นโยบายความเป็นส่วนตัว + ข้อตกลงประมวลผลข้อมูล YOD

ข้อจำกัดความรับผิด (ของเอกสารร่างนี้)

ส่วนที่ 1 — นโยบายความเป็นส่วนตัว (Privacy Policy)

1. บทบาทสองสถานะของ YOD (สำคัญ)

YOD มีสองสถานะตามลักษณะข้อมูล:

• ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) — สำหรับ ข้อมูลบัญชีผู้ใช้/ผู้สมัคร (เช่น ชื่อ อีเมล เบอร์โทร ข้อมูลการชำระเงิน ประวัติการใช้งาน) ที่ YOD เก็บเพื่อให้บริการและบริหารความสัมพันธ์กับลูกค้า
• ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) — สำหรับ ข้อมูลของลูกค้า (ข้อมูลธุรกิจที่ลูกค้านำเข้า เช่น ข้อมูลลูกค้า/คู่ค้า พนักงาน เอกสารขาย/ซื้อของลูกค้า) ซึ่ง ลูกค้าเป็นผู้ควบคุมข้อมูล และ YOD ประมวลผลตามคำสั่งของลูกค้าเท่านั้น (ดูส่วนที่ 2 — DPA)

นโยบายส่วนที่ 1 นี้อธิบายการปฏิบัติของ YOD ในฐานะ ผู้ควบคุมข้อมูลของบัญชีผู้ใช้ เป็นหลัก การประมวลผลข้อมูลของลูกค้าอยู่ภายใต้ส่วนที่ 2 (DPA)

2. ข้อมูลที่เก็บ (ในฐานะผู้ควบคุม)

• ข้อมูลบัญชี: ชื่อ อีเมล เบอร์โทร รหัสผ่าน (จัดเก็บแบบเข้ารหัส/แฮช) บทบาท/สิทธิ์
• ข้อมูลการชำระเงิน: ช่วงเปิดบริการระยะแรก (pilot) YOD ไม่เรียกเก็บค่าบริการและไม่จัดเก็บข้อมูลการชำระเงินหรือเลขบัตรใด ๆ — หากเริ่มเรียกเก็บค่าบริการ YOD จะปรับปรุงนโยบายนี้และแจ้งล่วงหน้า พร้อมระบุประเภทข้อมูลที่เก็บ (เช่น แพ็กเกจ ประวัติการชำระ [เลขอ้างอิงการโอน/สลิป]) และผู้ให้บริการรับชำระเงินภายนอก (ถ้ามี) ให้ชัดเจน
• ข้อมูลการใช้งานทางเทคนิค: log การเข้าใช้ IP อุปกรณ์/เบราว์เซอร์ เพื่อความปลอดภัยและปรับปรุงบริการ

3. วัตถุประสงค์และฐานทางกฎหมาย

4. ระยะเวลาเก็บรักษา

• ข้อมูลบัญชี: ตลอดอายุการใช้บริการ และต่อเนื่องในสถานะอ่านอย่างเดียวหากไม่ได้ซื้อแพ็กเกจต่อ (ไม่ลบเอง) จนกว่าท่านจะขอปิดบัญชี จากนั้นเปิดให้ส่งออกก่อน แล้วลบ/ทำให้ไม่ระบุตัวตนเมื่อครบ 30 วันนับจากวันที่ยืนยันคำขอปิดบัญชี เว้นแต่กฎหมายกำหนดให้เก็บนานกว่านั้น
• เอกสารการเงิน/ใบกำกับที่ YOD ออกให้ลูกค้าเอง (เมื่อเริ่มเรียกเก็บค่าบริการ): ตามกฎหมายภาษี/บัญชี (≥ 5 ปี)
• log ความปลอดภัย: 1 ปี
• บันทึกการใช้ "ยอด AI" (ว่าเรียกดูรายงานอะไร เมื่อไร โดยผู้ใช้คนใด): 180 วัน — ไม่เก็บข้อความคำถามและคำตอบของ AI (ดูข้อ 5ก)
• ชื่อและช่องทางติดต่อที่ฝากไว้ในแชตหรือฟอร์ม "ให้ทีมติดต่อกลับ" บนเว็บไซต์: ไม่เกิน 180 วัน หรือจนกว่าท่านขอให้ลบ

5. การเปิดเผยและผู้ประมวลผลช่วง (Sub-processors)

YOD ใช้ผู้ให้บริการโครงสร้างพื้นฐานที่มีมาตรฐานความปลอดภัย โดยผูกพันด้วยข้อตกลงคุ้มครองข้อมูล:

• Supabase — ฐานข้อมูล/การยืนยันตัวตน (ที่ตั้งข้อมูล: Singapore / ap-southeast-1)
• Cloudflare — โฮสต์เว็บ/CDN
• Resend — ผู้ให้บริการส่งอีเมลระบบ (เช่น สลิปเงินเดือนทางอีเมล)
• GitHub, Inc. — สำรองฐานข้อมูล (backup) อัตโนมัติทุกวันเป็นไฟล์ dump ทั้งฐาน เก็บเป็นไฟล์ส่วนตัว (private artifact) ที่เข้าถึงได้เฉพาะผู้ดูแลระบบ เพื่อกู้คืนกรณีระบบขัดข้องร้ายแรง (ที่ตั้งข้อมูล: สหรัฐอเมริกา · เก็บไว้ 90 วันแล้วลบอัตโนมัติ)
• LINE Corporation (LY Corporation) — รับ-ส่งข้อความแจ้งบิล/ใบเสร็จผ่านช่องทาง LINE Official Account สำหรับลูกค้าที่เปิดใช้ฟีเจอร์นี้ (ประมวลผล LINE User ID และชื่อโปรไฟล์ LINE ของผู้ติดต่อฝั่งลูกค้า)
• Anthropic, PBC (Claude API) — ผู้ให้บริการโมเดล AI หลักของทุกฟีเจอร์ AI ใน YOD: "ยอด AI" ในแอป แชตตอบคำถามบนเว็บไซต์ และการอ่านบิล/เมนูจากรูปที่ผู้ใช้อัปโหลด (ดูข้อ 5ก)
• Google LLC (Gemini API) — ผู้ให้บริการโมเดล AI สำรองเฉพาะแชตตอบคำถามบนเว็บไซต์ ใช้เฉพาะตอนที่ Claude ใช้งานไม่ได้ · ไม่ได้รับข้อมูลของร้านใด ๆ (ดูข้อ 5ก)
• อาจเปิดเผยต่อหน่วยงานรัฐเมื่อมีคำสั่งที่ชอบด้วยกฎหมาย

หมายเหตุ: ปัจจุบันยังไม่มีผู้ให้บริการรับชำระเงิน (payment gateway) เป็นผู้ประมวลผลช่วง หากจะเพิ่มในอนาคต YOD จะแจ้งลูกค้าก่อนตามข้อ 2.4 ของ DPA

การโอนข้อมูลข้ามประเทศ: หากเซิร์ฟเวอร์อยู่ต่างประเทศ ต้องมีมาตรการคุ้มครองที่เหมาะสมตาม PDPA มาตรา 28/29 (เช่น มาตรฐานที่เพียงพอ หรือข้อสัญญามาตรฐาน) — ระบุให้ชัดหลังยืนยันภูมิภาคจริง

5ก. ผู้ประมวลผลข้อมูล AI ("ยอด AI" แชตบนเว็บไซต์ และการอ่านบิล/เมนูจากรูป)

ฟีเจอร์ AI ที่ใช้ข้อมูลของร้าน ได้แก่ "ยอด AI" ในแอป และการอ่านบิล/เมนูจากรูป ใช้ Anthropic, PBC (โมเดล Claude) เท่านั้น — YOD ไม่ส่งข้อมูลของร้านให้ Google · ส่วน Google LLC (โมเดล Gemini) ใช้เป็นตัวสำรองเฉพาะแชตตอบคำถามบนเว็บไซต์ ตอนที่ Claude ใช้งานไม่ได้ ซึ่งไม่มีข้อมูลของร้าน · ทั้งสองรายเป็นผู้ประมวลผลช่วงของ YOD และประมวลผลข้อมูลบนเซิร์ฟเวอร์ที่อาจตั้งอยู่นอกประเทศไทย (เช่น สหรัฐอเมริกา) · หากเปลี่ยนแปลงผู้ให้บริการ AI YOD จะแจ้งในหน้านี้

(ก) "ยอด AI" ในแอป — ผู้ช่วยตอบคำถามเรื่องร้านของท่าน เช่น "เมื่อวานขายได้เท่าไร" หรือ "ของอะไรใกล้หมด"

• ข้อมูลที่ส่งให้ผู้ให้บริการโมเดล: คำถามที่ท่านพิมพ์ ข้อความก่อนหน้าในบทสนทนาเดียวกัน (ไม่กี่ข้อความล่าสุด) และตัวเลขสรุปจากรายงานของร้าน (เช่น ยอดขาย ยอดเงินในกะ สต๊อก ต้นทุนเมนู) เฉพาะส่วนที่ผู้ใช้คนนั้นมีสิทธิ์ดูอยู่แล้วในระบบ รายงานบางฉบับอาจมีชื่อเมนู ชื่อสาขา หรือชื่อพนักงานรวมอยู่ด้วย
• ข้อมูลที่ไม่ส่ง: รหัสผ่าน PIN เลขบัตรประชาชน เลขบัญชีธนาคาร เลขประกันสังคม เบอร์โทร อีเมล และที่อยู่ ระบบตัดข้อมูลเหล่านี้ออกก่อนส่งทุกครั้ง · YOD ไม่เก็บเลขบัตรชำระเงิน จึงไม่มีเลขบัตรให้ส่ง
• AI ทำอะไรได้: อ่านรายงานอย่างเดียว ไม่สามารถบันทึกบัญชี ออกเอกสาร โอนเงิน หรือแก้ไขข้อมูลใด ๆ ของร้านได้
• บันทึกการใช้งาน: YOD บันทึกว่าใครถามเมื่อไร AI เรียกดูรายงานใด และค่าใช้จ่าย เพื่อความปลอดภัยและคุมโควตา โดยไม่เก็บข้อความคำถามและคำตอบ บันทึกนี้แก้ไขไม่ได้และเก็บ 180 วัน

(ข) แชตตอบคำถามบนเว็บไซต์ (yodaccount.com และ yodpos.com) — ตอบคำถามก่อนสมัครเกี่ยวกับสินค้าและราคา แชตนี้ไม่เข้าถึงข้อมูลของร้านใด ๆ ข้อมูลที่ส่งให้ผู้ให้บริการโมเดลคือคำถามที่ท่านพิมพ์และข้อความก่อนหน้าในบทสนทนาเท่านั้น · หากท่านฝากชื่อและเบอร์โทร/LINE ให้ทีมติดต่อกลับ YOD จะเก็บชื่อ ช่องทางติดต่อ สรุปคำถาม และรหัสแฮชของ IP (กันสแปม) ตามที่ท่านยินยอม ไม่เกิน 180 วัน และขอลบได้ทุกเมื่อ

คำเตือนเรื่องแชตบนเว็บไซต์: แชตนี้ใช้ Claude เป็นหลัก และใช้ Gemini API ของ Google แบบไม่เสียค่าใช้จ่ายเป็นตัวสำรอง ตามเงื่อนไขบริการ Gemini API ของ Google สำหรับบริการแบบไม่เสียค่าใช้จ่าย Google ใช้เนื้อหาที่ส่งเข้าไปและคำตอบที่สร้างขึ้นเพื่อให้บริการ ปรับปรุง และพัฒนาผลิตภัณฑ์ของ Google และอาจมีผู้ตรวจทานที่เป็นมนุษย์อ่านข้อมูลขาเข้าและขาออก · กรุณาอย่าพิมพ์ข้อมูลส่วนตัว ข้อมูลลับ หรือข้อมูลอ่อนไหวลงในแชต หากต้องการให้ทีมติดต่อกลับ ใช้ฟอร์มฝากชื่อแทนการพิมพ์ในข้อความ

(ค) อ่านบิล/เมนูจากรูป — เมื่อผู้ใช้เลือกอัปโหลดรูปบิล ใบเสร็จ หรือรูปเมนูให้ AI อ่าน ระบบจะส่งรูปนั้นทั้งรูปให้ผู้ให้บริการโมเดลเพื่อแปลงเป็นรายการให้ผู้ใช้ตรวจก่อนบันทึก · ข้อมูลที่ปรากฏในรูป (เช่น ชื่อร้านคู่ค้า เลขผู้เสียภาษี ที่อยู่ในบิล) จะถูกส่งไปด้วย เพราะตัดออกจากรูปไม่ได้ · ส่งเฉพาะรูปที่ผู้ใช้เลือกเองเท่านั้น

การนำข้อมูลไปฝึกโมเดล: YOD ใช้บริการทั้งสองรายผ่านช่องทาง API สำหรับธุรกิจ ไม่ใช่แอปแชตทั่วไป · ตามเงื่อนไขเชิงพาณิชย์ของ Anthropic ข้อมูลที่ส่งผ่าน API จะไม่ถูกนำไปฝึกโมเดลโดยค่าเริ่มต้น และ Anthropic อาจเก็บข้อมูลไว้ชั่วคราวในระยะเวลาจำกัดเพื่อตรวจการใช้งานในทางที่ผิดตามนโยบายของตน · ข้อมูลของร้านไม่ถูกส่งให้ Google จึงไม่อยู่ภายใต้เงื่อนไขของ Gemini · สำหรับแชตบนเว็บไซต์ ดูคำเตือนในข้อ (ข)

การส่งข้อมูลไปต่างประเทศ (PDPA มาตรา 28/29): การใช้ผู้ช่วย AI ทำให้ข้อมูลข้างต้นถูกส่งไปประมวลผลนอกประเทศไทย YOD ส่งเฉพาะข้อมูลเท่าที่จำเป็นต่อการตอบคำถาม ตัดข้อมูลระบุตัวตนที่ไม่จำเป็นออกก่อนส่ง และอาศัยข้อตกลงคุ้มครองข้อมูลตามเงื่อนไขบริการของผู้ให้บริการ · ผู้ช่วย AI เป็นฟีเจอร์เสริม ร้านไม่ใช้ก็ได้ และการไม่ใช้ไม่กระทบการใช้งานส่วนอื่นของ YOD · ร้านที่ไม่ต้องการให้ข้อมูลของร้านถูกส่งให้ผู้ให้บริการ AI ติดต่อ [email protected] เพื่อขอปิด "ยอด AI" ของร้าน

6. สิทธิของเจ้าของข้อมูล

ท่านมีสิทธิเข้าถึงและขอสำเนา (ม.30) ขอแก้ไข ขอลบ/ทำลาย (ม.33) ขอระงับการใช้ (ม.34) คัดค้าน (ม.32) ขอให้โอนย้าย (ม.31) และถอนความยินยอม (ม.19) ยื่นคำขอได้ที่อีเมล [email protected] หรือช่องทางติดต่อข้างต้น YOD จะพิจารณาและดำเนินการตามคำขอภายใน 30 วันนับแต่วันที่ได้รับคำขอ (ตามแนวมาตรา 30 วรรคสี่) หากปฏิเสธจะแจ้งเหตุผลเป็นหนังสือ ท่านมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

7. ความปลอดภัยของข้อมูล

YOD จัดให้มีมาตรการทางเทคนิคและองค์กรที่เหมาะสมตามมาตรา 37 เช่น การเข้ารหัสระหว่างส่ง (HTTPS) การแฮชรหัสผ่าน การควบคุมสิทธิ์การเข้าถึงแยกตามบทบาท (RLS) และการบันทึกร่องรอยการเข้าถึงข้อมูลที่ละเอียดอ่อน (audit trail)

8. การแจ้งเหตุการละเมิดข้อมูลส่วนบุคคล

กรณีเกิดเหตุการละเมิดข้อมูลส่วนบุคคลที่ YOD เป็นผู้ควบคุมข้อมูล (ข้อมูลบัญชีผู้ใช้) YOD จะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่จะกระทำได้ ตามมาตรา 37(4) และหากเหตุดังกล่าวมีความเสี่ยงสูงที่จะกระทบต่อสิทธิและเสรีภาพของเจ้าของข้อมูล จะแจ้งเจ้าของข้อมูลพร้อมแนวทางเยียวยาโดยไม่ชักช้า · สำหรับข้อมูลของลูกค้าที่ YOD เป็นผู้ประมวลผล ดูกำหนดเวลาแจ้งลูกค้าในข้อ 2.3(ง) ของ DPA

9. คุกกี้และการจัดเก็บข้อมูลในเบราว์เซอร์

YOD ใช้เฉพาะคุกกี้/ตัวจัดเก็บข้อมูลในเบราว์เซอร์เท่าที่จำเป็นต่อการทำงานของระบบ (strictly necessary) เช่น session และ localStorage สำหรับสถานะการเข้าสู่ระบบและการตั้งค่าการใช้งาน โดยไม่ใช้คุกกี้เพื่อการวิเคราะห์ (analytics) หรือการตลาดของบุคคลที่สาม หากจะใช้ในอนาคต YOD จะขอความยินยอมจากท่านก่อนตามที่กฎหมายกำหนด

10. ข้อมูลของผู้เยาว์

บริการนี้มุ่งหมายสำหรับการใช้งานทางธุรกิจ (B2B) โดยผู้ที่บรรลุนิติภาวะตามข้อตกลงการใช้บริการ YOD ไม่มีเจตนาเก็บรวบรวมข้อมูลส่วนบุคคลของผู้เยาว์ หากพบว่ามีการเก็บข้อมูลของผู้เยาว์โดยไม่มีฐานหรือความยินยอมที่ถูกต้องตามมาตรา 20 YOD จะลบข้อมูลนั้นโดยเร็ว

ส่วนที่ 2 — ข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement / DPA)

ใช้บังคับกับ ข้อมูลของลูกค้า ที่ลูกค้า (ในฐานะ "ผู้ควบคุมข้อมูล") นำเข้าระบบ และ YOD (ในฐานะ "ผู้ประมวลผลข้อมูล") ประมวลผลให้ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล มาตรา 40 DPA นี้เป็นส่วนหนึ่งของข้อตกลงการใช้บริการ

2.1 ขอบเขตและคำสั่ง — YOD จะประมวลผลข้อมูลส่วนบุคคลของลูกค้า เฉพาะตามคำสั่งของลูกค้า และเท่าที่จำเป็นเพื่อให้บริการเท่านั้น จะไม่ใช้เพื่อวัตถุประสงค์อื่น เว้นแต่กฎหมายกำหนด

2.2 ประเภทข้อมูลและเจ้าของข้อมูล — ข้อมูลผู้ติดต่อ/คู่ค้า พนักงาน ลูกค้าปลายทางของลูกค้า และข้อมูลในเอกสารทางการค้า · เจ้าของข้อมูล = ลูกค้าปลายทาง/พนักงาน/คู่ค้าของลูกค้า (ระบบไม่รองรับการจัดเก็บข้อมูลบัตรชำระเงิน)

2.4 ผู้ประมวลผลช่วง (Sub-processors) — ลูกค้าอนุญาตให้ YOD ใช้ผู้ประมวลผลช่วงตามข้อ 5 ข้างต้น โดย YOD จะผูกพันผู้ประมวลผลช่วงด้วยหน้าที่คุ้มครองข้อมูลไม่ต่ำกว่า DPA นี้ และรับผิดชอบต่อการกระทำของผู้ประมวลผลช่วงเสมือนเป็นการกระทำของตน จะแจ้งลูกค้าเมื่อมีการเปลี่ยนแปลงผู้ประมวลผลช่วงที่มีนัยสำคัญ · ปัจจุบันยังไม่มีผู้ให้บริการรับชำระเงินเป็นผู้ประมวลผลช่วง — หากจะเพิ่มเมื่อเริ่มเรียกเก็บค่าบริการ YOD จะแจ้งลูกค้าตามข้อนี้ก่อนเริ่มใช้งาน

2.5 การรักษาความลับ — บุคลากรของ YOD ที่เข้าถึงข้อมูลผูกพันหน้าที่รักษาความลับ

2.6 ความรับผิดชอบของลูกค้า (ผู้ควบคุมข้อมูล) — ลูกค้ารับรองว่ามี ฐานทางกฎหมายและได้แจ้ง/ขอความยินยอม จากเจ้าของข้อมูลของตน (ลูกค้าปลายทาง/พนักงาน/คู่ค้า) อย่างถูกต้องก่อนนำข้อมูลเข้าระบบ และเป็นผู้รับผิดชอบต่อความชอบด้วยกฎหมายของข้อมูลที่นำเข้า

2.7 การช่วยเหลือด้านสิทธิเจ้าของข้อมูล — YOD จัดให้มีเครื่องมือส่งออก/แก้ไข/ลบข้อมูล เพื่อให้ลูกค้าตอบสนองคำขอของเจ้าของข้อมูลได้

ภาคผนวก — ข้อมูลพนักงานของลูกค้า (payroll/GPS/การลา)

กรณีลูกค้าใช้โมดูลเงินเดือน/ลงเวลา ข้อมูลพนักงาน (รวม GPS ลงเวลา และประเภทการลา) เป็นข้อมูลที่ ลูกค้าเป็นผู้ควบคุม ลูกค้าต้องจัดให้มีประกาศความเป็นส่วนตัวและฐานทางกฎหมายกับพนักงานของตน (ดูเทมเพลต legal/pdpa-privacy-notice-hr.md และบันทึก legal/pdpa-memo-manager-hr-access.md) · ส่วนความยินยอม/เอกสารพนักงาน ให้สกิล thai-hr-labor ตรวจต่อ