🔒 นโยบายความเป็นส่วนตัว

สารบัญ

1. ผู้ควบคุมข้อมูลส่วนบุคคล
2. คำนิยาม
3. ข้อมูลส่วนบุคคลที่เก็บรวบรวม
4. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล
5. การเปิดเผยข้อมูลแก่บุคคลที่สาม
6. การถ่ายโอนข้อมูลไปยังต่างประเทศ
7. ระยะเวลาในการเก็บรักษา
8. สิทธิของเจ้าของข้อมูลส่วนบุคคล
9. การคุ้มครองข้อมูลผู้เยาว์
10. คุกกี้และเทคโนโลยีติดตาม
11. มาตรการรักษาความปลอดภัย
12. การเปลี่ยนแปลงนโยบาย
13. การติดต่อและการใช้สิทธิ

1. ผู้ควบคุมข้อมูลส่วนบุคคล

เว็บไซต์และแอปพลิเคชัน Kid-cat.com (ต่อไปนี้เรียกว่า “บริการ” หรือ “Kid-cat”) ดำเนินการในนาม Kid-cat.com (ดำเนินการในนามบุคคลธรรมดา ยังไม่ได้จดทะเบียนเป็นนิติบุคคล — จะอัปเดตข้อมูลนิติบุคคล เลขทะเบียน และที่อยู่จดทะเบียน เมื่อจดทะเบียนเรียบร้อย) (ต่อไปนี้เรียกว่า “ผู้ควบคุมข้อมูล” หรือ “เรา”) ซึ่งเป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 6 แห่ง PDPA

เรามุ่งมั่นในการคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้บริการ (ต่อไปนี้เรียกว่า “ท่าน” หรือ “เจ้าของข้อมูล”) และจะประมวลผลข้อมูลของท่านตามขอบเขตและวัตถุประสงค์ที่ได้แจ้งไว้ในนโยบายฉบับนี้เท่านั้น

2. คำนิยาม

“ข้อมูลส่วนบุคคล”

หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม ตามนิยามในมาตรา 6 แห่ง PDPA

“การประมวลผล”

หมายถึง การดำเนินการใด ๆ ต่อข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม ใช้ เปิดเผย ถ่ายโอน หรือทำลาย

“ผู้ประมวลผลข้อมูลภายนอก” (Sub-processor)

หมายถึง บุคคลที่สามซึ่งประมวลผลข้อมูลในนามของเรา ตามคำสั่งของเรา และภายใต้สัญญาประมวลผลข้อมูล (Data Processing Agreement)

“เนื้อหา”

หมายถึง นิยายเสียง นิยายอ่าน รูปปก รูปแบนเนอร์ และข้อความใด ๆ ที่ท่านอัปโหลดหรือสร้างขึ้นบนบริการ

3. ข้อมูลส่วนบุคคลที่เก็บรวบรวม

เราเก็บรวบรวมข้อมูลส่วนบุคคลของท่านเท่าที่จำเป็นต่อการให้บริการ ตามหลักการ “ใช้น้อยที่สุดเท่าที่จำเป็น” (data minimisation) โดยแบ่งเป็นหมวดดังนี้

3.1 ข้อมูลที่ท่านให้แก่เราโดยตรง

• ข้อมูลบัญชี: ชื่อที่แสดง (display name), อีเมล (กรณีใช้ Magic Link), รหัสผู้ใช้ LINE (LINE User ID), รูปโปรไฟล์
• ข้อมูลโปรไฟล์นักเขียน (เฉพาะผู้สมัครเป็นนักเขียน): นามปากกา, ประวัติย่อ, ตัวอย่างเสียง, รูปแบนเนอร์, ข้อมูลพร้อมเพย์สำหรับรับเงิน
• เนื้อหา: นิยายเสียง/อ่าน, รีวิว, ข้อความของขวัญ
• ข้อมูลการตั้งค่า: ธีม, ขนาดตัวอักษร, การติดตามนักเขียน, สิ่งที่บันทึกในชั้นหนังสือ

3.2 ข้อมูลที่เกิดจากการใช้บริการ

• ประวัติการใช้งาน: ตอนที่ฟัง/อ่าน, ตำแหน่งที่ค้างไว้ (resume position), เวลาที่เข้าใช้ครั้งล่าสุด
• ธุรกรรม: ยอดเหรียญ, ประวัติเติมเหรียญ, รหัสอ้างอิงพร้อมเพย์, เลขรายการธนาคาร, การปลดล็อกตอน, การส่งของขวัญ
• การแจ้งเตือน: รายการ notification ที่ส่ง/รอส่ง

3.3 ข้อมูลทางเทคนิคที่เก็บโดยอัตโนมัติ

• หมายเลข IP, ประเภทเบราว์เซอร์, ระบบปฏิบัติการ, ภาษา
• หน้าที่เข้าชม, เวลาที่ใช้, URL ที่อ้างถึง (referrer)
• คุกกี้สำหรับการเข้าสู่ระบบและการตั้งค่าตามรายละเอียดในข้อ 10

3.4 ข้อมูลที่ไม่ได้เก็บ

• เราไม่เก็บเลขบัตรเครดิต — การชำระเงินใช้ระบบ PromptPay แบบ QR Code ซึ่งจัดการโดยธนาคารของท่าน
• เราไม่เก็บรหัสผ่าน — เราใช้การเข้าสู่ระบบแบบ OAuth (LINE/Google) หรือ Magic Link เท่านั้น
• เราไม่เก็บข้อมูลอ่อนไหว (sensitive personal data ตามมาตรา 26 PDPA — เชื้อชาติ ศาสนา ความเชื่อ พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ พันธุกรรม ชีวภาพ ฯลฯ)

4. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล

เราประมวลผลข้อมูลส่วนบุคคลของท่านโดยอาศัยฐานทางกฎหมายดังต่อไปนี้ (ตามมาตรา 24 PDPA สำหรับข้อมูลทั่วไป และมาตรา 26 หากมีข้อมูลอ่อนไหว ซึ่งกรณีของเราไม่มี):

เราจะไม่ใช้ข้อมูลของท่านเพื่อวัตถุประสงค์อื่นนอกเหนือจากที่ระบุข้างต้น หากเรามีความจำเป็นต้องใช้เพื่อวัตถุประสงค์ใหม่ เราจะแจ้งและขอความยินยอมจากท่านก่อน

5. การเปิดเผยข้อมูลแก่บุคคลที่สาม

เราไม่ขายข้อมูลส่วนบุคคลของท่านให้แก่บุคคลที่สามเพื่อวัตถุประสงค์ทางการตลาด อย่างไรก็ตาม เพื่อให้บริการได้อย่างเสถียรและปลอดภัย เราจำเป็นต้องใช้ ผู้ประมวลผลข้อมูลภายนอก (sub-processors) ดังต่อไปนี้ ทุกรายมีสัญญาประมวลผลข้อมูล (DPA) กับเรา และมีหน้าที่ใช้ข้อมูลเพื่อให้บริการแก่เราเท่านั้น:

กรณีที่เราอาจเปิดเผยข้อมูลตามกฎหมาย: เราอาจเปิดเผยข้อมูลของท่านต่อหน่วยงานราชการ ศาล หรือเจ้าหน้าที่ผู้มีอำนาจ ตามคำสั่ง หมายศาล หรือกฎหมายที่ใช้บังคับ (เช่น พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550) โดยเราจะจำกัดการเปิดเผยให้เป็นไปตามขอบเขตของคำสั่งเท่านั้น

6. การถ่ายโอนข้อมูลไปยังต่างประเทศ

เนื่องจากผู้ประมวลผลข้อมูลภายนอกตามข้อ 5 มีการจัดเก็บและประมวลผลข้อมูลในประเทศนอกราชอาณาจักรไทย ข้อมูลส่วนบุคคลของท่านอาจถูกถ่ายโอนไปยังต่างประเทศ ได้แก่ สิงคโปร์ สหรัฐอเมริกา ญี่ปุ่น และเครือข่าย CDN ทั่วโลก ซึ่งเป็นไปตามมาตรา 28 และมาตรา 29 PDPA โดยเราได้ดำเนินมาตรการคุ้มครองที่เหมาะสม ดังนี้:

• เลือกผู้ให้บริการที่มีมาตรฐานการคุ้มครองข้อมูลในระดับสูง (เช่น SOC 2, ISO 27001)
• ทำสัญญาประมวลผลข้อมูล (Data Processing Agreement) กับทุกราย
• ใช้การเข้ารหัสข้อมูลทั้งระหว่างการรับส่ง (TLS 1.2+) และในการจัดเก็บ (encryption at rest)

7. ระยะเวลาในการเก็บรักษา

เราเก็บรักษาข้อมูลส่วนบุคคลของท่านตามระยะเวลาที่จำเป็น ดังนี้:

• ข้อมูลบัญชีและการใช้งาน: ตราบเท่าที่บัญชียังคงใช้งานอยู่ + 30 วันหลังการลบบัญชี เพื่อรองรับการกู้คืนกรณีลบโดยผิดพลาด
• ข้อมูลธุรกรรม (ใบเสร็จ, การเติมเหรียญ, การจ่ายเงินให้นักเขียน): 7 ปี ตามประมวลรัษฎากร มาตรา 87/3 และ พ.ร.บ.การบัญชี พ.ศ. 2543
• ข้อมูลทางเทคนิคและ log: 90 วัน เว้นแต่กรณีตรวจสอบการละเมิดหรือการฉ้อโกง อาจขยายได้ตามความจำเป็น
• เนื้อหาที่อัปโหลด: ตามอายุของบัญชี เมื่อลบบัญชีเนื้อหาที่ท่านสร้างจะถูกซ่อนจากสาธารณะภายใน 7 วัน และลบถาวรภายใน 30 วัน เว้นแต่ผู้ใช้ที่ได้ปลดล็อกเนื้อหานั้นก่อนหน้าจะยังเข้าถึงสำเนาที่บันทึกไว้ได้

เมื่อพ้นระยะเวลาเก็บรักษา เราจะลบหรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ (anonymisation) โดยใช้วิธีที่เหมาะสมกับลักษณะของข้อมูล

ข้อมูลจราจรทางคอมพิวเตอร์ (พ.ร.บ. คอมพิวเตอร์ ม.26): ในฐานะผู้ให้บริการ เรามีหน้าที่เก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ (เช่น IP, เวลาเข้าถึง, เหตุการณ์อัปโหลด) ไม่น้อยกว่า 90 วัน (เป้าหมาย 1 ปี) และอาจเปิดเผยแก่พนักงานเจ้าหน้าที่หรือตามคำสั่งศาลเมื่อมีคำขอโดยชอบ ด้วยกฎหมาย (ม.18) · ดูรายละเอียดที่ นโยบายการเก็บข้อมูลจราจรทางคอมพิวเตอร์

8. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้ PDPA ท่านมีสิทธิดังต่อไปนี้:

1. สิทธิได้รับการแจ้ง (มาตรา 23) — ได้รับแจ้งวัตถุประสงค์และรายละเอียดการประมวลผล (นโยบายฉบับนี้คือการแจ้ง)
2. สิทธิขอเข้าถึงและขอสำเนาข้อมูล (มาตรา 30) — ขอสำเนาข้อมูลของท่านที่เราเก็บไว้
3. สิทธิขอแก้ไขให้ถูกต้อง (มาตรา 35) — แก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่เป็นปัจจุบันได้ที่หน้าตั้งค่า
4. สิทธิขอลบข้อมูล / ขอให้ทำลาย (มาตรา 33) — ขอลบบัญชีและข้อมูลที่เกี่ยวข้องได้ในหน้าตั้งค่า (ยกเว้นข้อมูลที่กฎหมายกำหนดให้ต้องเก็บ เช่น ใบเสร็จ 7 ปี)
5. สิทธิขอให้ระงับการใช้ข้อมูล (มาตรา 34) — ระงับการประมวลผลชั่วคราว
6. สิทธิคัดค้านการประมวลผล (มาตรา 32) — คัดค้านการประมวลผลที่อาศัยฐานประโยชน์โดยชอบด้วยกฎหมาย
7. สิทธิขอโอนย้ายข้อมูล (มาตรา 31) — ขอรับข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องเพื่อโอนไปยังผู้ควบคุมข้อมูลรายอื่น
8. สิทธิเพิกถอนความยินยอม (มาตรา 19 วรรคห้า) — เพิกถอนความยินยอมในการรับการแจ้งเตือนหรือโปรโมชั่นได้ที่หน้าตั้งค่า โดยไม่กระทบการประมวลผลที่เกิดก่อนการเพิกถอน
9. สิทธิร้องเรียน (มาตรา 73) — ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากเห็นว่าเราละเมิด PDPA

การใช้สิทธิที่ 2, 5, 6, 7 ทำผ่านการติดต่อตามข้อ 13 เราจะดำเนินการภายใน 30 วันนับแต่วันที่ได้รับคำขอ หรือแจ้งเหตุที่ไม่สามารถดำเนินการได้

9. การคุ้มครองข้อมูลผู้เยาว์

บริการของเราเหมาะสำหรับผู้ใช้ที่มีอายุตั้งแต่ 20 ปีบริบูรณ์ขึ้นไป ตามมาตรา 20 PDPA หากท่านอายุไม่ถึง 20 ปี ท่านจะต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองก่อนใช้บริการ

หากเราทราบว่าได้เก็บข้อมูลส่วนบุคคลของผู้เยาว์ที่อายุต่ำกว่า 13 ปี โดยมิได้รับความยินยอมที่ชอบด้วยกฎหมาย เราจะลบข้อมูลดังกล่าวโดยทันที ผู้ปกครองสามารถแจ้งให้เราตรวจสอบและลบบัญชีของผู้เยาว์ได้ตามข้อ 13

10. คุกกี้และเทคโนโลยีติดตาม

เราใช้คุกกี้เท่าที่จำเป็นต่อการให้บริการ ดังนี้:

• คุกกี้ที่จำเป็นทางเทคนิค (Strictly Necessary): คุกกี้สำหรับเก็บสถานะการเข้าสู่ระบบ (session token) ซึ่งจำเป็นต่อการใช้บริการ ไม่สามารถปิดได้
• คุกกี้สำหรับการตั้งค่า (Preferences): จัดเก็บธีม ขนาดตัวอักษร และแท็บที่เลือก (ใน localStorage ของเบราว์เซอร์)

เราไม่ใช้คุกกี้สำหรับการโฆษณาบุคคลที่สาม และไม่ใช้บริการวิเคราะห์ที่ติดตามผู้ใช้ข้ามเว็บไซต์ (เช่น Google Analytics, Facebook Pixel)

11. มาตรการรักษาความปลอดภัย

เราดำเนินมาตรการทางเทคนิคและทางการบริหารจัดการเพื่อคุ้มครองข้อมูล ดังนี้:

• การเข้ารหัสข้อมูลระหว่างการรับส่ง (TLS 1.2 ขึ้นไป) และในการจัดเก็บ (AES-256)
• การควบคุมการเข้าถึงข้อมูลโดยใช้ Row-Level Security (RLS) ในระดับฐานข้อมูล
• การยืนยันตัวตนผ่าน OAuth ที่ตรวจสอบโดยผู้ให้บริการบุคคลที่สาม (LINE/Google)
• การลงนามคำขอที่สำคัญด้วย HMAC-SHA256 ระหว่างระบบภายใน
• การสำรองข้อมูลและการกู้คืนตามระยะเวลาที่กำหนด
• การเฝ้าระวังการเข้าใช้งานที่ผิดปกติ

การแจ้งเหตุการละเมิด: ในกรณีเกิดเหตุการละเมิดข้อมูลที่อาจมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของท่าน เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง และแจ้งท่านโดยไม่ชักช้า (ตามมาตรา 37(4) PDPA)

12. การเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว กรณีมีการเปลี่ยนแปลงที่กระทบสิทธิของท่านอย่างมีนัยสำคัญ เราจะแจ้งท่านล่วงหน้าไม่น้อยกว่า 30 วันผ่านอีเมล หรือการแจ้งเตือนภายในแอป การใช้บริการต่อหลังจากวันที่นโยบายใหม่มีผลใช้บังคับ ถือว่าท่านยอมรับนโยบายฉบับใหม่ หากท่านไม่ประสงค์ยอมรับ ท่านสามารถลบบัญชีได้ในหน้าตั้งค่า

13. การติดต่อและการใช้สิทธิ

ท่านสามารถใช้สิทธิตามข้อ 8 หรือสอบถามข้อสงสัยเกี่ยวกับนโยบายฉบับนี้ ได้ที่ช่องทางต่อไปนี้:

• เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): dpo@kid-cat.com
• การร้องเรียนทั่วไป: support@kid-cat.com
• ช่องทางติดต่ออย่างเป็นทางการ: อีเมลข้างต้น — ยังไม่มีที่อยู่ทางไปรษณีย์เนื่องจากยังไม่ได้จดทะเบียนเป็นนิติบุคคล

หากท่านไม่พอใจกับการดำเนินการของเรา ท่านมีสิทธิร้องเรียนต่อ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) เลขที่ 120 หมู่ 3 ชั้น 7 อาคารรัฐประศาสนภักดี ศูนย์ราชการเฉลิมพระเกียรติฯ ถนนแจ้งวัฒนะ แขวงทุ่งสองห้อง เขตหลักสี่ กรุงเทพมหานคร 10210 หรือทาง www.pdpc.or.th