ประกาศ บริษัท ลานนาเกษตรอุตสาหกรรม จำกัด

Lanna Agro Industry Company Limited and LACO Group Announcement

เรื่อง นโยบายการคุ้มครองข้อมูลส่วนบุคคล

บริษัท ลานนาเกษตรอุตสาหกรรม จำกัด และบริษัทในเครือ (ต่อไปนี้เรียกว่า “LACO Group”) ตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลเป็นส่วนหนึ่งของการดำเนินธุรกิจอย่างรับผิดชอบ การรักษาความเชื่อมั่นของผู้มีส่วนได้ส่วนเสีย และการกำกับดูแลกิจการที่ดี จึงกำหนดนโยบายฉบับนี้เพื่อให้การจัดการข้อมูลส่วนบุคคลเป็นไปอย่างเหมาะสม โปร่งใส ปลอดภัย และสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 รวมถึงกฎหมายและประกาศที่เกี่ยวข้อง

บริษัทจะประมวลผลข้อมูลส่วนบุคคลเฉพาะเท่าที่จำเป็นต่อวัตถุประสงค์ที่ชัดเจนและชอบด้วยกฎหมาย โดยคำนึงถึงสิทธิและเสรีภาพของเจ้าของข้อมูลส่วนบุคคล ตลอดจนจัดให้มีมาตรการควบคุมที่เหมาะสมกับลักษณะข้อมูล ความเสี่ยง และบริบทการดำเนินงานของบริษัท

1. วัตถุประสงค์ของนโยบาย

1.1 กำหนดหลักการและกรอบการบริหารจัดการข้อมูลส่วนบุคคลให้เป็นมาตรฐานเดียวกันทั่วทั้งองค์กร

1.2 กำหนดบทบาท หน้าที่ และความรับผิดชอบของผู้บริหาร พนักงาน และบุคคลที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล

1.3 ส่งเสริมให้การเก็บรวบรวม ใช้ เปิดเผย จัดเก็บ และทำลายข้อมูลส่วนบุคคลเป็นไปตามฐานทางกฎหมายและวัตถุประสงค์ที่กำหนด

1.4 ป้องกันและลดความเสี่ยงจากการเข้าถึง การใช้ การเปิดเผย การเปลี่ยนแปลง หรือการสูญหายของข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต

1.5 กำหนดแนวทางในการรองรับการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล การจัดการเหตุละเมิดข้อมูลส่วนบุคคล และการติดตามปรับปรุงมาตรการคุ้มครองข้อมูลอย่างต่อเนื่อง

2. ขอบเขตการบังคับใช้

นโยบายฉบับนี้ใช้บังคับกับกรรมการบริษัท ผู้บริหาร พนักงานประจำ ลูกจ้างชั่วคราว ผู้ปฏิบัติงานตามสัญญา และบุคคลอื่นที่ได้รับมอบหมายให้ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลในนามของบริษัท

นโยบายครอบคลุมข้อมูลส่วนบุคคลที่บริษัทประมวลผลในรูปแบบเอกสาร อิเล็กทรอนิกส์ ภาพ เสียง หรือรูปแบบอื่น ไม่ว่าจะจัดเก็บอยู่ภายในบริษัทหรือผ่านระบบและผู้ให้บริการภายนอก รวมถึงข้อมูลที่เกี่ยวข้องกับสำนักงาน โรงงาน พื้นที่จัดเก็บสินค้า การจัดซื้อวัตถุดิบ การส่งเสริมการเกษตร การผลิต การจำหน่าย การส่งออก การวิจัยและพัฒนา และกิจกรรมสนับสนุนธุรกิจ

สำหรับบริษัทใน LACO Group ให้แต่ละนิติบุคคลที่นำนโยบายนี้ไปใช้พิจารณาบทบาทของตนในฐานะผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลตามข้อเท็จจริงและกฎหมายที่เกี่ยวข้อง โดยการใช้ข้อมูลร่วมกันระหว่างนิติบุคคลต้องมีวัตถุประสงค์และฐานทางกฎหมายที่เหมาะสม

3. คำนิยาม

คำนิยาม	ความหมาย
ข้อมูลส่วนบุคคล	ข้อมูลเกี่ยวกับบุคคลธรรมดาที่ทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
ข้อมูลส่วนบุคคลที่มีความอ่อนไหว	ข้อมูลตามมาตรา 26 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล เช่น ข้อมูลสุขภาพ ประวัติอาชญากรรม ข้อมูลชีวภาพที่ใช้เพื่อระบุตัวบุคคลโดยเฉพาะ ศาสนา และข้อมูลอื่นตามที่กฎหมายกำหนด
เจ้าของข้อมูลส่วนบุคคล	บุคคลธรรมดาที่ข้อมูลส่วนบุคคลนั้นสามารถระบุถึงได้
ผู้ควบคุมข้อมูลส่วนบุคคล	บุคคลหรือนิติบุคคลที่มีอำนาจหน้าที่ตัดสินใจเกี่ยวกับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
ผู้ประมวลผลข้อมูลส่วนบุคคล	บุคคลหรือนิติบุคคลที่ดำเนินการเกี่ยวกับข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล โดยไม่ใช่ผู้ควบคุมข้อมูลส่วนบุคคลในการดำเนินการนั้น
เหตุละเมิดข้อมูลส่วนบุคคล	เหตุการณ์ที่ทำให้เกิดการละเมิดมาตรการรักษาความมั่นคงปลอดภัยจนมีการสูญหาย เข้าถึง ใช้งาน เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาตหรือโดยไม่ชอบด้วยกฎหมาย

4. หลักการประมวลผลข้อมูลส่วนบุคคล

4.1 ความชอบด้วยกฎหมายและความโปร่งใส การประมวลผลต้องมีฐานทางกฎหมายที่เหมาะสม และแจ้งรายละเอียดที่จำเป็นแก่เจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด

4.2 การจำกัดวัตถุประสงค์ ข้อมูลต้องถูกใช้ตามวัตถุประสงค์ที่แจ้งไว้หรือวัตถุประสงค์อื่นที่กฎหมายอนุญาต ไม่ใช้ข้อมูลเพื่อกิจกรรมใหม่ที่ไม่สอดคล้องกับวัตถุประสงค์เดิมโดยปราศจากการพิจารณาฐานทางกฎหมาย

4.3 การเก็บข้อมูลเท่าที่จำเป็น หน่วยงานต้องพิจารณาว่าข้อมูลแต่ละรายการจำเป็นต่อกระบวนการหรือไม่ และหลีกเลี่ยงการขอสำเนาเอกสารหรือข้อมูลที่เกินความจำเป็น

4.4 ความถูกต้องของข้อมูล จัดให้มีวิธีการตรวจสอบและปรับปรุงข้อมูลให้ถูกต้อง เป็นปัจจุบัน และไม่ก่อให้เกิดความเข้าใจผิดตามความจำเป็นของการใช้งาน

4.5 การจำกัดระยะเวลาเก็บรักษา เก็บข้อมูลไว้เฉพาะระยะเวลาที่จำเป็นตามวัตถุประสงค์ ข้อกำหนดทางกฎหมาย หรือเหตุจำเป็นที่ชอบด้วยกฎหมาย และดำเนินการลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้เมื่อสิ้นสุดความจำเป็น

4.6 ความมั่นคงปลอดภัยและความรับผิดชอบ จัดให้มีมาตรการควบคุมที่เหมาะสม และสามารถแสดงหลักฐานการปฏิบัติตามนโยบายและกฎหมายได้

5. กลุ่มเจ้าของข้อมูลและวัตถุประสงค์การประมวลผล

5.1 เกษตรกรและผู้จัดหาวัตถุดิบทางการเกษตร

เพื่อดำเนินการขึ้นทะเบียนและประเมินเกษตรกร การวางแผนและส่งเสริมการเพาะปลูก การจัดหาวัตถุดิบ การตรวจสอบคุณภาพและแหล่งที่มา การรับซื้อผลผลิต การชำระเงิน การบริหารสินเชื่อหรือเงินสนับสนุนที่เกี่ยวข้องกับการเกษตร การติดตามลูกหนี้และหลักประกัน ตลอดจนการตรวจสอบย้อนกลับและการปฏิบัติตามข้อกำหนดด้านคุณภาพอาหาร

ข้อมูลส่วนบุคคลที่บริษัทใช้ประมวลผล เช่น ชื่อ-นามสกุล ข้อมูลสำหรับช่องทางการติดต่อ ข้อมูลแปลงเพาะปลูกหรือพื้นที่ที่เกี่ยวข้องกับตัวบุคคล ข้อมูลการส่งมอบผลผลิต ข้อมูลบัญชีธนาคาร ข้อมูลธุรกรรม ข้อมูลหนี้และหลักประกัน และข้อมูลอื่นที่จำเป็นต่อการดำเนินการตามวัตถุประสงค์ดังกล่าว

5.2 ลูกค้า ผู้แทนจำหน่าย และผู้ติดต่อทางธุรกิจ

เพื่อการเสนอราคา การรับคำสั่งซื้อ การบริหารสัญญา การผลิตและส่งมอบสินค้า การจัดทำเอกสารการค้าและการส่งออก การรับชำระเงิน การติดตามหนี้ การจัดการข้อร้องเรียน การเรียกคืนสินค้า การสื่อสารทางธุรกิจ และการพัฒนาความสัมพันธ์กับลูกค้า

ข้อมูลส่วนบุคคลที่บริษัทใช้ประมวลผล เช่น ชื่อ-นามสกุล ชื่อตำแหน่ง ชื่อหน่วยงาน ข้อมูลสำหรับช่องทางการติดต่อ ข้อมูลการทำธุรกรรม ข้อมูลผู้มีอำนาจลงนาม และข้อมูลที่จำเป็นต่อการตรวจสอบคู่ค้าหรือปฏิบัติตามข้อกำหนดทางการค้า

5.3 คู่ค้า ผู้รับเหมา และผู้ให้บริการ

เพื่อการคัดเลือกและขึ้นทะเบียนคู่ค้า การตรวจสอบคุณสมบัติ การจัดซื้อจัดจ้าง การบริหารสัญญา การควบคุมการเข้าปฏิบัติงานในพื้นที่บริษัท การตรวจรับงาน การชำระเงิน และการประเมินผลการปฏิบัติงาน

ข้อมูลส่วนบุคคลที่บริษัทใช้ประมวลผล เช่น ข้อมูลของผู้ประกอบการรายบุคคล ผู้มีอำนาจลงนาม ผู้ประสานงาน พนักงานของผู้รับเหมา และบุคคลอื่นที่เกี่ยวข้องเท่าที่จำเป็น

5.4 ผู้สมัครงาน พนักงาน และอดีตพนักงาน

เพื่อการสรรหาและคัดเลือก การทำสัญญาจ้าง การบริหารข้อมูลบุคลากร การจ่ายค่าตอบแทนและสวัสดิการ การพัฒนาความรู้และทักษะ การประเมินผลการปฏิบัติงาน การบริหารวินัยและแรงงานสัมพันธ์ การจัดการอาชีวอนามัยและความปลอดภัย การปฏิบัติตามกฎหมายแรงงาน ภาษี และประกันสังคม ตลอดจนการจัดการเมื่อสิ้นสุดการจ้างงาน

ข้อมูลส่วนบุคคลที่บริษัทใช้ประมวลผล เช่น ข้อมูลการประมวลผลข้อมูลสุขภาพ ข้อมูลชีวภาพ หรือข้อมูลอ่อนไหวอื่นที่ต้องดำเนินการเฉพาะเมื่อมีความจำเป็นและมีฐานทางกฎหมายที่รองรับ โดยกำหนดผู้มีสิทธิเข้าถึงอย่างจำกัด

5.5 กรรมการ ผู้ถือหุ้น และผู้มีส่วนเกี่ยวข้องกับการกำกับดูแลกิจการ

เพื่อการบริหารทะเบียนและสิทธิของผู้ถือหุ้น การจัดประชุม การจัดทำรายงานการประชุม การจ่ายเงินปันผล การแต่งตั้งกรรมการ การตรวจสอบคุณสมบัติ และการปฏิบัติตามกฎหมายบริษัทจำกัด รวมถึงข้อกำหนดอื่นที่เกี่ยวข้องกับสถานะทางกฎหมายของบริษัท

ข้อมูลส่วนบุคคลที่บริษัทใช้ประมวลผล เช่น ชื่อ-นามสกุล ชื่อตำแหน่ง ชื่อหน่วยงาน ข้อมูลสำหรับช่องทางการติดต่อ ข้อมูลการทำธุรกรรม ข้อมูลผู้มีอำนาจลงนาม และข้อมูลที่จำเป็นต่อการตรวจสอบหรือปฏิบัติตามข้อกำหนดอื่นๆที่เกี่ยวข้อง

5.6 ผู้มาติดต่อและบุคคลที่เข้าพื้นที่บริษัท

เพื่อการรักษาความปลอดภัย การควบคุมการเข้าออกสำนักงาน โรงงาน และพื้นที่ปฏิบัติงาน การป้องกันอุบัติเหตุ การคุ้มครองทรัพย์สิน และการตรวจสอบเหตุการณ์ที่อาจกระทบต่อความปลอดภัยของบุคคลหรือการดำเนินงาน โดยบริษัทจะพิจารณาฐานทางกฎหมายให้เหมาะสมกับแต่ละกิจกรรม และไม่ถือว่าการติดตั้งกล้องวงจรปิด (CCTV) ต้องอาศัยความยินยอมในทุกกรณี

ข้อมูลส่วนบุคคลที่บริษัทใช้ประมวลผล เช่น ข้อมูลสำหรับการลงทะเบียนของผู้มาติดต่อ ทะเบียนรถ ภาพจากกล้องวงจรปิด และข้อมูลอื่นที่จำเป็น

5.7 ผู้ใช้เว็บไซต์และช่องทางสื่อสารของบริษัท

เพื่อให้บริการเว็บไซต์ ตอบข้อสอบถาม รับสมัครงาน รับเรื่องร้องเรียน วิเคราะห์และปรับปรุงประสิทธิภาพช่องทางดิจิทัล รักษาความปลอดภัยของระบบ และดำเนินกิจกรรมการตลาดตามฐานทางกฎหมายที่เหมาะสม บริษัทจะจัดให้มีรายละเอียดการใช้คุกกี้และเทคโนโลยีที่คล้ายคลึงกันแยกต่างหากตามลักษณะการใช้งานจริง

5.8 ผู้ร้องเรียน ผู้แจ้งเบาะแส และบุคคลที่เกี่ยวข้องกับการตรวจสอบ

เพื่อรับเรื่อง ตรวจสอบข้อเท็จจริง ป้องกันและตรวจพบการทุจริตหรือการกระทำผิด การบริหารความเสี่ยง การตรวจสอบภายใน การดำเนินการทางวินัย และการใช้หรือป้องกันสิทธิเรียกร้องตามกฎหมาย โดยคำนึงถึงความลับ ความจำเป็น และการจำกัดการเข้าถึงข้อมูลของผู้เกี่ยวข้อง

6. ฐานทางกฎหมายและการขอความยินยอม

บริษัทจะพิจารณาฐานทางกฎหมายให้สอดคล้องกับวัตถุประสงค์และลักษณะข้อมูลในแต่ละกิจกรรม ซึ่งอาจรวมถึงการปฏิบัติตามสัญญาหรือการดำเนินการก่อนเข้าทำสัญญา การปฏิบัติตามกฎหมาย การป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพ ประโยชน์โดยชอบด้วยกฎหมาย และฐานอื่นที่กฎหมายกำหนด

ในกรณีที่ต้องอาศัยความยินยอม บริษัทจะจัดให้มีการขอความยินยอมที่ชัดเจน แยกจากข้อความอื่น เข้าใจง่าย และเป็นไปโดยอิสระ โดยเจ้าของข้อมูลสามารถถอนความยินยอมได้ตามหลักเกณฑ์ของกฎหมาย การถอนความยินยอมจะไม่กระทบต่อการประมวลผลที่ได้ดำเนินการโดยชอบก่อนการถอนความยินยอม

สำหรับข้อมูลส่วนบุคคลที่มีความอ่อนไหว บริษัทจะขอความยินยอมโดยชัดแจ้ง เว้นแต่มีข้อยกเว้นตามกฎหมายที่สามารถนำมาใช้ได้ ทั้งนี้ การใช้ฐานประโยชน์โดยชอบด้วยกฎหมายสำหรับข้อมูลทั่วไปไม่สามารถนำมาใช้แทนเงื่อนไขเฉพาะของข้อมูลอ่อนไหวได้

7. การแจ้งรายละเอียดและแหล่งที่มาของข้อมูล

บริษัทจะจัดให้มีประกาศความเป็นส่วนตัวที่เหมาะสมกับกลุ่มเจ้าของข้อมูล โดยระบุรายละเอียดตามที่กฎหมายกำหนด เช่น วัตถุประสงค์ ประเภทข้อมูล ฐานทางกฎหมาย ระยะเวลาเก็บรักษา ผู้รับข้อมูล สิทธิของเจ้าของข้อมูล และช่องทางติดต่อ

บริษัทอาจได้รับข้อมูลจากเจ้าของข้อมูลโดยตรง จากบุคคลหรือหน่วยงานที่เกี่ยวข้องกับการดำเนินธุรกิจ จากแหล่งข้อมูลสาธารณะที่เข้าถึงได้โดยชอบ หรือจากระบบที่เก็บข้อมูลโดยอัตโนมัติ ทั้งนี้ การเก็บรวบรวมข้อมูลจากแหล่งอื่นต้องพิจารณาหน้าที่ในการแจ้งรายละเอียดและข้อยกเว้นตามกฎหมาย

8. การเปิดเผยและการใช้ข้อมูลร่วมกับบุคคลภายนอก

บริษัทอาจเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นแก่บริษัทใน LACO Group ลูกค้า คู่ค้า ผู้ให้บริการด้านเทคโนโลยีสารสนเทศ ผู้ให้บริการด้านทรัพยากรบุคคล ธนาคาร บริษัทประกันภัย ผู้ให้บริการขนส่งและโลจิสติกส์ ผู้ตรวจประเมิน หน่วยงานราชการ หรือบุคคลอื่นที่เกี่ยวข้องกับวัตถุประสงค์ที่ชอบด้วยกฎหมาย

ก่อนเปิดเผยข้อมูล หน่วยงานที่รับผิดชอบต้องพิจารณาความจำเป็น ฐานทางกฎหมาย ประเภทข้อมูล และมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม ในกรณีที่ผู้ให้บริการทำหน้าที่เป็นผู้ประมวลผลข้อมูลส่วนบุคคล บริษัทจะจัดให้มีข้อตกลงหรือเงื่อนไขการประมวลผลข้อมูลที่กำหนดหน้าที่ การรักษาความลับ การรักษาความปลอดภัย และการจัดการข้อมูลเมื่อสิ้นสุดการให้บริการตามความเหมาะสม

9. การส่งหรือโอนข้อมูลส่วนบุคคลไปต่างประเทศ

เนื่องจากบริษัทมีการดำเนินธุรกิจระหว่างประเทศ การส่งหรือโอนข้อมูลส่วนบุคคลอาจเกิดขึ้นในการติดต่อกับลูกค้าต่างประเทศ การจัดส่งสินค้า การใช้ระบบสารสนเทศหรือบริการคลาวด์ และการประสานงานกับผู้ให้บริการที่ตั้งอยู่ต่างประเทศ

บริษัทจะประเมินความจำเป็นของการโอนข้อมูลและดำเนินการตามหลักเกณฑ์ที่กฎหมายกำหนด รวมถึงการพิจารณามาตรฐานการคุ้มครองข้อมูลของประเทศปลายทาง มาตรการคุ้มครองที่เหมาะสม หรือข้อยกเว้นที่กฎหมายอนุญาต แล้วแต่กรณี โดยไม่ถือว่าการโอนข้อมูลไปต่างประเทศสามารถดำเนินการได้โดยอัตโนมัติเพียงเพราะเป็นกิจกรรมทางธุรกิจ

10. ระยะเวลาเก็บรักษาและการทำลายข้อมูล

บริษัทจะกำหนดระยะเวลาเก็บรักษาข้อมูลตามประเภทข้อมูล วัตถุประสงค์ ข้อกำหนดทางกฎหมาย อายุความ และความจำเป็นในการดำเนินธุรกิจ โดยจัดทำตารางระยะเวลาเก็บรักษาข้อมูล (Data Retention Schedule) สำหรับกระบวนการที่เกี่ยวข้อง

เมื่อสิ้นสุดระยะเวลาเก็บรักษาหรือหมดความจำเป็น บริษัทจะดำเนินการลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ด้วยวิธีการที่เหมาะสม เว้นแต่มีเหตุจำเป็นหรือฐานทางกฎหมายที่รองรับการเก็บรักษาต่อไป เช่น การปฏิบัติตามกฎหมาย การตรวจสอบ หรือการใช้สิทธิเรียกร้องตามกฎหมาย

11. การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

11.1 การกำหนดสิทธิการเข้าถึงข้อมูลตามหน้าที่และความจำเป็นในการปฏิบัติงาน

11.2 การพิสูจน์และยืนยันตัวตน การบริหารบัญชีผู้ใช้งาน และการทบทวนสิทธิการเข้าถึง

11.3 การรักษาความปลอดภัยของระบบสารสนเทศ อุปกรณ์ เครือข่าย และข้อมูลที่จัดเก็บหรือส่งผ่าน

11.4 การสำรองข้อมูล การกู้คืน และการบริหารความต่อเนื่องของระบบที่เกี่ยวข้อง

11.5 การควบคุมเอกสารและพื้นที่จัดเก็บข้อมูล รวมถึงการป้องกันการเข้าถึงโดยบุคคลที่ไม่ได้รับอนุญาต

11.6 การกำหนดหน้าที่รักษาความลับและการอบรมเพื่อสร้างความตระหนักรู้ให้แก่พนักงาน

11.7 การประเมินและควบคุมผู้ให้บริการภายนอกที่เข้าถึงหรือประมวลผลข้อมูลส่วนบุคคล

11.8 การติดตาม ทบทวน และปรับปรุงมาตรการให้เหมาะสมกับเทคโนโลยี ภัยคุกคาม และข้อกำหนดทางกฎหมายที่เปลี่ยนแปลง

12. การจัดการเหตุละเมิดข้อมูลส่วนบุคคล

เมื่อพบหรือสงสัยว่าเกิดเหตุละเมิดข้อมูลส่วนบุคคล พนักงานและผู้เกี่ยวข้องต้องแจ้งผู้รับผิดชอบตามช่องทางที่บริษัทกำหนดโดยทันที หรือเร็วที่สุด และให้ความร่วมมือในการจำกัดผลกระทบ เก็บรักษาหลักฐาน และตรวจสอบข้อเท็จจริง

บริษัทจะจัดให้มีกระบวนการประเมินลักษณะเหตุการณ์ ประเภทและจำนวนข้อมูลที่เกี่ยวข้อง ความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล และมาตรการแก้ไขเยียวยา

ในกรณีที่กฎหมายกำหนดให้ต้องแจ้งเหตุ บริษัทจะดำเนินการแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยเร็วภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ เว้นแต่เหตุละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูง บริษัทจะแจ้งเจ้าของข้อมูลส่วนบุคคลพร้อมแนวทางการเยียวยาโดยไม่ชักช้าตามที่กฎหมายกำหนด

13. สิทธิของเจ้าของข้อมูลส่วนบุคคล

บริษัทเคารพสิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย ซึ่งรวมถึงสิทธิในการถอนความยินยอม สิทธิขอเข้าถึงและรับสำเนาข้อมูล สิทธิขอให้แก้ไขข้อมูล สิทธิขอลบหรือทำลายข้อมูล สิทธิขอรับหรือโอนย้ายข้อมูล สิทธิคัดค้านการประมวลผล สิทธิขอระงับการใช้ข้อมูล และสิทธิร้องเรียนต่อหน่วยงานกำกับดูแล

การใช้สิทธิแต่ละประเภทอยู่ภายใต้เงื่อนไขและข้อยกเว้นตามกฎหมาย บริษัทจะจัดให้มีกระบวนการรับคำร้อง ตรวจสอบตัวตน พิจารณาคำขอ และแจ้งผลภายในระยะเวลาที่กฎหมายกำหนด โดยไม่ปฏิเสธคำขอโดยปราศจากเหตุอันชอบด้วยกฎหมาย

14. การใช้คุกกี้และเทคโนโลยีที่คล้ายคลึงกัน

บริษัทจะจัดให้มีการสำรวจและจำแนกคุกกี้ที่ใช้บนเว็บไซต์ตามวัตถุประสงค์ เช่น คุกกี้ที่จำเป็นต่อการทำงานของเว็บไซต์ คุกกี้เพื่อการวิเคราะห์ และคุกกี้เพื่อการตลาด

สำหรับคุกกี้ที่ต้องอาศัยความยินยอม บริษัทจะจัดให้มีกลไกการขอและจัดการความยินยอมก่อนการใช้งานตามที่กฎหมายกำหนด พร้อมทั้งให้ผู้ใช้งานสามารถเปลี่ยนแปลงการตั้งค่าได้อย่างเหมาะสม โดยรายละเอียดจะกำหนดไว้ในนโยบายคุกกี้ (Cookie Policy) แยกต่างหาก

15. โครงสร้างการกำกับดูแลและความรับผิดชอบ

15.1 คณะกรรมการบริษัทและผู้บริหารระดับสูง : กำกับดูแลและสนับสนุนให้บริษัทมีกรอบการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม อนุมัตินโยบายตามอำนาจหน้าที่ จัดสรรทรัพยากร และติดตามประเด็นความเสี่ยงหรือเหตุการณ์สำคัญที่อาจกระทบต่อบริษัทและเจ้าของข้อมูลส่วนบุคคล

15.2 ผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล : บริษัทจะกำหนดผู้รับผิดชอบหรือคณะทำงานเพื่อประสานงานและติดตามการดำเนินงานด้านการคุ้มครองข้อมูลส่วนบุคคล รวมถึงการจัดทำทะเบียนกิจกรรมการประมวลผล การประสานงานคำร้องขอใช้สิทธิ การติดตามมาตรการควบคุม และการรายงานต่อผู้บริหาร โดยบริษัทจะประเมินหน้าที่ในการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer : DPO) ตามมาตรา 41 และประกาศที่เกี่ยวข้อง หากเข้าหลักเกณฑ์ที่ต้องแต่งตั้ง บริษัทจะดำเนินการแต่งตั้งและจัดให้มีการปฏิบัติหน้าที่ตามกฎหมาย โดยอาจพิจารณาบุคลากรภายในหรือรูปแบบอื่นที่กฎหมายอนุญาตตามความเหมาะสม

15.3 ผู้บังคับบัญชาแต่ละส่วนงานและเจ้าของกระบวนการ : รับผิดชอบในการระบุข้อมูลส่วนบุคคลที่อยู่ในกระบวนการของตน กำหนดวัตถุประสงค์และฐานทางกฎหมาย ควบคุมการเข้าถึงข้อมูล จัดทำและปรับปรุงทะเบียนกิจกรรมการประมวลผล รวมถึงแจ้งการเปลี่ยนแปลงหรือเหตุผิดปกติที่เกี่ยวข้องกับข้อมูลส่วนบุคคล

15.4 แผนกเทคโนโลยีสารสนเทศและ SAP : รับผิดชอบมาตรการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศ การบริหารสิทธิผู้ใช้งาน การสำรองและกู้คืนข้อมูล การติดตามเหตุการณ์ด้านความปลอดภัย และการสนับสนุนการจัดการเหตุละเมิดข้อมูลส่วนบุคคลในส่วนที่เกี่ยวข้อง

15.5 พนักงานและผู้ปฏิบัติงาน : ต้องใช้ข้อมูลส่วนบุคคลเฉพาะตามหน้าที่ที่ได้รับมอบหมาย รักษาความลับ ปฏิบัติตามมาตรการของบริษัท และไม่เข้าถึง ใช้งาน ส่งต่อ หรือเปิดเผยข้อมูลโดยปราศจากอำนาจหรือวัตถุประสงค์ที่ชอบด้วยกฎหมาย

15.6 แผนกตรวจสอบภายใน : ปฏิบัติหน้าที่ให้ความเชื่อมั่นและให้คำปรึกษาอย่างเป็นอิสระเกี่ยวกับความเพียงพอและประสิทธิผลของการกำกับดูแล การบริหารความเสี่ยง และการควบคุมด้านข้อมูลส่วนบุคคลตามแผนการตรวจสอบ โดยไม่รับผิดชอบแทนฝ่ายบริหารในการเป็นเจ้าของหรือดำเนินการควบคุม

16. การจัดทำเอกสารและการติดตามการปฏิบัติตามนโยบาย

บริษัทจะจัดให้มีเอกสารและกระบวนการสนับสนุนตามความจำเป็น เช่น ทะเบียนกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (RoPA) ประกาศความเป็นส่วนตัว แบบฟอร์มความยินยอม ทะเบียนคำร้องขอใช้สิทธิ ตารางระยะเวลาเก็บรักษา ข้อตกลงกับผู้ประมวลผลข้อมูล และแผนตอบสนองเหตุละเมิดข้อมูลส่วนบุคคล โดยผู้รับผิดชอบจะติดตามความคืบหน้า ประเมินช่องว่างในการปฏิบัติตามกฎหมาย และรายงานประเด็นสำคัญต่อผู้บริหารเพื่อให้มีการปรับปรุงมาตรการอย่างต่อเนื่อง

17. การทบทวนและปรับปรุงนโยบาย

บริษัทจะทบทวนนโยบายฉบับนี้อย่างน้อยปีละหนึ่งครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่สำคัญเกี่ยวกับกฎหมาย โครงสร้างองค์กร กระบวนการดำเนินธุรกิจ ระบบสารสนเทศ หรือความเสี่ยงด้านข้อมูลส่วนบุคคล

การแก้ไขนโยบายต้องได้รับการพิจารณาและอนุมัติตามอำนาจที่บริษัทกำหนด และสื่อสารให้ผู้เกี่ยวข้องทราบผ่านช่องทางที่เหมาะสม

18. ช่องทางการติดต่อ

เจ้าของข้อมูลส่วนบุคคลสามารถติดต่อบริษัทเพื่อสอบถามรายละเอียด แจ้งข้อกังวล หรือขอใช้สิทธิตามกฎหมายได้ที่

ผู้จัดการฝ่ายบริหาร

บริษัท ลานนาเกษตรอุตสาหกรรม จำกัด

106/5 หมู่ที่ 8 ถนนเชียงใหม่-ลำปาง ตำบลสารภี อำเภอสารภี จังหวัดเชียงใหม่ 50140

โทรศัพท์: 052-009090-95

อีเมลผู้ประสานงานด้านข้อมูลส่วนบุคคล: Krit@Lannaagro.com

ประกาศ ณ วันที่ 29 ตุลาคม 2569