01 บทนำ

นโยบายฉบับนี้ใช้บังคับกับบุคคลดังต่อไปนี้:

• ผู้ป่วยและผู้รับบริการของคลินิก รวมถึงผู้ที่สนใจรับบริการ
• ผู้ปกครองตามกฎหมายของผู้ป่วยที่เป็นผู้เยาว์หรือไร้ความสามารถ
• ผู้เยี่ยมชมเว็บไซต์ ผู้ติดต่อทางอีเมล โทรศัพท์ หรือช่องทางโซเชียลมีเดียของคลินิก
• คู่ค้า ผู้สมัครงาน และบุคคลภายนอกอื่นที่เกี่ยวข้อง

โปรดอ่านนโยบายฉบับนี้อย่างละเอียดเพื่อทำความเข้าใจสิทธิและทางเลือกของท่าน

02 ผู้ควบคุมข้อมูลส่วนบุคคล

03 คำนิยาม

04 ข้อมูลส่วนบุคคลที่เก็บรวบรวม

เราเก็บรวบรวมข้อมูลส่วนบุคคลของท่านในประเภทต่อไปนี้:

4.1 ข้อมูลที่ระบุตัวตน

ชื่อ-นามสกุล เลขประจำตัวประชาชนหรือเลขหนังสือเดินทาง วัน/เดือน/ปีเกิด เพศ สัญชาติ ภาพถ่ายเพื่อยืนยันตัวตน

4.2 ข้อมูลการติดต่อ

ที่อยู่ หมายเลขโทรศัพท์ อีเมล บัญชีไลน์ หรือช่องทางโซเชียลมีเดียอื่น ชื่อและช่องทางติดต่อบุคคลที่สามารถติดต่อได้ในกรณีฉุกเฉิน

4.3 ข้อมูลด้านสุขภาพ (ข้อมูลอ่อนไหว)

ประวัติการเจ็บป่วย ประวัติการรักษา การแพ้ยา/อาหาร ผลตรวจทางห้องปฏิบัติการ ผลการวินิจฉัย แผนการรักษา ยาที่ใช้ น้ำหนัก ส่วนสูง สัญญาณชีพ และข้อมูลทางคลินิกอื่น

4.4 ภาพและวีดีโอทางการแพทย์ (ข้อมูลอ่อนไหว)

ภาพถ่ายและภาพเคลื่อนไหวก่อน/ระหว่าง/หลังการรักษา เพื่อประกอบการวินิจฉัย การรักษา การติดตามผล รวมถึงเพื่อวัตถุประสงค์อื่นๆ ตามความยินยอมที่ท่านให้ไว้

4.5 ข้อมูลด้านการเงินและการชำระเงิน

ข้อมูลบัตรเครดิต/เดบิต บัญชีธนาคาร ที่อยู่สำหรับออกใบเสร็จ/ใบกำกับภาษี เลขประจำตัวผู้เสียภาษี ข้อมูลประกันสุขภาพ

4.6 ข้อมูลทางเทคนิคและการใช้งานเว็บไซต์

หมายเลข IP ประเภทเบราว์เซอร์ ระบบปฏิบัติการ พฤติกรรมการเข้าชมเว็บไซต์ คุกกี้ และตัวระบุอุปกรณ์

4.7 ข้อมูลด้านการตลาดและการสื่อสาร

ความสนใจในบริการ ความพึงพอใจ ความคิดเห็น/รีวิว และการตั้งค่าการรับข่าวสาร

05 แหล่งที่มาของข้อมูล

• จากท่านโดยตรง — เมื่อท่านลงทะเบียน นัดหมาย รับบริการ หรือติดต่อเรา
• จากการตรวจรักษา — ข้อมูลทางคลินิกที่เกิดขึ้นระหว่างการให้บริการ
• จากผู้ส่งต่อ — สถานพยาบาล แพทย์ หรือหน่วยงานที่ส่งต่อผู้ป่วยมายังคลินิก (เมื่อมี)
• จากเว็บไซต์/ช่องทางออนไลน์ — เมื่อท่านใช้งานเว็บไซต์หรือโซเชียลมีเดียของเรา
• จากบุคคลภายนอก — เช่น ผู้ปกครอง บริษัทประกัน หรือนายจ้างที่ส่งท่านมารับบริการ

06 วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล

เราประมวลผลข้อมูลส่วนบุคคลของท่านภายใต้ฐานทางกฎหมาย ดังนี้:

07 การประมวลผลข้อมูลส่วนบุคคลอ่อนไหว

ข้อมูลด้านสุขภาพและภาพ/วีดีโอทางการแพทย์ของท่านถือเป็น ข้อมูลส่วนบุคคลอ่อนไหว ตามมาตรา 26 ของ PDPA ซึ่งโดยหลักการต้องได้รับความยินยอมโดยชัดแจ้งจากท่าน เว้นแต่กรณีที่กฎหมายอนุญาตให้ทำได้โดยไม่ต้องขอความยินยอม เช่น:

• เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
• เพื่อประโยชน์ด้านการแพทย์เชิงป้องกัน การวินิจฉัย หรือการให้การรักษาโดยผู้ประกอบวิชาชีพเวชกรรม
• เพื่อปฏิบัติตามกฎหมายที่เกี่ยวข้องกับสาธารณสุข

08 การเปิดเผยข้อมูลต่อบุคคลภายนอก

8.1 ภายในองค์กร

ข้อมูลของท่านอาจถูกเข้าถึงโดยแพทย์ พยาบาล ผู้ช่วยแพทย์ เภสัชกร และเจ้าหน้าที่ที่เกี่ยวข้องของคลินิก โดยจำกัดเฉพาะผู้ที่มีความจำเป็นต้องทราบเพื่อปฏิบัติหน้าที่

8.2 บุคคลภายนอก

เราอาจเปิดเผยข้อมูลของท่านต่อบุคคลภายนอกดังต่อไปนี้ ภายใต้ข้อตกลงการประมวลผลข้อมูลที่เหมาะสม:

• ผู้ให้บริการเทคโนโลยีสารสนเทศ — ระบบบริหารเวชระเบียน ระบบนัดหมาย ผู้ให้บริการ cloud และซอฟต์แวร์อื่น
• ห้องปฏิบัติการคู่สัญญา — สำหรับการส่งตรวจทางห้องปฏิบัติการ
• สถานพยาบาลที่ส่งต่อ — กรณีจำเป็นต้องส่งต่อเพื่อการรักษา
• บริษัทประกัน — เมื่อท่านใช้สิทธิประกัน และให้ความยินยอม
• ผู้ให้บริการชำระเงินและธนาคาร
• ผู้ให้บริการแพลตฟอร์มการตลาด — เช่น โซเชียลมีเดีย ระบบส่งอีเมล (เมื่อท่านให้ความยินยอม)
• ที่ปรึกษากฎหมาย บัญชี และผู้สอบบัญชี
• หน่วยงานราชการ/ศาล — เมื่อมีกฎหมายกำหนดหรือคำสั่งที่ชอบด้วยกฎหมาย

คลินิก ไม่ขาย ข้อมูลส่วนบุคคลของท่านให้บุคคลภายนอกเพื่อวัตถุประสงค์เชิงพาณิชย์

09 การส่งหรือโอนข้อมูลไปต่างประเทศ

ในบางกรณี ข้อมูลของท่านอาจถูกส่งหรือจัดเก็บในเซิร์ฟเวอร์ของผู้ให้บริการในต่างประเทศ เช่น:

• ผู้ให้บริการ cloud (สหรัฐอเมริกา สิงคโปร์ ฯลฯ)
• แพลตฟอร์มโซเชียลมีเดียและการตลาดดิจิทัล
• ผู้ให้บริการระบบส่งอีเมลและข้อความ

คลินิกจะดำเนินการตามมาตรา 28 ของ PDPA โดยตรวจสอบให้แน่ใจว่าประเทศปลายทางหรือผู้รับข้อมูลมีมาตรฐานคุ้มครองข้อมูลที่เพียงพอ หรือใช้มาตรการคุ้มครองที่เหมาะสม เช่น สัญญามาตรฐานการคุ้มครองข้อมูล (Standard Contractual Clauses) หรือขอความยินยอมจากท่านในกรณีที่กฎหมายกำหนด

10 ระยะเวลาในการเก็บรักษาข้อมูล

เมื่อพ้นระยะเวลาที่เก็บรักษา คลินิกจะลบ ทำลาย หรือทำให้ข้อมูลของท่านไม่สามารถระบุตัวบุคคลได้

11 การรักษาความปลอดภัยของข้อมูล

เราใช้มาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมทั้งในเชิงเทคนิคและเชิงองค์กร เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลโดยมิชอบ รวมถึง:

• การเข้ารหัสข้อมูล (encryption) ทั้งในขณะส่งและขณะจัดเก็บ ตามความเหมาะสม
• การควบคุมการเข้าถึง (access control) โดยจำกัดเฉพาะผู้ที่มีหน้าที่เกี่ยวข้อง
• การจัดทำบันทึกการเข้าถึง (audit log)
• การฝึกอบรมพนักงานเรื่อง PDPA และการคุ้มครองข้อมูล
• การประเมินความเสี่ยงและทบทวนมาตรการความปลอดภัยเป็นระยะ
• การจัดทำแผนรับมือเหตุการณ์ละเมิดข้อมูล (Data Breach Response Plan)

ในกรณีที่เกิดเหตุการละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงสูงต่อสิทธิและเสรีภาพของท่าน คลินิกจะแจ้งให้ท่านและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลทราบโดยไม่ชักช้า ภายใน 72 ชั่วโมง นับแต่ทราบเหตุ ตามที่กฎหมายกำหนด

12 สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้ PDPA ท่านมีสิทธิดังต่อไปนี้:

13 การใช้สิทธิของท่าน

ท่านสามารถใช้สิทธิของท่านได้ผ่านช่องทางต่อไปนี้:

• กรอกแบบฟอร์มขอใช้สิทธิ ณ เคาน์เตอร์ของคลินิก
• ส่งอีเมลถึง DPO ที่ dpo@patcharavejclinic.com
• โทรศัพท์ที่หมายเลข 02-460-9235

คลินิกจะพิจารณาและตอบกลับคำขอของท่าน ภายใน 30 วัน นับแต่วันที่ได้รับคำขอ และอาจขอเอกสารยืนยันตัวตนเพื่อตรวจสอบก่อนดำเนินการ ในกรณีปกติคลินิกจะไม่เรียกเก็บค่าใช้จ่าย เว้นแต่คำขอมีลักษณะที่ไม่สมเหตุสมผลหรือเกินสมควร

หากคลินิกปฏิเสธคำขอ เราจะแจ้งเหตุผลและสิทธิในการอุทธรณ์ต่อ สคส. ให้ท่านทราบ

14 คุกกี้และเทคโนโลยีติดตาม

เว็บไซต์ของเราอาจใช้คุกกี้และเทคโนโลยีที่คล้ายกันเพื่อ:

• คุกกี้ที่จำเป็น — สำหรับการทำงานพื้นฐานของเว็บไซต์
• คุกกี้เพื่อการวิเคราะห์ — เพื่อทำความเข้าใจการใช้งานเว็บไซต์ (เช่น Google Analytics)
• คุกกี้เพื่อการตลาด — เพื่อแสดงโฆษณาที่เกี่ยวข้องกับท่าน

ท่านสามารถจัดการการตั้งค่าคุกกี้ได้ผ่านแบนเนอร์คุกกี้บนเว็บไซต์ของเรา หรือผ่านการตั้งค่าของเบราว์เซอร์ของท่าน อ่านรายละเอียดเพิ่มเติมใน นโยบายการใช้คุกกี้ (ส่วนที่ 2 ด้านล่าง) ของเรา

15 ข้อมูลของผู้เยาว์

สำหรับผู้ป่วยที่เป็นผู้เยาว์:

• อายุต่ำกว่า 10 ปี — คลินิกจะขอความยินยอมจากผู้ใช้อำนาจปกครอง
• อายุ 10 ปีขึ้นไปแต่ยังไม่บรรลุนิติภาวะ — คลินิกจะขอความยินยอมจากทั้งผู้เยาว์และผู้ใช้อำนาจปกครอง ในกรณีที่กฎหมายกำหนด
• กรณีบุคคลไร้ความสามารถ/เสมือนไร้ความสามารถ — คลินิกจะขอความยินยอมจากผู้อนุบาลหรือผู้พิทักษ์ตามกฎหมาย

16 การเปลี่ยนแปลงนโยบาย

คลินิกอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว เพื่อให้สอดคล้องกับการเปลี่ยนแปลงทางกฎหมาย การให้บริการ หรือเทคโนโลยี โดยเราจะประกาศนโยบายฉบับปรับปรุงบนเว็บไซต์พร้อมวันที่มีผลบังคับใช้ และในกรณีที่มีการเปลี่ยนแปลงที่กระทบสิทธิของท่านอย่างมีนัยสำคัญ เราจะแจ้งให้ท่านทราบผ่านช่องทางที่เหมาะสม

โปรดทบทวนนโยบายฉบับนี้เป็นระยะเพื่อรับทราบการเปลี่ยนแปลง

17 ติดต่อเรา

หากท่านมีคำถาม ข้อสงสัย หรือต้องการใช้สิทธิตามนโยบายฉบับนี้ โปรดติดต่อ: