นโยบายความเป็นส่วนตัว

วันที่มีผลบังคับใช้: 25 มีนาคม 2569

1. ข้อมูลทั่วไป

สภาวิสาหกิจขนาดกลางและขนาดย่อมไทย (ต่อไปนี้เรียกว่า "สภาฯ" หรือ "เรา") ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลของสมาชิกและผู้ใช้งานระบบลงทะเบียนสมาชิก ออนไลน์ นโยบายความเป็นส่วนตัวฉบับนี้จัดทำขึ้นเพื่อชี้แจงรายละเอียดเกี่ยวกับการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของท่าน ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

นโยบายนี้มีผลบังคับใช้กับการใช้งานเว็บไซต์และระบบลงทะเบียนสมาชิกของสภาฯ เท่านั้น

2. ข้อมูลที่เราเก็บรวบรวม

สภาฯ เก็บรวบรวมข้อมูลส่วนบุคคลที่จำเป็นต่อการให้บริการ ดังต่อไปนี้:

2.1 ข้อมูลส่วนบุคคลของผู้ใช้งาน

• อีเมล (ใช้สำหรับยืนยันตัวตนผ่านรหัส OTP และการสื่อสาร)
• ชื่อ-นามสกุล
• เบอร์โทรศัพท์

2.2 ข้อมูลธุรกิจ

• เลขประจำตัวผู้เสียภาษี (Tax ID)
• ชื่อบริษัท/กิจการ
• ประเภทธุรกิจ
• ขนาดธุรกิจ (จำนวนพนักงาน/รายได้)
• ที่อยู่ธุรกิจ

2.3 ข้อมูลผู้ติดต่อ

• ชื่อ-นามสกุลของผู้ติดต่อ
• ตำแหน่ง/บทบาท (เจ้าของ, กรรมการ, ผู้ประสานงาน, นักบัญชี, ผู้มีอำนาจลงนาม)
• อีเมลและเบอร์โทรศัพท์ของผู้ติดต่อ

2.4 เอกสาร

• เอกสารที่อัปโหลดเพื่อประกอบการสมัครสมาชิก เช่น หนังสือรับรองบริษัท สำเนาบัตรประชาชน และเอกสารอื่นๆ ที่เกี่ยวข้อง

3. วัตถุประสงค์ในการเก็บข้อมูล

สภาฯ เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลของท่านเพื่อวัตถุประสงค์ดังต่อไปนี้:

• การลงทะเบียนและยืนยันตัวตนสมาชิก — ใช้อีเมลเพื่อส่งรหัส OTP สำหรับเข้าสู่ระบบ
• การบริหารจัดการสมาชิกภาพ — ตรวจสอบคุณสมบัติ อนุมัติ/ปฏิเสธการสมัคร และจัดการสถานะสมาชิก
• การติดต่อสื่อสาร — แจ้งข่าวสาร สิทธิประโยชน์ กิจกรรม และข้อมูลที่เกี่ยวข้องกับสมาชิก
• การพัฒนาและปรับปรุงบริการ — วิเคราะห์ข้อมูลเชิงสถิติเพื่อปรับปรุงระบบและบริการให้ดียิ่งขึ้น
• การปฏิบัติตามกฎหมาย — ดำเนินการตามที่กฎหมายกำหนด

4. คุกกี้ (Cookies)

ระบบของสภาฯ ใช้คุกกี้เฉพาะที่จำเป็นต่อการทำงานของระบบเท่านั้น ได้แก่:

• คุกกี้เซสชัน (Session Cookie) — ใช้เพื่อรักษาสถานะการเข้าสู่ระบบของท่าน โดยเป็นคุกกี้ประเภท httpOnly, Secure, SameSite=Lax ซึ่งมีอายุ 7 วัน

สภาฯ ไม่ใช้คุกกี้เพื่อการวิเคราะห์ (Analytics) คุกกี้โฆษณา หรือคุกกี้ติดตามพฤติกรรม (Tracking Cookies) จากบุคคลที่สามแต่อย่างใด

5. การเก็บรักษาข้อมูล

สภาฯ เก็บรักษาข้อมูลส่วนบุคคลของท่านอย่างปลอดภัย โดยใช้มาตรการดังนี้:

• ข้อมูลสมาชิกและธุรกิจจัดเก็บในฐานข้อมูล PostgreSQL ที่มีการเข้ารหัสการเชื่อมต่อ
• ข้อมูลเซสชันและรหัส OTP จัดเก็บใน Redis ที่มีการเข้ารหัส โดยรหัส OTP จะถูกแฮชด้วย Argon2 ก่อนจัดเก็บ
• เอกสารที่อัปโหลดจัดเก็บใน Amazon S3 ที่มีการเข้ารหัสฝั่งเซิร์ฟเวอร์ (Server-Side Encryption) และเข้าถึงผ่าน Presigned URLs เท่านั้น
• การเชื่อมต่อระหว่างเบราว์เซอร์และเซิร์ฟเวอร์เข้ารหัสด้วย HTTPS/TLS

6. ระยะเวลาการเก็บข้อมูล

สภาฯ จะเก็บรักษาข้อมูลส่วนบุคคลของท่านตามระยะเวลาดังนี้:

• ข้อมูลสมาชิกและธุรกิจ — ตลอดระยะเวลาที่ท่านยังคงเป็นสมาชิกของสภาฯ และอีก 5 ปีหลังจากสิ้นสุดสมาชิกภาพ เพื่อประโยชน์ในการตรวจสอบและปฏิบัติตามกฎหมาย
• รหัส OTP — 5 นาทีหลังจากออกรหัส (ลบอัตโนมัติจาก Redis)
• ข้อมูลเซสชัน — 7 วัน นับจากการเข้าใช้งานครั้งล่าสุด (ลบอัตโนมัติจาก Redis)
• เอกสาร — ตลอดระยะเวลาที่ท่านยังคงเป็นสมาชิกของสภาฯ และอีก 5 ปีหลังจากสิ้นสุดสมาชิกภาพ

เมื่อพ้นระยะเวลาดังกล่าว สภาฯ จะดำเนินการลบหรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้

7. การเปิดเผยข้อมูล

สภาฯ ไม่เปิดเผย ขาย หรือแลกเปลี่ยนข้อมูลส่วนบุคคลของท่านให้กับบุคคลที่สามเพื่อวัตถุประสงค์ ทางการตลาดหรือการค้า ข้อมูลของท่านจะถูกเปิดเผยเฉพาะในกรณีดังต่อไปนี้:

• เมื่อได้รับความยินยอมจากท่าน
• เมื่อจำเป็นตามกฎหมาย คำสั่งศาล หรือหน่วยงานราชการที่มีอำนาจ
• เพื่อปกป้องสิทธิ ทรัพย์สิน หรือความปลอดภัยของสภาฯ สมาชิก หรือบุคคลอื่น

8. สิทธิของเจ้าของข้อมูล

ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ท่านมีสิทธิดังต่อไปนี้:

• สิทธิในการเข้าถึง — ท่านสามารถขอเข้าถึงและรับสำเนาข้อมูลส่วนบุคคลของท่านที่สภาฯ เก็บรวบรวมไว้
• สิทธิในการแก้ไข — ท่านสามารถขอแก้ไขข้อมูลส่วนบุคคลที่ไม่ถูกต้อง ไม่สมบูรณ์ หรือไม่เป็นปัจจุบัน
• สิทธิในการลบ — ท่านสามารถขอให้ลบข้อมูลส่วนบุคคลของท่าน เว้นแต่สภาฯ มีเหตุผลทางกฎหมายที่จำเป็นต้องเก็บรักษาไว้
• สิทธิในการโอนย้าย — ท่านสามารถขอรับข้อมูลส่วนบุคคลของท่านในรูปแบบที่อ่านได้ด้วยเครื่อง และขอให้โอนข้อมูลไปยังผู้ควบคุมข้อมูลรายอื่น
• สิทธิในการถอนความยินยอม — ท่านสามารถถอนความยินยอมที่เคยให้ไว้ได้ทุกเมื่อ โดยการถอนความยินยอมจะไม่กระทบต่อความชอบด้วยกฎหมายของการประมวลผลที่ได้ดำเนินไปก่อนหน้า
• สิทธิในการคัดค้าน — ท่านสามารถคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลของท่านในบางกรณี
• สิทธิในการร้องเรียน — ท่านสามารถร้องเรียนต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หากเชื่อว่าสภาฯ ไม่ปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

หากท่านประสงค์จะใช้สิทธิข้างต้น กรุณาติดต่อสภาฯ ตามข้อมูลในหัวข้อ "การติดต่อ" ด้านล่าง สภาฯ จะดำเนินการตามคำขอภายใน 30 วัน นับจากวันที่ได้รับคำขอ

9. การติดต่อ

หากท่านมีคำถาม ข้อสงสัย หรือต้องการใช้สิทธิเกี่ยวกับข้อมูลส่วนบุคคลของท่าน กรุณาติดต่อสภาฯ ได้ที่:

10. การเปลี่ยนแปลงนโยบาย

สภาฯ อาจปรับปรุงหรือแก้ไขนโยบายความเป็นส่วนตัวฉบับนี้เป็นครั้งคราว เพื่อให้สอดคล้องกับกฎหมายและการดำเนินงานของสภาฯ การเปลี่ยนแปลงใดๆ จะมีผลบังคับใช้ทันทีเมื่อประกาศบนเว็บไซต์ของสภาฯ

สภาฯ แนะนำให้ท่านตรวจสอบนโยบายนี้เป็นประจำ เพื่อรับทราบข้อมูลล่าสุดเกี่ยวกับ วิธีการคุ้มครองข้อมูลส่วนบุคคลของท่าน หากมีการเปลี่ยนแปลงที่มีนัยสำคัญ สภาฯ จะแจ้งให้ท่านทราบผ่านทางอีเมลหรือประกาศบนเว็บไซต์