ฉบับร่าง — ยังไม่มีผลบังคับใช้
เอกสารนี้เป็น ฉบับร่างเพื่อการตรวจสอบภายใน จัดทำจากการสำรวจข้อมูลที่ระบบของเว็บไซต์นี้จัดเก็บจริง ยังไม่ผ่านการตรวจสอบและอนุมัติโดยผู้มีอำนาจของบริษัท และยังขาดข้อมูลบางส่วนที่ต้องกรอกเพิ่ม (ดูกล่องสีเหลืองตลอดหน้า) จึงยังไม่ถือเป็นคำประกาศนโยบายความเป็นส่วนตัวที่มีผลผูกพันตามกฎหมาย
1. ผู้ควบคุมข้อมูลส่วนบุคคล
เว็บไซต์นี้ให้บริการโดย บริษัท อินเทลลิเจนท์ ดี.ซี. จำกัด (INTELLIGENT D.C.) ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ของข้อมูลที่เก็บผ่านเว็บไซต์นี้
- ชื่อนิติบุคคล: บริษัท อินเทลลิเจนท์ ดี.ซี. จำกัด (INTELLIGENT D.C.)
- ที่อยู่: 190 หมู่ 3 ซอยเศรษฐี ตำบลสันผีเสื้อ อำเภอเมือง จังหวัดเชียงใหม่ 50300
- สถานะ: สำนักงานบัญชีคุณภาพ และ สำนักงานบัญชีดิจิทัล
ช่องทางติดต่อที่ใช้งานอยู่จริงในปัจจุบัน:
- โทรศัพท์ 081-595-0990
- อีเมล Uthen.l@I-dc.co.th
- LINE Official Account @idc-accounting
2. ข้อมูลส่วนบุคคลที่เราเก็บรวบรวม
รายการต่อไปนี้จัดทำจากการตรวจสอบโครงสร้างฐานข้อมูลและแบบฟอร์มที่ใช้งานจริงบนเว็บไซต์นี้ ไม่ใช่ข้อความสำเร็จรูป
| กลุ่มข้อมูล | รายการที่เก็บจริง | เก็บเมื่อใด |
|---|---|---|
| บัญชีสมาชิก | อีเมล, รหัสผ่าน (จัดเก็บเป็นค่าแฮชเท่านั้น ไม่เก็บรหัสผ่านจริง), ชื่อ-นามสกุลภาษาไทยและภาษาอังกฤษ, เบอร์โทรศัพท์, ประเภทลูกค้า (บุคคลธรรมดา/นิติบุคคล), เลขประจำตัวผู้เสียภาษี, ชื่อบริษัท, รหัสสาขา, ที่อยู่สำหรับออกใบกำกับภาษี, ที่อยู่จัดส่ง, อาชีพ, ตำแหน่ง, ประเภทและเลขที่ใบอนุญาตวิชาชีพ (CPA / TA / CPD), ช่องทางที่รู้จัก IDC, สถานะความยินยอม PDPA และวันเวลาที่ให้ความยินยอม, ความยินยอมรับข่าวสารการตลาด | เมื่อสมัครสมาชิกที่หน้า "สมัครสมาชิก" |
| การลงทะเบียนอบรม | หลักสูตรที่ลงทะเบียน, สถานะการลงทะเบียน, ยอดชำระเงิน, ภาพสลิป/หลักฐานการโอนเงิน, การขอใบกำกับภาษี, การยอมรับเงื่อนไขการคืนเงิน, วันเวลาที่ลงทะเบียน | เมื่อลงทะเบียนเรียนและแจ้งชำระเงิน |
| เอกสารทางการเงิน | เลขที่ใบแจ้งหนี้/ใบเสร็จ/ใบกำกับภาษี, ข้อมูลผู้ซื้อที่บันทึกไว้ ณ วันออกเอกสาร (ชื่อ เลขผู้เสียภาษี สาขา ที่อยู่), รายการและจำนวนเงิน, ไฟล์หลักฐานการชำระเงิน (PNG / JPEG / PDF), วันเวลารับชำระและช่องทาง | เมื่อออกเอกสารหรือบันทึกการรับชำระ |
| ใบเสนอราคาและลูกค้า | ชื่อลูกค้า/บริษัท, อีเมล, เบอร์โทรศัพท์, เลขประจำตัวผู้เสียภาษี, รหัสสาขา, ที่อยู่ออกเอกสาร, รายละเอียดงานและจำนวนเงิน, ไฟล์หลักฐานการชำระมัดจำ, ชื่อผู้ตอบกลับใบเสนอราคาและเหตุผล | เมื่อขอ/รับใบเสนอราคา |
| คำขออบรมในองค์กร (In-house) | ชื่อผู้ติดต่อ, ตำแหน่ง, ชื่อบริษัท, เบอร์โทรศัพท์, อีเมล, หลักสูตรที่สนใจ, จำนวนผู้เข้าอบรม, รูปแบบและเดือนที่ต้องการ, สถานที่, ชื่อนิติบุคคล, เลขประจำตัวผู้เสียภาษี, รหัสสาขา, ที่อยู่ออกเอกสาร, หมายเหตุเพิ่มเติม | เมื่อส่งแบบฟอร์มหน้า In-house Training |
| การเข้าอบรมและชั่วโมง CPD | บันทึกการเช็คชื่อเข้าอบรม (รอบ, วันเวลาที่เช็คชื่อ, วิธีเช็คชื่อ — QR / เจ้าหน้าที่บันทึก / ออนไลน์), ชั่วโมงพัฒนาความรู้ต่อเนื่องแยกประเภท (CPD บัญชี, CPD อื่น, CPA บัญชี, CPA อื่น) ตามปี พ.ศ. | เมื่อเข้าร่วมอบรมและเมื่อออกวุฒิบัตร |
| วุฒิบัตร | ชื่อผู้รับวุฒิบัตร, หลักสูตร, ชื่อวิทยากร, เลขที่วุฒิบัตร, รหัสสำหรับตรวจสอบความถูกต้อง, วันที่ออก, จำนวนชั่วโมง, สถานะ (ใช้ได้/เพิกถอน) และเหตุผลการเพิกถอน | เมื่อออกวุฒิบัตรหลังจบหลักสูตร |
| บุคลากรและวิทยากร | ชื่อผู้ใช้, รหัสผ่าน (ค่าแฮช), ชื่อ-นามสกุล, อีเมล, บทบาทในระบบ, สถานะใช้งาน, วันเวลาเข้าใช้งานล่าสุด และคลังคุณวุฒิวิทยากร ได้แก่ ประเภทคุณวุฒิ ชื่อ ผู้ออก เลขที่ วันที่ออก วันหมดอายุ และ ไฟล์สำเนาเอกสาร (รูปภาพหรือ PDF) | เมื่อบริษัทสร้างบัญชีให้บุคลากร และเมื่อวิทยากรอัปโหลดคุณวุฒิ |
| บันทึกการใช้งานระบบ | ประวัติการเข้าสู่ระบบและการเปลี่ยนแปลงบัญชีของบุคลากร, ประวัติการดำเนินการกับใบเสนอราคา, บันทึกการส่งอีเมลอัตโนมัติ (ผู้รับ ประเภท หัวเรื่อง ผลการส่ง) | โดยอัตโนมัติเมื่อมีการใช้งานระบบ |
ข้อมูลที่เราไม่ได้เก็บ: ระบบไม่ได้จัดเก็บรหัสผ่านของท่านในรูปแบบข้อความธรรมดา และจากการตรวจสอบโค้ดของเว็บไซต์ ไม่พบการติดตั้งเครื่องมือติดตามพฤติกรรมผู้ใช้เพื่อการโฆษณา (ไม่พบ Google Analytics, Facebook Pixel หรือเครื่องมือลักษณะเดียวกัน)
3. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล
| วัตถุประสงค์ | ฐานทางกฎหมาย |
|---|---|
| สร้างและดูแลบัญชีสมาชิก ยืนยันตัวตน และให้ท่านเข้าใช้บริการบนเว็บไซต์ | การปฏิบัติตามสัญญา (มาตรา 24(3)) |
| รับลงทะเบียนอบรม จัดที่นั่ง ตรวจสอบการชำระเงิน และแจ้งผลกลับ | การปฏิบัติตามสัญญา |
| ออกใบเสนอราคา ใบแจ้งหนี้ ใบเสร็จรับเงิน และใบกำกับภาษี | การปฏิบัติตามสัญญา และการปฏิบัติตามกฎหมาย (มาตรา 24(6)) ได้แก่ ประมวลรัษฎากรและกฎหมายว่าด้วยการบัญชี |
| บันทึกการเข้าอบรม ออกวุฒิบัตร และบันทึกชั่วโมง CPD/CPA เพื่อนำส่งหรืออ้างอิงต่อสภาวิชาชีพ | การปฏิบัติตามสัญญา และการปฏิบัติตามกฎหมาย/หลักเกณฑ์ของหน่วยงานกำกับดูแลวิชาชีพ |
| ติดต่อกลับเรื่องคำขออบรมในองค์กร (In-house) และการเสนอราคา | การดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญา (มาตรา 24(3)) |
| ส่งอีเมลแจ้งเตือนที่เกี่ยวกับรายการของท่าน เช่น ยืนยันการลงทะเบียน ยืนยันการชำระเงิน แจ้งวุฒิบัตรพร้อม และเตือนก่อนวันอบรม | การปฏิบัติตามสัญญา |
| ส่งข่าวสาร โปรโมชัน และหลักสูตรใหม่ | ความยินยอม (มาตรา 19) — ถอนได้ทุกเมื่อ และไม่กระทบการให้บริการอื่น |
| รักษาความปลอดภัยของระบบ ตรวจสอบย้อนหลัง และสำรองข้อมูล | ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)) |
หมายเหตุ: การกรอกข้อมูลที่จำเป็นต่อการออกเอกสารทางภาษี เช่น เลขประจำตัวผู้เสียภาษีและที่อยู่ เป็นข้อมูลที่กฎหมายกำหนดให้ต้องระบุบนเอกสาร หากไม่ให้ข้อมูลดังกล่าว บริษัทจะไม่สามารถออกใบกำกับภาษีให้ท่านได้
4. ระยะเวลาการเก็บรักษาข้อมูล
สิ่งที่ยืนยันได้จากการตั้งค่าระบบในปัจจุบัน:
- คุกกี้เซสชันการเข้าสู่ระบบมีอายุ 30 วัน นับจากเข้าสู่ระบบครั้งล่าสุด
- ลิงก์ใบเสนอราคาสำหรับลูกค้ามีอายุจำกัดตามที่เจ้าหน้าที่กำหนด (โดยค่าเริ่มต้น 15 วัน และไม่เกิน 90 วัน) หลังจากนั้นลิงก์จะใช้ไม่ได้
- ระบบเก็บไฟล์สำรองข้อมูลย้อนหลังจำนวนจำกัด (ค่าเริ่มต้น 14 ไฟล์ล่าสุด) ไฟล์ที่เก่ากว่านั้นจะถูกลบโดยอัตโนมัติ
ข้อควรพิจารณา: เอกสารและบัญชีตามกฎหมายบัญชี/ภาษีอากรของไทยโดยทั่วไปต้องเก็บไม่น้อยกว่า 5 ปี — ตัวเลขที่จะประกาศต้องให้ผู้มีอำนาจยืนยันก่อน ไม่ควรอ้างอิงจากร่างฉบับนี้
5. การเปิดเผยข้อมูลต่อบุคคลที่สาม
บริษัทไม่ขายข้อมูลส่วนบุคคลของท่าน การเปิดเผยเกิดขึ้นเฉพาะเท่าที่จำเป็นต่อการให้บริการ ดังนี้
5.1 ผู้ให้บริการที่ตรวจพบจากระบบจริง
| ผู้ให้บริการ | บทบาท | สถานะ |
|---|---|---|
| Railway | ผู้ให้บริการโครงสร้างพื้นฐานที่ติดตั้งเว็บไซต์และฐานข้อมูล — ข้อมูลทั้งหมดที่ท่านกรอกถูกจัดเก็บบนระบบนี้ | ใช้งานอยู่ |
| Google Fonts | ให้บริการฟอนต์ที่เบราว์เซอร์ของท่านโหลดโดยตรง จึงอาจได้รับหมายเลข IP และข้อมูลเบราว์เซอร์ของผู้เข้าชม | ใช้งานอยู่ทุกหน้า |
| Tailwind CDN และ jsDelivr | ให้บริการไฟล์สคริปต์ที่เบราว์เซอร์ของท่านโหลดโดยตรง (รวมถึงไลบรารีสร้าง QR พร้อมเพย์) จึงอาจได้รับหมายเลข IP ของผู้เข้าชม | ใช้งานอยู่ |
| YouTube และ Vimeo | วิดีโอที่ฝังอยู่ในบางหน้า หากท่านเปิดดู ผู้ให้บริการดังกล่าวจะได้รับข้อมูลการรับชมตามนโยบายของตนเอง | ใช้งานในบางหน้า |
| Google Gemini API | ใช้เฉพาะในระบบหลังบ้านของเจ้าหน้าที่ เพื่อช่วยสกัดรายละเอียดหลักสูตรจากข้อความหรือรูปภาพประชาสัมพันธ์ที่เจ้าหน้าที่วางเข้าไปเอง — ระบบไม่ได้ส่งข้อมูลสมาชิก ข้อมูลการชำระเงิน หรือเอกสารของลูกค้าไปยังบริการนี้ | เปิดใช้งานในระบบหลังบ้าน |
| ผู้ให้บริการตรวจสอบสลิปอัตโนมัติ (SlipOK / EasySlip) | รองรับไว้ในระบบสำหรับตรวจสอบหลักฐานการโอนเงินอัตโนมัติ | ปิดใช้งานตามค่าเริ่มต้น — ปัจจุบันเจ้าหน้าที่ตรวจสลิปด้วยตนเอง จะทำงานก็ต่อเมื่อบริษัทเปิดใช้และตั้งค่าคีย์เท่านั้น |
| ผู้ให้บริการอีเมล (SMTP) | ใช้ส่งอีเมลแจ้งเตือนอัตโนมัติถึงท่าน | ดูกล่องด้านล่าง |
5.2 การเปิดเผยตามกฎหมายหรือตามความจำเป็นของบริการ
- หน่วยงานราชการที่มีอำนาจตามกฎหมาย เช่น กรมสรรพากร กรมพัฒนาธุรกิจการค้า เมื่อมีหน้าที่ต้องนำส่งหรือถูกเรียกตรวจสอบ
- สภาวิชาชีพหรือหน่วยงานกำกับดูแลที่เกี่ยวข้อง เฉพาะข้อมูลชั่วโมงพัฒนาความรู้ต่อเนื่องของผู้เข้าอบรมเท่าที่หลักเกณฑ์กำหนด
- องค์กรผู้ว่าจ้างในกรณีอบรมแบบ In-house เฉพาะข้อมูลการเข้าอบรมของพนักงานขององค์กรนั้น
6. สิทธิของเจ้าของข้อมูลส่วนบุคคล
ภายใต้เงื่อนไขของกฎหมาย ท่านมีสิทธิดังต่อไปนี้
- สิทธิเข้าถึงและขอรับสำเนา ข้อมูลส่วนบุคคลของท่านที่อยู่ในความรับผิดชอบของบริษัท
- สิทธิขอให้แก้ไข ข้อมูลให้ถูกต้อง เป็นปัจจุบัน และไม่ก่อให้เกิดความเข้าใจผิด
- สิทธิขอให้ลบหรือทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวท่านได้
- สิทธิขอให้ระงับการใช้ ข้อมูลส่วนบุคคล
- สิทธิคัดค้าน การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
- สิทธิขอให้โอนย้ายข้อมูล ไปยังผู้ควบคุมข้อมูลรายอื่นในรูปแบบที่อ่านได้ด้วยเครื่อง
- สิทธิถอนความยินยอม ที่เคยให้ไว้เมื่อใดก็ได้ โดยไม่กระทบต่อการประมวลผลที่ทำไปแล้วโดยชอบก่อนการถอน
- สิทธิร้องเรียน ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หากเห็นว่าบริษัทไม่ปฏิบัติตามกฎหมาย
ข้อจำกัด: หากข้อมูลนั้นเป็นเอกสารที่กฎหมายภาษีอากรหรือกฎหมายบัญชีกำหนดให้ต้องเก็บรักษา บริษัทอาจไม่สามารถลบได้จนกว่าจะพ้นระยะเวลาที่กฎหมายกำหนด
ปัจจุบันเว็บไซต์ ยังไม่มีเมนูหรือแบบฟอร์มสำหรับใช้สิทธิ — หากยังไม่สร้าง ควรระบุอีเมลรับเรื่องไว้อย่างชัดเจนก่อน
7. คุกกี้
เว็บไซต์นี้ใช้คุกกี้เท่าที่จำเป็นต่อการทำงานของระบบเท่านั้น จากการตรวจสอบโค้ดพบคุกกี้ดังนี้
| ชื่อคุกกี้ | หน้าที่ | คุณสมบัติ |
|---|---|---|
| idc_session | จดจำการเข้าสู่ระบบของสมาชิก | อ่านได้เฉพาะเซิร์ฟเวอร์ (HttpOnly), จำกัดการส่งข้ามเว็บไซต์ (SameSite=Lax), อายุ 30 วัน |
| idc_staff | จดจำการเข้าสู่ระบบของบุคลากร IDC | อ่านได้เฉพาะเซิร์ฟเวอร์ (HttpOnly), จำกัดการส่งข้ามเว็บไซต์ (SameSite=Lax), อายุ 30 วัน |
คุกกี้ทั้งสองรายการเป็นคุกกี้ที่จำเป็นอย่างยิ่งต่อการทำงาน (strictly necessary) ไม่ได้ใช้เพื่อการโฆษณาหรือติดตามพฤติกรรม หากท่านลบคุกกี้หรือปิดการใช้งาน ระบบจะไม่สามารถจดจำการเข้าสู่ระบบของท่านได้ ทั้งนี้บริการภายนอกที่หน้าเว็บเรียกใช้ (เช่น วิดีโอที่ฝังไว้) อาจตั้งคุกกี้ของตนเองตามนโยบายของผู้ให้บริการรายนั้น
8. มาตรการรักษาความมั่นคงปลอดภัย
มาตรการที่ตรวจสอบได้จากระบบในปัจจุบัน
- รหัสผ่านถูกจัดเก็บในรูปแบบค่าแฮช ไม่มีการเก็บรหัสผ่านจริง
- คุกกี้เซสชันตั้งค่าเป็น HttpOnly และ SameSite=Lax เพื่อลดความเสี่ยงจากสคริปต์ฝั่งเบราว์เซอร์และการเรียกข้ามเว็บไซต์
- ระบบหลังบ้านแยกสิทธิ์ตามบทบาทของบุคลากร และบันทึกประวัติการเข้าสู่ระบบและการเปลี่ยนแปลงบัญชี
- มีระบบสำรองข้อมูลอัตโนมัติพร้อมประวัติการสำรองที่ตรวจสอบย้อนหลังได้
- ลิงก์เอกสารสำหรับลูกค้าใช้โทเค็นเฉพาะรายที่มีวันหมดอายุและเพิกถอนได้
อย่างไรก็ตาม ไม่มีระบบใดปลอดภัยโดยสมบูรณ์ หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล บริษัทจะดำเนินการแจ้งตามที่กฎหมายกำหนด
9. ข้อมูลของผู้เยาว์
บริการของเว็บไซต์นี้มุ่งให้บริการแก่ผู้ประกอบวิชาชีพและผู้ที่บรรลุนิติภาวะแล้ว ระบบไม่ได้ออกแบบมาเพื่อเก็บข้อมูลของผู้เยาว์ หากพบว่ามีการให้ข้อมูลของผู้เยาว์โดยไม่ได้รับความยินยอมจากผู้ใช้อำนาจปกครองตามที่กฎหมายกำหนด กรุณาแจ้งบริษัทเพื่อดำเนินการลบข้อมูลดังกล่าว
10. การเปลี่ยนแปลงนโยบายฉบับนี้
บริษัทอาจปรับปรุงนโยบายนี้เมื่อบริการหรือกฎหมายเปลี่ยนแปลง โดยจะประกาศฉบับล่าสุดไว้ที่หน้านี้พร้อมระบุวันที่มีผลบังคับใช้ กรณีที่เป็นการเปลี่ยนแปลงสาระสำคัญที่กระทบสิทธิของท่าน บริษัทจะแจ้งให้ทราบตามช่องทางที่เหมาะสม
11. ติดต่อเรา
หากมีคำถามเกี่ยวกับนโยบายนี้ หรือต้องการใช้สิทธิของท่าน ติดต่อได้ที่
ดูเพิ่มเติมที่ ข้อกำหนดการใช้งาน
สิ่งที่ต้องเติมก่อนประกาศใช้จริง
- เลขทะเบียนนิติบุคคล / เลขประจำตัวผู้เสียภาษีอากร
- ชื่อและช่องทางติดต่อผู้รับผิดชอบด้านข้อมูลส่วนบุคคล (DPO)
- ระยะเวลาเก็บรักษาข้อมูลแต่ละประเภทตามนโยบายบริษัท
- ยืนยันผู้ให้บริการอีเมลที่ใช้จริงบนระบบ production
- ท่าทีเรื่องการโอนข้อมูลไปต่างประเทศ
- ช่องทางและขั้นตอนการใช้สิทธิของเจ้าของข้อมูล
- วันที่มีผลบังคับใช้ และการอนุมัติโดยผู้มีอำนาจ