นโยบายความเป็นส่วนตัว

นโยบายนี้อธิบายว่าระบบ M23 Solutions เก็บและใช้ข้อมูลส่วนบุคคลอย่างไร ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

1. ผู้ให้บริการและบทบาทตามกฎหมาย

ผู้ให้บริการระบบคือ นายชยุต กลมเหลี่ยม (บุคคลธรรมดา) ที่อยู่ 117 หมู่ 2 ตำบลแม่กาษา อำเภอแม่สอด จังหวัดตาก 63110

• ข้อมูลที่บริษัทลูกค้าบันทึกเข้าระบบ (บัญชีพนักงาน เอกสารคลัง ฯลฯ) — บริษัทลูกค้าที่ท่านสังกัดเป็น ผู้ควบคุมข้อมูลส่วนบุคคล ส่วนผู้ให้บริการเป็น ผู้ประมวลผลข้อมูลส่วนบุคคล ที่ทำตามคำสั่งของบริษัทลูกค้าภายใต้ข้อตกลงการประมวลผลข้อมูล
• ข้อมูลผู้ติดต่อของบริษัทลูกค้าและข้อมูลการเรียกเก็บเงิน — ผู้ให้บริการเป็นผู้ควบคุมข้อมูลเอง

หากท่านเป็นพนักงานของบริษัทลูกค้าและต้องการใช้สิทธิเกี่ยวกับข้อมูลของท่าน ให้ติดต่อผู้ดูแลระบบ (ADMIN) ของบริษัทท่านเป็นลำดับแรก

2. ข้อมูลที่ระบบเก็บ

ระบบไม่เก็บข้อมูลอ่อนไหวตามมาตรา 26 (เช่น เชื้อชาติ ศาสนา ข้อมูลสุขภาพ ข้อมูลชีวมิติ) ไม่มีเครื่องมือติดตามพฤติกรรมหรือโฆษณา ของบุคคลที่สาม และไม่ขายหรือแลกเปลี่ยนข้อมูลกับผู้ใด

3. คุกกี้และการจัดเก็บข้อมูลในอุปกรณ์

ระบบใช้คุกกี้ของตัวเองเท่านั้น และทุกตัวเป็นคุกกี้ที่จำเป็นต่อการให้บริการหรือเป็นความสะดวกที่ผู้ใช้เลือกเองไม่มีคุกกี้เพื่อการวิเคราะห์ การโฆษณา หรือการติดตามพฤติกรรม และไม่มีคุกกี้ของบุคคลที่สามด้วยเหตุนี้ระบบจึงไม่แสดงแถบขอความยินยอมคุกกี้ เพราะคุกกี้ที่จำเป็นต่อบริการซึ่งผู้ใช้ร้องขอเองไม่ต้องขอความยินยอมล่วงหน้า

คุกกี้ทุกตัวข้างต้นตั้งค่าเป็น HttpOnly และ SameSite=Lax และส่งผ่านการเชื่อมต่อที่เข้ารหัสเท่านั้น สคริปต์ในหน้าเว็บจึงอ่านค่าไม่ได้

นอกจากคุกกี้ ระบบยังเก็บค่าความสะดวกในการแสดงผลไว้ในเบราว์เซอร์ของท่านเอง (localStorage) ได้แก่ ความกว้างคอลัมน์ที่ปรับไว้ แท็บที่เปิดล่าสุดในทะเบียนข้อมูล รูปแบบการแสดงรายการสาขา การเปิด-ปิดเสียงแจ้งเตือนคิวพิมพ์ และเวลาที่ใช้งานล่าสุดสำหรับล็อกหน้าจออัตโนมัติเมื่อไม่มีการใช้งานข้อมูลกลุ่มนี้อยู่ในเครื่องของท่านเท่านั้น ไม่ถูกส่งมายังเซิร์ฟเวอร์ และลบได้ด้วยการล้างข้อมูลเว็บไซต์ในเบราว์เซอร์

ท่านปฏิเสธหรือลบคุกกี้ได้จากการตั้งค่าเบราว์เซอร์ แต่การปิดคุกกี้เซสชันจะทำให้เข้าสู่ระบบไม่ได้ หากในอนาคตผู้ให้บริการเพิ่มคุกกี้ประเภทวิเคราะห์การใช้งานหรือการตลาดจะขอความยินยอมจากท่านก่อนเสมอ โดยต้องปฏิเสธได้จริงและไม่กระทบการใช้งานระบบ

4. ฐานทางกฎหมายในการประมวลผล

• ความจำเป็นตามสัญญา — เพื่อให้บริการระบบตามสัญญาที่ทำกับบริษัทลูกค้า
• ประโยชน์โดยชอบด้วยกฎหมาย — การเก็บร่องรอยการทำรายการเพื่อความถูกต้องของสต็อกและการตรวจสอบภายใน รวมถึงการรักษาความปลอดภัยของระบบ
• การปฏิบัติตามกฎหมาย — เอกสารทางบัญชี/ภาษีที่กฎหมายกำหนดให้เก็บรักษา

5. สถานที่เก็บข้อมูลและการส่งข้อมูลไปต่างประเทศ

ระบบทำงานบนผู้ให้บริการคลาวด์ที่ตั้งเซิร์ฟเวอร์อยู่ที่ ประเทศสิงคโปร์ ข้อมูลจึงถูกจัดเก็บและประมวลผลนอกราชอาณาจักร ซึ่งเป็นการส่งข้อมูลไปต่างประเทศตามมาตรา 28–29 โดยผู้ให้บริการช่วงมีมาตรการคุ้มครองข้อมูลตามมาตรฐานสากลและมีข้อสัญญาคุ้มครองข้อมูลกับผู้ให้บริการระบบ

6. ผู้ให้บริการช่วง (Subprocessors)

• Supabase — ฐานข้อมูล ระบบยืนยันตัวตน และพื้นที่เก็บไฟล์ (สิงคโปร์)
• Vercel — โฮสต์ตัวเว็บแอปพลิเคชัน (ประมวลผลที่สิงคโปร์)
• Zoho Mail — ผู้ให้บริการส่งอีเมลของระบบ ใช้เฉพาะอีเมลยืนยันการสมัครและอีเมลตั้ง/รีเซ็ตรหัสผ่าน

หากมีการเปลี่ยนแปลงผู้ให้บริการช่วง ผู้ให้บริการจะแจ้งบริษัทลูกค้าล่วงหน้าตามที่ระบุในข้อตกลงการประมวลผลข้อมูล

7. ระยะเวลาเก็บรักษาและการลบข้อมูล

• บันทึกการเข้าสู่ระบบ (รวมหมายเลขไอพี) เก็บไว้ไม่เกิน 12 เดือน แล้วลบทิ้ง — เก็บเท่าที่จำเป็นต่อการตรวจสอบความปลอดภัยย้อนหลัง ไม่ได้เก็บไว้ตลอดอายุสัญญาเหมือนข้อมูลการดำเนินงาน
• ข้อมูลจะถูกเก็บตลอดระยะเวลาที่บริษัทลูกค้ายังใช้บริการอยู่
• เมื่อสิ้นสุดสัญญา บริษัทลูกค้าขอส่งออกข้อมูลของตนได้ และข้อมูลจะถูกลบตามระยะเวลาที่กำหนดไว้ในสัญญาบริการ
• บัญชีพนักงานที่ถูกลบจะไม่สามารถเข้าสู่ระบบได้อีก แต่ชื่อผู้ทำรายการที่ปรากฏในเอกสารและร่องรอยการทำรายการเดิมจะยังคงอยู่ เพื่อรักษาความครบถ้วนของหลักฐานทางบัญชีคลัง

8. มาตรการรักษาความปลอดภัย

• เชื่อมต่อผ่าน HTTPS ทั้งหมด
• รหัสผ่านถูกเข้ารหัสทางเดียวโดยระบบยืนยันตัวตนของ Supabase ผู้ให้บริการไม่สามารถอ่านรหัสผ่านของผู้ใช้ได้
• แยกข้อมูลระหว่างบริษัทลูกค้าด้วย Row Level Security ที่ระดับฐานข้อมูล ไม่ใช่แค่การซ่อนเมนูบนหน้าจอ
• กำหนดสิทธิ์ตามบทบาทและสาขา และบังคับใช้ที่ฐานข้อมูลทุกครั้ง
• กุญแจสิทธิ์สูงสุดของฐานข้อมูลไม่ถูกส่งออกไปยังเบราว์เซอร์ผู้ใช้
• เจ้าหน้าที่ของผู้ให้บริการเข้าถึงข้อมูลของบริษัทลูกค้าได้เท่าที่จำเป็นเพื่อสนับสนุนการใช้งานตามที่ระบุในสัญญาเท่านั้น

9. เหตุละเมิดข้อมูลส่วนบุคคล

หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล ผู้ให้บริการจะแจ้งบริษัทลูกค้าโดยไม่ชักช้า พร้อมข้อมูลที่จำเป็นต่อการแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง

10. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ท่านมีสิทธิตามหมวด 3 ของ PDPA ได้แก่ สิทธิขอเข้าถึงและขอสำเนา ขอแก้ไขให้ถูกต้อง ขอลบหรือทำลาย ขอระงับการใช้ คัดค้านการประมวลผล ขอให้โอนย้ายข้อมูล ถอนความยินยอม และร้องเรียนต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

เนื่องจากข้อมูลในระบบอยู่ภายใต้การควบคุมของบริษัทลูกค้าที่ท่านสังกัด คำขอใช้สิทธิควรยื่นต่อบริษัทของท่านโดยตรง หากท่านยื่นคำขอมาที่ผู้ให้บริการ เราจะส่งต่อให้บริษัทลูกค้าที่เกี่ยวข้องและดำเนินการตามคำสั่งของบริษัทนั้น

11. การเปลี่ยนแปลงนโยบาย

ผู้ให้บริการอาจปรับปรุงนโยบายนี้ตามการเปลี่ยนแปลงของระบบหรือกฎหมาย โดยจะประกาศฉบับล่าสุดไว้ที่หน้านี้พร้อมวันที่ปรับปรุง

12. ติดต่อ

คำถามเกี่ยวกับนโยบายนี้หรือการใช้สิทธิ ติดต่อ นายชยุต กลมเหลี่ยม (บุคคลธรรมดา) อีเมล contact@m23solutions.com

13. ภาษาที่ใช้บังคับ

นโยบายฉบับนี้จัดทำเป็นภาษาไทยและมีฉบับแปลภาษาอังกฤษไว้เพื่อความเข้าใจให้ถือฉบับภาษาไทยเป็นฉบับที่มีผลผูกพัน หากข้อความสองฉบับขัดกันให้ยึดฉบับภาษาไทย