นโยบายความเป็นส่วนตัว
นโยบายความเป็นส่วนตัว
ปรับปรุงล่าสุด: [วันที่เผยแพร่จริง]
บริษัท เอกรัฐวิศวกรรม จำกัด (มหาชน) และบริษัทย่อย (ต่อไปนี้จะเรียกรวมว่า “กลุ่มบริษัท”) ตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคล ทั้งของลูกค้า คู่ค้า ผู้ถือหุ้น กรรมการ พนักงาน บุคคลที่เข้าชมเว็บไซต์หรือแอปพลิเคชันของกลุ่มบริษัท และบุคคลต่างๆ ที่เกี่ยวข้อง และเพื่อให้เกิดความมั่นใจว่าบุคคลดังกล่าวจะได้รับความคุ้มครองสิทธิอย่างครบถ้วน นโยบายนี้อธิบายถึงวิธีการที่กลุ่มบริษัทปฏิบัติต่อข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม การจัดเก็บรักษา การใช้ การเปิดเผย รวมถึงสิทธิต่างๆ ของเจ้าของข้อมูลส่วนบุคคล เป็นต้น เพื่อให้เจ้าของข้อมูลได้รับทราบถึงนโยบายในการคุ้มครองข้อมูลส่วนบุคคลของกลุ่มบริษัท จึงประกาศนโยบายฯ ดังต่อไปนี้
1. คำนิยาม
“ข้อมูลส่วนบุคคลทั่วไป” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม เช่น ชื่อ นามสกุล เลขประจำตัวประชาชน เลขหนังสือเดินทาง เป็นต้น แต่ไม่รวมถึงข้อมูลผู้ถึงแก่กรรมโดยเฉพาะ
“ข้อมูลส่วนบุคคลอ่อนไหว” หมายถึง ข้อมูลที่เป็นเรื่องส่วนบุคคลโดยแท้ของบุคคล แต่มีความละเอียดอ่อนและอาจสุ่มเสี่ยงในการเลือกปฏิบัติอย่างไม่เป็นธรรม เช่น เชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมือง ความเชื่อในลัทธิศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวภาพ (ได้แก่ ข้อมูลที่เกิดจากการใช้เทคนิค หรือเทคโนโลยีเฉพาะ เพื่อระบุยืนยันตัวบุคคล เช่น ข้อมูลภาพจำลองใบหน้า ข้อมูลจำลองม่านตา หรือข้อมูลจำลองลายนิ้วมือ) หรือข้อมูลอื่นใดซึ่งกระทบต่อเจ้าของข้อมูลส่วนบุคคล ในทำนองเดียวกันตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
2. การเก็บรวบรวมข้อมูลส่วนบุคคล
กลุ่มบริษัทจะทำการเก็บรวบรวมข้อมูลส่วนบุคคลโดยมีวัตถุประสงค์ ขอบเขต และใช้วิธีการที่ชอบด้วยกฎหมายและเป็นธรรมเท่านั้น โดยการเก็บรวบรวมนั้นจะทำเพียงเท่าที่จำเป็นแก่การดำเนินงานภายใต้วัตถุประสงค์ของกลุ่มบริษัทเท่านั้น ทั้งนี้ กลุ่มบริษัทจะดำเนินการให้เจ้าของข้อมูลรับรู้ และในกรณีที่ต้องอาศัยความยินยอม จะขอความยินยอมก่อนหรือขณะเก็บรวบรวม กรณีที่กลุ่มบริษัทจำเป็นต้องจัดเก็บข้อมูลส่วนบุคคลอ่อนไหวของเจ้าของข้อมูล กลุ่มบริษัทจะขอความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูลก่อนทำการเก็บรวบรวม เว้นแต่การเก็บข้อมูลส่วนบุคคลและข้อมูลอ่อนไหวจะเข้าข้อยกเว้นตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือกฎหมายอื่นกำหนดไว้
ในบางกรณี การเก็บรวบรวมข้อมูลส่วนบุคคลของท่านอาจเป็นไปเพื่อการปฏิบัติตามกฎหมาย หรือเพื่อเข้าทำหรือปฏิบัติตามสัญญากับกลุ่มบริษัท หากท่านไม่ให้ข้อมูลส่วนบุคคลที่จำเป็นดังกล่าว กลุ่มบริษัทอาจไม่สามารถเข้าทำสัญญา ให้บริการ หรือดำเนินการตามคำขอของท่านได้ ทั้งนี้ กลุ่มบริษัทจะแจ้งให้ท่านทราบถึงผลกระทบดังกล่าว ณ เวลาที่เก็บรวบรวมข้อมูล
นอกจากนี้ กลุ่มบริษัทอาจได้รับข้อมูลส่วนบุคคลของท่านจากแหล่งอื่นที่ไม่ใช่จากท่านโดยตรง เช่น บริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด หรือนายทะเบียนหลักทรัพย์ (กรณีผู้ถือหุ้น) บริษัทจัดหางาน (กรณีผู้สมัครงาน) หรือคู่ค้าและพันธมิตรทางธุรกิจ โดยกลุ่มบริษัทจะแจ้งให้ท่านทราบโดยไม่ชักช้าภายใน 30 วันนับแต่วันที่เก็บรวบรวม เว้นแต่เข้าข้อยกเว้นตามที่กฎหมายกำหนด
3. วัตถุประสงค์ และฐานทางกฎหมาย ในการเก็บรวบรวม หรือใช้ข้อมูลส่วนบุคคล หรือใช้ข้อมูลส่วนบุคคล
กลุ่มบริษัทจะทำการเก็บรวบรวม หรือใช้ข้อมูลส่วนบุคคลของเจ้าของข้อมูล เพื่อประโยชน์ในการดำเนินงานของกลุ่มบริษัท เช่น การจ้างงาน การจัดซื้อจัดจ้าง การทำสัญญา การทำธุรกรรมทางการเงิน การประชุมผู้ถือหุ้น การเสนอผลิตภัณฑ์และบริการ การประชาสัมพันธ์ การป้องกันเหตุทุจริต การรักษาความปลอดภัย หรือเพื่อปรับปรุงคุณภาพผลิตภัณฑ์และบริการ หรือระบบงานให้มีประสิทธิภาพมากยิ่งขึ้น เช่น การจัดทำฐานข้อมูล วิเคราะห์และพัฒนากระบวนการดำเนินงานของกลุ่มบริษัท และเพื่อวัตถุประสงค์อื่นใดที่ไม่ต้องห้ามตามกฎหมาย และ/หรือเพื่อปฏิบัติตามกฎหมายหรือกฎระเบียบที่เกี่ยวข้องต่อการดำเนินงานของกลุ่มบริษัท
กลุ่มบริษัทเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลโดยอาศัยฐานทางกฎหมายตามมาตรา 24 และมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ได้แก่ ฐานการปฏิบัติตามสัญญา ฐานการปฏิบัติหน้าที่ตามกฎหมาย ฐานประโยชน์โดยชอบด้วยกฎหมาย ฐานประโยชน์สำคัญต่อชีวิต และฐานความยินยอม (สำหรับกรณีที่ไม่อาจอาศัยฐานอื่นได้ เช่น การตลาดทางตรง หรือข้อมูลอ่อนไหวที่ต้องได้รับความยินยอมโดยชัดแจ้ง)
ในกรณีที่กลุ่มบริษัทมีความจำเป็นต้องเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลนอกเหนือหรือแตกต่างไปจากวัตถุประสงค์ที่แจ้งไว้เดิม กลุ่มบริษัทจะ (ก) แจ้งวัตถุประสงค์ใหม่ให้เจ้าของข้อมูลทราบ และขอความยินยอมก่อนการดำเนินการ หรือ (ข) ดำเนินการโดยอาศัยฐานทางกฎหมายอื่นตามที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือกฎหมายอื่นให้อำนาจไว้
4. การเปิดเผยข้อมูลส่วนบุคคล
กลุ่มบริษัทจะไม่เปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูลไปให้บุคคลใดโดยปราศจากความยินยอม และจะเปิดเผยตามวัตถุประสงค์ที่ได้มีการแจ้งไว้ หรือตามฐานทางกฎหมายอื่นที่กลุ่มบริษัทอาศัยได้ตามข้อ 3 อย่างไรก็ดี เพื่อให้เป็นประโยชน์ต่อการดำเนินงานของกลุ่มบริษัทและการให้บริการแก่เจ้าของข้อมูล กลุ่มบริษัทอาจมีความจำเป็นในการเปิดเผยข้อมูลส่วนบุคคลให้แก่บุคคลอื่น เช่น บริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด นายทะเบียนหลักทรัพย์ ตลาดหลักทรัพย์แห่งประเทศไทย สำนักงาน ก.ล.ต. ผู้สอบบัญชี ผู้ตรวจสอบภายนอก ที่ปรึกษากฎหมายหรือที่ปรึกษาทางการเงิน สถาบันการเงิน บริษัทประกันภัย ผู้ให้บริการระบบเทคโนโลยีสารสนเทศและคลาวด์ ผู้ให้บริการขนส่ง และผู้ให้บริการหรือผู้ประมวลผลข้อมูลอื่นที่กลุ่มบริษัทว่าจ้าง [โปรดยืนยันรายการตาม RoPA จริง] โดยกรณีที่การเปิดเผยมีวัตถุประสงค์แตกต่างจากที่ระบุไว้ กลุ่มบริษัทจะแจ้งและขอความยินยอมเพิ่มเติม หรืออาศัยฐานทางกฎหมายอื่นตามที่กฎหมายอนุญาต
นอกจากนี้ กลุ่มบริษัทอาจเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูล ภายใต้หลักเกณฑ์ที่กฎหมายกำหนด เช่น การเปิดเผยข้อมูลต่อหน่วยงานราชการ หน่วยงานภาครัฐ หน่วยงานกำกับดูแล รวมถึงในกรณีที่มีการร้องขอให้เปิดเผยข้อมูลโดยอาศัยอำนาจตามกฎหมาย เช่น การร้องขอข้อมูลเพื่อการฟ้องร้องหรือดำเนินคดีตามกฎหมาย หรือการร้องขอจากหน่วยงานเอกชน หรือบุคคลภายนอกอื่นๆ ที่มีความเกี่ยวข้องกับกระบวนการทางกฎหมาย
5. การส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ
ในบางกรณี กลุ่มบริษัทอาจมีความจำเป็นต้องส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ เช่น การจัดเก็บข้อมูลบนระบบคลาวด์หรือเซิร์ฟเวอร์ที่ตั้งอยู่ต่างประเทศ การติดต่อธุรกรรมกับคู่ค้า ผู้ผลิต หรือผู้ให้บริการในต่างประเทศ หรือการส่งข้อมูลภายในกลุ่มบริษัท โดยกลุ่มบริษัทจะดำเนินการให้มั่นใจว่าประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลมีมาตรฐานการคุ้มครองข้อมูลส่วนบุคคล ที่เพียงพอตามหลักเกณฑ์ที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด หรือดำเนินการตามมาตรา 28 และมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เช่น การจัดให้มีมาตรการคุ้มครองที่เหมาะสม (ข้อสัญญามาตรฐาน) การจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลภายในเครือกิจการ (Binding Corporate Rules) ที่ได้รับการตรวจสอบและรับรอง หรือกรณีที่ได้รับความยินยอมโดยชัดแจ้งจากท่านภายหลังจากที่ได้แจ้งให้ทราบถึงมาตรฐานการคุ้มครองข้อมูลที่ไม่เพียงพอของประเทศปลายทางแล้ว หรือเป็นการจำเป็นเพื่อการปฏิบัติตามสัญญา หรือข้อยกเว้นอื่นตามที่กฎหมายกำหนด
6. แนวทางในการดำเนินการคุ้มครองข้อมูลส่วนบุคคล
กลุ่มบริษัทจะกำหนดมาตรการต่างๆ รวมถึงมาตรการด้านการรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่สอดคล้องกับกฎหมาย ระเบียบ หลักเกณฑ์ และแนวปฏิบัติด้านการคุ้มครองข้อมูลส่วนบุคคล รวมถึงสนับสนุนและส่งเสริมให้พนักงานมีความรู้และตระหนักถึงหน้าที่และความรับผิดชอบในการเก็บรวบรวม การจัดเก็บรักษา การใช้ และการเปิดเผยข้อมูลส่วนบุคคลของเจ้าของข้อมูล โดยพนักงานของกลุ่มบริษัทต้องปฏิบัติตามนโยบายฯ และแนวปฏิบัติการคุ้มครองข้อมูลส่วนบุคคลตามที่กลุ่มบริษัทกำหนดไว้ เพื่อให้กลุ่มบริษัทสามารถปฏิบัติตามนโยบายฯ และกฎหมายคุ้มครองข้อมูล ส่วนบุคคลได้อย่างถูกต้องและมีประสิทธิภาพ ทั้งนี้ กลุ่มบริษัทจัดให้มีมาตรการควบคุมการเข้าถึงข้อมูล (Access Control) และธำรงไว้ซึ่งความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และสภาพพร้อมใช้งาน (Availability) ของข้อมูลส่วนบุคคล สอดคล้องกับประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล เรื่อง มาตรการรักษาความมั่นคงปลอดภัยของผู้ควบคุมข้อมูลส่วนบุคคล พ.ศ. 2565
7. การจัดการเหตุการละเมิดข้อมูลส่วนบุคคล
ในกรณีที่เกิดเหตุการละเมิดข้อมูลส่วนบุคคล กลุ่มบริษัทจะดำเนินการตรวจสอบและประเมินความเสี่ยงโดยไม่ชักช้า และแจ้งเหตุการละเมิดดังกล่าวต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะสามารถกระทำได้ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และในกรณีที่การละเมิดมีความเสี่ยงสูง ที่จะมีผลกระทบต่อสิทธิ และเสรีภาพของท่าน กลุ่มบริษัทจะแจ้งเหตุการละเมิดพร้อมแนวทางการเยียวยาให้ท่านทราบโดยไม่ชักช้า ทั้งนี้ ตามหลักเกณฑ์และวิธีการที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
8. สิทธิของเจ้าของข้อมูลส่วนบุคคล
เจ้าของข้อมูลส่วนบุคคลมีสิทธิในการดำเนินการ ดังต่อไปนี้
- สิทธิในการเข้าถึงและขอทำสำเนาข้อมูลส่วนบุคคล
- สิทธิในการแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง
- สิทธิในการลบข้อมูลส่วนบุคคล
- สิทธิในการระงับการใช้ข้อมูลส่วนบุคค
- สิทธิในการให้โอนย้ายข้อมูลส่วนบุคคล
- สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล
- สิทธิในการเพิกถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคลที่ได้ให้ความยินยอมไว้ ทั้งนี้ การเพิกถอนความยินยอมย่อมไม่ส่งผลกระทบต่อการเก็บรวบรวม ใช้หรือเปิดเผยข้อมูลส่วนบุคคล ที่ได้ให้ความยินยอมไว้แล้ว
- สิทธิในการร้องเรียน — เจ้าของข้อมูลส่วนบุคคลมีสิทธิร้องเรียนต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หรือสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ในกรณีที่เห็นว่าบริษัท ลูกจ้าง หรือผู้รับจ้างของกลุ่มบริษัท ฝ่าฝืนหรือไม่ปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือประกาศที่ออกตามพระราชบัญญัติดังกล่าว ทั้งนี้ บริษัทขอแนะนำให้ท่านติดต่อบริษัทก่อน เพื่อให้บริษัทมีโอกาสตรวจสอบและแก้ไขข้อกังวลของท่าน (ช่องทางติดต่อ สคส.: www.pdpc.or.th)
เจ้าของข้อมูลสามารถขอใช้สิทธิดังกล่าวข้างต้นได้ โดยยื่นคำร้องขอใช้สิทธิต่อกลุ่มบริษัทเป็นลายลักษณ์อักษรหรือผ่านทางจดหมายอิเล็กทรอนิกส์ (E-Mail) ผ่านช่องทางการติดต่อตามข้อ 11 โดยเพื่อความสะดวก ท่านอาจใช้แบบฟอร์มคำขอใช้สิทธิซึ่งดาวน์โหลดได้ที่ แบบฟอร์ม โดยกลุ่มบริษัทจะดำเนินการตามคำขอ ภายใน 30 วันนับแต่วันที่ได้รับคำร้องฯ ดังกล่าว ในกรณีที่กลุ่มบริษัทปฏิเสธคำขอ กลุ่มบริษัทจะแจ้งเหตุผลของการปฏิเสธเป็นหนังสือหรือทางอิเล็กทรอนิกส์ และท่านมีสิทธิร้องเรียนต่อ สคส. ได้ตามสิทธิข้อ (8) ทั้งนี้ การถอนความยินยอมสำหรับคุกกี้หรือการติดต่อทางการตลาด สามารถทำได้ทันทีผ่านช่องทางออนไลน์โดยไม่ต้องกรอกแบบฟอร์ม
9. ระยะเวลาในการเก็บข้อมูลส่วนบุคคล
กลุ่มบริษัทจะเก็บรักษาข้อมูลส่วนบุคคลของท่านในระยะเวลาเท่าที่จำเป็นอย่างสมเหตุสมผล เพื่อให้บรรลุตามวัตถุประสงค์ที่กลุ่มบริษัทได้รับข้อมูลส่วนบุคคลนั้นมา และเพื่อใช้ในการปฏิบัติตามกฎหมายที่เกี่ยวข้อง เว้นแต่กฎหมายจะอนุญาตให้มีระยะเวลาการเก็บรักษาที่นานขึ้น ในกรณีที่ไม่สามารถกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลได้ชัดเจน จะเก็บรักษาข้อมูลไว้ตามระยะเวลาที่อาจคาดหมายได้ตามมาตรฐานของการเก็บรวบรวม (เช่น อายุความตามกฎหมายทั่วไปสูงสุด 10 ปี)
ทั้งนี้ กลุ่มบริษัทกำหนดระยะเวลาการเก็บรักษาแยกตามประเภทข้อมูลไว้ในบันทึกรายการประมวลผลข้อมูลส่วนบุคคลของกลุ่มบริษัท เช่น เอกสารทางบัญชีและภาษีตามระยะเวลาที่กฎหมายที่เกี่ยวข้อง กำหนดข้อมูลผู้สมัครงานที่ไม่ผ่านการคัดเลือกไม่เกิน 1 ปี และข้อมูลภาพจากกล้องวงจรปิดไม่เกิน 30–90 วัน และเมื่อพ้นระยะเวลาดังกล่าว กลุ่มบริษัทจะดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลนั้น
10. การทบทวนและเปลี่ยนแปลงนโยบายการคุ้มครองข้อมูลส่วนบุคคล
กลุ่มบริษัทอาจทำการปรับปรุงหรือแก้ไขนโยบายนี้เป็นครั้งคราวเพื่อให้สอดคล้องกับข้อกำหนดตามกฎหมาย การเปลี่ยนแปลงการดำเนินงานของกลุ่มบริษัท รวมถึงข้อเสนอแนะและความคิดเห็นจากหน่วยงานต่างๆ โดยกลุ่มบริษัทจะประกาศแจ้งการเปลี่ยนแปลงให้ทราบอย่างชัดเจนทาง Website : www.ekarat.co.th และจะทบทวนนโยบายฯ อย่างน้อยปีละ 1 ครั้ง
11. ช่องทางการติดต่อ
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) กลุ่มบริษัทได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลเพื่อทำหน้าที่ให้คำแนะนำ ตรวจสอบการดำเนินงานเกี่ยวกับการคุ้มครองข้อมูล ส่วนบุคคลของกลุ่มบริษัท และประสานงานกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
บริษัท เอกรัฐวิศวกรรม จำกัด (มหาชน) — เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล
เลขที่ 9/291 อาคาร ยู.เอ็ม.ทาวเวอร์ ถนนรามคำแหง แขวงสวนหลวง เขตสวนหลวง กรุงเทพมหานคร 10250
อีเมล: dpo@ekarat.co.th
โทรศัพท์: 02-719-8777 (+66 2719 8777) | Call Center: 095-371-5551
ระยะเวลาทำการ: วันจันทร์–วันศุกร์ เวลา 08.00–17.00 น. (เว้นวันหยุดนักขัตฤกษ์)