นโยบายความเป็นส่วนตัว (PDPA)

1. ผู้ควบคุมข้อมูลส่วนบุคคลและช่องทางติดต่อ

Khapdee.co เป็นผู้ให้บริการ คาบดี (KhapDee) และเป็นผู้ควบคุมข้อมูลบัญชีผู้ใช้ตามนโยบายนี้ ติดต่อเรื่องข้อมูลส่วนบุคคลได้ที่ privacy@khapdee.co

สำหรับข้อมูลของครูและบุคลากรที่โรงเรียนกรอกเข้าระบบ โรงเรียนเป็นผู้ควบคุมข้อมูล และผู้ให้บริการเป็นผู้ประมวลผลข้อมูลตามคำสั่งของโรงเรียน

2. ข้อมูลที่เราเก็บ

ข้อมูลบัญชีผู้ใช้ที่เราเก็บ:

• อีเมล ชื่อ รูปโปรไฟล์ และรหัสบัญชีของ Google ที่ได้รับเมื่อท่านเข้าสู่ระบบด้วย Google (เราไม่ได้รับและไม่เก็บรหัสผ่านของท่าน)
• ข้อมูลความปลอดภัยของการเข้าใช้: เวลาเข้าสู่ระบบ ประเภทเหตุการณ์ และที่อยู่ไอพี
• บันทึกการยอมรับเอกสารนี้: เวอร์ชันและวันเวลาที่ท่านยอมรับ
• ประวัติการแก้ไขข้อมูลสำคัญในโรงเรียน (ผู้ทำรายการและเวลา)

3. ข้อมูลที่โรงเรียนกรอกเข้าระบบ

โรงเรียนกรอกข้อมูลต่อไปนี้ ซึ่งผู้ให้บริการประมวลผลแทนโรงเรียน:

• ชื่อครู รหัสครู กลุ่มสาระ วิชาและชั้นที่สอน ครูที่ปรึกษา และภาระงานสอน
• วันที่ลา และประเภทการลา (ลาป่วย ลากิจ ไปราชการ หรืออื่น ๆ)
• ชื่อห้องเรียนและชื่อห้อง เช่น ม.1/1

4. ข้อมูลที่เราไม่เก็บโดยเจตนา

ระบบไม่มีช่องกรอกข้อมูลส่วนบุคคลรายบุคคลของนักเรียน ไม่มีช่องกรอกเหตุผลการลา และไม่รับไฟล์แนบเช่นใบรับรองแพทย์ เพื่อไม่ให้มีข้อมูลอ่อนไหว เช่น ข้อมูลสุขภาพ อยู่ในระบบ ขอให้โรงเรียนและผู้ใช้ไม่กรอกข้อมูลดังกล่าวในช่องข้อความอื่น

5. วัตถุประสงค์และฐานทางกฎหมาย

เราใช้ข้อมูลเพื่อ

• ยืนยันตัวตนและให้บริการตามสัญญา (ฐานการปฏิบัติตามสัญญา)
• รักษาความปลอดภัย ป้องกันและตรวจจับการใช้งานที่ผิดปกติ ตรวจสอบย้อนหลัง (ฐานประโยชน์โดยชอบด้วยกฎหมาย)
• บันทึกว่าท่านรับทราบและยอมรับเอกสารฉบับนี้ (ฐานความยินยอมและเพื่อพิสูจน์การปฏิบัติตามกฎหมาย)
• ปฏิบัติตามกฎหมายที่เกี่ยวข้อง

6. การเปิดเผยข้อมูลและผู้ประมวลผลช่วง

เราไม่ขายข้อมูลและไม่ใช้ข้อมูลเพื่อการโฆษณา เราใช้ผู้ให้บริการภายนอกเท่าที่จำเป็นต่อการให้บริการ:

• Hetzner Online GmbH: ผู้ให้บริการเซิร์ฟเวอร์ที่เก็บข้อมูลของระบบ (ศูนย์ข้อมูลที่เฮลซิงกิ ประเทศฟินแลนด์)
• Google: ยืนยันตัวตนเมื่อเข้าสู่ระบบด้วยบัญชี Google

7. การส่งหรือโอนข้อมูลไปต่างประเทศ

ข้อมูลของระบบเก็บบนเซิร์ฟเวอร์ในประเทศฟินแลนด์ (สหภาพยุโรป) และการยืนยันตัวตนผ่านบริการของ Google ซึ่งอาจประมวลผลนอกประเทศไทย เราดำเนินการให้ผู้ให้บริการเหล่านี้มีมาตรการคุ้มครองข้อมูลที่เหมาะสมตามที่กฎหมายกำหนด

8. ระยะเวลาเก็บข้อมูล

• ข้อมูลบัญชีผู้ใช้: ตลอดเวลาที่ท่านยังใช้บริการ และเท่าที่จำเป็นหลังจากนั้นเพื่อความปลอดภัยและตามกฎหมาย
• ข้อมูลของโรงเรียน: ตลอดเวลาที่โรงเรียนใช้บริการ เมื่อผู้ดูแลหลักสั่งลบ ระบบรอ 30 วันแล้วลบถาวร
• ไฟล์สำรองฐานข้อมูล: เข้ารหัสและเก็บ 30 วัน แล้วลบตามรอบ ข้อมูลที่ลบแล้วอาจยังอยู่ในไฟล์สำรองจนครบรอบนี้
• บันทึกการยอมรับเอกสาร: เก็บเป็นหลักฐานตลอดเวลาที่บัญชียังอยู่

9. มาตรการรักษาความปลอดภัย

• เชื่อมต่อด้วย HTTPS ทั้งหมด
• แยกข้อมูลของแต่ละโรงเรียนออกจากกัน ทั้งในโค้ดและที่ระดับฐานข้อมูล (Row Level Security)
• เก็บโทเคนเข้าสู่ระบบในคุกกี้แบบ HttpOnly ที่เว็บสคริปต์อ่านไม่ได้ และเก็บโทเคนต่ออายุเป็นค่าแฮช
• เข้ารหัสไฟล์สำรอง จำกัดสิทธิ์เข้าเซิร์ฟเวอร์เฉพาะผู้ดูแล และบันทึกเหตุการณ์สำคัญ

10. คุกกี้

เราใช้เฉพาะคุกกี้ที่จำเป็นต่อการเข้าสู่ระบบและความปลอดภัย (คุกกี้เข้าสู่ระบบ คุกกี้ต่ออายุ และคุกกี้ชั่วคราวระหว่างล็อกอินกับ Google) ไม่มีคุกกี้โฆษณาหรือการติดตามจากบุคคลภายนอก

11. สิทธิของเจ้าของข้อมูล

ท่านมีสิทธิตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ดังนี้

• ขอเข้าถึงและขอสำเนาข้อมูลของท่าน
• ขอให้แก้ไขข้อมูลให้ถูกต้อง
• ขอให้ลบหรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้ ขอระงับการใช้ หรือคัดค้านการประมวลผล
• ขอรับหรือขอให้โอนข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่อง
• ถอนความยินยอมที่เคยให้ไว้ (ไม่กระทบการประมวลผลก่อนหน้า) โดยการถอนอาจทำให้ใช้บริการต่อไม่ได้
• ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหากเห็นว่าการประมวลผลไม่ชอบด้วยกฎหมาย

12. ครูและบุคลากรที่ถูกบันทึกโดยโรงเรียน

หากท่านเป็นครูหรือบุคลากรที่โรงเรียนกรอกข้อมูลไว้ในระบบ ให้ขอใช้สิทธิ์ผ่านโรงเรียนของท่านซึ่งเป็นผู้ควบคุมข้อมูล เราจะช่วยโรงเรียนดำเนินการตามคำขอ

13. เหตุละเมิดข้อมูลส่วนบุคคล

หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล เราจะแจ้งโรงเรียนและผู้ที่ได้รับผลกระทบโดยไม่ชักช้า เพื่อให้แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายในกรอบเวลาที่กฎหมายกำหนด

14. เด็กและเยาวชน

บริการออกแบบสำหรับบุคลากรของโรงเรียน ไม่ได้ออกแบบให้นักเรียนสมัครใช้ และไม่เก็บข้อมูลส่วนบุคคลรายบุคคลของนักเรียน

15. การแก้ไขนโยบาย

เมื่อมีการแก้ไขนโยบายนี้ เราจะปรับหมายเลขเวอร์ชันและขอให้ท่านอ่านและยอมรับใหม่ก่อนใช้งานต่อ