นโยบายความเป็นส่วนตัวและข้อกำหนดการใช้งาน

1. คำนิยาม

• ข้อมูลส่วนบุคคล หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้ระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม
• เจ้าของข้อมูลส่วนบุคคล หมายถึง ผู้ใช้งานเว็บไซต์ ผู้ส่งแบบฟอร์มติดต่อ หรือผู้ใช้งานระบบภายใน (Editor / Admin)
• ผู้ควบคุมข้อมูลส่วนบุคคล หมายถึง โรงพยาบาลกลาง สำนักการแพทย์ กรุงเทพมหานคร
• คุกกี้ (Cookies) หมายถึง ไฟล์ข้อมูลขนาดเล็กที่จัดเก็บบนอุปกรณ์ของท่านเมื่อเข้าใช้งานเว็บไซต์

2. ข้อมูลส่วนบุคคลที่เราเก็บรวบรวม

เราเก็บรวบรวมเฉพาะข้อมูลเท่าที่จำเป็นต่อการให้บริการเว็บไซต์ ดังนี้

2.1 ข้อมูลจากแบบฟอร์มติดต่อสอบถาม (Contact Form)

เมื่อท่านส่งข้อความผ่านหน้าติดต่อ เราจะจัดเก็บ

• ชื่อ - นามสกุล
• อีเมลสำหรับติดต่อกลับ
• ข้อความหรือเรื่องที่สอบถาม

ข้อมูลนี้สามารถเข้าถึงได้เฉพาะผู้ดูแลระบบที่ได้รับสิทธิ์เท่านั้น

2.2 ข้อมูลบัญชีผู้ใช้งานระบบภายใน (สำหรับ Editor / Admin เท่านั้น)

• ชื่อผู้ใช้งาน (Username) และชื่อ-นามสกุล
• รหัสผ่าน (จัดเก็บในรูปแบบที่ผ่านการเข้ารหัสแฮชด้วย Bcrypt ไม่สามารถอ่านค่าเดิมได้)
• ระดับสิทธิ์การใช้งาน (Role)

2.3 ข้อมูลทางเทคนิคและบันทึกการใช้งาน (Log)

เพื่อความมั่นคงปลอดภัยและการตรวจสอบย้อนหลัง ระบบอาจบันทึก

• หมายเลข IP Address
• วันและเวลาที่เข้าถึง (Timestamp)
• การกระทำในระบบ (Action) และตำแหน่งอ้างอิง (Location)

2.4 ข้อมูลคุกกี้และเซสชัน

• คุกกี้เซสชันสำหรับการทำงานพื้นฐานของเว็บไซต์และการรักษาความปลอดภัย (เช่น CSRF Token)

3. วัตถุประสงค์ในการเก็บรวบรวมและใช้ข้อมูล

1. เพื่อรับและตอบกลับข้อสอบถามที่ส่งผ่านแบบฟอร์มติดต่อ
2. เพื่อการยืนยันตัวตนและกำหนดสิทธิ์การเข้าถึงของผู้ใช้งานระบบภายใน
3. เพื่อรักษาความมั่นคงปลอดภัยของเว็บไซต์ ป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต และตรวจสอบเหตุการณ์ย้อนหลัง
4. เพื่อพัฒนาและปรับปรุงประสิทธิภาพการแสดงผลของเว็บไซต์
5. เพื่อปฏิบัติตามกฎหมายและระเบียบของหน่วยงานภาครัฐที่เกี่ยวข้อง

4. ฐานทางกฎหมายในการประมวลผลข้อมูล

• ภารกิจของหน่วยงานรัฐและประโยชน์สาธารณะ ในการเผยแพร่ข้อมูลข่าวสารและให้บริการประชาชน
• ประโยชน์อันชอบด้วยกฎหมาย เช่น การรักษาความมั่นคงปลอดภัยของระบบและการบันทึก Log
• ความยินยอม เมื่อท่านสมัครใจกรอกและส่งข้อมูลผ่านแบบฟอร์มติดต่อ
• การปฏิบัติตามกฎหมาย ที่เกี่ยวข้อง เช่น พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์

5. คุกกี้และบริการของบุคคลที่สาม

5.1 คุกกี้

เว็บไซต์ใช้คุกกี้ที่จำเป็นต่อการทำงานพื้นฐานและการรักษาความปลอดภัย ท่านสามารถตั้งค่าปฏิเสธคุกกี้ผ่านเบราว์เซอร์ได้ แต่อาจส่งผลต่อการใช้งานบางส่วน

5.2 เนื้อหาฝังจากบุคคลที่สาม (Embedded Content)

บางหน้าของเว็บไซต์มีการฝังเนื้อหาจากบริการภายนอกเพื่อการแสดงผล ได้แก่

• แผนที่ Google Maps สำหรับแสดงเส้นทางและที่ตั้ง
• วิดีโอจาก YouTube โดยเราเลือกใช้โหมดที่ไม่บันทึกคุกกี้ติดตาม (youtube-nocookie.com) เพื่อลดการส่งต่อประวัติการใช้งานของท่าน

การให้บริการและการเก็บข้อมูลของบริการเหล่านี้เป็นไปตามนโยบายความเป็นส่วนตัวของผู้ให้บริการภายนอกนั้น ๆ

6. การเปิดเผยข้อมูลส่วนบุคคล

เราจะไม่จำหน่าย ให้เช่า หรือเปิดเผยข้อมูลของท่านเพื่อวัตถุประสงค์ทางการค้า เราอาจเปิดเผยข้อมูลเฉพาะกรณีดังนี้

• แก่เจ้าหน้าที่ผู้รับผิดชอบภายในโรงพยาบาลเท่าที่จำเป็นต่อการปฏิบัติหน้าที่
• แก่หน่วยงานของรัฐที่มีอำนาจตามกฎหมาย เมื่อมีคำสั่งหรือข้อกำหนดทางกฎหมาย

7. ระยะเวลาการเก็บรักษาข้อมูล

• ข้อมูลจากแบบฟอร์มติดต่อ จะถูกเก็บไว้เท่าที่จำเป็นต่อการดำเนินการตอบกลับและการอ้างอิง จากนั้นจะถูกลบหรือทำลาย
• บันทึกการใช้งาน (Log) จะถูกเก็บตามระยะเวลาที่กฎหมายกำหนด เช่น ตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์
• ข้อมูลบัญชีผู้ใช้งานภายในจะถูกเก็บตราบเท่าที่บัญชีนั้นยังใช้งานอยู่

8. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ท่านมีสิทธิตาม PDPA ดังต่อไปนี้

1. สิทธิในการเข้าถึงและขอรับสำเนาข้อมูลของท่าน
2. สิทธิในการขอแก้ไขข้อมูลให้ถูกต้องเป็นปัจจุบัน
3. สิทธิในการขอลบหรือทำลายข้อมูล
4. สิทธิในการคัดค้านหรือระงับการใช้ข้อมูล
5. สิทธิในการขอถอนความยินยอม
6. สิทธิในการร้องเรียนต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ท่านสามารถใช้สิทธิได้ผ่านช่องทางติดต่อในข้อ 12 ทั้งนี้การใช้สิทธิบางประการอาจถูกจำกัดตามที่กฎหมายกำหนด

9. มาตรการรักษาความมั่นคงปลอดภัย

เราจัดให้มีมาตรการรักษาความปลอดภัยที่เหมาะสม ได้แก่

• บังคับใช้การเชื่อมต่อผ่านโปรโตคอล HTTPS เท่านั้น
• จัดเก็บรหัสผ่านในรูปแบบแฮช Bcrypt ที่ไม่สามารถถอดกลับได้
• ควบคุมการเข้าถึงส่วนบริหารจัดการตามบทบาทผู้ใช้งาน (Role-Based Access Control) ภายใต้แนวทาง Zero Trust
• ป้องกันการโจมตีแบบ CSRF และ XSS ด้วยกลไกโทเคนและ Content Security Policy (CSP)
• บันทึกเหตุการณ์สำคัญเพื่อการตรวจสอบย้อนหลัง (Audit Log)

11. การเปลี่ยนแปลงนโยบาย

โรงพยาบาลอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว โดยจะประกาศการเปลี่ยนแปลงบนหน้านี้พร้อมระบุวันที่ปรับปรุงล่าสุด

12. ช่องทางการติดต่อ

หากมีข้อสงสัยหรือต้องการใช้สิทธิเกี่ยวกับข้อมูลส่วนบุคคล ติดต่อได้ที่