บทนำ
ห้างหุ้นส่วนจำกัด บีแอล เปเปอร์ เซอร์วิส ("เรา", "บริษัท") เป็นผู้ให้บริการซอฟต์แวร์บริหารจัดการเวลาทำงานและทรัพยากรบุคคลในรูปแบบ Software as a Service (SaaS) ภายใต้ชื่อ BL TimeFlow นโยบายความเป็นส่วนตัวฉบับนี้อธิบายถึงวิธีการที่เราเก็บรวบรวม ใช้ เปิดเผย และปกป้องข้อมูลส่วนบุคคลของลูกค้าองค์กรและพนักงานของลูกค้าที่ใช้งานบริการของเรา
ในฐานะ ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 บริษัทมีหน้าที่กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคล และรับผิดชอบต่อการปฏิบัติตาม กฎหมายคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้องทั้งหมด
การใช้งานบริการ BL TimeFlow ถือว่าท่านได้อ่านและยอมรับนโยบายความเป็นส่วนตัวฉบับนี้แล้ว หากท่านไม่เห็นด้วยกับ นโยบายนี้ กรุณาหยุดใช้งานบริการและติดต่อเราเพื่อยุติสัญญา
ข้อมูลที่เราเก็บรวบรวม
เราเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นต่อการให้บริการเท่านั้น โดยแบ่งประเภทข้อมูลดังนี้
2.1 ข้อมูลองค์กร (Organization Data)
- ชื่อบริษัท / ชื่อกิจการ และที่อยู่จดทะเบียน
- เลขประจำตัวผู้เสียภาษี / เลขทะเบียนนิติบุคคล
- ชื่อ นามสกุล และอีเมลของผู้ดูแลระบบ (Admin)
- หมายเลขโทรศัพท์ติดต่อขององค์กร
2.2 ข้อมูลพนักงาน (Employee Data)
- ชื่อ-นามสกุล และชื่อเล่น
- ที่อยู่ปัจจุบันและที่อยู่ตามทะเบียนบ้าน
- เลขบัตรประจำตัวประชาชน (13 หลัก)
- เลขประกันสังคม (SSO) และข้อมูลกองทุนสำรองเลี้ยงชีพ
- วันเดือนปีเกิด และข้อมูลการจ้างงาน (วันเริ่มงาน, ตำแหน่ง, แผนก)
- เลขบัญชีธนาคารสำหรับรับเงินเดือน
- ข้อมูลการลงเวลา (เวลาเข้า-ออก, วันหยุด, วันลา)
2.3 ข้อมูลการใช้งาน (Usage Data)
- บันทึกการเข้าสู่ระบบ (Login Log) พร้อม Timestamp
- หมายเลข IP Address และประเทศที่เข้าถึง
- ข้อมูลอุปกรณ์ (Device Type, Browser, OS)
- บันทึกกิจกรรมภายในระบบ (Audit Log)
- ข้อมูลเซสชันและ Session Token
2.4 ข้อมูลการชำระเงิน (Payment Data)
- หลักฐานการชำระเงิน (สลิปโอนเงิน) ที่ลูกค้าส่งมาเพื่อยืนยันการต่ออายุ
- ประวัติการชำระเงินและวันครบกำหนดต่ออายุ
- ประเภทแพ็กเกจและรอบการเรียกเก็บ
วัตถุประสงค์การใช้ข้อมูล
เราใช้ข้อมูลส่วนบุคคลที่เก็บรวบรวมเพื่อวัตถุประสงค์ดังต่อไปนี้เท่านั้น
- การให้บริการ SaaS — ประมวลผลการลงเวลา คำนวณค่าจ้าง สร้างรายงาน และฟีเจอร์ต่าง ๆ ของ BL TimeFlow
- การพิสูจน์ตัวตน — ยืนยันสิทธิ์การเข้าถึงระบบตามบทบาทหน้าที่ของผู้ใช้งาน
- การปรับปรุงระบบ — วิเคราะห์การใช้งานเพื่อพัฒนาประสิทธิภาพและเพิ่มฟีเจอร์ใหม่
- การแจ้งเตือน — ส่งการแจ้งเตือนการลงเวลา, OT, วันลา ผ่าน Email และ LINE Notify
- การเรียกเก็บเงิน (Billing) — ติดตามสถานะสมาชิก แจ้งเตือนต่ออายุ และออกใบแจ้งหนี้
- การปฏิบัติตามกฎหมาย — ดำเนินการตามที่กฎหมายแรงงาน ประกันสังคม และ PDPA กำหนด
- การสนับสนุนลูกค้า — แก้ไขปัญหาและให้ความช่วยเหลือด้านเทคนิค
เราจะไม่ใช้ข้อมูลของท่านเพื่อวัตถุประสงค์อื่นนอกจากที่ระบุไว้ข้างต้น และจะไม่นำข้อมูลไปใช้ในเชิงพาณิชย์ หรือเพื่อการตลาดโดยไม่ได้รับความยินยอมจากท่านก่อน
ฐานทางกฎหมาย (Legal Basis)
การประมวลผลข้อมูลส่วนบุคคลของเราอาศัยฐานทางกฎหมายตามมาตรา 24 และมาตรา 26 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังนี้
| ฐานทางกฎหมาย | ประเภทข้อมูลที่เกี่ยวข้อง | ตัวอย่างการใช้งาน |
|---|---|---|
| สัญญา (มาตรา 24(3)) จำเป็นต่อการปฏิบัติตามสัญญา |
ข้อมูลองค์กร, ข้อมูลพนักงาน, ข้อมูลการชำระเงิน | ให้บริการ SaaS ที่ตกลงกัน, คำนวณเงินเดือน, ออกรายงาน |
| ความยินยอม (มาตรา 19) ได้รับความยินยอมโดยชัดแจ้ง |
ข้อมูลอ่อนไหว (เลขบัตร ปชช., SSO) | การเก็บข้อมูลอ่อนไหวที่เกินกว่าที่กฎหมายกำหนด |
| ประโยชน์อันชอบธรรม (มาตรา 24(5)) Legitimate Interest |
ข้อมูลการใช้งาน, Log, IP Address | รักษาความปลอดภัยระบบ, ป้องกันการฉ้อโกง, Debug |
| การปฏิบัติตามกฎหมาย (มาตรา 24(6)) Legal Obligation |
บันทึกการทำงาน, ข้อมูลแรงงาน | ปฏิบัติตามกฎหมายแรงงาน, ประกันสังคม, สรรพากร |
การเปิดเผยข้อมูลต่อบุคคลที่สาม
เราอาจเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้ประมวลผลข้อมูล (Data Processor) ที่ให้บริการโครงสร้างพื้นฐานแก่เรา ทั้งนี้ เราได้คัดเลือกผู้ให้บริการที่มีมาตรการคุ้มครองข้อมูลส่วนบุคคลในระดับที่เหมาะสม
การถ่ายโอนข้อมูลระหว่างประเทศ
บริการ BL TimeFlow ใช้ผู้ให้บริการโครงสร้างพื้นฐาน (Supabase, Railway, Resend) ซึ่งมี Server ตั้งอยู่ในต่างประเทศ ดังนั้น ข้อมูลส่วนบุคคลของท่านอาจถูกถ่ายโอนและประมวลผลในประเทศที่อาจมีกฎหมายคุ้มครองข้อมูลส่วนบุคคล แตกต่างจากประเทศไทย
เราดำเนินมาตรการคุ้มครองที่เหมาะสมสำหรับการถ่ายโอนข้อมูลระหว่างประเทศ ดังนี้
- คัดเลือกผู้ให้บริการที่ได้รับการรับรองมาตรฐานสากล เช่น SOC 2 Type II, ISO 27001 หรือเทียบเท่า
- กำหนดเงื่อนไขการประมวลผลข้อมูล (Data Processing Agreement) กับผู้ให้บริการทุกราย
- ใช้การเข้ารหัสข้อมูลในระหว่างการส่งผ่าน (Encryption in Transit) ด้วย TLS 1.2 ขึ้นไป
- จำกัดข้อมูลที่ส่งออกไปต่างประเทศให้เหลือเฉพาะส่วนที่จำเป็นต่อการให้บริการ
การใช้บริการ BL TimeFlow ถือว่าท่านได้ยินยอมให้เราถ่ายโอนข้อมูลระหว่างประเทศตามเงื่อนไขและ มาตรการที่ระบุไว้ในนโยบายนี้แล้ว
ระยะเวลาการเก็บรักษาข้อมูล
เราเก็บรักษาข้อมูลส่วนบุคคลตามระยะเวลาที่จำเป็นต่อวัตถุประสงค์ที่ระบุไว้ โดยมีหลักเกณฑ์ดังนี้
ระยะเวลาการเก็บข้อมูลตามประเภท
- ข้อมูลองค์กรและพนักงาน: ตลอดระยะเวลาที่ใช้บริการ BL TimeFlow บวก 3 ปีหลังยกเลิกสัญญา
- ข้อมูลการลงเวลาและบันทึกการทำงาน: ตลอดระยะเวลาที่ใช้บริการ บวก 3 ปีหลังยกเลิก (สอดคล้องกับกฎหมายแรงงาน)
- ข้อมูลการใช้งานและ Log: 1 ปีนับจากวันที่บันทึก เพื่อการตรวจสอบความปลอดภัย
- หลักฐานการชำระเงิน: 5 ปีนับจากวันชำระ ตามกฎหมายบัญชีและภาษีอากร
- ข้อมูลจากการร้องขอสิทธิ์: 3 ปีนับจากวันดำเนินการ
เมื่อครบกำหนดระยะเวลา เราจะดำเนินการลบหรือทำลายข้อมูลอย่างถาวรและปลอดภัย หรือทำให้ข้อมูลอยู่ในรูปแบบที่ ไม่สามารถระบุตัวบุคคลได้ (Anonymization) ตามมาตรฐาน NIST หรือเทียบเท่า
สิทธิของเจ้าของข้อมูล
ท่านในฐานะเจ้าของข้อมูลส่วนบุคคล มีสิทธิตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังต่อไปนี้
ความปลอดภัยของข้อมูล
เราใช้มาตรการรักษาความปลอดภัยทั้งทางเทคนิคและการบริหารจัดการเพื่อปกป้องข้อมูลส่วนบุคคลของท่าน จากการเข้าถึงโดยไม่ได้รับอนุญาต การสูญหาย การเปิดเผย หรือการแก้ไขโดยมิชอบ
-
Encryption at Rest: ข้อมูลทั้งหมดในฐานข้อมูลถูกเข้ารหัสด้วย AES-256 ขณะจัดเก็บ
-
Encryption in Transit: การสื่อสารทั้งหมดใช้ HTTPS/TLS 1.2 ขึ้นไปเพื่อป้องกันการดักฟัง
-
Access Control: ระบบ Role-Based Access Control (RBAC) กำหนดสิทธิ์การเข้าถึงตามบทบาท โดยใช้หลัก Least Privilege
-
Audit Log: บันทึกกิจกรรมการเข้าถึงและแก้ไขข้อมูลสำคัญทุกรายการ พร้อม Timestamp และ IP Address
-
Authentication: ระบบล็อกอินที่ปลอดภัยด้วย Supabase Auth พร้อมรองรับการยืนยันตัวตนหลายขั้นตอน (MFA)
-
Backup: สำรองข้อมูลอัตโนมัติทุกวัน และทดสอบการกู้คืนข้อมูลเป็นประจำ
-
Environment Isolation: แยก Environment ระหว่าง Production, Staging และ Development อย่างเคร่งครัด
หากเกิดเหตุการณ์ละเมิดข้อมูลส่วนบุคคล (Data Breach) ที่มีความเสี่ยงสูง เราจะแจ้งให้ท่านทราบ ภายใน 72 ชั่วโมงหลังจากตรวจพบ และจะรายงานต่อสำนักงาน PDPC ตามกฎหมาย
คุกกี้ (Cookies)
BL TimeFlow ใช้คุกกี้เพียงประเภทเดียวเท่านั้น คือ
Session Cookies (คุกกี้เซสชัน)
- วัตถุประสงค์: รักษาสถานะการล็อกอิน (Authentication State) ตลอดระยะเวลาที่ใช้งาน
- อายุ: ถูกลบโดยอัตโนมัติเมื่อปิดเบราว์เซอร์ หรือเมื่อล็อกออกจากระบบ
- ข้อมูลที่เก็บ: Session Token ที่เข้ารหัสเท่านั้น ไม่มีข้อมูลส่วนบุคคลโดยตรง
- ลักษณะ: เป็น First-party Cookie ที่บริษัทกำหนดเอง ไม่ใช้ Third-party Tracking Cookie
การติดต่อ
หากท่านมีคำถาม ข้อสงสัย หรือต้องการใช้สิทธิตามนโยบายความเป็นส่วนตัวนี้ กรุณาติดต่อเราได้ที่
หากท่านเห็นว่าเราไม่ได้ปฏิบัติตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ท่านมีสิทธิ์ยื่นเรื่องร้องเรียน ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ได้ที่ www.pdpc.or.th