเก็บรวบรวมข้อมูลส่วนบุคคล 

            4.2 บริษัทจะประมวลผลข้อมูลส่วนบุคคลตามวัตถุประสงค์ที่ได้แจ้งไว้และมีฐานทางกฎหมายรองรับตามกฎหมาย 

            4.3 บริษัทจะจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมเพื่อป้องกันเหตุการละเมิดข้อมูลส่วนบุคคลตามหลักเกณฑ์ที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด 

            4.4 บริษัทจะมีมาตรการเพื่อป้องกันมิให้บุคคลอื่นใช้หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ 

            4.5 บริษัทจะจัดให้มีระบบการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลนั้น 

            4.6 บริษัทจะจัดให้มีมาตรการเกี่ยวกับการแจ้งเหตุและจัดการเหตุละเมิดข้อมูลส่วนบุคคล 

            4.7 บริษัทจะจัดให้มีข้อตกลงการประมวลผลข้อมูลส่วนบุคคลกับผู้ประมวลผลข้อมูลส่วนบุคคล 

            4.8 บริษัทจะปฏิบัติหน้าที่อื่น ๆ ตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด 

5. บทบาทหน้าที่และความรับผิดชอบ 

            ผู้บริหารมีหน้าที่และความรับผิดชอบในการติดตามควบคุมให้ฝ่ายงานต่าง ๆ ปฏิบัติตามนโยบายฉบับนี้ อีกทั้งส่งเสริมความตระหนักรู้ให้กับพนักงานของบริษัท เพื่อทำให้การคุ้มครองข้อมูลส่วนบุคคลเป็นส่วนหนึ่งของการปฏิบัติงานของบริษัท  

            พนักงานของบริษัทมีหน้าที่และความรับผิดชอบในการปฏิบัติให้สอดคล้องกับนโยบาย กระบวนการทำงาน และกฎหมายคุ้มครองข้อมูลส่วนบุคคล

ข้อ 6. บทลงโทษ 

            ผู้บริหาร พนักงาน หรือผู้มีหน้าที่รับผิดชอบในการดำเนินงานเรื่องใดเรื่องหนึ่งตามหน้าที่ของตน หากละเลย หรือละเว้นไม่สั่งการ หรือไม่ดำเนินการ หรือสั่งการ หรือดำเนินการอย่างใดอย่างหนึ่งในหน้าที่ของตน อันเป็นการฝ่าฝืนนโยบายและแนวปฎิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล จนเป็นเหตุให้เกิดความผิดตามกฎหมาย และหรือความเสียหายขึ้น พนักงาน ผู้บริหาร และ/หรือผู้มีหน้าที่รับผิดชอบ ผู้นั้นต้องรับโทษทางวินัยตามระเบียบของบริษัท หรือมีหน้าที่รับผิดชอบการกระทำนั้นทางกฎหมายตามความผิดที่เกิดขึ้น ทั้งนี้ หากความผิดดังกล่าวก่อให้เกิดความเสียหายแก่บริษัท และหรือบุคคลอื่นใด บริษัทอาจพิจารณาดำเนินคดีตามกฎหมายต่อไป 

            

ทั้งนี้ ให้มีผลตั้งแต่วันที่ 6 มิถุนายน พ.ศ. 2568 เป็นต้นไป

 

ประกาศ ณ วันที่ 6 มิถุนายน พ.ศ. 2568