คู่มือ PDPA สำหรับ PPC-IV

1. บทนำ

PPC-IV เป็นซอฟต์แวร์บัญชี SaaS ที่เก็บข้อมูลส่วนบุคคลหลายประเภท เช่น ผู้ใช้งาน ลูกค้า ผู้ขาย พนักงาน คำสั่งซื้อออนไลน์ และข้อความติดต่อ ระบบมีเครื่องมือ PDPA ดังนี้:

• ประกาศความเป็นส่วนตัว / เงื่อนไข / DPA บนเว็บ + ดาวน์โหลด PDF
• บันทึกความยินยอม (ConsentRecord) พร้อม IP, User-Agent, เวอร์ชันเอกสาร
• เครื่องมือ DSAR สำหรับ Tenant Admin — ค้นหา / ส่งออก JSON / ลบหรือปกปิด PII
• ระบบแจ้งเตือนความผิดปกติ + นาฬิกา 72 ชม. + escalation ก่อนครบกำหนด

2. บทบาทและขอบเขตความรับผิด

3. เอกสารกฎหมายบนเว็บ

หน้าสาธารณะ (ไม่ต้อง login):

Superuser — อัปโหลดไฟล์กฎหมาย

Superuser ไปที่ ตั้งค่าระบบ (Company Settings) → ส่วน เอกสารกฎหมาย (PDPA / เงื่อนไข)

• อัปโหลด PDF/Word ประกาศความเป็นส่วนตัว และเงื่อนไข (ถ้ามีไฟล์จากทนาย)
• ตั้งเวอร์ชันเอกสาร — ใช้ใน consent audit
• ถ้าไม่ได้อัปโหลด ระบบสร้าง PDF อัตโนมัติจากเนื้อหาหน้าเว็บ

4. ความยินยอม (Consent)

ทุกครั้งที่มีการยินยอม ระบบบันทึกลง ConsentRecord พร้อม:

• วัตถุประสงค์ (purpose) · granted/denied · เวอร์ชัน privacy/terms
• IP · User-Agent · ผู้ใช้ · Tenant (ถ้ามี) · หลักฐาน (evidence)

จุดที่บังคับขอความยินยอม

5. สิทธิเจ้าของข้อมูล (DSAR)

Tenant Admin เมนู: ตั้งค่าบริษัท → สิทธิเจ้าของข้อมูล (PDPA) หรือ URL /{tenant}/company-settings/privacy-rights/

ขั้นตอนการใช้งาน

1. ค้นหา — ใส่ชื่อ อีเมล เบอร์ เลขผู้เสียภาษี (อย่างน้อย 2 ตัวอักษร)
2. ส่งออก JSON — ดาวน์โหลดชุดข้อมูลส่วนบุคคล (customer / supplier / employee / online_order / contact)
3. ลบ/ปกปิด — ต้องติ๊กยืนยัน · ระบบ anonymize ฟิลด์ติดต่อ · ตั้ง pdpa_erased_at

ข้อจำกัดสำคัญ

• ถ้ามีเอกสารภาษี/บัญชีอ้างอิง (ใบกำกับ ใบเสร็จ ซื้อ เงินเดือน) — ไม่ลบ master ทิ้ง แต่ล้างข้อมูลติดต่อ/ธนาคาร
• ระบบแสดงจำนวนเอกสารที่ยังผูกอยู่ (tax_links) ก่อน erase
• การ export จำนวนมากอาจ trigger Security Incident (bulk PII export)

คำขอจากบุคคลภายนอก (ไม่ใช่ Admin)

ให้เจ้าของข้อมูลติดต่อผ่าน /contact/ หรืออีเมล DPO แล้ว Admin ดำเนินการผ่านเครื่องมือ DSAR ข้างต้น

6. การเก็บรักษาและเอกสารภาษี

7. มาตรการความปลอดภัย

• HTTPS บน production (Cloudflare + HSTS)
• Session idle timeout — 15 นาที (ค่าเริ่มต้น)
• 2FA (TOTP) — Superuser / staff สิทธิสูง · /security/2fa/
• เข้ารหัสความลับ — SMTP App Password, Telegram token (Fernet)
• แยก Tenant — ข้อมูลธุรกิจแยกตามองค์กร
• Activity log — login/logout, DSAR, เอกสารสำคัญ

การตรวจ IP แปลกปลอม

ระบบเทียบ IPv6 แบบ prefix /64 (ลด false positive จากมือถือ) และใช้ baseline login ทั้ง user ก่อนแจ้งเตือน ปิดได้ที่ Company Settings → แจ้ง login จาก IP ใหม่

8. เหตุการณ์ความปลอดภัย / นาฬิกา 72 ชม.

เมื่อระบบตรวจพบความผิดปกติ จะสร้าง SecurityIncident โดย:

• detected_at = จุดเริ่มนับ 72 ชม. ตามแนวปฏิบัติแจ้งเหตุ PDPA
• สถานะเริ่มต้น Pending Review
• แจ้งทันที: Email DPO/IR · Telegram · Slack · Webhook (ตามที่ตั้งค่า)

ประเภทที่ตรวจจับ

หน้าจัดการเหตุการณ์

• Platform /security/incidents/ (Superuser)
• Tenant /{tenant}/security/incidents/
• กด รับทราบ → หยุด escalation · กด ปิดแล้ว เมื่อดำเนินการครบ

Alert มีลิงก์ สคส. — https://www.pdpc.or.th/ และ https://complaint.pdpc.or.th/

9. Escalation ก่อนครบ 72 ชม. (<12 ชม.)

กันเคสตกหล่น — ถ้ายัง Pending Review และเหลือ ≤ 12 ชม. ก่อน deadline:

• Cron บนเซิร์ฟเวอร์: manage.py poll_security_escalations ทุก 15 นาที
• หรือ n8n workflow: docs/n8n_pdpa_escalation_poll.json
• ไม่ escalate ซ้ำภายใน 6 ชม. (dedup)

10. การตั้งค่า (สรุป)

Superuser Company Settings

• อีเมล IR / DPO · Telegram Bot + Chat ID · Slack / Webhook
• เกณฑ์ export PII · เปิด/ปิด unusual login · privilege alert
• ปุ่ม ทดสอบ Telegram
• อัปโหลดเอกสาร Privacy / Terms + เวอร์ชัน
• ข้อมูลติดต่อ (แสดงบนหน้า /privacy/ และ /contact/)

Tenant Admin

• DSAR tool — privacy-rights
• Security incidents (เฉพาะ Tenant)
• Activity log — ตรวจ login / DSAR

11. ผู้ประมวลผลภายนอก (Sub-processors)

รายละเอียดเต็มอยู่ที่ /dpa/ สรุป:

• Hosting / Cloud server
• SMTP (อีเมล)
• Google OAuth (เมื่อเปิดใช้)
• n8n AI-OCR (เมื่อเปิดใช้ — ต้องมี consent + DPA)
• CDN / Google Fonts

12. ช่องทาง สคส. (PDPC)

• เว็บไซต์: https://www.pdpc.or.th/
• ยื่นเรื่องร้องเรียนออนไลน์: https://complaint.pdpc.or.th/

ใช้เมื่อเจ้าของข้อมูลต้องการร้องเรียนต่อหน่วยงาน — ระบุในประกาศความเป็นส่วนตัวข้อ 7

13. Checklist สำหรับ DPO / IR

• ตั้งอีเมล DPO และทดสอบ Telegram ใน Company Settings
• ตรวจประกาศ /privacy/ และ /terms/ ให้ตรงกับองค์กร (ชื่อ ที่อยู่ เลขผู้เสียภาษี)
• อัปโหลด PDF จากทนาย (ถ้ามี) หรือใช้ PDF อัตโนมัติจากระบบ
• ตรวจ DPA /dpa/ ครบ sub-processors ที่เปิดใช้จริง
• กำหนดผู้รับผิดชอบ DSAR ในแต่ละ Tenant
• ฝึกใช้เครื่องมือ privacy-rights (export + erase ทดลอง)
• ตรวจ /security/incidents/ เป็นประจำ · รับทราบภายใน 72 ชม.
• ยืนยัน cron poll_security_escalations ทำงาน (log ที่เซิร์ฟเวอร์)
• เปิด 2FA สำหรับ Superuser ทุกคน
• จัดทำแผนแจ้งเหตุละเมิดภายนอก (ลูกค้า / สคส.) แยกจากระบบ

14. ลิงก์อ้างอิงด่วน