นโยบายความเป็นส่วนตัว

ในการให้บริการ VoucherFlow มีสองบทบาทตามกฎหมาย:

• ผู้ควบคุมข้อมูล (Data Controller): สำหรับข้อมูลบัญชีผู้ใช้ และข้อมูลการสมัครใช้บริการที่ CompatBiz เป็นผู้กำหนดวัตถุประสงค์การใช้งาน
• ผู้ประมวลผลข้อมูล (Data Processor): สำหรับข้อมูลที่กิจการ (องค์กรผู้ใช้บริการ) นำเข้าสู่ระบบ เช่น ข้อมูลคู่ค้าหรือผู้ถูกหักภาษี ซึ่งกิจการนั้นเป็นผู้ควบคุมข้อมูล และ VoucherFlow ประมวลผลตามคำสั่งของกิจการ

เราเก็บรวบรวมข้อมูลเท่าที่จำเป็นต่อการให้บริการ ดังนี้:

• ข้อมูลบัญชีผู้ใช้: ชื่อ-นามสกุล อีเมล รหัสผ่าน (จัดเก็บแบบเข้ารหัส) บทบาทในองค์กร และข้อมูลการเข้าสู่ระบบผ่านบริการภายนอก (เช่น LINE) หากเลือกใช้
• ข้อมูลกิจการ: ชื่อกิจการ เลขประจำตัวผู้เสียภาษี สาขา ที่อยู่ ข้อมูลติดต่อ และการตั้งค่าที่เกี่ยวกับเอกสารทางการเงิน (เช่น อัตรา VAT)
• ข้อมูลคู่ค้าและผู้ถูกหักภาษี: ชื่อ เลขประจำตัวผู้เสียภาษี ที่อยู่ และข้อมูลติดต่อของผู้รับ/จ่ายเงินที่กิจการบันทึกเข้าระบบ ซึ่งบางรายอาจเป็น บุคคลธรรมดา และถือเป็นข้อมูลส่วนบุคคล
• ข้อมูลธุรกรรมและเอกสาร: รายการในใบสำคัญรับ/จ่ายเงิน ใบรับรองแทนใบเสร็จ (บ.ก.111) หนังสือรับรองหัก ณ ที่จ่าย (50 ทวิ) ข้อมูลเช็ค ยอดเงิน และไฟล์แนบที่อัปโหลด
• ข้อมูลการชำระค่าบริการ: ข้อมูลการสมัครแพ็กเกจและสถานะการชำระเงิน ผ่าน PromptPay โดยเราไม่ได้จัดเก็บข้อมูลบัตรหรือข้อมูลทางการเงินที่ละเอียดอ่อนของผู้ใช้โดยตรง
• ข้อมูลทางเทคนิคและการใช้งาน: ที่อยู่ IP ประเภทเบราว์เซอร์ และบันทึกการเข้าใช้งาน (audit log) เพื่อความปลอดภัยและการตรวจสอบ

เราใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ต่อไปนี้:

• จัดทำและออกเอกสารทางการเงินและภาษี ได้แก่ ใบสำคัญรับ/จ่ายเงิน ใบรับรองแทนใบเสร็จ หนังสือรับรองหัก ณ ที่จ่าย และรายงาน ภ.ง.ด.3/53
• คำนวณ VAT และภาษีหัก ณ ที่จ่าย รวมถึงจัดทำเลขที่เอกสารต่อเนื่อง
• ให้บริการระบบ พิสูจน์ตัวตน และบริหารสิทธิ์การเข้าถึงภายในองค์กร
• ดำเนินการเรียกเก็บค่าบริการและบริหารการสมัครใช้งาน
• รักษาความปลอดภัย ป้องกันการทุจริต และตรวจสอบบันทึกการใช้งาน
• ปฏิบัติตามกฎหมายภาษีอากรและกฎหมายที่เกี่ยวข้อง
• ติดต่อสื่อสารเกี่ยวกับการให้บริการและแจ้งเตือนที่จำเป็น

เราประมวลผลข้อมูลส่วนบุคคลโดยอาศัยฐานทางกฎหมายต่อไปนี้ตามความเหมาะสม:

• การปฏิบัติตามสัญญา: เพื่อให้บริการตามข้อตกลงการใช้งานกับผู้ใช้และกิจการ
• การปฏิบัติตามกฎหมาย: เพื่อจัดทำและเก็บรักษาเอกสารตามกฎหมายภาษีอากรของไทย
• ประโยชน์โดยชอบด้วยกฎหมาย: เพื่อความปลอดภัยของระบบ การป้องกันการทุจริต และการพัฒนาบริการ โดยคำนึงถึงสิทธิของเจ้าของข้อมูล
• ความยินยอม: ในกรณีที่กฎหมายกำหนดให้ต้องขอความยินยอม เช่น ข้อมูลคู่ค้าที่เป็นบุคคลธรรมดา (ดูข้อ 5)

เมื่อกิจการบันทึกข้อมูลคู่ค้าหรือผู้ถูกหักภาษีที่เป็นบุคคลธรรมดา ระบบรองรับการบันทึกการให้ความยินยอม (consent) พร้อมวันเวลาที่ให้ความยินยอม เพื่อให้กิจการในฐานะผู้ควบคุมข้อมูล สามารถจัดการความยินยอมได้สอดคล้องกับ PDPA

กิจการที่นำข้อมูลของบุคคลธรรมดาเข้าสู่ระบบมีหน้าที่ตรวจสอบให้แน่ใจว่ามีฐานทางกฎหมาย ที่เหมาะสม (เช่น ความยินยอม หรือการปฏิบัติตามกฎหมายภาษี) ในการประมวลผลข้อมูลดังกล่าว

เราไม่จำหน่ายข้อมูลส่วนบุคคล และเปิดเผยข้อมูลเฉพาะเท่าที่จำเป็นต่อการให้บริการ ให้แก่ผู้ประมวลผลภายนอกที่ได้รับการคัดเลือกและมีข้อตกลงคุ้มครองข้อมูล ได้แก่:

• ผู้ให้บริการโครงสร้างพื้นฐานคลาวด์: สำหรับการประมวลผล จัดเก็บฐานข้อมูล และจัดเก็บไฟล์เอกสาร/ไฟล์แนบ
• ผู้ให้บริการรับชำระเงิน: สำหรับการเรียกเก็บค่าบริการผ่าน PromptPay
• ผู้ให้บริการส่งข้อความและการแจ้งเตือน: เช่น LINE สำหรับการสื่อสารและแจ้งเตือนที่เกี่ยวกับบริการ (หากกิจการเลือกใช้)
• หน่วยงานราชการหรือตามคำสั่งศาล: เมื่อมีหน้าที่ตามกฎหมายต้องเปิดเผย

ผู้ประมวลผลภายนอกบางรายอาจประมวลผลข้อมูลในต่างประเทศ ในกรณีดังกล่าว เราจะดำเนินการให้มีมาตรการคุ้มครองที่เหมาะสมตามที่กฎหมายกำหนด

ภายใต้ PDPA ท่านมีสิทธิดังต่อไปนี้:

• สิทธิเข้าถึง: ขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคลของท่าน
• สิทธิแก้ไข: ขอแก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบัน
• สิทธิลบ: ขอให้ลบหรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้
• สิทธิคัดค้าน/ระงับการประมวลผล: ในกรณีที่กฎหมายกำหนด
• สิทธิถอนความยินยอม: ในส่วนที่ประมวลผลโดยอาศัยความยินยอม
• สิทธิร้องเรียน: ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

สำหรับ สิทธิในการลบ เนื่องจากข้อมูลในเอกสารทางการเงินและภาษีต้อง เก็บรักษาตามที่กฎหมายกำหนด เราจึงดำเนินการลบในรูปแบบ soft delete พร้อมการทำให้ข้อมูลไม่ระบุตัวตน (anonymize) โดยปกปิด หรือลบข้อมูลส่วนบุคคล (PII) ที่ระบุตัวตน แต่ยังคงข้อมูลธุรกรรมที่จำเป็นเพื่อการปฏิบัติ ตามกฎหมายภาษี ทั้งนี้เพื่อมิให้กระทบความถูกต้องของเอกสารที่ออกแล้ว

เราเก็บรักษาข้อมูลส่วนบุคคลเท่าที่จำเป็นต่อวัตถุประสงค์ในการให้บริการ และตามที่กฎหมายกำหนด ข้อมูลในเอกสารทางการเงินและภาษีโดยทั่วไปจะถูกเก็บรักษา ตามระยะเวลาที่กฎหมายภาษีอากรของไทยกำหนด (โดยทั่วไปประมวลรัษฎากรกำหนดให้ เก็บเอกสารและบัญชีไม่น้อยกว่า 5 ปี และอาจถึง 7 ปีในบางกรณี)

เมื่อสิ้นสุดระยะเวลาดังกล่าวหรือเมื่อท่านใช้สิทธิขอลบข้อมูล เราจะลบหรือทำให้ข้อมูลส่วนบุคคลไม่สามารถระบุตัวตนได้ตามที่อธิบายในข้อ 7

เราใช้มาตรการทางเทคนิคและการบริหารจัดการที่เหมาะสมเพื่อคุ้มครองข้อมูล ได้แก่:

• การเข้ารหัสข้อมูลระหว่างการรับส่ง และจัดเก็บรหัสผ่านในรูปแบบเข้ารหัสทางเดียว
• การแบ่งแยกข้อมูลตามองค์กร (multi-tenant) เพื่อมิให้ข้อมูลของกิจการหนึ่งปะปนกับอีกกิจการ
• การควบคุมสิทธิ์การเข้าถึงตามบทบาท (เจ้าของ นักบัญชี เสมียน ผู้ชม)
• การบันทึกการเข้าใช้งานและการกระทำที่กระทบเงิน สิทธิ์ หรือข้อมูลส่วนบุคคล (audit log)
• การจำกัดการเข้าถึงข้อมูลส่วนบุคคลเฉพาะผู้ที่จำเป็น และไม่บันทึกข้อมูลส่วนบุคคลดิบในบันทึกระบบ

เราใช้คุกกี้และเทคโนโลยีที่จำเป็นต่อการทำงานของระบบ เช่น การรักษาสถานะการเข้าสู่ระบบ และความปลอดภัย ท่านสามารถจัดการการตั้งค่าคุกกี้ผ่านเบราว์เซอร์ได้ แต่การปิดคุกกี้ที่จำเป็นอาจทำให้บางฟังก์ชันไม่สามารถใช้งานได้

เราอาจปรับปรุงนโยบายนี้เป็นครั้งคราวเพื่อให้สอดคล้องกับการให้บริการและกฎหมาย หากมีการเปลี่ยนแปลงในสาระสำคัญ เราจะแจ้งให้ทราบผ่านบริการหรือช่องทางที่เหมาะสม โดยจะระบุวันที่ปรับปรุงล่าสุดไว้ที่ส่วนต้นของหน้านี้

หากท่านมีคำถามเกี่ยวกับนโยบายนี้ ต้องการใช้สิทธิของเจ้าของข้อมูล หรือต้องการติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) สามารถติดต่อได้ที่:

• ผู้ให้บริการ: CompatBiz (VoucherFlow)
• ช่องทางติดต่อ: ผ่านหน้า ติดต่อเรา บนเว็บไซต์

สำหรับข้อมูลคู่ค้าหรือผู้ถูกหักภาษีที่กิจการเป็นผู้บันทึกเข้าระบบ กรุณาติดต่อกิจการที่เป็นผู้ควบคุมข้อมูลนั้นโดยตรงเป็นลำดับแรก

เอกสารนี้เป็นนโยบายความเป็นส่วนตัวทั่วไปเพื่อความโปร่งใสในการให้บริการ มิใช่คำแนะนำทางกฎหมายหรือภาษีเฉพาะกรณี การปฏิบัติตาม PDPA และกฎหมายภาษี ของแต่ละกิจการอาจแตกต่างกัน หากต้องการคำแนะนำที่เหมาะสมกับสถานการณ์ของท่าน โปรดปรึกษาผู้เชี่ยวชาญด้านกฎหมายหรือภาษีอากร