1. ขอบเขตและผู้ที่อยู่ภายใต้นโยบาย
บริษัท อินโวรา จำกัด ("บริษัท", "Invora") ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ("PDPA") นโยบายฉบับนี้ใช้กับบุคคลต่อไปนี้ (รวมเรียกว่า "เจ้าของข้อมูล" ตามบริบท):
- -ลูกค้าองค์กร/ผู้ขาย/ผู้ประกอบการ (Supplier/SME/Vendor)
- -ผู้ซื้อ (Anchor/Buyer) และผู้ใช้งานที่เกี่ยวข้องในกระบวนการ SCF
- -กรรมการ/ผู้มีอำนาจลงนาม/ผู้รับมอบอำนาจของนิติบุคคล
- -ผู้ถือผลประโยชน์ที่แท้จริง (Ultimate Beneficial Owner: UBO)
- -ผู้เยี่ยมชมเว็บไซต์หรือผู้ใช้งานช่องทางดิจิทัลของ Invora
2. ข้อมูลส่วนบุคคลที่เก็บรวบรวม
Invora อาจเก็บรวบรวมข้อมูลจากเจ้าของข้อมูลโดยตรง จากบุคคลที่ได้รับมอบอำนาจ จากบุคคลที่สาม จากแหล่งข้อมูลสาธารณะ และจากคุกกี้/เทคโนโลยีติดตาม:
- -ข้อมูลนิติบุคคล: ชื่อบริษัท (ไทย/อังกฤษ), เลขทะเบียนนิติบุคคล, วัน/ประเทศจดทะเบียน, ที่อยู่, ข้อมูลติดต่อ, เว็บไซต์/โซเชียล
- -ข้อมูลผู้เกี่ยวข้องกับนิติบุคคล: กรรมการ/ผู้มีอำนาจลงนาม/ตัวแทน — ชื่อ-นามสกุล, สัญชาติ, ตำแหน่ง, รายละเอียดการติดต่อ, เอกสารยืนยันตัวตน, ลายมือชื่อ
- -ข้อมูล UBO: ข้อมูลตัวตนและการถือหุ้น/ควบคุม, รายชื่อผู้ถือหุ้น, โครงสร้างผู้ถือหุ้น
- -ข้อมูลธุรกรรม SCF: ข้อมูลใบแจ้งหนี้ (เลขที่/มูลค่า/วันครบกำหนด/ผู้ซื้อ), ข้อมูลการจัดซื้อ/ส่งมอบ/ยืนยัน, ข้อมูลการจ่ายเงิน/รับชำระ, ประวัติธุรกรรม
- -ข้อมูลเทคนิค: Log files, IP address, ข้อมูลอุปกรณ์/เบราว์เซอร์, คุกกี้และเทคโนโลยีที่คล้ายกัน
3. วัตถุประสงค์ในการประมวลผล
Invora อาจเก็บ ใช้ และประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ดังต่อไปนี้:
- -เพื่อให้บริการ SCF: ลงทะเบียน/ยืนยันตัวตน (E-KYB), พิจารณา/อนุมัติคำขอ SCF, ตรวจสอบใบแจ้งหนี้, ดำเนินธุรกรรม, จ่ายเงินและรับชำระ
- -เพื่อการประเมินความเสี่ยง/เครดิต: ให้คะแนนเครดิต, ประเมินความเสี่ยง, ป้องกันการทุจริต, จัดการข้อพิพาท
- -เพื่อการปฏิบัติตามกฎหมาย: AML/KYC/CDD/E-KYC, การตรวจสอบ PEP และ Sanction, การปฏิบัติตามกฎหมายและข้อกำกับดูแล
- -เพื่อการดำเนินงานภายใน: การจัดทำ audit trails, บันทึก, พัฒนาแพลตฟอร์ม, บริการลูกค้า
- -เพื่อการตลาด (เมื่อได้รับความยินยอม): สื่อสารข่าวสาร บริการใหม่ แคมเปญตามที่กฎหมายรองรับ
4. การเปิดเผยข้อมูลแก่บุคคลภายนอก
Invora อาจเปิดเผยข้อมูลตามความจำเป็นและเหมาะสมแก่:
- -ผู้ให้ทุน/นักลงทุน (เช่น นักลงทุนรายบุคคล, Family Office)
- -บริษัทประกันความเสี่ยง/ประกันเครดิต
- -ธนาคารและผู้ให้บริการด้านการชำระเงิน
- -ผู้ซื้อ (Anchor) หรือคู่ค้าที่เกี่ยวข้องกับธุรกรรม
- -ผู้ให้บริการภายนอกด้านเทคโนโลยี/คลาวด์/ความปลอดภัย/ระบบสื่อสาร
- -ที่ปรึกษากฎหมาย ผู้สอบบัญชี หรือที่ปรึกษาด้านกำกับดูแล
- -หน่วยงานกำกับดูแลหรือหน่วยงานของรัฐ ตามที่กฎหมายกำหนด
Invora จะไม่จำหน่ายข้อมูลส่วนบุคคลให้บุคคลที่สามเพื่อผลประโยชน์เชิงพาณิชย์โดยไม่ได้รับฐานทางกฎหมายที่เหมาะสม
5. การโอนข้อมูลไปต่างประเทศ
หากมีการโอนข้อมูลไปยังต่างประเทศ (เช่น ผู้ให้บริการคลาวด์/ผู้ให้ทุน/ผู้ให้บริการประมวลผลข้อมูล) Invora จะดำเนินการให้เป็นไปตาม PDPA และใช้มาตรการคุ้มครองข้อมูลที่เหมาะสม
6. ระยะเวลาการเก็บรักษาข้อมูล
Invora จะเก็บรักษาข้อมูลตลอดระยะเวลาความสัมพันธ์ทางธุรกิจ และต่อเนื่องตามระยะเวลาที่กฎหมายกำหนด หรือจำเป็นต่อการตรวจสอบ/ข้อพิพาท/ข้อกำกับดูแล เมื่อพ้นความจำเป็น บริษัทจะลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้
7. สิทธิของเจ้าของข้อมูล
เจ้าของข้อมูลมีสิทธิตาม PDPA ได้แก่:
- -ขอเข้าถึง/ขอสำเนาข้อมูล
- -ขอแก้ไขข้อมูลให้ถูกต้อง
- -ถอนความยินยอม (ทั้งนี้อาจกระทบต่อการให้บริการ SCF)
- -คัดค้านการประมวลผล
- -ขอให้ลบ/ทำลาย/ทำให้ไม่สามารถระบุตัวตน
- -ขอระงับการใช้ข้อมูล
- -ขอให้โอนย้ายข้อมูล (data portability) ตามที่กฎหมายกำหนด
- -ร้องเรียนต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
Invora จะพิจารณาและแจ้งผลภายในระยะเวลาตามกฎหมาย (โดยทั่วไปภายใน 30 วัน)
8. คุกกี้และเทคโนโลยีติดตาม
เว็บไซต์/แพลตฟอร์มของ Invora อาจใช้คุกกี้เพื่อวิเคราะห์การใช้งานและปรับปรุงประสบการณ์ผู้ใช้ และเสริมความปลอดภัย ผู้ใช้สามารถตั้งค่าเบราว์เซอร์เพื่อปฏิเสธ/ลบคุกกี้ได้ ทั้งนี้อาจกระทบต่อการทำงานบางส่วนของเว็บไซต์
9. ความรับผิดชอบเกี่ยวกับข้อมูลของบุคคลที่เกี่ยวข้อง
หากลูกค้า/นิติบุคคลส่งข้อมูลส่วนบุคคลของกรรมการ ผู้มีอำนาจลงนาม UBO หรือบุคคลอื่นใดให้ Invora ลูกค้ารับรองว่าได้แจ้งนโยบายนี้แก่บุคคลดังกล่าว และได้รับความยินยอมหรือมีฐานทางกฎหมายที่เพียงพอ และจะจัดเก็บหลักฐานไว้เพื่อแสดงเมื่อบริษัทร้องขอ
10. มาตรการรักษาความมั่นคงปลอดภัย
Invora ใช้มาตรการทางเทคนิคและองค์กร เช่น การเข้ารหัส การจำกัดสิทธิ์เข้าถึง การบันทึกการเข้าถึง (audit logs) และมาตรการความปลอดภัยไซเบอร์ เพื่อป้องกันการเข้าถึง/ใช้/เปิดเผยโดยไม่ได้รับอนุญาต