นโยบายความเป็นส่วนตัว

1. บทนำและผู้ควบคุมข้อมูล

นโยบายฉบับนี้อธิบายว่า HugWeb ดำเนินการโดย บริษัท ซูเปอร์เดฟ จำกัด (Superdev Co., Ltd.) (เลขที่ 89 รามคำแหง 82 แขวงหัวหมาก เขตบางกะปิ กรุงเทพมหานคร 10240, เลขประจำตัวผู้เสียภาษี 0105563058564) เก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของคุณอย่างไร เมื่อคุณสมัครใช้บริการสร้างเว็บไซต์ของเรา (“บริการ”) ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) หากมีคำถามเกี่ยวกับข้อมูลส่วนบุคคลของคุณ ติดต่อเราได้ที่ [email protected]

2. ข้อมูลที่เราเก็บ

เราเก็บข้อมูลของคุณ 4 กลุ่มหลัก ตามการใช้งานจริงของบริการ:

• ข้อมูลบัญชีผู้ใช้ — อีเมล รหัสผ่าน (จัดเก็บแบบเข้ารหัส ไม่เก็บเป็น plain text) ชื่อผู้ใช้ และหากคุณเข้าสู่ระบบด้วย Google เราจะได้รับข้อมูลระบุตัวตนพื้นฐานจากบัญชี Google ของคุณ
• ข้อมูลร้าน (onboarding) — ชื่อร้าน ที่อยู่ เบอร์โทร บริการที่ขาย ช่องทางขาย (LINE/Shopee/TikTok/IG ฯลฯ) เรื่องราวของร้าน และรีวิว/คำรับรองจากลูกค้าที่คุณกรอกเข้ามา (ซึ่งอาจมีชื่อบุคคลอื่น) เพื่อให้ AI สร้างและแนะนำเนื้อหาเว็บไซต์
• ข้อมูลการชำระเงินและภาษี — ประวัติการชำระเงิน แพ็กเกจที่สมัคร ผ่านผู้ให้บริการชำระเงิน PaySo (Pay Solutions) โดยเราไม่เก็บเลขบัตรเครดิต/เดบิตของคุณไว้เอง และหากคุณขอใบกำกับภาษี: ชื่อ เลขประจำตัวผู้เสียภาษี และที่อยู่ของผู้ซื้อ
• ข้อมูลความยินยอมและความปลอดภัย — บันทึกการให้ความยินยอม (ประเภท เวอร์ชันนโยบาย IP และ user-agent ขณะให้ความยินยอม) บันทึกกิจกรรม (audit log) IP address และคุกกี้เซสชัน เพื่อความปลอดภัยและการแก้ปัญหาระบบ

3. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล

เราประมวลผลข้อมูลแต่ละกลุ่มด้วยฐานทางกฎหมายที่ต่างกัน ตามมาตรา 24 ของ PDPA:

• ปฏิบัติตามสัญญา — ข้อมูลบัญชี ข้อมูลร้าน และข้อมูลการชำระเงิน เพื่อสร้าง ดูแล และเรียกเก็บเงินค่าบริการ
• ความยินยอม (consent) — อีเมล/ข้อความทางการตลาด (คุณเลือกได้ ไม่ผูกกับการใช้บริการ)
• ประโยชน์โดยชอบด้วยกฎหมาย — log ความปลอดภัย การป้องกันการทุจริต cookie เซสชันที่จำเป็นต่อการทำงานของระบบ

4. การเปิดเผยข้อมูลต่อบุคคลที่สาม

เราแบ่งปันข้อมูลเท่าที่จำเป็นกับผู้ให้บริการต่อไปนี้ ซึ่งทำหน้าที่เป็นผู้ประมวลผลข้อมูลแทนเรา:

• PaySo (Pay Solutions) — ประมวลผลการชำระเงินและ QR PromptPay
• ผู้ให้บริการ AI — เมื่อระบบสร้างเว็บไซต์ด้วย AI ข้อมูลร้าน (brief) ที่คุณกรอกจะถูกส่งไปประมวลผลเพื่อคัดเลือกและเขียนเนื้อหา ฟังก์ชันนี้เปิด/ปิดได้ตามการตั้งค่าระบบ และเซิร์ฟเวอร์อาจตั้งอยู่นอกประเทศไทย (ดูข้อ 5)
• Unsplash / Pexels — คลังภาพประกอบ (ส่งเฉพาะคำค้นหาที่คุณพิมพ์ ไม่มีข้อมูลส่วนบุคคล)
• Magnific — บริการปรับแต่งภาพด้วย AI (เฉพาะผู้ใช้สิทธิ์พิเศษ) โดยจะส่งลิงก์ภาพที่คุณอัปโหลดไปประมวลผล
• Cloudflare — โครงสร้างพื้นฐานเว็บ (CDN, พื้นที่จัดเก็บไฟล์เว็บไซต์ที่เผยแพร่, โดเมนที่คุณเชื่อม) รวมถึง Cloudflare Email Routing และ Email Sending ที่ใช้ส่ง/ส่งต่ออีเมลของระบบ (เช่น อีเมลยืนยันตัวตน และอีเมลแจ้งทีมบัญชีเมื่อคุณขอใบกำกับภาษี) ไปยังกล่องอีเมลของบริษัทบน Microsoft 365 (Exchange Online)
• Google — (ก) การเข้าสู่ระบบด้วยบัญชี Google (หากคุณเลือกใช้); (ข) แผนที่ Google Maps ที่ฝังบนเว็บไซต์ที่คุณเผยแพร่ ซึ่งเบราว์เซอร์ของผู้เยี่ยมชมจะติดต่อ Google โดยตรง (IP ของผู้เยี่ยมชมจะถูกส่งถึง Google)
• Google Cloud Platform — เซิร์ฟเวอร์ประมวลผลระบบหลังบ้าน

เราไม่ขายข้อมูลส่วนบุคคลของคุณให้บุคคลที่สามเพื่อวัตถุประสงค์ทางการตลาด

5. การโอนข้อมูลไปต่างประเทศ

ผู้ให้บริการโครงสร้างพื้นฐานและ AI ที่เราใช้ (Cloudflare, Google Cloud Platform, ผู้ให้บริการ AI และ Microsoft 365 (Exchange Online)) อาจเก็บหรือประมวลผลข้อมูลบนเซิร์ฟเวอร์ที่ตั้งอยู่นอกประเทศไทย ในกรณีนี้เราอาศัยมาตรการป้องกันตามมาตรา 28-29 ของ PDPA (เช่น มาตรฐานสัญญาการโอนข้อมูล/นโยบายคุ้มครองข้อมูลของผู้ให้บริการ) เพื่อให้ข้อมูลของคุณได้รับการคุ้มครองในระดับที่เพียงพอ แม้ถูกประมวลผลอยู่นอกประเทศ

6. ระยะเวลาการเก็บรักษาข้อมูล

• ข้อมูลบัญชีและข้อมูลร้าน — เก็บไว้ตลอดระยะเวลาที่คุณใช้บริการ และลบภายในระยะเวลาที่เหมาะสมหลังปิดบัญชี
• ข้อมูลการชำระเงิน/ใบกำกับภาษี (รวมถึงสำเนาที่ส่งทางอีเมลไปยังทีมบัญชี) — เก็บอย่างน้อย 5 ปีตามที่ประมวลรัษฎากรกำหนด แม้คุณจะขอลบบัญชีแล้วก็ตาม
• log ความปลอดภัยทางเทคนิค — เก็บในระยะเวลาที่จำเป็นต่อการตรวจสอบความปลอดภัยเท่านั้น

7. สิทธิของเจ้าของข้อมูล

ภายใต้ PDPA คุณมีสิทธิดังต่อไปนี้เกี่ยวกับข้อมูลส่วนบุคคลของคุณ:

• เข้าถึงและขอสำเนาข้อมูลของคุณ
• แก้ไขข้อมูลที่ไม่ถูกต้องให้เป็นปัจจุบัน
• ขอให้ลบหรือทำลายข้อมูล (เว้นแต่กฎหมายอื่นบังคับให้เก็บต่อ เช่น เอกสารภาษี)
• คัดค้านหรือระงับการประมวลผลข้อมูลบางส่วน
• ขอรับข้อมูลในรูปแบบที่ใช้งานได้ทั่วไปเพื่อโอนย้ายไปผู้ให้บริการรายอื่น
• ถอนความยินยอมด้านการตลาดได้ทุกเมื่อ โดยไม่กระทบการใช้บริการหลัก

ใช้สิทธิได้ผ่านหน้าตั้งค่าบัญชีในระบบ หรือส่งคำขอมาที่ [email protected] — เราจะตอบกลับภายใน 30 วัน

8. คุกกี้ (Cookies)

• hw_session — คุกกี้เซสชันเพื่อคงสถานะการเข้าสู่ระบบ (HttpOnly) จำเป็นต่อการทำงานของระบบ จึงไม่ต้องขอความยินยอมแยกต่างหาก
• hw_oauth_state — คุกกี้ป้องกันการปลอมแปลงคำขอตอนเข้าสู่ระบบด้วย Google (ใช้ครั้งเดียว อายุสั้น)

ปัจจุบันเราไม่มีคุกกี้เพื่อการวิเคราะห์หรือการตลาด หากในอนาคตเราเพิ่มคุกกี้ดังกล่าว เราจะแสดง banner ขอความยินยอมแบบแยกประเภทชัดเจน ไม่ผูกรวมกับคุกกี้ที่จำเป็น

9. ความปลอดภัยของข้อมูล

เราใช้มาตรการทางเทคนิคและการบริหารจัดการที่เหมาะสมเพื่อปกป้องข้อมูลของคุณ เช่น การเข้ารหัสข้อมูลระหว่างส่ง (HTTPS/TLS) การจำกัดสิทธิ์การเข้าถึงข้อมูลเฉพาะผู้ที่จำเป็น และการตรวจสอบระบบอย่างสม่ำเสมอ

10. การเปลี่ยนแปลงนโยบาย

เมื่อเรามีการแก้ไขนโยบายนี้อย่างมีนัยสำคัญ เราจะแจ้งให้คุณทราบผ่านอีเมลหรือประกาศในระบบก่อนมีผลบังคับใช้ นโยบายแต่ละฉบับมีเลขเวอร์ชันกำกับ เพื่อให้ตรวจสอบย้อนหลังได้ว่าคุณยินยอมภายใต้ฉบับใด

11. หากมีข้อกังวล

หากคุณมีข้อสงสัยหรือข้อกังวลเกี่ยวกับวิธีที่เราดูแลข้อมูลส่วนบุคคลของคุณ โปรดติดต่อเราก่อนที่ [email protected] เรายินดีรับฟังและช่วยแก้ไขให้เร็วที่สุด ทั้งนี้คุณยังคงมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. / PDPC) ได้เสมอ