HUDA - นโยบายความเป็นส่วนตัว

วันที่มีผลบังคับใช้: 19 พฤษภาคม 2569 (2026-05-19)
ฉบับที่: 1.0

1. บทนำ

บริษัท เอไอเอ็ม เดฟ จำกัด ("บริษัท", "เรา") เป็นผู้พัฒนาและให้บริการแพลตฟอร์ม HUDA (ระบบบริหารการศึกษาอัจฉริยะ) นโยบายความเป็นส่วนตัวฉบับนี้อธิบายวิธีการเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของท่าน ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

  สำหรับผู้ปกครอง: HUDA ใช้ LINE เป็นช่องทางหลักในการเข้าถึงข้อมูลผลการเรียนของบุตรหลาน ข้อมูลของท่านได้รับการเข้ารหัสและป้องกันตามมาตรฐานสากล

2. ผู้ควบคุมข้อมูลส่วนบุคคล

บริษัท เอไอเอ็ม เดฟ จำกัด (AIM DEV Co., Ltd.)

ในกรณีที่โรงเรียนใช้บริการ HUDA โรงเรียนจะเป็นผู้ควบคุมข้อมูลส่วนบุคคลร่วม (Joint Data Controller) โดยบริษัทเป็นผู้ประมวลผลข้อมูล (Data Processor) ตามข้อตกลง DPA ระหว่างบริษัทกับโรงเรียน

3. ข้อมูลส่วนบุคคลที่เก็บรวบรวม

ประเภทข้อมูล	รายละเอียด	วิธีคุ้มครอง
ข้อมูลผู้ปกครอง	ชื่อ-นามสกุล, อีเมล, เบอร์โทรศัพท์	AES-256 encryption + HMAC index
ข้อมูลนักเรียน	ชื่อ-นามสกุล, ชั้นเรียน, ระดับการศึกษา	AES-256 encryption
ความสัมพันธ์ในครอบครัว	ความสัมพันธ์ระหว่างผู้ปกครองกับนักเรียน	ระบบ ABAC ควบคุมการเข้าถึง
ผลการเรียน	คะแนน, เกรด, รายวิชา, ภาคเรียน	ระบบ ABAC ควบคุมการเข้าถึง
ข้อมูล LINE	LINE User ID (สำหรับ LIFF login)	HMAC-SHA256 (ไม่เก็บ plaintext)
ข้อมูลการเข้าใช้งาน	IP address, วันเวลา, session	บันทึกใน audit log แบบ hash-chain

3.1 ข้อมูลที่ไม่มีการเก็บรวบรวม

HUDA ไม่เก็บข้อมูล LINE ID แบบ plaintext ใช้เฉพาะ HMAC สำหรับยืนยันตัวตน
HUDA ไม่เก็บรหัสผ่านแบบ plaintext ใช้ bcrypt hashing
HUDA ไม่เก็บข้อมูลบัตรประชาชน/หนังสือเดินทางแบบ plaintext ใช้ AES-256 encryption

4. วัตถุประสงค์และฐานทางกฎหมาย

วัตถุประสงค์	ฐานทางกฎหมาย
จัดการข้อมูลนักเรียนและผลการเรียน	หน้าที่ตามกฎหมายของสถานศึกษา (มาตรา 24(6) PDPA)
แสดงผลการเรียนแก่ผู้ปกครอง	ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5) PDPA) + ความยินยอม
ยืนยันตัวตนผ่าน LINE LIFF	สัญญา/ความยินยอม (มาตรา 24(3) PDPA)
บันทึก audit log	ประโยชน์โดยชอบด้วยกฎหมาย + พ.ร.บ.คอมพิวเตอร์ พ.ศ. 2550 มาตรา 26
รักษาความปลอดภัยของระบบ	ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5) PDPA)
สำรองข้อมูลเพื่อป้องกันการสูญหาย	ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5) PDPA)

5. ระยะเวลาการเก็บรักษาข้อมูล

ประเภทข้อมูล	ระยะเวลา	อ้างอิงกฎหมาย
ข้อมูลผู้ปกครอง/นักเรียน	ตลอดระยะเวลาที่ใช้บริการ + 1 ปีหลังหยุดใช้	PDPA มาตรา 37(3)
ผลการเรียน	ตลอดระยะเวลาที่ใช้บริการ + 5 ปี	พ.ร.บ.การศึกษาแห่งชาติ
Audit log (AUTH/SESSION)	90 วัน	PDPA มาตรา 37(1)
Audit log (DATA)	1 ปี	PDPA มาตรา 37(3)
Audit log (PDPA/CONFIG)	5 ปี	PDPA มาตรา 39 + พ.ร.บ.คอมพิวเตอร์ มาตรา 26
Audit log (VAULT)	10 ปี	พ.ร.บ.คอมพิวเตอร์ มาตรา 26 + นโยบายภายใน
ข้อมูลสำรอง (Backup)	รายวัน 7 วัน / รายสัปดาห์ 4 สัปดาห์ / รายเดือน 3 เดือน	นโยบายภายใน
Operational logs	14 วัน (app) / 90 วัน (audit file)	นโยบายภายใน

6. มาตรการรักษาความปลอดภัย

การเข้ารหัส: AES-256-GCM สำหรับข้อมูลส่วนบุคคล, HMAC-SHA256 สำหรับ searchable index
การควบคุมการเข้าถึง: ระบบ ABAC (Attribute-Based Access Control) พร้อม 15 นโยบายควบคุม
Audit trail: Hash-chain audit log ป้องกันการแก้ไขย้อนหลัง
Session security: Cookie httpOnly, Secure, SameSite=Lax, Encrypted
Rate limiting: จำกัดจำนวนคำขอเพื่อป้องกัน brute-force
Backup: สำรองข้อมูลอัตโนมัติพร้อม SHA-256 checksum เก็บนอก web root
Monitoring: ระบบเฝ้าระวัง 14 จุดตรวจทุก 10 นาที

7. สิทธิของเจ้าของข้อมูล

ท่านมีสิทธิตาม PDPA ดังนี้:

สิทธิในการเข้าถึง: ขอสำเนาข้อมูลส่วนบุคคลของท่าน
สิทธิในการแก้ไข: ขอแก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่สมบูรณ์
สิทธิในการลบ: ขอลบข้อมูลส่วนบุคคล (ภายใต้ข้อยกเว้นตามกฎหมาย)
สิทธิในการระงับการใช้: ขอระงับการประมวลผลข้อมูล
สิทธิในการคัดค้าน: คัดค้านการประมวลผลข้อมูลบนฐานประโยชน์โดยชอบ
สิทธิในการโอนย้าย: ขอรับข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่อง
สิทธิในการถอนความยินยอม: ถอนความยินยอมที่เคยให้ไว้ได้ตลอดเวลา

  วิธีใช้สิทธิ: ติดต่อผู้ดูแลระบบของโรงเรียน หรือส่งคำขอที่ DPO ของโรงเรียน โรงเรียนจะดำเนินการภายใน 30 วันตาม PDPA

8. การเปิดเผยข้อมูล

เราอาจเปิดเผยข้อมูลส่วนบุคคลแก่:

โรงเรียนที่ท่านสังกัด (ในฐานะผู้ควบคุมข้อมูลร่วม)
ผู้ให้บริการโครงสร้างพื้นฐาน (hosting, DNS) ภายใต้ DPA
หน่วยงานราชการตามที่กฎหมายกำหนด

เราจะไม่ขายหรือแลกเปลี่ยนข้อมูลส่วนบุคคลของท่านกับบุคคลภายนอกเพื่อวัตถุประสงค์ทางการตลาด

9. การประมวลผลข้อมูลผู้เยาว์

HUDA ประมวลผลข้อมูลนักเรียน (ผู้เยาว์) ภายใต้ PDPA มาตรา 20:

ข้อมูลนักเรียนอายุต่ำกว่า 10 ปี ต้องได้รับความยินยอมจากผู้ปกครอง
ข้อมูลนักเรียนอายุ 10-20 ปี ใช้ความยินยอมร่วมของนักเรียนและผู้ปกครอง
โรงเรียนมีหน้าที่ตามกฎหมายในการจัดเก็บข้อมูลการศึกษา

10. การใช้ LINE LIFF

เมื่อท่านใช้งาน HUDA ผ่าน LINE LIFF:

ระบบจะได้รับ LINE User ID จาก LINE Platform
LINE User ID จะถูกแปลงเป็น HMAC-SHA256 ก่อนจัดเก็บ (ไม่เก็บ plaintext)
ใช้เฉพาะเพื่อยืนยันตัวตนในการเข้าถึงข้อมูลผลการเรียนของบุตรหลาน
เป็นไปตามนโยบาย LINE Platform ที่ terms.line.me

11. การเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายนี้เป็นครั้งคราว การเปลี่ยนแปลงจะประกาศบนหน้านี้ พร้อมระบุวันที่มีผลบังคับใช้ หากมีการเปลี่ยนแปลงสาระสำคัญ เราจะแจ้งท่านผ่านช่องทาง LINE หรืออีเมลที่ลงทะเบียนไว้

12. ติดต่อเรา

หากมีคำถามเกี่ยวกับนโยบายความเป็นส่วนตัว หรือต้องการใช้สิทธิตาม PDPA:

เจ้าหน้าที่คุ้มครองข้อมูล (DPO): ติดต่อผ่านผู้ดูแลระบบของโรงเรียน
ผู้ให้บริการระบบ: AIM DEV Co., Ltd.
เว็บไซต์: huda.aim-dev.com