คลินิกทันตกรรมต้นแค สาขาดอนเมือง ถือใบอนุญาตให้ประกอบกิจการสถานพยาบาลเลขที่ 10103010068 อยู่ที่ เลขที่ 5/18 หมู่บ้านโฮมอินทาวน์ ชั้น 1-2 ถนนพหลโยธิน ตำบลสนามบิน อำเภอดอนเมือง จังหวัดกรุงเทพมหานคร ซึ่งต่อไปนี้จะเรียกว่า “คลินิก” ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ("กฎหมายคุ้มครองข้อมูลส่วนบุคคล") มีหน้าที่ต้องปฏิบัติตามกฎหมายดังกล่าว ซึ่งกำหนดให้การประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลซึ่งเป็นบุคคลธรรมดาที่ดำเนินการโดยคลินิก จะต้องปฏิบัติให้เป็นไปตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด รวมถึงการแจ้งข้อมูลให้แก่เจ้าของข้อมูลส่วนบุคคลทราบตามประกาศฉบับนี้

Toncare holds the medical facility license number 10103010068 located at 5/18 หมู่บ้านโฮมอินทาวน์ ชั้น 1-2 ถนนพหลโยธิน ตำบลสนามบิน อำเภอดอนเมือง จังหวัดกรุงเทพมหานคร, hereinafter referred to as the "Clinic", as the Data Controller under the Personal Data Protection Act B.E. 2562 ("PDPA"). The Clinic has the duty to comply with the PDPA, which requires that processing of personal data of individuals carried out by the Clinic must comply with the PDPA, including informing the data subjects of the details in this privacy notice.

1. คำนิยาม

1. Definitions

• "ข้อมูลส่วนบุคคล" "Personal Data" หมายถึง ข้อมูลของบุคคลที่มีชีวิตอยู่ที่สามารถระบุตัวตนของบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม means any information relating to a living individual, which enables the identification of such person, whether directly or indirectly.
• "ข้อมูลส่วนบุคคลที่อ่อนไหว" "Sensitive Personal Data" หมายถึง ข้อมูลส่วนบุคคลที่เกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ (เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลองลายนิ้วมือ) หรือข้อมูลอื่นใดที่กระทบต่อเจ้าของข้อมูลในทำนองเดียวกัน ตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด ในบริบทของคลินิกทันตกรรม ข้อมูลด้านสุขภาพและข้อมูลทางทันตกรรมทั้งหมดถือเป็นข้อมูลส่วนบุคคลที่อ่อนไหว (ดูเครื่องหมาย * ในตาราง) means personal data concerning racial, ethnic origin, political opinions, cult, religious or philosophical beliefs, sexual behavior, criminal records, health data, disability, trade union information, genetic data, biometric data (e.g. facial recognition, fingerprint simulation), or any other data which affects the data subject in the same manner as prescribed by the Personal Data Protection Committee. In the dental clinic context, all health and dental records are deemed sensitive personal data (indicated with * in the table).
• "ข้อมูลการรักษาทางทันตกรรม" "Dental Treatment Records" หมายถึง วันเดือนปีที่เข้ารับการรักษา ประวัติการแพ้ยาและผลข้างเคียงจากยา ประวัติการแพ้อาหาร ชื่อโรคที่ได้รับการวินิจฉัย ชื่อหัตถการและชื่อการผ่าตัด ผลตรวจเลือดและผลตรวจทางห้องปฏิบัติการ ผลตรวจชิ้นเนื้อทางพยาธิวิทยา ภาพถ่ายทางรังสีวิทยาและรายงานผล และรายการยาที่ทันตแพทย์สั่ง means dates of treatment, drug allergy and side effects history, food allergy history, diagnosed disease name, medical procedures/surgery name, lab/blood test results, pathology results, radiographs and reports, and dentist prescriptions.
• "ประมวลผล" "Process / Processing" หมายถึง กิจกรรมต่าง ๆ ที่กระทำกับข้อมูลส่วนบุคคล ตั้งแต่การเก็บรวบรวม การใช้ การเปิดเผย จนถึงการลบหรือทำลาย means any operation performed on personal data, such as collection, recording, usage, disclosure, erasure, or destruction.
• "ผู้ควบคุมข้อมูลส่วนบุคคล" "Data Controller" หมายถึง บุคคลหรือนิติบุคคลที่มีอำนาจตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล means a person or juristic person having the power and duties to make decisions regarding the collection, use, or disclosure of personal data.
• "ผู้ประมวลผลข้อมูลส่วนบุคคล" "Data Processor" หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล means a person or juristic person who operates in relation to the collection, use, or disclosure of personal data pursuant to the instructions or on behalf of the Data Controller.

2. ประเภทข้อมูลส่วนบุคคลที่คลินิกเก็บรวบรวมจากท่าน

2. Types of Personal Data Collected by the Clinic

ข้อมูลส่วนบุคคลของท่านที่คลินิกเก็บรวบรวมสามารถจำแนกได้ดังต่อไปนี้ (ประเภทที่มีเครื่องหมาย * ถือเป็นข้อมูลอ่อนไหว ซึ่งคลินิกจะประมวลผลเฉพาะเมื่อมีฐานทางกฎหมายที่เพียงพอตามมาตรา 26 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เท่านั้น)

The personal data collected by the Clinic can be categorized as follows (Categories marked with * are sensitive data, which the Clinic processes only under sufficient legal grounds pursuant to Section 26 of the PDPA B.E. 2562):

3. การเก็บรวบรวมข้อมูลส่วนบุคคลและแหล่งที่มา

3. Collection of Personal Data and Sources

คลินิกอาจเก็บรวบรวมข้อมูลส่วนบุคคลของท่านทั้งโดยทางตรงและทางอ้อม จากแหล่งที่มาดังต่อไปนี้:

The Clinic may collect your personal data directly and indirectly from the following sources:

• 1. ข้อมูลที่ได้รับโดยตรงจากท่าน: 1. Directly from you: ได้แก่ การที่ท่านติดต่อสอบถามเรื่องบริการ หรือลงทะเบียนเข้ารับบริการตรวจและรักษา ไม่ว่าด้วยตนเองหรือผ่านช่องทางออนไลน์ when you contact us to inquire about services, or register for checkups and treatments, whether in person or online.
• 2. ข้อมูลที่ได้รับโดยทางอ้อม: 2. Indirectly from third parties: ได้แก่ such as:
  • 2.1 บุคคลที่มีความใกล้ชิดกับท่าน 2.1 Persons close to you เช่น ญาติ คู่สมรส such as relatives, spouses.
  • 2.2 บุคคลที่ท่านมอบอำนาจให้ดำเนินการแทน 2.2 An authorized representative ในการติดต่อกับคลินิก acting on your behalf in contacting the Clinic.
  • 2.3 สถานพยาบาลในเครือข่าย 2.3 Network healthcare facilities ในกรณีที่ท่านได้ให้ความยินยอมแก่สถานพยาบาลดังกล่าวให้เปิดเผยข้อมูลของท่านได้ where you have consented to disclosure.
  • 2.4 หน่วยงานภาครัฐ เอกชน หรือรัฐวิสาหกิจ 2.4 Government agencies, private sectors, or state enterprises ที่เป็นผู้ส่งท่านมาตรวจรักษาหรือเป็นผู้ชำระค่าบริการแทนท่าน who refer you for treatment or cover your medical bills.

4. วัตถุประสงค์ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล

4. Purposes of Collection, Use, and Disclosure of Personal Data

คลินิกประมวลผลข้อมูลส่วนบุคคลของท่านภายใต้ขอบเขตที่กำหนดโดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และเก็บรวบรวมข้อมูลเพียงเท่าที่จำเป็น โดยสรุปการใช้ข้อมูลและฐานการประมวลผลที่ชอบด้วยกฎหมายได้ดังนี้

The Clinic processes your personal data within the scope set by the PDPA B.E. 2562 and collects only what is necessary. The purposes and legal grounds are summarized below:

5. ผู้ที่ได้รับการเปิดเผยหรือแบ่งปันข้อมูลส่วนบุคคลจากคลินิก

5. Parties to Whom Personal Data May Be Disclosed

คลินิกจะไม่เปิดเผยข้อมูลส่วนบุคคลของท่านให้บุคคลภายนอกโดยไม่มีฐานการประมวลผลที่ชอบด้วยกฎหมาย ยกเว้นกรณีที่กฎหมายอนุญาต ซึ่งคลินิกอาจเปิดเผยข้อมูลในกรณีจำเป็นดังต่อไปนี้:

The Clinic will not disclose your personal data to third parties without lawful processing grounds, except as permitted by law. We may disclose under necessity to:

• 1. หน่วยงานราชการและหน่วยงานผู้มีอำนาจ: 1. Government Agencies and Competent Authorities: คลินิกอาจเปิดเผยข้อมูลของท่านเมื่อมีกฎหมายกำหนดหรือให้อำนาจ รวมถึงการปฏิบัติตามคำสั่งศาล หรือคำสั่งของพนักงานเจ้าหน้าที่ตามกฎหมาย We may disclose your data when required or empowered by law, including court orders or lawful officer commands.
• 2. บุคคลหรือนิติบุคคลที่คลินิกจำเป็นต้องปฏิบัติตามสัญญาเพื่อประโยชน์ของท่าน: 2. Parties Necessary for Contract Performance: โดยบุคคลเหล่านี้ต้องผูกพันตามหน้าที่ในการรักษาความลับและคุ้มครองข้อมูลของท่านตามมาตรฐานที่กฎหมายกำหนด ได้แก่: These parties must bind to confidentiality obligations and protect data under legal standards:
  • • หน่วยงานภายในของคลินิก: เพื่อปรึกษาหารือระหว่างทันตแพทย์ผู้เชี่ยวชาญ คณะแพทย์ หรือบุคลากรภายในที่มีส่วนหน้าที่จำเป็นต่อการวินิจฉัยและรักษาพยาบาลของท่าน • Internal medical staff: For consultation among dentists, specialists, or personnel involved in diagnosis and healthcare.
  • • ผู้ให้บริการภายนอก (Outsource): เช่น ผู้ให้บริการระบบเทคโนโลยีสารสนเทศ (IT Support) ผู้พัฒนาระบบคลาวด์ ผู้ประมวลผลการชำระเงิน หรือห้องปฏิบัติการทันตกรรม (Dental Lab) ซึ่งคลินิกจะจัดให้มีข้อตกลงประมวลผลข้อมูล (Data Processing Agreement) ร่วมกับผู้ให้บริการดังกล่าวทุกรายเพื่อควบคุมความปลอดภัย • External Outsource Providers: IT support, cloud providers, payment processors, or dental labs under a strict Data Processing Agreement.
  • • สถานพยาบาลในเครือข่ายและพันธมิตร: เพื่อประโยชน์สูงสุดในการส่งต่อผู้ป่วย (Refer) หรือเพื่อร่วมให้บริการรักษาพยาบาลที่มีประสิทธิภาพและต่อเนื่องยิ่งขึ้น • Network clinics and partners: For optimal patient referral or continuation of efficient treatment.
  • • สถาบันการเงิน ธนาคาร และบริษัทประกันภัย: เพื่อจุดประสงค์การชำระเงิน ตรวจสอบสิทธิ์ เรียกเก็บเงิน หรือเพื่ออำนวยความสะดวกในการเคลมประกันภัยสุขภาพของท่าน • Banks and Insurance Companies: For payment, billing, audit, and processing health insurance claims.
  • • หน่วยงานราชการที่เกี่ยวข้อง: เพื่อการรายงานข้อมูล สถิติ หรือปฏิบัติตามข้อกำหนดและระเบียบข้อบังคับทางกฎหมายควบคุมสถานพยาบาล • Regulatory bodies: For compliance reporting, health statistics, and medical facility standards.

6. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

6. Personal Data Retention Period

คลินิกมีมาตรการในการกำหนดระยะเวลาจัดเก็บข้อมูลส่วนบุคคลที่เหมาะสม โดยการเก็บรักษาเวชระเบียน (Medical Records) จะอ้างอิงมาตรฐานหลักเกณฑ์ทางกฎหมายตามที่กำหนดไว้ในกฎกระทรวงที่ออกตามพระราชบัญญัติสถานพยาบาล พ.ศ. 2541 (และฉบับแก้ไขเพิ่มเติม) ดังต่อไปนี้:

The Clinic retains personal data for appropriate durations. Medical records retention is referenced to ministerial regulations under the Sanatorium Act B.E. 2541:

เมื่อเวชระเบียนของท่านครบกำหนดระยะเวลาจัดเก็บตามเกณฑ์ข้างต้นแล้ว คลินิกจะดำเนินการ ลบ ทำลาย หรือทำให้ข้อมูลนั้นไม่สามารถระบุตัวบุคคลได้อีกต่อไป ซึ่งครอบคลุมทั้งเอกสารฉบับจริง แฟ้มสำเนา และไฟล์ข้อมูลในรูปแบบอิเล็กทรอนิกส์ทั้งหมดตามมาตรฐานความปลอดภัยไอทีขั้นสูง

When medical records reach the expiry, the Clinic will erase, destroy, or anonymize the data across physical papers and digital databases.

สำหรับข้อมูลส่วนบุคคลประเภทอื่น: คลินิกจะเก็บรักษาข้อมูลไว้ตราบเท่าที่วัตถุประสงค์ของการนำข้อมูลไปใช้ประมวลผลยังคงมีอยู่ หลังจากนั้นจะดำเนินการลบหรือทำลายข้อมูลทันที เว้นแต่กรณีที่มีความจำเป็นต้องเก็บรักษาต่อตามที่ข้อบังคับกฎหมายกำหนด หรือเพื่อประโยชน์ในการต่อสู้สิทธิ์ตามกฎหมายของคลินิก โดยจะมีระยะเวลาจัดเก็บสูงสุด ไม่เกิน 10 ปี นับจากวันสิ้นสุดความสัมพันธ์ เว้นแต่กฎหมายบัญญัติไว้เป็นอย่างอื่น

Other Personal Data Categories: We retain data only as long as purposes exist, up to 10 years from relation end, unless statutory laws specify otherwise.

7. มาตรการในการเก็บรักษาและประมวลผลข้อมูลส่วนบุคคล

7. Security Measures for Data Protection

คลินิกตระหนักถึงความสำคัญในการรักษาความปลอดภัยของข้อมูลส่วนบุคคลของท่าน จึงได้กำหนดมาตรการรักษาความมั่นคงปลอดภัยที่ครอบคลุมทั้ง 3 ด้านหลัก ได้แก่ (1) มาตรการด้านการบริหารจัดการ (Administrative Safeguard) (2) มาตรการด้านเทคนิค (Technical Safeguard) และ (3) มาตรการด้านกายภาพ (Physical Safeguard) เพื่อป้องกันการสูญหาย การเข้าถึง ทำลาย ใช้ ดัดแปลง หรือเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต โดยมีแนวทางปฏิบัติทางเทคโนโลยีและระเบียบองค์กร ดังต่อไปนี้:

The Clinic guarantees security measures covering: (1) Administrative Safeguards, (2) Technical Safeguards, and (3) Physical Safeguards to prevent unauthorized access, loss, use, alteration, or disclosure:

• การจัดวางโครงสร้างองค์กร: กำหนดนโยบาย แนวทาง และขั้นตอนปฏิบัติที่ชัดเจนในการรักษาความมั่นคงปลอดภัยและการจัดการข้อมูลอย่างปลอดภัยทั่วทั้งองค์กร Organizational Framework: Establish policies, guidelines, and clear operating procedures for data security governance.
• การจำกัดสิทธิ์ภายใน: จำกัดสิทธิ์การเข้าถึงข้อมูลส่วนบุคคลและข้อมูลสุขภาพของบุคลากรภายในคลินิกอย่างเข้มงวดตามความจำเป็นในการปฏิบัติงาน (Need-to-know basis) Access Control: Restrict internal clinical system access on a strict need-to-know basis.
• เทคโนโลยีการเข้ารหัสและการป้องกัน: ป้องกันการเข้าถึงข้อมูลทางระบบเครือข่ายโดยไม่ได้รับอนุญาต โดยใช้การเข้ารหัสข้อมูลที่รัดกุม ระบบตรวจสอบยืนยันตัวตนก่อนใช้งาน (Authentication) เทคโนโลยีตรวจจับภัยคุกคามทางไซเบอร์ และการรับส่งข้อมูลผ่านช่องทางสื่อสารที่ปลอดภัยด้วยโปรโตคอลมาตรฐาน (SSL/TLS) Encryption & Technology: Use strong authentication, end-to-end encryption, network firewalls, and secure SSL/TLS protocols for data transit.
• การกำกับดูแลคู่สัญญา: กำหนดและควบคุมให้ผู้ให้บริการภายนอก (Outsource) ที่ทำหน้าที่ประมวลผลข้อมูล ต้องปฏิบัติตามหลักเกณฑ์การรักษาความลับและมาตรฐานด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัด Outsource Management: Supervise processors and enforce confidentiality under Data Processing Agreements.

8. การโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

8. Cross-Border Personal Data Transfer

ในการดำเนินงานและบริหารจัดการระบบสารสนเทศเพื่อประโยชน์ในการบริการตรวจรักษาทางทันตกรรม คลินิกอาจมีความจำเป็นต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ โดยมีหลักเกณฑ์และแนวปฏิบัติดังต่อไปนี้:

To manage IT systems for dental operations, the Clinic may need to transfer data abroad under the following conditions:

• 8.1 กรณีการใช้บริการระบบจัดเก็บข้อมูลภายนอกประเทศ (Cloud Computing) 8.1 Cloud Computing & Storage ในบางกรณี คลินิกอาจมีความจำเป็นต้องโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ เช่น การสำรองข้อมูลหรือใช้บริการระบบซอฟต์แวร์คลาวด์ที่ตั้งอยู่ต่างประเทศ คลินิกจะดำเนินการดังกล่าวได้หลังจากแจ้งให้ท่านทราบถึงวัตถุประสงค์ และได้รับความยินยอมจากท่าน (ในกรณีที่กฎหมายกำหนดให้ต้องขอความยินยอม) พร้อมทั้งชี้แจงให้ท่านทราบล่วงหน้าว่า มาตรฐานการคุ้มครองข้อมูลส่วนบุคคลของประเทศปลายทางดังกล่าวอาจไม่เทียบเท่ามาตรฐานที่กำหนดไว้ในประเทศไทย For backups or software hosted on foreign cloud servers, data subjects will be notified and asked for consent when required, acknowledging that target country standards may differ from Thailand's.
• 8.2 ข้อยกเว้นกรณีความจำเป็นตามสัญญาและคำร้อง 8.2 Contractual Necessity Exception ในกรณีที่การโอนข้อมูลส่วนบุคคลนั้น มีความจำเป็นเพื่อปฏิบัติตามสัญญาซึ่งท่านเป็นคู่สัญญา หรือเพื่อดำเนินการตามคำขอของท่านก่อนที่จะเข้าทำสัญญานั้น คลินิกสามารถดำเนินการโอนข้อมูลของท่านได้โดยชอบตามกฎหมายโดยไม่จำเป็นต้องขอความยินยอมซ้ำ ทั้งนี้ คลินิกจะแจ้งเหตุผลและรายละเอียดของการโอนข้อมูลดังกล่าวให้ท่านทราบอย่างโปร่งใส (อ้างอิงหลักเกณฑ์ตามมาตรา 28-29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562) When transfer is necessary for executing a contract to which you are party, the Clinic transfers data legally without duplicate consent.

9. สิทธิของเจ้าของข้อมูลส่วนบุคคล

9. Data Subject Rights

การใช้สิทธิในเรื่องใด ๆ ตามที่ระบุไว้ในข้อ 9 นี้ ให้เป็นไปตามหลักเกณฑ์และวิธีการที่กำหนดไว้ในข้อ 10 ทั้งนี้ สิทธิดังกล่าวอาจได้รับการปรับปรุงให้เป็นไปตามหลักเกณฑ์ที่กฎหมายกำหนด คลินิกจะแจ้งให้ท่านทราบต่อไป

Exercising rights listed in this section must comply with rules in Section 10. These rights are subject to statutory conditions under the PDPA:

10. ช่องทางการติดต่อและการยื่นคำขอใช้สิทธิ

10. Contact Channels & Exercising Rights

หากท่านมีคำถามหรือข้อสงสัยใด ๆ เกี่ยวกับประกาศความเป็นส่วนตัวฉบับนี้ หรือมีความประสงค์จะใช้สิทธิในฐานะเจ้าของข้อมูลส่วนบุคคล (DSAR) ตลอดจนต้องการยื่นข้อร้องเรียนประการใด กรุณาติดต่อประสานงานมายังคลินิกตามรายละเอียดช่องทางดังต่อไปนี้:

If you have any questions concerning this notice, or wish to submit a Data Subject Right request (DSAR), please contact us at: