ประกาศความเป็นส่วนตัวฉบับนี้จัดทำขึ้นโดย คลินิกทันตกรรมต้นแค สาขาดอนเมือง ถือใบอนุญาตให้ประกอบกิจการสถานพยาบาลเลขที่ 10103010068 ที่อยู่ 5/18 หมู่บ้านโฮมอินทาวน์ ชั้น 1-2 ถนนพหลโยธิน ตำบลสนามบิน อำเภอดอนเมือง จังหวัดกรุงเทพมหานคร ซึ่งต่อไปนี้จะเรียกว่า “คลินิก” ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“กฎหมายคุ้มครองข้อมูลส่วนบุคคล”) มีหน้าที่ต้องปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

ซึ่งทำให้การประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลซึ่งเป็นบุคคลธรรมดาที่ดำเนินการโดยคลินิก จะต้องปฏิบัติให้เป็นไปตามที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนด รวมถึงการแจ้งข้อมูลให้แก่เจ้าของข้อมูลส่วนบุคคลทราบตามหนังสือฉบับนี้

1. คำนิยาม

• "ข้อมูลส่วนบุคคล" หมายถึง ข้อมูลส่วนบุคคลของคนที่มีชีวิตอยู่ที่สามารถระบุตัวตนของบุคคลนั้น ได้ไม่ว่าทางตรงหรือทางอ้อม
• "ข้อมูลส่วนบุคคลที่อ่อนไหว" หมายถึง ข้อมูลส่วนบุคคลที่เกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ (เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลอง ฟันและเหงือก ข้อมูลจำลองลายนิ้วมือ) หรือข้อมูลอื่นใดที่กระทบต่อเจ้าของข้อมูลส่วนบุคคลในทำนอง เดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
• "ประมวลผล" หมายถึง กิจกรรมต่าง ๆ ที่ทำกับข้อมูลส่วนบุคคล ตั้งแต่เริ่มต้นจนจบกระบวนการ เช่น การเก็บรวบรวม การใช้ การเปิดเผย จนถึงการลบหรือทำลาย
• "ผู้ควบคุมข้อมูลส่วนบุคคล" หมายถึง บุคคลหรือนิติบุคคลที่มีอำนาจในการตัดสินใจเกี่ยวกับการ เก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
• "ผู้ประมวลผลข้อมูลส่วนบุคคล" หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการเกี่ยวกับการเก็บ รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล

2. ข้อมูลส่วนบุคคลที่คลินิกเก็บรวบรวมจากท่าน

ข้อมูลส่วนบุคคลของท่านที่คลินิกเก็บรวบรวม สามารถจำแนกเป็นประเภทตามรายละเอียดดังต่อไปนี้:

3. การเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลและแหล่งที่มา

คลินิกอาจเก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูล ทั้งโดยทางตรงและทางอ้อมจากการดำเนินความสัมพันธ์ทางธุรกิจ สัญญา หรือการติดต่อประสานงานใดๆ ระหว่างท่านกับคลินิก คลินิกมีความจำเป็นต้องเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน (ซึ่งรวมถึงบุคคลธรรมดาที่เกี่ยวเนื่องกับคู่ค้าที่เป็นนิติบุคคล เช่น กรรมการผู้มีอำนาจลงนาม ผู้รับมอบอำนาจ ผู้ประสานงาน ลูกจ้าง หรือพนักงานของคู่ค้า) โดยมีแหล่งที่มาของข้อมูลส่วนบุคคลดังต่อไปนี้:

• 1. ข้อมูลส่วนบุคคลที่ได้โดยตรงจากท่าน: ได้แก่ การติดต่อสื่อสาร การเจรจาทางธุรกิจ การเสนอราคา การเข้าทำสัญญาลงนาม การลงทะเบียนคู่ค้าใหม่ การส่งมอบสินค้าหรือบริการ
• 2. ข้อมูลส่วนบุคคลที่ได้รับโดยทางอ้อม: ได้แก่
  • • 2.1 บุคคลที่ท่านมอบอำนาจให้ดำเนินการแทนตัวท่านในการติดต่อกับคลินิก
  • • 2.2 บริษัทคู่ค้าหรือหน่วยงานต้นสังกัดของท่าน

4. วัตถุประสงค์ในการเก็บรวบรวม ใช้และเปิดเผยข้อมูลส่วนบุคคล

คลินิกประมวลผลข้อมูลส่วนบุคคลของท่านภายใต้ขอบเขตที่กำหนดไว้โดยพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และเก็บรวบรวมข้อมูลเพียงเท่าที่จำเป็นสำหรับการดำเนินการดังกล่าว โดยคลินิกได้สรุปแผนผังความสัมพันธ์ไว้ดังนี้:

5. ผู้ที่ได้รับการเปิดเผยหรือแบ่งปันข้อมูลส่วนบุคคลจากคลินิก

คลินิกจะไม่เปิดเผยข้อมูลส่วนบุคคลของท่านให้บุคคลภายนอก โดยไม่มีฐานการประมวลผลข้อมูลโดยชอบด้วยกฎหมาย ยกเว้นเป็นกรณีที่กฎหมายอนุญาตเพื่อความจำเป็นในการปฏิบัติงาน ซึ่งทำให้คลินิกอาจเปิดเผยข้อมูลส่วนบุคคลได้ในกรณีต่อไปนี้:

• • 1. เปิดเผยข้อมูลส่วนบุคคลให้หน่วยงานราชการ หน่วยงานผู้มีอำนาจหรือบุคคลใดๆ เมื่อมีกฎหมายกำหนดหรือให้อำนาจ รวมถึงการปฏิบัติตามคำสั่งศาล
• • 2. การเปิดเผยข้อมูลส่วนบุคคลให้กับบุคคลหรือนิติบุคคลที่คลินิกจำเป็นต้องปฏิบัติตามสัญญาเพื่อผลประโยชน์ของท่านในฐานะเจ้าของข้อมูลส่วนบุคคล โดยคลินิกกำหนดให้บุคคลหรือนิติบุคคลเหล่านี้ต้องรักษาความลับและคุ้มครองข้อมูลส่วนบุคคลของท่านตามมาตรฐานที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนด ซึ่งบุคคลหรือนิติบุคคลในข้อนี้ได้แก่:
  • - ผู้ให้บริการภายนอก: คลินิกอาจทำการเปิดเผยข้อมูลส่วนบุคคลของท่านไปให้กับผู้ให้บริการภายนอก ในบางกิจกรรม เช่น การให้บริการเซิร์ฟเวอร์สำหรับเว็บไซต์ การวิเคราะห์ข้อมูล การประมวลผลการจ่ายและรับชำระเงิน การทำคำสั่งซื้อ การให้บริการโครงสร้างพื้นฐานเกี่ยวกับเทคโนโลยีสารสนเทศ เป็นต้น คลินิกอาจเก็บข้อมูลส่วนบุคคลไว้ในระบบประมวลผลแบบคลาวด์ (Cloud Computing) โดยใช้บริการจากบุคคลที่สามไม่ว่าตั้งอยู่ในประเทศไทยหรือต่างประเทศ โดยคลินิกได้เข้าทำสัญญากับบุคคลดังกล่าวด้วยความระมัดระวังและพิจารณาถึงระบบรักษาความปลอดภัยในการเก็บรักษาข้อมูลส่วนบุคคล
  • - สถาบันการเงิน: คลินิกอาจทำการเปิดเผยข้อมูลส่วนบุคคลของท่านไปให้สถาบันการเงิน ธนาคาร บริษัทบัตรเครดิต บริษัทประกันภัย หรือ หน่วยงานทวงถามหนี้ ตามที่จำเป็นในการทำการจ่ายและรับชำระเงินตามที่มีการร้องขอ โดยคลินิกจะเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลที่มีอำนาจในการเข้าถึงข้อมูลดังกล่าวตามที่กฎหมายกำหนด และสามารถพิสูจน์ได้ว่าตนมีอำนาจในการเข้าถึงดังกล่าวเท่านั้น
  • - หน่วยงานราชการที่เกี่ยวข้อง: คลินิกอาจทำการเปิดเผยข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานราชการที่เกี่ยวข้องเพื่อการปฏิบัติตามกฎหมาย เช่น การรายงานกับหน่วยงานกำกับดูแลต่าง ๆ ที่เกี่ยวข้อง หรือการปฏิบัติตามข้อกำหนดทางกฎหมายอื่นใดที่คลินิกต้องปฏิบัติตาม

คลินิกจะทำการเปิดเผยข้อมูลส่วนบุคคลต่อผู้รับข้อมูลในต่างประเทศ เฉพาะกรณีที่กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำหนดให้ทำได้เท่านั้น ทั้งนี้คลินิกอาจปฏิบัติตามหลักเกณฑ์การโอนข้อมูลระหว่างประเทศ โดยเข้าทำข้อสัญญามาตรฐานหรือใช้กลไกอื่นที่พึงมีตามกฎหมายว่าด้วยการคุ้มครองข้อมูลที่ใช้บังคับ และคลินิกอาจอาศัยสัญญาการโอนข้อมูล หรือกลไกอื่นที่ได้รับการอนุมัติ เพื่อการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

ในกรณีที่คลินิกจำเป็นต้องส่งข้อมูลส่วนบุคคลของเจ้าของข้อมูลให้แก่บุคคลภายนอก คลินิกจะดำเนินการตามขั้นตอนที่เหมาะสม เพื่อให้มั่นใจว่า บุคคลภายนอกจะดูแลข้อมูลส่วนบุคคลของเจ้าของข้อมูล ไม่ให้เกิดการสูญหาย การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต การใช้ การดัดแปลง หรือการเปิดเผยและการใช้งานที่ไม่ถูกต้อง

6. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

คลินิกมีกลไกกำหนดระยะเวลาจัดเก็บข้อมูลประวัติคู่ค้าและผู้เกี่ยวข้องให้อยู่ในกรอบเกณฑ์ความปลอดภัยสูงสุด ดังต่อไปนี้:

7. มาตรการในการเก็บรักษาและประมวลผลข้อมูลส่วนบุคคล

คลินิกจะใช้มาตรการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล ซึ่งครอบคลุมถึงมาตรการ ป้องกันด้านการบริหารจัดการ (Administrative Safeguard) มาตรการป้องกันด้านเทคนิค (Technical Safeguard) และมาตรการป้องกันทางกายภาพ (Physical Safeguard) ในเรื่องการเข้าถึงหรือควบคุมการใช้ งานข้อมูลส่วนบุคคล (Access Control) เพื่อป้องกันการเข้าถึงและเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต และ สอดคล้องกับการดำเนินงานของคลินิกและมาตรฐานที่รับรองโดยทั่วไป คลินิกกำหนดให้เจ้าหน้าที่ของคลินิกเข้ารับการฝึกอบรมเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัยของข้อมูล นอกจากนี้คลินิกยังมีการจัดจ้างผู้ให้บริการภายนอกเพื่อดำเนินการตรวจสอบสถานะให้แน่ใจว่า ผู้ให้บริการ ภายนอกที่คลินิกทำการว่าจ้างจะมีการใช้มาตรการในการเก็บรวบรวม ประมวลผล โอนย้าย จัดการ และรักษา ความมั่นคงปลอดภัยของข้อมูลอย่างเพียงพอในการให้บริการภายใต้วัตถุประสงค์ของคลินิก ในการนี้ คลินิก จะมีการสอบทานและปรับปรุงมาตรการดังกล่าวตามความจำเป็นเพื่อให้แน่ใจว่าการประมวลผลข้อมูลดังกล่าว เป็นไปตามมาตรฐานต่าง ๆ ของประเทศและกฎระเบียบที่เกี่ยวข้อง

คลินิกจัดทำนโยบายและขั้นตอนวิธีการต่าง ๆ เพื่อการจัดการข้อมูลอย่างปลอดภัย และป้องกันการ เข้าถึงโดยไม่ได้รับอนุญาตโดยมีรายละเอียดดังต่อไปนี้:

• กำหนดนโยบายและขั้นตอนวิธีการต่าง ๆ เพื่อจัดการข้อมูลอย่างปลอดภัย และตามที่อาจกำหนด เพิ่มเติมในสัญญาระหว่างคลินิกกับท่านแต่ละราย
• จัดให้มีการจำกัดสิทธิลูกจ้างในการเข้าถึงข้อมูลส่วนบุคคล
• ป้องกันการเข้าถึงข้อมูลของท่านโดยไม่ได้รับอนุญาต โดยใช้การเข้ารหัสข้อมูล การตรวจสอบตัวตน และเทคโนโลยีการตรวจจับไวรัส ตามความจำเป็น รวมถึง จัดให้มีช่องทางการสื่อสารแบบปลอดภัย สำหรับข้อมูลดังกล่าวด้วยการเข้ารหัสลับข้อมูลดังกล่าว เช่น จัดให้มีการใช้ Secure Socket Layer (SSL) protocol เป็นต้น
• กำหนดให้ผู้ให้บริการภายนอกที่คลินิกทำการว่าจ้าง ต้องปฏิบัติตามหลักเกณฑ์ ตามกฎหมาย และ ระเบียบต่าง ๆ ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ติดตามตรวจสอบเว็บไซต์ของคลินิกผ่าน หน่วยงานที่มีความเชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคลและการรักษาความมั่นคงปลอดภัย แบบออนไลน์
• จัดให้มีการฝึกอบรมเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลแก่คณะทำงานของคลินิก
• ประเมินผลแนวปฏิบัติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล การจัดการข้อมูล และการรักษาความ มั่นคงปลอดภัยของข้อมูลของคลินิกเป็นประจำ

8. การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

ในกรณีที่เกิดเหตุละเมิดข้อมูลส่วนบุคคล (Personal Data Breach) ไม่ว่าจะเป็นการรั่วไหล การสูญหาย หรือการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต คลินิกมีหน้าที่ตามมาตรา 37 (4) แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ในการดำเนินการดังต่อไปนี้:

• (1) แจ้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง นับแต่ทราบเหตุ เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงที่จะกระทบต่อสิทธิและเสรีภาพของบุคคลธรรมดา
• (2) ในกรณีที่การละเมิดมีความเสี่ยงสูงที่จะกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูล คลินิกจะแจ้งให้เจ้าของข้อมูลที่เกี่ยวข้องทราบโดยไม่ชักช้า พร้อมคำแนะนำเบื้องต้นในการป้องกันความเสียหายที่อาจเกิดขึ้น
• (3) บันทึกเหตุการณ์ละเมิด รายละเอียด และมาตรการที่ดำเนินการแก้ไขไว้เป็นหลักฐานเพื่อรายงานต่อหน่วยงานกำกับดูแลตามที่กฎหมายกำหนด

9. การโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ

• 9.1 ในบางกรณี คลินิกอาจมีความจำเป็นต้องโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ คลินิกอาจต้องได้รับ "ความยินยอม" และได้มีการแจ้งวัตถุประสงค์ของการดำเนินการก่อนโอนข้อมูลไปต่างประเทศ ซึ่งถูกต้องเฉพาะกรณีที่ไม่มีกลไกอื่นรองรับ อย่างไรก็ดี ตาม PDPA มาตรา 28–29 ผู้ควบคุมข้อมูลอาจอาศัยกลไกอื่นแทนความยินยอมได้ เช่น Standard Contractual Clauses (SCCs) หรือ Adequacy Decision
• 9.2 ในกรณีที่การโอนข้อมูลส่วนบุคคลไปต่างประเทศนั้นเป็นไปเพื่อปฏิบัติตามสัญญาซึ่งท่านเป็นคู่สัญญา หรือเพื่อใช้ในการดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญานั้น และคลินิกได้แจ้งให้ท่านทราบถึงเหตุผลของการโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ คลินิกสามารถโอนข้อมูลส่วนบุคคลของท่านไปได้ โดยไม่ต้องขอความยินยอมจากท่าน

10. สิทธิของเจ้าของข้อมูลส่วนบุคคล

การใช้สิทธิในเรื่องใดๆ ตามที่ระบุไว้ในข้อ 10 นี้ ให้เป็นไปตามหลักเกณฑ์และวิธีการใช้สิทธิของเจ้าของข้อมูล ตามที่กำหนดไว้ในข้อ 11 ของหนังสือแจ้งฉบับนี้ อนึ่ง สิทธิตามที่กำหนดไว้ในข้อ 10 นี้ อาจมีการปรับปรุงแก้ไขให้เป็นไปตามหลักเกณฑ์ที่กฎหมายกำหนด ซึ่งอาจมีการออกหลักเกณฑ์โดยรัฐเป็นคราวๆ คลินิกจะแจ้งให้เจ้าของข้อมูลทราบต่อไป ทั้งนี้ สิทธิตามกฎหมาย PDPA ของท่านประกอบด้วยรายละเอียดดังนี้:

11. การเปลี่ยนแปลงนโยบายคุ้มครองข้อมูลส่วนบุคคล

คลินิกอาจมีปรับปรุงหนังสือแจ้งนี้อย่างสม่ำเสมอเพื่อให้แน่ใจว่าเนื้อหาจะมีความเหมาะสมและเป็นปัจจุบันหากคลินิกมีการเปลี่ยนแปลงในสาระสำคัญเกี่ยวกับแนวปฏิบัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล คลินิกจะปรับปรุงและแก้ไขหนังสือแจ้งฉบับนี้และแสดงบนเว็บไซต์ของคลินิกเพื่อให้ท่านได้ทราบถึงวิธีการที่คลินิกเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคล

12. ช่องทางการติดต่อและการยื่นคำขอใช้สิทธิ

หากท่านมีคำถามเกี่ยวกับประกาศความเป็นส่วนตัวฉบับนี้ ต้องการใช้สิทธิในฐานะเจ้าของข้อมูล หรือมีข้อร้องเรียน กรุณาติดต่อได้ตามรายละเอียดตารางพิกัดด้านล่างนี้:

คลินิกจะดำเนินการตอบสนองต่อคำขอใช้สิทธิของท่านภายในเวลาที่กฎหมายกำหนด หากมีเหตุจำเป็นต้องขยายระยะเวลา คลินิกจะแจ้งให้ท่านทราบพร้อมเหตุผลความจำเป็น