นโยบายความเป็นส่วนตัว Klizk (Privacy Policy)

Version 1.0 — มีผลบังคับใช้ตั้งแต่วันที่ [DATE] ปรับปรุงครั้งล่าสุด: [DATE] กฎหมายอ้างอิง: พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

Klizk ("เรา") เคารพความเป็นส่วนตัวของผู้ใช้บริการ ("คุณ") และมุ่งมั่นคุ้มครองข้อมูลส่วนบุคคลตาม PDPA และกฎหมายที่เกี่ยวข้อง

---

1. ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)

• ชื่อ: บริษัท คลิ๊กซ์ จำกัด (หรือชื่อตามทะเบียน)
• ที่อยู่: [ที่อยู่ทางทะเบียน]
• อีเมล: [privacy@klizk.com]
• เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): [dpo@klizk.com]

---

2. ข้อมูลที่เราเก็บรวบรวม

2.1 ข้อมูลบัญชี

• อีเมล รหัสผ่าน (เข้ารหัสด้วย hash) ชื่อแสดง เบอร์โทรศัพท์ รูปโปรไฟล์ บทบาท (BUYER/SELLER/ADMIN)

2.2 ข้อมูล OAuth

• หากเข้าสู่ระบบผ่าน Google/Facebook: provider ID และข้อมูลโปรไฟล์ที่ผู้ให้บริการอนุญาตให้เข้าถึง

2.3 ข้อมูลการจัดส่ง

• ชื่อ-นามสกุล เบอร์โทร ที่อยู่ ตำบล/อำเภอ/จังหวัด รหัสไปรษณีย์

2.4 ข้อมูล KYC ของผู้ขาย

• ภาพบัตรประจำตัวประชาชน ชื่อบัญชี เลขบัญชี ชื่อธนาคาร
• ถือเป็นข้อมูลความเสี่ยงสูง — มีการป้องกันเพิ่มเติม

2.5 ข้อมูลการชำระเงิน / คืนเงิน

• ชื่อบัญชี เลขบัญชี ธนาคาร สลิปโอนเงิน (ภาพ)

2.6 ข้อมูลธุรกรรม

• คำสั่งซื้อ การเจรจา escrow records, wallet transactions, รีวิว, คะแนนชื่อเสียง

2.7 ข้อมูลข้อพิพาท

• ภาพ/วิดีโอ คำให้การ ที่คู่กรณีอัปโหลด

2.8 ข้อมูลทางเทคนิค

• IP address, log การใช้งาน (เก็บอย่างน้อย 90 วันตาม พ.ร.บ. ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550), อุปกรณ์ session, cookies

2.9 การสื่อสาร

• ข้อความ chat ในแอป การแจ้งเตือน อีเมลที่ส่งผ่านระบบ

หมายเหตุ: Klizk ไม่เก็บข้อมูลบัตรเครดิตของผู้ซื้อโดยตรง — ข้อมูลดังกล่าวถูกประมวลผลโดย Omise ซึ่งเป็นผู้ให้บริการชำระเงินที่ได้รับการรับรองมาตรฐาน PCI DSS

---

3. วัตถุประสงค์และฐานทางกฎหมาย (Purposes & Lawful Basis)

---

4. การเปิดเผยข้อมูลแก่บุคคลที่สาม

เราเปิดเผยข้อมูลเท่าที่จำเป็น แก่:

เราไม่ขายข้อมูลส่วนบุคคลของคุณให้บุคคลที่สามเพื่อการตลาด

---

5. การโอนข้อมูลไปต่างประเทศ (Cross-border Transfer)

ผู้ประมวลผลบางรายอาจมี infrastructure ในต่างประเทศ (เช่น Resend, Google, Facebook, อาจมี region ของ Omise) เราดำเนินการตาม PDPA ม.28–29 โดยจะใช้มาตรการคุ้มครองที่เหมาะสม เช่น สัญญาคุ้มครองข้อมูลกับผู้ประมวลผล หรือเลือกประเทศที่มีมาตรฐานเทียบเท่า

---

6. ระยะเวลาเก็บรักษา (Retention)

หลังพ้นระยะเวลา ข้อมูลจะถูกลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ (anonymise)

---

7. สิทธิของเจ้าของข้อมูล (Data Subject Rights)

ตาม PDPA คุณมีสิทธิ์ดังนี้:

1. สิทธิ์เข้าถึง ข้อมูลและขอสำเนา (ม.30)
2. สิทธิ์แก้ไข ให้ถูกต้องและเป็นปัจจุบัน (ม.35–36)
3. สิทธิ์ลบ/ทำลาย (ม.33)
4. สิทธิ์ระงับ การใช้ข้อมูล (ม.34)
5. สิทธิ์โอนย้าย ข้อมูล (data portability, ม.31)
6. สิทธิ์คัดค้าน การประมวลผล (ม.32)
7. สิทธิ์ถอนความยินยอม ได้ตลอดเวลา (ม.19)
8. สิทธิ์ร้องเรียน ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

วิธีใช้สิทธิ์: ส่งคำขอที่ [privacy@klizk.com] เราจะตอบกลับภายใน 30 วัน

ข้อจำกัด: การใช้สิทธิ์บางประการอาจถูกจำกัดในกรณีที่กฎหมายอื่นกำหนดให้เราต้องเก็บข้อมูลต่อ (เช่น AML, ภาษี) หรือเพื่อการพิจารณาข้อพิพาทที่ยังไม่สิ้นสุด

---

8. คุกกี้ (Cookies)

• Essential cookies: จำเป็นต่อการ login session — ไม่ต้องขอความยินยอม
• Functional cookies: จำภาษา/การตั้งค่า — มีตัวเลือกปิด
• Analytics cookies: เก็บได้ต่อเมื่อคุณยินยอม (banner consent)

คุณสามารถจัดการ cookies ได้ผ่าน banner หรือการตั้งค่าเบราว์เซอร์

---

9. ความปลอดภัยของข้อมูล (Security)

• รหัสผ่านเก็บแบบ hash (bcrypt/argon2)
• การเชื่อมต่อใช้ HTTPS/TLS
• เข้ารหัสข้อมูล sensitive (KYC, bank) at-rest
• การควบคุมการเข้าถึงตามบทบาท (role-based access control)
• การตรวจสอบและ audit log
• การฝึกอบรมพนักงาน

อย่างไรก็ตาม ไม่มีระบบใดปลอดภัย 100% — โปรดใช้รหัสผ่านที่รัดกุมและไม่แชร์บัญชี

---

10. การแจ้งเหตุละเมิดข้อมูล (Data Breach Notification)

หากเกิดเหตุละเมิดที่อาจมีความเสี่ยงต่อสิทธิและเสรีภาพของคุณ เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง ตามที่ PDPA กำหนด และแจ้งคุณโดยไม่ชักช้าหากความเสี่ยงสูง

---

11. ข้อมูลของผู้เยาว์ (Minors)

แพลตฟอร์มไม่ได้มีไว้สำหรับผู้ที่อายุต่ำกว่า 18 ปี ผู้ที่อายุต่ำกว่า 20 ปี ต้องได้รับความยินยอมจากผู้แทนโดยชอบธรรมก่อนใช้บริการ หากเราพบว่าได้เก็บข้อมูลจากผู้เยาว์โดยไม่มีความยินยอมที่เหมาะสม เราจะลบข้อมูลนั้น

---

12. การเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายฉบับนี้เป็นระยะ การเปลี่ยนแปลงที่มีนัยสำคัญจะแจ้งล่วงหน้าอย่างน้อย 30 วันผ่านอีเมล/ในแพลตฟอร์ม

---

13. ติดต่อเรา

• เรื่องทั่วไป: [support@klizk.com]
• เรื่อง privacy / PDPA: [privacy@klizk.com]
• DPO: [dpo@klizk.com]
• สคส.: https://www.pdpc.or.th

---

Risk notes for Klizk (internal — remove before publishing)

1. ภาพบัตรประชาชน = ข้อมูลความเสี่ยงสูง — ควรทำ DPIA, แยก storage, encryption-at-rest, masking ตัวเลขบางส่วนตามแนวทาง สคส.
2. ระยะเวลา retention 10 ปี ของ KYC อ้างอิงทั่วไปของ AML — ต้องตรวจสอบกฎกระทรวง ปปง. ฉบับล่าสุด
3. Cross-border transfer: ต้องระบุประเทศ + กลไกการคุ้มครองที่ชัดเจนเมื่อยืนยัน vendor stack แล้ว
4. Cookie banner: ต้องมีกลไก consent ที่บันทึกเวอร์ชัน + timestamp (ใช้ pattern เดียวกับ termsAcceptedAt)
5. MinIO self-hosted: ตรวจสอบ encryption, backup, retention ของ object storage ตามมาตรฐาน ISO 27001 / สคส.
6. DPO: ตาม PDPA ม.41 ถ้าเข้าข่ายต้องมี DPO ต้องมีจริง ไม่ใช่แค่อีเมล placeholder

---

ร่างนี้ต้องผ่านการตรวจสอบโดยทนายความที่มีใบอนุญาตในประเทศไทยก่อนเผยแพร่ — This draft must be reviewed by a licensed Thai lawyer before publication.