นโยบายความเป็นส่วนตัวและการใช้คุกกี้

1. บทนำและขอบเขตการบังคับใช้

บริษัท วัน เซอเจอรี่ จำกัด และบริษัทในเครือ รวมถึงบุคคลที่ดำเนินการประมวลผลข้อมูลส่วนบุคคลในนามของบริษัทฯ (ต่อไปนี้เรียกรวมว่า "บริษัทฯ") มุ่งมั่นคุ้มครองความเป็นส่วนตัวของท่านด้วยความโปร่งใส รับผิดชอบ และเคารพสิทธิของท่านในฐานะเจ้าของข้อมูลส่วนบุคคล

นโยบายนี้จัดทำขึ้นตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กฎกระทรวง ประกาศ และแนวปฏิบัติของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ที่เกี่ยวข้อง

นโยบายนี้ใช้บังคับกับ:

• ผู้ใช้บริการ ลูกค้า และผู้สอบถามข้อมูล ทั้งที่ติดต่อผ่านช่องทางออนไลน์และออฟไลน์
• ผู้เข้าชมเว็บไซต์ https://one-hospital.com/ และช่องทางดิจิทัลของบริษัทฯ (LINE, WhatsApp, Facebook, Instagram)
• คู่ค้า ผู้ให้บริการ และพันธมิตรทางธุรกิจที่เป็นบุคคลธรรมดา
• พนักงาน ลูกจ้าง และผู้สมัครงาน (ครอบคลุมในนโยบายภายในเพิ่มเติม)
• บุคคลอื่นใดที่บริษัทฯ เก็บรวบรวมข้อมูลส่วนบุคคล

(บุคคลดังกล่าวข้างต้นเรียกรวมว่า "ท่าน" หรือ "เจ้าของข้อมูล")

2. คำนิยาม

3. แหล่งที่มาของข้อมูลส่วนบุคคล

3.1 จากท่านโดยตรง

• การกรอกแบบฟอร์มนัดหมาย ปรึกษาแพทย์ หรือสอบถามบนเว็บไซต์
• การติดต่อผ่าน LINE Official Account, WhatsApp, Facebook Messenger, Instagram DM
• การโทรศัพท์ หรือเข้ารับบริการที่คลินิกด้วยตนเอง
• การกรอกแบบประเมินสุขภาพก่อนการผ่าตัด (Pre-operative Assessment)
• การสมัครรับข่าวสาร โปรโมชัน หรือกิจกรรมทางการตลาด

3.2 จากระบบอัตโนมัติ

• คุกกี้และเทคโนโลยีติดตามบนเว็บไซต์ (รายละเอียดในส่วนที่ 2)
• กล้องวงจรปิด (CCTV) ภายในและบริเวณคลินิก
• เครื่องมือทางการแพทย์และระบบถ่ายภาพ 3 มิติ
• บันทึกการสนทนา (Chat log) ผ่านช่องทาง LINE/WhatsApp ของบริษัทฯ

3.3 จากบุคคลที่สามที่มีอำนาจโดยชอบด้วยกฎหมาย

• ญาติ ผู้ดูแล หรือผู้มีอำนาจปกครอง (กรณีผู้เยาว์หรือบุคคลที่ไม่อาจดำเนินการเองได้)
• โรงพยาบาลหรือสถานพยาบาลที่ส่งต่อผู้รับบริการ
• หน่วยงานราชการที่มีอำนาจตามกฎหมาย
• พันธมิตรทางธุรกิจที่ได้รับความยินยอมจากเจ้าของข้อมูลแล้ว

4. ประเภทของข้อมูลส่วนบุคคลที่เก็บรวบรวม

5. ข้อมูลส่วนบุคคลที่มีความอ่อนไหว

5.1 ข้อมูลสุขภาพและทางการแพทย์ ม.26

• ประวัติสุขภาพ โรคประจำตัว ยาที่ใช้ประจำ และประวัติการแพ้ยา/สารต่างๆ
• ประวัติการผ่าตัดและการรักษาพยาบาลทั้งหมด รวมถึงศัลยกรรมเดิม
• ผลการตรวจร่างกายและผลตรวจทางห้องปฏิบัติการก่อนผ่าตัด
• บันทึกการรักษา (Medical Record) และแผนการรักษา
• ข้อมูลความพิการที่เกี่ยวข้องกับการรักษา

5.2 ข้อมูลชีวภาพ (Biometric Data) ม.26

• ภาพถ่ายก่อน-หลังการรักษา ที่ใช้เพื่อวางแผนและบันทึกผลการรักษา
• ข้อมูล 3D Facial Scan ที่ใช้ในระบบ KEOSAN FITme Centre สำหรับออกแบบซิลิโคนเฉพาะบุคคล
• ข้อมูล CT Scan / 3D Imaging ที่ประมวลผลผ่านระบบ OsseoVision™ ของ OsseoLabs
• ข้อมูลจำลองลายนิ้วมือหรือข้อมูลชีวมิติอื่นที่ใช้ในระบบควบคุมการเข้า-ออก

5.3 ข้อมูลศาสนา ม.26

เฉพาะกรณีที่ข้อมูลนี้มีผลต่อการรักษาหรือการวางยาสลบ เช่น ข้อห้ามทางศาสนาเกี่ยวกับการรับเลือดหรือสารบางชนิด โดยได้รับความยินยอมโดยชัดแจ้ง

5.4 ข้อยกเว้นที่ไม่ต้องขอความยินยอม ม.26 วรรคสอง

• เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคลในกรณีฉุกเฉิน
• เพื่อประโยชน์ด้านเวชศาสตร์ป้องกัน การวินิจฉัยโรค และการให้บริการด้านสุขภาพ ภายใต้การดูแลของผู้ประกอบวิชาชีพที่มีหน้าที่รักษาความลับทางวิชาชีพ ม.26(5)(ก)
• เป็นการจำเป็นเพื่อก่อตั้ง ปฏิบัติตาม หรือใช้สิทธิเรียกร้องตามกฎหมาย

6. การเก็บข้อมูลส่วนบุคคลของผู้เยาว์

• ผู้มีอายุต่ำกว่า 20 ปีบริบูรณ์ (และยังไม่บรรลุนิติภาวะโดยการสมรส) บริษัทฯ ต้องได้รับความยินยอมจาก ผู้ใช้อำนาจปกครอง (บิดา มารดา หรือผู้ปกครองตามกฎหมาย) ก่อนเก็บรวบรวมข้อมูล
• ผู้มีอายุต่ำกว่า 10 ปีบริบูรณ์ ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองแต่ฝ่ายเดียว เจ้าของข้อมูลไม่สามารถให้ความยินยอมด้วยตนเองได้
• บริษัทฯ จะไม่เก็บรวบรวมข้อมูลของผู้เยาว์เกินกว่าที่จำเป็นสำหรับการให้บริการนั้น
• หากบริษัทฯ ทราบในภายหลังว่าได้เก็บข้อมูลของผู้เยาว์โดยไม่ได้รับความยินยอมจากผู้ปกครอง บริษัทฯ จะดำเนินการลบข้อมูลนั้นโดยทันที เว้นแต่มีฐานทางกฎหมายอื่นรองรับ

7. ฐานทางกฎหมายและวัตถุประสงค์ในการประมวลผล

บริษัทฯ จะดำเนินการประมวลผลข้อมูลส่วนบุคคลโดยอาศัยฐานทางกฎหมายอย่างน้อยหนึ่งฐานดังต่อไปนี้ และจะระบุฐานทางกฎหมายที่ใช้สำหรับแต่ละวัตถุประสงค์ให้ชัดเจน

8. การส่งต่อและเปิดเผยข้อมูลส่วนบุคคล

บริษัทฯ จะไม่เปิดเผยข้อมูลส่วนบุคคลของท่านแก่บุคคลภายนอก เว้นแต่:

8.1 ผู้ให้บริการและผู้ประมวลผลข้อมูลที่ดำเนินการในนามบริษัทฯ

บริษัทฯ จะจัดทำ ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement: DPA) กับผู้รับข้อมูลทุกรายตามมาตรา 40 วรรคสอง

8.2 หน่วยงานรัฐที่มีอำนาจตามกฎหมาย

บริษัทฯ อาจเปิดเผยข้อมูลตามคำสั่งหรือคำขอที่ชอบด้วยกฎหมาย เช่น กรมสรรพากร สำนักงานตำรวจแห่งชาติ ศาล หน่วยงานด้านสาธารณสุข หรือ สคส. โดยบริษัทฯ จะพยายามแจ้งให้ท่านทราบล่วงหน้าในกรณีที่ทำได้ เว้นแต่กฎหมายห้ามการแจ้ง

9. การถ่ายโอนข้อมูลไปยังต่างประเทศ

บริษัทฯ อาจถ่ายโอนข้อมูลส่วนบุคคลไปยังต่างประเทศในกรณีต่อไปนี้:

บริษัทฯ จะดำเนินการถ่ายโอนข้อมูลต่างประเทศตาม มาตรา 28 แห่ง พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ม.28 เฉพาะเมื่อประเทศปลายทางหรือองค์กรปลายทางมีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ หรือมีมาตรการคุ้มครองที่เหมาะสมอื่นรองรับ

10. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

บริษัทฯ จะเก็บรักษาข้อมูลเท่าที่จำเป็นตามวัตถุประสงค์และกฎหมายที่เกี่ยวข้อง:

เมื่อพ้นระยะเวลาการเก็บรักษา บริษัทฯ จะดำเนินการ ลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้ ด้วยวิธีการที่ปลอดภัยตามมาตรฐาน

11. ความมั่นคงปลอดภัยของข้อมูลและการแจ้งเหตุละเมิด

11.1 มาตรการรักษาความปลอดภัย

• การเข้ารหัสข้อมูล (Encryption) ในการส่งผ่านเครือข่าย (TLS/HTTPS)
• ระบบควบคุมการเข้าถึงข้อมูล (Access Control) เฉพาะบุคคลที่มีหน้าที่รับผิดชอบ
• การจัดอบรมด้านความปลอดภัยของข้อมูลให้แก่พนักงานเป็นประจำ
• การเก็บรักษาเอกสารกระดาษในพื้นที่ปลอดภัยที่มีการควบคุมการเข้าถึง
• การทบทวนและทดสอบระบบความปลอดภัยเป็นระยะ
• นโยบายการจัดการอุปกรณ์และการทำงานนอกสถานที่

11.2 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล ม.37(1)(2)

ในกรณีที่เกิดเหตุละเมิดข้อมูลส่วนบุคคล บริษัทฯ จะดำเนินการดังนี้:

• แจ้งต่อ สคส. ภายใน 72 ชั่วโมง นับจากที่รู้ถึงการละเมิด เว้นแต่การละเมิดดังกล่าวไม่มีความเสี่ยงต่อสิทธิและเสรีภาพของเจ้าของข้อมูล
• แจ้งเจ้าของข้อมูลโดยไม่ชักช้า หากการละเมิดนั้นมีความเสี่ยงสูงต่อสิทธิและเสรีภาพ พร้อมแจ้งลักษณะของการละเมิด ผลกระทบที่อาจเกิดขึ้น และมาตรการแก้ไข
• บันทึกเหตุการณ์ละเมิดทั้งหมดไว้เป็นหลักฐานตามแบบที่กำหนด

12. การตัดสินใจโดยอัตโนมัติและการสร้างโปรไฟล์

บริษัทฯ ใช้บริการ Analytics (Google Analytics, เครื่องมือ CRM) ที่อาจวิเคราะห์พฤติกรรมการเข้าชมเว็บไซต์และสร้างโปรไฟล์ผู้ใช้งานในเชิงสถิติ เพื่อปรับปรุงประสบการณ์การใช้งานและแสดงเนื้อหาที่เกี่ยวข้อง

บริษัทฯ ไม่ใช้ระบบตัดสินใจโดยอัตโนมัติ (Automated Decision-Making) เพื่อกำหนดสิทธิ ปฏิเสธ หรือมีผลกระทบต่อท่านอย่างมีนัยสำคัญโดยปราศจากการพิจารณาของบุคคล

การแสดงโฆษณาที่ตรงกับความสนใจของท่าน (Personalized Advertising) บนแพลตฟอร์มของ Google, Facebook, TikTok ดำเนินการโดยอัลกอริทึมของแพลตฟอร์มนั้นๆ ซึ่งอยู่นอกเหนือการควบคุมของบริษัทฯ โดยตรง ท่านสามารถปรับการตั้งค่าโฆษณาได้จากแพลตฟอร์มโดยตรง

13. การเชื่อมต่อเว็บไซต์และบริการภายนอก

เว็บไซต์ของบริษัทฯ อาจมีลิงก์ไปยังเว็บไซต์ บัญชี Social Media หรือบริการของบุคคลที่สาม รวมถึง LINE, Facebook, Instagram, WhatsApp, Google Maps บริษัทฯ ไม่มีอำนาจควบคุมนโยบายความเป็นส่วนตัวของบริการเหล่านั้น ขอแนะนำให้ท่านอ่านนโยบายของแต่ละแพลตฟอร์มก่อนการใช้งาน บริษัทฯ ไม่รับผิดชอบต่อการดำเนินการของบุคคลที่สามดังกล่าว

14. เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)

บริษัทฯ ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer: DPO) ม.41 เพื่อกำกับดูแลการปฏิบัติตาม พ.ร.บ.ฯ ให้คำปรึกษาแก่บริษัทฯ และเป็นช่องทางประสานงานกับ สคส.

ท่านสามารถติดต่อ DPO ได้โดยตรงผ่านช่องทางในข้อ 18 เพื่อ:

• สอบถามเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลของท่าน
• ยื่นคำร้องขอใช้สิทธิตาม พ.ร.บ.ฯ
• แจ้งข้อกังวลหรือเรื่องร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

15. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ท่านมีสิทธิต่อไปนี้ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 สามารถใช้สิทธิได้ ฟรี ไม่มีค่าใช้จ่าย เว้นแต่คำขอนั้นไม่มีเหตุผล ฟุ่มเฟือย หรือซ้ำซาก:

1. สิทธิได้รับการแจ้ง (Right to be Informed) ม.23
   ท่านมีสิทธิได้รับแจ้งรายละเอียดการเก็บรวบรวมข้อมูล ณ เวลาที่เก็บหรือก่อนหน้านั้น นโยบายนี้เป็นส่วนหนึ่งของการปฏิบัติตามสิทธินี้
2. สิทธิเข้าถึงและรับสำเนาข้อมูล (Right of Access) ม.30
   ท่านมีสิทธิขอดูหรือรับสำเนาข้อมูลส่วนบุคคลของท่าน และขอให้เปิดเผยแหล่งที่มาของข้อมูลที่บริษัทฯ ไม่ได้เก็บจากท่านโดยตรง
3. สิทธิขอแก้ไขข้อมูล (Right to Rectification) ม.35
   ท่านมีสิทธิขอให้แก้ไขข้อมูลที่ไม่ถูกต้อง ล้าสมัย หรืออาจก่อให้เกิดความเข้าใจผิด
4. สิทธิขอรับข้อมูลในรูปแบบพกพา (Right to Data Portability) ม.31
   ท่านมีสิทธิขอรับข้อมูลที่บริษัทฯ เก็บไว้ในรูปแบบอิเล็กทรอนิกส์ที่อ่านได้ด้วยเครื่องมืออัตโนมัติ (เช่น JSON, CSV) เพื่อส่งต่อให้ผู้ควบคุมข้อมูลรายอื่น
5. สิทธิขอลบหรือทำลายข้อมูล (Right to Erasure) ม.33
   ท่านมีสิทธิขอให้ลบหรือทำลายข้อมูล หรือทำให้ไม่สามารถระบุตัวตนได้ ในกรณีที่ข้อมูลหมดความจำเป็น หรือเมื่อถอนความยินยอมและบริษัทฯ ไม่มีฐานทางกฎหมายอื่น ทั้งนี้ไม่นำไปใช้กับข้อมูลที่บริษัทฯ จำเป็นต้องเก็บตามกฎหมาย
6. สิทธิขอระงับการใช้ข้อมูล (Right to Restriction) ม.34
   ท่านมีสิทธิขอให้ระงับการประมวลผลข้อมูลชั่วคราว เช่น ระหว่างที่บริษัทฯ ตรวจสอบความถูกต้องของข้อมูล
7. สิทธิถอนความยินยอม (Right to Withdraw Consent) ม.19 วรรคห้า
   ท่านมีสิทธิถอนความยินยอมที่ให้ไว้ได้ทุกเมื่อ โดยการถอนความยินยอมไม่กระทบต่อการประมวลผลที่ได้ดำเนินการไปแล้วโดยชอบด้วยกฎหมาย
8. สิทธิคัดค้าน (Right to Object) ม.32
   ท่านมีสิทธิคัดค้านการประมวลผลข้อมูลได้ทุกเมื่อ โดยเฉพาะอย่างยิ่ง:
   • การตลาดทางตรง (Direct Marketing): บริษัทฯ ต้องหยุดทันที เมื่อท่านคัดค้าน โดยไม่มีค่าใช้จ่าย และไม่ต้องให้เหตุผล
   • การประมวลผลบนฐาน Legitimate Interest: บริษัทฯ จะพิจารณาว่ามีเหตุผลอันชอบด้วยกฎหมายที่สำคัญกว่าหรือไม่
   • การประมวลผลเพื่อวัตถุประสงค์วิจัยทางสถิติ: เว้นแต่จำเป็นเพื่อประโยชน์สาธารณะ

กระบวนการใช้สิทธิ

ยื่นคำร้องเป็นลายลักษณ์อักษรผ่านช่องทางในข้อ 18 พร้อมแนบสำเนาเอกสารยืนยันตัวตน บริษัทฯ จะ:

• ยืนยันรับคำร้องภายใน 3 วันทำการ
• ดำเนินการและตอบสนองภายใน 30 วัน นับจากวันรับคำร้อง
• หากต้องการเวลาเพิ่มเติม บริษัทฯ จะแจ้งให้ท่านทราบพร้อมเหตุผล และขยายระยะเวลาได้ไม่เกิน 60 วัน สำหรับกรณีซับซ้อน
• ในกรณีที่บริษัทฯ ปฏิเสธคำขอ จะแจ้งเหตุผลและสิทธิที่ท่านมีในการร้องเรียนให้ท่านทราบ

16. การร้องเรียนต่อหน่วยงานกำกับดูแล

หากท่านเห็นว่าบริษัทฯ ไม่ปฏิบัติตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล ท่านมีสิทธิร้องเรียนต่อ:

อย่างไรก็ตาม บริษัทฯ ขอให้ท่านติดต่อ DPO ของบริษัทฯ ก่อน เพื่อให้บริษัทฯ มีโอกาสแก้ไขข้อกังวลในเบื้องต้น

17. การปรับปรุงแก้ไขนโยบาย

บริษัทฯ ขอสงวนสิทธิ์ปรับปรุงนโยบายนี้เป็นครั้งคราว การเปลี่ยนแปลงจะแจ้งผ่าน https://one-hospital.com/ พร้อมวันที่มีผลบังคับใช้ สำหรับการเปลี่ยนแปลงที่มีนัยสำคัญ บริษัทฯ จะแจ้งให้ท่านทราบล่วงหน้าผ่านช่องทางที่ท่านลงทะเบียนไว้

การที่ท่านใช้บริการต่อหลังจากนโยบายฉบับใหม่มีผลบังคับใช้ถือว่าท่านรับทราบนโยบายฉบับนั้นแล้ว หากท่านไม่เห็นด้วย กรุณาหยุดการใช้บริการและติดต่อบริษัทฯ

18. ช่องทางการติดต่อ

1. คุกกี้คืออะไร

คุกกี้ (Cookie) คือไฟล์ข้อมูลขนาดเล็กที่เว็บไซต์จัดเก็บไว้ในเบราว์เซอร์หรืออุปกรณ์ของท่านเมื่อเข้าชม คุกกี้ช่วยให้เว็บไซต์จดจำการตั้งค่า ภาษา และพฤติกรรมการใช้งานของท่าน

นอกจากคุกกี้ เว็บไซต์นี้ใช้เทคโนโลยีที่คล้ายคลึงกัน เช่น Local Storage, Pixel Tag และ Web Beacon เพื่อวัตถุประสงค์ที่คล้ายกัน

2. ประเภทคุกกี้ที่ใช้บนเว็บไซต์

3. บุคคลที่สามที่อาจวางคุกกี้ผ่านเว็บไซต์

เว็บไซต์ใช้ Google Tag Manager (GTM-M56RCW3D) เพื่อจัดการ Script และ Tag ต่างๆ GTM เองไม่เก็บข้อมูลส่วนบุคคล แต่ Tag ที่ GTM จัดการอาจเก็บข้อมูลตามที่อธิบายไว้ข้างต้น

นโยบายความเป็นส่วนตัวของผู้ให้บริการบุคคลที่สาม:

• Google Analytics / Google Ads: policies.google.com/privacy
• Meta (Facebook / Instagram): facebook.com/privacy/policy
• TikTok: tiktok.com/legal/privacy-policy

4. วิธีจัดการและปิดใช้งานคุกกี้

4.1 ผ่านแบนเนอร์คุกกี้บนเว็บไซต์

ท่านสามารถเปลี่ยนแปลงการตั้งค่าความยินยอมคุกกี้ได้ทุกเมื่อโดยคลิกที่ไอคอนการตั้งค่าคุกกี้ที่แสดงบนเว็บไซต์ การถอนความยินยอมจะมีผลทันที แต่ไม่กระทบต่อการประมวลผลที่เกิดขึ้นก่อนการถอน

4.2 ผ่านการตั้งค่าเบราว์เซอร์

4.3 ออกจากการติดตามของ Google Analytics

ติดตั้ง Google Analytics Opt-out Browser Add-on เพื่อป้องกันไม่ให้ Google Analytics เก็บข้อมูลการเข้าชมของท่าน

5. Google Consent Mode

เว็บไซต์นี้ใช้ Google Consent Mode v2 ซึ่งปรับพฤติกรรมของ Google Analytics และ Google Ads ตามสถานะความยินยอมของท่าน หากท่านไม่ยินยอมให้ใช้ Cookie วิเคราะห์/การตลาด Google จะรวบรวมข้อมูลในรูปแบบ cookieless modeling แทน ซึ่งไม่ระบุตัวตนและไม่ใช้ Cookie บนอุปกรณ์ของท่าน