# นโยบายความเป็นส่วนตัว / Privacy Notice

> **How to use this template.** Thai is primary; English shown for engineering review. Replace every `[…]` placeholder. Delete any section that does not apply (e.g., remove "การส่งข้อมูลข้ามประเทศ" only if you truly process all data in Thailand). Re-anchor citations to PDPA sections — do NOT leave GDPR Article numbers in.

---

## 1. ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)

**ชื่อนิติบุคคล / Company name:** [บริษัท ___ จำกัด / Company Co., Ltd.]
**เลขทะเบียน / Registration no.:** [0105xxxxxxxxx]
**ที่อยู่ / Registered address:** [เลขที่ ___ ถนน ___ แขวง ___ เขต ___ กรุงเทพฯ ___]
**อีเมล / Email:** [privacy@example.co.th]
**โทรศัพท์ / Phone:** [+66 2 xxx xxxx]

**เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer):**
ชื่อ-นามสกุล / Name: [นาย/นาง ___]
อีเมล / Email: [dpo@example.co.th]

> หากไม่ต้องแต่งตั้ง DPO (Sec 41) ให้ลบบล็อก DPO และเปลี่ยนเป็น "ช่องทางติดต่อสำหรับเรื่องข้อมูลส่วนบุคคล" แทน.

---

## 2. ข้อมูลส่วนบุคคลที่เก็บรวบรวม (Personal Data We Collect)

เราเก็บรวบรวมข้อมูลส่วนบุคคลของท่านดังต่อไปนี้ / We collect the following personal data:

| ประเภทข้อมูล / Category | ตัวอย่าง / Examples |
|---|---|
| ข้อมูลระบุตัวตน / Identity | ชื่อ-นามสกุล, เลขประจำตัวประชาชน, วันเกิด |
| ข้อมูลติดต่อ / Contact | อีเมล, เบอร์โทรศัพท์, ที่อยู่ |
| ข้อมูลบัญชี / Account | username, password (hashed), preferences |
| ข้อมูลธุรกรรม / Transactional | ประวัติการสั่งซื้อ, เลขบัญชี, ข้อมูลบัตรเครดิต (ผ่าน payment gateway) |
| ข้อมูลทางเทคนิค / Technical | IP address, device ID, cookies, browser, OS |
| ข้อมูลพฤติกรรม / Behavioural | หน้าที่เข้าชม, เวลาที่ใช้, การคลิก |

**ข้อมูลอ่อนไหว (Sensitive data, Sec 26):** [ระบุ หรือเขียน "เราไม่เก็บข้อมูลอ่อนไหว เว้นแต่จะได้รับความยินยอมโดยชัดแจ้งเป็นกรณีไป"]

---

## 3. วัตถุประสงค์และฐานทางกฎหมาย (Purposes & Lawful Bases)

| วัตถุประสงค์ / Purpose | ฐานทางกฎหมาย / Lawful basis | มาตรา / Section |
|---|---|---|
| ให้บริการตามสัญญา (สมัครสมาชิก, สั่งซื้อ, จัดส่ง) | ความจำเป็นเพื่อปฏิบัติตามสัญญา / Contract | Sec 24(3) |
| ปฏิบัติตามกฎหมาย (ภาษี, AML, KYC) | หน้าที่ตามกฎหมาย / Legal obligation | Sec 24(6) |
| ความปลอดภัยของระบบ, ป้องกันการฉ้อโกง | ประโยชน์อันชอบด้วยกฎหมาย / Legitimate interest | Sec 24(5) |
| ส่งข่าวสาร โปรโมชั่น การตลาดอิเล็กทรอนิกส์ | ความยินยอม / Consent | Sec 19 |
| วิเคราะห์ผู้ใช้ ปรับปรุงผลิตภัณฑ์ | ความยินยอม (analytics opt-in) | Sec 19 |
| ประวัติการแพทย์, ข้อมูลสุขภาพ (ถ้ามี) | ความยินยอมโดยชัดแจ้ง / Explicit consent | Sec 26 |

> **อย่าใส่ "GDPR Art. 6(1)(f)" หรือเลข Article ของ GDPR** — ใช้มาตราของ PDPA เท่านั้น.

---

## 4. ระยะเวลาเก็บรักษา (Retention Period)

| ประเภทข้อมูล | ระยะเวลา | เหตุผล |
|---|---|---|
| ข้อมูลบัญชีลูกค้า | ตลอดอายุการเป็นสมาชิก + 5 ปี | อายุความตามประมวลกฎหมายแพ่งและพาณิชย์ |
| เอกสารทางบัญชี ใบกำกับภาษี | 5 ปี | ประมวลรัษฎากร |
| Log การเข้าใช้งานระบบ | 90 วัน (ขั้นต่ำ) | พ.ร.บ. คอมพิวเตอร์ 2550 ม.26 |
| ข้อมูลผู้สมัครงาน (ไม่ผ่าน) | 1 ปีนับจากวันสมัคร | พิจารณาตำแหน่งอื่นในอนาคต |
| ข้อมูลการตลาด | จนกว่าจะถอนความยินยอม | Consent-based |

หลังครบกำหนด ข้อมูลจะถูกลบหรือทำให้เป็นข้อมูลนิรนาม (anonymise).

---

## 5. ผู้รับข้อมูล (Recipients)

เราอาจเปิดเผยข้อมูลของท่านให้แก่ / We may disclose data to:

- **ผู้ประมวลผลข้อมูล (Data processors)** ที่ทำงานในนามของเรา: ผู้ให้บริการ cloud (AWS, GCP, Azure), ผู้ให้บริการ payment gateway, ผู้ให้บริการ email/SMS, บริษัทขนส่ง
- **บริษัทในเครือ (Group companies):** [list]
- **หน่วยงานราชการ** เมื่อมีหน้าที่ตามกฎหมาย: กรมสรรพากร, ปปง., ตำรวจ, ศาล
- **ที่ปรึกษาวิชาชีพ:** ทนายความ, ผู้สอบบัญชี

เรามีสัญญาประมวลผลข้อมูล (Data Processing Agreement) กับ processor ทุกราย.

---

## 6. การส่งข้อมูลออกนอกราชอาณาจักร (Cross-Border Transfer, Sec 28)

ข้อมูลของท่านอาจถูกส่งไปยังประเทศต่อไปนี้ / Data may be transferred to:

| ประเทศ / Country | ผู้รับ / Recipient | มาตรการคุ้มครอง / Safeguard |
|---|---|---|
| สหรัฐอเมริกา / USA | [AWS us-east-1] | Standard Contractual Clauses + encryption |
| สิงคโปร์ / Singapore | [GCP asia-southeast1] | Adequacy (under PDPC review) + DPA |
| EU | [Stripe Ireland] | SCC + Sub-processor agreement |

หากประเทศปลายทางยังไม่ได้รับการรับรองมาตรฐานเพียงพอจาก PDPC เราจะใช้สัญญามาตรฐาน (SCC-equivalent) หรือมาตรการอื่นตามที่ Sec 28 กำหนด.

---

## 7. สิทธิ์ของเจ้าของข้อมูลส่วนบุคคล (Your Rights, Sec 30–36)

ท่านมีสิทธิ์ดังต่อไปนี้ / You have the right to:

1. **สิทธิ์เข้าถึง (Access)** — ขอสำเนาข้อมูลของท่าน — Sec 30
2. **สิทธิ์แก้ไข (Rectification)** — แก้ข้อมูลที่ไม่ถูกต้อง — Sec 35
3. **สิทธิ์ลบ (Erasure / "right to be forgotten")** — Sec 33
4. **สิทธิ์ระงับการใช้ (Restriction)** — Sec 34
5. **สิทธิ์ในการให้โอนย้ายข้อมูล (Portability)** — Sec 31
6. **สิทธิ์คัดค้าน (Objection)** — Sec 32
7. **สิทธิ์ถอนความยินยอม (Withdraw consent)** — เมื่อใดก็ได้ ทำได้ง่ายเทียบเท่าการให้ — Sec 19 วรรคห้า
8. **สิทธิ์ร้องเรียนต่อ PDPC** — Sec 73

วิธีใช้สิทธิ์ / How to exercise: ส่งคำขอเป็นลายลักษณ์อักษรไปที่ [privacy@example.co.th] หรือกรอกแบบฟอร์มที่ [URL]. เราจะตอบกลับภายใน 30 วัน.

---

## 8. ผลของการไม่ให้ข้อมูล (Consequences of Refusal)

หากท่านไม่ให้ข้อมูลที่จำเป็นต่อการปฏิบัติตามสัญญา (เช่น ชื่อ ที่อยู่ในการจัดส่ง) เราอาจไม่สามารถให้บริการแก่ท่านได้. การไม่ให้ความยินยอมสำหรับการตลาดจะไม่กระทบต่อบริการหลัก.

---

## 9. สิทธิ์ในการร้องเรียน (Right to Lodge a Complaint)

หากท่านเห็นว่าเราประมวลผลข้อมูลโดยไม่ชอบด้วยกฎหมาย ท่านสามารถร้องเรียนต่อ:

**สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection Committee, PDPC)**
เว็บไซต์: https://www.pdpc.or.th
อีเมล: saraban@pdpc.or.th

---

## 10. การเปลี่ยนแปลงนโยบาย (Changes to This Notice)

เราอาจปรับปรุงนโยบายเป็นครั้งคราว. การเปลี่ยนแปลงสำคัญจะแจ้งล่วงหน้าอย่างน้อย 30 วันผ่านทาง [email / banner / in-app notice].

**Version:** [1.0]
**Effective date:** [DD เดือน YYYY]
**Last reviewed:** [DD เดือน YYYY]