นโยบายความเป็นส่วนตัว

นโยบายความเป็นส่วนตัวนี้ ("นโยบาย") อธิบายถึงวิธีการที่ MSK Marketplace ("เรา", "ของเรา", "แพลตฟอร์ม") ซึ่งดำเนินการโดยมหาวิทยาลัยราชภัฏมหาสารคาม เก็บรวบรวม ใช้ เปิดเผย และปกป้องข้อมูลส่วนบุคคลของคุณ นโยบายนี้จัดทำขึ้นตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และกฎหมายที่เกี่ยวข้อง

การใช้งานเว็บไซต์หรือบริการของเรา ถือว่าคุณยินยอมให้เราเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลตามนโยบายนี้

1. ข้อมูลที่เราเก็บรวบรวม

1.1 ข้อมูลที่คุณให้ไว้โดยตรง

• ชื่อ-นามสกุล และข้อมูลประจำตัว (รหัสนักศึกษา/บุคลากร)
• ที่อยู่อีเมลสถาบัน (@rmu.ac.th) และหมายเลขโทรศัพท์
• ที่อยู่จัดส่งสินค้า (หอพัก/อาคารเรียน)
• ข้อมูลการชำระเงิน (หมายเลข PromptPay, ข้อมูลบัตรเครดิต/เดบิต)
• ประวัติการสั่งซื้อและรายการโปรด
• ข้อความแชทระหว่างผู้ซื้อและผู้ขาย
• รูปภาพหรือเอกสารที่อัปโหลด (เช่น สลิปโอนเงิน)
• ข้อมูลการรับสมัครเป็นผู้ขาย (ร้านค้า)

1.2 ข้อมูลที่เก็บรวบรวมโดยอัตโนมัติ

• ที่อยู่ IP และประเภทอุปกรณ์
• ประเภทและเวอร์ชันเบราว์เซอร์ ระบบปฏิบัติการ
• หน้าเว็บที่เข้าชม ระยะเวลาใช้งาน และลิงก์อ้างอิง
• ข้อมูลตำแหน่งที่ตั้งโดยประมาณ (จังหวัด/เขต)
• ข้อมูลคุกกี้และเทคโนโลยีติดตามที่คล้ายคลึงกัน

1.3 ข้อมูลจากภายนอก

• ข้อมูลจากระบบยืนยันตัวตนของมหาวิทยาลัย (SSO)
• ข้อมูลจากระบบชำระเงิน (PromptPay, ธนาคาร)
• ข้อมูลจากระบบขนส่ง (หมายเลขติดตามพัสดุ)

2. วัตถุประสงค์ในการเก็บรวบรวมข้อมูล

เราใช้ข้อมูลส่วนบุคคลของคุณตามฐานทางกฎหมายที่ PDPA กำหนด ได้แก่:

• เพื่อดำเนินการตามสัญญา: ดำเนินการสั่งซื้อ ชำระเงิน จัดส่งสินค้า และจัดการคืนสินค้า/คืนเงิน
• เพื่อประโยชน์ชอบธรรม: ปรับปรุงบริการ วิเคราะห์พฤติกรรมการใช้งาน ป้องกันการทุจริต และรักษาความปลอดภัย
• เพื่อปฏิบัติตามกฎหมาย: จัดเก็บข้อมูลตามที่กฎหมายกำหนด เช่น ข้อมูลการเงินและภาษี
• โดยความยินยอม: ส่งข้อมูลข่าวสาร โปรโมชัน และแจ้งเตือน (สามารถยกเลิกได้ตลอดเวลา)

3. การเปิดเผยข้อมูลส่วนบุคคล

เราจะไม่เปิดเผยข้อมูลส่วนบุคคลของคุณแก่บุคคลภายนอก เว้นแต่ในกรณีดังนี้:

• แจ้งข้อมูลที่จำเป็นแก่ผู้ขายเพื่อดำเนินการจัดส่ง (ชื่อ ที่อยู่ เบอร์โทร)
• แจ้งข้อมูลการชำระเงินแก่ผู้ให้บริการรับชำระเงิน
• แจ้งข้อมูลการจัดส่งแก่บริษัทขนส่ง
• ปฏิบัติตามคำสั่งศาล หรือเจ้าหน้าที่ที่มีอำนาจตามกฎหมาย
• เพื่อปกป้องสิทธิ ทรัพย์สิน หรือความปลอดภัยของเราและผู้ใช้
• ในกรณีที่ได้รับความยินยอมจากคุณโดยชัดแจ้ง

4. ผู้ประมวลผลข้อมูลภายนอก (Data Processors)

เราใช้บริการภายนอกที่เข้มงวดในการปกป้องข้อมูลของคุณ:

• PromptPay / ธนาคารพันธมิตร: ดำเนินการชำระเงินและตรวจสอบธุรกรรม เก็บข้อมูลเฉพาะที่จำเป็นตามมาตรฐาน PCI-DSS
• บริษัทขนส่ง: ไปรษณีย์ไทย, Kerry, Flash Express, J&T Express — เก็บข้อมูลที่อยู่จัดส่งและหมายเลขติดตามพัสดุ
• ผู้ให้บริการ Cloud: จัดเก็บข้อมูลบนเซิร์ฟเวอร์ที่มีการเข้ารหัสและควบคุมการเข้าถึง
• ระบบยืนยันตัวตน SSO: มหาวิทยาลัยราชภัฏมหาสารคาม สำหรับการเข้าสู่ระบบ

ผู้ประมวลผลข้อมูลทุกรายได้ลงนามในข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) ที่เป็นไปตาม PDPA

5. การเก็บรักษาข้อมูล (Retention Periods)

เราเก็บรักษาข้อมูลส่วนบุคคลตามระยะเวลาที่กำหนด:

เมื่อครบกำหนดระยะเวลาเก็บรักษา ข้อมูลจะถูกลบหรือทำให้ไม่สามารถระบุตัวตนได้ (Anonymization)

6. สิทธิของเจ้าของข้อมูลตาม PDPA

ภายใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คุณมีสิทธิดังต่อไปนี้:

• สิทธิในการเข้าถึง: คุณมีสิทธิขอดูข้อมูลส่วนบุคคลของคุณที่เราเก็บรวบรวม และขอสำเนาข้อมูลได้
• สิทธิในการแก้ไข: คุณมีสิทธิขอให้แก้ไขข้อมูลส่วนบุคคลให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
• สิทธิในการลบ: คุณมีสิทธิขอให้ลบข้อมูลส่วนบุคคลที่ไม่จำเป็นต้องเก็บรักษาอีกต่อไป
• สิทธิในการโอนย้าย: คุณมีสิทธิขอให้โอนย้ายข้อมูลส่วนบุคคลของคุณไปยังผู้ควบคุมข้อมูลรายอื่นในรูปแบบที่อ่านได้
• สิทธิในการคัดค้าน: คุณมีสิทธิคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในบางกรณี
• สิทธิในการถอนความยินยอม: คุณสามารถถอนความยินยอมที่เคยให้ไว้ได้ตลอดเวลา โดยการถอนไม่มีผลกระทบต่อการประมวลผลข้อมูลที่ได้ดำเนินการไปแล้ว

คุณสามารถใช้สิทธิข้างต้นได้โดยติดต่อเราผ่านช่องทางที่ระบุในหมวด 9 หรือผ่านทาง หน้าติดต่อเรา เราจะดำเนินการตามคำขอของคุณภายใน 30 วันนับจากได้รับคำขอ

7. คุกกี้และเทคโนโลยีติดตาม

เราใช้คุกกี้และเทคโนโลยีที่คล้ายคลึงกัน เพื่อเก็บข้อมูลการใช้งานและปรับปรุงประสบการณ์:

• คุกกี้ที่จำเป็น (Essential): ใช้สำหรับการทำงานพื้นฐานของเว็บไซต์ เช่น การเข้าสู่ระบบ ตะกร้าสินค้า ไม่สามารถปิดได้
• คุกกี้เพื่อการวิเคราะห์ (Analytics): ใช้เก็บข้อมูลการใช้งานเพื่อปรับปรุงเว็บไซต์ เช่น จำนวนผู้เข้าชม หน้ายอดนิยม
• คุกกี้เพื่อการทำงาน (Functional): จดจำการตั้งค่าของคุณ เช่น ภาษา ขนาดตัวอักษร
• คุกกี้เพื่อการโฆษณา (Marketing): ใช้แสดงโฆษณาและโปรโมชันที่เกี่ยวข้อง (ต้องได้รับความยินยอม)

คุณสามารถจัดการหรือลบคุกกี้ได้ผ่านการตั้งค่าเบราว์เซอร์ของคุณ การปิดคุกกี้บางประเภทอาจส่งผลต่อการใช้งานเว็บไซต์

8. มาตรการรักษาความปลอดภัย

• เข้ารหัสข้อมูลระหว่างการส่งผ่านด้วย SSL/TLS (HTTPS)
• เข้ารหัสข้อมูลสำคัญที่จัดเก็บ (Encryption at Rest)
• จำกัดสิทธิ์การเข้าถึงข้อมูลเฉพาะบุคลากรที่ได้รับอนุญาต
• ตรวจสอบและบันทึกการเข้าถึงระบบ (Audit Log)
• สำรองข้อมูลเป็นประจำและเก็บไว้ในสถานที่ปลอดภัย
• ทดสอบระบบรักษาความปลอดภัยเป็นรายปี

หากเกิดเหตุการณ์ละเมิดข้อมูลส่วนบุคคล เราจะแจ้งให้คุณทราบและรายงานต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง ตามที่ PDPA กำหนด

9. การติดต่อเจ้าหน้าที่คุ้มครองข้อมูล

นโยบายความเป็นส่วนตัวนี้อาจมีการปรับปรุงแก้ไขเป็นครั้งคราว เราจะแจ้งให้คุณทราบผ่านทางเว็บไซต์และอีเมลเมื่อมีการเปลี่ยนแปลงสำคัญ