ประกาศความเป็นส่วนตัวสำหรับพนักงาน

บริษัท ศิริวัตร์เมธานินท์ กรุ๊ป จำกัด ("บริษัท") ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลของพนักงาน ประกาศฉบับนี้อธิบายว่าบริษัทเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของท่านอย่างไร เมื่อท่านใช้ระบบลงเวลาและบริหารงานบุคคล SMG HRM ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

1. ผู้ควบคุมข้อมูลส่วนบุคคล

บริษัท ศิริวัตร์เมธานินท์ กรุ๊ป จำกัด เป็นผู้ควบคุมข้อมูลส่วนบุคคลของท่านที่อยู่ในระบบนี้ ติดต่อได้ตามช่องทางในข้อ 10

2. ข้อมูลส่วนบุคคลที่บริษัทเก็บรวบรวม

• ข้อมูลระบุตัวตนและการจ้างงาน: ชื่อ-นามสกุล (ภาษาไทยและภาษาอังกฤษ) รหัสพนักงาน เพศ ตำแหน่ง ระดับสิทธิ์ ฝ่าย แผนก ผู้บังคับบัญชาและหัวหน้าร่วม วันเริ่มงาน และอีเมล
• ข้อมูลเวลาทำงาน: เวลาเข้า-ออกงาน ตารางกะ การมาสาย/ออกก่อนเวลา และการยืนยันเวลาทำงานโดยหัวหน้างาน
• รูปถ่าย (selfie) ขณะลงเวลา: ใช้ยืนยันว่าท่านลงเวลาด้วยตนเอง บริษัทไม่ได้นำรูปไปประมวลผลด้วยเทคโนโลยีจดจำใบหน้า
• ตำแหน่งที่ตั้ง: พิกัด GPS และค่าความแม่นยำ เฉพาะ ณ เวลาที่ท่านกดลงเวลา (ระบบไม่ติดตามตำแหน่งตลอดเวลา)
• คำขอและการอนุมัติ: การลา OT การทำงานที่บ้าน (WFH) การแลกกะ คำขอแก้ไขเวลา และผลการพิจารณา
• ใบรับรองแพทย์ ที่แนบประกอบการลาป่วย ซึ่งเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหว (ข้อมูลสุขภาพ)
• บัญชี LINE (เฉพาะผู้ที่เชื่อมบัญชี): LINE user ID ชื่อที่แสดง และรูปโปรไฟล์
• ลายมือชื่ออิเล็กทรอนิกส์ (เอกสาร OT): ภาพลายมือชื่อที่ท่านเซ็นในระบบ และ "ลายเซ็นประจำ" หากท่านบันทึกไว้ · ชื่อ ตำแหน่ง ระดับ ณ ขณะลงนาม · วันเวลาที่ลงนาม · วิธียืนยันตัวตน (รหัส OTP ทางอีเมล หรือแอป Authenticator) และอีเมลปลายทางแบบปิดบางส่วน · ค่าแฮชของข้อมูลเอกสารที่ลงนาม · การยอมรับข้อตกลงการใช้ลายมือชื่ออิเล็กทรอนิกส์ (ฉบับ วันเวลา)
• ข้อมูลอุปกรณ์และบันทึกการใช้งาน: หมายเลข IP ประเภทเบราว์เซอร์/อุปกรณ์ เวลาเข้าสู่ระบบ บันทึกการแก้ไขข้อมูล และประวัติการส่งอีเมลแจ้งเตือน

3. วัตถุประสงค์และฐานทางกฎหมาย

• เพื่อปฏิบัติตามสัญญาจ้าง (มาตรา 24(3)): บริหารเวลาทำงาน กะ การลา OT และ WFH พิจารณาอนุมัติคำขอ จัดทำข้อมูลประกอบการจ่ายค่าจ้าง และแจ้งเตือนทางอีเมลหรือ LINE
• เพื่อปฏิบัติหน้าที่ตามกฎหมาย (มาตรา 24(6)): จัดทำและเก็บรักษาทะเบียนลูกจ้าง เอกสารเกี่ยวกับเวลาทำงาน ค่าจ้าง และค่าล่วงเวลา ตามพระราชบัญญัติคุ้มครองแรงงาน พ.ศ. 2541
• เพื่อประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)): ยืนยันตัวตนและสถานที่ขณะลงเวลา (รูปถ่ายและพิกัด) เพื่อป้องกันการลงเวลาแทนกัน รักษาความปลอดภัยของระบบ ตรวจสอบย้อนหลัง จัดทำผังองค์กรและรายงานภายใน
• ลายมือชื่ออิเล็กทรอนิกส์ (มาตรา 24(3), 24(5) และ 24(6)): ใช้ลงนามเสนอ ยินยอม อนุมัติ หรือไม่อนุมัติ เอกสารการทำงานล่วงเวลา พิสูจน์ความยินยอมทำงานล่วงเวลาเป็นครั้ง ๆ ไปตามมาตรา 24 แห่งพระราชบัญญัติคุ้มครองแรงงาน ตรวจสอบการแก้ไขเอกสาร ออกใบรับรองการลงลายมือชื่ออิเล็กทรอนิกส์ (E-Cert) และใช้เป็นหลักฐานการจ่ายค่าล่วงเวลาหรือการใช้สิทธิเรียกร้องตามกฎหมาย · บริษัทไม่นำภาพลายมือชื่อไปประมวลผลทางเทคนิคเพื่อระบุตัวบุคคล (ไม่เปรียบเทียบลายเส้นหรือแรงกด) การยืนยันตัวตนใช้รหัส OTP หรือ Authenticator
• ใบรับรองแพทย์ (มาตรา 26(5)(ก)): ใช้เท่าที่จำเป็นเพื่อการใช้สิทธิลาป่วยตามกฎหมายคุ้มครองแรงงาน เข้าถึงได้เฉพาะผู้ที่เกี่ยวข้องกับการพิจารณาการลา
• การเชื่อมบัญชี LINE เป็นทางเลือก: ท่านใช้งานผ่านเว็บไซต์ได้ทุกเมนู และยกเลิกการเชื่อมได้ทุกเมื่อที่เมนู บัญชีของฉัน

4. ระยะเวลาการเก็บรักษา

• รูปถ่าย selfie ขณะลงเวลา: 45 วัน นับจากวันที่ลงเวลา แล้วระบบลบโดยอัตโนมัติ
• พิกัดตำแหน่งและค่าความแม่นยำขณะลงเวลา: เก็บรวมกับข้อมูลเวลาทำงาน อย่างน้อย 2 ปี นับแต่วันจ่ายค่าจ้างหรือวันสิ้นสุดการจ้าง ตามมาตรา 114 แห่งพระราชบัญญัติคุ้มครองแรงงาน เพื่อใช้ตรวจสอบเวลาทำงานย้อนหลังและกรณีมีข้อโต้แย้ง
• ใบรับรองแพทย์: 1 ปี นับจากวันที่ตรวจสอบ
• ลายมือชื่ออิเล็กทรอนิกส์และบันทึกการลงนาม: อย่างน้อย 2 ปี นับแต่วันจ่ายค่าล่วงเวลาของงวดนั้นหรือวันสิ้นสุดการจ้าง ตามมาตรา 114 แห่งพระราชบัญญัติคุ้มครองแรงงาน หรือจนกว่าข้อพิพาทที่เกี่ยวข้องจะถึงที่สุด · บันทึกการลงนามที่เกิดขึ้นแล้วแก้ไขหรือลบไม่ได้ เพื่อคงความน่าเชื่อถือของเอกสาร · ลายเซ็นประจำที่ท่านลบหรือเปลี่ยนแล้วจะไม่ถูกใช้ลงนามอีก · รหัส OTP ไม่ถูกเก็บในรูปที่อ่านได้
• ข้อมูลเวลาทำงานและข้อมูลที่เกี่ยวกับค่าจ้าง: อย่างน้อย 2 ปี นับแต่วันจ่ายค่าจ้างหรือวันสิ้นสุดการจ้าง ตามมาตรา 114 แห่งพระราชบัญญัติคุ้มครองแรงงาน หรือนานกว่านั้นหากมีข้อพิพาทหรือการตรวจสอบตามกฎหมาย
• ข้อมูลบัญชีผู้ใช้และบันทึกการใช้งาน: ตลอดระยะเวลาการจ้างงาน และไม่เกิน 2 ปีหลังสิ้นสุดการจ้าง
• สำเนาสำรองข้อมูล (backup): สำเนารายวันเก็บ 45 วัน และสำเนารายเดือนเก็บ 12 เดือน แล้วลบโดยอัตโนมัติ

เมื่อพ้นระยะเวลาดังกล่าว บริษัทจะลบหรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้

5. ผู้ที่เข้าถึงข้อมูลของท่าน

• ตัวท่านเอง: ดูข้อมูล ประวัติการลงเวลา และคำขอของตนเองได้ในระบบ
• ผู้บังคับบัญชาในสายงานและหัวหน้าร่วม: เฉพาะข้อมูลของพนักงานในทีมที่ดูแล เพื่ออนุมัติคำขอและยืนยันเวลาทำงาน
• ผู้เกี่ยวข้องกับเอกสาร OT: ผู้เสนอ ผู้อนุมัติ และผู้ได้รับใบรับรองการลงลายมือชื่ออิเล็กทรอนิกส์ (E-Cert) เพื่อการตรวจสอบ เช่น ผู้สอบบัญชีหรือหน่วยงานรัฐ เห็นภาพลายมือชื่อและบันทึกการลงนามของเอกสารนั้นเท่าที่จำเป็น
• ฝ่ายทรัพยากรบุคคล (HR) และผู้บริหาร: เท่าที่จำเป็นต่อการบริหารงานบุคคลและการจ่ายค่าจ้าง
• ผู้ให้บริการระบบ (ผู้ประมวลผลข้อมูล): Cloudflare (โฮสต์ระบบ ฐานข้อมูล และที่เก็บไฟล์) · Resend และ Brevo (ส่งอีเมลแจ้งเตือนและรหัส OTP) · LINE (เข้าสู่ระบบและแจ้งเตือน สำหรับผู้ที่เชื่อมบัญชี) ซึ่งประมวลผลตามคำสั่งของบริษัทเท่านั้น
• หน่วยงานของรัฐ: เมื่อกฎหมายกำหนด เช่น พนักงานตรวจแรงงาน หรือตามคำสั่งศาล
• การส่งข้อมูลไปต่างประเทศ: ผู้ให้บริการข้างต้นอาจจัดเก็บหรือประมวลผลข้อมูลบนเซิร์ฟเวอร์นอกประเทศไทย บริษัทเลือกผู้ให้บริการที่มีมาตรฐานการคุ้มครองข้อมูลที่เหมาะสมตามมาตรา 28 และ 29

6. มาตรการรักษาความปลอดภัย

• เชื่อมต่อผ่าน HTTPS ทั้งหมด รหัสผ่านจัดเก็บแบบเข้ารหัสทางเดียว (hash) และล็อกบัญชีเมื่อใส่รหัสผ่านผิดหลายครั้ง
• จำกัดสิทธิ์การเข้าถึงตามบทบาท (พนักงาน หัวหน้างาน HR ผู้ดูแลระบบ) และบันทึกประวัติการแก้ไขข้อมูล
• รูปถ่าย ใบรับรองแพทย์ และภาพลายมือชื่อเก็บในพื้นที่ที่ไม่เปิดสาธารณะ เปิดดูได้เฉพาะผู้มีสิทธิ์
• การลงลายมือชื่อทุกครั้งต้องยืนยันตัวตนด้วยรหัส OTP หรือ Authenticator และบันทึกการลงนามเชื่อมโยงกันด้วยค่าแฮช ทำให้ตรวจพบการแก้ไขย้อนหลังได้
• สำรองข้อมูลอัตโนมัติทุกวัน

7. สิทธิของเจ้าของข้อมูล

ท่านมีสิทธิตามกฎหมาย ดังนี้:

1. ขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของท่าน
2. ขอแก้ไขข้อมูลให้ถูกต้อง เป็นปัจจุบัน และสมบูรณ์ (เช่น อีเมลที่ใช้รับรหัส OTP) · ลบหรือเปลี่ยน "ลายเซ็นประจำ" ได้เองที่ บัญชีของฉัน › ลายเซ็นของฉัน
3. ขอลบหรือทำลายข้อมูล เมื่อหมดความจำเป็นหรือไม่มีฐานทางกฎหมายรองรับ
4. คัดค้านการประมวลผลข้อมูลที่อาศัยฐานประโยชน์โดยชอบด้วยกฎหมาย
5. ขอให้ระงับการใช้ข้อมูลเป็นการชั่วคราว
6. ขอรับหรือขอให้โอนย้ายข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องมืออัตโนมัติ
7. ถอนความยินยอม เฉพาะส่วนที่บริษัทอาศัยฐานความยินยอม (การถอนไม่กระทบการประมวลผลที่ทำไปแล้ว)
8. ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากเห็นว่าบริษัทไม่ปฏิบัติตามกฎหมาย

บริษัทอาจปฏิเสธคำขอได้เท่าที่กฎหมายอนุญาต เช่น ข้อมูลที่ต้องเก็บตามกฎหมายแรงงาน และจะแจ้งเหตุผลให้ท่านทราบ

8. ผลของการไม่ให้ข้อมูล

ข้อมูลส่วนใหญ่จำเป็นต่อการปฏิบัติตามสัญญาจ้างและกฎหมาย หากไม่ให้ข้อมูล (เช่น ไม่อนุญาตกล้องหรือตำแหน่งขณะลงเวลา) ระบบอาจไม่สามารถบันทึกเวลาทำงานได้ ท่านสามารถติดต่อ HR เพื่อหาวิธีบันทึกเวลาทางอื่น

9. การเปลี่ยนแปลงประกาศนี้

บริษัทอาจปรับปรุงประกาศนี้เป็นครั้งคราว เมื่อมีฉบับใหม่ ระบบจะแสดงประกาศให้ท่านอ่านและกดรับทราบอีกครั้งเมื่อเข้าใช้งาน

10. ช่องทางติดต่อ