โดยหากท่านต้องการใช้สิทธิเจ้าของข้อมูล บริษัทฯ จะต้องดำเนินการตามคำขอของเจ้าของข้อมูลในระยะเวลาไม่เกิน 30 (สามสิบ) วันนับแต่วันที่ได้รับคำขอ ทั้งนี้บริษัทฯ จะปฎิเสธคำขอดังกล่าวเสียก็ได้ แต่จะต้องเป็นการปฏิเสธตามกฎหมาย หรือคำสั่งศาล หรือคำขอนั้น อาจก่อให้เกิดความเสียหายต่อสิทธิและเสรีภาพของบุคคลอื่น

 

4. บทบาท หน้าที่ และความรับผิดชอบ

บริษัทจะจัดให้มีผู้รับผิดชอบดูแล ควบคุมการจัดการโครงการเพื่อการวางโครงสร้างของการเก็บรวบรวม ใช้ และประมวลผลข้อมูลอย่างเป็นระบบ โดยมีการแบ่งโครงสร้างการจัดการโดยหน้าที่เป็นดังต่อไปนี้

4.1 Service Owner / System Owner (เจ้าของระบบ)

4.1.1 กำหนดเป้าหมายและความคาดหวังด้านความพร้อมใช้งาน ความเสถียร ความปลอดภัย และความสามารถในการกู้คืนของบริการ

4.1.2 อนุมัติแผนการบำรุงรักษาที่มีความเสี่ยงสูงหรืออาจส่งผลกระทบต่อการให้บริการ

4.1.3 รับทราบรายงานผลการบำรุงรักษา และติดตามการปิดรายการปรับปรุง (Action Items) ให้แล้วเสร็จตามกำหนด

 

4.2 Infrastructure/DevOps (ผู้ดูแลโครงสร้างพื้นฐาน/ระบบ)

4.2.1 วางแผนและดำเนินการตรวจสอบสุขภาพระบบ (Server Health) และการบำรุงรักษาตามรอบที่กำหนด

4.2.2 ดำเนินการบำรุงรักษาเชิงป้องกันและเชิงแก้ไขตามความจำเป็น รวมถึงจัดทำ/ควบคุมเอกสารการเปลี่ยนแปลง (Change Request)

4.2.3 ดำเนินการทบทวนด้านความปลอดภัยเชิงปฏิบัติการ และทบทวนสิทธิ์การเข้าถึง (Access Review) ตามนโยบาย

4.2.4 ดำเนินการ Patch Management เพื่อลดความเสี่ยงด้านความปลอดภัย

4.2.5 ตรวจสอบความสำเร็จของการสำรองข้อมูล (Daily Backup Success) และดำเนินการทดสอบการกู้คืน (Restore Test) และจัดทำรายงานผล

4.2.6 จัดทำและจัดเก็บบันทึก/หลักฐานการดำเนินงาน เพื่อให้ตรวจสอบย้อนหลังได้

 

4.3 Application Owner / Developer (ผู้พัฒนา)

4.3.1 ให้ข้อมูลข้อจำกัดและความสัมพันธ์ของระบบงานที่เกี่ยวข้องกับการให้บริการ เพื่อสนับสนุนการวางแผนบำรุงรักษา

4.3.2 สนับสนุนการตรวจสอบหลังบำรุงรักษาในมุมระบบงาน และร่วมวิเคราะห์สาเหตุเมื่อเกิดเหตุผิดปกติที่เกี่ยวข้องกับแอปพลิเคชัน

4.3.3 ดำเนินการปรับปรุง/แก้ไขในส่วนระบบงานเมื่อรายการบำรุงรักษาหรือการทบทวนพบประเด็นที่ต้องแก้ไข

 

4.4 QA/Tester (ผู้ทดสอบระบบ)

4.4.1 ดำเนินการทดสอบยืนยันหลังการบำรุงรักษาหรือหลังการเปลี่ยนแปลง เพื่อยืนยันว่าบริการใช้งานได้ตามปกติ

4.4.2 บันทึกผลการทดสอบและรายงานความผิดปกติที่พบต่อผู้รับผิดชอบเพื่อดำเนินการแก้ไข

 

4.5 Support / Customer Service (ฝ่ายสนับสนุน/ประสานงานลูกค้า)

4.5.1 ประสานงานการสื่อสารกับผู้ใช้งาน/ลูกค้าในกรณีมี Maintenance Window หรือมีผลกระทบต่อการให้บริการ

4.5.2 รับแจ้งเหตุเบื้องต้น รวบรวมข้อมูลที่จำเป็น และส่งต่อทีมที่เกี่ยวข้องตามกระบวนการจัดการ

เหตุขัดข้อง

4.5.3 สนับสนุนการติดตามสถานะงานและการปิดเคสจนแล้วเสร็จตาม SLA/ข้อตกลงที่กำหนด

 

5. ผู้บริหาร มีบทบาท หน้าที่และความรับผิดชอบในการติดตามควบคุมให้หน่วยงานที่ดูแลปฏิบัติตามนโยบาย

การคุ้มครองข้อมูลของบริษัท และส่งเสริมการสร้างความตระหนักรู้ให้เกิดขึ้นกับลูกจ้าง/พนักงานของบริษัท เจ้าหน้าที่คุ้มครองข้อมูลของบริษัท (Invitrace  DPO) มีบทบาท หน้าที่ และความรับผิดชอบตามที่กฎหมายกำหนด 

ซึ่งรวมถึงหน้าที่ดังต่อไปนี้

5.1 รายงานสถานการณ์คุ้มครองข้อมูลให้คณะกรรมการคุ้มครองข้อมูลทราบอย่างสม่ำเสมอ และจัดทำ

ข้อเสนอแนะเพื่อปรับปรุงการคุ้มครองข้อมูลของบริษัทให้ทันสมัยและสอดคล้องกับกฎหมาย

5.2 ให้คำแนะนำต่อลูกจ้าง/พนักงานของบริษัทเกี่ยวกับการปฏิบัติตามกฎหมาย และนโยบายการคุ้มครอง

ข้อมูลของบริษัท

5.3 ตรวจสอบการดำเนินงานของหน่วยงานในบริษัท ให้เป็นไปตามกฎหมาย และนโยบายการคุ้มครองข้อมูล

ของบริษัทร่วมพิจารณาประเมินความเสี่ยงด้านข้อมูลกับคณะกรรมการคุ้มครองข้อมูลของบริษัทเป็นศูนย์กลางในการติดต่อประสานงานกับหน่วยงานภาครัฐในส่วนที่เกี่ยวกับข้อมูล

 

ลูกจ้าง/พนักงานของบริษัท มีบทบาท หน้าที่ และความรับผิดชอบดังต่อไปนี้

 

5.4 ปฏิบัติตนเองให้สอดคล้องกับนโยบายการคุ้มครองข้อมูลของบริษัท มาตรฐานการปฏิบัติงาน แนวทาง

ปฏิบัติ ขั้นตอนปฏิบัติ และเอกสารอื่นที่เกี่ยวข้องกับการคุ้มครองข้อมูล

5.5 รายงานเหตุการณ์ผิดปกติที่เกี่ยวข้องกับการคุ้มครองข้อมูล และการไม่ปฏิบัติตามกฎหมาย และนโยบาย

การคุ้มครองข้อมูลของบริษัทให้ผู้บังคับบัญชาทราบ

 

6. นโยบายการคุ้มครองข้อมูล ด้านการรักษาความปลอดภัยของข้อมูลส่วนบุคคล (General Data Security)

บริษัทจะจัดให้มีมาตรการในการรักษาความปลอดภัยของข้อมูลอย่างเหมาะสม และเพียงพอ รวมถึงจัดให้มีการป้องกันไม่ให้เกิดการรั่วไหลของข้อมูล และการละเมิดที่เกิดจากการนำข้อมูลไปใช้โดยไม่ได้รับอนุญาต

6.1 ต้องจัดให้มีมาตรการในการรักษาความปลอดภัยของข้อมูลอย่างเหมาะสม และเพียงพอ รวมถึงจัดให้มี

การป้องกันไม่ให้เกิดการรั่วไหลของข้อมูล และการละเมิดที่เกิดจากการนําข้อมูลไปใช้โดยไม่ได้รับอนุญาต

6.2 ต้องจัดให้มีการบริหารจัดการเหตุการณ์ผิดปกติต่าง ๆ ที่เกี่ยวข้องกับข้อมูล (Personal Data Incident 

Management) และแนวทางการตอบสนองต่อเหตุการณ์ผิดปกติ เพื่อให้สามารถระบุและจัดการกับเหตุการณ์ผิดปกติที่เกี่ยวข้องตามที่กฎหมายกําหนด 

6.3 ต้องจัดให้มีกระบวนการแจ้งเจ้าของข้อมูล รวมถึงพนักงานของรัฐ ผู้ควบคุมข้อมูล (กรณีที่บริษัทฯ 

ทําหน้าที่เป็นผู้ประมวลผล) และบุคคลอื่นที่เกี่ยวข้อง เพื่อให้สอดคล้องตามที่กฎหมายกําหนด 

6.4 มีการจัดการด้าน Data Security ที่เหมาะสมและทันสมัย สำหรับข้อมูลทั้งที่เป็นข้อมูลส่วนบุคคล ข้อมูล

ทั่วไป และข้อมูลแฝงข้อมูลส่วนบุคคล ในรูปแบบดิจิทัล

6.5 สำหรับข้อมูลส่วนบุคคลในรูปแบบของเอกสารทางบริษัทจะมีการเก็บบันทึกเป็น Log ในการนำข้อมูลใช้เพื่อทำงาน

 

7. นโยบายการคุ้มครองข้อมูล ด้านการรักษาความปลอดภัยของข้อมูลสุขภาพ (Health Data Security)

บริษัทจะจัดให้มีมาตรการในการรักษาความปลอดภัยของข้อมูลอย่างเหมาะสม และเพียงพอ รวมถึงจัดให้มีการป้องกันไม่ให้เกิดการรั่วไหลของข้อมูล และการละเมิดที่เกิดจากการนำข้อมูลไปใช้โดยไม่ได้รับอนุญาตและ เพื่อให้มั่นใจว่าข้อมูลสุขภาพของผู้ใช้งานได้รับการดูแลภายใต้มาตรฐานสากลสูงสุด โครงการ i-Balance มีการออกแบบระบบและกระบวนการทำงานโดยอ้างอิงหลักเกณฑ์จาก Health Insurance Portability and Accountability Act (HIPAA) ดังนี้

 

7.1 การรักษาความลับและความเป็นส่วนตัว (Privacy Rule) ยึดถือหลักการ Minimum Necessary Standard โดยจำกัดการเข้าถึง การใช้ และการเปิดเผยข้อมูลสุขภาพที่สามารถระบุตัวบุคคลได้ (Protected Health Information (PHI)) ให้เป็นไปตามวัตถุประสงค์เท่าที่จำเป็นต่อการให้บริการทางการแพทย์และการดูแลรักษาเท่านั้น

 

7.2 มาตรการรักษาความปลอดภัยข้อมูลอิเล็กทรอนิกส์ (Security Rule) วางมาตรการป้องกันข้อมูลสุขภาพในรูปแบบดิจิทัล (ePHI) อย่างเข้มงวดใน 3 มิติ

7.2.1 มาตรการทางเทคนิค (Technical Safeguards) มีการเข้ารหัสข้อมูลทั้งในระหว่างการรับส่ง 

(In Transit) และขณะจัดเก็บ (At Rest) พร้อมระบบ Audit Logs เพื่อบันทึกประวัติการเข้าถึงข้อมูลอย่างละเอียด

7.2.2 มาตรการทางบริหาร (Administrative Safeguards) มีการแต่งตั้งเจ้าหน้าที่ดูแลความ

ปลอดภัยของข้อมูล และประเมินความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศอย่างสม่ำเสมอ

7.2.3 มาตรการทางกายภาพ (Physical Safeguards) ควบคุมการเข้าถึงโครงสร้างพื้นฐานและ

อุปกรณ์คอมพิวเตอร์ที่จัดเก็บข้อมูลผู้ป่วยอย่างเคร่งครัด

 

7.3 การตอบสนองต่อเหตุข้อมูลรั่วไหล (Breach Notification Rule) ในกรณีที่มีเหตุอันควรสงสัยว่าเกิดการเข้าถึงข้อมูลโดยมิชอบ หรือเกิดเหตุข้อมูลรั่วไหลที่อาจส่งผลกระทบต่อสิทธิของผู้ใช้งาน บริษัทฯ มีมาตรการประเมินความเสี่ยงและแจ้งเหตุให้ผู้ที่เกี่ยวข้องทราบโดยทันทีตามข้อกำหนดของกฎหมาย เพื่อลดผลกระทบและเยียวยาความเสียหายอย่างมีประสิทธิภาพ

 

7.4 การเชื่อมโยงกับกฎหมายภายในประเทศบริษัทฯ ดำเนินการประมวลผลข้อมูลโดยบูรณาการมาตรฐาน HIPAA เข้ากับ พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และกฎหมายคุ้มครองข้อมูลส่วนบุคคลอื่น เพื่อให้ผู้ใช้งานมั่นใจได้ว่าข้อมูลส่วนบุคคล จะได้รับการคุ้มครองด้วยเทคโนโลยีและกระบวนการที่โปร่งใส ตรวจสอบได้ และปลอดภัยตามมาตรฐานระดับโลก

 

8. บริษัทจะจัดให้มีนโยบายการบริการจัดการเหตุการณ์ผิดปกติต่าง ๆ ที่เกี่ยวข้องกับข้อมูล และแนวทางการตอบสนองต่อเหตุการณ์ผิดปกติ เพื่อให้สามารถระบุและจัดการกับเหตุการณ์ผิดปกติที่เกี่ยวข้องตามที่กฎหมายกำหนด

8.1 บริษัทจะจัดให้มีกระบวนการแจ้งเจ้าของข้อมูล รวมถึงพนักงานของรัฐ ผู้ควบคุมข้อมูล และบุคคลอื่นที่

เกี่ยวข้อง ในฐานะผู้ประมวลผลข้อมูล เพื่อให้สอดคล้องตามที่กฎหมายกำหนด

 

9. นโยบายการคุ้มครองข้อมูล ด้านการกำกับให้มีการปฏิบัติตามมาตรการคุ้มครองข้อมูล 

9.1 บริษัทจะจัดให้มีกระบวนการกำกับดูแลในกรณีที่กฎหมายมีการเปลี่ยนแปลง หรือมีการประกาศใช้

กฎหมายอื่นที่เกี่ยวข้อง และปรับปรุงมาตรการการคุ้มครองข้อมูลให้มีความเป็นปัจจุบันและสอดคล้องกับกฎหมายอย่างสม่ำเสมอ

9.2 บริษัทจะจัดให้มีการทบทวนและปรับปรุงนโยบาย มาตรการฐานการปฏิบัติงาน แนวทางในการปฏิบัติ 

ขั้นตอน การปฏิบัติ และเอกสารอื่นที่เกี่ยวข้องกับการคุ้มครองข้อมูลเป็นประจำ เพื่อให้มีความทันสมัย สอดคล้องกับกฎหมาย และสถานการณ์ต่าง ๆ ที่เปลี่ยนแปลงไป

9.3 ต้องจัดให้มีโครงสร้างและกลไกที่เหมาะสมในการกํากับดูแลการคุ้มครองข้อมูลส่วนบุคคล และ ข้อมูลทั่วไปตาม   กฎหมาย ดังนี้

9.3.1 กําหนดให้มีโครงสร้างองค์กร รวมทั้งกําหนดบทบาท ภารกิจ ความรับผิดชอบของหน่วยงาน

และผู้ปฏิบัติงานที่เกี่ยวข้องให้ชัดเจน เพื่อสร้างมาตรการการกํากับดูแล การควบคุม ความ รับผิดชอบ การปฏิบัติงาน การบังคับใช้ และการติดตามมาตรการคุ้มครองข้อมูลให้สอดคล้องกับกฎหมาย และนโยบายการคุ้มครองข้อมูล 

9.3.2 แต่งตั้งผู้ควบคุมข้อมูล (Data Controller) เจ้าหน้าที่คุ้มครองข้อมูลของ (Data Protection Officer: DPO) 

​

9.4 ต้องจัดทํานโยบาย (Policy) มาตรฐานการปฏิบัติงาน (Standards) แนวปฏิบัติ (Guidelines) ขั้นตอน

ปฏิบัติ (Procedures) และเอกสารอื่นที่เกี่ยวข้องกับการคุ้มครองข้อมูลให้สอดคล้องกับกฎหมาย และนโยบายคุ้มครองข้อมูล

9.5 ต้องจัดให้มีกระบวนการบริหารการปฏิบัติตามนโยบาย เพื่อควบคุมดูแลให้มีการปฏิบัติตาม นโยบายการคุ้มครองข้อมูลอย่างต่อเนื่อง

9.6 ต้องจัดให้มีการฝึกอบรม พนักงาน/ลูกจ้าง อย่างสม่ําเสมอ เพื่อให้พนักงาน/ลูกจ้าง ตระหนักถึงความ

สําคัญของการคุ้มครองข้อมูล และทําให้มั่นใจได้ว่า พนักงาน/ลูกจ้าง มีความรู้ความเข้าใจในการคุ้มครองข้อมูล และสามารถปฏิบัติตามนโยบาย การคุ้มครองข้อมูลของบริษัท

9.7 ต้องจัดให้มีกระบวนการกํากับดูแลในกรณีที่กฎหมายมีการเปลี่ยนแปลง หรือมีการประกาศใช้กฎหมาย

อื่นที่เกี่ยวข้อง และปรับปรุงมาตรการการคุ้มครองข้อมูลให้มีความเป็นปัจจุบันและสอดคล้องกับกฎหมายอย่างสม่ําเสมอ 

9.8 ต้องจัดให้มีการทบทวนและปรับปรุงนโยบาย มาตรฐานการปฏิบัติงาน แนวทางในการปฏิบัติ ขั้นตอน การปฏิบัติ และเอกสารอื่นที่เกี่ยวข้องกับการคุ้มครองข้อมูลเป็นประจํา เพื่อให้มีความทันสมัย สอดคล้องกับกฎหมาย และสถานการณ์ต่าง ๆ ที่เปลี่ยนแปลงไป 

 

10. นโยบายที่เกี่ยวข้อง

บริษัทกำหนดการให้มีระเบียบปฏิบัติด้านข้อมูลและการรักษาข้อมูล โดยมีรายละเอียดดังต่อไปนี้

10.1  นโยบายการเข้าถึงตามสิทธิ์ (Access Control Policy)

10.1.1 Least Privilege ให้สิทธิ์พนักงานเข้าถึงข้อมูล "เท่าที่จำเป็น" ต่อหน้าที่เท่านั้น

10.1.2 RBAC (Role-Based Access Control) แบ่งสิทธิ์ตามตำแหน่งงาน (เช่น Admin, Doctor, Developer)

10.1.3 Access Review ต้องมีการทบทวนสิทธิ์ทุกไตรมาส หากพนักงานลาออกหรือเปลี่ยนหน้าที่ ต้องเพิกถอนสิทธิ์ทันที

10.2 นโยบายการจัดการวงจรชีวิตข้อมูล (Data Lifecycle Policy)

10.2.1 Retention Period กำหนดระยะเวลาการเก็บข้อมูลที่ชัดเจน (เช่น ข้อมูลสุขภาพเก็บ 5-10 ปีตามกฎหมายการแพทย์)

10.2.2 Secure Disposal เมื่อข้อมูลหมดความจำเป็น ต้องทำการลบถาวร (Hard Delete) หรือทำลายจนไม่สามารถกู้คืนได้

10.2.3 Soft Delete มีระยะเวลาพักข้อมูล 90 วันก่อนลบจริง เพื่อป้องกันความผิดพลาด

10.3 นโยบายการสำรองข้อมูลและความต่อเนื่อง (Backup & BCP)

10.3.1 Daily Backup สำรองข้อมูลทุกวันและเก็บไว้ในพื้นที่ที่ปลอดภัย (ข้ามโซน AWS)

10.3.2 Restore Testing ต้องทดสอบกู้คืนข้อมูลจริงอย่างน้อย 1 ครั้งต่อไตรมาส เพื่อให้มั่นใจว่าข้อมูลสำรองใช้งานได้จริง

10.3.3 Availability ระบบต้องพร้อมใช้งานตลอดเวลา โดยมีแผนรองรับกรณีเซิร์ฟเวอร์หลักขัดข้อง

10.4 นโยบายการจัดการการเปลี่ยนแปลง (Change Management)

10.4.1 No Manual Change ห้ามแก้ไขระบบหรือฐานข้อมูลโดยพลการในเครื่อง Production

10.4.2 Request & Approve ทุกการแก้ไขต้องมีการทำ Change Request (CR) มีการประเมินผลกระทบ และได้รับการอนุมัติจากผู้มีอำนาจ

10.4.3 Rollback Plan ทุกครั้งที่อัปเดตระบบ ต้องมีแผนถอยหลังกลับ (Rollback) กรณีที่เกิดข้อผิดพลาด

10.5  นโยบายความตระหนักรู้และการตอบสนอง (Awareness & Response)

10.5.1 Incident Reporting พนักงานทุกคนมีหน้าที่แจ้งเหตุทันทีเมื่อพบสิ่งผิดปกติหรือสงสัยว่าข้อมูลรั่วไหล

10.5.2 Security Training พนักงานต้องเข้าอบรมเรื่องความปลอดภัยของข้อมูลและกฎหมาย PDPA เป็นประจำ

10.5.3. Audit Trail ทุกกิจกรรมสำคัญต้องมีการบันทึก Log ไว้เพื่อตรวจสอบย้อนหลังได้เสมอ

 

11. โทษของการไม่ปฏิบัติตามนโยบายการคุ้มครองข้อมูลของบริษัท

เมื่อเจ้าของข้อมูลส่วนบุคคลได้ทำการร้องเรียนตามสิทธิของเจ้าของข้อมูลตามกฎหมาย บริษัทได้รับทราบการร้องเรียนแล้ว แต่ไม่ได้มีการดำเนินการหรือไม่ปฏิบัติหน้าที่ที่ต้องพิจารณาเพื่อให้เป็นไปตามสิทธิเจ้าของข้อมูล หรือหากบริษัทไม่ปฏิบัติตามพ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล จนทำให้ข้อมูลส่วนบุคคลนั้นถูกละเมิด หรือข้อมูล
 

รั่วไหลไปยังบุคคลหรือองค์กรภายนอก จนส่งผล กระทบให้เจ้าของข้อมูลได้รับความเสียหาย ทางบริษัทจะต้องได้รับโทษตามกฎหมาย ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลได้กำหนดโทษไว้ 3 ส่วนคือ โทษทางแพ่ง โทษทางอาญา โทษทางปกครอง

 

นโยบายฉบับนี้เป็นนโยบายฉบับชั่วคราว ซึ่งฉบับที่สมบูรณ์จะถูกประกาศใช้หลังจาก 90 วัน และบริษัท ฯ ยึดมั่นในการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และมาตรฐานสากลที่เกี่ยวข้องอย่างเคร่งครัด เพื่อให้การประมวลผลข้อมูลของท่านเป็นไปอย่างโปร่งใส จึงประกาศมาเพื่อทราบและถือปฏิบัติโดยทั่วกัน