นโยบายคุ้มครองข้อมูลส่วนบุคคล (Privacy Policy)

ระบบ EduPortfolio พัฒนาขึ้นโดยคณะครุศาสตร์ มหาวิทยาลัยราชภัฏสวนสุนันทา เพื่อใช้เป็นแพลตฟอร์มสำหรับเก็บ ส่ง และติดตามผลงานของนักศึกษาภายในคณะ

เรามีความมุ่งมั่นในการคุ้มครองข้อมูลส่วนบุคคล ของผู้ใช้งานตามพระราชบัญญัติคุ้มครอง ข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) นโยบายฉบับนี้อธิบายขั้นตอนการเก็บรวบรวม การใช้ การเปิดเผย และการคุ้มครองข้อมูล ของผู้ใช้งานระบบ

1. ข้อมูลส่วนบุคคลที่เก็บรวบรวม

เราเก็บรวบรวมเฉพาะข้อมูลที่จำเป็นต่อการให้บริการ โดยแบ่งเป็นประเภทดังต่อไปนี้

1.1 ข้อมูลบัญชีผู้ใช้

บัญชีผู้ใช้ในระบบจะถูกสร้างโดยผู้ดูแลระบบของคณะ ระบบไม่เปิดให้สมัครสมาชิกผ่านหน้าเว็บไซต์

• ชื่อ–นามสกุล และคำนำหน้าชื่อ
• อีเมล (ใช้สำหรับการเข้าสู่ระบบ)
• รหัสนักศึกษา (สำหรับบทบาทนักศึกษา)
• บทบาทในระบบ (นักศึกษา / อาจารย์ / ผู้ดูแลระบบ)
• รหัสผ่านที่ผ่านการเข้ารหัสด้วย hash function (ไม่ได้จัดเก็บแบบ plain text)
• รูปภาพประจำตัว (avatar) หากผู้ใช้อัปโหลด

1.2 ข้อมูลที่ผู้ใช้สร้างขึ้น

ระหว่างการใช้งานระบบ ผู้ใช้อาจอัปโหลดหรือบันทึกข้อมูลต่อไปนี้

• ไฟล์งานที่ส่ง (PDF, PNG หรือ JPEG ขนาดไม่เกิน 10 MB ต่อไฟล์) และข้อความประกอบงาน
• ข้อมูลใบประกอบวิชาชีพครู ได้แก่ ประเภทใบอนุญาต และรูปภาพใบอนุญาต
• ข้อมูลการบรรจุเข้ารับราชการ ได้แก่ สาขาวิชา ปีการศึกษา หน่วยงาน จังหวัด เขตพื้นที่การศึกษา สถานะการบรรจุ และลำดับที่สอบได้
• ข้อมูลความเป็นสมาชิกในห้องเรียน และประวัติการส่งงาน

1.3 ข้อมูลที่เก็บโดยอัตโนมัติ

ระบบจะเก็บข้อมูลบางประเภทโดยอัตโนมัติ เพื่อรักษาความปลอดภัยและให้บริการได้อย่างต่อเนื่อง

• บันทึกการใช้งาน (Audit Logs) ประกอบด้วย การกระทำ เวลา รหัสผู้ใช้ และ IP address ของผู้กระทำ
• ข้อมูล session ได้แก่ token วันหมดอายุของ session และรหัสอุปกรณ์
• ข้อมูลทางเทคนิคของผู้เยี่ยมชม เช่น ประเภทเบราว์เซอร์ ระบบปฏิบัติการ และหน้าที่เข้าชม ในรูปแบบที่ไม่ระบุตัวตน
• Session cookie แบบ HttpOnly และ Secure เพื่อจดจำการลงชื่อเข้าใช้

2. วัตถุประสงค์ในการประมวลผลข้อมูล

ข้อมูลส่วนบุคคลที่เก็บรวบรวมจะถูกประมวลผล ตามวัตถุประสงค์ดังนี้

• เพื่อพิสูจน์และยืนยันตัวตน รวมถึงรักษาความปลอดภัยของบัญชีและระบบ
• เพื่อให้บริการตามฟังก์ชันของระบบ เช่น การจัดการห้องเรียน การส่งงาน และการบันทึกข้อมูลใบประกอบวิชาชีพและการบรรจุ
• เพื่อให้อาจารย์และผู้ดูแลระบบสามารถตรวจสอบสถานะการส่งงานของนักศึกษาในความรับผิดชอบ
• เพื่อแสดงสถิติเชิงรวม (aggregate statistics) ในหน้าแดชบอร์ดสาธารณะ โดยไม่เปิดเผยตัวตนของบุคคลใด
• เพื่อปรับปรุง วิเคราะห์ และดูแลรักษาระบบให้ทำงานได้อย่างเสถียร
• เพื่อปฏิบัติตามกฎหมาย ระเบียบของมหาวิทยาลัย หรือคำสั่งของหน่วยงานที่มีอำนาจ

ระบบจะไม่ขายข้อมูลส่วนบุคคลให้แก่บุคคลที่สาม และจะไม่ใช้ข้อมูลเพื่อวัตถุประสงค์ทางการตลาด

3. ระยะเวลาการเก็บรักษาข้อมูล

ระบบจะเก็บรักษาข้อมูลส่วนบุคคลตราบเท่าที่บัญชี ของผู้ใช้ยังคงใช้งานอยู่ หรือเท่าที่จำเป็นต่อการบรรลุวัตถุประสงค์ ที่ระบุไว้ในนโยบายฉบับนี้

• ข้อมูลบัญชีและเนื้อหาที่ผู้ใช้สร้างขึ้น จะเก็บไว้จนกว่าผู้ดูแลระบบจะลบบัญชี หรือผู้ใช้ขอให้ลบ
• Audit logs จะถูกเก็บไว้เพื่อการตรวจสอบความปลอดภัย ตามนโยบายภายในของคณะ
• Session จะหมดอายุอัตโนมัติตามที่ระบบกำหนด
• ข้อมูลที่ลบแล้ว อาจคงอยู่ในระบบสำรอง (backup) เป็นเวลาจำกัด ก่อนถูกลบถาวร

4. การควบคุมการเข้าถึงและเปิดเผยข้อมูล

4.1 บุคลากรภายในคณะ

ระบบกำหนดสิทธิ์การเข้าถึงข้อมูลตามบทบาท ของผู้ใช้งานภายในคณะ ดังนี้

• อาจารย์ผู้สอน — เข้าถึงรายชื่อสมาชิก สถานะการส่งงาน และเนื้อหางานของนักศึกษาในห้องที่ตนรับผิดชอบ
• ผู้ดูแลระบบ (Admin) — เข้าถึงข้อมูลผู้ใช้ทุกบทบาทเพื่อการจัดการระบบ ตรวจสอบ และนำเข้าผู้ใช้
• เจ้าของข้อมูล — เข้าถึง แก้ไข และดาวน์โหลดข้อมูลของตนเองผ่านหน้าโปรไฟล์

4.2 การเปิดเผยตามกฎหมาย

ระบบอาจเปิดเผยข้อมูลตามคำสั่งของหน่วยงานราชการ หรือศาล หรือเพื่อปกป้องสิทธิ ทรัพย์สิน และความปลอดภัยของผู้ใช้งานและระบบ ภายใต้ขอบเขตที่กฎหมายกำหนด

• ภายใต้คำสั่งทางกฎหมายจากศาลหรือหน่วยงานราชการที่มีอำนาจ
• เพื่อปกป้องสิทธิ ทรัพย์สิน หรือความปลอดภัยของผู้ใช้งานและระบบ
• เพื่อป้องกัน ตรวจสอบ หรือดำเนินคดีกับการกระทำที่อาจเป็นการละเมิดกฎหมายหรือเงื่อนไขการใช้บริการ

5. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เจ้าของข้อมูลมีสิทธิดังต่อไปนี้

• สิทธิในการเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของตน
• สิทธิในการแก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบัน
• สิทธิในการขอลบหรือทำลายข้อมูลเมื่อหมดความจำเป็น
• สิทธิในการคัดค้านหรือระงับการประมวลผลข้อมูล
• สิทธิในการขอโอนย้ายข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่อง
• สิทธิในการเพิกถอนความยินยอม (ในกรณีที่การประมวลผลอาศัยความยินยอม)
• สิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

สิทธิบางส่วนสามารถใช้ได้ทันทีผ่านหน้าโปรไฟล์ เช่น การแก้ไขข้อมูลส่วนตัว และการอัปโหลดหรือลบรูปประจำตัว สำหรับสิทธิอื่นๆ สามารถใช้ได้โดยติดต่อคณะครุศาสตร์ ตามช่องทางในข้อ 7

6. มาตรการรักษาความปลอดภัย

ระบบใช้มาตรการทางเทคนิคและทางองค์กรที่เหมาะสม เพื่อปกป้องข้อมูลของผู้ใช้

• การเข้ารหัสข้อมูลระหว่างการส่งผ่าน HTTPS / TLS
• การ hash รหัสผ่านด้วยอัลกอริทึมที่ผ่านการรับรอง
• การกำหนดสิทธิ์การเข้าถึงตามบทบาท (Role-Based Access Control)
• การบันทึกการกระทำของผู้ใช้ใน Audit Logs เพื่อการตรวจสอบย้อนหลัง
• การจำกัดสิทธิ์ของผู้ดูแลระบบและการตรวจสอบเป็นระยะ

แม้ระบบจะใช้มาตรการรักษาความปลอดภัยอย่างเหมาะสม แต่ไม่มีระบบใดที่ปลอดภัย 100% หากผู้ใช้พบเหตุการณ์ผิดปกติ หรือสงสัยว่าบัญชีของตนถูกบุกรุก โปรดแจ้งคณะครุศาสตร์โดยทันที

7. ช่องทางการติดต่อ

หากมีคำถามเกี่ยวกับนโยบายความเป็นส่วนตัวฉบับนี้ หรือต้องการใช้สิทธิตามที่ระบุในข้อ 5 โปรดติดต่อ