คำประกาศการคุ้มครองข้อมูล

ข้อมูล ณ: 27.03.2026 เวอร์ชัน: 2.0

หมายเหตุเกี่ยวกับฉบับภาษา: ฉบับภาษาเยอรมันนี้มีผลผูกพันทางกฎหมายและเป็นฉบับหลัก คำแปลภาษาอังกฤษใด ๆ มีไว้เพื่อให้ข้อมูลเท่านั้น หากขัดแย้งกันให้ยึดฉบับภาษาเยอรมัน

คำประกาศนี้แจ้งว่า Etzensperger Informatik AG (“เรา”) ประมวลผลข้อมูลส่วนบุคคลอย่างไรเมื่อคุณ (a) ใช้เว็บไซต์และบริการออนไลน์ของเรา (b) สร้างหรือดูแลบัญชีลูกค้า SaaS (c) กรอกข้อมูลในฐานะผู้ใช้ปลายทางหรือผู้เข้าร่วมผ่านลูกค้าบนแพลตฟอร์มเรา (d) ติดต่อเราเรื่องสนับสนุน การขาย หรือการตลาด (e) สมัครงานหรือมีความสัมพันธ์การจ้างงานกับเรา

เราคำนึงถึงกฎหมายคุ้มครองข้อมูลสวิส (DSG) เป็นหลัก และระเบียบคุ้มครองข้อมูลทั่วไปสหภาพยุโรป (DSGVO/GDPR) เมื่อใช้บังคับ

1. ผู้ควบคุมข้อมูล (Controller) และข้อมูลติดต่อ

ผู้รับผิดชอบการประมวลผลตาม DSG และผู้ควบคุมข้อมูลตาม GDPR เมื่อใช้บังคับ คือ:

Etzensperger Informatik AG Kirchweg 24 CH-3366 Bettenhausen สวิตเซอร์แลนด์ อีเมล: support@edoobox.com โทรศัพท์: +41 43 434 65 91 ทะเบียนพาณิชย์/UID: CHE-107.413.131

2. ผู้ติดต่อ / ที่ปรึกษา / เจ้าหน้าที่คุ้มครองข้อมูล (DPO)

สำหรับเรื่องการคุ้มครองข้อมูล ติดต่อเราได้ที่: ผู้ติดต่อด้านการคุ้มครองข้อมูล: support@edoobox.com Etzensperger Informatik AG Kirchweg 24 CH-3366 Bettenhausen สวิตเซอร์แลนด์

หมายเหตุ: หากเราต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลตามกฎหมายที่ใช้บังคับ หรือแต่งตั้งโดยสมัครใจ สามารถติดต่อบุคคลดังกล่าวได้ผ่านช่องทางข้างต้น

3. รูปแบบบทบาทใน SaaS (ข้อมูลลูกค้าเทียบกับข้อมูลธุรกิจของเราเอง)

3.1 ข้อมูลลูกค้า (“Customer Content”) – เราในฐานะผู้ประมวลผลข้อมูล

เมื่อใช้แพลตฟอร์ม SaaS ลูกค้าของเราอาจกรอกข้อมูลส่วนบุคคลของผู้ใช้ปลายทางหรือผู้เข้าร่วม เช่น ข้อมูลการเข้าร่วม การจอง หรืองานอีเวนต์ลงในแพลตฟอร์ม หากเราประมวลผลข้อมูลลูกค้าเหล่านี้ในนามและตามคำสั่งลูกค้า:

• ลูกค้า = ผู้ควบคุมข้อมูล (Controller),
• เรา = ผู้ประมวลผลข้อมูลตามคำสั่ง (Processor)

ในกรณีเหล่านี้ เรากำหนดการประมวลผลตามคำสั่งในข้อตกลงแยกกับลูกค้า (AVV/DPA)

3.2 ข้อมูลธุรกิจของเราเอง – เราในฐานะผู้ควบคุมข้อมูล

เราประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ของเราด้วย เช่น ดูแลบัญชี สัญญาและการเรียกเก็บเงิน ความปลอดภัย พัฒนาผลิตภัณฑ์ การตลาดเท่าที่อนุญาต และการปฏิบัติตามข้อกำหนด เราเป็นผู้ควบคุมข้อมูลสำหรับการประมวลผลเหล่านี้

4. ประเภทข้อมูลส่วนบุคคล

ขึ้นอยู่กับบริบท เราประมวลผลข้อมูลประเภทหลักดังต่อไปนี้:

A) ข้อมูลบัญชีและสัญญา

• นามสกุล ชื่อ บริษัท/องค์กร บทบาท/ตำแหน่ง
• ข้อมูลเข้าสู่ระบบ/ระบุตัวตน (เช่น ชื่อผู้ใช้) แฮชรหัสผ่าน
• ข้อมูลติดต่อ (อีเมล โทรศัพท์ ที่อยู่)
• ข้อมูลสัญญาและแผน/แพ็กเกจ ขอบเขตสิทธิ์ใช้งาน

B) ข้อมูลการเรียกเก็บเงินและการชำระเงิน

• ที่อยู่ออกใบแจ้งหนี้ ข้อมูล VAT
• สถานะชำระ ข้อมูลธุรกรรมและอ้างอิง (ไม่รวมข้อมูลบัตร/ธนาคารครบถ้วน หากผู้ให้บริการชำระประมวลผลโดยตรง)

C) ข้อมูลการใช้งานและอุปกรณ์

• ข้อมูลการใช้งานในแพลตฟอร์ม (เช่น การใช้ฟีเจอร์ เส้นทางคลิกในแอป)
• ข้อมูลอุปกรณ์/เบราว์เซอร์ ระบบปฏิบัติการ เวอร์ชันแอป
• ที่อยู่ IP เวลาบันทึก ตำแหน่งโดยประมาณ (ที่อนุมาน) ภาษา/เขตเวลา

D) ข้อมูลการสื่อสารและการสนับสนุน

• คำขอสนับสนุน เนื้อหาอีเมล/แชต ไฟล์แนบ
• บันทึกการโทร ทิกเก็ต ประวัติสถานะและการดำเนินงาน

E) ข้อมูลบันทึกระบบ ความปลอดภัย และเมตา

• บันทึกระบบและการเข้าถึง (เช่น ความพยายามเข้าสู่ระบบ การดำเนินการของผู้ดูแล)
• บันทึกการตรวจสอบและรายงานข้อผิดพลาด/ระบบขัดข้อง
• ข้อมูลสำรอง/จุดกู้คืน (รวมสำเนาข้อมูล)

F) ข้อมูลการตลาดและงานอีเวนต์

• การสมัคร/ยกเลิกจดหมายข่าว สถานะความยินยอม
• พารามิเตอร์แคมเปญ (เช่น UTM) ข้อมูลลูกค้าเป้าหมาย

G) ข้อมูลผู้สมัครงานและพนักงาน

• เอกสารสมัครงาน เนื้อหาสื่อสาร การบริหาร HR (อาจมีประกาศแยก)

5. วัตถุประสงค์การประมวลผลและฐานทางกฎหมาย

เราประมวลผลข้อมูลส่วนบุคคลตามหลักการจำกัดวัตถุประสงค์ ความได้สัดส่วน และการใช้ข้อมูลให้น้อยที่สุด เราทำลายหรือทำให้ข้อมูลไม่ระบุตัวตนเมื่อไม่จำเป็นต่อวัตถุประสงค์แล้ว โดยสงวนหน้าที่เก็บตามกฎหมายและประโยชน์อันชอบธรรมในการเก็บถาวร

ในกรณีที่ GDPR ใช้บังคับ เราประมวลผลโดยอาศัยฐานกฎหมายหลักดังต่อไปนี้:

• การปฏิบัติตามสัญญา/มาตรการก่อนทำสัญญา (มาตรา 6 วรรค 1 ข้อ b GDPR),
• หน้าที่ตามกฎหมาย (มาตรา 6 วรรค 1 ข้อ c GDPR),
• ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 6 วรรค 1 ข้อ f GDPR),
• ความยินยอม (มาตรา 6 วรรค 1 ข้อ a GDPR) เช่น จดหมายข่าว/การตลาด หรือคุกกี้ไม่จำเป็น เมื่อกำหนด,
• ในกรณียกเว้น: ปกป้องประโยชน์สำคัญต่อชีวิตหรือภารกิจสาธารณะ (มาตรา 6 วรรค 1 ข้อ d/e GDPR)

วัตถุประสงค์หลัก:

5.1 การดำเนินงานแพลตฟอร์ม SaaS และการให้บริการฟังก์ชัน

• การสร้างบัญชี เข้าสู่ระบบ สิทธิ์ และให้บริการฟังก์ชัน
• การสนับสนุน การจัดการเหตุขัดข้อง การพัฒนา และประกันคุณภาพ

5.2 สัญญา การเรียกเก็บเงิน และการบริหาร

• การทำ/จัดการสัญญา ออกใบแจ้งหนี้ ชำระเงิน และติดตามหนี้
• การบัญชีการเงิน การจัดทำหลักฐาน การบริหารภายใน

5.3 ความปลอดภัยและการป้องกันการใช้ในทางที่ผิด

• ความปลอดภัย IT การควบคุมสิทธิ์ บันทึกระบบ ตรวจจับการฉ้อโกง/ใช้งานผิด
• การบังคับใช้ข้อกำหนด การรักษาสิทธิ์ และสิทธิ์เรียกร้อง

5.4 การสื่อสาร

• ข้อความบริการ (เช่น การแจ้งด้านความปลอดภัย สถานะระบบ)
• การสื่อสารกับฝ่ายสนับสนุน
• สื่อสารการตลาดเฉพาะเมื่ออนุญาตหรือได้รับความยินยอม

5.5 การดำเนินงานเว็บไซต์และคุกกี้

เราใช้คุกกี้และเทคโนโลยีที่จำเป็นเพื่อให้เว็บไซต์และแพลตฟอร์มทำงานทางเทคนิค สำหรับส่วนที่ไม่จำเป็น เช่น การวัดการเข้าถึง การตลาด และโซเชียลมีเดีย เราใช้การจัดการความยินยอมหากกฎหมายกำหนด คุณถอนหรือปรับความยินยอมผ่านการตั้งค่าคุกกี้ที่ท้ายเว็บไซต์ได้ทุกเมื่อ

Microsoft Advertising (Universal Event Tracking) หลังคุณยินยอมด้านวิเคราะห์และการตลาด เราใช้ Microsoft Advertising ของ Microsoft เพื่อเชื่อมการเข้าชมและการสมัครสำเร็จกับโฆษณาของเรา ข้อมูลที่อาจส่งให้ Microsoft ได้แก่ URL ที่เข้า ข้อมูลเทคนิคเบราว์เซอร์และอุปกรณ์ ที่อยู่ IP และตัวระบุคุกกี้กับคลิกโฆษณา MSCLKID ตัวระบุคลิก Microsoft ที่เราเก็บเองจะอยู่สูงสุด 90 วันเพื่อการเชื่อมโยง เมื่อไปสมัครที่ app2.edoobox.com เราส่งตัวระบุนี้ต่อเฉพาะเมื่อยินยอมการตลาด หากถอน เราหยุดเหตุการณ์ UET และลบตัวระบุการตลาดที่เกี่ยวข้องซึ่งเราเข้าถึงได้ Microsoft อาจประมวลผลเพื่อโฆษณาของตนด้วย ดูเพิ่มเติมในคำประกาศการคุ้มครองข้อมูล Microsoft

6. ผู้รับ ผู้ให้บริการ และผู้ประมวลผลข้อมูลช่วง

เราส่งต่อข้อมูลส่วนบุคคลเฉพาะเมื่อจำเป็นต่อวัตถุประสงค์ที่ระบุ มีหน้าที่ต้องทำ หรือคุณยินยอม

ประเภทผู้รับอาจได้แก่:

• ผู้ให้บริการโฮสติ้ง/คลาวด์ (การดำเนินงาน พื้นที่จัดเก็บ สำรองข้อมูล เฝ้าระวัง)
• ผู้ให้บริการสื่อสาร (อีเมล SMS โทรศัพท์)
• ผู้ให้บริการชำระเงิน (ประมวลผลชำระเงิน จัดการใบแจ้งหนี้/แพ็กเกจ)
• ผู้ให้บริการวิเคราะห์/ประสิทธิภาพ/ความปลอดภัย (เช่น ติดตามข้อผิดพลาด APM, CDN/WAF)
• ระบบ CRM/สนับสนุน (ทิกเก็ต แชต ฐานความรู้)
• ที่ปรึกษาวิชาชีพ (กฎหมาย ตรวจสอบบัญชี) ธนาคาร/ติดตามหนี้ เมื่อจำเป็น
• หน่วยงาน/ศาล เมื่อกฎหมายกำหนด

ผู้ประมวลผลข้อมูลช่วง (Subprocessors): ดูรายชื่อผู้ประมวลผลข้อมูลช่วงล่าสุดของเรา พร้อมวัตถุประสงค์ ที่ตั้ง ประเภทข้อมูล และฐานทางกฎหมายสำหรับการโอนข้อมูลได้ที่ https://www.edoobox.com/th/สอดคล้องกับ-dsg-และ-gdpr-2/

7. การประมวลผลข้อมูลต่างประเทศ / การโอนข้ามพรมแดน

โดยหลัก ข้อมูลแพลตฟอร์มส่วนกลางเก็บและประมวลผลในสวิตเซอร์แลนด์เป็นหลัก อาจมีการประมวลผลใน EU/EEA หรือประเทศอื่นตามผู้ให้บริการที่ใช้ หากเราหรือผู้ให้บริการประมวลผลนอกสวิตเซอร์แลนด์หรือ EEA เราดูแลให้มีการคุ้มครองข้อมูลเพียงพอ โดยเฉพาะผ่าน:

• คำตัดสินรับรองความเพียงพอ (สวิตเซอร์แลนด์: รัฐ/องค์กรที่คุ้มครองเพียงพอ; EU: คำตัดสินรับรองความเพียงพอ),
• ข้อสัญญามาตรฐาน/ข้อกำหนดคุ้มครองข้อมูลมาตรฐาน (SCC) และมาตรการเพิ่มเติมเมื่อจำเป็น,
• กรอบความเป็นส่วนตัวข้อมูลที่ใช้บังคับ (เช่น Swiss‑U.S. DPF หรือ EU‑U.S. DPF) เมื่อใช้ได้และผู้รับได้รับการรับรอง,
• หรือหลักประกันอื่นที่กฎหมายกำหนด/ฐานการโอนที่ใช้ในกรณียกเว้น

8. การเก็บรักษา การลบ และการสิ้นสุดการใช้งาน

เรากำหนดระยะเก็บรักษาตามหลัก “จำเป็นต้องรู้/จำเป็นต้องเก็บ”

8.1 ค่าอ้างอิง

• ข้อมูลบัญชี/ลูกค้า: ตลอดสัญญา บวกระยะเปลี่ยนผ่านที่เหมาะสมเพื่อย้ายข้อมูลและปฏิบัติตามสัญญา
• ทิกเก็ตสนับสนุน: ตราบเท่าที่จำเป็นต่อการสนับสนุน ตรวจสอบย้อนหลัง และปฏิบัติตามข้อกำหนด
• บันทึกความปลอดภัย/การเข้าถึง: ตามข้อกำหนดความปลอดภัยและการปฏิบัติตามกฎของเรา
• ข้อมูลสำรอง: หมุนเวียนตามรอบสำรองของเรา (การลบอาจล่าช้า)
• ข้อมูลลูกค้าเป้าหมายการตลาด: จนถอนความยินยอม/ยกเลิก หรือหมดวัตถุประสงค์
• เอกสารบัญชี/ใบแจ้งหนี้: ตามหน้าที่เก็บรักษาทางกฎหมาย (โดยทั่วไปสูงสุด 10 ปี) เมื่อใช้บังคับ

8.2 การเริ่มต้นและสิ้นสุดการใช้งานของลูกค้า

• ระหว่างระยะสัญญา: ประมวลผลเพื่อให้บริการ
• หลังการยกเลิกหรือสิ้นสุดสัญญา: (i) ส่งคืนหรือส่งออกข้อมูลลูกค้าหากต้องการ (ii) ระงับบัญชี (iii) ลบหรือทำให้ไม่ระบุตัวตนเมื่อครบระยะเวลาเก็บรักษา ยกเว้นสำเนาในข้อมูลสำรองจนกว่าจะถูกเขียนทับครั้งถัดไป
• ตามคำขอ อาจพิจารณาลบข้อมูลลูกค้าก่อนกำหนดได้ หากไม่ขัดหน้าที่กฎหมายหรือประโยชน์ที่มีน้ำหนักเหนือกว่า

9. ความปลอดภัยข้อมูล (มาตรการทางเทคนิคและองค์กร)

เราใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสม (TOM) โดยคำนึงถึงความเสี่ยง โดยเฉพาะ:

หมายเหตุ: ไม่สามารถรับประกันความปลอดภัยแบบสมบูรณ์ได้

• เข้ารหัสขณะส่ง (TLS) และขณะจัดเก็บเมื่อเหมาะสม (Encryption at Rest)
• แนวคิดบทบาทและสิทธิ์ (ให้สิทธิ์เท่าที่จำเป็น) การแยกสภาพแวดล้อม
• การยืนยันหลายปัจจัยสำหรับบัญชีผู้ดูแล การเข้าถึงบริหาร และระบบภายในอ่อนไหวเมื่อรองรับทางเทคนิค
• การบันทึก/ตรวจสอบการดำเนินการด้านความปลอดภัย
• แพตช์/อัปเดตเป็นประจำและจัดการช่องโหว่
• ข้อมูลสำรอง แนวทางกู้คืน และแผนฉุกเฉิน
• การอบรม/ข้อผูกพันของพนักงาน (การรักษาความลับ)

10. สิทธิ์ของเจ้าของข้อมูล

10.1 สิทธิ์ตาม DSG ของสวิตเซอร์แลนด์

ขึ้นอยู่กับข้อเท็จจริงและข้อจำกัดตามกฎหมาย คุณมีสิทธิ์โดยเฉพาะดังนี้:

• สิทธิ์เข้าถึงข้อมูล รวมวัตถุประสงค์ ระยะ/เกณฑ์เก็บรักษา ผู้รับ และการตัดสินใจอัตโนมัติรายบุคคล,
• สิทธิ์แก้ไขข้อมูลที่ไม่ถูกต้อง,
• สิทธิ์ลบ/ทำลายข้อมูลเท่าที่อนุญาต,
• สิทธิ์ขอรับ/โอนข้อมูลตามเงื่อนไขกฎหมาย,
• สิทธิ์เกี่ยวกับการตัดสินใจอัตโนมัติเป็นรายบุคคล (ดูข้อ 11)

10.2 สิทธิ์ตาม GDPR (เมื่อใช้บังคับ)

ขึ้นอยู่กับข้อเท็จจริง คุณมีสิทธิ์โดยเฉพาะดังนี้:

• การเข้าถึงข้อมูล การแก้ไข การลบ การจำกัดการประมวลผล,
• การโอนย้ายข้อมูล,
• คัดค้านการประมวลผลที่อาศัยประโยชน์โดยชอบด้วยกฎหมาย,
• ถอนความยินยอมโดยมีผลในอนาคต,
• สิทธิ์ร้องเรียนต่อหน่วยงานกำกับดูแล

10.3 การใช้สิทธิ์

กรุณาส่งคำขอไปที่ support@edoobox.com เราอาจขอหลักฐานที่เหมาะสมเพื่อยืนยันตัวตน

หลักการสำคัญเรื่องบทบาทใน SaaS:

• สำหรับ “Customer Content” ที่ลูกค้าของเราดูแลในฐานะผู้ควบคุมข้อมูล เราอาจไม่มีสิทธิ์แก้หรือลบข้อมูลโดยตรง ในกรณีนี้ เราส่งคำขอเจ้าของข้อมูลต่อให้ลูกค้าที่เกี่ยวข้องเท่าที่อนุญาต หรือแจ้งวิธีติดต่อลูกค้าโดยตรง

11. การตัดสินใจอัตโนมัติเป็นรายบุคคลและการสร้างโปรไฟล์

หากเราใช้การตัดสินใจเฉพาะบุคคลโดยอัตโนมัติที่มีผลทางกฎหมายหรือกระทบคุณอย่างมีนัยสำคัญ เราจะแจ้งให้ทราบ คุณมีสิทธิ์แสดงจุดยืนและขอให้บุคคลธรรมดาตรวจสอบเท่าที่กฎหมายกำหนด ปัจจุบันโดยทั่วไปเราไม่ใช้การตัดสินใจอัตโนมัติที่มีผลทางกฎหมายหรือส่งผลสำคัญในลักษณะคล้ายกันต่อเจ้าของข้อมูล

12. การแจ้งเหตุละเมิดความปลอดภัยข้อมูล (Data Breach)

เรามีกระบวนการตรวจพบ ตรวจสอบ แก้ไข และบันทึกเหตุละเมิดความปลอดภัยข้อมูล หากกฎหมายกำหนด เราจะรายงานเหตุที่เกี่ยวข้องต่อหน่วยงานกำกับดูแลที่รับผิดชอบและแจ้งผู้ได้รับผลกระทบ

ในการประมวลผลตามคำสั่ง เราแจ้งลูกค้าโดยไม่ชักช้าโดยไม่จำเป็นเมื่อพบเหตุละเมิดความปลอดภัยที่กระทบข้อมูลลูกค้า

13. ข้อมูลผู้สมัครงานและพนักงาน

หากสมัครงานหรือทำงานกับเรา เราประมวลผลข้อมูลส่วนบุคคลเพื่อการสมัครหรือการจ้างงาน งานธุรการ เงินเดือน ประกันสังคม การปฏิบัติตามข้อกำหนด และความปลอดภัยไอที เรามีเอกสารคุ้มครองข้อมูล HR แยกให้เพิ่มเติมเมื่อจำเป็นหรือระหว่างสมัครงาน

14. ผู้เยาว์

โดยทั่วไป บริการของเราสำหรับธุรกิจและผู้ใหญ่ ผู้มีอายุต่ำกว่า 16 ปีไม่ควรใช้บริการโดยไม่ได้รับความยินยอมจากผู้ปกครอง หากกฎหมายที่ใช้บังคับกำหนดไว้

15. การปฏิบัติตามข้อกำหนด การตรวจสอบ และสัญญา

• เราเก็บทะเบียนกิจกรรมประมวลผลและบันทึกมาตรการความปลอดภัยกับเหตุการณ์ที่เกี่ยวข้อง เท่าที่กฎหมายกำหนดหรือเหมาะกับองค์กร หลักฐานเฉพาะลูกค้า แบบสอบถามความปลอดภัย การตรวจสอบ หรือ audit จัดให้หลังตกลงล่วงหน้า โดยคิดค่าบริการแยก เว้นแต่กฎหมายบังคับหรือเกิดจากเหตุที่เราก่อ
• เราทำข้อตกลงประมวลผลข้อมูล (AVV/DPA) กับลูกค้าเมื่อจำเป็น
• เราทำสัญญาที่เหมาะสมกับผู้ประมวลผลข้อมูลช่วง รวม TOM และเครื่องมือโอนข้อมูล เช่น SCC เมื่อจำเป็น

16. การเปลี่ยนแปลงคำประกาศการคุ้มครองข้อมูลนี้

เราอาจปรับปรุงคำประกาศการคุ้มครองข้อมูลนี้ เช่น เมื่อกฎหมายเปลี่ยนหรือปรับผลิตภัณฑ์ ฉบับปัจจุบันเผยแพร่ที่ /th/คำประกาศการคุ้มครองข้อมูล/ เราจะแจ้งการเปลี่ยนแปลงสำคัญอย่างเหมาะสม

17. ข้อยกเว้น / ข้อจำกัดความรับผิด (เท่าที่อนุญาต)

คำประกาศการคุ้มครองข้อมูลนี้อธิบายการประมวลผลตามความรู้ที่ดีที่สุดของเรา เราไม่รับประกันว่าบริการภายนอก เช่น เว็บไซต์บุคคลภายนอกหรือผู้ให้บริการที่เชื่อมลิงก์ จะทำงานเหมือนเดิมเสมอหรือเนื้อหาไม่เปลี่ยนแปลง ทั้งนี้สงวนข้อกำหนดความรับผิดตามกฎหมาย