แพ็กเกจคุ้มครองข้อมูลส่วนบุคคลและสัญญาธุรกิจ
เหมาะกับ: ธุรกิจบริการ คลินิก โรงเรียน อีคอมเมิร์ซ และบริษัทที่ส่งข้อมูลลูกค้าให้ผู้ให้บริการภายนอก
เสนอราคาตามจำนวนกระบวนการและสัญญาที่ต้องปรับ ประเมินฟรี
สรุปขอบงาน
องค์กรที่เก็บข้อมูลลูกค้าหรือพนักงานต้องระบุฐานทางกฎหมายในการเก็บและใช้ข้อมูล แจ้งวัตถุประสงค์ให้เจ้าของข้อมูลทราบ และเตรียมช่องทางรับคำขอใช้สิทธิไว้ล่วงหน้า แพ็กเกจนี้รวมการสำรวจว่าข้อมูลไหลผ่านจุดใดบ้างในกิจการ การจัดทำนโยบายและหนังสือแจ้ง การทำข้อตกลงกับผู้ประมวลผลภายนอก และการปรับสัญญาการค้าที่ใช้อยู่ให้สอดคล้องกัน จึงเป็นการวางระบบทั้งชุด ไม่ใช่การติดประกาศหน้าเว็บเพียงหน้าเดียว
ข้อเท็จจริงหลัก
| ระยะเวลารวม | ปกติ 3–6 สัปดาห์ตามขนาดองค์กร |
|---|---|
| ผู้ดูแลเคส | ทนายด้านสัญญาหนึ่งคน ร่วมกับที่ปรึกษาด้านกระบวนการข้อมูล |
| ผลลัพธ์ที่ได้ | แผนผังการไหลของข้อมูล นโยบาย หนังสือแจ้ง แบบฟอร์มรับคำขอ และสัญญาที่ปรับแล้ว |
| สิ่งที่ลูกค้าต้องทำ | ให้เราสัมภาษณ์หัวหน้างานแต่ละแผนกและส่งสัญญาที่ใช้อยู่ |
สิ่งที่รวมในแพ็กเกจ
สำรวจการไหลของข้อมูลทั้งองค์กร
ระบุว่าข้อมูลเข้ามาทางใด เก็บที่ไหน ใครเข้าถึงได้ และส่งต่อให้ใครบ้าง
จัดทำนโยบายและหนังสือแจ้งวัตถุประสงค์
ฉบับภาษาไทยและอังกฤษ เขียนให้ลูกค้าและพนักงานอ่านเข้าใจจริง
ข้อตกลงกับผู้ประมวลผลภายนอก
ร่างหรือปรับข้อตกลงกับผู้ให้บริการระบบ คลาวด์ และผู้รับจ้างช่วง
ปรับชุดสัญญาการค้าที่ใช้อยู่
สัญญาจ้าง สัญญาบริการ และข้อกำหนดการใช้งานให้สอดคล้องกับนโยบายใหม่
อบรมทีมงานหนึ่งรอบและช่องทางถามตอบ
อบรมสั้นสำหรับผู้ที่สัมผัสข้อมูลจริง พร้อมช่องทางถามระหว่างสามเดือนแรก
ระดับแพ็กเกจและกรอบราคา
ชุดเอกสารพื้นฐาน
18,000–35,000 บาท
ครั้งเดียว
ร้านค้า คลินิกขนาดเล็ก หรือธุรกิจบริการที่เก็บเพียงชื่อ เบอร์ และประวัติการซื้อ
- นโยบายคุ้มครองข้อมูลและหนังสือแจ้งวัตถุประสงค์ฉบับสองภาษา
- แบบฟอร์มรับคำขอใช้สิทธิพร้อมขั้นตอนตอบกลับที่พนักงานทำตามได้
- ตรวจฐานทางกฎหมายของการเก็บข้อมูลในกระบวนการหลักไม่เกินสามกระบวนการ
2–3 สัปดาห์
อธิบายเอกสารให้ทีมงาน 1 ชั่วโมง
ขอใบเสนอราคาระดับนี้วางระบบทั้งองค์กร
55,000–120,000 บาท
ครั้งเดียว ตามจำนวนแผนกและสัญญา
องค์กรที่มีหลายแผนก ใช้ผู้ให้บริการภายนอก และมีสัญญาการค้าที่ต้องปรับให้สอดคล้องกัน
- ทุกอย่างในชุดพื้นฐาน พร้อมสำรวจการไหลของข้อมูลทุกแผนกและเขียนแผนผังหนึ่งหน้า
- ข้อตกลงกับผู้ประมวลผลภายนอกและเงื่อนไขผู้รับจ้างช่วงอีกทอดหนึ่ง
- ยกร่างข้อความคุ้มครองข้อมูลใหม่ในสัญญาจ้าง สัญญาบริการ และเงื่อนไขการใช้งานเว็บไซต์
- ขั้นตอนรับมือเหตุข้อมูลรั่วไหลพร้อมระบุตัวผู้รับผิดชอบและกรอบเวลา
4–6 สัปดาห์
อบรมผู้ปฏิบัติงานหนึ่งรอบและช่องทางถามตอบ 3 เดือน
ขอใบเสนอราคาระดับนี้ที่ปรึกษาต่อเนื่องและทำหน้าที่แทน
15,000–40,000 บาทต่อเดือน
รายเดือน สัญญา 12 เดือน
กิจการที่ประมวลผลข้อมูลอ่อนไหว ติดตามพฤติกรรมลูกค้าเป็นระบบ หรือมีแนวโน้มต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล
- ทุกอย่างในระบบทั้งองค์กร พร้อมทบทวนความสอดคล้องทุกไตรมาส
- ทำหน้าที่เป็นผู้รับผิดชอบภายนอกและเป็นช่องทางติดต่อสำหรับเจ้าของข้อมูล
- ดูแลการตอบคำขอใช้สิทธิและการรายงานเหตุต่อหน่วยงานกำกับ
- ตรวจสัญญาใหม่ทุกฉบับก่อนลงนามในมุมการคุ้มครองข้อมูล
ทำงานต่อเนื่องตลอดสัญญา
ปรึกษาไม่จำกัดในขอบเขตข้อมูลส่วนบุคคลและสัญญา
ขอใบเสนอราคาระดับนี้| หัวข้อเปรียบเทียบ | ชุดเอกสารพื้นฐาน | วางระบบทั้งองค์กร | ที่ปรึกษาต่อเนื่องและทำหน้าที่แทน |
|---|---|---|---|
| กรอบราคา | 18,000–35,000 บาท | 55,000–120,000 บาท | 15,000–40,000 บาทต่อเดือน |
| รอบการเรียกเก็บ | ครั้งเดียว | ครั้งเดียว ตามจำนวนแผนกและสัญญา | รายเดือน สัญญา 12 เดือน |
| ระยะเวลาดำเนินงาน | 2–3 สัปดาห์ | 4–6 สัปดาห์ | ทำงานต่อเนื่องตลอดสัญญา |
| เวลาที่ปรึกษาที่รวมให้ | อธิบายเอกสารให้ทีมงาน 1 ชั่วโมง | อบรมผู้ปฏิบัติงานหนึ่งรอบและช่องทางถามตอบ 3 เดือน | ปรึกษาไม่จำกัดในขอบเขตข้อมูลส่วนบุคคลและสัญญา |
| เหมาะกับใคร | ร้านค้า คลินิกขนาดเล็ก หรือธุรกิจบริการที่เก็บเพียงชื่อ เบอร์ และประวัติการซื้อ | องค์กรที่มีหลายแผนก ใช้ผู้ให้บริการภายนอก และมีสัญญาการค้าที่ต้องปรับให้สอดคล้องกัน | กิจการที่ประมวลผลข้อมูลอ่อนไหว ติดตามพฤติกรรมลูกค้าเป็นระบบ หรือมีแนวโน้มต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล |
บริการเสริมที่สั่งเพิ่มได้
อบรมพนักงานเพิ่มรอบ — 12,000–25,000 บาทต่อรอบ
จัดที่สำนักงานลูกค้าหรือออนไลน์
ตรวจสอบผู้ให้บริการภายนอกรายสำคัญ — 15,000–35,000 บาทต่อราย
รวมแบบสอบถามและสรุปความเสี่ยง
ตัวเลขข้างต้นเป็นกรอบงบประมาณเริ่มต้นสำหรับวางแผน ไม่ใช่ราคาสุดท้าย ค่าธรรมเนียมราชการ ค่าอากรแสตมป์ และค่าบริการหน่วยงานภายนอกเรียกเก็บตามจริงแยกจากค่าบริการวิชาชีพ ราคาที่ผูกพันจะระบุในใบเสนอราคาหลังประเมินขอบงานฟรี
สิ่งที่ไม่รวม
- การจัดหาหรือติดตั้งซอฟต์แวร์ความปลอดภัยและระบบจัดเก็บข้อมูล
- การตรวจสอบทางเทคนิคเชิงลึก เช่น การทดสอบเจาะระบบ
- การว่าความในกรณีมีข้อพิพาทหรือการร้องเรียน ซึ่งเสนอราคาแยก
ขั้นตอนการทำงาน
1. สัมภาษณ์และเขียนแผนผังข้อมูล
เราคุยกับแต่ละแผนกเพื่อดูว่าข้อมูลถูกเก็บและส่งต่ออย่างไรจริง แล้วเขียนเป็นแผนผังที่ผู้บริหารเห็นภาพรวมได้ในหน้าเดียว
ระยะเวลา: 1–2 สัปดาห์
2. ประเมินช่องว่างและจัดลำดับความเสี่ยง
เปรียบเทียบสิ่งที่ทำอยู่กับสิ่งที่กฎหมายกำหนด แล้วจัดลำดับว่าเรื่องใดต้องแก้ก่อนเพราะกระทบเจ้าของข้อมูลจำนวนมาก
ระยะเวลา: 3–5 วัน
3. ร่างเอกสารและปรับสัญญา
จัดทำนโยบาย หนังสือแจ้ง แบบฟอร์มรับคำขอ และแก้ข้อสัญญาที่ขัดกับนโยบายใหม่ พร้อมอธิบายเหตุผลของทุกข้อที่แก้
ระยะเวลา: 2–3 สัปดาห์
4. อบรมและส่งมอบระบบ
อบรมผู้ปฏิบัติงานหนึ่งรอบ ส่งมอบเอกสารทั้งชุดในรูปแบบที่แก้ไขต่อได้ และวางรอบทบทวนประจำปี
ระยะเวลา: 2–3 วัน
ทำไมต้องเป็นที่ปรึกษา ไม่ใช่แค่เอเจนซี่
- เราเขียนเอกสารให้พนักงานหน้างานใช้ได้จริง ไม่ใช่ลอกแบบฟอร์มมาตรฐานที่ไม่มีใครเปิดอ่าน
- ประสบการณ์กว่า 15 ปีด้านสัญญาทำให้เราเห็นทันทีว่าข้อใดจะกลายเป็นข้อพิพาทเมื่อความสัมพันธ์ทางธุรกิจจบลง
- ทีมเดียวกันดูแลทั้งด้านข้อมูลและด้านสัญญา นโยบายกับข้อสัญญาจึงไม่ขัดกันเอง
คำถามที่พบบ่อย
ธุรกิจขนาดเล็กต้องทำเรื่องนี้ด้วยหรือไม่
หน้าที่ตามกฎหมายไม่ได้ยกเว้นตามขนาดกิจการ แต่ปริมาณงานแปรตามจำนวนข้อมูลที่เก็บและความซับซ้อนของการส่งต่อ ร้านที่เก็บเพียงชื่อและเบอร์ลูกค้าใช้ชุดเอกสารที่สั้นกว่ามาก เราจึงประเมินขอบเขตก่อนเสมอเพื่อไม่ให้ลูกค้าจ่ายเกินความจำเป็น
ขอความยินยอมทุกครั้งจำเป็นหรือไม่
ไม่จำเป็นเสมอไป เพราะการเก็บและใช้ข้อมูลอาจอาศัยฐานอื่นได้ เช่น ความจำเป็นในการปฏิบัติตามสัญญาหรือหน้าที่ตามกฎหมาย การขอความยินยอมพร่ำเพรื่อกลับสร้างภาระเพราะต้องเปิดช่องให้ถอนได้ตลอดเวลา เราจึงเลือกฐานที่เหมาะกับแต่ละกระบวนการ
ถ้าข้อมูลรั่วไหลต้องทำอะไรและภายในเมื่อไร
ต้องประเมินความเสี่ยงต่อเจ้าของข้อมูลทันที แจ้งหน่วยงานกำกับภายในกรอบเวลาที่กำหนด และแจ้งเจ้าของข้อมูลเมื่อความเสี่ยงสูง สิ่งที่ทำให้องค์กรเสียหายมากที่สุดคือความล่าช้าเพราะไม่มีผู้รับผิดชอบชัดเจน เราจึงกำหนดตัวผู้รับผิดชอบและขั้นตอนไว้ในเอกสารตั้งแต่ต้น
ส่งข้อมูลไปเก็บบนคลาวด์ต่างประเทศได้หรือไม่
ทำได้ แต่ต้องมีข้อตกลงกับผู้ให้บริการที่กำหนดมาตรฐานการคุ้มครองและขอบเขตการใช้ข้อมูลไว้ชัดเจน รวมถึงต้องแจ้งเจ้าของข้อมูลว่ามีการส่งต่อ ประเด็นที่มักถูกมองข้ามคือผู้รับจ้างช่วงของผู้ให้บริการอีกทอดหนึ่ง ซึ่งควรระบุเงื่อนไขไว้ในสัญญาด้วย
ต้องแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลหรือไม่
ขึ้นอยู่กับลักษณะและปริมาณของข้อมูลที่ประมวลผล กิจการที่ติดตามพฤติกรรมลูกค้าเป็นระบบหรือเก็บข้อมูลอ่อนไหวจำนวนมากมีแนวโน้มต้องแต่งตั้ง เราจะประเมินให้ตั้งแต่ขั้นสำรวจและเสนอทางเลือกว่าจะใช้บุคลากรภายในหรือใช้บริการจากภายนอก
ให้เราดูแลทั้งกระบวนการ
ถ้าไม่อยากเริ่มจากศูนย์ ให้เรานัดคุยหนึ่งชั่วโมงเพื่อดูว่าองค์กรเก็บข้อมูลอะไรอยู่บ้าง แล้วเราจะสรุปให้ว่าต้องทำอะไรก่อนหลัง ใช้เวลาเท่าไร และงบประมาณอยู่ในกรอบใด ก่อนตัดสินใจว่าจะทำเองหรือให้เราดูแลทั้งชุด