Политика защиты персональных данных

Компания Chaithanin Company Limited и ее аффилированные компании осуществляют сбор, использование и раскрытие персональных данных клиентов, партнеров, сотрудников, соискателей, персонала и иных лиц, связанных с Chaithanin Company Limited. Компания уважает и признает важность Закона Таиланда о защите персональных данных B.E. 2562 (2019) и в связи с этим разработала настоящую Политику защиты персональных данных, устанавливающую принципы, правила, порядок управления и соответствующие меры по обработке персональных данных. Настоящая политика обязательна для всех сотрудников Chaithanin Company Limited и направлена на обеспечение использования любых полученных персональных данных в соответствии с действующим законодательством и Законом о защите персональных данных. Подробности приведены ниже.

Раздел 1. Определения

«Компания»	означает Chaithanin Company Limited и ее аффилированные компании, включая Marina Golden Bay Victoria Co., Ltd., Marina Golden Bay Elia Co., Ltd., Marina Golden Bay Geneva Co., Ltd., The Sunlight Residence 9 Co., Ltd., Global Top Group Co., Ltd., а также другие компании, находящиеся под контролем Chaithanin Company Limited.
«Персональные данные»	означают любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу прямо или косвенно, за исключением данных умерших лиц.
«Конфиденциальные персональные данные»	означают персональные данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, сведения о сексуальной жизни, судимости, состоянии здоровья, инвалидности, членстве в профсоюзах, генетические данные, биометрические данные или любую другую информацию, которая может существенно повлиять на субъекта данных, как это определено Комитетом по защите персональных данных.
«Оператор персональных данных»	означает физическое или юридическое лицо, принимающее решения относительно сбора, использования или раскрытия персональных данных.
«Обработчик персональных данных»	означает физическое или юридическое лицо, осуществляющее обработку персональных данных по поручению или от имени оператора персональных данных.
«Субъект персональных данных»	означает физическое лицо, к которому относятся персональные данные.
«Обработка персональных данных»	означает любые действия, связанные со сбором, использованием и раскрытием персональных данных.
«Совет директоров»	означает Совет директоров Chaithanin Company Limited.
«Руководство»	означает руководство Chaithanin Company Limited.
«Сотрудники»	означает сотрудников Chaithanin Company Limited, занимающих должности ниже уровня руководства.
«Уведомление о конфиденциальности»	означает уведомление, размещенное на веб-сайте, информирующее пользователей о целях, способах сбора, обработки и хранения их персональных данных.
«Файлы cookie»	означают уникальные файлы, создаваемые веб-сайтами и сохраняемые на компьютере или устройстве пользователя, содержащие персональные данные, информацию об использовании и различные настройки пользователя с целью улучшения работы сайта.

Раздел 2. Цели обработки и сбора персональных данных

2.1 Компания, выступая в качестве оператора персональных данных в соответствии с Законом о защите персональных данных, осуществляет сбор и (или) использование персональных данных исключительно в законных и добросовестных целях, предварительно информируя субъектов данных о таких целях для осуществления своей деятельности и соблюдения применимого законодательства.

2.2 Компания будет собирать и (или) использовать персональные данные только в объеме, необходимом для достижения установленных целей обработки. Если компания намерена использовать персональные данные для иных целей, субъект данных будет уведомлен об этом, а при необходимости будет получено его согласие.

2.3 При сборе или использовании персональных данных компания предварительно получает согласие субъекта данных, за исключением случаев, когда получение такого согласия не требуется в соответствии с Законом о защите персональных данных.

2.4 Компания не осуществляет сбор конфиденциальных персональных данных, таких как сведения о расовом или этническом происхождении, политических взглядах, религиозных или философских убеждениях, сексуальной жизни, судимости, состоянии здоровья, инвалидности, членстве в профсоюзах, генетические или биометрические данные, если только не получено явное согласие субъекта данных либо если обработка не допускается законом без такого согласия. Компания обеспечивает повышенные меры безопасности при обработке таких данных.

Раздел 3. Раскрытие персональных данных

3.1 Компания может раскрывать персональные данные физическим лицам, государственным органам, регулирующим органам, организациям и сторонним юридическим лицам, с которыми заключены договоры, либо в иных случаях, разрешенных законодательством.
3.2 Компания может раскрывать персональные данные своим аффилированным компаниям в интересах своей деятельности и в интересах субъекта данных при соблюдении соответствующих мер защиты.

Раздел 4. Обработка персональных данных третьими лицами

Компания может передавать персональные данные третьим лицам для их обработки. Такая передача осуществляется в соответствии с законодательством с применением необходимых и надлежащих мер защиты персональных данных, включая маскирование данных перед передачей, передачу только необходимого объема данных, а также заключение соглашений о конфиденциальности или договоров на обработку персональных данных (Data Processing Agreement).

Раздел 5. Передача персональных данных за границу

Компания может передавать персональные данные компаниям своей группы, расположенным за пределами Таиланда, а также иным получателям данных в рамках обычной хозяйственной деятельности. Это может включать хранение данных на серверах или в облачных сервисах, расположенных в различных странах. Компания оценивает, обеспечивает ли страна назначения надлежащий уровень защиты персональных данных.
Если страна назначения не обеспечивает достаточный уровень защиты, компания принимает меры, предусмотренные законодательством, и внедряет необходимые меры безопасности, соответствующие требованиям конфиденциальности, за исключением случаев, прямо предусмотренных Законом о защите персональных данных. Передача также может осуществляться в случаях, предусмотренных законом, например, для соблюдения законодательства, при наличии согласия субъекта данных, необходимости исполнения договора, защиты жизни и здоровья либо в общественных интересах.

Раздел 6. Срок хранения персональных данных

Компания хранит персональные данные в течение срока, необходимого для достижения целей обработки или осуществления своей деятельности. В случаях, предусмотренных законодательством, данные могут храниться дольше, например, для соблюдения законодательства о противодействии отмыванию денежных средств или в целях проверки и расследования возможных споров в пределах срока исковой давности, который не превышает 10 лет.
По истечении указанного срока компания удаляет, уничтожает или обезличивает персональные данные.

Раздел 7. Меры безопасности

7.1 Компания применяет соответствующие технические и организационные меры безопасности для защиты персональных данных, включая защиту паролями, шифрование (Secure Sockets Layer/SSL), защиту сетевой инфраструктуры, разработку политик информационной безопасности, ограничение доступа, управление рисками и регулярный пересмотр мер безопасности в соответствии с развитием технологий.

7.2 Все сотрудники и персонал компании обязаны соблюдать требования Закона о защите персональных данных, обеспечивать безопасность персональных данных и не использовать информацию, полученную в ходе работы, в личных целях либо во вред компании.

7.3 Для предотвращения несанкционированного или незаконного использования либо раскрытия персональных данных компания применяет следующие меры:

7.3.1 Оценка перед передачей данных
     (a) Проверка полномочий и правовых оснований лица или организации, запрашивающих персональные данные.
     (b) Уточнение цели использования данных для определения необходимого объема передаваемой информации.

7.3.2 Передача данных
     (a) Подготовка отдельного набора данных с объемом информации, необходимым для заявленной цели.
     (b) Регистрация передачи данных с указанием имени получателя, контактной информации, даты передачи, правового основания и цели использования.
     (c) Информирование получателя о необходимости соблюдать обязанности оператора персональных данных в отношении полученного набора данных в рамках заявленных целей.

7.3.3 После передачи данных
     (a) Периодический контроль использования данных. Если необходимость в данных отпадает, компания уведомляет получателя об их удалении или уничтожении.
     (b) Использование механизмов автоматической синхронизации и обновления данных между источником и получателем.

Раздел 8. Нарушение безопасности персональных данных

В случае нарушения безопасности персональных данных компания уведомит Комитет по защите персональных данных в течение 72 часов с момента обнаружения инцидента. Если нарушение создает высокий риск для прав и свобод субъекта данных, компания незамедлительно уведомит субъекта данных и сообщит о принятых мерах по устранению последствий.

Раздел 9. Права субъекта персональных данных

Права субъекта персональных данных являются законными правами. Компания рассматривает обращения субъектов данных без неоправданной задержки. В случае отказа в удовлетворении запроса компания уведомит субъекта данных о причинах отказа.

9.1 Право на отзыв согласия. Субъект данных вправе в любое время отозвать свое согласие на сбор, использование и (или) раскрытие персональных данных, если иное не ограничено законодательством или условиями договора. Компания уведомит субъекта данных о возможных последствиях такого отзыва.

9.2 Право на доступ к персональным данным. Субъект данных имеет право получить доступ к своим персональным данным или запросить их копию, а также узнать источник получения таких данных, если они были получены без его согласия. Компания вправе отказать в предоставлении информации в случаях, предусмотренных законом или судебным решением, либо если это затрагивает права и свободы других лиц.

9.3 Право на переносимость данных. Субъект данных вправе получить свои персональные данные в машиночитаемом формате, а также потребовать их передачи другому оператору персональных данных, если это технически возможно. Данное право распространяется на данные, обработка которых осуществляется на основании согласия субъекта данных, исполнения договора или иных оснований, предусмотренных законом.

9.4 Право на возражение. Субъект данных вправе возражать против сбора, использования и (или) раскрытия персональных данных, если обработка осуществляется без согласия на основании исключений, а также в целях прямого маркетинга либо научных или статистических исследований. Компания вправе отказать в удовлетворении такого запроса в случаях, предусмотренных законом.

9.5 Право на удаление или уничтожение данных. Субъект данных вправе потребовать удаления, уничтожения или обезличивания персональных данных, если они были обработаны незаконно, больше не требуются для заявленных целей либо субъект данных воспользовался правом на отзыв согласия или возражение.

9.6 Право на ограничение обработки. Субъект данных вправе потребовать временного ограничения обработки персональных данных в период рассмотрения запроса на исправление данных, возражения против обработки или в иных случаях, предусмотренных законодательством.

9.7 Право на исправление данных. Субъект данных вправе потребовать исправления своих персональных данных, чтобы они были точными, полными и актуальными.

Раздел 10. Ответственность и дисциплинарные меры

Любое ответственное лицо, которое по небрежности, бездействию либо умышленными действиями нарушает настоящую Политику и требования по защите персональных данных, что приводит к нарушению законодательства, причинению ущерба или репутационных потерь, подлежит дисциплинарной ответственности в соответствии с внутренними правилами компании. Компания придерживается политики нулевой терпимости к подобным нарушениям. Виновное лицо может быть уволено без выплаты компенсации, обязано возместить фактически причиненный компании ущерб в течение 30 дней с момента получения письменного уведомления, а также может быть привлечено к ответственности в соответствии с законодательством. Если нарушение причинило ущерб компании или другим лицам, компания оставляет за собой право инициировать дополнительные судебные разбирательства.

Раздел 11. Пересмотр политики

Компания Chaithanin Company Limited пересматривает настоящую Политику не реже двух раз в год либо при внесении изменений в законодательство.
Настоящая Политика вступает в силу с 15 января 2023 года.

Опубликовано 1 декабря 2022 года.