นโยบายฉบับนี้อธิบายว่าข้อมูลส่วนบุคคลของผู้ใช้ถูกเก็บอย่างไร ใช้ทำอะไร ส่งต่อให้ใคร เก็บนานเท่าไร ผู้ใช้มีสิทธิอะไรบ้าง โดยยึดหลักของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ข้อมูลที่ต้องมาจากระบบจริงของแบรนด์แสดงเป็นช่องข้อมูลไว้ให้ยืนยัน ไม่มีการเติมรายละเอียดขึ้นเอง
ร่างนี้ต้องผ่านการตรวจจากผู้รับผิดชอบด้านข้อมูลของแบรนด์ก่อนใช้จริง เพราะนโยบายความเป็นส่วนตัวที่เขียนไว้ต้องตรงกับสิ่งที่ระบบทำจริงทุกข้อ ข้อความที่ระบบทำไม่ได้ไม่ควรถูกเขียนไว้เพื่อให้ดูครบ
ข้อมูลส่วนบุคคลที่เราจัดเก็บและวิธีได้มา
ข้อมูลที่ panama888 อาจเก็บแบ่งได้สามกลุ่ม ข้อมูลที่ผู้ใช้กรอกเองตอนสมัคร เช่น ชื่อ เบอร์โทร บัญชีธนาคาร ข้อมูลที่เกิดจากการใช้งาน เช่น ประวัติฝากถอน ประวัติการเข้าระบบ ข้อมูลทางเทคนิค เช่น ที่อยู่ IP ชนิดอุปกรณ์ รายการข้อมูลที่เก็บจริง ชื่อ-นามสกุล วันเดือนปีเกิด หมายเลขโทรศัพท์ ข้อมูลบัญชีธนาคาร ข้อมูลยืนยันตัวตน ประวัติฝากถอน ประวัติการเข้าสู่บัญชี ที่อยู่ IP ชนิดอุปกรณ์ ระบบปฏิบัติการ บันทึกกิจกรรมในบัญชี และข้อมูลที่ผู้ใช้ส่งให้ฝ่ายบริการ
แหล่งที่ได้มาจากบุคคลภายนอก ถ้ามี ผู้ให้บริการชำระเงิน ธนาคาร ผู้ให้บริการยืนยันตัวตน ผู้ให้บริการส่งรหัส OTP และผู้ให้บริการด้านความปลอดภัยที่ใช้ตรวจสอบความเสี่ยงของบัญชี ต้องยืนยันจากระบบที่ใช้งาน
วัตถุประสงค์ในการเก็บรวบรวมและประมวลผลข้อมูล
ข้อมูลถูกใช้เพื่อเปิดบัญชี ยืนยันตัวตน ทำรายการฝากถอน ป้องกันการทุจริต ตอบคำร้องของผู้ใช้ ตรวจอายุผู้ใช้ว่าครบ 20 ปีบริบูรณ์ วัตถุประสงค์ทางการตลาด ใช้เพื่อส่งข่าวสาร โปรโมชั่น ข้อเสนอ หรือข้อมูลประชาสัมพันธ์ผ่านช่องทางที่ผู้ใช้เลือก เช่น ข้อความทางโทรศัพท์หรือการแจ้งเตือนภายในบัญชี โดยผู้ใช้สามารถเลือกไม่รับหรือถอนความยินยอมภายหลังได้ ต้องแยกออกมาให้ผู้ใช้เลือกยินยอมเองได้ ไม่ผูกกับการเปิดบัญชี การนำข้อมูลไปใช้นอกวัตถุประสงค์ที่แจ้งไว้ต้องขอความยินยอมใหม่
ฐานทางกฎหมายในการประมวลผลข้อมูล (PDPA)
PDPA กำหนดว่าการประมวลผลต้องมีฐานรองรับ เช่น การปฏิบัติตามสัญญา หน้าที่ตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย ความยินยอม แต่ละวัตถุประสงค์ต้องจับคู่กับฐานที่ใช้จริง การเปิดและดูแลบัญชีใช้ฐานการปฏิบัติตามสัญญา การเก็บข้อมูลที่จำเป็นตามหน้าที่ทางกฎหมายใช้ฐานการปฏิบัติตามกฎหมาย การป้องกันการทุจริตและรักษาความปลอดภัยใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย ส่วนการตลาดที่ไม่จำเป็นต่อบริการใช้ฐานความยินยอมของผู้ใช้
ข้อมูลอ่อนไหว เช่น ข้อมูลชีวภาพจากการสแกนใบหน้า ถ้ามีการเก็บ ภาพใบหน้าหรือข้อมูลชีวภาพเพื่อเปรียบเทียบตัวตน ผู้ใช้ต้องได้รับรายละเอียดวัตถุประสงค์ ระยะเวลาเก็บ และผู้ที่สามารถเข้าถึงข้อมูลก่อนให้ความยินยอม ต้องได้รับความยินยอมโดยชัดแจ้งก่อน
การเปิดเผยข้อมูลแก่บุคคลภายนอกและพันธมิตร
ข้อมูลอาจถูกส่งให้ผู้ที่จำเป็นต่อการให้บริการ เช่น ผู้ให้บริการชำระเงิน ผู้ให้บริการส่งข้อความ OTP ผู้ให้บริการระบบคลาวด์ รายชื่อประเภทผู้รับข้อมูล ธนาคารและผู้ให้บริการชำระเงิน ผู้ให้บริการยืนยันตัวตน ผู้ให้บริการส่งข้อความ OTP ผู้ให้บริการโครงสร้างพื้นฐานและระบบคลาวด์ ผู้ให้บริการด้านความปลอดภัย และที่ปรึกษาที่จำเป็นต่อการดำเนินงาน
สัญญาที่บังคับให้ผู้รับคุ้มครองข้อมูล กำหนดให้ผู้รับใช้ข้อมูลเฉพาะตามวัตถุประสงค์ที่ได้รับมอบหมาย จำกัดบุคคลที่เข้าถึงข้อมูล มีมาตรการรักษาความปลอดภัย แจ้งเหตุข้อมูลรั่วไหล และลบหรือคืนข้อมูลเมื่อสิ้นสุดการให้บริการ ต้องยืนยันก่อนเผยแพร่
ข้อมูลของผู้ใช้จะไม่ถูกขายให้ใคร การเปิดเผยตามคำสั่งของหน่วยงานรัฐ ต้องตรวจสอบอำนาจตามกฎหมาย ขอบเขตของคำขอ และเปิดเผยเฉพาะข้อมูลที่จำเป็น พร้อมบันทึกคำขอและผู้อนุมัติไว้เพื่อตรวจสอบย้อนหลัง ต้องระบุขั้นตอนที่ใช้
ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล
ข้อมูลแต่ละประเภทควรมีระยะเก็บของตัวเอง ข้อมูลบัญชีเก็บตลอดที่บัญชีเปิดอยู่ ข้อมูลธุรกรรมอาจต้องเก็บนานกว่านั้นตามหน้าที่ทางกฎหมาย ระยะเก็บแต่ละประเภท ข้อมูลบัญชีเก็บตลอดระยะเวลาที่บัญชียังเปิดใช้งาน ข้อมูลยืนยันตัวตนและข้อมูลธุรกรรมเก็บต่ออีก 5 ปีหลังปิดบัญชี ข้อมูลการติดต่อฝ่ายบริการเก็บ 3 ปีหลังปิดคำร้อง และบันทึกทางเทคนิคหรือประวัติการเข้าสู่ระบบเก็บ 1 ปีนับจากวันที่บันทึก
วิธีลบ ไม่ก็ทำให้ระบุตัวตนไม่ได้เมื่อครบกำหนด ลบข้อมูลออกจากระบบที่ใช้งานและชุดสำรองตามรอบที่กำหนด หรือทำให้ข้อมูลไม่สามารถเชื่อมโยงกลับไปยังเจ้าของข้อมูลได้ หากไม่มีเหตุทางกฎหมายที่ต้องเก็บต่อ ต้องยืนยันจากระบบจริง
มาตรการรักษาความปลอดภัยของระบบและข้อมูล
มาตรการที่ควรระบุ ได้แก่ การเข้ารหัสระหว่างส่งข้อมูล การจำกัดสิทธิพนักงานที่เข้าถึงข้อมูล การบันทึกประวัติการเข้าถึง การสำรองข้อมูล มาตรการที่ใช้จริง เข้ารหัสข้อมูลระหว่างการรับส่ง จำกัดสิทธิการเข้าถึงตามหน้าที่ของพนักงาน ใช้การยืนยันตัวตนสำหรับบัญชีที่มีสิทธิสำคัญ บันทึกประวัติการเข้าถึงข้อมูล สำรองข้อมูลตามรอบ และทบทวนสิทธิของผู้ใช้งานภายในเป็นระยะ
ขั้นตอนเมื่อข้อมูลรั่ว แยกระบบหรือบัญชีที่ได้รับผลกระทบ จำกัดการเข้าถึง ตรวจสอบขอบเขตข้อมูลที่เกี่ยวข้อง เก็บหลักฐานเหตุการณ์ ประเมินความเสี่ยง และดำเนินมาตรการลดผลกระทบก่อนแจ้งผู้เกี่ยวข้องตามเกณฑ์ของกฎหมาย
ระยะเวลาแจ้งผู้ใช้กับหน่วยงานกำกับ หากเหตุละเมิดข้อมูลมีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล ให้แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถดำเนินการได้ และหากมีความเสี่ยงสูงให้แจ้งเจ้าของข้อมูลพร้อมแนวทางลดผลกระทบโดยไม่ชักช้า ยังรอคำยืนยันจากแบรนด์ ไม่มีระบบใดปลอดภัยเต็มร้อย ผู้ใช้จึงควรตั้งรหัสผ่านที่ไม่ซ้ำบริการอื่นด้วย
นโยบายการใช้คุกกี้ (Cookie Policy) และเทคโนโลยีติดตาม
คุกกี้ที่จำเป็นช่วยให้ระบบจำการเข้าระบบ ส่วนคุกกี้วิเคราะห์ คุกกี้โฆษณา ต้องให้ผู้ใช้เลือกเปิดปิดเองได้ ประเภทคุกกี้ที่ใช้ คุกกี้ที่จำเป็นต่อการเข้าสู่ระบบและความปลอดภัย คุกกี้บันทึกการตั้งค่า คุกกี้วิเคราะห์ประสิทธิภาพเว็บไซต์ และคุกกี้สำหรับการตลาดหรือวัดผลโฆษณา
ผู้ให้บริการภายนอกที่วางคุกกี้ ผู้ให้บริการวิเคราะห์การใช้งานเว็บไซต์ ผู้ให้บริการระบบรักษาความปลอดภัย และผู้ให้บริการด้านการตลาดที่ผู้ใช้ให้ความยินยอม
วิธีเปลี่ยนการตั้งค่า เปิดเมนูตั้งค่าคุกกี้บนเว็บไซต์ แล้วเลือกเปิดหรือปิดคุกกี้วิเคราะห์และคุกกี้การตลาดได้ตลอดเวลา ส่วนคุกกี้ที่จำเป็นต่อการทำงานหลักไม่สามารถปิดจากเมนูดังกล่าวได้ ต้องตรงกับหน้าเว็บจริง การปฏิเสธคุกกี้ที่ไม่จำเป็นไม่ควรทำให้ใช้บริการหลักไม่ได้
สิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย
ผู้ใช้มีสิทธิขอเข้าถึงข้อมูล ขอสำเนา ขอแก้ไข ขอลบ ขอระงับการใช้ คัดค้านการประมวลผล ถอนความยินยอม ขอให้โอนข้อมูล ตลอดจนร้องเรียนต่อหน่วยงานกำกับ วิธียื่นคำขอ ยื่นผ่านแบบคำขอใช้สิทธิด้านข้อมูลส่วนบุคคลในศูนย์ช่วยเหลือ โดยระบุชื่อผู้ใช้ ประเภทสิทธิที่ต้องการใช้ รายละเอียดคำขอ และข้อมูลที่จำเป็นต่อการยืนยันตัวตน
ระยะเวลาตอบ แจ้งผลภายใน 30 วันนับจากวันที่ได้รับคำขอและข้อมูลยืนยันตัวตนครบถ้วน หากคำขอมีความซับซ้อนหรือมีหลายคำขอ จะแจ้งเหตุผลและระยะเวลาที่ต้องใช้เพิ่มเติมให้ทราบ ต้องมีเอกสารรองรับก่อนประกาศ
บางคำขออาจถูกจำกัดเมื่อขัดกับหน้าที่ทางกฎหมาย ไม่ก็ขัดกับข้อกำหนดใน เงื่อนไขการใช้บริการ ซึ่งต้องแจ้งเหตุผลให้ทราบ
การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
ถ้าเซิร์ฟเวอร์ ไม่ก็ผู้ให้บริการภายนอก อยู่นอกประเทศไทย ข้อมูลจะถูกส่งออกนอกประเทศ PDPA กำหนดให้ประเทศปลายทางต้องมีมาตรฐานคุ้มครองที่เพียงพอ ไม่ก็มีมาตรการรองรับอื่นตามกฎหมาย ประเทศปลายทาง สิงคโปร์และประเทศที่เป็นที่ตั้งศูนย์ข้อมูลสำรองของผู้ให้บริการระบบคลาวด์ตามสัญญาที่ใช้กับ PANAMA888
มาตรการรองรับที่ใช้ กำหนดข้อผูกพันด้านการคุ้มครองข้อมูลในสัญญากับผู้รับข้อมูล จำกัดวัตถุประสงค์และสิทธิการเข้าถึง ใช้มาตรการรักษาความปลอดภัยระหว่างส่งข้อมูล และตรวจสอบว่าการโอนข้อมูลเป็นไปตามเงื่อนไขของ PDPA ก่อนส่งข้อมูล ต้องยืนยันจากสัญญาจริง
ช่องทางการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)
ผู้ใช้ติดต่อเรื่องข้อมูลส่วนบุคคลได้ทางช่องทางที่แบรนด์ประกาศ ชื่อผู้ควบคุมข้อมูล บริษัท PANAMA888 Digital Services Co., Ltd.
ช่องทางติดต่อเจ้าหน้าที่คุ้มครองข้อมูล แบบฟอร์มติดต่อ DPO ภายในศูนย์ช่วยเหลือของ PANAMA888 โดยระบบออกหมายเลขคำร้องสำหรับติดตามผล
ที่อยู่สำหรับส่งเอกสาร ฝ่ายคุ้มครองข้อมูลส่วนบุคคล PANAMA888 Digital Services Co., Ltd., 88 อาคารพานามา ดิจิทัล ชั้น 12 ถนนสุขุมวิท แขวงคลองตันเหนือ เขตวัฒนา กรุงเทพมหานคร 10110
ยังรอการตรวจจากผู้รับผิดชอบ คำขอเรื่องข้อมูลไม่ควรส่งผ่านแชตทั่วไปที่ไม่มีเลขอ้างอิง เพื่อให้ติดตามผลได้
