นโยบายฉบับนี้อธิบายการประมวลผลข้อมูลส่วนบุคคลภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ("PDPA") สำหรับการใช้บริการระบบบริหารงานบุคคล เวลาทำงาน และเงินเดือน
1. บทบาทของคู่สัญญา
- ลูกค้า (นายจ้าง) เป็น ผู้ควบคุมข้อมูลส่วนบุคคล ของข้อมูลพนักงานที่บันทึกเข้าสู่ระบบ
- ผู้ให้บริการ เป็น ผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งประมวลผลตามคำสั่งและเพื่อวัตถุประสงค์ของลูกค้าเท่านั้น
- ข้อความในหมวดนี้ถือเป็นข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) ระหว่างลูกค้ากับผู้ให้บริการ
2. ข้อมูลส่วนบุคคลที่ประมวลผล
- ข้อมูลพนักงาน: ชื่อ-นามสกุล รหัสพนักงาน เลขประจำตัวประชาชน ที่อยู่ เบอร์โทร อีเมล ตำแหน่ง แผนก บัญชีธนาคาร
- ข้อมูลการทำงาน: เวลาเข้า-ออกงาน พิกัด GPS ณ จุดลงเวลา รูปถ่ายยืนยันตัวตน ตารางกะ การลา การทำงานล่วงเวลา
- ข้อมูลค่าตอบแทน: เงินเดือน เงินได้-เงินหัก ภาษี เงินสมทบประกันสังคม กองทุนสำรองเลี้ยงชีพ
- ข้อมูลอ่อนไหวเท่าที่จำเป็น: เอกสารประกอบการลาป่วย (ใบรับรองแพทย์) ซึ่งจัดเก็บในพื้นที่ปิดและเข้าถึงได้เฉพาะผู้มีสิทธิ์
3. วัตถุประสงค์การประมวลผล
- การบริหารงานบุคคล การลงเวลา การจัดตารางกะ การลา และการอนุมัติคำขอ
- การคำนวณและจ่ายค่าตอบแทน รวมถึงการจัดทำเอกสารตามกฎหมาย (ภ.ง.ด.1, 50 ทวิ, สปส.1-10)
- การปฏิบัติตามกฎหมายแรงงาน ภาษีอากร และประกันสังคมของลูกค้าในฐานะนายจ้าง
4. หน้าที่ของผู้ให้บริการ (ผู้ประมวลผล)
- ประมวลผลข้อมูลตามคำสั่งของลูกค้าและตามนโยบายฉบับนี้เท่านั้น
- จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม: การควบคุมสิทธิ์เข้าถึงรายแถวข้อมูล (row-level security) การเข้ารหัสระหว่างรับส่งข้อมูล และการจัดเก็บไฟล์ในพื้นที่ปิดที่ต้องขอสิทธิ์เข้าถึงเป็นครั้ง ๆ
- ไม่เปิดเผยข้อมูลแก่บุคคลภายนอก เว้นแต่ผู้ให้บริการช่วงที่จำเป็นต่อการให้บริการ (ผู้ให้บริการฐานข้อมูลและโครงสร้างพื้นฐานคลาวด์ ผู้ให้บริการแจ้งเตือน) ซึ่งผูกพันตามมาตรการคุ้มครองข้อมูลไม่ต่ำกว่านโยบายฉบับนี้
- แจ้งลูกค้าโดยไม่ชักช้าเมื่อทราบเหตุละเมิดข้อมูลส่วนบุคคล เพื่อให้ลูกค้าแจ้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ภายในเวลาที่กฎหมายกำหนด
- บันทึกการเข้าถึงและการแก้ไขข้อมูลสำคัญไว้เป็นหลักฐานการตรวจสอบ (audit log)
5. หน้าที่ของลูกค้า (ผู้ควบคุม)
- มีฐานทางกฎหมายในการประมวลผลข้อมูลพนักงาน (เช่น สัญญาจ้าง การปฏิบัติตามกฎหมาย ประโยชน์อันชอบธรรม) และขอความยินยอมเมื่อกฎหมายกำหนด
- แจ้งประกาศความเป็นส่วนตัว (privacy notice) ต่อพนักงานของตน ครอบคลุมการเก็บพิกัดและรูปถ่ายเพื่อยืนยันการลงเวลา
- ดำเนินการตามคำขอใช้สิทธิของเจ้าของข้อมูล (เข้าถึง แก้ไข ลบ คัดค้าน โอนย้าย) โดยใช้เครื่องมือในระบบหรือติดต่อผู้ให้บริการ
6. ระยะเวลาจัดเก็บ
- ข้อมูลจัดเก็บตลอดระยะเวลาการใช้บริการ และตามระยะเวลาที่กฎหมายแรงงาน/ภาษีกำหนดให้นายจ้างเก็บรักษาเอกสาร
- เมื่อสิ้นสุดบริการ ลูกค้าเลือกได้ว่าจะรับสำเนาข้อมูลหรือให้ลบข้อมูลทั้งหมด ภายใน 90 วันนับแต่วันสิ้นสุด
7. สิทธิของเจ้าของข้อมูล
พนักงานของลูกค้ามีสิทธิตาม PDPA ในการขอเข้าถึง ขอสำเนา ขอแก้ไข ขอลบ ขอระงับ คัดค้านการประมวลผล และขอโอนย้ายข้อมูลของตน โดยยื่นคำขอผ่านนายจ้างซึ่งเป็นผู้ควบคุมข้อมูล
8. ช่องทางติดต่อ
คำถามเกี่ยวกับนโยบายฉบับนี้หรือการใช้สิทธิ ติดต่อผู้ดูแลระบบขององค์กรท่าน หรือช่องทางติดต่อของผู้ให้บริการที่แสดงในระบบ