นโยบายความเป็นส่วนตัว

นโยบายความเป็นส่วนตัวฉบับนี้อธิบายถึงแนวทางปฏิบัติของ Inorise Co., Ltd. ผู้ให้บริการ Box (“Box”, “เรา” หรือ “ทางเรา”) ในการเก็บรวบรวม ใช้ และเปิดเผยข้อมูลส่วนบุคคลของคุณ เมื่อคุณเข้าเยี่ยมชมเว็บไซต์ สร้างบัญชีผู้ใช้งาน และใช้งานบริการพื้นที่จัดเก็บข้อมูล Object Storage ที่รองรับมาตรฐาน S3 ของเรา โดยเราดำเนินงานและคุ้มครองข้อมูลส่วนบุคคลอย่างเคร่งครัดตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“PDPA”)

1. ผู้ควบคุมข้อมูลส่วนบุคคล

Inorise Co., Ltd. ซึ่งเป็นบริษัทที่จดทะเบียนในประเทศไทย ทำหน้าที่เป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” (Data Controller) สำหรับข้อมูลบัญชีผู้ใช้งาน ข้อมูลการเรียกเก็บเงิน และข้อมูลการใช้งานเว็บไซต์ตามที่ระบุไว้ในนโยบายนี้ คุณสามารถติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลของเราได้ที่อีเมล privacy@inorise.co.th

สำหรับไฟล์และข้อมูลที่คุณจัดเก็บไว้บน Box นั้น มีลักษณะที่แตกต่างกัน โดยคุณจะทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับไฟล์เหล่านั้น และเราจะทำหน้าที่เป็น “ผู้ประมวลผลข้อมูลส่วนบุคคล” (Data Processor) ที่ดำเนินการตามคำสั่งของคุณ ตามรายละเอียดที่อธิบายไว้ในข้อ 11

2. ข้อมูลส่วนบุคคลที่เราเก็บรวบรวม

• ข้อมูลบัญชีผู้ใช้: ที่อยู่อีเมลของคุณ ชื่อองค์กรหรือบริษัท และรหัสผ่าน โดยรหัสผ่านจะถูกจัดเก็บในรูปแบบค่าแฮชทางเดียว (One-way hash) เท่านั้น ทำให้ไม่มีใครรวมถึงทีมงานของเราสามารถอ่านหรือถอดรหัสผ่านของคุณได้
• เซสชันการเข้าสู่ระบบ: เมื่อคุณเข้าสู่ระบบแดชบอร์ด ระบบจะออกคุกกี้เซสชันให้แก่เบราว์เซอร์ของคุณ โดยเราจะจัดเก็บเฉพาะค่าแฮชของ Session Token และเวลาหมดอายุเท่านั้น
• Access Keys: ข้อมูลรหัส Access Key ID ที่คุณสร้างขึ้น โดย Secret Access Key จะถูกจัดเก็บในรูปแบบที่มีการเข้ารหัสความปลอดภัยไว้เสมอ
• บันทึกประวัติการใช้งาน (Usage Records): ในทุกคำขอ (Request) ที่ส่งเข้ามายังบริการจัดเก็บข้อมูล เราจะบันทึกวันและเวลา, บัญชีผู้ใช้, ชื่อ Bucket, ประเภทของคำขอ (เช่น การอัปโหลด ดาวน์โหลด หรือเรียกดูรายการออบเจกต์), ปริมาณไบต์ (Bytes), การตอบสนองผ่านระบบแคช และรหัสสุ่มอ้างอิงคำขอ (Request ID) ข้อมูลเหล่านี้จำเป็นสำหรับการคำนวณค่าบริการและแสดงผลสถิติการใช้งานของคุณ ทั้งนี้ บันทึกดังกล่าวจะไม่มีการจัดเก็บ IP Address และไม่มีการบันทึกชื่อไฟล์หรือเนื้อหาภายในไฟล์ของคุณ
• ข้อมูลการเรียกเก็บเงินและการชำระเงิน: ยอดคงเหลือของเครดิต ค่าบริการ และประวัติใบแจ้งหนี้ของคุณ รวมถึงภาษีมูลค่าเพิ่ม
• บันทึกการทำงานของระบบ (System Logs): เซิร์ฟเวอร์ของเราจะบันทึกประวัติทางเทคนิคแบบย่อเพื่อใช้ในการตรวจสอบและแก้ไขปัญหาของระบบ ซึ่งอาจประกอบด้วยรหัสคำขอ ชื่อ Bucket หรือชื่อออบเจกต์
• ข้อความการติดต่อ: ข้อความและข้อมูลใด ๆ ที่คุณส่งถึงเราเมื่อคุณติดต่อสอบถามหรือขอรับการสนับสนุน

เราไม่มีนโยบายจัดเก็บ IP Address หรือข้อมูลเบราว์เซอร์ของคุณไว้ในฐานข้อมูลหลัก ไม่มีการใช้เครื่องมือวิเคราะห์พฤติกรรม (Analytics) หรือระบบติดตามเพื่อการโฆษณาใด ๆ และไม่มีการซื้อหรือขายข้อมูลส่วนบุคคลของคุณ

3. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผลข้อมูล

เราจะไม่นำข้อมูลส่วนบุคคลของคุณไปจำหน่ายโดยเด็ดขาด และจะไม่ส่งอีเมลการตลาดหรือข่าวสารส่งเสริมการขายถึงคุณโดยไม่ได้รับความยินยอมล่วงหน้า

4. คุกกี้และพื้นที่จัดเก็บข้อมูลบนเบราว์เซอร์

• เว็บไซต์ประชาสัมพันธ์ (Landing Page): ไม่มีการตั้งค่าคุกกี้ใด ๆ หากคุณเลือกเปลี่ยนภาษา เบราว์เซอร์ของคุณจะจดจำการตั้งค่านั้นไว้ใน Local Storage ของเครื่องคุณเอง (box-lang) ซึ่งข้อมูลนี้จะอยู่บนอุปกรณ์ของคุณเท่านั้นและไม่เคยถูกส่งกลับมายังเซิร์ฟเวอร์ของเรา
• ระบบแดชบอร์ด (Dashboard): มีการใช้คุกกี้เพียงตัวเดียวคือ box_session เพื่อรักษาเซสชันการเข้าสู่ระบบของคุณ ซึ่งเป็นคุกกี้ที่มีความจำเป็นอย่างยิ่งต่อการทำงานของระบบ (Strictly Necessary Cookie) โดยสคริปต์บนหน้าเว็บไม่สามารถอ่านหรือเข้าถึงคุกกี้นี้ได้ (HttpOnly) และจะหมดอายุลงภายใน 30 วันนับจากการใช้งานแดชบอร์ดครั้งล่าสุด การกดออกจากระบบ (Sign out) จะทำการลบเซสชันดังกล่าวออกจากระบบทันที นอกจากนี้ ระบบแดชบอร์ดยังบันทึกการตั้งค่ารูปแบบการแสดงผล (ธีมสว่างหรือมืด) ไว้ใน Local Storage บนอุปกรณ์ของคุณ
• การโหลดแบบอักษรจาก Google Fonts บนแดชบอร์ด: ระบบแดชบอร์ดมีการโหลดไฟล์แบบอักษรจากภายนอกผ่าน Google Fonts ซึ่งอาจทำให้ Google ได้รับข้อมูล IP Address และรายละเอียดของเบราว์เซอร์ของคุณขณะที่เปิดใช้งานแดชบอร์ด โดยการประมวลผลข้อมูลดังกล่าวของ Google จะอยู่ภายใต้นโยบายความเป็นส่วนตัวของ Google

5. การเปิดเผยและแบ่งปันข้อมูลส่วนบุคคล

• ผู้ให้บริการพื้นที่จัดเก็บข้อมูล (Storage Providers): ไฟล์ข้อมูลของคุณจะถูกจัดเก็บโดยเราและผู้ให้บริการพื้นที่จัดเก็บข้อมูลอิสระชั้นนำ ในรูปแบบของชิ้นส่วนข้อมูลที่ผ่านการเข้ารหัสแล้วเท่านั้น โดยผู้ให้บริการเหล่านั้นจะไม่สามารถอ่านเนื้อหาไฟล์ของคุณได้ และจะไม่ได้รับข้อมูลบัญชีผู้ใช้ของคุณแต่อย่างใด คุณสามารถติดต่อขอทราบรายชื่อผู้ให้บริการปัจจุบันจากเราได้
• ผู้ให้บริการโครงสร้างพื้นฐานและโฮสติ้ง (Hosting Provider): เซิร์ฟเวอร์ของเรา รวมถึงฐานข้อมูลที่จัดเก็บข้อมูลตามข้อ 2 ทำงานอยู่บนโครงสร้างพื้นฐานของผู้ให้บริการศูนย์ข้อมูลในประเทศไทย
• ผู้ให้บริการระบบชำระเงิน: ในปัจจุบันเรายังไม่เปิดรับชำระเงินออนไลน์ผ่านบัตรเครดิตหรือพร้อมเพย์ โดยก่อนที่จะเปิดใช้งานระบบดังกล่าว เราจะปรับปรุงนโยบายนี้เพื่อระบุชื่อผู้ให้บริการรับชำระเงิน และอธิบายถึงรายละเอียดของข้อมูลที่ผู้ให้บริการจะได้รับอย่างชัดเจน
• หน่วยงานที่มีอำนาจตามกฎหมาย: เราจะเปิดเผยข้อมูลต่อหน่วยงานภาครัฐหรือหน่วยงานบังคับใช้กฎหมาย เฉพาะกรณีที่มีกฎหมายหรือคำสั่งศาลกำหนดให้ต้องปฏิบัติตามเท่านั้น
• กรณีการโอนสิทธิ์หรือควบรวมกิจการ: ในกรณีที่มีการควบรวมกิจการ การเข้าซื้อกิจการ หรือการขายทรัพย์สินของ Box หรือ Inorise Co., Ltd. ข้อมูลของคุณจะได้รับการคุ้มครองอย่างต่อเนื่องภายใต้นโยบายความเป็นส่วนตัวฉบับนี้

6. การโอนและจัดเก็บข้อมูลในต่างประเทศ

ข้อมูลบัญชีผู้ใช้งาน ข้อมูลประวัติการใช้งาน และข้อมูลการเรียกเก็บเงินของคุณทั้งหมด จะถูกจัดเก็บบนเซิร์ฟเวอร์ของเราภายในประเทศไทย ทั้งนี้ ชิ้นส่วนข้อมูลที่ผ่านการเข้ารหัสความปลอดภัยของไฟล์ที่คุณจัดเก็บ อาจถูกกระจายไปจัดเก็บบนเซิร์ฟเวอร์ของผู้ให้บริการที่ตั้งอยู่นอกราชอาณาจักรไทย ซึ่งผู้ให้บริการเหล่านั้นจะได้รับเฉพาะข้อมูลในรูปแบบที่เข้ารหัสแล้วเท่านั้น โดยไม่ได้รับข้อมูลบัญชีผู้ใช้ใด ๆ ทั้งสิ้น การโอนย้ายข้อมูลดังกล่าวถือเป็นการดำเนินการที่จำเป็นต่อการให้บริการตามสัญญาที่คุณได้เข้าทำไว้กับเรา ตามข้อยกเว้นที่ได้รับอนุญาตภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA)

7. ระยะเวลาในการเก็บรักษาข้อมูลส่วนบุคคล

• ข้อมูลบัญชีผู้ใช้งาน: เราจะเก็บรักษาไว้ตลอดระยะเวลาที่คุณยังมีสถานะเป็นผู้ใช้งาน และจะดำเนินการลบข้อมูลดังกล่าวออกจากระบบเมื่อบัญชีถูกปิดลง เว้นแต่เป็นข้อมูลที่กฎหมายกำหนดให้ต้องเก็บรักษาต่อไป
• บันทึกประวัติการใช้งานและเอกสารการเรียกเก็บเงิน: จัดเก็บไว้เป็นระยะเวลาอย่างน้อย 5 ปี ตามหน้าที่ที่กฎหมายว่าด้วยการบัญชีและกฎหมายภาษีอากรของไทยกำหนด
• เซสชันการใช้งาน (Sessions): จัดเก็บไว้จนกว่าคุณจะออกจากระบบหรือจนกว่าเซสชันจะหมดอายุ ทั้งนี้ ระบบจะทำการล้างเซสชันที่หมดอายุออกจากฐานข้อมูลเป็นประจำทุกชั่วโมง
• ไฟล์ข้อมูลของคุณ: จัดเก็บไว้จนกว่าคุณจะดำเนินการสั่งลบด้วยตนเอง ภายหลังจากที่คุณสั่งลบไฟล์ ชิ้นส่วนข้อมูลที่เข้ารหัสจะถูกลบออกจากระบบของผู้ให้บริการพื้นที่จัดเก็บในเบื้องหลังอย่างสมบูรณ์ โดยปกติจะแล้วเสร็จภายใน 24 ชั่วโมง
• บันทึกการทำงานของระบบ (System Logs): จัดเก็บไว้เพียงเท่าที่จำเป็นต่อการตรวจสอบ ประเมินความมั่นคงปลอดภัย และแก้ไขข้อผิดพลาดทางเทคนิคเท่านั้น

8. มาตรการรักษาความมั่นคงปลอดภัยของข้อมูล

• ทุกไฟล์ข้อมูลจะถูกเข้ารหัสด้วยมาตรฐาน AES-256 ก่อนการนำไปจัดเก็บเสมอ โดยใช้กุญแจเข้ารหัสเฉพาะแยกต่างหากในแต่ละออบเจกต์ (Object Key) และกุญแจเหล่านั้นจะถูกเข้ารหัสซ้ำอีกชั้นหนึ่งด้วยกุญแจหลัก (Master Key) ซึ่งถูกเก็บรักษาอย่างปลอดภัยภายในเซิร์ฟเวอร์ของเราและไม่เคยถูกส่งออกภายนอก
• การรับส่งข้อมูลทั้งหมดที่เชื่อมต่อกับ Box จะดำเนินการผ่านโปรโตคอล TLS ที่ปลอดภัย รหัสผ่านจะถูกแปลงเป็นค่าแฮชทางเดียวอย่างปลอดภัย ข้อมูลโทเคนของเซสชันจะถูกจัดเก็บเฉพาะในรูปของค่าแฮช และ Secret Access Key จะถูกจัดเก็บในรูปแบบที่เข้ารหัสเสมอ
• พนักงานและบุคลากรของเราไม่มีสิทธิ์ในการเข้าถึงเนื้อหาหรือข้อมูลดิบ (Raw Data) ในไฟล์ของคุณ แม้ในกรณีที่คุณร้องขอและยินยอมให้ช่วยเหลือทางเทคนิค ทีมงานจะตรวจสอบเฉพาะ Metadata หรือบันทึกทางเทคนิคที่จำเป็นเท่านั้น โดยไม่มีการเปิดดูเนื้อหาข้อมูลในไฟล์ของคุณ เว้นแต่เป็นกรณีที่มีคำสั่งตามกฎหมายบังคับ

ทั้งนี้ แม้ว่าไม่มีระบบใดในโลกที่จะปลอดภัยได้อย่างสมบูรณ์แบบร้อยเปอร์เซ็นต์ แต่หากเกิดเหตุละเมิดความมั่นคงปลอดภัยของข้อมูลส่วนบุคคลที่อาจก่อให้เกิดความเสี่ยงต่อสิทธิและเสรีภาพของคุณ เราจะดำเนินการแจ้งเหตุละเมิดต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) และแจ้งให้คุณทราบ (ในกรณีที่มีความเสี่ยงสูง) ภายในระยะเวลาที่กฎหมาย PDPA กำหนดไว้อย่างเคร่งครัด

9. สิทธิของเจ้าของข้อมูลส่วนบุคคลตามกฎหมาย PDPA

ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) คุณในฐานะเจ้าของข้อมูลส่วนบุคคลมีสิทธิตามกฎหมายดังต่อไปนี้:

• สิทธิในการเข้าถึงและขอรับสำเนา: สิทธิในการขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของคุณที่อยู่ในความรับผิดชอบของเรา
• สิทธิในการโอนย้ายข้อมูล: สิทธิในการขอให้เราส่งหรือโอนข้อมูลส่วนบุคคลของคุณไปยังตัวคุณเองหรือผู้ควบคุมข้อมูลส่วนบุคคลรายอื่นในรูปแบบที่สามารถอ่านหรือใช้งานได้โดยทั่วไป
• สิทธิในการขอแก้ไขข้อมูล: สิทธิในการขอให้เราแก้ไขข้อมูลส่วนบุคคลของคุณให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
• สิทธิในการขอลบหรือทำลายข้อมูล: สิทธิในการขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลของคุณไม่สามารถระบุตัวบุคคลได้
• สิทธิในการขอให้ระงับการใช้ข้อมูล หรือคัดค้านการประมวลผล: สิทธิในการขอให้ระงับการใช้ข้อมูล หรือคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลในกรณีที่มีกฎหมายกำหนด
• สิทธิในการถอนความยินยอม: สิทธิในการเพิกถอนความยินยอมที่คุณเคยให้ไว้กับเราเมื่อใดก็ได้ ตลอดระยะเวลาที่ข้อมูลส่วนบุคคลของคุณอยู่กับเรา

หากคุณประสงค์จะใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล โปรดติดต่อเราทางอีเมลที่ privacy@inorise.co.th เราอาจจำเป็นต้องขอหลักฐานเพื่อยืนยันตัวตนของคุณก่อนดำเนินการ และเราจะดำเนินการตามคำร้องขอของคุณภายใน 30 วันนับแต่วันที่ได้รับคำขอที่ถูกต้องครบถ้วน ทั้งนี้ สิทธิบางประการอาจมีข้อจำกัดตามที่กฎหมายกำหนด เช่น หน้าที่ในการเก็บรักษาข้อมูลทางบัญชีและภาษีอากร นอกจากนี้ คุณยังมีสิทธิในการยื่นข้อร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากคุณเห็นว่าการประมวลผลข้อมูลส่วนบุคคลของเราไม่เป็นไปตามกฎหมาย PDPA

10. ข้อมูลส่วนบุคคลของผู้เยาว์

บริการของ Box ได้รับการออกแบบขึ้นสำหรับกลุ่มลูกค้าธุรกิจ องค์กร และนักพัฒนาซอฟต์แวร์ โดยไม่ได้มุ่งหมายให้บริการแก่บุคคลซึ่งเป็นผู้เยาว์ที่มีอายุต่ำกว่า 20 ปีบริบูรณ์ และเราไม่มีนโยบายในการเจตนาเก็บรวบรวมข้อมูลส่วนบุคคลจากผู้เยาว์ดังกล่าว

11. ไฟล์ข้อมูลที่คุณจัดเก็บไว้บน Box

ในกรณีที่ไฟล์หรือข้อมูลที่คุณนำมาจัดเก็บบนระบบของ Box มีข้อมูลส่วนบุคคลของบุคคลอื่นรวมอยู่ด้วย คุณจะมีสถานะเป็น “ผู้ควบคุมข้อมูลส่วนบุคคล” (Data Controller) สำหรับข้อมูลดังกล่าว และเราจะทำหน้าที่เป็น “ผู้ประมวลผลข้อมูลส่วนบุคคล” (Data Processor) ในนามของคุณ ซึ่งส่งผลให้เรามีหน้าที่และพันธสัญญาดังต่อไปนี้:

• เราจะประมวลผลข้อมูลดังกล่าวเพื่อวัตถุประสงค์ในการให้บริการแก่คุณตามคำสั่งของคุณเท่านั้น
• เราจะรักษาข้อมูลดังกล่าวไว้ในรูปแบบที่เข้ารหัสความปลอดภัยและเก็บรักษาเป็นความลับอย่างเคร่งครัด
• เราจะให้ความร่วมมือและช่วยเหลือคุณตามสมควร ในการตอบสนองต่อการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลเท่าที่สามารถทำได้ทางเทคนิค และ
• เราจะดำเนินการลบข้อมูลดังกล่าวออกจากระบบเมื่อคุณมีคำสั่งลบ หรือเมื่อบัญชีผู้ใช้งานของคุณถูกปิดลงอย่างถาวร

หากมีบุคคลภายนอกติดต่อมายังเราเกี่ยวกับการใช้สิทธิตามกฎหมาย PDPA สำหรับข้อมูลที่อยู่ในไฟล์ของคุณ เราจะแนะนำและส่งต่อให้บุคคลดังกล่าวติดต่อกับคุณโดยตรง

12. การเปลี่ยนแปลงแก้ไขนโยบายความเป็นส่วนตัว

เราอาจดำเนินการปรับปรุงหรือแก้ไขเปลี่ยนแปลงนโยบายความเป็นส่วนตัวฉบับนี้เป็นครั้งคราว เพื่อให้สอดคล้องกับการพัฒนาของบริการและข้อกำหนดทางกฎหมาย หากมีการเปลี่ยนแปลงใด ๆ ที่ส่งผลกระทบต่อคุณอย่างมีนัยสำคัญ เราจะแจ้งให้คุณทราบล่วงหน้าผ่านทางอีเมลหรือบนแดชบอร์ดก่อนที่การเปลี่ยนแปลงจะมีผลบังคับใช้ โดยวันที่ที่ระบุไว้ด้านบนสุดของเอกสารนี้จะแสดงถึงวันที่มีการปรับปรุงนโยบายครั้งล่าสุด

13. ช่องทางการติดต่อ

Inorise Co., Ltd. ประเทศไทย หากมีข้อสงสัย คำถาม หรือประสงค์จะใช้สิทธิเกี่ยวกับข้อมูลส่วนบุคคลของคุณ สามารถติดต่อเราได้ที่อีเมล privacy@inorise.co.th ทั้งนี้ สำหรับข้อสงสัยเกี่ยวกับเงื่อนไขการใช้บริการ สามารถดูรายละเอียดเพิ่มเติมได้ที่ข้อกำหนดการให้บริการ