Privacy notice

1. Who we are

Progenic Biotech ("we", "us", "our") is a B2B functional and wellness laboratory partner based in Bangkok, Thailand. We act as the Data Controller for personal data you provide through this website (www.progenicbiotech.com).

2. What data we collect

We only collect the minimum personal data needed to respond to your inquiry or fulfill a service:

• Contact form: name, professional credentials, email, clinic/company name, optional LINE ID, and the content of your message.
• Technical data: IP address, browser type, pages visited (via Cloudflare basic analytics — aggregated, not tied to identity).
• Through this website we do not collect patient records, results or any sensitive personal data. Health data reaches us through the laboratory service, not the website — see section 6A.

3. Lawful basis & purpose

We process your data under the following lawful bases (Section 24 PDPA):

• Consent (Section 19) — you tick the consent box on our contact form before submitting.
• Legitimate interest (Section 24(5)) — responding to your B2B inquiry and maintaining basic website security.
• Contractual necessity (Section 24(3)) — if you become a partner clinic, to fulfill our service agreement.

4. How long we keep it

Contact form submissions are retained for up to 24 months from your last interaction, after which they are deleted unless we have a legal obligation to retain them longer (e.g., tax records — 5 years).

5. Who we share it with

We share data only with the following processors, each bound by a Data Processing Agreement:

• Resend (USA — email delivery for the contact form). Data Processing Addendum in place.
• Cloudflare (USA — website hosting, edge security, basic analytics).
• Google (only the Maps embed on Contact page — see Cookies below).

We do not sell or rent personal data to third parties.

6. International transfers

Some processors (Resend, Cloudflare) are based outside Thailand. Transfers are protected by Standard Contractual Clauses and the processor's adequacy commitments under Section 28 PDPA.

6A. Laboratory services — specimens and results

This section covers the personal data we process when a healthcare provider orders a panel. It is separate from the website.

What we process

Identifying details supplied on the requisition (name or code, sex, date of birth, hospital or clinic number), the specimen itself, the clinical context the ordering provider gives us, and the result. Results and clinical context are sensitive personal data under section 26 of the PDPA.

Lawful basis

We process sensitive personal data on the basis of explicit consent obtained by the ordering provider from the patient before collection (section 26 paragraph one), and, where applicable, for the purposes of preventive or occupational medicine and medical diagnosis provided by a person under a duty of confidentiality (section 26(5)(a)). We do not rely on legitimate interest for health data.

Who is the controller

The ordering healthcare provider is the data controller for their patient. Progenic acts as a data processor for the analysis, and as a controller only for our own business records — account, invoicing and the audit trail we are required to keep. Our partner reference laboratories act as sub-processors. A data processing agreement is available on request and forms part of the account terms.

Transfers outside Thailand

Eleven of our panels are analysed by named laboratories outside Thailand, currently in the United States and India. The laboratory that runs each panel is stated on that panel’s page before you order. Specimens and the minimum accompanying data are transferred under section 28 of the PDPA, on the basis of the patient’s explicit consent to the transfer, having been informed that the destination country may not have data protection standards equivalent to Thailand’s, together with contractual safeguards with each laboratory.

What the ordering provider must tell the patient

So that you can meet your own obligations as controller, your consent form must tell the patient: which laboratory will run the panel and in which country; that the transfer is to a country that may not have equivalent protection; what data accompanies the specimen; how long the specimen and the result are retained; and how to withdraw consent. We supply a model consent form covering all five points — ask us for it before you collect.

Retention

Specimens are retained only as long as the assay and any repeat require, then destroyed by the performing laboratory under its own policy. Results are retained for the period Thai medical-facility record-keeping requires, and released only to the ordering provider.

7. Cookies & tracking

This website uses only the minimum cookies needed to function:

• Functional (no consent needed): remembering you've dismissed the cookie banner, preferred language.
• We do NOT use: Google Analytics, Facebook Pixel, advertising trackers, or any marketing/profiling cookies.

8. Your rights (Sections 30–36 PDPA)

You have the right to:

• Access the personal data we hold about you (Section 30)
• Rectify inaccurate data (Section 36)
• Erase your data ("right to be forgotten" — Section 33)
• Restrict processing (Section 34)
• Object to processing (Section 32)
• Withdraw consent at any time (Section 19) — without affecting prior lawful processing
• Data portability — receive your data in a machine-readable format (Section 31)
• Lodge a complaint with the Personal Data Protection Committee (PDPC) Thailand — www.pdpc.or.th

9. Data security

We protect your data with: HTTPS encryption in transit, strict access controls for our staff, vendor security agreements, and audit logging. No web service is 100% secure — please use a strong password and contact us promptly if you suspect unauthorised access.

10. Children's data

This website is intended for healthcare professionals (B2B). We do not knowingly collect personal data from anyone under 20 (the age of majority under Thai law, Section 20 PDPA). If a child has submitted data, contact us and we will delete it.

11. Changes to this notice

Material changes will be announced on this page with an updated "Last updated" date. Continued use of the site after changes constitutes acceptance.

12. Contact our Data Protection contact

Questions or to exercise your rights, please contact:

We respond to PDPA requests within 30 days as required by Section 30(3).

1. เราคือใคร

Progenic Biotech ("เรา") เป็นผู้ให้บริการแล็บทดสอบเชิงป้องกันและสุขภาวะแบบ B2B ในกรุงเทพมหานคร ประเทศไทย เราเป็น ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) สำหรับข้อมูลที่คุณส่งผ่านเว็บไซต์นี้ (www.progenicbiotech.com)

2. ข้อมูลที่เราเก็บ

เราเก็บเฉพาะข้อมูลที่จำเป็นขั้นต่ำเพื่อตอบคำถามหรือให้บริการ:

• แบบฟอร์มติดต่อ: ชื่อ คุณวุฒิวิชาชีพ อีเมล ชื่อคลินิก/บริษัท LINE ID (ถ้าระบุ) และเนื้อหาข้อความ
• ข้อมูลทางเทคนิค: IP address ประเภทเบราว์เซอร์ หน้าเว็บที่เยี่ยมชม (ผ่าน Cloudflare analytics ระดับพื้นฐาน รวมเป็นสถิติ ไม่ผูกกับตัวตน)
• เราจะไม่เก็บผ่านเว็บไซต์นี้: ประวัติสุขภาพผู้ป่วย ผลแล็บ ประวัติทางการแพทย์ หรือข้อมูลส่วนบุคคลที่อ่อนไหว (มาตรา 26 พรบ.คุ้มครองข้อมูลส่วนบุคคล)

3. ฐานทางกฎหมายและวัตถุประสงค์

เราประมวลผลข้อมูลของท่านโดยอาศัยฐานทางกฎหมาย (มาตรา 24 พรบ.) ดังนี้:

• ความยินยอม (มาตรา 19) — ท่านติ๊กกล่อง consent ก่อนส่งฟอร์มติดต่อ
• ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)) — เพื่อตอบคำถามแบบ B2B และรักษาความปลอดภัยพื้นฐานของเว็บไซต์
• การปฏิบัติตามสัญญา (มาตรา 24(3)) — กรณีท่านกลายเป็นคลินิกพันธมิตร เพื่อให้บริการตามสัญญา

4. ระยะเวลาจัดเก็บ

ข้อมูลจากแบบฟอร์มติดต่อจัดเก็บไว้ ไม่เกิน 24 เดือน นับจากการติดต่อครั้งล่าสุด หลังจากนั้นจะลบทิ้ง เว้นแต่มีหน้าที่ตามกฎหมายต้องเก็บนานกว่า (เช่น เอกสารภาษี — 5 ปี)

5. ผู้ที่เราแบ่งปันข้อมูลด้วย

เราแบ่งปันข้อมูลกับผู้ประมวลผลข้อมูลเหล่านี้เท่านั้น แต่ละรายมีข้อตกลงประมวลผลข้อมูล (DPA):

• Resend (สหรัฐอเมริกา — บริการส่งอีเมลจากฟอร์มติดต่อ) มี DPA
• Cloudflare (สหรัฐอเมริกา — โฮสติ้งเว็บไซต์ ความปลอดภัย analytics พื้นฐาน)
• Google (เฉพาะ Maps embed บนหน้า Contact — ดูเรื่องคุกกี้ด้านล่าง)

เราไม่ ขายหรือให้เช่า ข้อมูลส่วนบุคคลแก่บุคคลที่สาม

6. การโอนข้อมูลระหว่างประเทศ

ผู้ประมวลผลบางราย (Resend, Cloudflare) อยู่นอกประเทศไทย การโอนข้อมูลได้รับการคุ้มครองโดย Standard Contractual Clauses และคำยืนยันมาตรฐานความเพียงพอตามมาตรา 28 พรบ.

6A. บริการห้องปฏิบัติการ — ตัวอย่างและผลตรวจ

ส่วนนี้ครอบคลุมข้อมูลส่วนบุคคลที่เราประมวลผลเมื่อผู้ประกอบวิชาชีพสั่งตรวจ แยกจากข้อมูลเว็บไซต์

ข้อมูลที่ประมวลผล: ข้อมูลระบุตัวตนบนใบส่งตรวจ ตัวอย่างส่งตรวจ บริบททางคลินิกที่ผู้สั่งตรวจให้มา และผลตรวจ ผลตรวจและบริบททางคลินิกเป็นข้อมูลส่วนบุคคลอ่อนไหวตามมาตรา 26

ฐานทางกฎหมาย: ความยินยอมโดยชัดแจ้งที่ผู้สั่งตรวจได้รับจากผู้ป่วยก่อนเก็บตัวอย่าง (มาตรา 26 วรรคหนึ่ง) และตามมาตรา 26(5)(ก) เท่าที่เกี่ยวข้อง เราไม่ใช้ประโยชน์อันชอบธรรมเป็นฐานสำหรับข้อมูลสุขภาพ

ผู้ควบคุมข้อมูล: ผู้ประกอบวิชาชีพผู้สั่งตรวจเป็นผู้ควบคุมข้อมูลส่วนบุคคลของผู้ป่วย Progenic เป็นผู้ประมวลผลข้อมูลสำหรับการตรวจวิเคราะห์ และเป็นผู้ควบคุมเฉพาะข้อมูลทางธุรกิจของเราเอง ห้องปฏิบัติการพันธมิตรเป็นผู้ประมวลผลช่วง มีข้อตกลงการประมวลผลข้อมูลให้เมื่อร้องขอ

การโอนออกนอกประเทศ: 11 พาเนลวิเคราะห์โดยห้องปฏิบัติการที่ระบุชื่อในสหรัฐอเมริกาและอินเดีย หน้าของแต่ละพาเนลระบุห้องปฏิบัติการก่อนสั่งตรวจ การโอนดำเนินการตามมาตรา 28 บนฐานความยินยอมโดยชัดแจ้งของผู้ป่วยที่ได้รับแจ้งแล้วว่าประเทศปลายทางอาจไม่มีมาตรฐานการคุ้มครองข้อมูลเทียบเท่าประเทศไทย ร่วมกับข้อตกลงตามสัญญากับแต่ละห้องปฏิบัติการ

สิ่งที่ผู้สั่งตรวจต้องแจ้งผู้ป่วย: ห้องปฏิบัติการใดและประเทศใด ประเทศปลายทางอาจไม่มีการคุ้มครองเทียบเท่า ข้อมูลใดถูกส่งไปพร้อมตัวอย่าง ระยะเวลาจัดเก็บ และวิธีถอนความยินยอม เรามีแบบฟอร์มความยินยอมตัวอย่างครบทั้งห้าข้อ กรุณาขอก่อนเก็บตัวอย่าง

7. คุกกี้และการติดตาม

เว็บไซต์นี้ใช้คุกกี้ขั้นต่ำเฉพาะเท่าที่จำเป็น:

• คุกกี้ที่จำเป็น (ไม่ต้องขอความยินยอม): จดจำว่าท่านได้ปิด cookie banner แล้ว ภาษาที่เลือก
• เราไม่ใช้: Google Analytics, Facebook Pixel, ตัวติดตามโฆษณา หรือคุกกี้ทำ marketing/profiling ใดๆ

8. สิทธิของท่าน (มาตรา 30–36 พรบ.)

ท่านมีสิทธิดังต่อไปนี้:

• เข้าถึง ข้อมูลที่เราเก็บไว้ (มาตรา 30)
• แก้ไข ข้อมูลที่ไม่ถูกต้อง (มาตรา 36)
• ลบ ข้อมูล ("สิทธิที่จะถูกลืม" — มาตรา 33)
• จำกัด การประมวลผล (มาตรา 34)
• คัดค้าน การประมวลผล (มาตรา 32)
• ถอนความยินยอม ได้ตลอดเวลา (มาตรา 19) โดยไม่กระทบการประมวลผลที่ทำมาก่อนหน้านี้
• ความสามารถในการเคลื่อนย้ายข้อมูล รับข้อมูลของท่านในรูปแบบที่อ่านได้ด้วยเครื่อง (มาตรา 31)
• ยื่นข้อร้องเรียน ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) — www.pdpc.or.th

9. ความปลอดภัยของข้อมูล

เราปกป้องข้อมูลของท่านด้วย: การเข้ารหัส HTTPS ระหว่างการรับ-ส่ง การควบคุมการเข้าถึงที่เข้มงวดสำหรับพนักงาน ข้อตกลงด้านความปลอดภัยกับผู้ขาย และการบันทึก audit log แม้ไม่มีบริการเว็บใดปลอดภัย 100% — กรุณาใช้รหัสผ่านที่แข็งแรง และติดต่อเราทันทีหากสงสัยว่ามีการเข้าถึงโดยไม่ได้รับอนุญาต

10. ข้อมูลของผู้เยาว์

เว็บไซต์นี้สำหรับบุคลากรทางการแพทย์ (B2B) เราไม่เก็บข้อมูลส่วนบุคคลของผู้ที่อายุต่ำกว่า 20 ปีโดยรู้เห็น (อายุบรรลุนิติภาวะตามกฎหมายไทย มาตรา 20 พรบ.) หากเด็กส่งข้อมูลมา กรุณาติดต่อเรา จะลบทันที

11. การเปลี่ยนแปลงประกาศนี้

การเปลี่ยนแปลงสำคัญจะประกาศบนหน้านี้พร้อมวันที่ "ปรับปรุงล่าสุด" การใช้เว็บไซต์ต่อหลังการเปลี่ยนแปลงถือว่าท่านยอมรับ

12. ติดต่อเจ้าหน้าที่คุ้มครองข้อมูล

คำถามหรือใช้สิทธิของท่าน กรุณาติดต่อ:

เราตอบคำขอตาม PDPA ภายใน 30 วันตามมาตรา 30(3)