นโยบายฉบับนี้อธิบายหลักการเก็บรวบรวม ใช้ เก็บรักษา เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลและข้อมูลสุขภาพของผู้ใช้แอปพลิเคชันและบริการ HICM (Health Industrial Community Model) ซึ่งต่อไปนี้เรียกว่า “แพลตฟอร์ม”
แพลตฟอร์มใช้สนับสนุนการติดตามพฤติกรรมและสุขภาพของบุคลากรและชุมชนอุตสาหกรรม การให้ความรู้ และกิจกรรมส่งเสริมสุขภาพ ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 และกฎหมายที่เกี่ยวข้อง
หากมีประกาศเฉพาะเจาะจงหรือคำขอความยินยอมแยกต่างหากในแพลตฟอร์ม ข้อความนั้นมีผลในส่วนที่แย้งกับฉบับนี้ เว้นแต่กฎหมายจะกำหนดไว้เป็นอย่างอื่น
“ข้อมูลส่วนบุคคล” มีความหมายตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
“เจ้าของข้อมูลส่วนบุคคล” หมายถึง บุคคลซึ่งข้อมูลสามารถระบุตัวตนได้ รวมถึงผู้ใช้แพลตฟอร์ม
“ผู้ควบคุมข้อมูลส่วนบุคคล” หมายถึง นิติบุคคลหรือหน่วยงานที่กำหนดให้รับผิดชอบการประมวลผลตามโครงการ HICM ชื่อ ที่อยู่ อีเมลและหมายเลขติดต่อของผู้ควบคุมข้อมูลที่แท้จริงควรถูกประกาศแยกโดยองค์กรเจ้าของโครงการตามที่กฎหมายกำหนด
ขึ้นอยู่กับฟังก์ชันที่เปิดใช้งานและข้อตกลงระหว่างองค์กรกับผู้ให้บริการ ประเภทข้อมูลต่อไปนี้เป็นเพียงขอบเขตที่มักปรากฏ ไม่ใช่รายการที่ครอบคลุมทุกกรณี
การประมวลผลดำเนินการเพื่อวัตถุประสงค์ เช่น การสร้างและจัดการบัญชีผู้ใช้ การยืนยันตัวตน การให้บริการติดตามสุขภาพ การวิเคราะห์แนวโน้มส่วนบุคคล การแจ้งเตือน การจัดทำรายงานในระดับที่ได้รับอนุญาต การรักษาความปลอดภัยของระบบ การปฏิบัติตามกฎหมาย และการคุ้มครองสิทธิโดยชอบด้วยกฎหมายของผู้เกี่ยวข้อง
ฐานทางกฎหมายอาจรวมถึงความจำเป็นในการปฏิบัติตามสัญญาหรือขั้นตอนก่อนทำสัญญา การปฏิบัติตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมายที่ชอบด้วยสัดส่วน หรือความยินยอมของเจ้าของข้อมูลสำหรับกิจกรรมที่ไม่ได้อาศัยฐานอื่นได้ ตามแต่กรณีและตามที่ปรากฏในหน้าความยินยอมของแพลตฟอร์ม
แพลตฟอร์มจะไม่ขายข้อมูลส่วนบุคคล การเปิดเผยต่อบุคคลที่สามจะทำเมื่อมีฐานทางกฎหมายที่เหมาะสม เช่น ได้รับความยินยอมชัดแจ้ง เป็นไปตามกฎหมาย จำเป็นต่อการให้บริการโดยผู้ประมวลผลตามคำสั่งของผู้ควบคุมข้อมูลภายใต้สัญญา หรือเพื่อปกป้องชีวิต ร่างกาย หรือสุขภาพของบุคคลตามที่กฎหมายอนุญาต
หากมีการโอนข้อมูลไปยังต่างประเทศ องค์กรจะต้องดำเนินการให้สอดคล้องกับบทบัญญัติว่าด้วยการถ่ายโอนข้อมูลไปต่างประเทศตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคลและประกาศที่เกี่ยวข้อง
ข้อมูลจะถูกเก็บรักษาเท่าที่จำเป็นต่อวัตถุประสงค์ที่แจ้งไว้ ระยะเวลาเก็บรักษาเฉพาะตามประเภทข้อมูลและข้อกำหนดกฎหมายหรือข้อกำหนดภายในองค์กร จะถูกกำหนดเพิ่มเติมในประกาศภายใน เอกสารความยินยอม หรือคำตอบคำขอใช้สิทธิของเจ้าของข้อมูล
เมื่อพ้นระยะเวลาหรือเมื่อไม่มีเหตุอันชอบด้วยกฎหมายในการเก็บรักษา องค์กรจะลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ ตามมาตรการที่เหมาะสม
ภายใต้กฎหมายที่ใช้บังคับ เจ้าของข้อมูลมีสิทธิขอเข้าถึง ขอรับสำเนา ขอแก้ไขให้ถูกต้อง ขอลบหรือทำลาย ขอระงับการประมวลผล ขอคัดค้านการประมวลผลในบางกรณี ขอให้ส่งหรือโอนข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องมืออัตโนมัติ (หากมีการจัดเตรียมในรูปแบบนั้น) และขอถอนความยินยอมเมื่อการประมวลผลอาศัยความยินยอม ทั้งนี้การใช้สิทธิบางประการอาจมีข้อยกเว้นตามกฎหมาย
องค์กรจัดให้มีมาตรการทางเทคนิคและองค์กรที่สมเหตุสมผล เช่น การควบคุมการเข้าถึงตามบทบาท การเข้ารหัสหรือแฮชข้อมูลอ่อนไหวตามแบบแผน การบันทึกเหตุการณ์สำคัญ การฝึกอบรมบุคลากร และการประเมินความเสี่ยงเป็นระยะ ทั้งนี้ไม่มีระบบใดปลอดภัยสมบูรณ์ และผู้ใช้ควรเก็บรักษารหัสผ่านหรืออุปกรณ์ส่วนตัวอย่างระมัดระวัง
หากแพลตฟอร์มมีการเชื่อมโยงกับเว็บไซต์ภายนอกหรือบริการวิเคราะห์ ให้ถือว่าการประมวลผลภายใต้นโยบายของผู้ให้บริการนั้นด้วย คุกกี้หรือเทคโนโลยีที่คล้ายกัน (หากมี) ควรได้รับการอธิบายในประกาศหรือแบナร์ความยินยอมแยกตามความจำเป็น
ผู้ให้ความยินยอมหรือผู้ใช้แพลตฟอร์มที่มีความสามารถในการทำนิติกรรมตามกฎหมายไทยที่เกี่ยวข้อง หากมีการประมวลผลเกี่ยวกับผู้เยาว์หรือบุคคลที่อยู่ภายใต้การพิทักษ์หรืออำนาจปกครองของผู้อื่น ต้องดำเนินการตามบทบัญญัติคุ้มครองผู้ไม่มีหรือมีไม่ครบความสามารถ และตามประกาศที่เกี่ยวข้อง
องค์กรอาจปรับปรุงนโยบายนี้ได้ การแก้ไขที่มีผลต่อผู้ใช้จะแจ้งผ่านแพลตฟอร์มหรือช่องทางที่เหมาะสม หากกฎหมายหรือลักษณะการประมวลผลมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ อาจต้องให้ความยินยอมใหม่หรือดำเนินการอื่นตามที่กำหนด
เวอร์ชันปัจจุบันระบุวันที่มีผลบังคับใช้จากข้อมูลเมตาของระบบเอกสาร PDPA และควรสอดคล้องกับเลขที่เวอร์ชันในแพลตฟอร์มผู้ดูแลเมื่อเกิดการเผยแพร่อย่างเป็นทางการ
ข้อความเกี่ยวกับผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมร่วม หากมี และเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (ถ้ามีการแต่งตั้ง) รวมถึงที่อยู่และอีเมลสำหรับการใช้สิทธิหรือคำถามความเป็นส่วนตัว ควรประกาศโดยองค์กรเจ้าของโครงการแยกจากนโยบายนี้อย่างชัดแจ้ง
สำหรับช่องทางชั่วคราวในระบบทดสอบหรือพัฒนา สามารถใช้อีเมลที่กำหนดในการตั้งค่าใช้งาน เช่น อีเมลสนับสนุนที่แสดงในหน้าแอปพลิเคชัน ภายใต้เงื่อนไขว่าองค์กรได้กำหนดผู้รับผิดชอบจริงแล้ว