ประกาศทางการ

1. บทนำและวัตถุประสงค์

บริษัท ดี โค็ดดิ้ง จำกัด (ต่อไปนี้เรียกว่า "บริษัท") ตระหนักถึงความสำคัญของการคุ้มครองข้อมูลส่วนบุคคลของลูกค้า คู่ค้า พนักงาน และบุคคลอื่นใดที่บริษัทมีปฏิสัมพันธ์ด้วยในการดำเนินธุรกิจ

บริษัทจึงจัดทำนโยบายการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ เพื่อกำหนดแนวทางการเก็บรวบรวม ใช้ เปิดเผย และจัดการข้อมูลส่วนบุคคลให้เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) และกฎหมายที่เกี่ยวข้อง

นโยบายฉบับนี้มีผลบังคับใช้กับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลทั้งหมดที่บริษัทดำเนินการในฐานะผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ไม่ว่าจะเป็นการให้บริการพัฒนาซอฟต์แวร์ การให้คำปรึกษาด้านเทคโนโลยีสารสนเทศ หรือการดำเนินงานภายในองค์กร

2. ข้อมูลส่วนบุคคลที่เก็บรวบรวม

บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลเท่าที่จำเป็นและสมเหตุสมผลกับวัตถุประสงค์ที่ระบุไว้เท่านั้น ดังต่อไปนี้

2.1 ข้อมูลของลูกค้าและคู่ค้าทางธุรกิจ

• ชื่อ นามสกุล ตำแหน่ง และชื่อองค์กร
• หมายเลขโทรศัพท์ ที่อยู่อีเมล และที่อยู่ทางไปรษณีย์
• เลขประจำตัวผู้เสียภาษีหรือเลขทะเบียนนิติบุคคล
• ข้อมูลทางการเงินที่จำเป็นสำหรับการออกใบแจ้งหนี้และการชำระเงิน
• บันทึกการสื่อสาร อีเมล และเอกสารสัญญาที่เกี่ยวข้อง

2.2 ข้อมูลของพนักงานและผู้สมัครงาน

• ชื่อ นามสกุล วันเดือนปีเกิด และข้อมูลระบุตัวตน (เลขบัตรประจำตัวประชาชน หรือหนังสือเดินทาง)
• ข้อมูลการศึกษาและประวัติการทำงาน
• ข้อมูลการติดต่อฉุกเฉินและข้อมูลครอบครัวเท่าที่จำเป็น
• ข้อมูลเงินเดือน บัญชีธนาคาร และสวัสดิการ
• บันทึกการเข้า-ออกงาน การลา และการประเมินผลการปฏิบัติงาน

2.3 ข้อมูลที่เก็บรวบรวมโดยอัตโนมัติผ่านระบบดิจิทัล

• ที่อยู่ IP, Cookies และข้อมูลการใช้งานเว็บไซต์หรือระบบของบริษัท
• บันทึกการเข้าใช้งานระบบ (Access Logs)
• ข้อมูลอุปกรณ์และระบบปฏิบัติการที่ใช้เข้าถึงบริการ

บริษัทจะไม่เก็บรวบรวมข้อมูลส่วนบุคคลที่มีความอ่อนไหว (Sensitive Personal Data) เว้นแต่มีความจำเป็นอย่างชัดเจนตามกฎหมาย หรือได้รับความยินยอมจากเจ้าของข้อมูลอย่างชัดแจ้ง

3. วัตถุประสงค์ในการใช้ข้อมูลส่วนบุคคล

บริษัทประมวลผลข้อมูลส่วนบุคคลภายใต้ฐานทางกฎหมาย (Lawful Basis) ตามที่ PDPA กำหนด ได้แก่ การปฏิบัติตามสัญญา การปฏิบัติตามกฎหมาย ประโยชน์โดยชอบด้วยกฎหมาย และความยินยอมของเจ้าของข้อมูล โดยมีวัตถุประสงค์ดังต่อไปนี้

3.1 การให้บริการและการบริหารสัญญา

เพื่อเข้าทำสัญญา ให้บริการพัฒนาซอฟต์แวร์และบริการที่เกี่ยวข้อง บริหารจัดการโครงการ ออกใบแจ้งหนี้ และดำเนินการชำระเงิน

3.2 การสื่อสารและการให้การสนับสนุน

เพื่อติดต่อสื่อสารเกี่ยวกับโครงการ ตอบข้อซักถาม แจ้งความคืบหน้า และให้บริการภายหลังการส่งมอบงาน

3.3 การปฏิบัติตามกฎหมายและข้อกำหนดของหน่วยงานราชการ

เพื่อจัดเก็บเอกสารทางบัญชีและภาษีตามที่กฎหมายกำหนด รายงานต่อหน่วยงานที่มีอำนาจตามกฎหมาย และตรวจสอบย้อนกลับเมื่อมีข้อพิพาท

3.4 การบริหารทรัพยากรบุคคล

เพื่อดำเนินกระบวนการสรรหา จ้างงาน จ่ายค่าตอบแทน พัฒนาบุคลากร และบริหารสัญญาจ้างงาน

3.5 การรักษาความมั่นคงปลอดภัยของระบบและทรัพย์สิน

เพื่อป้องกันการเข้าถึงระบบโดยไม่ได้รับอนุญาต ตรวจจับภัยคุกคามทางไซเบอร์ และปกป้องข้อมูลของลูกค้าที่อยู่ในความดูแลของบริษัท

3.6 การปรับปรุงคุณภาพการให้บริการ

เพื่อประเมินคุณภาพการให้บริการและพัฒนาขีดความสามารถของบริษัท โดยใช้ข้อมูลในลักษณะที่ไม่สามารถระบุตัวตนได้เมื่อเป็นไปได้

4. การเปิดเผยข้อมูลส่วนบุคคลต่อบุคคลภายนอก

บริษัทจะไม่ขาย ให้เช่า หรือเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอกเพื่อวัตถุประสงค์เชิงพาณิชย์โดยไม่ได้รับความยินยอม บริษัทอาจเปิดเผยข้อมูลเฉพาะในกรณีดังต่อไปนี้เท่านั้น

4.1 ผู้ให้บริการภายนอก (Sub-processors)

บริษัทอาจใช้บริการจากผู้ให้บริการภายนอกที่ผ่านการตรวจสอบและได้ทำข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) แล้ว เช่น ผู้ให้บริการโครงสร้างพื้นฐานระบบคลาวด์ ระบบการชำระเงิน และเครื่องมือสื่อสาร โดยผู้ให้บริการเหล่านี้ผูกพันตามสัญญาให้ใช้ข้อมูลเพื่อวัตถุประสงค์เฉพาะที่กำหนดเท่านั้น

4.2 หน่วยงานภาครัฐและการปฏิบัติตามกฎหมาย

เมื่อได้รับคำสั่งจากศาล หน่วยงานราชการ หรือตามที่กฎหมายกำหนด บริษัทจะเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นเพื่อปฏิบัติตามหน้าที่ตามกฎหมาย

4.3 การโอนธุรกิจ

ในกรณีที่บริษัทมีการควบรวม ซื้อกิจการ หรือโอนสินทรัพย์ ข้อมูลส่วนบุคคลอาจถูกโอนไปยังผู้รับโอน โดยบริษัทจะแจ้งให้เจ้าของข้อมูลทราบล่วงหน้าตามสมควร

4.4 การโอนข้อมูลระหว่างประเทศ

หากมีความจำเป็นต้องส่งข้อมูลส่วนบุคคลไปยังต่างประเทศ บริษัทจะดำเนินการเฉพาะกับประเทศหรือองค์กรที่มีมาตรฐานการคุ้มครองข้อมูลเพียงพอ หรือโดยมีมาตรการคุ้มครองที่เหมาะสมตามที่ PDPA กำหนด

5. ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล

บริษัทกำหนดระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคลตามประเภทข้อมูลและวัตถุประสงค์การใช้งาน ดังนี้

เมื่อครบกำหนดระยะเวลาดังกล่าว บริษัทจะดำเนินการลบหรือทำลายข้อมูลส่วนบุคคลตามกระบวนการที่ระบุในข้อ 8 เว้นแต่มีเหตุจำเป็นตามกฎหมายที่ต้องเก็บรักษาต่อไป

6. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 เจ้าของข้อมูลส่วนบุคคลมีสิทธิดังต่อไปนี้

6.1 สิทธิในการเข้าถึงข้อมูล (Right of Access)

เจ้าของข้อมูลมีสิทธิขอรับสำเนาข้อมูลส่วนบุคคลของตนที่บริษัทเก็บรวบรวมไว้ และขอทราบวิธีการที่บริษัทใช้ประมวลผลข้อมูลดังกล่าว

6.2 สิทธิในการแก้ไขข้อมูล (Right to Rectification)

เจ้าของข้อมูลมีสิทธิขอให้บริษัทแก้ไขข้อมูลที่ไม่ถูกต้อง ไม่สมบูรณ์ หรือไม่เป็นปัจจุบันให้ถูกต้องและเป็นปัจจุบัน

6.3 สิทธิในการลบข้อมูล (Right to Erasure)

เจ้าของข้อมูลมีสิทธิขอให้บริษัทลบหรือทำลายข้อมูลส่วนบุคคลเมื่อข้อมูลนั้นไม่มีความจำเป็นสำหรับวัตถุประสงค์ที่เก็บรวบรวมอีกต่อไป หรือเมื่อถอนความยินยอม โดยบริษัทจะดำเนินการภายใน 30 วันนับจากวันที่ได้รับคำขอ เว้นแต่มีเหตุตามกฎหมายที่ต้องเก็บรักษาต่อไป

6.4 สิทธิในการคัดค้านการประมวลผล (Right to Object)

เจ้าของข้อมูลมีสิทธิคัดค้านการประมวลผลข้อมูลส่วนบุคคลของตนที่อาศัยฐานประโยชน์โดยชอบด้วยกฎหมาย หรือที่ใช้เพื่อการตลาดทางตรง

6.5 สิทธิในการระงับการใช้ข้อมูล (Right to Restriction of Processing)

เจ้าของข้อมูลมีสิทธิขอให้บริษัทระงับการประมวลผลข้อมูลส่วนบุคคลชั่วคราว ในระหว่างการตรวจสอบความถูกต้องหรือการพิจารณาคำคัดค้าน

6.6 สิทธิในการโอนย้ายข้อมูล (Right to Data Portability)

เจ้าของข้อมูลมีสิทธิขอรับข้อมูลของตนในรูปแบบที่อ่านได้โดยเครื่อง เพื่อนำไปใช้กับผู้ให้บริการอื่น ในกรณีที่การประมวลผลอาศัยความยินยอมหรือสัญญาเป็นฐานทางกฎหมาย

6.7 สิทธิในการถอนความยินยอม (Right to Withdraw Consent)

เจ้าของข้อมูลมีสิทธิถอนความยินยอมที่ให้ไว้ได้ทุกเมื่อ โดยการถอนความยินยอมจะไม่กระทบต่อความชอบด้วยกฎหมายของการประมวลผลที่ได้กระทำไปแล้วก่อนหน้า

6.8 สิทธิในการร้องเรียน

เจ้าของข้อมูลมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากเชื่อว่าการประมวลผลข้อมูลส่วนบุคคลของบริษัทไม่เป็นไปตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

บริษัทจะตอบสนองต่อการใช้สิทธิดังกล่าวภายใน 30 วันนับจากวันที่ได้รับคำขอ หากคำขอมีความซับซ้อน บริษัทอาจขยายระยะเวลาได้อีกไม่เกิน 60 วัน โดยจะแจ้งให้เจ้าของข้อมูลทราบล่วงหน้า

7. มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล

บริษัทใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคลจากการเข้าถึง การใช้ การเปิดเผย การเปลี่ยนแปลง หรือการทำลายโดยไม่ได้รับอนุญาต

7.1 มาตรการทางเทคนิค

• การเข้ารหัสข้อมูล (Encryption) ทั้งในสภาวะจัดเก็บ (At Rest) และระหว่างการส่งผ่าน (In Transit) ด้วยมาตรฐาน TLS 1.2 ขึ้นไป
• การควบคุมการเข้าถึงตามหลักการสิทธิ์น้อยที่สุด (Principle of Least Privilege)
• การยืนยันตัวตนแบบหลายขั้นตอน (Multi-Factor Authentication) สำหรับระบบที่มีข้อมูลสำคัญ
• การตรวจสอบและบันทึกการเข้าถึงระบบ (Audit Logging) และการแจ้งเตือนเมื่อพบความผิดปกติ
• การสำรองข้อมูล (Backup) อย่างสม่ำเสมอและการทดสอบการกู้คืนข้อมูลเป็นระยะ

7.2 มาตรการเชิงองค์กร

• การฝึกอบรมพนักงานเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลอย่างน้อยปีละหนึ่งครั้ง
• การกำหนดนโยบายการใช้งานระบบสารสนเทศและบทลงโทษในกรณีฝ่าฝืน
• การจัดทำข้อตกลงการรักษาความลับ (Non-Disclosure Agreement) กับพนักงานและผู้รับจ้าง
• การทบทวนและประเมินความเสี่ยงด้านข้อมูลส่วนบุคคลเป็นระยะอย่างน้อยปีละหนึ่งครั้ง

7.3 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

ในกรณีที่มีการละเมิดข้อมูลส่วนบุคคล บริษัทจะแจ้งต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับจากที่ตรวจพบเหตุการณ์ดังกล่าว และจะแจ้งให้เจ้าของข้อมูลทราบโดยไม่ชักช้าในกรณีที่การละเมิดนั้นมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของบุคคล

8. กระบวนการลบและทำลายข้อมูลส่วนบุคคล

บริษัทมีกระบวนการลบและทำลายข้อมูลส่วนบุคคลอย่างเป็นระบบ เพื่อให้มั่นใจว่าข้อมูลที่หมดความจำเป็นจะถูกกำจัดอย่างปลอดภัยและไม่สามารถกู้คืนได้

8.1 เงื่อนไขการดำเนินการลบข้อมูล

บริษัทจะดำเนินการลบข้อมูลส่วนบุคคลเมื่อเกิดเหตุการณ์ใดเหตุการณ์หนึ่งดังต่อไปนี้

• ครบกำหนดระยะเวลาการเก็บรักษาข้อมูลตามที่ระบุในข้อ 5
• เจ้าของข้อมูลยื่นคำขอลบข้อมูลและบริษัทไม่มีเหตุตามกฎหมายที่จะเก็บรักษาต่อไปได้
• วัตถุประสงค์ที่ทำให้การประมวลผลชอบด้วยกฎหมายสิ้นสุดลงแล้ว
• เจ้าของข้อมูลถอนความยินยอมและไม่มีฐานทางกฎหมายอื่นรองรับการประมวลผลต่อไป

8.2 วิธีการลบและทำลายข้อมูล

สำหรับข้อมูลดิจิทัล บริษัทใช้วิธีการดังต่อไปนี้ตามความเหมาะสมกับประเภทสื่อและระดับความอ่อนไหวของข้อมูล

• การลบข้อมูลแบบเขียนทับ (Secure Overwrite / Data Wiping) ด้วยมาตรฐานที่ยอมรับในอุตสาหกรรม
• การทำลายคีย์เข้ารหัส (Cryptographic Erasure) สำหรับข้อมูลที่เข้ารหัสไว้
• การลบข้อมูลในระบบคลาวด์โดยใช้ฟังก์ชันการลบถาวรของผู้ให้บริการ พร้อมยืนยันผลผ่านบันทึกระบบ

สำหรับเอกสารกระดาษและสื่อทางกายภาพ

• การทำลายเอกสารด้วยเครื่องตัดกระดาษระดับ P-4 ขึ้นไปตามมาตรฐาน DIN 66399
• การมอบหมายให้บริษัทรับทำลายเอกสารที่ได้รับการรับรองในกรณีที่มีปริมาณมาก

8.3 กระบวนการตรวจสอบและบันทึก

• บริษัทดำเนินการทบทวนข้อมูลที่ถึงกำหนดลบทุกไตรมาส
• เจ้าหน้าที่ที่รับผิดชอบจะออกคำสั่งลบข้อมูลและบันทึกผลการดำเนินการในทะเบียนการลบข้อมูล (Data Disposal Register)
• บันทึกการลบข้อมูล ได้แก่ วันที่ดำเนินการ ประเภทข้อมูล วิธีการที่ใช้ และผู้ดำเนินการ จะถูกเก็บรักษาไว้ไม่น้อยกว่า 3 ปีเพื่อประโยชน์ในการตรวจสอบ
• ในกรณีที่ใช้บริการผู้ให้บริการภายนอก บริษัทจะขอหนังสือรับรองการทำลายข้อมูล (Certificate of Destruction) เป็นหลักฐานประกอบ

8.4 ข้อยกเว้น

บริษัทอาจเก็บรักษาข้อมูลส่วนบุคคลต่อเนื่องเกินกำหนดระยะเวลาปกติได้เฉพาะในกรณีดังต่อไปนี้

• มีคำสั่งศาล คำสั่งหน่วยงานราชการ หรือข้อกำหนดทางกฎหมายเฉพาะกิจที่กำหนดให้ต้องเก็บรักษา
• มีข้อพิพาทที่อยู่ระหว่างกระบวนการทางกฎหมายซึ่งข้อมูลนั้นเป็นหลักฐานสำคัญ

เมื่อเหตุยกเว้นดังกล่าวสิ้นสุดลง บริษัทจะดำเนินการลบข้อมูลโดยไม่ชักช้า

9. ช่องทางการติดต่อ

หากเจ้าของข้อมูลมีข้อสอบถาม ข้อร้องเรียน หรือประสงค์จะใช้สิทธิใดๆ ภายใต้นโยบายฉบับนี้ สามารถติดต่อบริษัทได้ผ่านช่องทางดังต่อไปนี้

ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)

บริษัทจะยืนยันการรับคำขอภายใน 3 วันทำการ และดำเนินการให้แล้วเสร็จภายในระยะเวลาที่กฎหมายกำหนด

การปรับปรุงนโยบาย

บริษัทอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราวเพื่อให้สอดคล้องกับการเปลี่ยนแปลงทางธุรกิจ เทคโนโลยี หรือกฎหมายที่เกี่ยวข้อง การเปลี่ยนแปลงที่มีนัยสำคัญจะถูกแจ้งให้ทราบผ่านช่องทางการสื่อสารที่เหมาะสมก่อนที่จะมีผลบังคับใช้ วันที่มีผลบังคับใช้ล่าสุดจะแสดงไว้ที่ส่วนหัวของเอกสารฉบับนี้

1. วัตถุประสงค์

เพื่อกำหนดแนวทาง มาตรฐาน และขอบเขตของการจัดทำเอกสารคู่มือผู้ใช้งาน (User Manual) ให้แก่ผู้ว่าจ้างที่ใช้บริการพัฒนาระบบสารสนเทศ โดยมุ่งเน้นให้เอกสารมีความถูกต้อง ครอบคลุม เข้าใจง่าย และสามารถใช้อ้างอิงเพื่อการอบรมหรือใช้งานระบบได้จริง

2. ขอบเขตการบังคับใช้

นโยบายฉบับนี้มีผลบังคับใช้กับ

• ทีมงานพัฒนาระบบของบริษัท
• ผู้ว่าจ้างที่ใช้บริการพัฒนาระบบสารสนเทศ
• บุคลากรที่เกี่ยวข้องกับการตรวจรับเอกสารประกอบการส่งมอบระบบ

3.1 รูปแบบและมาตรฐานเอกสาร

การจัดทำเอกสารคู่มือผู้ใช้งาน (User Manual) จะดำเนินการภายใต้แนวทางที่สอดคล้องกับมาตรฐานสากลและหลักการของหน่วยงานกำกับดูแลที่เกี่ยวข้อง โดยมีหลักเกณฑ์ดังต่อไปนี้

3.1.1

เอกสารต้องพิจารณาให้เป็นไปตามหลักเกณฑ์ในมาตรฐาน ISO/IEC 26514:2008 — Systems and software engineering — Requirements for designers and developers of user documentation ซึ่งกำหนดโครงสร้างและองค์ประกอบของเอกสารคู่มือผู้ใช้งานอย่างชัดเจน

3.1.2 อ้างอิงแนวทางปฏิบัติที่เกี่ยวข้อง

• แนวทางการกำกับดูแลระบบเทคโนโลยีสารสนเทศ (IT Governance)
• แนวปฏิบัติด้านความมั่นคงปลอดภัยสารสนเทศ (Cybersecurity Guidelines)
• มาตรฐานคุณภาพซอฟต์แวร์ที่เกี่ยวข้อง เช่น ISO/IEC 25010 (Quality Models)

3.1.3 องค์ประกอบขั้นต่ำของเอกสาร

• หน้าปก พร้อมชื่อระบบและเวอร์ชั่นของเอกสาร
• คำนำและสารบัญ
• บทนำและวัตถุประสงค์ของระบบ
• คำอธิบายภาพรวมของระบบและบทบาทของผู้ใช้งาน
• ขั้นตอนการใช้งานระบบแบบลำดับขั้น พร้อมภาพประกอบหน้าจอ
• คำอธิบายแต่ละฟังก์ชันหรือเมนูในระบบ
• ข้อควรระวังในการใช้งานและแนวทางแก้ไขปัญหาเบื้องต้น
• ภาคผนวก เช่น คำจำกัดความ คำย่อ หรือข้อมูลการติดต่อฝ่ายสนับสนุน

3.1.4 รูปแบบการส่งมอบ

• ไฟล์ดิจิทัล (PDF, Microsoft Word)
• เอกสารออนไลน์ (HTML/Web-based Manual)
• หรือแพลตฟอร์มจัดการความรู้ (Knowledge Base) ที่ตกลงร่วมกัน

3.2 การจัดทำเอกสารตามกลุ่มผู้ใช้งาน

เพื่อให้เอกสารคู่มือผู้ใช้งานสามารถตอบสนองต่อความต้องการของผู้ใช้งานแต่ละกลุ่มได้อย่างเหมาะสมและมีประสิทธิภาพ ผู้จัดทำต้องดำเนินการดังนี้

3.2.1 จำแนกกลุ่มผู้ใช้งาน

• ผู้ใช้งานทั่วไป (General Users)
• ผู้ดูแลระบบ (System Administrators)
• เจ้าหน้าที่สนับสนุน (Support Staff)
• ผู้บริหารระดับสูง (Executive Users)

3.2.2

จัดทำเนื้อหาให้ตรงกับบทบาทและสิทธิ์การเข้าถึงของแต่ละกลุ่มผู้ใช้งาน โดยต้องหลีกเลี่ยงการใช้เนื้อหาที่ซ้ำซ้อนหรือเกินความจำเป็น

3.2.3

หากระบบมีฟังก์ชันเฉพาะที่ใช้ในบางกลุ่มเท่านั้น ควรแยกเนื้อหาออกเป็นหมวด หรือจัดทำเป็นคู่มือแยกกลุ่ม (Modular Manual) เพื่อให้สะดวกในการใช้งาน

3.2.4 ระดับภาษาตามกลุ่มเป้าหมาย

• สำหรับผู้ใช้งานทั่วไป ควรใช้ภาษาที่ไม่เป็นทางเทคนิค
• สำหรับผู้ดูแลระบบ อาจใช้ศัพท์เทคนิคตามความเหมาะสม พร้อมคำอธิบายประกอบ

3.2.5

หากระบบรองรับหลายภาษา หรือมีผู้ใช้งานที่มีความหลากหลายด้านภาษา ควรพิจารณาการแปลเอกสารเป็นภาษาที่เหมาะสม ตามที่ตกลงไว้ในขอบเขตงาน

3.3 การส่งมอบและการตรวจสอบความถูกต้องของเอกสาร

การส่งมอบและการตรวจสอบเอกสารคู่มือผู้ใช้งานจะต้องเป็นไปตามกระบวนการที่ชัดเจน โปร่งใส และสามารถตรวจสอบย้อนหลังได้ โดยกำหนดแนวปฏิบัติดังนี้

3.3.1

ผู้จัดทำจะต้องจัดส่งเอกสารคู่มือฉบับร่าง (Draft) ให้ผู้ว่าจ้างภายในระยะเวลาที่ระบุในข้อตกลง หรือขอบเขตของงาน (TOR)

3.3.2

ผู้ว่าจ้างมีหน้าที่ตรวจสอบความครบถ้วน ความถูกต้อง และความเหมาะสมของเนื้อหา โดยต้องแจ้งข้อเสนอแนะหรือคำขอแก้ไขภายในระยะเวลาไม่เกิน 7 วันทำการ หลังจากได้รับเอกสาร

3.3.3

ผู้ว่าจ้างสามารถเสนอคำขอปรับแก้เอกสารได้ไม่เกินสองรอบ เพื่อควบคุมคุณภาพและระยะเวลาในการดำเนินการ ในกรณีที่มีคำขอปรับแก้เพิ่มเติมนอกเหนือจำนวนรอบที่กำหนด หรือมีการเปลี่ยนแปลงสาระสำคัญของเอกสาร ผู้ให้บริการขอสงวนสิทธิ์ในการปรับระยะเวลาส่งมอบ และ/หรือพิจารณาค่าบริการเพิ่มเติมตามความเหมาะสม

3.3.4

เอกสารฉบับสมบูรณ์ (Final Version) ที่ได้รับความเห็นชอบจากผู้ว่าจ้าง จะถือเป็นเอกสารส่วนหนึ่งของการส่งมอบระบบ และสามารถนำไปใช้ประกอบการอบรม การสนับสนุน และการตรวจสอบภายหลัง

การมุ่งเน้นลูกค้า (Customer Focus)

บริษัทถือว่าความพึงพอใจของลูกค้าเป็นปัจจัยสำคัญสูงสุด เรามุ่งมั่นทำความเข้าใจความต้องการ ความคาดหวัง และข้อกำหนดของลูกค้า รวมถึงผู้มีส่วนได้ส่วนเสียที่เกี่ยวข้อง เพื่อนำมาปรับใช้ในการออกแบบ พัฒนา และส่งมอบผลิตภัณฑ์และบริการที่ตอบโจทย์ทั้งในด้านคุณภาพ เวลา และงบประมาณ

การบริหารจัดการคุณภาพและกระบวนการ (Process and Quality Management)

บริษัทดำเนินการพัฒนาซอฟต์แวร์ตามกระบวนการที่ได้มาตรฐานสากล มีการวางแผน ควบคุม ตรวจสอบ และทบทวนในทุกขั้นตอน เพื่อให้มั่นใจว่าผลิตภัณฑ์และบริการมีความถูกต้อง สมบูรณ์ และสามารถตรวจสอบย้อนกลับได้ตามหลักการของ ISO/IEC 29110-4:2018

การปรับปรุงอย่างต่อเนื่อง (Continual Improvement)

บริษัทมุ่งมั่นที่จะพัฒนากระบวนการทำงานอย่างต่อเนื่อง โดยการนำผลการประเมิน ข้อเสนอแนะจากลูกค้า ผลการตรวจติดตาม (Audit) และบทเรียนที่ได้รับจากการปฏิบัติงาน มาใช้ในการปรับปรุงกระบวนการทำงานและยกระดับคุณภาพของซอฟต์แวร์และบริการอย่างต่อเนื่อง

การพัฒนาบุคลากรและการมีส่วนร่วม (Human Resource Development and Involvement)

บริษัทเล็งเห็นว่าพนักงานเป็นทรัพยากรที่มีคุณค่าสูงสุด เราส่งเสริมให้บุคลากรทุกระดับมีความรู้ ความสามารถ และทักษะที่เหมาะสม ผ่านการอบรม พัฒนา และสร้างความตระหนักรู้ด้านคุณภาพ ตลอดจนเปิดโอกาสให้บุคลากรมีส่วนร่วมในการพัฒนาและปรับปรุงระบบคุณภาพขององค์กร

การปฏิบัติตามข้อกำหนด มาตรฐาน และกฎหมาย (Compliance with Standards and Regulations)

บริษัทให้ความสำคัญกับการปฏิบัติตามข้อกำหนด มาตรฐาน กฎหมาย และระเบียบที่เกี่ยวข้อง ทั้งในระดับประเทศและสากล เพื่อสร้างความมั่นใจว่าผลิตภัณฑ์และบริการที่ส่งมอบมีคุณภาพ ปลอดภัย และสอดคล้องกับข้อกำหนดที่เกี่ยวข้องทั้งหมด

ความรับผิดชอบของฝ่ายบริหาร (Management Commitment)

ผู้บริหารระดับสูงของบริษัทให้คำมั่นว่าจะสนับสนุนทรัพยากรที่เพียงพอ ทั้งในด้านบุคลากร เทคโนโลยี เครื่องมือ และสภาพแวดล้อมในการทำงาน เพื่อส่งเสริมและสนับสนุนระบบบริหารคุณภาพอย่างเต็มที่ รวมถึงการทบทวนนโยบายและเป้าหมายคุณภาพอย่างสม่ำเสมอ เพื่อให้สอดคล้องกับการเปลี่ยนแปลงของตลาด เทคโนโลยี และความต้องการของลูกค้า

เป้าหมายคุณภาพ (Quality Objectives)

เพื่อให้สอดคล้องกับนโยบายคุณภาพ บริษัทได้กำหนดเป้าหมายคุณภาพที่สามารถวัดผลได้ (SMART: Specific, Measurable, Achievable, Relevant, Time-bound) ดังนี้

ความพึงพอใจของลูกค้า (Customer Satisfaction)

เป้าหมาย: รักษาความพึงพอใจของลูกค้าในระดับ ≥ 90% ของผลการประเมินแบบสอบถามประจำปี

วิธีวัดผล: แบบสอบถามความพึงพอใจลูกค้า (Customer Satisfaction Survey) อย่างน้อยปีละ 1 ครั้ง

ผู้รับผิดชอบ: ฝ่ายขายและฝ่ายบริหารโครงการ

คุณภาพของซอฟต์แวร์ (Product Quality)

เป้าหมาย: ลดจำนวนข้อผิดพลาด (Defects) ในการส่งมอบซอฟต์แวร์ให้น้อยกว่า 3 ข้อผิดพลาดร้ายแรง (Critical Defects) ต่อโครงการ

วิธีวัดผล: บันทึก Defect Tracking ผ่านระบบ Issue Tracker/Bug Tracking

ผู้รับผิดชอบ: ทีมพัฒนาและทีมทดสอบ (QA)

การส่งมอบตรงเวลา (On-time Delivery)

เป้าหมาย: ส่งมอบโครงการตามแผนงานที่ตกลงกับลูกค้ามากกว่าหรือเท่ากับ 95%

วิธีวัดผล: เปรียบเทียบกำหนดการใน Project Plan กับวันส่งมอบจริง

ผู้รับผิดชอบ: ผู้จัดการโครงการ (Project Manager)

การพัฒนาทักษะบุคลากร (Employee Competence Development)

เป้าหมาย: พนักงานทุกคนต้องได้รับการอบรม/พัฒนาทักษะอย่างน้อยปีละ 1 ครั้ง

วิธีวัดผล: บันทึกการเข้าร่วมอบรมและพัฒนาทักษะใน Training Record

ผู้รับผิดชอบ: ฝ่ายทรัพยากรบุคคล (HR) และฝ่ายบริหาร

การปรับปรุงกระบวนการ (Process Improvement)

เป้าหมาย: ดำเนินกิจกรรมการปรับปรุงกระบวนการอย่างน้อย 2 กิจกรรมต่อปี (เช่น Retrospective, Internal Audit, Kaizen)

วิธีวัดผล: รายงานการประชุมและแผนการปรับปรุง (Improvement Action Plan)

ผู้รับผิดชอบ: คณะกรรมการคุณภาพ (Quality Committee)

การปฏิบัติตามข้อกำหนด (Compliance)

เป้าหมาย: ผ่านการตรวจติดตามภายใน (Internal Audit) โดยมีการพบ Non-Conformity ระดับร้ายแรง (Major NC) เป็นศูนย์ (0)

วิธีวัดผล: รายงานผลการตรวจติดตามคุณภาพ (Audit Report)

ผู้รับผิดชอบ: ทีมบริหารคุณภาพ (Quality Management Representative — QMR)

ตารางเชื่อมโยงนโยบายคุณภาพกับเป้าหมาย

ตารางต่อไปนี้แสดงการเชื่อมโยงระหว่างนโยบายคุณภาพ เป้าหมาย ตัวชี้วัด และผู้รับผิดชอบ

คำมั่นสัญญา (Commitment Statement)

บริษัท ดี โค้ดดิ้ง จำกัด มีความมุ่งมั่นที่จะปฏิบัติตามนโยบายคุณภาพนี้อย่างเคร่งครัด และใช้เป็นกรอบในการกำหนดเป้าหมายคุณภาพในทุกระดับขององค์กร เพื่อสร้างความเชื่อมั่นให้แก่ลูกค้า และพัฒนาองค์กรให้เติบโตอย่างมั่นคงและยั่งยืน

บริษัท ดี โค้ดดิ้ง จำกัด จะติดตามและประเมินผลการดำเนินงานตามเป้าหมายคุณภาพอย่างต่อเนื่อง โดยผู้บริหารสูงสุดจะทบทวนความเหมาะสมและผลสัมฤทธิ์อย่างน้อยปีละ 1 ครั้ง เพื่อปรับปรุงให้สอดคล้องกับการเปลี่ยนแปลงขององค์กร ลูกค้า และสภาพแวดล้อมทางธุรกิจ

1. วัตถุประสงค์

เพื่อกำหนดแนวทาง มาตรการ และความรับผิดชอบในการรักษาความมั่นคงปลอดภัยของข้อมูลและระบบสารสนเทศของบริษัท ให้มีความลับ (Confidentiality) ความสมบูรณ์ (Integrity) และความพร้อมใช้งาน (Availability) ของข้อมูลในระดับที่เหมาะสมกับความเสี่ยงและความต้องการทางธุรกิจ

2. ขอบเขต

นโยบายนี้ครอบคลุมบุคคลและระบบดังต่อไปนี้

• พนักงาน ผู้รับจ้าง และบุคคลภายนอกที่ได้รับสิทธิ์เข้าถึงระบบสารสนเทศของบริษัท
• อุปกรณ์คอมพิวเตอร์ เครือข่าย เซิร์ฟเวอร์ และระบบคลาวด์ที่บริษัทดูแล
• ซอฟต์แวร์ รหัสต้นฉบับ และผลงานทางปัญญาที่บริษัทพัฒนาหรือรับผิดชอบ
• ข้อมูลของลูกค้าและข้อมูลทางธุรกิจที่อยู่ในความดูแลของบริษัท

3. การควบคุมการเข้าถึง (Access Control)

บริษัทกำหนดหลักการ Least Privilege และ Need-to-Know เป็นพื้นฐานในการจัดการสิทธิ์การเข้าถึง

• สิทธิ์การเข้าถึงระบบและข้อมูลต้องได้รับการอนุมัติจากผู้รับผิดชอบระบบนั้นๆ และกำหนดตามบทบาทหน้าที่เท่าที่จำเป็น
• บัญชีผู้ใช้งาน (User Account) ต้องใช้รหัสผ่านที่มีความแข็งแกร่งอย่างน้อย 12 ตัวอักษร ประกอบด้วยตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และอักขระพิเศษ
• ระบบที่มีข้อมูลสำคัญต้องเปิดใช้งานการยืนยันตัวตนแบบหลายขั้นตอน (Multi-Factor Authentication: MFA)
• สิทธิ์การเข้าถึงของพนักงานที่ลาออกหรือย้ายหน้าที่ต้องถูกเพิกถอนหรือปรับเปลี่ยนภายใน 1 วันทำการ
• ต้องทบทวนสิทธิ์การเข้าถึงของผู้ใช้งานทั้งหมดอย่างน้อยทุก 6 เดือน

4. การจัดการอุปกรณ์และซอฟต์แวร์

• อุปกรณ์ที่ใช้ในการทำงาน (ทั้งของบริษัทและส่วนตัวที่เข้าถึงระบบบริษัท) ต้องติดตั้งซอฟต์แวร์ป้องกันมัลแวร์และอัปเดตระบบปฏิบัติการอยู่เสมอ
• ห้ามติดตั้งซอฟต์แวร์ที่ไม่ได้รับอนุญาตหรือซอฟต์แวร์ละเมิดลิขสิทธิ์บนอุปกรณ์ที่ใช้ในการทำงาน
• อุปกรณ์ที่เก็บข้อมูลสำคัญต้องเข้ารหัสฮาร์ดดิสก์ (Full Disk Encryption)
• เมื่อไม่ใช้งาน อุปกรณ์ต้องล็อกหน้าจออัตโนมัติภายในไม่เกิน 10 นาที
• การใช้สื่อบันทึกข้อมูลแบบถอดได้ (USB, External Drive) กับข้อมูลที่มีความอ่อนไหวต้องได้รับอนุญาตจากผู้บังคับบัญชา

5. ความมั่นคงปลอดภัยเครือข่าย

• การเชื่อมต่อเครือข่ายจากภายนอกเข้าสู่ระบบของบริษัทต้องผ่าน VPN ที่บริษัทจัดให้เท่านั้น
• ห้ามใช้เครือข่าย Wi-Fi สาธารณะในการเข้าถึงระบบหรือข้อมูลของบริษัทโดยไม่มี VPN
• การรับส่งข้อมูลสำคัญทั้งหมดต้องเข้ารหัสด้วยโปรโตคอลที่ปลอดภัย (TLS 1.2 ขึ้นไป)
• ต้องแยกเครือข่ายสำหรับระบบพัฒนา (Development) ออกจากระบบ Production
• การเปิดพอร์ตหรือบริการเครือข่ายใหม่ต้องผ่านการประเมินความเสี่ยงและได้รับอนุมัติก่อน

6. การจัดการข้อมูลและการสำรองข้อมูล

• ข้อมูลต้องถูกจัดประเภทตามระดับความอ่อนไหว ได้แก่ สาธารณะ ภายใน ลับ และลับสุดยอด และต้องจัดการตามแนวทางของแต่ละระดับ
• ห้ามจัดเก็บข้อมูลลับของลูกค้าหรือรหัสผ่านในรูปแบบที่ไม่ได้เข้ารหัส เช่น ไฟล์ข้อความ อีเมล หรือ Chat
• ต้องสำรองข้อมูล (Backup) ระบบและฐานข้อมูลอย่างน้อยทุกวัน และทดสอบการกู้คืนข้อมูลอย่างน้อยทุกไตรมาส
• รหัสผ่านและ Secret Key ทั้งหมดต้องจัดเก็บใน Password Manager หรือ Secret Management System เท่านั้น
• ห้ามฝัง Credential หรือ API Key ไว้ใน Source Code หรือ Repository

7. ความมั่นคงปลอดภัยในการพัฒนาซอฟต์แวร์

บริษัทยึดหลัก Security by Design ในกระบวนการพัฒนาซอฟต์แวร์ทุกโครงการ

• ต้องทำการ Code Review โดยเน้นด้านความมั่นคงปลอดภัย (Security Review) สำหรับโค้ดทุกชุดก่อน Merge เข้า Main Branch
• ต้องตรวจสอบช่องโหว่ของ Dependencies (SCA: Software Composition Analysis) ในทุกโครงการก่อนส่งมอบ
• การทดสอบระบบต้องครอบคลุมด้านความมั่นคงปลอดภัย ได้แก่ Authentication, Authorization, Input Validation และการป้องกัน OWASP Top 10
• ต้องแยกสภาพแวดล้อม Development, Staging และ Production ออกจากกัน และห้ามใช้ข้อมูลจริงของลูกค้าในสภาพแวดล้อม Development
• การเข้าถึง Production Environment ต้องบันทึกล็อกและจำกัดเฉพาะผู้ที่จำเป็น

8. การจัดการเหตุการณ์ความมั่นคงปลอดภัย

เมื่อพบหรือสงสัยว่ามีเหตุการณ์ละเมิดความมั่นคงปลอดภัย ให้ดำเนินการดังนี้

• แจ้งหัวหน้างานและทีม IT ทันทีที่พบเหตุการณ์ผิดปกติ โดยไม่ชักช้า
• บันทึกรายละเอียดเหตุการณ์ ได้แก่ เวลา ลักษณะของเหตุการณ์ ระบบที่ได้รับผลกระทบ และการดำเนินการเบื้องต้น
• ห้ามพยายามแก้ไขหรือปกปิดหลักฐานที่เกี่ยวข้องกับเหตุการณ์
• ทีม IT จะดำเนินการสอบสวน ควบคุม และแก้ไขตามขั้นตอน Incident Response Plan
• บริษัทจะแจ้งลูกค้าและหน่วยงานที่เกี่ยวข้องภายในกรอบเวลาที่กฎหมายและสัญญากำหนด

9. ความรับผิดชอบ

พนักงานและผู้รับจ้าง

มีหน้าที่ปฏิบัติตามนโยบายนี้อย่างเคร่งครัด รักษาความลับของข้อมูลและ Credential ที่ได้รับมอบหมาย รายงานเหตุการณ์หรือพฤติกรรมที่น่าสงสัยทันที และเข้าร่วมการฝึกอบรมด้านความมั่นคงปลอดภัยที่บริษัทจัดให้

ผู้จัดการโครงการและหัวหน้าทีม

มีหน้าที่ตรวจสอบให้ทีมงานปฏิบัติตามนโยบายนี้ ประเมินความเสี่ยงด้าน IT Security ในโครงการที่รับผิดชอบ และรายงานปัญหาหรือช่องโหว่ที่พบแก่ฝ่ายบริหาร

ฝ่ายบริหาร

มีหน้าที่จัดสรรทรัพยากรที่เพียงพอสำหรับการรักษาความมั่นคงปลอดภัย ทบทวนและอนุมัตินโยบายนี้อย่างน้อยปีละหนึ่งครั้ง และสนับสนุนวัฒนธรรมองค์กรที่ให้ความสำคัญกับความมั่นคงปลอดภัยสารสนเทศ

10. การฝ่าฝืนนโยบาย

การฝ่าฝืนนโยบายนี้ไม่ว่าโดยเจตนาหรือประมาทเลินเล่อ อาจส่งผลให้บริษัทได้รับความเสียหายอย่างร้ายแรง บุคคลที่ฝ่าฝืนจะได้รับการดำเนินการทางวินัยตามระเบียบของบริษัท ซึ่งอาจรวมถึงการเลิกจ้างหรือดำเนินการตามกฎหมายในกรณีที่มีความเสียหายเกิดขึ้น

11. การทบทวนนโยบาย

บริษัทจะทบทวนนโยบายนี้อย่างน้อยปีละหนึ่งครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยสำคัญด้านเทคโนโลยี กฎหมาย หรือลักษณะภัยคุกคาม การเปลี่ยนแปลงใดๆ จะมีผลบังคับใช้เมื่อได้รับอนุมัติจากผู้บริหารและแจ้งให้ผู้ที่เกี่ยวข้องทราบ

หากวันหยุดดังกล่าวตรงกับวันเสาร์หรือวันอาทิตย์ บริษัทจะกำหนดวันหยุดชดเชยตามที่ทางราชการประกาศ