PDPA Compliance

ROONA กับ PDPA

ในการตรวจสอบ AML/PEPs ธุรกิจของท่านคือ "ผู้ควบคุมข้อมูล" ของลูกค้าท่าน และ ROONA ทำหน้าที่เป็น "ผู้ประมวลผลข้อมูล" ตามคำสั่งของท่าน เราจึงปฏิบัติตาม PDPA ทั้งในฐานะผู้ประมวลผลให้ลูกค้าธุรกิจ และในฐานะผู้ควบคุมข้อมูลบัญชีผู้ใช้งานของท่านเอง

• เก็บเท่าที่จำเป็น (Data Minimization): ขอเฉพาะข้อมูลที่ใช้ตรวจสอบจริงเท่านั้น
• โปร่งใส: แจ้งวัตถุประสงค์การใช้ข้อมูลทุกครั้งก่อนเก็บ
• ปลอดภัยโดยออกแบบ: เข้ารหัสและควบคุมการเข้าถึงตั้งแต่ระดับสถาปัตยกรรม

ฐานทางกฎหมายในการประมวลผล

เราประมวลผลข้อมูลส่วนบุคคลบนฐานทางกฎหมายที่ PDPA รับรอง ดังนี้:

• หน้าที่ตามกฎหมาย (Legal Obligation): การตรวจสอบ AML/PEPs และการเก็บ Audit Log เป็นไปตาม พ.ร.บ. ปปง.
• การปฏิบัติตามสัญญา (Contract): เพื่อให้บริการตรวจสอบตามที่ท่านสมัครใช้งาน
• ความยินยอม (Consent): สำหรับข้อมูลการตลาดและการสื่อสาร ซึ่งท่านถอนได้ทุกเมื่อ
• ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest): เพื่อความปลอดภัยของระบบและการป้องกันการทุจริต

การวิเคราะห์เว็บไซต์ (Website Analytics)

เมื่อท่านยินยอม เราใช้ Google Analytics 4 เก็บข้อมูลการใช้งานเว็บ เช่น หน้าที่เข้าชมและการคลิกปุ่ม

• ฐานกฎหมาย: ความยินยอม (PDPA ม.19) ซึ่งต่างจากการคัดกรอง AML ที่ใช้ฐานการปฏิบัติหน้าที่ตามกฎหมาย
• ข้อมูลที่เก็บ: เหตุการณ์การใช้งานและรหัสอุปกรณ์ (client ID) ของ Google Analytics โดยเราปฏิบัติต่อ client ID เสมือนข้อมูลส่วนบุคคล ไม่เก็บ IP และไม่ส่ง User-ID
• ผู้ประมวลผลช่วง: Google LLC โดยโอนข้อมูลไปสหรัฐอเมริกาภายใต้มาตรการคุ้มครองการโอนข้อมูลระหว่างประเทศของ Google
• ระยะเวลาเก็บ: 14 เดือน
• สิทธิของท่าน: ถอนความยินยอม เข้าถึง หรือลบข้อมูลได้ทุกเมื่อผ่าน "ตั้งค่าคุกกี้" ที่ท้ายทุกหน้า หรือติดต่อ DPO: [ระบุช่องทาง]

ข้อมูลที่เราประมวลผล

ข้อมูลที่เกี่ยวข้องกับการตรวจสอบ ได้แก่ ชื่อ-นามสกุล เลขบัตรประชาชน วันเดือนปีเกิด และผลการเทียบกับฐานข้อมูล AML/PEPs/Sanctions

มาตรการความปลอดภัย

เราลงทุนอย่างจริงจังในการรักษาความปลอดภัยของข้อมูล เพราะเข้าใจว่าท่านกำลังส่งข้อมูลลูกค้าของท่านมาให้เราดูแล

• เข้ารหัส End-to-End ทั้งระหว่างส่ง (Transit) และขณะเก็บ (At Rest) ด้วย TLS 1.3 และ AES-256
• ลบรูปบัตรทันทีหลังประมวลผล ไม่มีการเก็บรูปภาพบัตรประชาชนในระบบ ณ จุดใดทั้งสิ้น
• Role-Based Access Control (RBAC) ควบคุมสิทธิ์การเข้าถึงข้อมูลตามบทบาทผู้ใช้งาน
• ตรวจสอบ Log ทุกการกระทำ เก็บ Audit Trail ครบถ้วน ตรวจย้อนหลังได้ว่าใครเข้าถึงข้อมูลใดเมื่อไหร่
• Infrastructure ระดับองค์กร บน Cloud มาตรฐานสากล พร้อม Uptime 99.9%
• Penetration Testing และการตรวจสอบช่องโหว่เป็นประจำโดยผู้เชี่ยวชาญอิสระ

การเก็บรักษาข้อมูล

เราเก็บข้อมูลเท่าที่จำเป็นและตามที่กฎหมายกำหนดเท่านั้น โดยมีระยะเวลาดังนี้:

เมื่อครบกำหนด ข้อมูลจะถูกลบหรือทำให้ไม่สามารถระบุตัวตนได้ (Anonymize) อย่างปลอดภัยและเป็นระบบ

สิทธิ์ของเจ้าของข้อมูล

ในฐานะเจ้าของข้อมูลส่วนบุคคล ท่านมีสิทธิ์ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ดังนี้:

ท่านสามารถใช้สิทธิ์ข้างต้นได้โดยไม่มีค่าใช้จ่าย เราจะตอบกลับภายใน 30 วันนับจากวันที่ได้รับคำขอ

ส่งคำขอใช้สิทธิ์ผ่าน LINE OA @roona →

การร้องเรียนต่อ PDPC

หากท่านเห็นว่าเราประมวลผลข้อมูลของท่านไม่ถูกต้องตาม PDPA ท่านมีสิทธิ์ยื่นเรื่องร้องเรียนต่อ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ได้โดยตรงที่ www.pdpc.or.th

อย่างไรก็ตาม เรายินดีรับฟังและแก้ไขทุกข้อกังวลของท่านก่อนเสมอ โปรดติดต่อเราเป็นช่องทางแรก