นโยบายความเป็นส่วนตัว

นโยบายความเป็นส่วนตัวฉบับนี้อธิบายวิธีที่เราเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้บริการ จัดทำขึ้นให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

1. ข้อมูลที่เราเก็บรวบรวม

1.1 ข้อมูลที่คุณให้เราโดยตรง
- อีเมล และรหัสผ่านซึ่งจัดเก็บในรูปแบบเข้ารหัสทางเดียว (bcrypt) เราไม่สามารถอ่านรหัสผ่านของคุณได้ และไม่มีการเก็บเป็นข้อความปกติ
- ข้อมูลโปรไฟล์พื้นฐานจากบัญชี Google (อีเมลและรหัสผู้ใช้) กรณีเลือกเข้าสู่ระบบด้วย Google
- รูปภาพที่คุณอัพโหลดเพื่อประมวลผล

1.2 ข้อมูลที่เกิดจากการใช้บริการ
- ประวัติการสร้างภาพ เครื่องมือที่เลือกใช้ และจำนวนครั้งที่สร้างซ้ำ
- ยอดเหรียญคงเหลือ ประวัติการได้รับและใช้เหรียญ วันหมดอายุของเหรียญแต่ละก้อน
- ประวัติการชำระเงิน (จำนวนเงิน วันเวลา สถานะ รหัสอ้างอิงรายการ)
- รหัสแนะนำเพื่อน และความสัมพันธ์ผู้แนะนำ/ผู้ถูกแนะนำ
- บันทึกความพยายามเข้าสู่ระบบ สำหรับป้องกันการเดารหัสผ่าน

1.3 ข้อมูลทางเทคนิค
- หมายเลข IP ชนิดเบราว์เซอร์ และเวลาที่เข้าใช้งาน เพื่อความปลอดภัยของระบบ
- คุกกี้ที่จำเป็นต่อการทำงาน (คุกกี้เซสชันสำหรับรักษาสถานะการเข้าสู่ระบบ) ซึ่งไม่สามารถปิดได้หากต้องการใช้บริการ
- กรณีเปิดใช้เครื่องมือวิเคราะห์การใช้งาน จะมีคุกกี้เพื่อการวิเคราะห์แบบไม่ระบุตัวตนเพิ่มเติม

2. วัตถุประสงค์และฐานทางกฎหมายในการใช้ข้อมูล

- เพื่อปฏิบัติตามสัญญาการให้บริการ: สร้างและจัดการบัญชี ประมวลผลรูปภาพ จัดการเหรียญและการชำระเงิน
- เพื่อประโยชน์โดยชอบด้วยกฎหมาย: ป้องกันการทุจริต การใช้บริการโดยไม่ชอบ การสร้างบัญชีปลอมเพื่อรับสิทธิประโยชน์ซ้ำ และการรักษาความปลอดภัยของระบบ
- เพื่อปฏิบัติตามกฎหมาย: การจัดเก็บเอกสารทางบัญชีและภาษี
- เพื่อการติดต่อที่จำเป็น: ยืนยันอีเมล แจ้งสถานะการชำระเงิน แจ้งเตือนเหรียญใกล้หมดอายุ และแจ้งการเปลี่ยนแปลงเงื่อนไขบริการ

เราไม่ขาย ไม่ให้เช่า และไม่แลกเปลี่ยนข้อมูลส่วนบุคคลของคุณเพื่อวัตถุประสงค์ทางการตลาดของบุคคลที่สาม

3. การประมวลผลรูปภาพและการเปิดเผยต่อผู้ให้บริการภายนอก

3.1 รูปภาพที่คุณอัพโหลดจะถูกส่งไปยังผู้ให้บริการโมเดลปัญญาประดิษฐ์เพื่อประมวลผลตามคำสั่งของคุณ การส่งข้อมูลนี้จำเป็นต่อการให้บริการ และอยู่ภายใต้นโยบายความเป็นส่วนตัวของผู้ให้บริการดังกล่าว

3.2 การประมวลผลอาจเกิดขึ้นบนเซิร์ฟเวอร์ที่ตั้งอยู่นอกราชอาณาจักรไทย ซึ่งถือเป็นการโอนข้อมูลไปต่างประเทศ การใช้บริการถือว่าคุณรับทราบและยินยอมในการโอนข้อมูลดังกล่าว

3.3 การชำระเงินดำเนินการผ่าน Stripe ซึ่งได้รับการรับรองมาตรฐาน PCI-DSS ระดับ 1 ข้อมูลบัตรของคุณกรอกบนหน้าของ Stripe โดยตรง ไม่ผ่านและไม่ถูกจัดเก็บบนเซิร์ฟเวอร์ของเรา เราได้รับเพียงผลลัพธ์ของรายการและรหัสอ้างอิง กรณีสมัครสมาชิกแบบตัดบัตรอัตโนมัติ Stripe จะจัดเก็บวิธีการชำระเงินของคุณไว้เพื่อเรียกเก็บในรอบถัดไป

3.4 หากมีการเปิดใช้บริการอีเมลหรือเครื่องมือวิเคราะห์จากภายนอก ข้อมูลที่จำเป็นต่อการทำงานของบริการนั้นจะถูกส่งต่อเท่าที่จำเป็นเท่านั้น

4. ความรับผิดชอบของคุณต่อบุคคลในภาพ

รูปภาพที่อัพโหลดอาจมีข้อมูลส่วนบุคคลของผู้อื่น เช่น ใบหน้าหรือรอยสักบนร่างกายลูกค้าของคุณ คุณรับรองว่าได้รับความยินยอมจากบุคคลในภาพก่อนอัพโหลด และเป็นผู้ควบคุมข้อมูลของบุคคลดังกล่าวตามกฎหมาย โดยเราทำหน้าที่ประมวลผลตามคำสั่งของคุณเท่านั้น

5. ระยะเวลาการเก็บรักษาข้อมูล

- ไฟล์รูปภาพต้นฉบับและภาพผลลัพธ์: เก็บตามระยะเวลาที่ระบบกำหนดและแสดงไว้ในหน้าประวัติการสร้างภาพ หลังจากนั้นระบบจะลบไฟล์อัตโนมัติ กรุณาดาวน์โหลดภาพที่ต้องการเก็บไว้ในเครื่องของคุณ
- ข้อมูลบัญชีและประวัติการใช้งาน: เก็บตลอดระยะเวลาที่บัญชียังใช้งานอยู่
- เอกสารและข้อมูลการชำระเงิน: เก็บไม่น้อยกว่าระยะเวลาที่กฎหมายบัญชีและภาษีกำหนด แม้บัญชีถูกลบแล้ว
- บันทึกความปลอดภัย: เก็บเท่าที่จำเป็นต่อการตรวจสอบเหตุการณ์

6. มาตรการรักษาความปลอดภัย

เราใช้มาตรการทางเทคนิคและองค์กรตามสมควร ได้แก่ การเข้าถึงฐานข้อมูลด้วยคำสั่งแบบมีพารามิเตอร์เพื่อป้องกัน SQL Injection การกรองข้อมูลขาออกและนโยบายความปลอดภัยเนื้อหา (CSP) เพื่อป้องกัน XSS โทเคนป้องกัน CSRF ในทุกแบบฟอร์ม การเข้ารหัสรหัสผ่านแบบทางเดียว การจำกัดจำนวนครั้งการเข้าสู่ระบบที่ผิดพลาด การเข้ารหัสข้อมูลระหว่างส่งด้วย HTTPS การตรวจสอบและแปลงไฟล์ภาพที่อัพโหลดใหม่เพื่อกำจัดโค้ดที่อาจแฝงมา และการตั้งชื่อไฟล์ภาพของลูกค้าแบบสุ่มเชิงรหัสวิทยาเพื่อป้องกันการคาดเดาที่อยู่ไฟล์

อย่างไรก็ดี ไม่มีระบบใดปลอดภัยโดยสมบูรณ์ เราจึงไม่อาจรับประกันความปลอดภัยอย่างเด็ดขาด และขอให้คุณใช้รหัสผ่านที่คาดเดายากและไม่ใช้ซ้ำกับบริการอื่น

7. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้ PDPA คุณมีสิทธิดังนี้
- สิทธิเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของคุณ
- สิทธิขอแก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบัน
- สิทธิขอลบหรือทำลายข้อมูล เว้นแต่ข้อมูลที่เราต้องเก็บตามกฎหมาย
- สิทธิขอให้ระงับการใช้ข้อมูล
- สิทธิคัดค้านการประมวลผลข้อมูล
- สิทธิขอให้โอนย้ายข้อมูลไปยังผู้ควบคุมข้อมูลรายอื่น
- สิทธิถอนความยินยอม โดยการถอนความยินยอมอาจทำให้ไม่สามารถให้บริการต่อได้
- สิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

คุณสามารถใช้สิทธิได้โดยติดต่อเราตามช่องทางที่ระบุไว้ท้ายนโยบายนี้ เราจะดำเนินการภายในระยะเวลาที่กฎหมายกำหนด และอาจขอข้อมูลเพิ่มเติมเพื่อยืนยันตัวตนก่อนดำเนินการ

8. การลบบัญชี

คุณสามารถขอลบบัญชีได้ตลอดเวลา เมื่อลบบัญชีแล้ว เหรียญและสิทธิ์คงเหลือทั้งหมดจะถูกยกเลิกและไม่สามารถขอคืนเป็นเงินได้ ข้อมูลที่จำเป็นตามกฎหมายบัญชีและภาษีจะยังถูกเก็บไว้ตามระยะเวลาที่กฎหมายกำหนด

9. บริการนี้ไม่มีไว้สำหรับเด็ก

บริการนี้มีไว้สำหรับผู้ที่มีอายุ 18 ปีบริบูรณ์ขึ้นไป หรือผู้ที่ได้รับความยินยอมจากผู้ปกครองตามกฎหมาย เราไม่มีเจตนาเก็บรวบรวมข้อมูลจากเด็ก หากพบว่ามีการเก็บข้อมูลของเด็กโดยไม่ได้รับความยินยอม กรุณาแจ้งเราเพื่อดำเนินการลบ

10. การเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว การเปลี่ยนแปลงที่มีนัยสำคัญจะแจ้งให้ทราบผ่านเว็บไซต์หรืออีเมล การใช้บริการต่อหลังการเปลี่ยนแปลงถือว่าคุณยอมรับนโยบายฉบับปรับปรุง