นโยบายคุ้มครองข้อมูลส่วนบุคคล

บทนำ

นโยบายฉบับนี้จัดทำขึ้นเพื่อกำหนดหลักการและแนวทางในการคุ้มครองข้อมูลส่วนบุคคลของบริษัท กรีนแคปปิตอล จำกัด และบริษัทย่อย (รวมเรียกว่า “บริษัท”) เพื่อให้การดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลเป็นไปตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล และสอดคล้องกับหลักการกำกับดูแลกิจการที่ดี

บริษัทตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลและเคารพสิทธิความเป็นส่วนตัวของบุคคลซึ่งข้อมูลส่วนบุคคลได้รับการประมวลผล โดยมุ่งมั่นดำเนินธุรกิจภายใต้หลักธรรมาภิบาล ความโปร่งใส และความรับผิดชอบต่อผู้มีส่วนได้เสีย รวมถึงปฏิบัติตามกฎหมายที่เกี่ยวข้องอย่างเคร่งครัด

วัตถุประสงค์

• เพื่อกำหนดหลักการ แนวทาง และมาตรฐานขั้นต่ำในการคุ้มครองข้อมูลส่วนบุคคลของบริษัท
• เพื่อให้การเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลเป็นไปโดยชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส
• เพื่อสนับสนุนการกำกับดูแลด้านการคุ้มครองข้อมูลส่วนบุคคล และส่งเสริมการบริหารจัดการข้อมูลส่วนบุคคลอย่างเหมาะสมในระดับกลุ่มบริษัท
• เพื่อคุ้มครองสิทธิของเจ้าของข้อมูลส่วนบุคคล และสร้างความเชื่อมั่นแก่ผู้มีส่วนได้เสียในการดำเนินธุรกิจของบริษัท

ขอบเขตการบังคับใช้

นโยบายฉบับนี้ใช้บังคับกับกรรมการ ผู้บริหาร พนักงาน และบุคคลซึ่งปฏิบัติงานแทนหรือในนามของบริษัท ในการเก็บรวบรวม การใช้ และการเปิดเผยข้อมูลส่วนบุคคล โดยเป็นนโยบายหลักของบริษัท ซึ่งกำหนดมาตรฐานขั้นต่ำในการคุ้มครองข้อมูลส่วนบุคคล และให้บริษัทนำไปปรับใช้ให้เหมาะสมกับบทบาทและลักษณะการดำเนินธุรกิจของตนเอง

คำนิยาม

• บริษัทย่อย หมายถึง บริษัทที่อยู่ภายใต้การบริหารจัดการของบริษัท กรีนแคปปิตอล จำกัด ได้แก่ บริษัท ชัยพัฒนาขนส่งเชียงใหม่ จำกัด, บริษัท แฟร์ แฟร์ จำกัด, บริษัท โชครุ่งทวีทัวร์ จำกัด, บริษัท ไทยพัฒนกิจขนส่ง จำกัด และนิติบุคคลอื่นใดที่จะจดทะเบียนจัดตั้งขึ้นในภายภาคหน้า
• ข้อมูลส่วนบุคคล หมายถึง ข้อมูลที่สามารถระบุตัวบุคคลได้ ไม่ว่าทางตรงหรือทางอ้อม ไม่รวมถึงข้อมูลของผู้ที่ถึงแก่กรรมโดยเฉพาะ
• เจ้าของข้อมูลส่วนบุคคล (Data Subject) หมายถึง บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคล
• ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) หมายถึง บุคคลหรือนิติบุคคลอื่นซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
• ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้ บุคคลหรือนิติบุคคลที่ดำเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล
• การประมวลผลข้อมูล หมายถึง การเก็บรวบรวม ใช้ เปิดเผย หรือดำเนินการใด ๆ ต่อข้อมูลส่วนบุคคล
• บุคคลลักษณะพิเศษ หมายถึง บุคคลซึ่งมีข้อจำกัดด้านความสามารถในการให้ความยินยอมตามกฎหมาย หรือบุคคลซึ่งจำเป็นต้องมีผู้แทนโดยชอบธรรม ผู้พิทักษ์ หรือผู้อนุบาลในการให้ความยินยอมตามกฎหมาย
• คุกกี้ (Cookies) หมายถึง ไฟล์ข้อมูลขนาดเล็กที่ถูกจัดเก็บไว้ในอุปกรณ์ของผู้ใช้งานเมื่อมีการเข้าใช้งานเว็บไซต์ เพื่อช่วยจดจำข้อมูลการใช้งานหรือปรับปรุงประสบการณ์การใช้งานของผู้ใช้
• กฎหมายคุ้มครองข้อมูลส่วนบุคคล หมายถึง พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายลำดับรองที่เกี่ยวข้องทั้งหมด
• เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer : DPO) หมายถึง ผู้ที่บริษัทแต่งตั้งขึ้นเพื่อดูแล ตรวจสอบ และให้คำปรึกษาเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลให้สอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล

หลักการคุ้มครองข้อมูลส่วนบุคคล

บริษัทดำเนินการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลโดยยึดถือหลักการดังต่อไปนี้

• การประมวลผลข้อมูลส่วนบุคคลต้องเป็นไปโดยชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส
• การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลต้องมีวัตถุประสงค์ที่ชัดเจนและจำกัดอยู่เท่าที่จำเป็น
• ข้อมูลส่วนบุคคลต้องมีความถูกต้อง เป็นปัจจุบัน และเก็บรักษาไว้ตามวัตถุประสงค์ของการประมวลผล
• ต้องมีมาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม และสามารถตรวจสอบการปฏิบัติได้

การเก็บรวบรวมข้อมูลส่วนบุคคล

บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลจากเจ้าของข้อมูลส่วนบุคคลโดยตรง เช่น เพื่อการให้บริการ การติดต่อสื่อสาร การสรรหา และการทำสัญญา รวมถึงอาจเก็บรวบรวมจากแหล่งข้อมูลอื่นที่ชอบด้วยกฎหมาย เช่น หน่วยงานของรัฐ พันธมิตรทางธุรกิจ หรือบุคคลที่สาม ตามความจำเป็นและสอดคล้องกับวัตถุประสงค์ในการดำเนินธุรกิจซึ่งจะระบุไว้ในประกาศความเป็นส่วนตัวที่เกี่ยวข้องของแต่ละบริษัทนั้น

นอกจากนี้ บริษัทอาจเก็บรวบรวมข้อมูลส่วนบุคคลผ่านการใช้งานเว็บไซต์ แอปพลิเคชัน หรือช่องทางอิเล็กทรอนิกส์อื่น โดยใช้เทคโนโลยี เช่น คุกกี้ (Cookies) หรือเทคโนโลยีที่มีลักษณะใกล้เคียงกัน เพื่อวัตถุประสงค์ในการให้บริการ วิเคราะห์ และปรับปรุงประสบการณ์การใช้งานของผู้ใช้ โดยรายละเอียดเกี่ยวกับการใช้คุกกี้ รวมถึงประเภท วัตถุประสงค์ และการตั้งค่าคุกกี้ สามารถศึกษาเพิ่มเติมได้จากนโยบายการใช้คุกกี้ (Cookie Policy) ของแต่ละบริษัทนั้น

กรณีบริษัทได้รับสำเนาบัตรประจำตัวประชาชน เพื่อวัตถุประสงค์ในการพิสูจน์ตัวตน และ/หรือการทำธุรกรรมใด ๆ กับบริษัท ซึ่งอาจจะมีข้อมูลอ่อนไหว เช่น ศาสนา หมู่โลหิต อยู่ด้วย บริษัทไม่มีนโยบายจัดเก็บข้อมูลส่วนบุคคลดังกล่าวโดยไม่จำเป็น ยกเว้นในกรณีที่บริษัทมีสิทธิตามกฎหมายหรือการดำเนินการเพื่อเป็นประโยชน์แก่เจ้าของข้อมูลโดยเจ้าของข้อมูลได้ให้ความยินยอมโดยชัดแจ้ง ซึ่งบริษัทจะกำหนดวิธีจัดการรักษา ปกปิดหรือป้องกันข้อมูลอ่อนไหวนั้นให้มีความปลอดภัยตามแนวทางปฏิบัติที่เหมาะสมและเป็นไปตามที่กฎหมายอนุญาต

การประมวลผลข้อมูล

บริษัทประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ที่เกี่ยวข้องกับการดำเนินธุรกิจ การบริหารจัดการองค์กร การให้บริการ การดำเนินการตามสัญญา การสื่อสาร การรักษาความปลอดภัย การพัฒนาและปรับปรุงสินค้าและบริการ รวมถึงการปฏิบัติตามกฎหมาย และวัตถุประสงค์อื่นที่ชอบด้วยกฎหมาย โดยประมวลผลข้อมูลส่วนบุคคลเท่าที่จำเป็นตามลักษณะการดำเนินธุรกิจ โดยข้อมูลที่ใช้ประมวลผลได้แก่ ข้อมูลพื้นฐาน ข้อมูลติดต่อ ข้อมูลการเงิน ข้อมูลอ่อนไหว ข้อมูลบุคคลที่สาม ข้อมูลพฤติกรรม เป็นต้น

ทั้งนี้ รายละเอียดเกี่ยวกับวัตถุประสงค์ ลักษณะการประมวลผล และประเภทของข้อมูลส่วนบุคคลที่เกี่ยวข้องของ แต่ละบริษัทหรือแต่ละบริการ จะระบุไว้ในประกาศความเป็นส่วนตัวที่เกี่ยวข้องของแต่ละบริษัทนั้น

การเปิดเผยข้อมูลส่วนบุคคล

บริษัทอาจเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอกเท่าที่จำเป็น เพื่อให้บรรลุวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลตามที่กฎหมายกำหนดหรือที่ระบุไว้ในนโยบายฉบับนี้ โดยจะดำเนินการภายใต้หลักเกณฑ์ทางกฎหมาย และมีมาตรการคุ้มครองความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม

ทั้งนี้ รายละเอียดเกี่ยวกับประเภทของบุคคลภายนอกที่อาจได้รับข้อมูลส่วนบุคคล รวมถึงกรณีการโอนข้อมูลไปยังต่างประเทศ จะระบุไว้ในประกาศความเป็นส่วนตัวที่เกี่ยวข้องกับบริษัทนั้น

สิทธิของเจ้าของข้อมูล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลของตนตามที่บัญญัติไว้ในกฎหมายคุ้มครองข้อมูลส่วนบุคคล เช่น สิทธิในการรับทราบข้อมูล สิทธิในการเข้าถึงข้อมูลส่วนบุคคล สิทธิในการแก้ไขข้อมูล สิทธิในการลบหรือทำลายข้อมูล สิทธิในการเพิกถอนความยินยอม สิทธิในการโอนข้อมูล สิทธิในการระงับข้อมูล และสิทธิอื่นตามที่กฎหมายกำหนด

ทั้งนี้ การใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลให้เป็นไปตามเงื่อนไข หลักเกณฑ์ และขอใช้สิทธิตามช่องทางที่บริษัทกำหนด โดยบริษัทจะพิจารณาแนวทางการดำเนินการเพื่อชี้แจงผลของการพิจารณา และ/หรือผลของการดำเนินภารให้เสร็จสิ้นไม่เกินระยะวลาที่กฎหมายกำหนดไว้ ซึ่งจะแจ้งไว้ในประกาศความเป็นส่วนตัวที่เกี่ยวข้องกับบริษัทนั้น

การรักษาความมั่นคงปลอดภัย

บริษัทให้ความสำคัญต่อความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล และจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ทั้งในด้านการบริหารจัดการ ด้านเทคนิค และด้านกายภาพ เพื่อป้องกันการสูญหาย การเข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยมิชอบหรือโดยไม่ได้รับอนุญาต

โดยบริษัทจะทบทวนและปรับปรุงมาตรการดังกล่าวอย่างสม่ำเสมอ เพื่อให้สอดคล้องกับกฎหมายที่เกี่ยวข้อง มาตรฐาน และแนวปฏิบัติที่เหมาะสม

การประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคล

บริษัทกำหนดให้มีการประเมินผลกระทบด้านการคุ้มครองข้อมูลส่วนบุคคลในกรณีที่การประมวลผลข้อมูลส่วนบุคคลมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล เช่น การประมวลผลข้อมูลส่วนบุคคลในปริมาณมาก การใช้ข้อมูลอ่อนไหว หรือการนำเทคโนโลยีใหม่มาใช้ในการประมวลผลข้อมูล

การประเมินดังกล่าวจะครอบคลุมการวิเคราะห์ความจำเป็น ความเหมาะสม ความเสี่ยงที่อาจเกิดขึ้น และมาตรการในการลดความเสี่ยง โดยดำเนินการตามหลักเกณฑ์และวิธีการที่บริษัทกำหนด

การจัดการเหตุละเมิดข้อมูลส่วนบุคคล

บริษัทกำหนดให้มีแนวทางและมาตรการในการป้องกัน ตรวจสอบ และจัดการเหตุละเมิดข้อมูลส่วนบุคคลอย่างเหมาะสม โดยเมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล บริษัทจะดำเนินการประเมินผลกระทบและความเสี่ยงที่อาจเกิดขึ้นต่อสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล รวมถึงดำเนินการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลต่อหน่วยงานกำกับดูแลและ/หรือเจ้าของข้อมูลส่วนบุคคล ตามหลักเกณฑ์ วิธีการ และระยะเวลาที่กฎหมายกำหนด

ทั้งนี้ บริษัทจะจัดให้มีการบันทึก ติดตาม และทบทวนเหตุการณ์ที่เกิดขึ้น รวมถึงปรับปรุงมาตรการที่เกี่ยวข้องเพื่อป้องกันไม่ให้เกิดเหตุซ้ำ

การจัดทำบันทึกรายการประมวลผลข้อมูลส่วนบุคคล

บริษัทจัดให้มีการจัดทำและปรับปรุงบันทึกรายการประมวลผลข้อมูลส่วนบุคคล เพื่อใช้เป็นเครื่องมือในการกำกับดูแล ตรวจสอบ และแสดงให้เห็นถึงความสอดคล้องกับกฎหมายคุ้มครองข้อมูลส่วนบุคคล

บันทึกรายการประมวลผลข้อมูลส่วนบุคคลดังกล่าวจะครอบคลุมรายละเอียดที่สำคัญ เช่น วัตถุประสงค์ของการประมวลผล ประเภทของข้อมูลส่วนบุคคล แหล่งที่มาของข้อมูล ผู้รับข้อมูล ระยะเวลาการเก็บรักษา และมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง

การโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

ในกรณีที่บริษัทมีความจำเป็นต้องโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ บริษัทจะดำเนินการให้เป็นไปตามหลักเกณฑ์ที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด และจัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม เช่น การตรวจสอบมาตรฐานประเทศปลายทาง หรือการใช้มาตรการการทางกฎหมาย เช่น การทำ Binding Corporate Rules (BCRs) หรือ (Standard Contractual Clauses - SCCs) เป็นต้น

ทั้งนี้ รายละเอียดเกี่ยวกับการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศจะระบุไว้ในประกาศความเป็นส่วนตัวที่เกี่ยวข้องในการโอนข้อมูลส่วนบุคคลของบริษัทนั้น

การปฏิบัติตามกฎหมายและมาตรการที่เกี่ยวข้อง

บริษัทดำเนินการประมวลผลข้อมูลส่วนบุคคลให้สอดคล้องกับหลักเกณฑ์ วิธีการ และเงื่อนไข เป็นไปตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลและกฎหมายที่เกี่ยวข้อง โดยจัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมตามที่กฎหมายกำหนด โดยรายละเอียดเกี่ยวกับการดำเนินการในแต่ละกรณี จะระบุไว้ในประกาศความเป็นส่วนตัวที่เกี่ยวข้องของแต่ละบริษัทนั้น

การลบและทำลายข้อมูล

บริษัทจะจัดให้มีแนวทางและขั้นตอนในการตรวจสอบเพื่อดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลเมื่อพ้นกำหนดระยะเวลาการเก็บรักษา หรือไม่เกี่ยวข้องหรือเกินความจำเป็นตามวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลนั้น โดยจะมีการดำเนินการให้เป็นไปตามมาตรฐานการลบและทำลายข้อมูล

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

บริษัทได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) เพื่อทำหน้าที่ให้คำแนะนำ ตรวจสอบ และกำกับดูแลการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของบริษัทให้เป็นไปตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

การทบทวนและแก้ไขเปลี่ยนแปลงนโยบาย

บริษัทจะดำเนินการทบทวนและปรับปรุงนโยบายคุ้มครองข้อมูลส่วนบุคคลฉบับนี้เป็นระยะ หรือเมื่อมีการเปลี่ยนแปลงกฎหมาย แนวปฏิบัติ หรือการดำเนินธุรกิจที่เกี่ยวข้อง เพื่อให้สอดคล้องกับกฎหมายและเหมาะสมกับการดำเนินงานของบริษัท โดยจะแจ้งให้ผู้ที่เกี่ยวข้องทราบถึงการเปลี่ยนแปลงดังกล่าวผ่านช่องทางที่เหมาะสม