นโยบายการคุ้มครองข้อมูลส่วนบุคคล (Comprehensive Privacy Policy)

บริษัท อาย คอมฟอร์ท โซน จำกัด (ซึ่งต่อไปนี้ในนโยบายนี้จะเรียกว่า "บริษัท", "เรา", "พวกเรา" หรือ "Eye Comfort Zone") ผู้ประกอบธุรกิจให้บริการศูนย์ดูแลความสบายตา คำปรึกษาด้านการยศาสตร์สายตาสำหรับผู้ใช้งานหน้าจอคอมพิวเตอร์ และจำหน่ายกรอบแว่นตาน้ำหนักเบา ตลอดจนผลิตภัณฑ์เสริมอาหารเพื่อดวงตา ยึดมั่นในการดำเนินธุรกิจอย่างมีธรรมาภิบาล และให้ความสำคัญอย่างยิ่งต่อการคุ้มครองสิทธิความเป็นส่วนตัวของลูกค้า ผู้รับบริการ และผู้เข้าชมเว็บไซต์ทุกคน

นโยบายความเป็นส่วนตัวฉบับนี้ จัดทำขึ้นเพื่อแจ้งให้ท่านในฐานะ "เจ้าของข้อมูลส่วนบุคคล" (Data Subject) ได้ทราบถึงวัตถุประสงค์ ฐานทางกฎหมาย ขอบเขต วิธีการเก็บรวบรวม ใช้ เปิดเผย ตลอดจน การประมวลผลข้อมูลส่วนบุคคล (Processing of Personal Data) ตามบทบัญญัติแห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และกฎหมายลำดับรองที่เกี่ยวข้องของราชอาณาจักรไทย

หมวดที่ 1: คำนิยามและขอบเขตการบังคับใช้

• "ข้อมูลส่วนบุคคล" (Personal Data) หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
• "การประมวลผล" (Processing) หมายถึง การดำเนินการใดๆ เกี่ยวกับการเก็บรวบรวม ใช้ เปิดเผย เปลี่ยนแปลง แก้ไข โอน บันทึก จัดเก็บ หรือทำลายข้อมูลส่วนบุคคล
• "ผู้ควบคุมข้อมูลส่วนบุคคล" (Data Controller) หมายถึง บริษัท อาย คอมฟอร์ท โซน จำกัด ซึ่งมีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
• "ผู้ประมวลผลข้อมูลส่วนบุคคล" (Data Processor) หมายถึง บุคคลหรือนิติบุคคลภายนอกซึ่งดำเนินการเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของเรา เช่น บริษัทจัดส่งพัสดุและผู้ให้บริการคลาวด์
• "เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล" (Data Protection Officer - DPO) หมายถึง ผู้ที่ได้รับแต่งตั้งให้ทำหน้าที่ตรวจสอบและให้คำแนะนำในการปฏิบัติตามกฎหมาย PDPA

หมวดที่ 2: ข้อมูลส่วนบุคคลที่เราทำการเก็บรวบรวม

เรายึดหลักการลดทอนข้อมูล (Data Minimization) โดยจัดเก็บข้อมูลเท่าที่จำเป็นอย่างแท้จริงต่อการให้บริการ ดังนี้:

2.1 ข้อมูลที่ท่านระบุโดยตรงผ่านแบบฟอร์ม 3 ช่อง (Direct Interaction):

• ชื่อและนามสกุลจริง (Full Name): เพื่อใช้ในการระบุตัวตน ออกเอกสารยืนยันคำสั่งซื้อ และจ่าหน้าพัสดุจัดส่งสินค้า
• หมายเลขโทรศัพท์เคลื่อนที่ (Mobile Phone Number): ในรูปแบบเบอร์มือถือของประเทศไทย (08X-XXX-XXXX หรือ 09X-XXX-XXXX) เพื่อให้เจ้าหน้าที่โทรศัพท์ติดต่อยืนยันข้อมูลรายการสินค้า ที่อยู่รับพัสดุ และประสานงานส่งมอบแบบเก็บเงินปลายทาง (COD)
• ที่อยู่อีเมล (Email Address): เพื่อส่งใบเสร็จรับเงินอิเล็กทรอนิกส์ คู่มือดิจิทัลการยศาสตร์ (กรณีสั่งซื้อบริการดิจิทัล) และแจ้งเตือนสถานะการจัดส่ง

2.2 ข้อมูลที่จัดเก็บเพิ่มเติมเมื่อมีการยืนยันการจัดส่ง:

• ที่อยู่สำหรับจัดส่งพัสดุ (Shipping Address): บ้านเลขที่ หมู่บ้าน/อาคาร ถนน แขวง/ตำบล เขต/อำเภอ จังหวัด และรหัสไปรษณีย์ 5 หลักในประเทศไทย
• บันทึกประวัติการสั่งซื้อ (Transaction History): รุ่นกรอบแว่นที่เลือก จำนวน วันที่และเวลาที่สั่งซื้อ และยอดรวมในสกุลเงินบาทไทย (THB)

2.3 ข้อมูลทางเทคนิคและสถิติการใช้งานเว็บไซต์ (Automated & Technical Data):

• หมายเลขไอพี (IP Address) และข้อมูลการเชื่อมต่อเครือข่าย
• ประเภทและเวอร์ชันของเว็บเบราว์เซอร์ (Browser Information) รวมถึงการตั้งค่าเขตเวลาและระบบปฏิบัติการ
• ข้อมูลการบันทึกคุกกี้ (Cookies): ค่าการเลือกภาษา (ไทย/อังกฤษ) และสถานะการตอบรับความยินยอม
• ข้อมูลแบบประเมินความล้าสายตา (CESI Assessment): คะแนนและคำตอบในแบบประเมิน 4 ข้อ ซึ่งถูกบันทึกเป็นสถิติรวมโดยไม่เชื่อมโยงกับตัวตนของท่าน (Anonymized Data)

หมวดที่ 3: ฐานทางกฎหมายและวัตถุประสงค์ใน การประมวลผลข้อมูลส่วนบุคคล

เราจะไม่ดำเนินการประมวลผลข้อมูลส่วนบุคคลของท่านโดยปราศจากฐานทางกฎหมายที่รองรับตามมาตรา 24 และมาตรา 26 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังรายละเอียดในตารางต่อไปนี้:

วัตถุประสงค์ในการประมวลผล	ประเภทข้อมูลที่ใช้	ฐานทางกฎหมาย (Legal Basis)
การรับคำสั่งซื้อ จัดเตรียมสินค้า และส่งมอบพัสดุกรอบแว่นตาหรือวิตามินบำรุงตา	ชื่อ-นามสกุล, เบอร์โทร, อีเมล, ที่อยู่จัดส่ง	ฐานสัญญา (Contractual Basis) เพื่อปฏิบัติตามสัญญาซื้อขาย
การนัดหมายวันเวลาเข้าพบผู้เชี่ยวชาญการยศาสตร์สายตา ณ สตูดิโอ สุขุมวิท 21	ชื่อ-นามสกุล, เบอร์โทรศัพท์, อีเมล	ฐานสัญญาและก่อนทำสัญญา ตามคำขอรับบริการของท่าน
การติดต่อสื่อสารผ่าน LINE Official และตอบข้อซักถามผ่านระบบบริการลูกค้า	เบอร์โทรศัพท์, LINE ID, ชื่อผู้ติดต่อ	ฐานความยินยอม (Consent) ที่ท่านให้ไว้โดยสมัครใจ
การจัดทำบัญชี การออกใบกำกับภาษี และการรายงานธุรกรรมตามกฎหมายการเงิน	ชื่อ-นามสกุล, ที่อยู่, ยอดเงิน, ประวัติการชำระ	ฐานหน้าที่ตามกฎหมาย (Legal Obligation) ประมวลรัษฎากรและกฎหมายบัญชี
การป้องกันการฉ้อโกง การตรวจสอบความมั่นคงปลอดภัยของเว็บไซต์ และการปรับปรุงประสิทธิภาพ	IP Address, Log ไฟล์, ข้อมูลอุปกรณ์	ฐานประโยชน์อันชอบธรรม (Legitimate Interest) โดยไม่ลิดรอนสิทธิขั้นพื้นฐาน

หมวดที่ 4: การเปิดเผยและการส่งต่อข้อมูลส่วนบุคคล

บริษัทมีนโยบายคุ้มครองความลับอย่างเข้มงวด เราจะไม่จำหน่าย แลกเปลี่ยน หรือส่งต่อข้อมูลส่วนบุคคลของท่านให้แก่บุคคลที่สามเพื่อประโยชน์ทางการตลาดโดยเด็ดขาด การเปิดเผยข้อมูลจะกระทำเฉพาะเท่าที่จำเป็นต่อบุคคลหรือหน่วยงานดังต่อไปนี้:

1. ผู้ให้บริการจัดส่งพัสดุที่ได้รับอนุญาต: เช่น Flash Express, Kerry Express (KEX) และบริษัท ไปรษณีย์ไทย จำกัด เพื่อวัตถุประสงค์ในการนำส่งพัสดุถึงมือผู้รับ และการเรียกเก็บเงินปลายทาง (COD)
2. ผู้ให้บริการระบบเทคโนโลยีสารสนเทศ: ผู้ให้บริการระบบคลาวด์ เซิร์ฟเวอร์ และระบบฐานข้อมูลที่มีการเข้ารหัสและได้รับการรับรองมาตรฐานความปลอดภัย ISO/IEC 27001
3. หน่วยงานของรัฐและเจ้าหน้าที่ผู้มีอำนาจตามกฎหมาย: เช่น กรมสรรพากร สำนักงานคณะกรรมการคุ้มครองผู้บริโภค (สคบ.) สำนักงานคณะกรรมการอาหารและยา (อย.) หรือศาลยุติธรรม เมื่อมีหมายเรียกหรือคำสั่งตามกฎหมาย

หมวดที่ 5: มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล (Security Safeguards)

เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลของท่านจะได้รับการคุ้มครองจากการสูญหาย การเข้าถึงโดยมิชอบ การเปิดเผย หรือการแก้ไขเปลี่ยนแปลงโดยไม่ได้รับอนุญาต บริษัทได้วางมาตรการรักษาความมั่นคงปลอดภัยทั้งเชิงเทคนิค (Technical Measures) และเชิงบริหารจัดการ (Organizational Measures) ดังนี้:

• การเข้ารหัสการรับส่งข้อมูลผ่านเครือข่ายอินเทอร์เน็ตด้วยโปรโตคอล TLS 1.3 / SSL 256-bit Encryption
• การจำกัดสิทธิ์การเข้าถึงข้อมูล (Role-Based Access Control) เฉพาะพนักงานที่จำเป็นต้องใช้ข้อมูลในการปฏิบัติงานเท่านั้น
• การจัดทำบันทึกการเข้าถึงข้อมูล (Access Log Audit) เพื่อตรวจสอบย้อนหลังในกรณีที่เกิดความผิดปกติ
• การจัดอบรมพนักงานทุกคนเกี่ยวกับแนวปฏิบัติด้าน PDPA และการรักษาความลับของลูกค้าอย่างสม่ำเสมอ

หมวดที่ 6: ระยะเวลาในการจัดเก็บรักษาข้อมูล (Data Retention)

เราจะจัดเก็บข้อมูลส่วนบุคคลของท่านไว้ในระบบเป็นระยะเวลาเท่าที่จำเป็นต่อการบรรลุวัตถุประสงค์ที่ได้แจ้งไว้เท่านั้น:

• ข้อมูลการสั่งซื้อและธุรกรรมทางการเงิน: จัดเก็บเป็นเวลา 5 ปี นับจากวันสิ้นสุดรอบปีบัญชี เพื่อปฏิบัติตามกฎหมายภาษีอากรและการบัญชีไทย
• ข้อมูลการรับประกันสินค้าและการเปลี่ยนคืน 14 วัน: จัดเก็บเป็นเวลา 3 ปี เพื่อประโยชน์ในการให้บริการหลังการขายและการเคลมสินค้า
• ข้อมูลคำถามและข้อซักถามทั่วไป: จัดเก็บเป็นเวลา 1 ปี นับจากวันที่การสนทนาสิ้นสุดลง
• เมื่อพ้นกำหนดระยะเวลาดังกล่าว ข้อมูลจะถูกลบหรือทำลายออกจากฐานข้อมูลหลัก หรือทำให้กลายเป็นข้อมูลที่ไม่สามารถระบุตัวตนได้อีกต่อไป

หมวดที่ 7: สิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย PDPA

ในฐานะเจ้าของข้อมูลส่วนบุคคล ท่านมีสิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังนี้:

• สิทธิในการขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล (Right of Access - มาตรา 30): ท่านมีสิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของท่านที่เราถือครองอยู่
• สิทธิในการขอรับหรือโอนย้ายข้อมูลส่วนบุคคล (Right to Data Portability - มาตรา 31): ท่านมีสิทธิขอรับข้อมูลส่วนบุคคลในรูปแบบที่อ่านหรือใช้งานได้โดยทั่วไปด้วยเครื่องมืออัตโนมัติ
• สิทธิในการคัดค้านการประมวลผลข้อมูล (Right to Object - มาตรา 32): ท่านมีสิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในเวลาใดก็ได้
• สิทธิในการขอลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวตน (Right to Erasure - มาตรา 33): ท่านมีสิทธิขอให้เราลบหรือทำลายข้อมูลส่วนบุคคลของท่านเมื่อหมดความจำเป็น
• สิทธิในการขอให้ระงับการใช้ข้อมูล (Right to Restriction of Processing - มาตรา 34): ท่านมีสิทธิขอให้ระงับการใช้ข้อมูลในระหว่างการตรวจสอบความถูกต้องหรือการคัดค้าน
• สิทธิในการขอแก้ไขข้อมูลให้ถูกต้อง (Right to Rectification - มาตรา 35): ท่านมีสิทธิขอให้เราแก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง เป็นปัจจุบัน และไม่ก่อให้เกิดความเข้าใจผิด
• สิทธิในการเพิกถอนความยินยอม (Right to Withdraw Consent): ท่านสามารถเพิกถอนความยินยอมที่ให้ไว้กับเราได้ตลอดเวลา โดยการเพิกถอนจะไม่กระทบต่อการประมวลผลที่ได้กระทำไปแล้วโดยชอบ
• สิทธิในการร้องเรียนต่อหน่วยงานกำกับดูแล (Right to Complain): ท่านมีสิทธิยื่นเรื่องร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. / PDPC) หากพบว่าเราฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย

หมวดที่ 8: ช่องทางการติดต่อผู้ควบคุมข้อมูลและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

หากท่านมีข้อสงสัย ข้อเสนอแนะ หรือประสงค์จะใช้สิทธิตามกฎหมาย PDPA กรุณาติดต่อเราได้ตามช่องทางดังต่อไปนี้:

บริษัทจะดำเนินการพิจารณาและตอบสนองต่อคำร้องขอใช้สิทธิของท่านภายใน 30 วันนับแต่วันที่ได้รับคำร้องขอและเอกสารพิสูจน์ยืนยันตัวตนครบถ้วน