นโยบายความเป็นส่วนตัว (Privacy Policy)

FORTSECURE GLOBAL CO., LTD. ("บริษัท") ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลและเคารพสิทธิ์ความเป็นส่วนตัวของผู้ใช้บริการ บริษัทจึงจัดทำนโยบายความเป็นส่วนตัวฉบับนี้เพื่ออธิบายวิธีการเก็บรวบรวม ใช้ เปิดเผย และรักษาข้อมูลส่วนบุคคลของผู้ใช้บริการ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

1. ขอบเขตและการนิยามศัพท์

นโยบายนี้มีผลบังคับใช้กับเว็บไซต์และบริการทั้งหมดของบริษัท ครอบคลุมบุคคลธรรมดาทั้งในประเทศและต่างประเทศที่เข้าถึงหรือใช้บริการของบริษัท

• ข้อมูลส่วนบุคคล ข้อมูลที่สามารถระบุตัวบุคคลได้ไม่ว่าโดยทางตรงหรือทางอ้อม
• ข้อมูลส่วนบุคคลที่มีความอ่อนไหว ข้อมูลที่เกี่ยวกับเชื้อชาติ ความคิดเห็นทางการเมือง ความเชื่อ ศาสนา พฤติกรรมทางเพศ ประวัติการแพทย์ สุขภาพ พันธุกรรม ข้อมูลไบโอเมตริก ข้อมูลเกี่ยวกับการกระทำผิด และข้อมูลอื่นที่กฎหมายกำหนด
• ผู้ใช้บริการ บุคคลที่เข้าถึงหรือใช้บริการของบริษัท รวมถึงผู้ลงทะเบียนสอบ ผู้สมัครงาน และผู้ติดต่อสอบถาม
• ผู้ควบคุมข้อมูลส่วนบุคคล บริษัท FORTSECURE GLOBAL CO., LTD.

2. ประเภทข้อมูลส่วนบุคคลที่เก็บรวบรวม

2.1 ข้อมูลที่ผู้ใช้ให้โดยตรง

• ชื่อ นามสกุล
• หมายเลขบัตรประจำตัวประชาชน / Passport
• ที่อยู่อีเมล
• หมายเลขโทรศัพท์
• ข้อมูลการศึกษา ประวัติการทำงาน
• ข้อมูลการชำระเงิน
• ภาพถ่ายและข้อมูลไบโอเมตริก (กรณีสอบรับรอง)

2.2 ข้อมูลที่เก็บโดยอัตโนมัติ

• ที่อยู่ IP Address
• ประเภทและเวอร์ชันของเบราว์เซอร์
• ระบบปฏิบัติการ
• หน้าเว็บที่เข้าชมและเวลาที่ใช้งาน
• คุกกี้ (Cookies) และเทคโนโลยีติดตาม
• ข้อมูลการเข้าสู่ระบบและบันทึกการใช้งาน (Log Files)

2.3 ข้อมูลจากการสอบและการรับรอง

• ข้อมูลการลงทะเบียนสอบ
• ผลสอบและใบรับรอง
• ภาพและวิดีโอจากการสอบแบบ Proctored
• ข้อมูลการใช้งานระบบสอบ

3. วัตถุประสงค์ในการเก็บรวบรวมและใช้ข้อมูล

บริษัทเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังต่อไปนี้

• ให้บริการและบริหารจัดการบัญชีผู้ใช้
• ดำเนินการสอบและรับรอง รวมถึงการยืนยันตัวตน
• ติดต่อสื่อสารและแจ้งข้อมูลที่จำเป็น
• ประมวลผลการชำระเงินและการเงิน
• ป้องกันและตรวจสอบการทุจริต
• รักษาความมั่นคงปลอดภัยของระบบและข้อมูล
• ปฏิบัติตามข้อกำหนดทางกฎหมายและกฎเกณฑ์ที่เกี่ยวข้อง
• ปรับปรุงและพัฒนาบริการ
• ตอบสนองคำขอใช้สิทธิ์ของเจ้าของข้อมูล

บริษัทจะไม่ใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์อื่นนอกจากที่ระบุไว้ในนโยบายนี้ โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลก่อน เว้นแต่กฎหมายกำหนดเป็นอย่างอื่น

4. การให้ความยินยอม (Consent)

บริษัทจะเก็บรวบรวมข้อมูลส่วนบุคคลเมื่อได้รับความยินยอมจากเจ้าของข้อมูล โดยความยินยอมต้องเป็นไปอย่างเสรี มีข้อมูลที่เพียงพอ และสามารถเพิกถอนได้ สำหรับข้อมูลส่วนบุคคลที่มีความอ่อนไหว บริษัทจะขอความยินยอมแยกเป็นกรณีไป ยกเว้นกรณีที่กฎหมายอนุญาตให้ดำเนินการได้โดยไม่ต้องขอความยินยอม เช่น เพื่อปฏิบัติตามกฎหมาย ป้องกันอันตราย หรือเพื่อประโยชน์สาธารณะ

5. การเปิดเผยข้อมูลส่วนบุคคล

บริษัทอาจเปิดเผยข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้

• คู่สัญญาและผู้ให้บริการ บริษัทคู่สัญญาที่ให้บริการในนามของบริษัท เช่น ผู้ให้บริการชำระเงิน ผู้ให้บริการคลาวด์ และผู้ให้บริการตรวจสอบสอบ โดยมีข้อตกลงการรักษาความลับและมาตรการรักษาความมั่นคงปลอดภัย
• หน่วยงานราชการ เมื่อมีกฎหมายกำหนดหรือตามคำสั่งศาล
• บุคคลที่สาม เมื่อได้รับความยินยอมจากเจ้าของข้อมูล
• ภายในกลุ่มบริษัท เมื่อจำเป็นเพื่อการให้บริการและภายใต้ข้อกำหนดที่เข้มงวด

บริษัทจะไม่ขายหรือเช่าข้อมูลส่วนบุคคลให้กับบุคคลที่สามเพื่อวัตถุประสงค์ทางการตลาด รายชื่อผู้ประมวลผลข้อมูลที่ให้บริการ (Sub-processor) แสดงไว้ในหน้า “รายชื่อผู้ประมวลผลข้อมูลที่ให้บริการ”

6. การโอนข้อมูลข้ามพรมแดน

ในกรณีที่บริษัทต้องโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ บริษัทจะดำเนินการตามมาตรฐานที่กฎหมายกำหนด เพื่อให้ข้อมูลได้รับการคุ้มครองในระดับที่เทียบเท่ากับในประเทศ รวมถึงการเลือกผู้รับข้อมูลที่มีมาตรการคุ้มครองข้อมูลเพียงพอ หรือมีข้อตกลงที่รับรองระดับการคุ้มครองตามกฎหมายกำหนด รายละเอียดเพิ่มเติมอยู่ในนโยบายการโอนข้อมูลข้ามพรมแดน

7. มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล

บริษัทมีมาตรการรักษาความมั่นคงปลอดภัยทั้งทางเทคนิคและการจัดการ เพื่อป้องกันการเข้าถึง ใช้ เปลี่ยนแปลง ทำลาย หรือเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต ดังนี้

7.1 มาตรการทางเทคนิค

• เข้ารหัสข้อมูลทั้งระหว่างการส่งผ่าน (TLS) และจัดเก็บ (AES-256)
• ระบบควบคุมการเข้าถึง (Access Control) และการยืนยันตัวตนแบบ MFA
• ระบบตรวจจับการบุกรุก (IDS/IPS) และการบันทึกการเข้าถึง (Logging)
• การสำรองข้อมูลและการทดสอบการกู้คืน

7.2 มาตรการทางการจัดการ

• นโยบายและขั้นตอนการปฏิบัติที่ชัดเจน
• การอบรมและสร้างความตระหนักรู้ให้บุคลากร
• การประเมินความเสี่ยงและตรวจสอบอย่างสม่ำเสมอ
• การจัดการผู้รับเหมาและบุคคลที่สาม
• แผนตอบสนองเหตุการณ์ละเมิดข้อมูลส่วนบุคคล

8. นโยบายการเก็บรักษาข้อมูลและระยะเวลาการเก็บ (Data Retention Policy)

บริษัยมีนโยบายการเก็บรักษาข้อมูลส่วนบุคคลที่ชัดเจน โดยกำหนดระยะเวลาเก็บรักษาตามความจำเป็นของวัตถุประสงค์ในการเก็บรวบรวม ประเภทของข้อมูล และข้อกำหนดทางกฎหมายที่เกี่ยวข้อง

8.1 หลักการกำหนดระยะเวลาเก็บรักษา

• เก็บรักษาข้อมูลเท่าที่จำเป็นสำหรับวัตถุประสงค์ที่กำหนด (Data Minimization)
• ลบหรือทำลายข้อมูลเมื่อไม่จำเป็นต้องใช้หรือครบกำหนดเวลาเก็บ
• ปฏิบัติตามระยะเวลาที่กฎหมายกำหนด เช่น กฎหมายภาษี กฎหมายแรงงาน กฎหมายคุ้มครองผู้บริโภค
• บันทึกเหตุผลในการกำหนดระยะเวลาเก็บและวิธีการลบทำลายข้อมูล
• ทบทวนระยะเวลาเก็บเป็นระยะ อย่างน้อยปีละครั้ง

8.2 ระยะเวลาการเก็บรักษาตามประเภทข้อมูล

ประเภทข้อมูล	ระยะเวลาเก็บรักษา	วัตถุประสงค์	วิธีการจัดการเมื่อครบกำหนด
ข้อมูลบัญชีผู้ใช้	ตลอดอายุการใช้บริการ + 2 ปี	การบริหารจัดการบัญชี	ลบ/ทำให้ไม่ระบุตัวตนได้
ข้อมูลการสอบและใบรับรอง	ตลอดอายุใบรับรอง + 5 ปี	การยืนยันและการตรวจสอบ	เก็บสรุปเป็นประวัติ ลบข้อมูลดิจิทัล
ข้อมูลการชำระเงิน	7 ปี	ตามกฎหมายภาษี	ลบข้อมูล ยกเว้นหลักฐานที่กฎหมายกำหนด
ข้อมูลการติดต่อสอบถาม	3 ปี	การตอบสนองและติดตาม	ลบ
ภาพ/วิดีโอจากการสอบ Proctored	1 ปี	การตรวจสอบทุจริต	ลบอย่างปลอดภัย
ข้อมูลการสมัครงาน (ไม่ได้รับการเลือก)	6 เดือน	การพิจารณาตำแหน่งในอนาคต	ลบ
ข้อมูลการสมัครงาน (ได้รับการเลือก)	ตลอดอายุการจ้าง + 7 ปี	ตามกฎหมายแรงงาน	ลบ/ส่งมอบให้บุคคล
ข้อมูลไบโอเมตริก	ตลอดอายุการใช้บริการ	การยืนยันตัวตน	ลบเมื่อยกเลิกบริการ
Log การใช้งานระบบ	1 ปี	ความมั่นคงปลอดภัย	ลบ
คุกกี้ที่จำเป็น	ตลอดเซสชัน/1 ปี	การให้บริการ	ลบอัตโนมัติ
คุกกี้ที่ไม่จำเป็น	13 เดือน (หรือตามความยินยอม)	การวิเคราะห์/การตลาด	ลบเมื่อถอนความยินยอม

8.3 วิธีการลบและทำลายข้อมูล

เมื่อครบกำหนดระยะเวลาเก็กรักษาหรือเมื่อเจ้าของข้อมูลขอให้ลบ บริษัทจะดำเนินการดังนี้

• ลบข้อมูลดิจิทัล ลบจากแหล่งจัดเก็บหลักและสำรองอย่างปลอดภัย (Secure Deletion)
• ทำให้ไม่ระบุตัวตนได้ (Anonymization) ในกรณีที่ต้องเก็บสถิติหรือสรุปข้อมูลที่ไม่สามารถระบุบุคคลได้
• ทำให้ไม่ชัดเจน (Pseudonymization) แยกข้อมูลตัวตนออกจากข้อมูลอื่น
• ทำลายข้อมูลกายภาพ ตัดทำลายสื่อบันทึก (Shredding) ตามขั้นตอนที่กำหนด

8.4 ข้อยกเว้นในการเก็บรักษา

บริษัทอาจเก็บข้อมูลส่วนบุคคลต่อไปได้ในกรณีต่อไปนี้

• มีกฎหมายกำหนดให้ต้องเก็บ เช่น กฎหมายภาษี กฎหมายแรงงาน กฎหมายว่าด้วยการป้องกันการฟอกเงิน
• จำเป็นเพื่อการสร้าง การใช้ การปกป้อง หรือการต่อสู้คดีทางกฎหมาย
• เจ้าของข้อมูลให้ความยินยอมในการเก็บข้อมูลต่อ
• จำเป็นเพื่อประโยชน์สาธารณะ หรือเพื่อการวิจัย/การเก็บสถิติ โดยไม่ระบุตัวบุคคลได้

9. สิทธิของเจ้าของข้อมูล

ตาม PDPA เจ้าของข้อมูลมีสิทธิ์ดังต่อไปนี้

• สิทธิ์ในการได้รับแจ้ง ให้บริษัทแจ้งรายละเอียดการเก็บข้อมูล
• สิทธิ์ในการเข้าถึง ขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคล
• สิทธิ์ในการแก้ไขให้ถูกต้อง ขอให้แก้ไขข้อมูลให้เป็นปัจจุบันและถูกต้อง
• สิทธิ์ในการลบ ขอให้ลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถเชื่อมโยงได้
• สิทธิ์ในการจำกัดการประมวลผล ระงับการใช้ข้อมูลชั่วคราว
• สิทธิ์ในการคัดค้าน คัดค้านการประมวลผลข้อมูลในบางกรณี
• สิทธิ์ในการเคลื่อนย้ายข้อมูล ขอให้โอนข้อมูลไปยังผู้ควบคุมข้อมูลอื่น
• สิทธิ์ในการถอนความยินยอม ถอนความยินยอมที่ให้ไว้

ผู้ใช้บริการสามารถใช้สิทธิ์ข้างต้นโดยติดต่อบริษัทตามช่องทางที่ระบุในหัวข้อ 13 บริษัทจะดำเนินการภายในระยะเวลาที่กฎหมายกำหนด (ไม่เกิน 30 วัน) ในกรณีที่ปฏิเสธคำขอ บริษัทจะแจ้งเหตุผลเป็นลายลักษณ์อักษร

10. การใช้คุกกี้และเทคโนโลยีติดตาม

บริษัทใช้คุกกี้และเทคโนโลยีที่คล้ายกันเพื่อปรับปรุงประสบการณ์การใช้งาน วิเคราะห์การใช้งาน และรักษาความปลอดภัย รายละเอียดเพิ่มเติมอยู่ในนโยบายคุกกี้ (Cookies Notice) ผู้ใช้บริการสามารถจัดการคุกกี้ได้ผ่านเบราว์เซอร์หรือผ่านแบนเนอร์ขอความยินยอมคุกกี้บนเว็บไซต์

11. การประมวลผลข้อมูลของเยาวชน

บริษัทจะเก็บรวบรวมข้อมูลส่วนบุคคลของเยาวชน (อายุต่ำกว่า 10 ปี) เมื่อได้รับความยินยอมจากผู้ใช้สิทธิ์ปกครองเท่านั้น สำหรับเยาวชนที่มีอายุตั้งแต่ 10 ปีแต่ไม่เกิน 18 ปี ต้องได้รับความยินยอมจากเยาวชนและผู้ใช้สิทธิ์ปกครอง

12. การละเมิดข้อมูลส่วนบุคคล

ในกรณีที่เกิดเหตุการณ์ละเมิดข้อมูลส่วนบุคคล บริษัทจะดำเนินการดังนี้

• ประเมินความรุนแรงและขอบเขตของเหตุการณ์
• ดำเนินการควบคุมและฟื้นฟูระบบ
• แจ้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ
• แจ้งเจ้าของข้อมูลเกี่ยวกับเหตุการณ์และมาตรการที่ดำเนินการ
• ทบทวนและปรับปรุงมาตรการรักษาความมั่นคงปลอดภัย

13. ช่องทางการติดต่อ

หากมีข้อสงสัยหรือต้องการใช้สิทธิ์ในฐานะเจ้าของข้อมูล สามารถติดต่อบริษัทได้ทาง

• บริษัท FORTSECURE GLOBAL CO., LTD.
• อีเมล data.privacy@fortsecureglobal.com
• เบอร์โทรศัพท์ ตามที่แสดงบนเว็บไซต์
• ที่อยู่ ตามที่แสดงบนเว็บไซต์

บริษัทจะพิจารณาและตอบกลับคำขอภายในระยะเวลาที่กฎหมายกำหนด

14. การแก้ไขนโยบาย

บริษัทขอสงวนสิทธิ์ในการแก้ไขหรือปรับปรุงนโยบายความเป็นส่วนตัวฉบับนี้ตามความเหมาะสม การแก้ไขจะมีผลบังคับใช้เมื่อเผยแพร่บนเว็บไซต์ โดยบริษัทจะระบุวันที่ปรับปรุงล่าสุดไว้ด้วย ผู้ใช้บริการควรตรวจสอบนโยบายเป็นระยะ การใช้บริการต่อหลังจากมีการแก้ไขนโยบายถือว่าผู้ใช้บริการยอมรับนโยบายที่ได้รับการปรับปรุงแล้ว

---

วันที่ปรับปรุงล่าสุด: สิงหาคม 2569