นโยบายคุ้มครองข้อมูลส่วนบุคคล

บริษัท ซีเอ็นวายคอร์ปอเรชั่น จำกัด จัดการข้อมูลส่วนบุคคลในบริการ Symfy Cloud ERP และ Cloud SaaS อย่างไร

นโยบายคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ (“นโยบาย”) จัดทำขึ้นโดย บริษัท ซีเอ็นวายคอร์ปอเรชั่น จำกัด (“บริษัท”) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล เพื่อชี้แจงรายละเอียดและวิธีการที่บริษัทจัดการข้อมูลส่วนบุคคลของท่าน ซึ่งรวมถึงการเก็บรวบรวม ใช้ เปิดเผย และประมวลผลข้อมูลส่วนบุคคล ผ่านการให้บริการระบบ Cloud ERP และ Cloud SaaS ภายใต้เครื่องหมายการค้า “Symfy” รวมถึงเว็บไซต์ แพลตฟอร์ม บริการออนไลน์ แอปพลิเคชัน และช่องทางการสื่อสารอื่น ๆ ที่เกี่ยวข้อง (“บริการ”)

บริษัทตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคล และมุ่งมั่นที่จะบริหารจัดการข้อมูลของท่านด้วยความโปร่งใสและเป็นไปตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงกฎหมายและกฎเกณฑ์อื่น ๆ ที่เกี่ยวข้อง

เอกสารฉบับนี้เผยแพร่สองภาษา ไทยและอังกฤษ โดยฉบับภาษาไทยเป็นฉบับที่ใช้บังคับ ฉบับภาษาอังกฤษจัดทำไว้เพื่อความสะดวกในการอ่าน หากข้อความสองฉบับขัดแย้งกัน ให้ยึดฉบับภาษาไทย

1. คำนิยามและขอบเขตของนโยบาย

1.1 คำนิยาม

• “ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
• “เจ้าของข้อมูลส่วนบุคคล” หมายถึง บุคคลธรรมดาซึ่งเป็นเจ้าของข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวม ใช้ หรือเปิดเผย ซึ่งรวมถึงแต่ไม่จำกัดเพียง ผู้ใช้บริการ ลูกค้า คู่ค้า ผู้เข้าชมเว็บไซต์ และบุคคลอื่นใดที่ติดต่อกับบริษัท
• “การประมวลผลข้อมูล” หมายถึง การดำเนินการใด ๆ กับข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม บันทึก ใช้ เปิดเผย โอน ลบ หรือทำลาย

1.2 ขอบเขตการบังคับใช้

นโยบายนี้มีผลบังคับใช้กับเจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้องกับบริการของบริษัททั้งหมด ซึ่งรวมถึง

• เว็บไซต์ ภายใต้โดเมน symfy.app, symfy.me, symfy.co, cnycorp.co.th และโดเมนย่อยที่เกี่ยวข้อง
• แอปพลิเคชัน บนอุปกรณ์พกพาที่บริษัทเป็นผู้พัฒนา
• ระบบหลัก ระบบบริหารจัดการ Cloud ERP และ Cloud SaaS
• ช่องทางการสื่อสาร LINE Official Account, อีเมล, เครือข่ายสังคมออนไลน์ และระบบสนับสนุนลูกค้า

นโยบายนี้ ไม่ครอบคลุม ถึงการประมวลผลข้อมูลส่วนบุคคลของพนักงานหรือผู้สมัครงานของบริษัท ซึ่งจะอยู่ภายใต้นโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับบุคลากรเป็นการเฉพาะ

2. การเก็บรวบรวมข้อมูลส่วนบุคคล

บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลของท่านจากหลายช่องทาง ดังนี้

• ข้อมูลที่ท่านให้ไว้โดยตรง เช่น ข้อมูลที่กรอกระหว่างการลงทะเบียนสมัครใช้บริการ การสร้างบัญชีผู้ใช้ การติดต่อสอบถาม การทำสัญญา หรือการเข้าร่วมกิจกรรมต่าง ๆ
• ข้อมูลที่เก็บรวบรวมโดยอัตโนมัติ เมื่อท่านใช้งานบริการของบริษัท เช่น การเข้าชมเว็บไซต์ หรือการใช้งานแอปพลิเคชัน
• ข้อมูลจากแหล่งอื่น เช่น พันธมิตรทางธุรกิจ ผู้ให้บริการภายนอก หรือแหล่งข้อมูลสาธารณะที่ได้รับอนุญาตตามกฎหมาย

ประเภทของข้อมูลที่เก็บรวบรวม

• ข้อมูลระบุตัวตน เช่น ชื่อ-นามสกุล เลขประจำตัวผู้เสียภาษี ภาพถ่าย
• ข้อมูลสำหรับติดต่อ เช่น อีเมล หมายเลขโทรศัพท์ ที่อยู่ ข้อมูลบัญชีผู้ใช้ในเครือข่ายสังคมออนไลน์
• ข้อมูลทางเทคนิค เช่น หมายเลขที่อยู่ไอพี (IP Address), MAC address, Cookie ID, ประเภทและเวอร์ชันของเว็บเบราว์เซอร์, การตั้งค่าเขตเวลาและตำแหน่งที่ตั้ง, ประเภทและเวอร์ชันของโปรแกรมเสริม, ระบบปฏิบัติการและแพลตฟอร์ม
• ข้อมูลบัญชีผู้ใช้ เช่น ชื่อผู้ใช้ รหัสผ่าน (เข้ารหัส) ประวัติการใช้งาน สิทธิ์การเข้าถึง การตั้งค่าส่วนบุคคล
• ข้อมูลการใช้งาน เช่น บันทึกการเข้าสู่ระบบ วันที่และเวลาที่เข้าใช้งาน ฟังก์ชันที่ใช้งาน
• ข้อมูลทางการเงินและธุรกรรม เช่น รายการบิล ประวัติการชำระเงิน ใบแจ้งหนี้ ใบเสร็จรับเงิน และข้อมูลการชำระเงินตามที่อธิบายในข้อ 3
• ข้อมูลทางการตลาดและการสื่อสาร เช่น ความพึงพอใจในการรับข่าวสารและรูปแบบการสื่อสารที่ท่านเลือก

3. ข้อมูลที่เกี่ยวข้องกับการชำระเงิน

บริการแบบมีค่าใช้จ่ายจะถูกเรียกเก็บจากบัตรที่ท่านผูกไว้กับระบบ รวมถึงในเวลาที่ท่านไม่ได้อยู่หน้าจอ ข้อนี้จึงระบุให้ชัดว่าข้อมูลใดถูกเก็บไว้ และใครเป็นผู้เก็บ

บริษัทใช้ Stripe เป็นผู้ให้บริการรับชำระเงินภายนอก บัตรของท่านถูกผูกไว้ที่ Stripe ไม่ใช่ที่บริษัท

3.1 สิ่งที่บริษัทเก็บ เทียบกับสิ่งที่ Stripe เก็บ

ข้อมูล	บริษัทเก็บ	Stripe เก็บ
หมายเลขบัตรเต็ม	ไม่เก็บ	เก็บ
รหัสความปลอดภัยหลังบัตร (CVV/CVC)	ไม่เก็บ และไม่เคยถูกส่งมาถึงบริษัท	ไม่เก็บไว้หลังการอนุมัติรายการ
ชื่อผู้ถือบัตรที่กรอกในหน้าผูกบัตร	ไม่เก็บ	เก็บ
ตัวอ้างอิงถึงบัตรที่ผูกไว้ (token ที่ผู้ให้บริการออกให้)	เก็บ — เป็นสิ่งที่ทำให้เรียกเก็บครั้งต่อไปได้	เก็บ
ประเภทบัตร เลขสี่ตัวท้าย เดือนปีที่หมดอายุ	เก็บ — เพื่อให้ท่านแยกแยะบัตรของตนได้	เก็บ
บัตรใบที่ตั้งให้เรียกเก็บก่อน และสถานะของบัตร	เก็บ	เก็บบางส่วน
บันทึกการเรียกเก็บและความพยายามทุกครั้ง พร้อมยอด วันที่ ผลลัพธ์ และเหตุผลของความล้มเหลว	เก็บ	เก็บ
รหัสข้อผิดพลาดและรหัสปฏิเสธดิบที่ธนาคารผู้ออกบัตรตอบกลับมา	เก็บ — ไว้สืบย้อนเมื่อมีการโต้แย้งรายการ	เก็บ
บิล ใบแจ้งหนี้ ใบเสร็จรับเงิน และเอกสารทางภาษี	เก็บ	ไม่เก็บ

บริษัทจึงไม่เคยได้รับหมายเลขบัตรเต็มและรหัสความปลอดภัยหลังบัตรของท่าน ตัวอ้างอิงถึงบัตรเพียงพอที่จะเรียกเก็บเงินได้ แต่ไม่สามารถใช้ย้อนกลับไปหาหมายเลขบัตรได้

3.2 วัตถุประสงค์ของการประมวลผลข้อมูลนี้

• เพื่อเรียกเก็บค่าบริการที่ถึงกำหนดชำระตามข้อกำหนดและเงื่อนไข รวมถึงการเรียกเก็บในอนาคตขณะที่ท่านไม่ได้อยู่หน้าจอ
• เพื่อแจ้งให้ท่านทราบว่าการเรียกเก็บไม่สำเร็จเพราะอะไรและท่านต้องทำอะไร
• เพื่อตรวจว่าบัญชีของท่านพร้อมให้เรียกเก็บเงินหรือไม่ก่อนทำรายการที่มีค่าใช้จ่าย
• เพื่อตรวจสอบรายการที่ท่านโต้แย้ง ซึ่งเป็นเหตุผลที่บริษัทเก็บคำตอบดิบจากธนาคารไว้
• เพื่อป้องกันการทุจริตและการใช้งานในทางที่ผิด
• เพื่อออกเอกสารทางบัญชีและภาษีตามที่กฎหมายกำหนด

ฐานทางกฎหมายคือการปฏิบัติตามสัญญาและการปฏิบัติตามกฎหมายของบริษัท ส่วนการป้องกันการทุจริตและการเก็บหลักฐานไว้รองรับการโต้แย้ง ใช้ฐานประโยชน์โดยชอบด้วยกฎหมายของบริษัท

3.3 การจัดการข้อมูลของ Stripe เอง

ผู้ให้บริการรับชำระเงินของบริษัทคือ บริษัท สไตรพ์ เพย์เม้นส์ (ประเทศไทย) จำกัด ซึ่งเป็นนิติบุคคลที่จดทะเบียนในประเทศไทย โดยประมวลผลข้อมูลบัตรในฐานะผู้ควบคุมข้อมูลของตนเอง เพื่อวัตถุประสงค์ด้านการปฏิบัติตามกฎเกณฑ์และการป้องกันการทุจริตของตน ภายใต้นโยบายความเป็นส่วนตัวของ Stripe: https://stripe.com/privacy กรณีผู้ให้บริการใช้โครงสร้างพื้นฐานที่ตั้งอยู่นอกประเทศไทยในการประมวลผลหรือจัดเก็บข้อมูลนี้ ให้เป็นไปตามข้อ 6

3.4 การลบบัตร

ท่านลบบัตรที่ผูกไว้ได้ทุกเมื่อ ภายใต้เงื่อนไขใน ข้อกำหนดและเงื่อนไขการใช้บริการ ซึ่งกำหนดให้ต้องเหลือบัตรที่ใช้เรียกเก็บได้อย่างน้อยหนึ่งใบ ขณะที่ท่านยังมีบริการแบบมีค่าใช้จ่ายที่ใช้งานอยู่ การลบบัตรทำให้บัตรใบนั้นไม่ถูกใช้เรียกเก็บอีก ส่วนบันทึกการเรียกเก็บและความพยายามที่เกิดขึ้นแล้ว จะยังถูกเก็บไว้ตามระยะเวลาในข้อ 7 เพราะเป็นเอกสารทางบัญชีและเป็นหลักฐานกรณีมีการโต้แย้ง

4. วัตถุประสงค์และฐานทางกฎหมาย

เพื่อการปฏิบัติตามสัญญา

• เพื่อดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญา
• เพื่อให้บริการและบริหารจัดการระบบ Cloud ERP/SaaS
• เพื่อยืนยันตัวตน ตรวจสอบสิทธิ์ และรักษาความปลอดภัยของบัญชีผู้ใช้
• เพื่อดำเนินการเกี่ยวกับธุรกรรมทางการเงิน การชำระค่าบริการ และการออกเอกสารทางบัญชี

เพื่อประโยชน์โดยชอบด้วยกฎหมาย

• เพื่อการวิเคราะห์ข้อมูลทางสถิติ ปรับปรุง และพัฒนาประสิทธิภาพของบริการ
• เพื่อรักษาความมั่นคงปลอดภัยของระบบ ป้องกันการฉ้อโกง และการใช้งานในทางที่ผิด
• เพื่อการบริหารจัดการความสัมพันธ์ลูกค้า

เพื่อการปฏิบัติตามกฎหมาย

• เพื่อปฏิบัติตามกฎหมาย เช่น พระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ ประมวลรัษฎากร และกฎหมายอื่น ๆ
• เพื่อปฏิบัติตามคำสั่งของหน่วยงานของรัฐ หรือคำสั่งศาลที่มีอำนาจ

ตามความยินยอมของท่าน

• เพื่อการตลาด การส่งเสริมการขาย การแจ้งข่าวสาร หรือนำเสนอผลิตภัณฑ์ที่ท่านอาจสนใจ
• ในกรณีที่กฎหมายกำหนดให้ต้องได้รับความยินยอมสำหรับข้อมูลส่วนบุคคลที่มีความอ่อนไหว

การเรียกเก็บเงินจากบัตรที่ผูกไว้ดำเนินการบนฐานการปฏิบัติตามสัญญา และการมอบอำนาจที่ท่านให้ไว้ในข้อกำหนดและเงื่อนไข ไม่ใช่บนฐานความยินยอมด้านการตลาด การถอนความยินยอมด้านการตลาดจึงไม่กระทบสิทธิของบริษัทในการเรียกเก็บค่าบริการที่ถึงกำหนดชำระ

5. การเปิดเผยข้อมูลและผู้ให้บริการ

บริษัทอาจเปิดเผยข้อมูลส่วนบุคคลของท่านให้แก่บุคคลภายนอกภายใต้วัตถุประสงค์ที่ระบุไว้ โดยผู้รับข้อมูลจะมีนโยบายคุ้มครองข้อมูลส่วนบุคคลของตนเอง

• ผู้ให้บริการรับชำระเงิน — Stripe เพื่อการผูกบัตร เรียกเก็บเงิน ตรวจสอบการชำระเงิน และป้องกันการทุจริต
• ผู้ให้บริการภายนอกอื่น เช่น ผู้ให้บริการคลาวด์ ผู้ให้บริการระบบอีเมล ผู้ให้บริการส่ง SMS หรือด้านเทคโนโลยีสารสนเทศ
• พันธมิตรทางธุรกิจ เพื่อให้บริการหรือเชื่อมต่อระบบอย่างต่อเนื่อง
• หน่วยงานราชการหรือผู้มีอำนาจตามกฎหมายเพื่อปฏิบัติตามภาระหน้าที่ทางกฎหมาย เช่น ศาล สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือหน่วยงานกำกับดูแลอื่น ๆ

บริษัทจะเปิดเผยข้อมูลเท่าที่จำเป็นและมีมาตรการคุ้มครองข้อมูลตามหลักมาตรฐานสากล

6. การโอนข้อมูลไปต่างประเทศ

บริษัทอาจโอนข้อมูลส่วนบุคคลของท่านไปยังเซิร์ฟเวอร์หรือผู้ให้บริการที่ตั้งอยู่นอกประเทศไทย โดยจะดำเนินการภายใต้เงื่อนไขที่กฎหมายอนุญาต เช่น ประเทศปลายทางมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ เพื่อการปฏิบัติตามสัญญา หรือได้รับความยินยอมจากท่านโดยชัดแจ้ง

ข้อมูลการชำระเงิน ผู้ให้บริการรับชำระเงินของบริษัทคือ บริษัท สไตรพ์ เพย์เม้นส์ (ประเทศไทย) จำกัด ซึ่งจดทะเบียนในประเทศไทย การเปิดเผยข้อมูลการชำระเงินให้ผู้ให้บริการรายนี้จึงไม่ใช่การโอนข้อมูลออกนอกประเทศในตัวเอง ทั้งนี้ กรณีผู้ให้บริการดังกล่าวใช้โครงสร้างพื้นฐานของกลุ่ม Stripe ที่ตั้งอยู่นอกประเทศไทยในการประมวลผลหรือจัดเก็บข้อมูลตามข้อ 3 การโอนดังกล่าวเป็นการโอนที่จำเป็นเพื่อการปฏิบัติตามสัญญากับท่าน และบริษัทจัดให้มีข้อตกลงคุ้มครองข้อมูลส่วนบุคคลกับผู้ให้บริการตามที่ PDPA กำหนด ท่านสามารถขอรายละเอียดของข้อตกลงดังกล่าวจากบริษัทได้ตามช่องทางในข้อ 12

7. ระยะเวลาในการจัดเก็บข้อมูล

บริษัทจะเก็บรักษาข้อมูลส่วนบุคคลของท่านในระยะเวลาที่จำเป็นตามวัตถุประสงค์ในนโยบายนี้ โดยพิจารณาจากอายุความทางกฎหมายหรือภาระหน้าที่ทางบัญชีและภาษี เมื่อหมดความจำเป็น บริษัทจะดำเนินการลบ ทำลาย หรือทำให้ข้อมูลเป็นแบบไม่สามารถระบุตัวบุคคลได้

รายการบิล ประวัติการชำระเงิน บันทึกการเรียกเก็บและความพยายามเรียกเก็บ และเอกสารทางภาษี จะถูกเก็บไว้ตามระยะเวลาที่กฎหมายบัญชีและภาษีกำหนด ซึ่งยาวกว่าอายุของบัญชีผู้ใช้ของท่าน ส่วนตัวอ้างอิงถึงบัตรจะไม่ถูกใช้เรียกเก็บเงินอีกเมื่อบัตรถูกลบหรือบริการของท่านสิ้นสุด

8. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ท่านมีสิทธิตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังต่อไปนี้

• สิทธิในการเข้าถึง ขอเข้าถึงและรับสำเนาข้อมูลส่วนบุคคล
• สิทธิในการแก้ไขข้อมูล ขอให้แก้ไขข้อมูลให้ถูกต้อง
• สิทธิในการลบข้อมูล ขอให้ลบหรือทำลายข้อมูลในบางกรณี
• สิทธิในการระงับการใช้ข้อมูล ขอให้ระงับการประมวลผลข้อมูลในบางกรณี
• สิทธิในการโอนย้ายข้อมูลขอรับข้อมูลในรูปแบบอิเล็กทรอนิกส์มาตรฐานและส่งต่อไปยังผู้อื่น
• สิทธิในการคัดค้าน คัดค้านการประมวลผลข้อมูลส่วนบุคคลของท่าน
• สิทธิในการถอนความยินยอม ถอนความยินยอมที่เคยให้ไว้ได้ทุกเมื่อ

ท่านสามารถใช้สิทธิดังกล่าวได้โดยติดต่อ เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ตามรายละเอียดในข้อ 12 บริษัทจะดำเนินการภายใน 30 วันนับแต่วันที่ได้รับคำขอ

การใช้สิทธิไม่ทำให้ยอดที่ถึงกำหนดชำระแล้วตาม ข้อกำหนดและเงื่อนไขการใช้บริการ ระงับไป และในกรณีที่บริษัทต้องเก็บข้อมูลไว้เพื่อปฏิบัติตามกฎหมายบัญชีหรือภาษี หรือเพื่อใช้ต่อสู้คดี บริษัทอาจปฏิเสธคำขอให้ลบข้อมูลเพียงเท่าที่จำเป็น และจะชี้แจงเหตุผลให้ท่านทราบ

9. การรักษาความมั่นคงปลอดภัยของข้อมูล

บริษัทมีมาตรการรักษาความปลอดภัยทั้งในระดับเทคนิคและองค์กร เช่น

• การเข้ารหัสข้อมูล
• การควบคุมสิทธิ์การเข้าถึงตามหลักให้สิทธิเท่าที่จำเป็น
• การตรวจสอบและบันทึกกิจกรรม
• การจัดทำแผนตอบสนองเหตุการณ์ละเมิดข้อมูล

ข้อมูลบัตรถูกเก็บไว้ที่ผู้ให้บริการรับชำระเงิน ไม่ได้เก็บไว้ที่บริษัท ซึ่งลดผลกระทบต่อท่านหากระบบของบริษัทถูกบุกรุก

10. การใช้คุกกี้

เว็บไซต์ของบริษัทใช้คุกกี้เพื่อรวบรวมข้อมูลและปรับปรุงประสบการณ์ของผู้ใช้งาน เช่น การจดจำการตั้งค่าหรือการนำเสนอเนื้อหาที่เหมาะสม ท่านสามารถจัดการหรือตั้งค่าเพื่อปฏิเสธคุกกี้ได้จากเบราว์เซอร์ของท่าน อย่างไรก็ตาม การปิดคุกกี้บางประเภทอาจทำให้เว็บไซต์บางฟังก์ชันไม่ทำงานตามปกติ รายละเอียดอยู่ใน นโยบายคุกกี้

11. การทบทวนและปรับปรุงนโยบาย

บริษัทอาจปรับปรุงนโยบายฉบับนี้เป็นระยะ เพื่อให้สอดคล้องกับกฎหมายหรือการเปลี่ยนแปลงทางเทคโนโลยี บริษัทจะแจ้งประกาศบนเว็บไซต์หรือช่องทางสื่อสารอย่างเป็นทางการเมื่อมีการเปลี่ยนแปลงที่สำคัญ

12. ข้อมูลสำหรับติดต่อ

หากท่านมีข้อสงสัย ข้อเสนอแนะ หรือประสงค์จะใช้สิทธิตามกฎหมาย โปรดติดต่อ

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO)
บริษัท ซีเอ็นวายคอร์ปอเรชั่น จำกัด
541/1-3 หมู่ 1 ตำบลแม่ขรี อำเภอตะโหมด จังหวัดพัทลุง 93160 ประเทศไทย
อีเมล: [email protected]
โทรศัพท์: 099-446-5451

เอกสารที่เกี่ยวข้อง: ข้อกำหนดและเงื่อนไขการใช้บริการ · นโยบายการคืนเงินและ SLA · นโยบายคุกกี้