นโยบายการกำกับดูแลข้อมูล

เอกสารนี้กำหนดกรอบการกำกับดูแลข้อมูลของแพลตฟอร์ม Thai Herbal Inno Platform ซึ่งดำเนินการโดย บริษัท เมค อิท เดอะ เบ็ทเทอร์ จำกัด (Make it the Better Corp., Ltd.) ครอบคลุมการจัดการข้อมูลตลอดวงจรชีวิต มาตรการรักษาความปลอดภัย สิทธิ์ของเจ้าของข้อมูล และการปฏิบัติตามกฎหมาย PDPA ของประเทศไทย

จัดทำโดย: บริษัท เมค อิท เดอะ เบ็ทเทอร์ จำกัด (Make it the Better Corp., Ltd.) วันที่มีผลบังคับใช้: 1 สิงหาคม 2569 · บังคับใช้ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

1. ข้อมูลองค์กรและขอบเขต

เอกสารนี้ครอบคลุมการเก็บรวบรวม ใช้งาน เก็บรักษา และทำลายข้อมูลส่วนบุคคลและข้อมูลธุรกิจของสมาชิก ผู้ขาย ผู้ซื้อ ไรเดอร์ และพันธมิตรทางธุรกิจทุกประเภท ตาม PDPA และกฎหมายที่เกี่ยวข้อง

2. การจำแนกประเภทข้อมูล (Data Classification)

ข้อมูลแบ่ง 4 ระดับ:

• ระดับลับ (Confidential): ข้อมูลการชำระเงิน, เลขประจำตัวผู้เสียภาษี, EKYC, เลขบัตรประชาชน
• ระดับส่วนบุคคล (Personal): ชื่อ-นามสกุล, เบอร์, อีเมล, ที่อยู่, GPS, รูปโปรไฟล์
• ระดับธุรกิจ (Business): ข้อมูลสินค้า, สต็อก, ราคา, ยอดขาย, ใบรับรอง
• ระดับสาธารณะ (Public): โพสต์ชุมชน, รีวิว, บทความ

การเข้าถึงแต่ละระดับควบคุมด้วย Role-Based Access Control (RBAC)

3. บทบาทและความรับผิดชอบ

• ผู้ควบคุมข้อมูล (Data Controller): บริษัท เมค อิท เดอะ เบ็ทเทอร์ จำกัด (Make it the Better Corp., Ltd.)
• ผู้ประมวลผลข้อมูล (Data Processor): ทีมเทคนิคและผู้ให้บริการภายนอก (Stripe, Twilio, Google, Tuya) ภายใต้สัญญา DPA
• เจ้าหน้าที่คุ้มครองข้อมูล (DPO): บริษัทแต่งตั้งขึ้นอย่างเป็นทางการ ติดต่อ LINE @makeitthebetter หรือ Email thaiherbalinno.platform@gmail.com
• Super Admin: จัดการสิทธิ์เข้าถึง ตรวจสอบ Audit Log อนุมัติข้อมูลระดับลับ
• สมาชิก: ให้ความยินยอมและให้ข้อมูลที่ถูกต้อง

4. หลักการเก็บรวบรวมข้อมูล

• ความชอบด้วยกฎหมายและความเป็นธรรม
• จำกัดวัตถุประสงค์ (Purpose Limitation)
• ความเหมาะสม (Data Minimisation)
• ความถูกต้อง (Accuracy)
• การจำกัดการเก็บรักษา (Storage Limitation)
• ความมั่นคงปลอดภัย (Security)

5. มาตรการรักษาความปลอดภัย

• การเข้ารหัส SSL/TLS และ Encryption at Rest
• การชำระเงินโดย Stripe (PCI DSS Level 1) ไม่เก็บข้อมูลบัตรเครดิต
• RBAC + Audit Log ทุกการเข้าถึงข้อมูลระดับลับ
• ข้อมูลละเอียดอ่อน (ไบโอเมตริกซ์/eKYC) จำกัดเข้าถึง + เข้ารหัสขั้นสูง
• การสำรองข้อมูลอัตโนมัติ + Disaster Recovery Plan
• Audit Log เก็บอย่างน้อย 1 ปี

6. วงจรชีวิตข้อมูล (Data Lifecycle)

1. เก็บรวบรวมผ่านแบบฟอร์ม/การสั่งซื้อ/eKYC/ความยินยอม
2. ประมวลผลเพื่อธุรกรรม/แจ้งเตือน/วิเคราะห์
3. เก็บรักษาตามระยะเวลากฎหมายกำหนด
4. ทำลายภายใน 90 วัน เมื่อหมดวัตถุประสงค์
5. เก็บถาวรข้อมูลที่กฎหมายกำหนด (เช่น ใบกำกับภาษี)

7. สิทธิ์ของเจ้าของข้อมูล (PDPA)

ท่านมีสิทธิ์: ได้รับแจ้ง, เข้าถึง, แก้ไข, ลบ, จำกัดการประมวลผล, โอนย้าย, คัดค้าน, ถอนความยินยอม ติดต่อ DPO ที่ LINE @makeitthebetter หรือ Email thaiherbalinno.platform@gmail.com · บริษัทดำเนินการภายใน 30 วัน

8. การจัดการเหตุการณ์ละเมิดข้อมูล (Data Breach)

1. ประเมินความรุนแรงภายใน 24 ชั่วโมง
2. แจ้งคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง
3. แจ้งเจ้าของข้อมูลที่ได้รับผลกระทบโดยเร็ว
4. แก้ไขช่องโหว่และป้องกันการเกิดซ้ำ
5. บันทึกและจัดทำรายงาน

9. การแบ่งปันและโอนข้อมูล

บริษัทไม่ขายข้อมูล แบ่งปันเฉพาะผู้ให้บริการที่จำเป็นภายใต้สัญญา DPA และหน่วยงานราชการตามกฎหมาย การโอนข้ามประเทศดำเนินการตามมาตรการที่กฎหมายกำหนด

10. การเก็บรักษาและทำลายข้อมูล

• ข้อมูลสมาชิก: ตลอดอายุสมาชิก + 10 ปี (ภาษี)
• ใบกำกับภาษี/บัญชี: 10 ปี
• EKYC/ใบขับขี่: 5 ปีหลังสิ้นสุดความสัมพันธ์
• IoT/Sensor: 1 ปี
• Audit Log: อย่างน้อย 1 ปี

11. การตรวจสอบและทบทวน

ทบทวนนโยบายอย่างน้อยปีละครั้ง หรือเมื่อมีการเปลี่ยนแปลงกฎหมาย/เทคโนโลยีที่สำคัญ

12. การเปลี่ยนแปลงนโยบาย

การเปลี่ยนแปลงสำคัญแจ้งล่วงหน้าอย่างน้อย 30 วันผ่านอีเมล/แจ้งเตือนในแอป/เว็บไซต์

ข้อมูลผู้ให้บริการและช่องทางติดต่อ

บริษัท เมค อิท เดอะ เบ็ทเทอร์ จำกัด (Make it the Better Corp., Ltd.) LINE: @makeitthebetter Email: thaiherbalinno.platform@gmail.com เว็บไซต์: https://th-inno.makeitthebetter.com

สำหรับการร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ท่านสามารถติดต่อ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) โดยตรง