มาตรฐานประกาศความเป็นส่วนตัวของผลิตภัณฑ์

1. วัตถุประสงค์

กำหนดข้อกำหนดและแนวทางของ Univerza สำหรับเรื่อง มาตรฐานประกาศความเป็นส่วนตัวของผลิตภัณฑ์ ให้มีเจ้าของ การอนุมัติ การปฏิบัติ และหลักฐานที่ตรวจสอบย้อนหลังได้อย่างสม่ำเสมอ

2. ขอบเขต

ใช้กับหน่วยงาน บุคลากร ผู้รับจ้าง ผลิตภัณฑ์ ระบบ ข้อมูล และผู้ให้บริการทั้งหมดที่ Univerza ควบคุมหรือว่าจ้าง เว้นแต่มีข้อยกเว้นที่ได้รับอนุมัติเป็นลายลักษณ์อักษร

3. หลักการและข้อกำหนด

1. กำหนดหัวข้อขั้นต่ำและภาษาที่เข้าใจง่ายสำหรับ Privacy Notice ของทุกผลิตภัณฑ์
2. Notice ต้องตรงกับ ROPA, Data Flow, Consent และ Retention Schedule ที่ใช้งานจริง
3. แยก Notice ตามกลุ่มเจ้าของข้อมูลเมื่อวัตถุประสงค์หรือแหล่งข้อมูลต่างกันอย่างมีนัยสำคัญ
4. กำหนด Versioning, Change Notice และหลักฐานว่าผู้ใช้เห็นข้อความใด

4. บทบาทและความรับผิดชอบ

• Document Owner — Privacy Lead / DPO: ดูแลเนื้อหา การนำไปใช้ การวัดผล และการทบทวน
• Approver — Legal Lead: อนุมัติฉบับใช้งานและยอมรับความเสี่ยงที่เหลืออยู่
• Product/System/Data Owners: นำข้อกำหนดไปใช้ในขอบเขตของตนและจัดเก็บหลักฐาน
• Risk, Privacy, Security และ Legal: ให้คำปรึกษา ตรวจสอบ และยกระดับข้อบกพร่องตามหน้าที่
• บุคลากรและผู้รับจ้าง: ปฏิบัติตาม รายงานเหตุ และไม่หลีกเลี่ยง Control

5. หลักฐานขั้นต่ำ

• บันทึกการอนุมัติและประวัติการเปลี่ยนแปลง
• รายการข้อยกเว้น ความเสี่ยง และการแก้ไขที่เกี่ยวข้อง
• หลักฐานการสื่อสาร การอบรม หรือการรับทราบตามขอบเขต
• Log, Register, Report หรือผลทดสอบที่พิสูจน์ว่าข้อกำหนดถูกนำไปใช้จริง

6. การยกเว้นและการไม่ปฏิบัติตาม

ข้อยกเว้นต้องดำเนินการตาม UNI-GOV-007 ระบุเหตุผล ความเสี่ยง Compensating Controls ผู้อนุมัติ และวันหมดอายุ การไม่ปฏิบัติตามต้องถูกบันทึก ประเมินผลกระทบ และติดตามการแก้ไข

7. เกณฑ์ก่อนนำขึ้น Production

• ☐ Document Owner ตรวจความถูกต้องและความสอดคล้องกับการปฏิบัติงานจริง
• ☐ Privacy, Security, Legal หรือ Risk Review ตามหัวข้อที่เกี่ยวข้อง
• ☐ ผู้อนุมัติตาม metadata อนุมัติและกำหนด Effective Date
• ☐ เปลี่ยน approval_status เป็น approved, target_environment เป็น production และ production_eligible เป็น true
• ☐ สื่อสาร/อบรมผู้เกี่ยวข้องและเชื่อมหลักฐานในระบบปลายทาง

8. การทบทวน

ทบทวนอย่างน้อยปีละครั้ง และเมื่อมีกฎหมาย สัญญา โครงสร้างองค์กร ผลิตภัณฑ์ ระบบ Vendor หรือความเสี่ยงเปลี่ยนแปลงอย่างมีนัยสำคัญ