ภาคผนวก

ประเทศไทย

ข้อกำหนดต่อไปนี้ของเอกสารภาคผนวกฉบับนี้ ("ภาคผนวก") จะมีผลบังคับใช้กับนโยบายที่เกี่ยวกับประเทศไทย

วัตถุประสงค์ของนโยบายฉบับนี้คือเพื่อแจ้งให้คุณทราบถึงวิธีที่เราจัดการข้อมูลส่วนบุคคลให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ของประเทศไทย ("กฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทย" หรือ "Thai PDPA") รวมถึงกฎหมายลำดับรองและระเบียบที่ออกโดยอาศัยอำนาจตามกฎหมายดังกล่าว เอกสารแนบท้ายนี้จะถือเป็นส่วนหนึ่งอันเป็นสาระสำคัญของนโยบาย และในกรณีที่มีข้อขัดแย้งใดๆ ระหว่างบทบัญญัติของนโยบายและเอกสารแนบท้ายนี้ ให้ยึดถือบทบัญญัติของเอกสารแนบท้ายนี้เป็นสำคัญ

1. ข้อมูลส่วนบุคคลของคุณ

1.1 พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลของไทย (Thai PDPA) ให้คำจำกัดความของข้อมูลส่วนบุคคลว่า หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอลาด แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ

1.2 ข้อมูลบางประเภทถือเป็น "ข้อมูลที่มีความอ่อนไหว" ภายใต้กฎหมาย Thai PDPA ซึ่งรวมถึงข้อมูลส่วนบุคคลเกี่ยวกับเชื้อชาติ เผ่าพันธุ์ ความคิดเห็นทางการเมืองความเชื่อทางลัทธิ ศาสนาหรือปรัชญา พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลสหภาพแรงงาน ข้อมูลพันธุกรรม ข้อมูลชีวมิติ หรือข้อมูลใดๆ ซึ่งกระทบต่อเจ้าของข้อมูลในทำนองเดียวกัน

2. การเก็บรวบรวมข้อมูลส่วนบุคคล

2.3 หากคุณให้ข้อมูลส่วนบุคคลที่เกี่ยวข้องกับบุคคลภายนอก (เช่น คู่สมรส บุตร บิดามารดา พนักงาน หรือตัวแทนที่ได้รับมอบอำนาจ) แก่เราเพื่อวัตถุประสงค์ใดก็ตาม คุณรับรองและรับประกันว่าคุณได้รับความยินยอมที่จำเป็นจากบุคคลภายนอกนั้นเพื่อให้กลุ่มบริษัทคอร์ทิน่าเก็บรวบรวม ใช้ และ หรือเปิดเผยข้อมูลส่วนบุคคลดังกล่าวเพื่อวัตถุประสงค์เฉพาะเจาะจงนั้น และต้องมั่นใจว่าบุคคลภายนอกดังกล่าวได้รับทราบถึงนโยบายนี้แล้ว

4. การโอนข้อมูลส่วนบุคคลข้ามพรมแดน

4.1 เนื่องจากกลุ่มบริษัทคอร์ติน่าเป็นธุรกิจระหว่างประเทศ คุณจึงรับทราบและตกลงว่าข้อมูลบางอย่าง (รวมถึงข้อมูลส่วนบุคคล) อาจถูกโอนไปยังภูมิภาค/ประเทศนอกประเทศไทยในทางธุรกิจปกติของเรา รวมถึงไปยังคู่สัญญาที่ตั้งอยู่ใน:

• 4.1.1 ประเทศมาเลเซีย

• 4.1.2 ประเทศสิงคโปร์

• 4.1.3 ไต้หวัน

• 4.1.4 เขตบริหารพิเศษฮ่องกงแห่งสาธารณรัฐประชาชนจีน

• 4.1.5 เขตบริหารพิเศษมาเก๊าแห่งสาธารณรัฐประชาชนจีน

4.2 เมื่อกลุ่มบริษัทคอร์ติน่าเปิดเผยข้อมูลส่วนบุคคลนอกประเทศไทย เราจะปฏิบัติตามนโยบายนี้และข้อกำหนดของกฎหมาย Thai PDPA ที่เกี่ยวกับการโอนข้อมูลส่วนบุคคลนอกประเทศไทย รวมถึงกฎหมายลำดับรองใดๆ ที่ออกโดยคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ("สำนักงาน คพป." หรือ Thai PDPC) เราจะไม่โอนข้อมูลส่วนบุคคลนอกประเทศไทย เว้นแต่เป็นการปฏิบัติตามกฎหมาย เพื่อวัตถุประสงค์อื่นที่กฎหมายอนุญาต หรือในกรณีที่ได้รับความยินยอมจากคุณ หากเราดำเนินการดังกล่าว เราจะดูแลให้มั่นใจว่าประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลดังกล่าวมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ มิฉะนั้น เราจะแจ้งให้คุณทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศนั้น เราได้ใช้ขั้นตอนที่สมควรเพื่อให้แน่ใจว่าข้อมูลส่วนบุคคลของคุณที่ถูกโอนย้ายจะไม่ถูกนำไปใช้หรือเปิดเผยโดยผู้รับเพื่อวัตถุประสงค์อื่นนอกเหนือจากที่ได้รับอนุญาตภายใต้กฎหมาย Thai PDPA นอกจากนี้ ในกรณีที่จำเป็นต้องทำเช่นนั้น (i) ในฐานะกลุ่มบริษัท เราอาจมีกฎเกณฑ์ภาคบังคับสำหรับองค์กร (Binding Corporate Rules) เกี่ยวกับการส่งหรือโอนข้อมูลส่วนบุคคลภายในกลุ่มบริษัทเดียวกันซึ่งได้รับการตรวจสอบและรับรองโดยสำนักงาน คพป., (ii) กลุ่มบริษัทคอร์ติน่าจะทำข้อตกลงการแบ่งปันข้อมูลที่มีผลผูกพันทางกฎหมายกับผู้รับ หรือ (iii) เราอาจจัดให้มีมาตรการคุ้มครองอื่นๆ ที่สามารถใช้ได้ภายใต้กฎหมาย ในการนี้ คุณยืนยันว่าการที่คุณยังคงมีความสัมพันธ์หรือทำธุรกรรมกับกลุ่มบริษัทคอร์ติน่าต่อไป ถือว่าคุณรับทราบถึงการเปิดเผยข้อมูลส่วนบุคคลของคุณโดยกลุ่มบริษัทคอร์ติน่าแก่ผู้รับดังกล่าวข้างต้นแล้ว

5. การเปิดเผยโดยไม่ต้องได้รับความยินยอม (ความยินยอมโดยปริยาย)

5.2 ภายใต้สถานการณ์บางประการ เว้นแต่กฎหมายจะกำหนดให้ต้องได้รับความยินยอมโดยชัดแจ้ง เราอาจถือว่าได้รับความยินยอมโดยปริยายจากคุณเมื่อคุณสมัครใจให้ข้อมูลส่วนบุคคลของคุณแก่เราเพื่อวัตถุประสงค์ที่ระบุไว้ ก่อนที่จะให้ข้อมูลส่วนบุคคลของคุณแก่เรา คุณต้องรับทราบและตกลงว่าคุณได้อ่านและเข้าใจนโยบายนี้อย่างครบถ้วนแล้ว ข้อยกเว้นที่อาจมีการเก็บรวบรวมข้อมูลส่วนบุคคลโดยไม่ต้องได้รับความยินยอมนั้น เป็นไปตามมาตรา 24 แห่งกฎหมาย Thai PDPA

8. การถอนความยินยอม การเข้าถึง การแก้ไข และสิทธิของคุณเกี่ยวกับข้อมูลส่วนบุคคล

8.1.4 คุณอาจขอเข้าถึง รับสำเนา การเปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่เก็บรวบรวมโดยไม่มีความยินยอมจากคุณ หรือขอแก้ไขข้อมูลส่วนบุคคลของคุณโดยส่งคำขอเป็นลายลักษณ์อักษรหรือทางอีเมลไปยังเจ้าหน้าที่คุ้มครองข้อมูลของเรา เพื่อตอบสนองต่อคำขอของคุณ เราอาจขอให้คุณแสดงหลักฐานยืนยันตัวตนของคุณ โดยเราตั้งเป้าที่จะให้เข้าถึงข้อมูลส่วนบุคคลของคุณภายในสามสิบ (30) วันทำการ หากไม่สามารถดำเนินการให้แล้วเสร็จภายในกรอบเวลานี้ เราจะแจ้งให้คุณทราบภายใน 30 วันหลังจากได้รับคำขอ

8.1.7 คุณอาจคัดค้านการเก็บรวบรวม การใช้ หรือการเปิดเผยข้อมูลส่วนบุคคลที่เกี่ยวกับตัวคุณได้ตลอดเวลา ในกรณีดังต่อไปนี้

1. กรณีที่เป็นการเก็บรวบรวมข้อมูลส่วนบุคคลเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะของเรา หรือเพื่อประโยชน์อันชอบด้วยกฎหมายของเรา

2. กรณีที่เป็นการเก็บรวบรวม การใช้ หรือการเปิดเผยข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง

นอกจากนี้ คุณอาจขอให้ระงับการใช้ข้อมูลส่วนบุคคลในกรณีที่กฎหมาย Thai PDPA กำหนด หรือขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวเจ้าหน้าที่ได้ (Anonymization) เมื่อมีเหตุอันสมควรตามกฎหมาย Thai PDPA

เราจะตอบกลับคำขอของคุณภายในสามสิบ (30) วันทำการ หากไม่สามารถดำเนินการให้แล้วเสร็จภายในกรอบเวลานี้ เราจะแจ้งให้คุณทราบภายใน 30 วันหลังจากได้รับคำขอ

เราอาจปฏิเสธคำขอของคุณหากมีเหตุอันชอบด้วยกฎหมายที่สำคัญยิ่งกว่า หรือการประมวลผลข้อมูลส่วนบุคคลนั้นทำขึ้นเพื่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย

14. ข้อร้องเรียน

14.4 หากคุณต้องการส่งข้อร้องเรียน หรือหากคุณรู้สึกว่าการตอบกลับข้อกังวลของคุณจากเรายังไม่น่าพึงพอใจ คุณสามารถติดต่อและ หรือยื่นเรื่องร้องเรียนต่อหน่วยงานที่มีอำนาจกำกับดูแลได้