บริษัทหลักทรัพย์ หยวนต้า (ประเทศไทย) จำกัด (ต่อไปนี้จะเรียกว่า “หยวนต้า” หรือ “เรา”) ประมวลผลข้อมูลส่วนบุคคลของ ลูกค้า ครอบครัว/ผู้ติดต่อฉุกเฉินของลูกค้า ผู้แทนโดยชอบธรรม/ผู้อนุบาล/ผู้พิทักษ์/ผู้จัดการมรดกของลูกค้า ผู้รับผลประโยชน์ที่แท้จริง ผู้มีอุปการะคุณ/ผู้ถือหุ้น/ผู้บริหาร/กรรมการ/ผู้มีอำนาจลงนาม/พนักงานของลูกค้านิติบุคคล ผู้รับมอบอำนาจ นักลงทุนสัมพันธ์ ลูกค้าผู้มุ่งหวัง ผู้ค้ำประกัน ผู้เข้าร่วมกิจกรรม ผู้เยี่ยมชมเว็บไซต์ ผู้มาติดต่อ และบุคคลภายนอก (ต่อไปนี้จะเรียกรวมว่า “ลูกค้า” หรือ “ท่าน”) ซึ่งจะได้รับการดูแลตามมาตรฐานสูงสุดสอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“กฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ”) โดยท่านสามารถดูรายละเอียดของนโยบายคุ้มครองข้อมูลส่วนบุคคลสำหรับลูกค้า (“นโยบายคุ้มครองข้อมูลส่วนบุคคลฯ”) ฉบับเต็ม และสามารถอ่านสรุปเบื้องต้นของนโยบายคุ้มครองข้อมูลส่วนบุคคลฯ ตามรายละเอียดที่ปรากฏด้านล่าง

1. ขอบเขตและวัตถุประสงค์ของนโยบายคุ้มครองข้อมูลส่วนบุคคลฯ

เอกสารนี้เป็นนโยบายคุ้มครองข้อมูลส่วนบุคคลฯ สำหรับลูกค้าของหยวนต้า โดยเรามีฐานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ ซึ่งนโยบายคุ้มครองข้อมูลส่วนบุคคลฯ ฉบับนี้จะได้อธิบายว่าเราได้เก็บรวบรวมและใช้ข้อมูลส่วนบุคคลของท่านตามขอบเขตและวัตถุประสงค์ของหยวนต้า

นโยบายคุ้มครองข้อมูลส่วนบุคคลฯ ฉบับนี้ใช้กับเจ้าของข้อมูลส่วนบุคคลซึ่งเป็นลูกค้าของเรา ได้แก่ ลูกค้า ครอบครัว/ ผู้ติดต่อฉุกเฉินของลูกค้า ผู้แทนโดยชอบธรรม/ผู้อนุบาล/ผู้พิทักษ์/ผู้จัดการมรดกของลูกค้า ผู้รับผลประโยชน์ที่แท้จริง ผู้มีอุปการะคุณ/ผู้ถือหุ้น/ผู้บริหาร/กรรมการ/ผู้มีอำนาจลงนาม/พนักงานของลูกค้านิติบุคคล ผู้รับมอบอำนาจ นักลงทุนสัมพันธ์ ลูกค้าผู้มุ่งหวัง ผู้ค้ำประกัน ผู้เข้าร่วมกิจกรรม ผู้เยี่ยมชมเว็บไซต์ ผู้มาติดต่อ และบุคคลภายนอก

ภายใต้นโยบายคุ้มครองข้อมูลส่วนบุคคลฯ ฉบับนี้ ให้คำดังต่อไปนี้มีความหมายตามที่กำหนดด้านล่าง

“ประมวลผล” หมายถึง การดำเนินการใด ๆ ต่อข้อมูลส่วนบุคคลของท่านซึ่งรวมถึงการเก็บรวบรวม การใช้ การจัดเก็บ การเปิดเผย และการลบข้อมูลส่วนบุคคล

“ฐานการประมวลผล” หมายถึง เหตุผลความจำเป็นในการประมวลผลข้อมูลส่วนบุคคลตามมาตรา 24 และเงื่อนไขพิเศษในการประมวลผลข้อมูลอ่อนไหวตามมาตรา 26 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ

ทั้งนี้ หากท่านเป็นผู้ให้ข้อมูลส่วนบุคคลของบุคคลที่สาม เช่น ข้อมูลของบุคคลในครอบครัว ข้อมูลของ ผู้ติดต่อฉุกเฉิน และบุคคลอ้างอิง เป็นต้น ขอให้ท่านโปรดแจ้งให้บุคคลเหล่านั้นทราบถึงรายละเอียดตามนโยบายคุ้มครองข้อมูลส่วนบุคคลฯ ฉบับนี้ และในบางกรณีอาจจำเป็นต้องขอความยินยอมจากบุคคลดังกล่าว เพื่อให้เราสามารถประมวลผลข้อมูลส่วนบุคคลของบุคคลที่สามเหล่านี้ได้

นโยบายคุ้มครองข้อมูลส่วนบุคคลฯ ฉบับนี้ อาจมีการทบทวนปรับปรุงตามที่จะได้แจ้งให้ท่านทราบผ่านช่องทางสื่อสารที่เหมาะสมต่อไป

2. เราเก็บรวบรวมข้อมูลส่วนบุคคลประเภทใดบ้าง

เราเก็บรวบรวมข้อมูลส่วนบุคคลของท่าน ดังต่อไปนี้

• ข้อมูลอัตลักษณ์ เช่น ชื่อ-นามสกุล เลขบัตรประจำตัวประชาชน เลขที่หนังสือเดินทาง เลขประจำตัวผู้เสียภาษี และลายมือชื่อ เป็นต้น
• ข้อมูลที่อยู่และที่ติดต่อ เช่น ที่อยู่ปัจจุบัน ที่อยู่ที่ทำงาน อีเมล และเบอร์โทรศัพท์ เป็นต้น
• ข้อมูลประวัติ เช่น วันเดือนปีเกิด อายุ สัญชาติ เพศ และการดำรงตำแหน่งทางการเมือง เป็นต้น
• ข้อมูลเกี่ยวกับครอบครัว เช่น สถานะการดำรงตำแหน่งทางการเมืองของบิดา/มารดา/คู่สมรส/บุตร สถานภาพสมรส และจำนวนบุตร เป็นต้น
• ข้อมูลเกี่ยวกับการทำงาน เช่น ตำแหน่ง อายุงาน ประเภทกิจการ และประเภทธุรกิจของสถานที่ ทำงาน เป็นต้น
• ข้อมูลการทำธุรกรรม เช่น KYC Level ระดับความเสี่ยง วันที่เปิดบัญชี สินทรัพย์ที่ซื้อขาย และวันที่ออกเอกสาร เป็นต้น
• ข้อมูลทรัพย์สิน เช่น ทรัพย์สินของลูกค้า เป็นต้น
• ข้อมูลเกี่ยวกับการเงิน/การลงทุน เช่น เลขที่บัญชี ประเภทบัญชีซื้อขายหลักทรัพย์น คุณวุฒิวิชาชีพทางการเงิน จำนวนหุ้นคงเหลือ จำนวนเงินลงทุน และประวัติการเดินบัญชี เป็นต้น
• ข้อมูลทางกฎหมาย เช่น ประเภทคดีความ และหมายศาล เป็นต้น
• ข้อมูล IT เช่น หมายเลขประจำเครื่องที่ใช้งาน หลักฐานการเข้าถึงและใช้งานระบบสารสนเทศ และวันและเวลาที่เข้าใช้งาน เป็นต้น
• เอกสารหลักฐาน เช่น สำเนาบัตรประจำตัวประชาชน สำเนาทะเบียนบ้าน สำเนาหนังสือเดินทาง เป็นต้น

นอกจากนี้ เราอาจประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษที่มีความอ่อนไหวในบางกรณี ดังนี้

• ข้อมูลประวัติอาชญากรรม เช่น ประวัติการกระทำความผิดฐานฟอกเงิน ประวัติการทำผิดมูลฐาน ก่อการร้าย เป็นต้น

3. เราเก็บรวบรวมข้อมูลส่วนบุคคลอย่างไร

โดยทั่วไปแล้ว เราเก็บรวบรวมข้อมูลส่วนบุคคลจากท่านโดยตรงผ่านกระบวนการ หรือช่องทาง เช่น

• ได้รับจากการสื่อสาร/กรอก/ลงนามต่อหน้า
• ได้รับเอกสาร/ทำสำเนาเอกสาร
• ได้รับผ่านอีเมลองค์กร
• ได้รับผ่านโซเชียลมีเดีย ได้แก่ เฟซบุ๊ค เป็นต้น
• เข้าถึงจากแอปพลิเคชัน/ซอฟต์แวร์/Web-Application เช่น ระบบ Workflow-Incident Reporting ระบบการซื้อขายภายใน เว็บไซต์ของเรา ระบบ E-Service แอพพลิเคชัน NAVI ระบบ SBA ระบบ BSB ระบบ MIS และระบบ Stock Allocation เป็นต้น
• บันทึกจากข้อความ/การสนทนาทางโทรศัพท์
• ได้รับผ่านอุปกรณ์บันทึกข้อมูล ได้แก่ Server Backup

อย่างไรก็ดี เราอาจเก็บรวบรวมข้อมูลเพิ่มเติมจากหน่วยงานภายนอก ซึ่งรวมถึง

• แหล่งข้อมูลสาธารณะ
• สมาคม เช่น สมาคมนักวิเคราะห์การลงทุน และสมาคมบริษัทหลักทรัพย์ไทย (ASCO) เป็นต้น
• พันธมิตรทางธุรกิจ เช่น บริษัทหลักทรัพย์จัดการกองทุน ผู้แนะนำลูกค้า ผู้จัดการการจัดจำหน่ายและรับประกันการจำหน่าย และตัวแทนหรือนายหน้าซื้อขาย เป็นต้น
• ผู้ประกอบธุรกิจรายอื่น ตามประกาศสมาคมบริษัทหลักทรัพย์ไทย เช่น สมาชิกของสมาคมบริษัทหลักทรัพย์ไทย (ASCO)
• ผู้ให้บริการ เช่น บริษัท บิซิเนส ออนไลน์ จำกัด (มหาชน) บริษัท ดิจิทัล แอคเซส แพลตฟอร์ม จำกัด และบริษัท ฟินเน็ต อินโนเวชั่น เน็ตเวิร์ค จำกัด เป็นต้น
• หน่วยงานกำกับดูแล เช่น สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ ตลาดหลักทรัพย์แห่งประเทศไทย และบริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด เป็นต้น
• หน่วยงานรัฐ เช่น สำนักงานตำรวจแห่งชาติ สำนักงานป้องกันและปราบปรามการฟอกเงิน และกรมพัฒนาธุรกิจการค้า เป็นต้น
• ศาล

4. เราใช้ข้อมูลส่วนบุคคลอย่างไร

เราใช้ข้อมูลส่วนบุคคลของท่านเพื่อการดำเนินการทั้งหลายตามวัตถุประสงค์ของหยวนต้า ซึ่งสามารถแบ่งเป็นกลุ่มกิจกรรม ดังต่อไปนี้

เราจะประมวลผลข้อมูลส่วนบุคคลของท่านตามวัตถุประสงค์ที่ได้แจ้งไว้เท่านั้น อย่างไรก็ตาม ในกรณีที่เราจำเป็นต้องประมวลผลข้อมูลของท่าน เพื่อวัตถุประสงค์อื่นที่ไม่เกี่ยวข้องกับวัตถุประสงค์เดิม และการประมวลผลดังกล่าวไม่สามารถอ้างอิงฐานการประมวลผลอื่นได้ เช่นนี้ เราจะแจ้งให้ท่านทราบหรือขอความยินยอมจากท่าน เพื่อการประมวลผลข้อมูลส่วนบุคคลตามวัตถุประสงค์ใหม่นั้น

5. เราใช้ข้อมูลส่วนบุคคลร่วมกันกับหน่วยงานภายนอกหรือไม่

เพื่อให้หน่วยงานภายนอกสามารถประมวลผลข้อมูลตามหน้าที่ความรับผิดชอบตามสัญญาที่มีกับเรา หรือหน้าที่ตามกฎหมาย เราอาจมีความจำเป็นต้องส่งหรือเปิดเผยข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานภายนอกดังต่อไปนี้

• บริษัทในเครือ เช่น Yuanta Securities Taipei และ Yuanta Securities Asia Financial Service Private Limited เป็นต้น
• ลูกค้า เช่น บริษัทผู้ออกหลักทรัพย์ เป็นต้น
• ผู้ให้บริการ เช่น บริษัท ดิจิทัล แอคเซส แพลตฟอร์ม จำกัด (ระบบ FundConnext) บริษัท ฟินเน็ต อินโนเวชั่น เน็ตเวิร์ค จำกัด ผู้ตรวจสอบภายนอก บริษัท ที.เค.เอส. เทคโนโลยี จำกัด (มหาชน) บริษัทขนส่ง ผู้ให้บริการแพลตฟอร์ม สำนักงานทนายความ บริษัท แซ็กโซ่ กรุ๊ป จำกัด บริษัท เปเปอร์เมท (ประเทศไทย) จำกัด Capital Market Risk Advisor Sdn Bhd และ Marketing Agency เป็นต้น
• ที่ปรึกษาวิชาชีพ เช่น บริษัท ไพร้ซวอเตอร์เฮาส์คูเปอร์ส เอบีเอเอส
• พันธมิตรทางธุรกิจ เช่น ตัวแทนรับจองซื้อ บริษัทหลักทรัพย์จัดการกองทุน บริษัทผู้จัดการการจัดจำหน่ายร่วม ผู้จัดการจัดจำหน่ายและรับประกันการจัดจำหน่าย และตัวแทนหรือนายหน้าซื้อขาย เป็นต้น
• ผู้ประกอบธุรกิจรายอื่น ตามประกาศสมาคมบริษัทหลักทรัพย์ไทย เช่น สมาชิกของสมาคมบริษัทหลักทรัพย์ไทย (ASCO)
• แพลตฟอร์มโซเชียลมีเดีย
• ธนาคาร เช่น ธนาคารกรุงเทพ ธนาคารกสิกรไทย ธนาคารฮ่องกงและเซี้ยงไฮ้แบงกิ้งคอร์ปอเรชั่นธนาคารทหารไทยธนชาต และธนาคารพาณิชย์อื่น ๆ เป็นต้น
• หน่วยงานกำกับดูแล เช่น สำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ ตลาดหลักทรัพย์แห่งประเทศไทย สำนักงานป้องกันและปราบปรามการฟอกเงิน บริษัท สำนักหักบัญชี (ประเทศไทย) จำกัด บริษัท ศูนย์รับฝากหลักทรัพย์ (ประเทศไทย) จำกัด ธนาคารแห่งประเทศไทย และนายทะเบียนหลักทรัพย์ สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ เป็นต้น
• หน่วยงานรัฐ เช่น กรมสรรพากร สำนักงานตำรวจแห่งชาติ กรมสอบสวนคดีพิเศษ และสำนักงานที่ดิน เป็นต้น
• ศาล

อย่างไรก็ตาม ในกรณีที่ส่งหรือเปิดเผยข้อมูลส่วนบุคคลไปยังหน่วยงานภายนอก เราจะดำเนินการเท่าที่จำเป็นโดยส่งหรือเปิดเผยข้อมูลให้น้อยที่สุดภายใต้หลักการของกฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ และอาจพิจารณาใช้วิธีจัดทำข้อมูลนิร

นาม (anonymisation) และการแฝงข้อมูล (pseudonymisation) เพื่อรักษาความปลอดภัยของข้อมูล นอกจากนี้ หน่วยงานภายนอกที่ประมวลผลข้อมูลส่วนบุคคลให้กับเรา จะต้องจัดให้มีนโยบายคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสม และเราจะไม่อนุญาตให้หน่วยงานภายนอกดังกล่าวใช้ข้อมูลของท่าน เพื่อวัตถุประสงค์อื่นนอกจากที่เรากำหนด

6. เราส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศหรือไม่

ภายใต้ขอบเขตและวัตถุประสงค์การประมวลผลตามนโยบายคุ้มครองข้อมูลส่วนบุคคลฯ ฉบับนี้ หยวนต้าอาจมีความจำเป็นจะต้องส่งหรือโอนข้อมูลส่วนบุคคลไปยังต่างประเทศ ซึ่งรวมถึงประเทศดังต่อไปนี้

• สิงคโปร์
• มาเลเซีย
• ฮ่องกง
• ไต้หวัน

อนึ่ง เราจะส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังต่างประเทศ ต่อเมื่อกรณีเป็นไปตามเงื่อนไข อย่างใดอย่างหนึ่ง ดังต่อไปนี้

• ประเทศปลายทางที่รับข้อมูลได้รับการวินิจฉัยจากคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่ามีการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ
• หน่วยงานต่างประเทศที่รับข้อมูลอยู่ภายใต้นโยบายในการคุ้มครองข้อมูลส่วนบุคคลที่ได้รับการตรวจสอบและรับรองจากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
• หน่วยงานต่างประเทศได้จัดให้มีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เหมาะสมสามารถบังคับตามสิทธิของเจ้าของข้อมูลส่วนบุคคลได้ รวมทั้งมีมาตรการเยียวยาทางกฎหมายที่มีประสิทธิภาพตามหลักเกณฑ์และวิธีการที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด เช่น ข้อสัญญามาตรฐาน และประมวลวิธีปฏิบัติ เป็นต้น
• เป็นสิ่งจำเป็นเพื่อการใช้สิทธิตามกฎหมาย
• ได้รับความยินยอมจากท่านโดยท่านได้รับทราบถึงมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ไม่เพียงพอของประเทศปลายทางหรือองค์การระหว่างประเทศที่รับข้อมูลส่วนบุคคลแล้ว
• เป็นการจำเป็นเพื่อการปฏิบัติตามสัญญาซึ่งท่านเป็นคู่สัญญาหรือเพื่อใช้ในการดำเนินการตามคำขอของท่านก่อนเข้าทำสัญญานั้น
• เป็นการกระทำตามสัญญาระหว่างเรากับบุคคลหรือนิติบุคคลอื่นเพื่อประโยชน์ของท่าน
• เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล เมื่อบุคคลดังกล่าวไม่สามารถให้ความยินยอมในขณะนั้นได้
• เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะที่สำคัญ

7. การรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคล

เราได้จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยสำหรับข้อมูลส่วนบุคคลของท่าน นอกจากนี้ หน่วยงานภายนอกซึ่งประมวลผลข้อมูลส่วนบุคคลให้เราจะต้องตกลงที่จะรักษาความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลของท่าน และดำเนินการให้เป็นไปตามมาตรฐานการรักษาความมั่นคงปลอดภัยของเรา กล่าวคือ

1. เราได้กำหนดให้มีนโยบายการคุ้มครองข้อมูลส่วนบุคคลขึ้นโดยประกาศให้ทราบกันโดยทั่วทั้งองค์กร เพื่อให้เกิดความมั่นคงปลอดภัยในการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยธำรงไว้ซึ่งความเป็นความลับ (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และสภาพพร้อมใช้งาน (Availability) ของข้อมูลส่วนบุคคล

2. เราใช้มาตรการรักษาความมั่นคงปลอดภัยเชิงองค์กร (Organizational measures) และมาตรการเชิงเทคนิค (Technical measures) ที่เหมาะสม รวมถึงมาตรการทางกายภาพ (physical measure) ที่จำเป็น โดยคำนึงถึงระดับความเสี่ยงตามลักษณะและวัตถุประสงค์ของการเก็บ รวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคล ตลอดจนโอกาสเกิดและผลกระทบจากเหตุการณ์ละเมิดข้อมูลส่วนบุคคล

3. เราได้จัดให้มีการทบทวนและปรับปรุงมาตรการรักษาความปลอดภัยตามความจำเป็น หรือเมื่อมีการพัฒนาเทคโนโลยีที่เกี่ยวข้อง เพื่อให้มั่นใจว่ามาตรการรักษาความปลอดภัยมีประสิทธิภาพและเหมาะสม และเป็นไปตามข้อกำหนดขั้นต่ำของกฎหมายตามที่หน่วยงานรัฐที่เกี่ยวข้องประกาศกำหนด

8. ระยะเวลาในการจัดเก็บข้อมูลส่วนบุคคล

เราจะจัดเก็บข้อมูลส่วนบุคคลของท่านภายในระยะเวลาที่จำเป็นในการดำเนินการตามวัตถุประสงค์ของ หยวนต้า รวมถึงการดำเนินงานอื่น ๆ ที่จำเป็น เช่น การดำเนินงานเกี่ยวกับด้านกฎหมาย บัญชี และการติดตามตรวจสอบต่าง ๆ โดยเป็นไปตามข้อกำหนดในนโยบายของเรา

9. สิทธิของท่านในฐานะเจ้าของข้อมูลส่วนบุคคล

ภายใต้กฎหมายคุ้มครองข้อมูลส่วนบุคคลฯ ท่านมีสิทธิดังต่อไปนี้

• สิทธิในการเพิกถอนความยินยอม ในกรณีที่เราขอความยินยอมของท่านเพื่อประมวลผลข้อมูล ส่วนบุคคลของท่าน
• สิทธิในการเข้าถึงข้อมูลส่วนบุคคล โดยท่านสามารถขอรับสำเนาข้อมูลของท่านและตรวจสอบว่าเราได้ประมวลผลข้อมูลของท่านตามกฎหมายหรือไม่
• สิทธิในการโอนข้อมูลส่วนบุคคล ในกรณีที่เราได้จัดให้มีแพลตฟอร์มซึ่งทำให้ท่านสามารถเข้าถึงข้อมูลส่วนบุคคลด้วยวิธีการอัตโนมัติ

o ท่านสามารถขอให้ส่งหรือโอนข้อมูลส่วนบุคคลของท่านไปยังหน่วยงานอื่นได้ด้วยวิธีการอัตโนมัติ

o ท่านสามารถขอรับข้อมูลส่วนบุคคลที่เราส่งหรือโอนไปยังหน่วยงานอื่นโดยตรง เว้นแต่โดยสภาพทางเทคนิคไม่สามารถทำได้

• สิทธิในการคัดค้านการประมวลผลข้อมูลส่วนบุคคล โดยท่านสามารถคัดค้านในกรณีที่เราประมวลผลข้อมูลของท่านตามฐานการประมวลผล และ/หรือวัตถุประสงค์ ดังต่อไปนี้

o ตามฐานภารกิจของรัฐ หรือฐานประโยชน์โดยชอบด้วยกฎหมาย

o เพื่อวัตถุประสงค์เกี่ยวกับการศึกษาวิจัยทางวิทยาศาสตร์ ประวัติศาสตร์ หรือสถิติ เว้นแต่เป็นการจำเป็นเพื่อการดำเนินภารกิจเพื่อประโยชน์สาธารณะของเรา

o เพื่อวัตถุประสงค์เกี่ยวกับการตลาดแบบตรง

• สิทธิในการลบข้อมูลส่วนบุคคล โดยท่านสามารถขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวท่านได้ ในกรณีดังต่อไปนี้

o เมื่อหมดความจำเป็นในการประมวลผลข้อมูลส่วนบุคคล

o เมื่อข้อมูลส่วนบุคคลของท่านถูกประมวลผลโดยไม่ชอบด้วยกฎหมาย

o เมื่อท่านถอนความยินยอมในการประมวลผลข้อมูลส่วนบุคคล และ ไม่มีฐานการประมวลผลตามกฎหมายที่จะประมวลผลข้อมูลส่วนบุคคลนั้นได้ต่อไป

o เมื่อท่านคัดค้านการประมวลผลข้อมูลส่วนบุคคล

• สิทธิในการระงับการใช้ข้อมูลส่วนบุคคล โดยท่านสามารถขอให้ระงับการใช้ข้อมูลส่วนบุคคลของท่านได้ ในกรณีดังต่อไปนี้

o เมื่ออยู่ในระหว่างการตรวจสอบตามที่ท่านขอให้แก้ไขข้อมูลส่วนบุคคล

o เมื่อเป็นข้อมูลส่วนบุคคลที่ต้องลบหรือทำลาย แต่ท่านขอให้ระงับการใช้แทน

o เมื่อข้อมูลส่วนบุคคลหมดความจำเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ แต่ท่านมีความจำเป็นต้องขอให้เก็บรักษาไว้เพื่อใช้ในการก่อตั้งสิทธิเรียกร้องตามกฎหมาย การปฏิบัติตามหรือการใช้สิทธิเรียกร้องตามกฎหมาย หรือการยกขึ้นต่อสู้สิทธิเรียกร้องตามกฎหมาย

o เมื่ออยู่ในระหว่างการพิสูจน์ หรือตรวจสอบ ตามคำขอใช้สิทธิในการคัดค้านของท่าน

• สิทธิในการแก้ไขข้อมูลส่วนบุคคล หากท่านพบว่าข้อมูลของท่านไม่ถูกต้อง สมบูรณ์ และเป็นปัจจุบัน ท่านสามารถขอแก้ไขข้อมูลของท่านได้ เพื่อให้ข้อมูลของท่านถูกต้อง สมบูรณ์ และเป็นปัจจุบันได้

ในบางกรณี เราอาจไม่สามารถดำเนินการตามที่ท่านร้องขอได้ เช่น เมื่ออยู่ระหว่างการดำเนินกระบวนการทางกฎหมายหรือคำสั่งศาล เป็นต้น

อย่างไรก็ดี ในกรณีที่ท่านได้ให้ความยินยอมในการประมวลผลข้อมูลส่วนบุคคลเอาไว้ ท่านสามารถถอนความยินยอมนั้นเมื่อใดก็ได้ด้วยการติดต่อไปยังส่วนงานที่เกี่ยวข้อง โดยเราจะยุติการประมวลผลข้อมูลดังกล่าวโดยเร็วที่สุด ทั้งนี้ การถอนความยินยอมจะมีผลบังคับใช้กับการประมวลผลที่กำลังจะเกิดขึ้น หากแต่จะไม่มีผลเป็นการยกเลิกเพิกถอนการประมวลผลข้อมูลส่วนบุคคลที่ได้ดำเนินการไปแล้ว

อนึ่ง เราจะบันทึกรายการต่าง ๆ ที่ได้ดำเนินการเกี่ยวกับคำร้องขอใช้สิทธิของท่านเอาไว้ เพื่อใช้ในการแก้ไขปัญหาต่าง ๆ ที่เกิดขึ้น ทั้งนี้ หากมีข้อสงสัยในรายละเอียดของการดำเนินการเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และสิทธิของท่าน ท่านอาจศึกษาจากคู่มือ PDPA สำหรับประชาชน โดย สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ได้ที่ คู่มือ PDPA สำหรับประชาชน

ในกรณีที่ท่านประสงค์จะใช้สิทธิข้างต้น หรือมีข้อร้องเรียนเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล โปรดติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของเราตามรายละเอียดการติดต่อที่ได้แจ้งไว้ด้านบน โดยเราจะรีบดำเนินการตามคำร้องของท่านโดยเร็วและสอดคล้องกับที่กฎหมายกำหนด อย่างไรก็ดี ในกรณีที่เราปฏิเสธไม่ดำเนินการตามคำร้องขอ

ของท่าน ท่านมีสิทธิร้องเรียนเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมายได้ที่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ผ่านช่องทาง complaint.pdpc.or.th โดยจัดทำตามแบบคำร้องเรียนที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด

10. การทบทวนและปรับปรุงนโยบายคุ้มครองข้อมูลส่วนบุคคลฯ

เอกสารนี้เป็นนโยบายคุ้มครองข้อมูลส่วนบุคคลฯ สำหรับลูกค้าของ เราขอสงวนสิทธิในการทบทวนและปรับปรุงนโยบายนี้ตามที่เห็นสมควร โดยจะแจ้งให้ท่านทราบถึงการเปลี่ยนแปลงนโยบายคุ้มครองข้อมูลส่วนบุคคลฯ ฉบับนี้ต่อไป

Yuanta Securities (Thailand) Company Limited (collectively referred to as “Yuanta”, “we”, “us” and “our”) processes personal data of clients, clients’ family / emergency contact persons, clients’ legal representative / guardians / curators / executors, real beneficiaries, sponsors / shareholders / executives / directors / authorized signatories / employee of corporate clients, as well as authorized persons, investor relations, potential Clients, guarantors, event participants, website visitors, visitors and outsiders (collectively referred to as “Clients”, “you” and “your”) with the reasonable measures to act in compliance with the Thailand’s Personal Data Protection Act B.E. 2562 (“PDPA”). You may find the full version of Clients’ Privacy Policy (“Privacy Policy”) and read the summary of the Privacy Policy as provided below.

1. Purposes and Scope of the Privacy Policy

This Privacy Policy applies to all Clients of Yuanta. In this regard, Yuanta mainly acts as the data controller under the PDPA. Therefore, Yuanta is committed to collecting and processing your personal data in accordance with the purposes and scope in this Privacy Policy.

This Privacy Policy covers data subjects who are our Clients, including clients, clients’ family / emergency contact persons, clients’ legal representative / guardians / curators / executors, real beneficiaries, sponsors / shareholders / executives / directors / authorized signatories / employee of corporate clients, as well as authorized persons, investor relations, potential clients, guarantors, event participants, website visitors, visitor and outsiders.

As used in this Privacy Policy, the following terms shall have the meanings set forth below:

“Process” means anything done with Client’s personal data, including collection, storage, use, disclosure and deletion of personal data.

“Legal bases” means justifiable reasons to process personal data in accordance with Article 24 and special conditions to process sensitive data in accordance with Article 26 of the PDPA.

If you provide us with personal data of third parties, such as family members, emergency contacts or referees, you are requested to inform them of the details set out in this Privacy Policy. In certain cases, we may be required to obtain their consent in order to process their personal data.

This Privacy Policy may be revised at any given time as notified to Clients through appropriate channels.

2. Personal Data We Collect

We collect the following categories of your personal data;

• Identity data including, but not limited to, full name, surname, identification number, passport number, tax identification number, and signature;
• Address/contact data including, but not limited to, current address, office address, email address, and phone number;
• Profile data including, but not limited to, date of birth, age, nationality, gender, and political position;
• Family data including, but not limited to, political position of parent / spouse / children, marital status and number of children;
• Employment data including, but not limited to, position, years of working experience, business type, and workplace;
• Transaction data including, but not limited to, KYC level, risk level, account opening date, trading assets and document issued date;
• Property data including, but not limited to Client’s property;
• Financial/investment data including, but not limited to, account number, type of trading account, financial professional qualifications, remaining shares, investment capital and bank statement;
• Legal data including, but not limited to, type of lawsuit and subpoena;
• IT data including, but not limited to, serial number, access and use history of information system, and date and time of internet log-in; and
• Documentary evidence including, but not limited to, copy of ID card, copy of house registration, and copy of passport.

In addition, we may process the following certain types of sensitive personal data;

• Criminal record including, but not limited to, records of money laundering offenses, records of predicate offenses, and records of terrorism.

3. How We Collect Your Personal Data

In general, Yuanta will directly collect client’s personal data through these processes or channels including, but not limited to;

• Via communication/ filling/ signing in person;
• Via documents/ copying of documents;
• Via corporate email address;
• Via social media platforms including, but not limited to, Facebook;
• Via application/software/web-application such as Workflow-Incident Reporting System, Internal Trading System, our website, E-service System, NAVI application, SBA System, BSB System, MIS System, and Stock Allocation System;
• Via messages/phone calls; and
• Via data storage devices including, but not limited to, server backup.

However, we may collect additional personal data through third-party organizations which include:

• Public sources;
• Associations including, but not limited to, Investment Analysts Association and Association of Thai Securities Companies (ASCO);
• Business partners including, but not limited to, asset management company, advisory agent, underwriter and distributors, and agent / broker;
• Other business operators as prescribed by the notifications of the Association of Thai Securities Companies, such as members of the Association of Thai Securities Companies (ASCO)
• Service providers including, but not limited to, Business Online Public Company Limited, Digital Access Platform Company Limited and FinNet Innovation Network Company Limited;
• Regulators including, but not limited to, the Securities and Exchange Commission (SEC), the Securities Exchange of Thailand (SET) and Thailand Securities Depository Company Limited (TSD);
• Government agencies including, but not limited to, Royal Thai Police, Anti Money Laundering Office (AMLO), and Department of Business Development (DBD); and
• Court.

4. How We Process Your Personal Data

We process your personal data to carry out various operations according to Yuanta's purposes, which can be categorized into the following activity groups:

We will process your personal data according to the stated purposes and scope. However, if there came upon a case where your personal data need to be processed for other purposes unrelated to the original purposes, and such processing cannot be based on other processing grounds, we will notify you or request your consent for the processing of personal data according to that new purpose.

5. Usage of Personal Data with Third-Party Organizations

Yuanta may be required to disclose or transfer Client’s personal data to third-party organizations, in order for such organizations to process personal data in accordance with agreements with us and/or legal obligations. These organizations may include;

• Affiliate companies including, but not limited to, Yuanta Securities Taipei, and Yuanta Securities

Asia Financial Service Private Limited;

• Clients including, but not limited to, issuer companies;
• Service providers including, but not limited to, Digital Access Platform Company Limited

(FundConnext System), FinNet Innovation Network Company Limited, external auditor, T.K.S.

Technologies Public Company Limited, shipping companies, platform service providers, law firms,

Saxo Group Company Limited, Paper Mate (Thailand) Company Limited, Capital Market Risk

Advisor, Sdn, Bhd, and Marketing Agencies;

• Professional advisors including, but not limited to, PricewaterhouseCoopers (PwC), ABAS;
• Business partners including, but not limited to, subscription agents, asset management

companies, co-distribution management companies, underwriters, lead underwriters and

agents/brokers;

• Other business operators as prescribed by the notifications of the Association of Thai Securities

Companies, such as members of the Association of Thai Securities Companies (ASCO)

• Social media platforms;
• Banks including, but not limited to, Bangkok Bank, Kasikorn Bank, the Hongkong and Shanghai

Banking Corporation, TMB Thanachart Bank, and other commercial banks;

• Regulators including, but not limited to, the Securities and Exchange Commission (SEC), the

Securities Exchange of Thailand (SET), Anti-Money Laundering Office (AMLO), Thailand Clearing

House Company Limited (TCH), Thailand Securities Depository Company Limited (TSD), Bank of

Thailand (BOT) and securities registrar Office of the National Anti-Corruption Commission (NACC);

• Government agencies including, but not limited to, the Revenue Department, Royal Thai Police

and Land Office, Department of Special Investigation (DSI), and Land Office; and

• Court. For the cases where personal data is being disclosed or transferred to third-party organizations, we will ensure that the minimum amount of personal data is being disclosed or transferred, and may consider anonymization and pseudonymization techniques for greater security. Furthermore, the third-party organizations who will process personal data for us will be required to provide appropriate privacy policy. We do not permit these third-party organizations to use your personal data in a way that diverge from the agreed scope and purposes.

6. Transferring of Personal Data to Foreign Countries

According to the scope and purposes specified in this Privacy Policy, Yuanta may be required to pass on personal data to foreign countries, including;

• Singapore;
• Malaysia;
• Hong Kong; and
• Taiwan In this regard, we will transfer Client’s personal data only when any of these requirements has been met. The requirements include;
• The receiving foreign country has adequate personal data protection standards as certified by the

Personal Data Protection Committee;

• The receiving organization has implemented a comprehensive privacy policy which has been

certified by the Personal Data Protection Committee;

• The receiving organization has implemented a substantial privacy policy with sufficient remedial

measure in accordance with the procedures identified by the Personal Data Protection Committee

including, but not limited to, Standard Contractual Clauses and Code of Conduct.

• A pre-requisite to the exercise of legal rights;
• Consent has been obtained from the Client who is well-aware of the inadequate personal data

protection standards of the receiving countries or international organizations;

• A requirement for the execution of an agreement to which Client is a party of, or the fulfillment

of a request that the Client made prior to entering into the agreement;

• A necessary task to carry out under a contractual obligation between Yuanta and other persons

or entities for the benefits of the Clients;

• To ensure the safety or prevent further harm to an individual’s life, body, or health when such

individual is unable to give consent at that time; and

• A necessary task for the good of the public.

7. Security Measures for Personal Data Protection

We have implemented certain security measures to ensure the security of your personal data. In addition, third-party organizations are required to carry out the processing of personal data in accordance with our security policy as follows:

1. Yuanta has established and communicated a Personal Data Protection Policy throughout the

organization to ensure secure collection, use, and disclosure of personal data, while maintaining

confidentiality, integrity, and availability of such data.

2. Yuanta applies appropriate organizational and technical security measures, and necessary

physical measures, taking into account the level of risk based on the nature and purpose of the

data collection, use, and disclosure, as well as the likelihood and impact of any personal data

breach.

3. Yuanta regularly reviews and updates its security measures as necessary or when relevant

technologies evolve, to ensure that the measures remain effective and appropriate, and in line

with minimum legal requirements as set by relevant authorities.

8. Period of Personal Data Storage

We will store your personal data throughout appropriate period according to Yuanta’s scope and purposes, including other important matters such as legal requirements, accounting and auditing purposes in accordance with our established policies.

9. Your Personal Data Rights

Your rights under personal data protection laws are as follows:

• Right to revoke consent – for the case where we have obtained your consent in order to process your personal data;
• Right of access – you have the right to request a copy of all your personal data and assess whether we are processing your personal data in accordance with relevant laws;
• Right to data portability – in case where we have provided an automated platform allowing you to access your personal data automatically:

o you have the right to ask for your personal data to be transferred automatically to other organizations; and

o you have the right to request for your personal data in such a format that has been transferred from us to other organizations, except for the case where there is a technological limitation.

• Right to object – you have the right to object to any data processing activity of your personal data which has been relied on certain legal bases and/or processing purposes, including:

o public task or legitimate interest;

o scientific, historical or statistical research, unless necessary for public interest tasks; and

o direct marketing purposes.

• Right to erasure – you have the right to request for data deletion or anonymization, in accordance with the following cases:

o where processing required terms become expired;

o where your personal data is processed unlawfully;

o where you withdraw your consent and have no other legal basis to continue processing; and

o where there is objection raised against data processing activity.

• Right to restrict processing – you have the right to restrict any data processing activity in accordance with the following cases:

o During the verification process after you've requested to correct your personal data;

o When the personal data should be deleted or destroyed, but you request to restrict its use instead;

o for cases where the data processing terms have passed, but you have requested for processing restriction due to legal reasons; and

o during the verification or examination process following your objection request.

• Right to rectification – Should you find that your data is not accurate, complete, or up-to-date, you can request to have your data corrected to ensure that your information is accurate, complete, and current.

In some circumstances where we may not be able to carry out and support exercise of your rights, including, but not limited to, the cases where a legal process is taking place,

Furthermore, you will continue to have the right to retract your consent at any time by contacting the relevant department. We will therefore be required to terminate all processes as soon as possible. However, the retraction only applies to the data processing carried out thereafter. Any data processing activity carried out before the retraction will not be reversed.

Please be informed that Yuanta does record all requests to ensure all issues are resolved. For any queries regarding your personal data protection and rights, you may refer to the PDPA Handbook for Citizens, published by the Office of the Personal Data Protection Commission (PDPC), available at คู่มือ PDPA สำหรับประชาชน.

In the case where you wish to exercise your aforementioned rights, or to file complaint against your personal data processing, please contact our Data Protection Officer using the contact details provided above. We will promptly address your request in accordance with legal requirements. However, in cases where we refuse to comply with your request, you have the right to file a complaint regarding personal data protection under the law with the Personal Data Protection Committee Office via complaint.pdpc.or.th, using the complaint form established by the Personal Data Protection Committee.

10. Review and Revise of Personal Data Protection Policy

This Privacy Policy applies to all Yuanta’s Clients. Yuanta holds the rights to review and edit this Privacy Policy as we see appropriate. Any revision made will be notified to all related parties under this Privacy Policy.