นโยบายความเป็นส่วนตัว
และการคุ้มครองข้อมูลส่วนบุคคลPrivacy and Personal Data
Protection Policy

นโยบายความเป็นส่วนตัวและการคุ้มครองข้อมูลส่วนบุคคลฉบับนี้ (“นโยบาย”) จัดทำขึ้นโดย องค์การบริหารสโมสรนิสิตจุฬาลงกรณ์มหาวิทยาลัย (“อบจ.จุฬาฯ” หรือ “อบจ.”) ซึ่งเป็นองค์กรนิสิตระดับมหาวิทยาลัยที่มาจากการเลือกตั้งของนิสิตทั้งมหาวิทยาลัย มีหน้าที่บริหารและขับเคลื่อนงานกิจกรรมนิสิตในระดับส่วนกลาง รวมทั้งประสานงานระหว่างนิสิต คณะ หน่วยงาน และมหาวิทยาลัย นโยบายนี้มีวัตถุประสงค์เพื่อชี้แจงแก่ผู้ใช้ ระบบรับเรื่องร้องเรียน (“ระบบ” หรือ “เว็บไซต์”) ถึงแนวทางการเก็บรวบรวม ใช้ เปิดเผย เก็บรักษา และคุ้มครองข้อมูลส่วนบุคคล ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“PDPA”) และกฎหมายที่เกี่ยวข้อง

This Privacy and Personal Data Protection Policy (the “Policy”) is issued by the Student Government of Chulalongkorn University (“SGCU”), a university-level student body elected by the student population, which administers and drives central student activities and coordinates among students, faculties, units and the University. The Policy sets out how SGCU collects, uses, discloses, retains and protects the personal data of users of the Complaint System (the “System” or the “Website”), in accordance with Thailand’s Personal Data Protection Act B.E. 2562 (2019) (the “PDPA”) and related laws.

1. การเข้าใช้งานระบบ การเข้าสู่ระบบ หรือการส่งเรื่อง ถือว่าผู้ใช้ได้รับทราบและเข้าใจนโยบายฉบับนี้แล้ว ผู้ที่ไม่เห็นด้วยกับนโยบายควรงดใช้งานระบบ
2. นโยบายนี้ใช้บังคับเฉพาะข้อมูลที่ดำเนินการผ่านระบบนี้ ไม่ครอบคลุมเว็บไซต์ แอปพลิเคชัน หรือช่องทางอื่นของ อบจ. หรือของบุคคลภายนอก แม้จะมีการเชื่อมโยงมาจากระบบนี้
3. อบจ. ดำเนินการโดยยึดหลักเก็บข้อมูลเท่าที่จำเป็น ใช้เพื่อวัตถุประสงค์ที่ได้แจ้งไว้เท่านั้น และจัดให้มีมาตรการคุ้มครองที่เหมาะสมตลอดวงจรของข้อมูล
4. หากข้อความภาษาไทยและภาษาอังกฤษขัดแย้งกัน ให้ถือข้อความภาษาไทยเป็นหลัก

1. Accessing the System, signing in or submitting a report constitutes acknowledgement and understanding of this Policy. Users who do not agree with it should refrain from using the System.
2. This Policy applies solely to data processed through this System. It does not extend to other websites, applications or channels of SGCU or of third parties, even where they are linked from the System.
3. SGCU operates on the principles of collecting only what is necessary, using data solely for the stated purposes, and maintaining appropriate safeguards throughout the data lifecycle.
4. If the Thai and English texts conflict, the Thai text prevails.

1. ผู้ควบคุมข้อมูลส่วนบุคคลของระบบนี้คือ องค์การบริหารสโมสรนิสิตจุฬาลงกรณ์มหาวิทยาลัย (อบจ.จุฬาฯ) โดยระบบอยู่ ในความดูแลของอุปนายกคนที่ 1 ซึ่งเป็นผู้รับผิดชอบการดำเนินงานของระบบและการปฏิบัติตามนโยบายนี้
2. อบจ.จุฬาฯ เป็นองค์กรบริหารที่ดำเนินงานโดยนิสิตเพื่อนิสิต ทำหน้าที่เป็นตัวแทนและเป็นช่องทางสื่อสารระหว่างนิสิตกับมหาวิทยาลัยและหน่วยงานที่เกี่ยวข้อง ในส่วนของระบบนี้ อบจ. มีหน้าที่ดังต่อไปนี้
   • รับฟังและรับเรื่องปัญหา ข้อเสนอแนะ และข้อร้องเรียนของนิสิตผ่านช่องทางที่เป็นระบบ
   • ตรวจสอบเบื้องต้น จัดลำดับความเร่งด่วน มอบหมายผู้รับผิดชอบ และกำหนดเวลาติดตามเรื่อง
   • ประสานงานกับคณะ ส่วนงาน และหน่วยงานของมหาวิทยาลัยที่เกี่ยวข้อง โดยส่งต่อเท่าที่จำเป็น
   • ติดตามความคืบหน้าและแจ้งผลกลับให้ผู้แจ้งทราบผ่านระบบ
   • จัดทำสถิติภาพรวมโดยไม่ระบุตัวตน เพื่อสะท้อนปัญหาและปรับปรุงการทำงาน
   • คุ้มครองข้อมูลส่วนบุคคลตามนโยบายนี้ และป้องกันการใช้ระบบในทางที่ผิด รวมถึงลบเรื่องที่ไม่เกี่ยวข้องกับการร้องเรียน
3. ขอบเขตและข้อจำกัดของหน้าที่: ระบบนี้ ไม่ใช่ช่องทางแจ้งเหตุฉุกเฉิน หากมีเหตุเร่งด่วนที่เกี่ยวกับชีวิตหรือความปลอดภัย โปรดติดต่อ 191 (เหตุด่วนเหตุร้าย) หรือ 1669 (การแพทย์ฉุกเฉิน) หรือเจ้าหน้าที่รักษาความปลอดภัยในพื้นที่ทันที
4. อบจ. ทำหน้าที่รับเรื่องและประสานงาน การพิจารณาหรือวินิจฉัยเรื่องที่อยู่ในอำนาจของมหาวิทยาลัยหรือหน่วยงานภายนอกเป็นดุลพินิจของหน่วยงานนั้น อบจ. จึง ไม่รับประกันผลลัพธ์หรือระยะเวลา ในการแก้ไขปัญหา

1. The data controller of this System is the Student Government of Chulalongkorn University (SGCU). The System is under the care of the First Vice President, who is responsible for its operation and for compliance with this Policy.
2. SGCU is a student-run body that acts as the representative of students and as a channel between students, the University and related units. In relation to this System, SGCU is responsible for the following:
   • Receiving students’ problems, suggestions and complaints through an organised channel.
   • Initial review, prioritising urgency, assigning owners and setting follow-up dates.
   • Coordinating with faculties, units and bodies of the University, referring only what is necessary.
   • Following progress and reporting back to the reporter through the System.
   • Producing anonymous overall statistics to reflect problems and improve its work.
   • Protecting personal data under this Policy and preventing misuse of the System, including deleting reports unrelated to complaints.
3. Scope and limits: this System is not an emergency channel. For any urgent threat to life or safety, call 191 (police) or 1669 (emergency medical services), or on-site security, immediately.
4. SGCU receives and coordinates reports. Decisions on matters within the authority of the University or outside bodies rest with those bodies, so SGCU does not guarantee any outcome or timeline.

ระบบรับเรื่องร้องเรียนเป็นเว็บแอปที่ให้นิสิตแจ้งปัญหา ข้อเสนอแนะ หรือข้อร้องเรียนถึง อบจ. อย่างเป็นระบบ ติดตามความคืบหน้าได้ และให้เจ้าหน้าที่บริหารจัดการเรื่องในที่เดียว ประกอบด้วยส่วนต่าง ๆ ดังนี้

The Complaint System is a web application through which students can report problems, suggestions or complaints to SGCU in an organised way, follow progress, and through which staff manage cases in one place. It consists of the following parts:

1. ระบบทำงานบนโครงสร้างพื้นฐานของผู้ให้บริการภายนอกตามหัวข้อที่ 12 โดย อบจ. เป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผลข้อมูล
2. การเข้าสู่ระบบของนิสิตใช้บัญชี Google โดเมน @student.chula.ac.th และตรวจสอบโดเมนที่ฝั่งเซิร์ฟเวอร์ทุกครั้งที่ส่งเรื่องหรือติดตามเรื่อง ไม่อาศัยการตรวจจากหน้าเว็บเพียงอย่างเดียว

1. The System runs on the infrastructure of external providers described in section 12; SGCU determines the purposes and means of processing.
2. Student sign-in uses a Google account in the @student.chula.ac.th domain, and the domain is verified on the server every time a report is submitted or tracked, not merely in the browser.

1. ข้อมูลที่ระบบไม่ได้เก็บเอง: ระบบไม่บันทึกที่อยู่ IP ลงในฐานข้อมูลของระบบ ไม่ติดตั้ง Google Analytics หรือเครื่องมือวิเคราะห์พฤติกรรมของบุคคลที่สาม และไม่ตั้งคุกกี้เพื่อการโฆษณา อย่างไรก็ตาม ผู้ให้บริการโครงสร้างพื้นฐานอาจบันทึกข้อมูลทางเทคนิคตามปกติ (เช่น IP, ชนิดเบราว์เซอร์, เวลาเข้าถึง) ตามนโยบายของผู้ให้บริการนั้น
2. ข้อมูลอ่อนไหว: ผู้แจ้งควรหลีกเลี่ยงการใส่ข้อมูลอ่อนไหวตามมาตรา 26 ของ PDPA (เช่น เชื้อชาติ ศาสนา ข้อมูลสุขภาพ ความคิดเห็นทางการเมือง ประวัติอาชญากรรม) เว้นแต่จำเป็นต่อการดำเนินเรื่องจริง ๆ การที่ผู้แจ้งเลือกใส่ข้อมูลดังกล่าวถือเป็นการให้ความยินยอมโดยชัดแจ้งให้ อบจ. ใช้เพื่อดำเนินเรื่องนั้นเท่านั้น
3. ข้อมูลของบุคคลที่สาม: หากเรื่องมีข้อมูลของบุคคลอื่น ผู้แจ้งต้องมั่นใจว่ามีเหตุอันสมควรในการให้ข้อมูลนั้น และให้เท่าที่จำเป็น

1. What the System does not collect itself: the System does not write IP addresses into its own database, does not install Google Analytics or other third-party behavioural tools, and does not set advertising cookies. Infrastructure providers may nonetheless keep ordinary technical logs (e.g. IP, browser type, access time) under their own policies.
2. Sensitive data: reporters should avoid entering sensitive data within the meaning of section 26 of the PDPA (e.g. race, religion, health data, political opinions, criminal records) unless genuinely necessary to handle the case. Choosing to enter such data constitutes explicit consent for SGCU to use it solely to handle that case.
3. Third-party data: if a report contains data about other people, the reporter must have a legitimate reason to provide it and must give only what is necessary.

1. อบจ. จะใช้ข้อมูลเฉพาะตามวัตถุประสงค์ข้างต้น และ จะไม่ใช้เพื่อการตลาด การโฆษณา การขาย การจัดทำโปรไฟล์พฤติกรรม หรือวัตถุประสงค์อื่นที่ไม่เกี่ยวข้อง หากจะใช้เพื่อวัตถุประสงค์ใหม่ จะแจ้งให้ทราบและขอความยินยอมเมื่อกฎหมายกำหนด
2. ผู้แจ้งมีสิทธิ์ปฏิเสธไม่ให้ข้อมูลที่ไม่บังคับ แต่การไม่ให้ข้อมูลที่จำเป็น (เช่น เบอร์โทร หรือการยืนยันตัวตนผ่านบัญชีนิสิต) จะทำให้ไม่สามารถส่งหรือติดตามเรื่องได้

1. SGCU will use data only for the purposes above and will not use it for marketing, advertising, sale, behavioural profiling or any unrelated purpose. If data is to be used for a new purpose, SGCU will inform users and obtain consent where the law requires.
2. Reporters may decline to give optional data, but refusing necessary data (such as the phone number or student-account verification) means the report cannot be submitted or tracked.

1. อบจ. ไม่ขาย ไม่แลกเปลี่ยน และไม่เปิดเผย ข้อมูลส่วนบุคคลต่อบุคคลภายนอก เว้นแต่ (ก) ได้รับความยินยอม (ข) จำเป็นต่อการส่งต่อเรื่องตามข้อ 8.3 (ค) กฎหมาย คำสั่งศาล หรือหน่วยงานที่มีอำนาจกำหนด หรือ (ง) เพื่อป้องกันอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของบุคคล
2. เจ้าหน้าที่และ Admin ทุกคนต้องรักษาความลับของข้อมูล ใช้เฉพาะเพื่อภารกิจที่ได้รับมอบหมาย และการดำเนินการต่อเรื่องถูกบันทึกเป็นประวัติที่ตรวจสอบย้อนหลังได้
3. การส่งต่อเรื่องไปยังหน่วยงานภายในมหาวิทยาลัยจะกระทำเท่าที่จำเป็น และ อบจ. จะไม่ส่งต่ออีเมลของนิสิตผู้แจ้ง

1. SGCU does not sell, trade or disclose personal data to outsiders except (a) with consent, (b) as needed to refer a case under clause 8.3, (c) where law, a court or a competent authority requires, or (d) to prevent danger to a person’s life, body or health.
2. All staff and Admins must keep data confidential and use it only for their assigned duties; actions on cases are recorded in an auditable history.
3. Referral of a case to University units is made only as necessary, and SGCU will not forward the reporting student’s email.

1. สถิติภาพรวม ประกอบด้วยจำนวนเรื่องทั้งหมด จำนวนแยกตามสถานะ จำนวนใน 7 วันล่าสุด จำนวนวันค้างเฉลี่ย และจำนวนแยกตามหมวดหมู่ ซึ่งเป็นตัวเลขรวมและไม่ระบุตัวบุคคล
2. แผนที่จุดที่มีเรื่อง จะปัดพิกัดเหลือทศนิยม 3 ตำแหน่ง (ประมาณ 110 เมตร) และรวมเรื่องที่อยู่ใกล้กันเป็นจุดเดียว แสดงเฉพาะจำนวนและสถานะรวมตามหมวดหมู่ ชื่อสถานที่จะแสดงเฉพาะจุดที่มีตั้งแต่ 2 เรื่องขึ้นไป เพื่อไม่ให้ข้อความส่วนตัวของรายบุคคลหลุดออกมา ทั้งนี้ ไม่แสดงรายละเอียดเรื่อง ชื่อ เบอร์ หรือรูปภาพ
3. เนื้อหาที่ Admin เผยแพร่ (หน้าเนื้อหา บล็อก แถบประกาศ ข้อความท้ายเว็บ ช่องทางติดต่อ) เป็นข้อมูลสาธารณะ และ อบจ. จะไม่นำข้อมูลส่วนบุคคลของผู้แจ้งมาเผยแพร่ในเนื้อหาดังกล่าวโดยไม่ได้รับความยินยอม
4. ขอบเขตพื้นที่รับเรื่อง (ขอบเขตบนแผนที่และชื่อพื้นที่) เป็นข้อมูลสาธารณะ เพราะหน้าเว็บต้องใช้วาดกรอบและแจ้งเตือนผู้ใช้
5. หากผู้ใดเห็นว่าข้อมูลที่เผยแพร่อาจระบุตัวตนของตนได้ มีสิทธิ์แจ้งให้ อบจ. ตรวจสอบและแก้ไขตามหัวข้อที่ 17

1. Overall statistics comprise the total number of cases, counts by status, cases in the last 7 days, the average days open and counts by category, all as aggregate figures that do not identify any person.
2. The hotspot map rounds coordinates to 3 decimal places (about 110 metres) and merges nearby cases into one point, showing only counts and status totals by category. A place name is shown only where there are 2 or more cases, so that an individual’s private text is not exposed. Case details, names, phones and photos are never shown.
3. Content published by Admins (content pages, blog posts, announcement bar, footer text, contact channels) is public, and SGCU will not publish a reporter’s personal data in such content without consent.
4. The service-area boundary (the boundary on the map and the area name) is public because the page needs it to draw the frame and warn users.
5. Anyone who believes published information could identify them may ask SGCU to review and correct it under section 17.

1. พื้นที่รับเรื่อง: อบจ. กำหนดขอบเขตพื้นที่ที่ระบบรับเรื่อง ค่าเริ่มต้นครอบคลุมบริเวณจุฬาฯ และ Admin ปรับได้ในหน้าจัดการเว็บไซต์ หน้าเว็บแสดงกรอบเส้นประบนแผนที่ และอาจกำหนดให้ ต้องปักหมุดทุกเรื่อง
2. การตรวจสอบ: หน้าเว็บตรวจตำแหน่งเพื่อแจ้งผู้ใช้ทันที แต่ผู้ตัดสินจริงคือฐานข้อมูลซึ่ง ตรวจซ้ำทุกครั้งที่ส่งเรื่อง ตำแหน่งที่อยู่นอกพื้นที่หรือไม่ได้ปักหมุดเมื่อถูกบังคับ จะถูกปฏิเสธและไม่ถูกบันทึก
3. การใช้ตำแหน่งปัจจุบัน (GPS): ใช้เฉพาะเมื่อผู้ใช้กดปุ่มและอนุญาตในเบราว์เซอร์ เป็นการขอตำแหน่งครั้งเดียวเพื่อวางหมุด ไม่มีการติดตามตำแหน่งต่อเนื่อง หากตำแหน่งปัจจุบันอยู่นอกพื้นที่รับเรื่อง ระบบจะไม่นำมาใช้ ผู้ใช้เพิกถอนการอนุญาตได้ในการตั้งค่าเบราว์เซอร์
4. การค้นหาสถานที่: ข้อความที่ผู้ใช้พิมพ์ค้นหาจะถูกส่งไปยังบริการ Nominatim ของ OpenStreetMap พร้อมกรอบพื้นที่ที่ใช้จำกัดผลลัพธ์ และเบราว์เซอร์ของผู้ใช้จะดึงภาพแผนที่จากเซิร์ฟเวอร์ของ OpenStreetMap
5. การเปิดลิงก์แผนที่: เมื่อเจ้าหน้าที่กดดูตำแหน่งบน Google Maps พิกัดของเรื่องจะอยู่ในลิงก์ที่เปิดไปยัง Google ซึ่งอยู่ภายใต้นโยบายของ Google

1. Service area: SGCU defines the boundary within which the System accepts reports. The default covers the Chulalongkorn campus area and Admins can adjust it in the website-management page. The page draws a dashed frame on the map and may require a pin for every report.
2. Validation: the page checks the location to warn users instantly, but the database is the real decision-maker and re-checks on every submission. A location outside the area, or a missing pin where one is mandatory, is rejected and not stored.
3. Current location (GPS): used only when the user presses the button and grants permission in the browser. It is a one-time request to place the pin, with no continuous tracking. If the current location is outside the service area, it is not used. Users may revoke the permission in browser settings.
4. Place search: the text a user types is sent to OpenStreetMap’s Nominatim service together with the area bounds used to restrict results, and the user’s browser loads map tiles from OpenStreetMap servers.
5. Map links: when staff press to view a location on Google Maps, the case coordinates are carried in the link opened at Google, which is governed by Google’s policies.

1. ระบบรับเฉพาะไฟล์ภาพ ก่อนอัปโหลด หน้าเว็บจะ ย่อภาพไม่เกิน 1,600 พิกเซล แปลงเป็น JPEG และลบข้อมูล EXIF (รวมถึงพิกัดและข้อมูลอุปกรณ์ที่ฝังในภาพ) โดยใช้ canvas ไฟล์ต้นฉบับจึงไม่ถูกส่งขึ้นเซิร์ฟเวอร์
2. ที่เก็บรูปเป็นแบบ ส่วนตัว (private) จำกัดขนาดไม่เกิน 3 MB ต่อรูป รับเฉพาะ JPEG นิสิตอัปโหลดได้เฉพาะโฟลเดอร์ของตนเองและไม่เกิน 10 รูปต่อชั่วโมง และไม่มีสิทธิ์แก้ไขหรือลบไฟล์หลังอัปโหลด
3. เฉพาะเจ้าหน้าที่ดูรูปได้ ผ่าน ลิงก์ชั่วคราวที่หมดอายุภายในประมาณ 5 นาที และเมื่อ Admin ลบเรื่อง ไฟล์รูปที่เกี่ยวข้องจะถูกลบด้วย
4. ผู้แจ้งต้องรับผิดชอบเนื้อหาในภาพ และควรหลีกเลี่ยงภาพที่เห็นใบหน้า ป้ายทะเบียน เอกสารส่วนตัว หรือข้อมูลของบุคคลอื่นโดยไม่จำเป็น

1. The System accepts image files only. Before upload the page resizes the image to at most 1,600 pixels, converts it to JPEG and removes EXIF data (including embedded coordinates and device details) using a canvas, so the original file is never sent to the server.
2. Photos are kept in a private store, limited to 3 MB per image and to JPEG. A student may upload only into their own folder, at most 10 photos per hour, and cannot modify or delete a file after upload.
3. Only staff can view photos, via a temporary link that expires in about 5 minutes, and when an Admin deletes a case the related photo file is deleted too.
4. The reporter is responsible for what appears in the photo and should avoid showing faces, licence plates, personal documents or other people’s data unnecessarily.

1. ตัวอักษรของเว็บไซต์ (LINE Seed Sans TH) จัดเก็บและให้บริการจากเซิร์ฟเวอร์ของระบบเอง จึงไม่มีการเรียก Google Fonts
2. ผู้ให้บริการบางรายอาจประมวลผลหรือจัดเก็บข้อมูลในต่างประเทศ อบจ. จะเลือกใช้ผู้ให้บริการที่มีมาตรการรักษาความมั่นคงปลอดภัยตามมาตรฐานสากล และจัดให้มีมาตรการคุ้มครองที่เหมาะสมตามที่ PDPA กำหนดสำหรับการส่งหรือโอนข้อมูลไปต่างประเทศ
3. บริการภายนอกแต่ละรายมีนโยบายความเป็นส่วนตัวของตนเอง อบจ. ไม่สามารถควบคุมและไม่รับผิดชอบต่อการดำเนินการของผู้ให้บริการเหล่านั้นนอกเหนือขอบเขตที่กฎหมายกำหนด

1. The Website’s typeface (LINE Seed Sans TH) is self-hosted, so Google Fonts is not called.
2. Some providers may process or store data abroad. SGCU will choose providers with internationally recognised security measures and will ensure appropriate safeguards as the PDPA requires for cross-border transfers.
3. Each external service has its own privacy policy. SGCU cannot control, and is not responsible for, those providers’ practices beyond what the law provides.

ระบบนี้ไม่ตั้งคุกกี้ของตนเอง แต่จัดเก็บข้อมูลบางส่วนในเบราว์เซอร์ของผู้ใช้ (localStorage / sessionStorage) ดังนี้

The System sets no cookies of its own, but it stores some data in the user’s browser (localStorage / sessionStorage), as follows:

1. คำเตือนการใช้เครื่องร่วม: เนื่องจากเบราว์เซอร์อาจเก็บเลขที่เรื่องและเบอร์โทรไว้ ผู้ใช้ควร ออกจากระบบทุกครั้งเมื่อใช้เครื่องสาธารณะหรือเครื่องร่วม และไม่ควรแชร์เลขที่เรื่องคู่กับเบอร์โทรให้ผู้อื่น
2. การแจ้งเตือนผ่านเบราว์เซอร์: ระบบอาจลงทะเบียน service worker เพื่อแสดงการแจ้งเตือนเมื่อสถานะเรื่องเปลี่ยน (ฝั่งผู้แจ้ง) หรือเมื่อมีเรื่องใหม่ (ฝั่งเจ้าหน้าที่) เฉพาะเมื่อผู้ใช้อนุญาต และปิดได้ตลอดเวลาในการตั้งค่าเบราว์เซอร์
3. ในระหว่างเข้าสู่ระบบ Google อาจตั้งคุกกี้ในโดเมนของ Google ภายใต้นโยบายของ Google ผู้ใช้ปรับการตั้งค่าคุกกี้ได้ในเบราว์เซอร์ แต่การปิดการจัดเก็บข้อมูลในเบราว์เซอร์ทั้งหมดอาจทำให้ไม่สามารถเข้าสู่ระบบได้

1. Shared-device warning: because the browser may keep the case number and phone, users should sign out every time they use a public or shared device and should not share the case number together with the phone number.
2. Browser notifications: the System may register a service worker to show alerts when a case status changes (reporter side) or when a new case arrives (staff side), only if the user allows it, and this can be switched off at any time in browser settings.
3. During sign-in Google may set cookies in Google’s own domain under Google’s policy. Users can adjust cookie settings in the browser, but disabling all browser storage may make sign-in impossible.

1. เหตุที่ Admin อาจลบเรื่อง: เรื่องที่ไม่เกี่ยวข้องกับการร้องเรียน สแปม เรื่องซ้ำ เรื่องทดสอบ หรือเนื้อหาที่ละเมิดข้อ 16 เจ้าหน้าที่ทั่วไป (staff) ไม่มีสิทธิ์ลบเรื่อง และการลบทุกครั้งต้องระบุเหตุผล
2. ผู้ให้บริการโครงสร้างพื้นฐานอาจเก็บข้อมูลสำรองตามรอบของตน จึงอาจมีสำเนาคงอยู่ชั่วระยะเวลาหนึ่งหลังการลบ ซึ่งจะถูกลบตามรอบการทำลายข้อมูลของผู้ให้บริการนั้น
3. อบจ. อาจเก็บข้อมูลต่อไปเท่าที่จำเป็นเพื่อปฏิบัติตามกฎหมาย ก่อตั้ง ใช้ หรือป้องกันสิทธิเรียกร้องทางกฎหมาย แม้มีคำขอให้ลบ

1. Grounds on which an Admin may delete: reports unrelated to complaints, spam, duplicates, tests or content that breaches clause 16. Ordinary staff cannot delete cases, and every deletion must state a reason.
2. Infrastructure providers may keep backups on their own cycles, so copies may persist for a period after deletion until removed in that provider’s purge cycle.
3. SGCU may keep data as necessary to comply with law or to establish, exercise or defend legal claims, even after an erasure request.

อบจ. จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมทั้งด้านเทคนิคและการบริหารจัดการ เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยโดยไม่ชอบ ซึ่งรวมถึง

SGCU maintains appropriate technical and organisational security measures to prevent loss, unauthorised access, use, alteration, modification or disclosure, including:

• การเชื่อมต่อแบบเข้ารหัส (HTTPS) ระหว่างเบราว์เซอร์กับระบบ
• การควบคุมสิทธิ์ระดับแถวข้อมูลในฐานข้อมูล (Row-Level Security) การแก้ไขข้อมูลทำผ่านฟังก์ชันที่ตรวจสิทธิ์ฝั่งเซิร์ฟเวอร์เท่านั้น
• การแยกอีเมลนิสิตไว้ในพื้นที่ภายในที่ API สาธารณะและหน้าเจ้าหน้าที่อ่านไม่ได้
• การแยกบทบาท staff และ admin และตรวจสิทธิ์ซ้ำทุกครั้งที่เรียกใช้งานที่ฝั่งเซิร์ฟเวอร์
• การตรวจความถูกต้องของข้อมูลที่ฝั่งเซิร์ฟเวอร์ เช่น โดเมนอีเมลนิสิต รูปแบบเบอร์โทร หมวดหมู่ พื้นที่รับเรื่อง และไฟล์รูป
• การจำกัดความถี่ (ส่งเรื่อง 5 ครั้งต่อชั่วโมง ติดตามเรื่อง 60 ครั้งต่อ 10 นาที อัปโหลดรูป 10 รูปต่อชั่วโมง)
• การแสดงข้อความของผู้ใช้อย่างปลอดภัย (เข้ารหัสอักขระป้องกัน XSS เนื้อหา Markdown ไม่รับ HTML ดิบ และจำกัดลิงก์/รูปที่อนุญาต)
• การตรึงเวอร์ชันและตรวจความถูกต้อง (SRI) ของไลบรารีเชื่อมฐานข้อมูลและยืนยันตัวตน
• รูปแนบเก็บแบบส่วนตัว เข้าถึงผ่านลิงก์ชั่วคราว และล้างข้อมูลเจ้าหน้าที่ออกจากหน้าจอเมื่อออกจากระบบ
• การบันทึกประวัติการดำเนินการของเจ้าหน้าที่ การลบเรื่อง และการแก้ไขเนื้อหาเว็บ

• Encrypted connections (HTTPS) between the browser and the System.
• Row-level security in the database; data changes are made only through functions that check permissions on the server.
• Keeping student emails in an internal area that neither the public API nor the staff pages can read.
• Separating the staff and admin roles and re-checking entitlement on the server for every call.
• Server-side validation, e.g. student email domain, phone format, category, service area and photo files.
• Rate limits (5 submissions per hour, 60 tracking requests per 10 minutes, 10 photo uploads per hour).
• Safe rendering of user text (character escaping against XSS; Markdown content accepts no raw HTML; links and images are restricted).
• Version-pinning and integrity checking (SRI) of the database and authentication library.
• Private photo storage with temporary access links, and clearing staff data from the screen at sign-out.
• Recording the history of staff actions, case deletions and website edits.

1. ไม่มีระบบใดปลอดภัยโดยสมบูรณ์ ผู้ใช้ควรช่วยรักษาความปลอดภัยโดยไม่เปิดเผยเลขที่เรื่องและเบอร์โทร ออกจากระบบเมื่อเลิกใช้ และใช้อุปกรณ์ที่ปลอดภัย

1. No system is perfectly secure. Users should help by not disclosing the case number and phone, signing out when finished, and using a secure device.

1. ผู้ใช้ต้องให้ข้อมูลที่เป็นความจริง และส่งเฉพาะเรื่องที่เกี่ยวข้องกับนิสิต พื้นที่จุฬาฯ หรือการดำเนินงานของ อบจ. และหน่วยงานในมหาวิทยาลัย
2. ห้าม ส่งเรื่องอันเป็นเท็จ หมิ่นประมาท ล่วงละเมิดสิทธิส่วนบุคคลของผู้อื่น เกินความจำเป็น สแปม โฆษณา เนื้อหาผิดกฎหมายหรืออนาจาร หรือไฟล์ที่เป็นอันตราย
3. ห้าม พยายามเข้าถึงระบบหรือข้อมูลโดยไม่ได้รับอนุญาต ใช้บัญชีของผู้อื่น แอบอ้างเป็นนิสิต หลีกเลี่ยงการจำกัดความถี่ ใช้โปรแกรมอัตโนมัติ สแกนหาช่องโหว่ หรือรบกวนการทำงานของระบบ
4. ห้าม เปิดเผย แชร์ หรือรวบรวมเลขที่เรื่อง เบอร์โทร หรือข้อมูลเรื่องของบุคคลอื่น
5. หน้าที่ของเจ้าหน้าที่และ Admin: ใช้ข้อมูลเฉพาะเพื่อดำเนินเรื่อง ห้ามคัดลอก ส่งต่อ หรือเผยแพร่นอกเหนือภารกิจ ห้ามใช้เบอร์โทรเพื่อวัตถุประสงค์อื่นนอกจากการติดต่อกลับเรื่องนั้น และห้ามสืบหาตัวตนของผู้แจ้งที่เลือกไม่ระบุชื่อ เว้นแต่จำเป็นต่อการดำเนินเรื่องและได้รับอนุมัติหรือกฎหมายกำหนด
6. ผลของการฝ่าฝืน: อบจ. อาจลบเรื่องหรือเนื้อหา ระงับการใช้งาน เพิกถอนสิทธิเจ้าหน้าที่ ส่งเรื่องให้มหาวิทยาลัยหรือหน่วยงานที่มีอำนาจดำเนินการตามกฎหมาย ผู้ใช้เป็นผู้รับผิดชอบต่อเนื้อหาที่ตนส่งและความเสียหายที่เกิดจากการฝ่าฝืน

1. Users must provide truthful information and submit only matters related to students, the Chulalongkorn area, or the work of SGCU and University units.
2. It is prohibited to submit false or defamatory reports, to infringe others’ privacy beyond necessity, or to send spam, advertising, unlawful or obscene content or harmful files.
3. It is prohibited to attempt unauthorised access to the System or its data, use another person’s account, pose as a student, evade rate limits, use bots, scan for vulnerabilities or disrupt the System.
4. It is prohibited to disclose, share or harvest other people’s case numbers, phone numbers or case data.
5. Duties of staff and Admins: use data only to handle the case; do not copy, forward or publish it beyond their duties; do not use phone numbers for any purpose other than contacting back about that case; and do not seek to identify a reporter who chose to stay anonymous unless necessary to handle the case and approved or required by law.
6. Consequences of breach: SGCU may delete reports or content, suspend use, revoke staff rights, and refer the matter to the University or competent authorities. Users are responsible for the content they submit and for damage caused by a breach.

ภายใต้ PDPA เจ้าของข้อมูลส่วนบุคคลมีสิทธิ ดังต่อไปนี้ ทั้งนี้ ตามเงื่อนไขและข้อยกเว้นที่กฎหมายกำหนด

Under the PDPA, data subjects have the following rights, subject to the conditions and exceptions set by law:

• สิทธิเข้าถึงและขอสำเนา ข้อมูลส่วนบุคคลของตน
• สิทธิขอรับหรือโอนย้ายข้อมูล ในรูปแบบที่อ่านหรือใช้งานได้โดยทั่วไป เมื่อเข้าเงื่อนไข
• สิทธิคัดค้าน การเก็บ ใช้ หรือเปิดเผยข้อมูลในกรณีที่กฎหมายให้สิทธิ
• สิทธิขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวตนได้
• สิทธิขอให้ระงับการใช้ ข้อมูลชั่วคราวหรือบางส่วน
• สิทธิขอให้แก้ไข ข้อมูลให้ถูกต้อง เป็นปัจจุบัน และไม่ก่อให้เกิดความเข้าใจผิด
• สิทธิถอนความยินยอม เมื่อใดก็ได้ โดยไม่กระทบการประมวลผลที่ได้ทำไปแล้วก่อนถอน
• สิทธิร้องเรียน ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หากเห็นว่ามีการฝ่าฝืน PDPA

• Access and copy: to access and obtain a copy of your personal data.
• Portability: to receive or transfer data in a commonly readable format where conditions are met.
• Objection: to object to collection, use or disclosure where the law grants the right.
• Erasure: to request deletion, destruction or anonymisation.
• Restriction: to request restriction of use, temporary or partial.
• Rectification: to have data corrected so it is accurate, up to date and not misleading.
• Withdraw consent at any time, without affecting processing already done before withdrawal.
• Complain to the Personal Data Protection Committee Office if you believe the PDPA has been violated.

1. วิธีใช้สิทธิ: ติดต่อ อบจ. ตามหัวข้อที่ 20 โดยระบุเลขที่เรื่องและเบอร์โทรที่ใช้ส่งเรื่อง เพื่อให้ อบจ. ยืนยันตัวผู้ขอ เนื่องจากผู้แจ้งอาจไม่ได้ระบุชื่อและ อบจ. ไม่สามารถอาศัยชื่อเพื่อระบุตัวได้
2. ระยะเวลา: อบจ. จะพิจารณาและตอบคำขอโดยไม่ชักช้า ภายใน 30 วันนับแต่ได้รับคำขอที่ครบถ้วน และโดยหลักการจะไม่เรียกเก็บค่าใช้จ่ายสำหรับการใช้สิทธิ
3. การแก้ไขเรื่องที่ส่งแล้ว: ปัจจุบันผู้แจ้งไม่สามารถแก้ไขเนื้อหาเรื่องด้วยตนเองในระบบ หากต้องการแก้ไขหรือเพิ่มเติม โปรดติดต่อ อบจ. ตามข้อ 17.1
4. ข้อจำกัด: อบจ. อาจปฏิเสธหรือจำกัดการใช้สิทธิได้ เมื่อกฎหมายหรือคำสั่งศาลกำหนด เมื่อกระทบสิทธิและเสรีภาพของบุคคลอื่น หรือเมื่อจำเป็นต้องเก็บข้อมูลเพื่อก่อตั้ง ใช้ หรือป้องกันสิทธิเรียกร้องทางกฎหมาย โดยจะแจ้งเหตุผลให้ทราบ การถอนความยินยอมหรือการลบข้อมูลอาจทำให้ อบจ. ไม่สามารถดำเนินเรื่องนั้นต่อไปได้

1. How to exercise rights: contact SGCU under section 20, giving the case number and the phone number used for the report, so SGCU can verify the requester, since a reporter may not have given a name and SGCU cannot identify them by name.
2. Timeline: SGCU will consider and answer requests without delay, within 30 days of receiving a complete request, and in principle will not charge for exercising rights.
3. Correcting a submitted report: a reporter cannot currently edit a submitted report in the System. To correct or add information, please contact SGCU under clause 17.1.
4. Limits: SGCU may refuse or limit the exercise of a right where law or a court order requires, where it would affect the rights and freedoms of others, or where data must be kept to establish, exercise or defend legal claims, and will give reasons. Withdrawing consent or erasing data may mean SGCU can no longer continue handling that case.

1. เมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคล อบจ. จะดำเนินการตรวจสอบ ควบคุมความเสียหาย และแก้ไขโดยเร็ว
2. หากเหตุนั้นมีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล อบจ. จะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะกระทำได้ และหากมีความเสี่ยงสูง จะแจ้งเจ้าของข้อมูลที่ได้รับผลกระทบพร้อมแนวทางเยียวยาโดยไม่ชักช้า ผ่านช่องทางที่เหมาะสม เช่น ประกาศบนเว็บไซต์
3. ผู้ใดพบช่องโหว่หรือข้อมูลรั่วไหล โปรดแจ้ง อบจ. ทันทีตามหัวข้อที่ 20 และโปรดอย่าเปิดเผยต่อสาธารณะก่อนได้รับการแก้ไข หรือเข้าถึงข้อมูลเกินกว่าที่จำเป็นต่อการแจ้งเหตุ

1. When a personal data breach occurs, SGCU will investigate, contain the damage and remedy it promptly.
2. If the breach is likely to put the rights and freedoms of persons at risk, SGCU will notify the Personal Data Protection Committee Office within 72 hours of becoming aware, where feasible, and if the risk is high will notify affected data subjects without delay with remedial guidance, through suitable channels such as a notice on the Website.
3. Anyone who finds a vulnerability or data leak should notify SGCU immediately under section 20, and should not disclose it publicly before it is fixed or access more data than is needed to report it.

1. ระบบออกแบบมาสำหรับนิสิตมหาวิทยาลัย หากผู้ใช้เป็นผู้เยาว์ตามกฎหมาย ผู้ใช้ยืนยันว่าได้รับความยินยอมจากผู้ใช้อำนาจปกครองเท่าที่กฎหมายกำหนดแล้ว อบจ. ไม่มีเจตนาเก็บข้อมูลของเด็กอายุต่ำกว่า 10 ปี หากพบจะลบโดยเร็ว
2. อบจ. อาจปรับปรุงนโยบายนี้เมื่อมีการเปลี่ยนแปลงของระบบ กฎหมาย หรือแนวปฏิบัติ โดยแสดงวันที่ปรับปรุงล่าสุดไว้ที่ต้นหน้า การเปลี่ยนแปลงที่มีนัยสำคัญจะประกาศผ่านเว็บไซต์ และหากกฎหมายกำหนดให้ขอความยินยอมใหม่ จะดำเนินการขอใหม่
3. การใช้งานระบบต่อไปหลังนโยบายมีผลใช้บังคับ ถือว่าผู้ใช้รับทราบนโยบายฉบับที่ปรับปรุงแล้ว เว้นแต่กฎหมายกำหนดให้ต้องขอความยินยอมใหม่

1. The System is designed for university students. If a user is a minor under the law, the user confirms that the consent of the person with parental authority has been obtained to the extent the law requires. SGCU does not intend to collect data of children under 10 and will delete it promptly if found.
2. SGCU may update this Policy when the System, the law or practice changes, showing the latest update date at the top of the page. Significant changes will be announced on the Website, and fresh consent will be sought where the law requires.
3. Continued use of the System after an updated Policy takes effect means the user acknowledges it, unless the law requires fresh consent.

1. ผู้ควบคุมข้อมูลส่วนบุคคล: องค์การบริหารสโมสรนิสิตจุฬาลงกรณ์มหาวิทยาลัย (อบจ.จุฬาฯ) ในความดูแลของอุปนายกคนที่ 1 จุฬาลงกรณ์มหาวิทยาลัย
2. ช่องทางติดต่อ: ผู้ต้องการใช้สิทธิหรือมีข้อสงสัยเกี่ยวกับนโยบายนี้ สามารถแจ้งผ่านระบบรับเรื่องร้องเรียนนี้ (เลือกหมวด “อื่นๆ” และระบุหัวข้อ “คำขอเกี่ยวกับข้อมูลส่วนบุคคล”) หรือผ่านช่องทางติดต่อที่ อบจ. ประกาศไว้ท้ายเว็บไซต์ (อีเมล LINE Facebook Instagram) โปรดอย่าใส่ข้อมูลสำคัญเกินความจำเป็นในข้อความคำขอ
3. การร้องเรียนต่อหน่วยงานกำกับดูแล: หาก อบจ. ไม่ตอบสนองหรือผู้ใช้เห็นว่าการประมวลผลฝ่าฝืน PDPA มีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ที่ www.pdpc.or.th

1. Data controller: Student Government of Chulalongkorn University (SGCU), under the care of the First Vice President, Chulalongkorn University.
2. Contact channels: to exercise rights or ask about this Policy, use this Complaint System (choose the “Other” category and state “Personal data request” as the subject) or the channels SGCU announces in the Website footer (email, LINE, Facebook, Instagram). Please do not include more sensitive information than necessary in the request.
3. Complaint to the regulator: if SGCU does not respond, or the user believes the processing violates the PDPA, the user may complain to the Personal Data Protection Committee Office (PDPC) at www.pdpc.or.th.