1. ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)

โรงเรียนกวดวิชา The Wan House ทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามกฎหมาย
• ช่องทางติดต่อหลัก: LINE Official Account: @nchshopp
• อีเมลติดต่อ: [email protected]
• เว็บไซต์: https://thewanhouse.com

2. ข้อมูลส่วนบุคคลที่เราเก็บรวบรวม (Personal Data Collected)

เราเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นตามวัตถุประสงค์การให้บริการ ได้แก่:

• ข้อมูลระบุตัวตน: ชื่อ-นามสกุลจริง, ชื่อเล่น, ชื่อบัญชีผู้ใช้ (Username)
• ข้อมูลติดต่อ: ที่อยู่อีเมล, เบอร์โทรศัพท์ของผู้เรียนหรือผู้ปกครอง
• ข้อมูลการศึกษา: ชื่อโรงเรียน/สถาบันการศึกษา, ระดับชั้น, คอร์สเรียนที่สมัคร
• ข้อมูลยืนยันตัวตน: เลขประจำตัวประชาชน 13 หลัก (ใช้เพื่อการยืนยันสิทธิ์นักเรียน ป้องกันการแอบอ้างสิทธิ์ และป้องกันการสมัครซ้ำ)
• ข้อมูลการใช้งานระบบเรียนออนไลน์: ประวัติการเข้าชมวิดีโอ, ความคืบหน้าในการเรียน (Progress), เวลาที่ใช้ในการเรียน, โควตาวิดีโอที่ใช้ไป
• ข้อมูลทางเทคนิคและความปลอดภัย: IP Address, Session การเข้าสู่ระบบ, ประวัติการเข้าใช้งาน (Access Logs) เพื่อการรักษาความปลอดภัยของระบบ

3. วัตถุประสงค์ในการเก็บรวบรวมและใช้ข้อมูล (Purposes of Processing)

• เพื่อสร้าง ยืนยันสิทธิ์ และจัดการบัญชีผู้ใช้งานในระบบคอร์สเรียนออนไลน์
• เพื่อส่งข้อมูลบัตรนักเรียน บัญชีผู้ใช้ และรหัสผ่านชั่วคราวทางอีเมล
• เพื่อควบคุมสิทธิ์การเข้าชมวิดีโอและคำนวณโควตาการเรียนตามแพ็กเกจคอร์ส
• เพื่อติดตามความก้าวหน้าในการเรียนและรายงานผลการเรียนแก่ผู้เรียน
• เพื่อรักษาความมั่นคงปลอดภัยของระบบ ป้องกันการสุ่มเดารหัสผ่าน (Brute-Force Attack) และป้องกันการทุจริต
• เพื่อการติดต่อประสานงาน แจ้งข่าวสารสำคัญเกี่ยวกับคอร์สเรียน หรือการสนับสนุนทางเทคนิค

4. ฐานทางกฎหมายในการประมวลผลข้อมูล (Lawful Bases)

เราประมวลผลข้อมูลส่วนบุคคลโดยอาศัยฐานทางกฎหมายตามมาตรา 24 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ดังนี้:

• ฐานสัญญา (Contract Performance - มาตรา 24(3)): จำเป็นสำหรับการปฏิบัติตามสัญญาการให้บริการคอร์สเรียนออนไลน์แก่นักเรียน
• ฐานความยินยอม (Consent - มาตรา 19): ในกรณีที่กฎหมายกำหนดให้ต้องได้รับความยินยอมอย่างชัดแจ้งก่อนการเก็บรวบรวม
• ฐานประโยชน์อันชอบธรรม (Legitimate Interests - มาตรา 24(5)): เพื่อการรักษาความมั่นคงปลอดภัยของระบบ การป้องกันการโจรกรรมข้อมูล และการพัฒนาคุณภาพระบบ
• ฐานหน้าที่ตามกฎหมาย (Legal Obligation - มาตรา 24(6)): เพื่อปฏิบัติตามกฎหมายที่เกี่ยวข้อง เช่น กฎหมายภาษีอากร หรือคำสั่งตามกฎหมายของเจ้าหน้าที่รัฐ

5. ข้อมูลส่วนบุคคลของผู้เยาว์ (Minors and Parental Consent)

เนื่องจากบริการของเราเป็นการเรียนกวดวิชาสำหรับนักเรียนและเยาวชน:

• สำหรับผู้เยาว์ที่มีอายุต่ำกว่า 10 ปี การให้ความยินยอมต้องได้รับจาก ผู้ใช้อำนาจปกครอง (บิดา มารดา หรือผู้ปกครองตามกฎหมาย)
• สำหรับผู้เยาว์ที่มีอายุตั้งแต่ 10 ปีขึ้นไปแต่ยังไม่บรรลุนิติภาวะ (ต่ำกว่า 20 ปี) การสมัครเรียนและการให้ความยินยอมจะต้องได้รับความยินยอมหรือการรับทราบจากผู้ปกครองตามมาตรา 20 แห่ง PDPA

6. ผลกระทบหากไม่ให้ข้อมูลส่วนบุคคล (Consequences of Refusal)

การให้ข้อมูลส่วนบุคคลในส่วนที่จำเป็น (เช่น ชื่อ-นามสกุล, เลขบัตรประชาชน, อีเมล, เบอร์โทรศัพท์) เป็นสิ่งจำเป็นต่อการเปิดบัญชีผู้ใช้และการเข้าถึงคอร์สเรียน หากท่านไม่ให้ข้อมูลดังกล่าว ทางโรงเรียนจะไม่สามารถสร้างบัญชีผู้เรียน ยืนยันสิทธิ์ หรือให้บริการระบบเรียนออนไลน์แก่ท่านได้

7. การเปิดเผยและการโอนข้อมูลส่วนบุคคล (Data Sharing & Cross-Border Transfer)

เราจะไม่ขาย ให้เช่า หรือเผยแพร่ข้อมูลส่วนบุคคลของท่านแก่บุคคลภายนอก เว้นแต่เป็นการเปิดเผยแก่ผู้ประมวลผลข้อมูลที่จำเป็นต่อการให้บริการภายใต้ข้อตกลงคุ้มครองข้อมูลส่วนบุคคล (Data Processing Agreement):

• ผู้ให้บริการระบบอีเมล (Resend Inc.): ใช้สำหรับจัดส่งบัตรนักเรียน รหัสผ่าน และการแจ้งเตือน
• ผู้ให้บริการความปลอดภัยและ CDN (Cloudflare Inc.): ใช้สำหรับการป้องกัน Bot และ Captcha (Cloudflare Turnstile) รวมถึงการเข้ารหัสความปลอดภัย
• หน่วยงานภาครัฐ: ในกรณีที่มีคำสั่งศาล หรือมีหน้าที่ตามกฎหมายที่ต้องเปิดเผย

* การส่งหรือโอนข้อมูลไปยังผู้ให้บริการ Cloud ในต่างประเทศ เป็นไปตามมาตรา 28 และ 29 แห่ง PDPA โดยผู้ให้บริการทุกรายมีมาตรฐานความปลอดภัยสารสนเทศระดับสากล (เช่น ISO/IEC 27001, SOC 2, GDPR Compliant)

8. ระยะเวลาการเก็บรักษาข้อมูล (Data Retention Period)

• ข้อมูลการเรียนและบัญชีผู้ใช้จะถูกเก็บรักษาไว้ตลอดระยะเวลาที่ท่านมีสถานะเป็นผู้เรียนในระบบ
• เมื่อสิ้นสุดระยะเวลาของคอร์สเรียนหรือสิ้นสุดความสัมพันธ์ ข้อมูลส่วนบุคคลจะถูกเก็บรักษาต่ออีกไม่เกิน 90 วัน เพื่ออำนวยความสะดวกกรณีต่ออายุคอร์ส หลังจากนั้นจะถูกลบหรือทำให้เป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ (Anonymization)
• ข้อมูลหลักฐานการทำธุรกรรมทางการเงินจะถูกเก็บรักษาไว้ตามระยะเวลาที่กฎหมายภาษีอากรและบัญชีกำหนด (5-10 ปี)

9. สิทธิของเจ้าของข้อมูลส่วนบุคคลตาม PDPA (Data Subject Rights)

ท่านมีสิทธิตามกฎหมาย PDPA (มาตรา 30-36) ดังต่อไปนี้:

• 1. สิทธิในการเข้าถึงและขอรับสำเนา (Right of Access - มาตรา 30): ขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของตนเองที่อยู่ในความรับผิดชอบของเรา
• 2. สิทธิในการขอรับหรือโอนย้ายข้อมูล (Right to Data Portability - มาตรา 31): ขอรับข้อมูลในรูปแบบที่สามารถอ่านหรือใช้งานโดยทั่วไปด้วยเครื่องมือหรืออุปกรณ์อัตโนมัติ (เช่น JSON หรือ CSV)
• 3. สิทธิในการคัดค้านการประมวลผล (Right to Object - มาตรา 32): คัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีที่กฎหมายกำหนด
• 4. สิทธิในการขอให้ลบหรือทำลาย (Right to Erasure - มาตรา 33): ขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้
• 5. สิทธิในการขอให้ระงับการใช้ข้อมูล (Right to Restriction - มาตรา 34): ขอให้ระงับการใช้ข้อมูลส่วนบุคคลชั่วคราว
• 6. สิทธิในการแก้ไขข้อมูลให้ถูกต้อง (Right to Rectification - มาตรา 35): ขอให้แก้ไขข้อมูลที่ไม่ถูกต้อง ไม่สมบูรณ์ ให้เป็นปัจจุบันและถูกต้อง
• 7. สิทธิในการถอนความยินยอม (Right to Withdraw Consent - มาตรา 19 วรรคห้า): ถอนความยินยอมที่เคยให้ไว้ได้ตลอดเวลา โดยการถอนความยินยอมจะไม่กระทบต่อการประมวลผลที่ได้กระทำไปแล้วโดยชอบ
• 8. สิทธิในการร้องเรียน (Right to Lodge a Complaint - มาตรา 73): ยื่นข้อร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากพบว่ามีการฝ่าฝืนกฎหมาย

10. มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล (Security Measures)

เพื่อให้มั่นใจว่าข้อมูลส่วนบุคคลของท่านได้รับการปกป้องอย่างปลอดภัยตามมาตรา 37(1) เราได้นำมาตรการทางเทคนิคและมาตรการเชิงบริหารจัดการมาบังคับใช้ ได้แก่:

• การเข้ารหัสช่องทางการสื่อสารทั้งหมดด้วยโปรโตคอล HTTPS / TLS 1.3
• การเข้ารหัสรหัสผ่านด้วยอัลกอริทึมมาตรฐานความปลอดภัยสูง (Secure One-Way Hash)
• ระบบป้องกันการสุ่มเดารหัสผ่าน (Account Lockout & Rate Limiting) เมื่อกรอกรหัสผ่านผิดเกินกำหนด
• ระบบคัดกรองความปลอดภัยและป้องกัน Bot อัตโนมัติด้วย Cloudflare Turnstile
• การจำกัดสิทธิ์การเข้าถึงข้อมูลเฉพาะบุคลากรที่ได้รับมอบหมาย (Role-Based Access Control)

11. ช่องทางการติดต่อและการใช้สิทธิ (Contact Us & Exercising Rights)

หากท่านมีข้อสงสัยเกี่ยวกับนโยบายความเป็นส่วนตัวนี้ หรือต้องการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล สามารถติดต่อได้ที่: