แหล่งข้อมูล

ข้อมูลส่วนบุคคลควรถูกเก็บรวบรวมโดยตรงจากเจ้าของข้อมูล เว้นแต่กรณีต่อไปนี้จะเกิดขึ้น:

• ลักษณะของวัตถุประสงค์ทางธุรกิจจำเป็นต้องมีการเก็บรวบรวมข้อมูลส่วนบุคคลจากบุคคลหรือหน่วยงานอื่น.
• การเก็บรวบรวมจะต้องดำเนินการภายใต้สถานการณ์ฉุกเฉิน เพื่อปกป้องผลประโยชน์ที่สำคัญของเจ้าของข้อมูล หรือเพื่อป้องกันอันตรายร้ายแรงหรือการบาดเจ็บต่อบุคคลอื่น.

หากมีการเก็บรวบรวมข้อมูลส่วนบุคคลจากบุคคลอื่นที่มิใช่เจ้าของข้อมูลส่วนบุคคล เจ้าของข้อมูลส่วนบุคคลจะต้องได้รับทราบถึงการเก็บรวบรวมดังกล่าว เว้นแต่กรณีใดกรณีหนึ่งต่อไปนี้จะใช้บังคับ

• เจ้าของข้อมูลได้รับข้อมูลที่จำเป็นแล้วโดยวิธีการอื่น.
• ข้อมูลต้องถูกเก็บเป็นความลับเนื่องจากมีข้อผูกพันเกี่ยวกับการรักษาความลับทางวิชาชีพ.
• กฎหมายแห่งชาติได้กำหนดไว้อย่างชัดแจ้งเกี่ยวกับการเก็บรวบรวม การประมวลผล หรือการโอนข้อมูลส่วนบุคคล.

ในกรณีที่ได้กำหนดว่าจำเป็นต้องแจ้งให้เจ้าของข้อมูลทราบ การแจ้งดังกล่าวควรเกิดขึ้นโดยทันที แต่ไม่เกินหนึ่งเดือนปฏิทินนับตั้งแต่วันที่มีการเก็บรวบรวมหรือบันทึกข้อมูลส่วนบุคคลครั้งแรก ณ เวลาที่มีการสื่อสารครั้งแรกหากข้อมูลดังกล่าวถูกใช้เพื่อการสื่อสารกับเจ้าของข้อมูล ณ เวลาที่มีการเปิดเผยหากข้อมูลดังกล่าวถูกเปิดเผยต่อผู้รับอื่น.

การแจ้งเตือนผู้ให้ข้อมูล

Malvern International จะให้ข้อมูลแก่เจ้าของข้อมูลเกี่ยวกับวัตถุประสงค์ของการประมวลผลข้อมูลส่วนบุคคลเมื่อกฎหมายที่ใช้บังคับ สัญญา หรือที่ Malvern International พิจารณาว่าเหมาะสมอย่างสมเหตุสมผลกำหนดให้ดำเนินการทำเช่นนั้น.

ในกรณีที่ต้องขอความยินยอมจากเจ้าของข้อมูลเพื่อประมวลผลข้อมูลส่วนบุคคลของตน หรือเมื่อมีการรวบรวมข้อมูลส่วนบุคคลใดๆ จากเจ้าของข้อมูล การแจ้งข้อมูลที่เหมาะสมทั้งหมดจะถูกดำเนินการ โดยใช้วิธีการที่ทำให้ข้อมูลเหล่านั้นเป็นที่สังเกตได้อย่างชัดเจน เว้นแต่ข้อใดข้อหนึ่งต่อไปนี้จะใช้บังคับ:

• เจ้าของข้อมูลมีข้อมูลอยู่แล้ว.
• มีการยกเว้นทางกฎหมายที่ใช้บังคับกับข้อกำหนดสำหรับการเปิดเผยข้อมูล และ/หรือ การยินยอม.
• การเปิดเผยข้อมูลอาจทำได้ทางอิเล็กทรอนิกส์หรือเป็นลายลักษณ์อักษร.

ประกาศความเป็นส่วนตัวสำหรับบุคลากร

Malvern International จะจัดให้มีประกาศความเป็นส่วนตัวแก่บุคลากรของบริษัทเกี่ยวกับการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลของพวกเขา.

Malvern International จะรวมประกาศความเป็นส่วนตัวออนไลน์สำหรับบุคคลภายนอกซึ่งไม่ใช่บุคลากรของบริษัท และ ‘ประกาศเกี่ยวกับคุกกี้’ ออนไลน์ ตามข้อกำหนดของกฎหมายที่บังคับใช้.

การสร้างโปรไฟล์และการตัดสินใจอัตโนมัติ

Malvern International ปัจจุบันไม่ได้ดำเนินการเกี่ยวกับการสร้างโปรไฟล์และการตัดสินใจโดยอัตโนมัติ หากมีความจำเป็นต้องดำเนินการดังกล่าว จะทำเพื่อเข้าทำหรือปฏิบัติตามสัญญาที่ทำไว้กับเจ้าของข้อมูล หรือเมื่อได้รับอนุญาตตามกฎหมาย ในกรณีเช่นนี้ เจ้าของข้อมูลจะมีโอกาสที่จะ:

• แสดงมุมมองของพวกเขา
• ขอคำอธิบายเกี่ยวกับระบบการตัดสินใจอัตโนมัติ
• ทบทวนตรรกะที่ระบบอัตโนมัติใช้
• เสริมระบบอัตโนมัติด้วยข้อมูลเพิ่มเติม
• ให้มนุษย์ทำการตรวจสอบการตัดสินใจอัตโนมัติ
• คัดค้านการตัดสินใจอัตโนมัติ
• คัดค้านการตัดสินใจอัตโนมัติที่กำลังดำเนินอยู่.

การทำโปรไฟล์สำหรับการตัดสินใจอัตโนมัติอยู่ภายใต้ข้อจำกัดอย่างหนักในกฎหมายคุ้มครองข้อมูล และจะต้องดำเนินการหลังจากที่ได้ทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลแล้วเท่านั้น ห้ามเจ้าหน้าที่ดำเนินการใดๆ ที่เกี่ยวข้องกับการทำโปรไฟล์หรือการตัดสินใจแบบอัตโนมัติ โดยไม่ขอคำแนะนำและการสนับสนุนจากเจ้าหน้าที่คุ้มครองข้อมูลก่อน.

การตลาดดิจิทัล

Malvern International จะส่งข้อมูลส่งเสริมการขายหรือการตลาดโดยตรงไปยังผู้ติดต่อผ่านช่องทางดิจิทัล เช่น โทรศัพท์มือถือ อีเมล และอินเทอร์เน็ต เฉพาะในกรณีที่ข้อมูลดังกล่าวเป็นไปตามกฎหมายคุ้มครองข้อมูล บุคคลใดก็ตามที่เกี่ยวข้องกับ Malvern International ซึ่งประสงค์จะดำเนินการรณรงค์ทางการตลาดแบบดิจิทัลโดยไม่ได้รับความยินยอมล่วงหน้าจากเจ้าของข้อมูล จะต้องได้รับการอนุมัติจากเจ้าหน้าที่คุ้มครองข้อมูลก่อน.

ในกรณีที่การประมวลผลข้อมูลส่วนบุคคลได้รับอนุมัติเพื่อวัตถุประสงค์ทางการตลาดดิจิทัล เจ้าของข้อมูลต้องได้รับแจ้ง ณ จุดแรกที่ติดต่อ ว่าพวกเขามีสิทธิ์ที่จะคัดค้านในทุกขั้นตอนของการประมวลผลข้อมูลเพื่อวัตถุประสงค์ดังกล่าว หากเจ้าของข้อมูลยื่นคัดค้าน การประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องกับการตลาดดิจิทัลต้องยุติลงทันที และรายละเอียดของพวกเขาควรถูกเก็บไว้ในรายการระงับ (suppression list) พร้อมบันทึกการตัดสินใจไม่รับ (opt-out) แทนที่จะถูกลบออกโดยสมบูรณ์.

ควรทราบว่าในกรณีที่การตลาดดิจิทัลดำเนินการในบริบท ‘ธุรกิจถึงธุรกิจ’ (business to business) ไม่จำเป็นต้องมีข้อกำหนดทางกฎหมายในการขอความยินยอมสำหรับการทำการตลาดดิจิทัลถึงบุคคลธรรมดา โดยมีเงื่อนไขว่าบุคคลเหล่านั้นมีโอกาสที่จะเลือกไม่รับ (opt-out).

การเก็บรักษาข้อมูล
เพื่อให้การประมวลผลเป็นไปอย่างยุติธรรม บริษัท Malvern International จะไม่เก็บรักษาข้อมูลส่วนบุคคลไว้นานเกินความจำเป็นตามวัตถุประสงค์ที่ได้รวบรวมไว้แต่เดิม หรือตามวัตถุประสงค์ที่มีการประมวลผลต่อไป.

ระยะเวลาที่ Malvern International ต้องเก็บรักษาข้อมูลส่วนบุคคลระบุไว้ในภาคผนวก 1 โดยคำนึงถึงข้อกำหนดทางกฎหมาย ข้อสัญญา และข้อกำหนดทางธุรกิจที่มีอิทธิพลต่อระยะเวลาการเก็บรักษา ข้อมูลส่วนบุคคลทั้งหมดควรถูกลบหรือทำลายโดยเร็วที่สุดเมื่อได้รับการยืนยันว่าไม่มีความจำเป็นต้องเก็บรักษาไว้อีกต่อไป เว้นแต่จะมีวัตถุประสงค์ที่ชอบด้วยกฎหมายที่ไม่ต้องดำเนินการดังกล่าว การตัดสินใจใดๆ ที่จะไม่ทำลายหรือลบข้อมูลส่วนบุคคลให้สอดคล้องกับแนวทางการเก็บรักษาในภาคผนวก 1 จะต้องจัดทำเป็นเอกสารเป็นลายลักษณ์อักษรและได้รับอนุมัติจาก CEO.

การคุ้มครองข้อมูล
Malvern International จะใช้มาตรการทางกายภาพ เทคนิค และองค์กร เพื่อให้แน่ใจว่าข้อมูลส่วนบุคคลมีความปลอดภัย ซึ่งรวมถึงการป้องกันการสูญหายหรือความเสียหาย การเปลี่ยนแปลงโดยไม่ได้รับอนุญาต การเข้าถึง หรือการประมวลผล และความเสี่ยงอื่นๆ ที่อาจเกิดขึ้นอันเนื่องมาจากการกระทำของมนุษย์ สภาพแวดล้อมทางกายภาพ หรือธรรมชาติ.

มาตรการรักษาความปลอดภัยขั้นต่ำที่ Malvern International ต้องนำมาใช้มีดังนี้:

• ป้องกันบุคคลผู้ไม่ได้รับอนุญาตเข้าถึงระบบประมวลผลข้อมูลส่วนบุคคล.
• ป้องกันผู้มีสิทธิ์ใช้ระบบประมวลผลข้อมูลจากการเข้าถึงข้อมูลส่วนบุคคลเกินกว่าความจำเป็นและขอบเขตที่ได้รับอนุญาต.
• ตรวจสอบให้แน่ใจว่าข้อมูลส่วนบุคคลระหว่างการส่งข้อมูลทางอิเล็กทรอนิกส์ระหว่างการขนส่งไม่สามารถอ่าน คัดลอก แก้ไข หรือลบได้โดยไม่ได้รับอนุญาต.
• ตรวจสอบให้แน่ใจว่ามีการบันทึกการเข้าใช้เพื่อกำหนดว่าข้อมูลส่วนบุคคลถูกป้อน แก้ไข หรือลบออกจากระบบประมวลผลข้อมูลเมื่อใด และโดยใคร.
• ให้แน่ใจว่าในกรณีที่มีการประมวลผลข้อมูลโดยผู้ประมวลผลข้อมูล จะสามารถประมวลผลข้อมูลได้ตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น.
• ตรวจสอบให้แน่ใจว่าข้อมูลส่วนบุคคลได้รับการคุ้มครองจากการทำลายหรือสูญหายโดยไม่พึงประสงค์.
• ตรวจสอบให้แน่ใจว่าข้อมูลส่วนบุคคลที่รวบรวมมาเพื่อวัตถุประสงค์ที่แตกต่างกัน สามารถและได้รับการประมวลผลแยกจากกันได้.
• ให้แน่ใจว่าข้อมูลส่วนบุคคลจะไม่ถูกเก็บไว้นานเกินความจำเป็น.
• ตรวจสอบให้แน่ใจว่าบุคลากรที่เหมาะสมของบริษัทได้รับการฝึกอบรมเกี่ยวกับข้อกำหนดการปฏิบัติตามกฎหมายคุ้มครองข้อมูลที่สำคัญ และวิธีที่พวกเขาสามารถรักษาความปลอดภัยของข้อมูลส่วนบุคคลให้สอดคล้องกับนโยบายนี้.

หน้าที่ความรับผิดชอบของบุคลากรบริษัท

ทุกคนที่ทำงานให้ หรือเป็นตัวแทนของ Malvern International มีหน้าที่รับผิดชอบในการจัดการรวบรวม จัดเก็บ และจัดการข้อมูลให้เหมาะสม สอดคล้องกับนโยบายนี้และนโยบายที่เกี่ยวข้อง.

ประธานเจ้าหน้าที่บริหารและผู้ประสานงานทรัพยากรบุคคลมีหน้าที่รับผิดชอบในการทบทวนนโยบายนี้และแจ้งให้คณะกรรมการบริหารทราบเกี่ยวกับความรับผิดชอบในการคุ้มครองข้อมูลของ Malvern International และความเสี่ยงใดๆ ที่เกี่ยวข้องกับการประมวลผลข้อมูล คำถามใดๆ ที่เกี่ยวกับนโยบายนี้หรือการคุ้มครองข้อมูลควรถามไปยังบุคคลดังกล่าว.

พนักงานบริษัทควร:

• เข้าถึงข้อมูลส่วนบุคคลได้ก็ต่อเมื่อจำเป็นสำหรับงานที่พวกเขาทำให้กับ Malvern International และได้รับอนุญาตให้ทำเช่นนั้นเท่านั้น พวกเขาควรใช้ข้อมูลเพื่อวัตถุประสงค์ที่ชอบด้วยกฎหมายตามที่ระบุไว้เท่านั้น.
• ไม่แบ่งปันข้อมูลส่วนตัวโดยไม่เป็นทางการ.
• รักษาข้อมูลส่วนบุคคลให้ปลอดภัย และไม่เปิดเผยข้อมูลให้กับบุคคลที่ไม่ได้รับอนุญาต.
• ทบทวนข้อมูลส่วนบุคคลที่ตนจัดการอย่างสม่ำเสมอ และปรับปรุงข้อมูลตามที่จำเป็นหรือตามคำขอ ซึ่งรวมถึงการแจ้งให้เราทราบหากข้อมูลการติดต่อของตนเองมีการเปลี่ยนแปลง.
• ไม่สร้างสำเนาข้อมูลส่วนบุคคลโดยไม่จำเป็น และควรเก็บรักษาและทำลายสำเนาใดๆ อย่างปลอดภัย.
• ใช้รหัสผ่านที่คาดเดายาก และไม่แบ่งปันรหัสผ่านของคุณกับผู้อื่น.
• ควรล็อกหน้าจอคอมพิวเตอร์เมื่อไม่อยู่ที่โต๊ะ.
• ห้ามนำข้อมูลส่วนบุคคลออกจากสถานที่ของบริษัท โดยไม่ได้รับอนุญาตจากผู้จัดการสายงานของคุณ หรือผู้ประสานงานฝ่ายบุคคล.
• ขอความช่วยเหลือจาก HR Business Partner หากคุณไม่แน่ใจเกี่ยวกับเรื่องการคุ้มครองข้อมูล หรือหากคุณพบเห็นส่วนใดที่สามารถปรับปรุงด้านการคุ้มครองข้อมูลหรือความปลอดภัยได้.

ข้อมูลส่วนบุคคลควรเข้ารหัสก่อนการถ่ายโอนทางอิเล็กทรอนิกส์ไปยังผู้ติดต่อภายนอกที่ได้รับอนุญาต โปรดติดต่อฝ่ายไอทีเพื่อขอข้อมูลเพิ่มเติมเกี่ยวกับวิธีการทำสิ่งนี้.

พิจารณาการปกปิดข้อมูลส่วนบุคคล หรือการใช้คีย์/รหัสแยกต่างหาก เพื่อไม่ให้สามารถระบุตัวตนของเจ้าของข้อมูลได้.

ข้อมูลส่วนบุคคลไม่ควรถูกบันทึกลงในคอมพิวเตอร์ส่วนบุคคลหรืออุปกรณ์อื่นที่ไม่ได้เป็นของ Malvern International.

ข้อมูลส่วนบุคคลต้องไม่ถูกส่งออกนอกเขตเศรษฐกิจยุโรป เว้นแต่จะเป็นไปตามกฎหมายและได้รับอนุญาตจากประธานเจ้าหน้าที่บริหาร.

ลิ้นชักเก็บเอกสารและตู้เก็บเอกสารควรถูกล็อก ห้ามทิ้งกระดาษที่มีข้อมูลส่วนบุคคลไว้เกลื่อนกลาด.

ข้อมูลส่วนบุคคลควรถูกฉีกทำลายและกำจัดอย่างปลอดภัยเมื่อไม่จำเป็นอีกต่อไป.

การบังคับใช้นโยบาย

การละเมิดนโยบายนี้โดยเจตนาหรือโดยประมาทโดยบุคลากรของบริษัท อาจส่งผลให้มีการดำเนินการทางวินัยต่อบุคลากรเหล่านั้น ตามระเบียบการทางวินัยของเรา.

การปกปิดหรือทำลายข้อมูลส่วนบุคคลซึ่งเป็นส่วนหนึ่งของคำขอเข้าถึงข้อมูลส่วนบุคคล (ดูด้านล่าง) ถือเป็นความผิดทางอาญา พฤติกรรมดังกล่าวจะถือเป็นการกระทำผิดวินัยร้ายแรงภายใต้ระเบียบวินัยของเรา ซึ่งอาจส่งผลให้ถูกเลิกจ้างได้.

โปรดทราบว่า แม้นโยบายนี้จะให้ตัวอย่างเป็นแนวทาง แต่ก็ไม่ใช่รายชื่อที่ครอบคลุมทั้งหมด และท่านอาจได้รับการแจ้งกฎเฉพาะอื่นๆ เป็นครั้งคราว.

สิทธิของเจ้าของข้อมูลและการร้องขอของเจ้าของข้อมูล

ผู้ซึ่งข้อมูลส่วนบุคคล (รวมถึงบุคลากรของบริษัท) มีสิทธิหลายประการเกี่ยวกับข้อมูลส่วนบุคคลที่ Malvern International ประมวลผล สิทธิเหล่านี้จะระบุไว้ในประกาศความเป็นส่วนตัวที่เกี่ยวข้องกับเจ้าของข้อมูล บุคลากรของบริษัทจะได้รับประกาศความเป็นส่วนตัวที่เกี่ยวข้อง บุคคลภายนอกจะสามารถเข้าถึงประกาศความเป็นส่วนตัวได้ทางออนไลน์ หรือสามารถขอสำเนาได้โดยตรง.

Malvern International จะจัดตั้งระบบที่ช่วยให้สามารถดำเนินการและอำนวยความสะดวกในการใช้สิทธิของเจ้าของข้อมูลที่เกี่ยวข้องกับ:

• การเข้าถึงข้อมูล
• การคัดค้านการประมวลผล
• การคัดค้านการตัดสินใจอัตโนมัติและการสร้างโปรไฟล์
• การจำกัดการประมวลผล
• การพกพาข้อมูล
• การแก้ไขข้อมูล
• การล้างข้อมูล

หากบุคคลใดทำการร้องขอที่เกี่ยวข้องกับสิทธิใดๆ ที่ระบุไว้ข้างต้น Malvern International จะพิจารณาคำร้องขอแต่ละฉบับตามกฎหมายและข้อบังคับเกี่ยวกับการคุ้มครองข้อมูลที่บังคับใช้ทั้งหมด หากเจ้าหน้าที่ได้รับคำร้องขอ จะไม่ได้รับอนุญาตให้จัดการคำร้องขอด้วยตนเอง และต้องแจ้งเจ้าหน้าที่คุ้มครองข้อมูลโดยเร็วที่สุด.

ผู้ขอข้อมูลส่วนบุคคลสามารถยื่นคำร้องที่เกี่ยวข้องกับสิทธิของตนได้ โดยต้องทำเป็นลายลักษณ์อักษร อย่างไรก็ตาม ผู้ขอข้อมูลส่วนบุคคลควรขอและใช้แบบฟอร์มคำร้องขอข้อมูลส่วนบุคคล (มีให้จากฝ่ายบุคคล) และส่งให้กับฝ่ายบุคคล วิธีนี้จะช่วยให้คำร้องถูกส่งถึงบุคคลที่ถูกต้องภายใน Malvern International และสามารถดำเนินการได้อย่างรวดเร็ว.

ผู้ใช้บริการจะต้องยืนยันตัวตนเมื่อส่งคำขอ หากไม่ดำเนินการดังกล่าว อาจส่งผลให้คำขอไม่เสร็จสมบูรณ์.

เจ้าของข้อมูลมีสิทธิที่จะได้รับข้อมูลเกี่ยวกับข้อมูลส่วนบุคคลของตนเองดังต่อไปนี้:

• วัตถุประสงค์ของการเก็บรวบรวม ประมวลผล ใช้ และจัดเก็บข้อมูลส่วนบุคคลของท่าน.
• แหล่งที่มาของข้อมูลส่วนบุคคล หากข้อมูลส่วนบุคคลไม่ได้ถูกเก็บรวบรวมมาจากเจ้าของข้อมูล.
• ประเภทของข้อมูลส่วนบุคคลที่จัดเก็บไว้สำหรับเจ้าของข้อมูล.
• ผู้รับหรือประเภทของผู้รับที่ข้อมูลส่วนบุคคลได้ถูกส่งหรืออาจถูกส่งไป พร้อมด้วยที่ตั้งของผู้รับเหล่านั้น.
• ระยะเวลาที่คาดว่าจะจัดเก็บข้อมูลส่วนบุคคล หรือเหตุผลในการกำหนดระยะเวลาจัดเก็บ.
• การใช้การตัดสินใจโดยอัตโนมัติใด ๆ รวมถึงการสร้างโปรไฟล์.
• สิทธิของผู้ถูกควบคุมข้อมูลส่วนบุคคลในการคัดค้านการประมวลผลข้อมูลส่วนบุคคลของตน เพื่อร้องเรียนต่อหน่วยงานคุ้มครองข้อมูลส่วนบุคคล ขอให้แก้ไขหรือลบข้อมูลส่วนบุคคลของตน ขอให้จำกัดการประมวลผลข้อมูลส่วนบุคคลของตน.

คำร้องขอทั้งหมดเกี่ยวกับการเข้าถึงหรือแก้ไขข้อมูลส่วนบุคคลจะต้องส่งไปยังแผนกทรัพยากรบุคคล ซึ่งจะบันทึกคำร้องแต่ละรายการเมื่อได้รับ การตอบกลับสำหรับคำร้องแต่ละรายการจะดำเนินการภายใน 30 วัน นับจากวันที่ได้รับคำร้องเป็นลายลักษณ์อักษรจากเจ้าของข้อมูล การยืนยันที่เหมาะสมจะต้องยืนยันว่าผู้ร้องขอเป็นเจ้าของข้อมูลหรือผู้แทนโดยชอบด้วยกฎหมายของเจ้าของข้อมูล เจ้าของข้อมูลมีสิทธิที่จะขอให้ Malvern International แก้ไขหรือเพิ่มเติมข้อมูลส่วนบุคคลที่ผิดพลาด ทำให้เข้าใจผิด ล้าสมัย หรือไม่สมบูรณ์.

หาก Malvern International ไม่สามารถตอบสนองคำขอได้ภายใน 30 วัน จะดำเนินการดังต่อไปนี้ภายในระยะเวลาที่กำหนด:

• การรับทราบการได้รับคำร้อง.
• ข้อมูลที่มีอยู่ถึงปัจจุบัน.
• รายละเอียดเกี่ยวกับข้อมูลที่ร้องขอหรือการแก้ไขใดๆ ที่จะไม่ให้กับเจ้าของข้อมูล เหตุผลสำหรับการปฏิเสธ และขั้นตอนใดๆ ที่มีสำหรับการอุทธรณ์การตัดสินใจ.
• วันที่โดยประมาณ ซึ่งจะมีการตอบกลับที่เหลืออยู่ทั้งหมด (ไม่เกิน 3 เดือนนับจากวันที่ส่งคำขอครั้งแรก).
• การประมาณการค่าใช้จ่ายใดๆ ที่ผู้ขอข้อมูลจะต้องชำระ (เช่น ในกรณีที่คำขอมีลักษณะเกินกว่าเหตุ).
• ชื่อและข้อมูลติดต่อของบุคคลที่เจ้าของข้อมูลควรติดต่อเพื่อติดตามผล.

ควรบันทึกไว้ว่าอาจมีสถานการณ์ที่การให้ข้อมูลตามที่ผู้เป็นเจ้าของข้อมูลร้องขอ อาจเปิดเผยข้อมูลส่วนบุคคลของบุคคลอื่น ในกรณีเช่นนี้ จะต้องมีการปกปิดหรือระงับข้อมูลตามความจำเป็นหรือความเหมาะสม เพื่อคุ้มครองสิทธิของบุคคลดังกล่าว.

คำขอและการเปิดเผยของหน่วยงานบังคับใช้กฎหมาย
ในบางสถานการณ์ การเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความรู้หรือความยินยอมของเจ้าของข้อมูลนั้นได้รับอนุญาตให้อนุญาตได้ โดยเฉพาะอย่างยิ่งเมื่อการเปิดเผยข้อมูลส่วนบุคคลนั้นมีความจำเป็นสำหรับวัตถุประสงค์ดังต่อไปนี้

• การป้องกันหรือการตรวจจับอาชญากรรม.
• การจับกุมหรือดำเนินคดีอาชญากร.
• การประเมินหรือการเรียกเก็บภาษีหรืออากร.
• ตามคำสั่งศาลหรือตามกฎหมาย.

หาก Malvern International ดำเนินการประมวลผลข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ใดวัตถุประสงค์หนึ่งต่อไปนี้ ก็อาจสามารถยกเว้นกฎการประมวลผลที่ระบุไว้นโยบายฉบับนี้ได้ แต่จะจำกัดเพียงเท่าที่ไม่ขัดต่อการดำเนินคดีในกรณีดังกล่าว.

การฝึกอบรมการคุ้มครองข้อมูล

พนักงาน Malvern International ทุกคนที่สามารถเข้าถึงข้อมูลส่วนบุคคลได้ จะได้รับแจ้งเกี่ยวกับความรับผิดชอบภายใต้นโยบายนี้เป็นส่วนหนึ่งของการฝึกอบรมการปฐมนิเทศพนักงาน Malvern International จะจัดให้มีการฝึกอบรมเกี่ยวกับการคุ้มครองข้อมูลและคำแนะนำเกี่ยวกับขั้นตอนการปฏิบัติงานอย่างสม่ำเสมอสำหรับพนักงาน และการฝึกอบรมนี้เป็นภาคบังคับ.

การโอนย้ายระหว่างสำนักงาน Malvern International

เพื่อให้ Malvern International สามารถดำเนินงานต่างๆ ในสาขาที่ตั้งหลายแห่งได้อย่างมีประสิทธิภาพ อาจมีบางโอกาสที่จำเป็นต้องมีการถ่ายโอนข้อมูลส่วนบุคคลจากที่ตั้งหนึ่งไปยังอีกที่ตั้งหนึ่ง เพื่ออนุญาตให้เข้าถึงข้อมูลส่วนบุคคลจากที่ตั้งในต่างประเทศได้ หากเกิดเหตุการณ์ดังกล่าวขึ้น ที่ตั้งที่ส่งข้อมูลส่วนบุคคลยังคงมีหน้าที่รับผิดชอบในการรับรองการคุ้มครองข้อมูลส่วนบุคคลนั้น และยังต้องปฏิบัติตามการถ่ายโอนข้อมูลนอกเขตเศรษฐกิจยุโรป พนักงานทุกคนต้องมั่นใจว่าข้อมูลถูกถ่ายโอนโดยใช้วิธีการที่เป็นทางการและได้รับอนุมัติ พนักงานไม่ได้รับอนุญาตให้แบ่งปันข้อมูลอย่างไม่เป็นทางการโดยใช้แพลตฟอร์มส่วนตัว เช่น WhatsApp หรือบริการส่งข้อความทันใจอื่นๆ,

การโอนให้บุคคลที่สาม

Malvern International จะโอนข้อมูลส่วนบุคคลหรืออนุญาตให้บุคคลภายนอกเข้าถึงข้อมูลได้ก็ต่อเมื่อมั่นใจว่าข้อมูลดังกล่าวจะได้รับการประมวลผลอย่างถูกต้องตามกฎหมายและได้รับการคุ้มครองอย่างเหมาะสมโดยผู้รับ ในกรณีที่มีการประมวลผลโดยบุคคลภายนอก Malvern International จะต้องระบุอันดับแรกก่อนว่าภายใต้กฎหมายที่ใช้บังคับ บุคคลภายนอกนั้นถือเป็นผู้ควบคุมข้อมูล (data controller) หรือผู้ประมวลผลข้อมูล (data processor) ของข้อมูลส่วนบุคคลที่ถูกโอนหรือไม่.

ในกรณีที่บุคคลที่สามถูกพิจารณาว่าเป็นผู้ควบคุมข้อมูล จะมีการทำข้อตกลงที่เหมาะสมกับผู้ควบคุมข้อมูลเพื่อชี้แจงความรับผิดชอบของแต่ละฝ่ายในการประมวลผลข้อมูลส่วนบุคคลที่มีการโอนไป.

ในกรณีที่บุคคลภายนอกถูกพิจารณาว่าเป็นผู้ประมวลผลข้อมูล Malvern International จะพยายามเข้าทำข้อตกลงการประมวลผลที่เหมาะสมกับผู้ประมวลผลข้อมูล ข้อตกลงดังกล่าวจะกำหนดให้ผู้ประมวลผลข้อมูลต้องปกป้องข้อมูลส่วนบุคคลจากการเปิดเผยเพิ่มเติม และดำเนินการประมวลผลข้อมูลส่วนบุคคลตามคำแนะนำของ Malvern International เท่านั้น นอกจากนี้ ข้อตกลงดังกล่าวยังกำหนดให้ผู้ประมวลผลข้อมูลต้องใช้มาตรการทางเทคนิคและการจัดองค์กรที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคล รวมถึงขั้นตอนการแจ้งเตือนการละเมิดข้อมูลส่วนบุคคล.

เมื่อ Malvern International จ้างบุคคลภายนอกเพื่อให้บริการ พวกเขาจะระบุว่าบุคคลภายนอกดังกล่าวจะประมวลผลข้อมูลส่วนบุคคลในนามของตนหรือไม่ และการจ้างบุคคลภายนอกนั้นจะเกี่ยวข้องกับการโอนข้อมูลส่วนบุคคลไปยังประเทศที่สามหรือไม่ ในกรณีใดกรณีหนึ่ง จะต้องแน่ใจว่าได้รวมข้อกำหนดที่เพียงพอไว้ในสัญญาจ้างบุคคลภายนอกสำหรับการประมวลผลดังกล่าวและการโอนข้อมูลไปยังประเทศที่สาม.

การจัดการข้อร้องเรียน

ผู้ได้รับผลกระทบด้านข้อมูลที่ต้องการร้องเรียนเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลควรส่งเรื่องไปยังกล่องจดหมายคุ้มครองข้อมูล gdpr@malvernplc.com

การรายงานการละเมิด

บุคคลใดก็ตามที่สงสัยว่ามีการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นอันเป็นผลมาจากการถูกขโมยหรือการเปิดเผยข้อมูลส่วนบุคคล จะต้องแจ้งให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลทราบทันที พร้อมทั้งให้คำอธิบายเกี่ยวกับสิ่งที่เกิดขึ้น การแจ้งเหตุการณ์สามารถทำได้ทางอีเมลที่ gdpr@malvernplc.com

เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะทำการตรวจสอบเหตุการณ์ที่รายงานทั้งหมดเพื่อยืนยันว่ามีการละเมิดข้อมูลส่วนบุคคลเกิดขึ้นหรือไม่ หากยืนยันว่ามีการละเมิดข้อมูลส่วนบุคคลเกิดขึ้น เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลจะดำเนินการตามขั้นตอนที่ได้รับอนุญาตที่เกี่ยวข้อง โดยพิจารณาจากความสำคัญและปริมาณข้อมูลส่วนบุคคลที่เกี่ยวข้อง สำหรับการละเมิดข้อมูลส่วนบุคคลที่ร้ายแรง Malvern International จะจัดตั้งและเป็นประธานทีมตอบสนองเหตุฉุกเฉินเพื่อประสานงานและจัดการกับการตอบสนองต่อการละเมิดข้อมูลส่วนบุคคล.