นโยบายความเป็นส่วนตัว PU31 เก็บและใช้ข้อมูลส่วนบุคคลตาม PDPA

สารบัญ นโยบายความเป็นส่วนตัว PU31 5 หัวข้อ อ่านจบใน 5 นาที

นโยบายความเป็นส่วนตัวฉบับนี้ของ PU31 อธิบายว่าเว็บ pu31.pro เก็บข้อมูลส่วนบุคคล 8 ประเภท ใช้เพื่อ 5 วัตถุประสงค์ จัดเก็บนาน 6 ปี และเปิดเผยให้บุคคลที่สามได้เพียง 4 กรณี ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือ PDPA สมาชิกอ่านฉบับเต็มได้ในหน้านี้ และใช้สิทธิ์ของเจ้าของข้อมูลได้ฟรีตลอดเวลาโดยไม่ต้องรอรอบใดรอบหนึ่ง

ช่องทางอ่านและยื่นคำขอเรื่องข้อมูลทำได้ทั้งบนมือถือและคอมพิวเตอร์ ผ่านเมนูช่วยเหลือท้ายเว็บ ผลลัพธ์เท่ากันทุกอุปกรณ์ ไม่ต้องติดตั้งแอปเพิ่ม และไม่มีค่าใช้จ่าย ข้อกำหนดการใช้บริการฉบับอื่นอ่านต่อได้ที่หน้า ข้อกำหนดและเงื่อนไข ส่วนวิธีเล่นอย่างมีสติอยู่ในหน้า การเล่นอย่างรับผิดชอบ

ข้อมูลส่วนบุคคล 8 ประเภทที่ PU31 เก็บจากสมาชิกทุกคน

ข้อมูลส่วนบุคคลที่ PU31 เก็บมี 8 ประเภท ได้แก่ ชื่อและนามสกุล วันเดือนปีเกิด เลขบัตรประชาชน เบอร์โทรศัพท์ อีเมล เลขบัญชีธนาคาร ประวัติการทำรายการเงิน และบันทึกการเข้าสู่ระบบ ทุกประเภทเก็บเท่าที่จำเป็นต่อการยืนยันตัวตน การจ่ายเงิน และการปฏิบัติตามกฎหมายเท่านั้น ไม่มีการเก็บข้อมูลเกินขอบเขตนี้

ข้อมูล 8 ประเภทแบ่งเป็น 2 กลุ่ม กลุ่มแรกคือข้อมูลที่สมาชิกให้เองตอนสมัคร 4 ประเภท และกลุ่มที่สองคือข้อมูลที่ระบบสร้างอัตโนมัติอีก 4 ประเภท เช่น ที่อยู่ไอพีและเวลาทำรายการ ระบบบันทึกอัตโนมัติทุกครั้งที่ล็อกอิน เฉลี่ยอย่างน้อยวันละ 1 ครั้งต่อบัญชี เพื่อใช้ตรวจสอบความผิดปกติย้อนหลัง

การเก็บข้อมูลใช้แบบฟอร์มสมัคร 1 หน้าเท่านั้น ไม่มีการขอสำเนาบัตรประชาชนล่วงหน้า แต่จะขอเมื่อยืนยันตัวตนครั้งแรกก่อนถอนเงิน ซึ่งใช้เวลาไม่เกิน 10 นาที และไฟล์ที่ส่งจะถูกเก็บในระบบเข้ารหัสแยกจากฐานข้อมูลหลัก เพื่อลดความเสี่ยงหากเกิดเหตุไม่คาดคิดในระบบใดระบบหนึ่ง

อายุการเข้าถึงข้อมูลถูกจำกัดตามหน้าที่ ฝ่ายบริการเห็นได้เพียง 3 ช่องคือชื่อ เบอร์โทร และประวัติแชท ฝ่ายการเงินเห็นเลขบัญชีกับยอดเงิน ส่วนสำเนาบัตรประชาชนเข้าถึงได้เฉพาะทีมยืนยันตัวตน 5 คนที่มีสิทธิ์ตามคำสั่งเป็นลายลักษณ์อักษร ทั้งหมดต้องยืนยันตัวตน 2 ชั้นก่อนเปิดดูทุกครั้ง

วัตถุประสงค์การใช้ข้อมูล 5 ข้อ และฐานทางกฎหมายตาม PDPA

PU31 ใช้ข้อมูลส่วนบุคคลเพื่อ 5 วัตถุประสงค์ ได้แก่ ยืนยันตัวตน ทำรายการฝากถอน ป้องกันการทุจริต ให้บริการลูกค้า และปฏิบัติตามกฎหมาย แต่ละวัตถุประสงค์มีฐานทางกฎหมายต่างกัน ไม่ใช่ทุกข้อใช้ความยินยอมเป็นฐาน สมาชิกถอนความยินยอมได้เฉพาะข้อที่เป็นฐานยินยอมเท่านั้น ส่วนข้ออื่นยังต้องเก็บต่อเพราะเป็นสัญญา

วัตถุประสงค์ที่ใช้ฐานความยินยอมมี 2 ข้อ คือการส่งโปรโมชั่นทางอีเมลและไลน์ ถ้าถอนความยินยอม ระบบจะหยุดส่งภายใน 24 ชั่วโมง ส่วนวัตถุประสงค์ที่เหลือ 3 ข้อใช้ฐานสัญญาและประโยชน์โดยชอบด้วยกฎหมาย จึงยังต้องเก็บต่อแม้ถอนความยินยอม เพราะจำเป็นต่อการให้บริการจริงและข้อกำหนดของกฎหมาย

การใช้ข้อมูลเพื่อตรวจจับการทุจริตทำแบบกึ่งอัตโนมัติ ระบบให้คะแนนความเสี่ยง 1 ถึง 100 ทุกรายการ ถ้าคะแนนเกิน 80 จะพักรายการไว้ให้เจ้าหน้าที่ 5 คนตรวจด้วยมือภายใน 30 นาที ขั้นตอนนี้ใช้ข้อมูลการเข้าสู่ระบบและประวัติทำรายการย้อนหลัง 90 วันเป็นหลัก เพื่อไม่ให้รบกวนสมาชิกทั่วไป

PU31 ไม่ใช้ข้อมูลส่วนบุคคลตัดสินใจแบบอัตโนมัติเต็มรูปแบบในเรื่องที่กระทบสิทธิ์โดยตรง ไม่มีการปิดบัญชีโดยหุ่นยนต์ การระงับบัญชีทุกกรณีต้องมีเจ้าหน้าที่อนุมัติเป็นลายลักษณ์อักษร และแจ้งเหตุผลให้สมาชิกทราบภายใน 3 วันทำการ พร้อมช่องทางอุทธรณ์ที่ระบุไว้ชัดเจนในหนังสือแจ้ง

ระยะเวลาจัดเก็บข้อมูล 6 ปี และการลบเมื่อหมดความจำเป็น

PU31 จัดเก็บข้อมูลส่วนบุคคลนาน 6 ปีนับจากวันปิดบัญชี ตามข้อกำหนดด้านบัญชีและการต่อสู้ข้อพิพาท ระหว่างที่ยังใช้งานปกติจะเก็บตลอดอายุบัญชี เมื่อครบ 6 ปี ระบบจะลบหรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ภายใน 30 วัน และออกหลักฐานการลบให้สมาชิกขอรับได้ทางอีเมลทุกครั้ง

ข้อมูลบางประเภทมีอายุสั้นกว่า 6 ปี เช่น บันทึกแชทเก็บ 2 ปี บันทึกที่อยู่ไอพีเก็บ 1 ปี และข้อมูลการตลาดที่อิงความยินยอมเก็บจนกว่าจะถอน เมื่อหมดอายุแต่ละประเภท ระบบลบอัตโนมัติตามรอบทุก 30 วัน โดยไม่ต้องยื่นคำขอและไม่ต้องรอให้สมาชิกทวงถาม

การสำรองข้อมูลทำ 3 ชุดใน 3 ภูมิภาค และรอบสำรองหมุนทุก 24 ชั่วโมง เมื่อลบข้อมูลจากระบบหลัก ระบบจะลบสำรองชุดเก่าภายใน 90 วัน ระหว่างนั้นเข้าถึงได้เฉพาะทีมเทคนิค 3 คนที่มีสิทธิ์กู้คืนข้อมูลเพื่อกู้ระบบจริงเท่านั้น และทุกครั้งของการกู้คืนต้องบันทึกเหตุผลไว้

สิทธิของเจ้าของข้อมูล 8 ข้อที่ใช้ได้ฟรีภายใน 30 วัน

สิทธิของเจ้าของข้อมูลตาม PDPA ที่ PU31 รองรับมี 8 ข้อ ได้แก่ ขอดูข้อมูล ขอสำเนา ขอแก้ไข ขอลบ ขอระงับการใช้ ขอคัดค้าน ขอโอนย้ายข้อมูล และถอนความยินยอม ทุกข้อทำได้ฟรีไม่คิดค่าบริการ และยื่นได้ทั้งทางอีเมล [email protected] และแชทสดตลอด 24 ชั่วโมง

การยื่นคำขอใช้สิทธิ์มี 3 ขั้นตอน เริ่มจากยืนยันตัวตนไม่เกิน 10 นาที จากนั้นทีมงานตอบรับภายใน 3 วันทำการ และดำเนินการแล้วเสร็จไม่เกิน 30 วันนับจากวันที่ยืนยันตัวตนสำเร็จ หากคำขอซับซ้อน ระบบจะแจ้งขยายเวลาไม่เกิน 30 วันเพิ่ม พร้อมระบุเหตุผลเป็นลายลักษณ์อักษรทุกกรณี

คำขอที่ตอบเร็วที่สุดคือขอดูข้อมูลและขอสำเนา ซึ่งระบบสร้างไฟล์ให้ภายใน 7 วัน ส่วนคำขอลบต้องตรวจเงื่อนไขก่อน เพราะบางข้อมูลยังติดอายุจัดเก็บ 6 ปีตามกฎหมาย ตัวอย่างเช่น ประวัติทำรายการต้องเก็บต่อ แต่ชื่อที่แสดงในโปรไฟล์ลบหรือแก้ได้ทันทีภายในวันเดียวกัน

ถ้าผู้ยื่นคำขอไม่พอใจผลการดำเนินการ ร้องเรียนได้ 2 ช่องทาง คืออีเมลของทีมคุ้มครองข้อมูลส่วนบุคคลภายใน 30 วัน และยื่นต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลได้ตามสิทธิ์ โดย PU31 จะให้ข้อมูลประกอบการร้องเรียนครบทุกครั้ง เพื่อให้ตรวจสอบได้จริง

การเปิดเผยข้อมูลให้บุคคลที่สาม 4 กรณี และมาตรการรักษาความปลอดภัย

PU31 เปิดเผยข้อมูลส่วนบุคคลให้บุคคลที่สามได้ 4 กรณี ได้แก่ ผู้ให้บริการชำระเงินที่จำเป็นต่อรายการ หน่วยงานรัฐที่มีอำนาจตามกฎหมาย ผู้ให้บริการคลาวด์ที่ผูกสัญญาคุ้มครองข้อมูล และผู้ตรวจสอบภายนอกที่เซ็นสัญญารักษาความลับ ทุกกรณีเปิดเท่าที่จำเป็นและไม่ขายข้อมูลเพื่อการตลาดเด็ดขาด

การโอนข้อมูลออกนอกประเทศทำได้เฉพาะผู้ให้บริการคลาวด์ 2 รายที่มีเซิร์ฟเวอร์ในสิงคโปร์และเยอรมนี ซึ่งมีมาตรฐานคุ้มครองข้อมูลตามที่กฎหมายไทยยอมรับ ทั้งสองรายผูกสัญญาไม่ให้ใช้ข้อมูลของสมาชิก PU31 เพื่อการอื่น และต้องรายงานเหตุรั่วไหลกลับภายใน 24 ชั่วโมงนับจากพบเหตุ

มาตรการรักษาความปลอดภัยใช้ 4 ชั้น ชั้นแรกเข้ารหัส SSL 256 บิตทุกเส้นทาง ชั้นที่สองรหัสผ่านเก็บแบบแฮชพร้อมเกลือ ชั้นที่สามยืนยันตัวตน 2 ชั้นด้วย OTP 6 หลัก อายุ 30 วินาที และชั้นที่สี่บันทึกการเข้าถึงข้อมูลทุกครั้งเพื่อตรวจย้อนหลังได้ 90 วัน ทั้งสี่ชั้นทำงานพร้อมกันตลอดเวลา

หากเกิดเหตุข้อมูลรั่วไหล PU31 จะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงตามกฎหมาย และแจ้งสมาชิกที่ได้รับผลกระทบทางอีเมลทันทีถ้าความเสี่ยงอยู่ในระดับสูง พร้อมบอกข้อมูลที่รั่ว ผลกระทบ และวิธีป้องกันตัวไว้ในข้อความเดียวกัน เพื่อให้ตัดสินใจได้เร็ว

ขั้นตอนยื่นคำขอใช้สิทธิ์ข้อมูลส่วนบุคคล 3 ขั้น ใช้เวลาไม่เกิน 30 วัน

ช่องทางติดต่อทีมคุ้มครองข้อมูลส่วนบุคคล 2 ช่อง เปิด 24 ชั่วโมง

มาตรการความปลอดภัย 4 ชั้นที่ PU31 ใช้กับข้อมูลทุกประเภท

อายุจัดเก็บ 6 ปีนับจากวันไหน และนับอย่างไรให้ถูกต้อง

คำถามที่พบบ่อย นโยบายความเป็นส่วนตัว PU31 6 ข้อ ตอบครบ