นโยบายความเป็นส่วนตัว (Privacy Policy)

นโยบายฉบับนี้อธิบายว่า BoxBak (“เรา”) เก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลอย่างไร ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) โดยครอบคลุมผู้ใช้เว็บไซต์ เจ้าของร้านและพนักงานที่ใช้ระบบ และลูกค้าของร้านที่สั่งอาหารผ่าน QR

1. บทบาทของเราต่อข้อมูลแต่ละประเภท

• ข้อมูลบัญชีผู้สมัครใช้บริการ (เช่น อีเมลและชื่อของเจ้าของร้าน) — เราเป็น ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)
• ข้อมูลที่ร้านบันทึกในระบบ (ข้อมูลพนักงาน เวลาเข้างาน เงินเดือน รายการขาย ออเดอร์ของลูกค้า ฯลฯ) — ร้านเป็นผู้ควบคุมข้อมูล และเราทำหน้าที่เป็น ผู้ประมวลผลข้อมูลส่วนบุคคล (Data Processor) ตามคำสั่งของร้านผ่านการใช้งานระบบ คำขอใช้สิทธิเกี่ยวกับข้อมูลกลุ่มนี้ควรยื่นต่อร้านที่คุณใช้บริการเป็นลำดับแรก โดยเราพร้อมสนับสนุนร้านในการดำเนินการ

2. ข้อมูลที่เราเก็บรวบรวม

ข้อมูลบัญชีและการยืนยันตัวตน

• อีเมล ชื่อ และชื่อผู้ใช้ของเจ้าของร้านและพนักงาน
• รหัสผ่านและ PIN ซึ่งถูกจัดเก็บแบบเข้ารหัสทางเดียว (hash) เสมอ — เราไม่สามารถอ่านค่าจริงได้
• ข้อมูลอุปกรณ์ที่ผูกกับร้านสำหรับการเข้าระบบหน้าร้าน และรหัสอ้างอิง LINE (LINE user ID) เมื่อผู้ใช้เลือกผูกบัญชีเพื่อรับรหัส OTP

ข้อมูลการใช้งานระบบ

• รายการขาย ออเดอร์ สต็อก ต้นทุน และเอกสารที่ร้านบันทึก
• เวลาเข้า–ออกงาน ตารางกะ และข้อมูลค่าตอบแทนของพนักงานที่ร้านบันทึก
• บันทึกการใช้งานเชิงระบบ (audit log) ของรายการสำคัญด้านเงิน สต็อก และสิทธิ์ ซึ่งออกแบบให้แก้ไขย้อนหลังไม่ได้ เพื่อความโปร่งใสและการตรวจสอบ

ข้อมูลลูกค้าของร้าน (สั่งผ่าน QR)

• รายการอาหารที่สั่งและโต๊ะที่สั่ง โดยไม่บังคับให้ลูกค้าสมัครสมาชิกหรือระบุตัวตน

ข้อมูลการชำระเงิน

• สถานะรายการชำระเงินจากผู้ให้บริการชำระเงิน (เช่น การยืนยันยอดพร้อมเพย์) เราไม่จัดเก็บหมายเลขบัตรหรือข้อมูลบัญชีธนาคารฉบับเต็มของผู้ชำระ

3. คุกกี้ที่เราใช้

• คุกกี้เซสชัน — จำเป็นต่อการเข้าสู่ระบบอย่างปลอดภัย มีการลงลายเซ็นดิจิทัลป้องกันการปลอมแปลง และหมดอายุอัตโนมัติ
• คุกกี้อุปกรณ์ร้าน — จำเป็นต่อการจดจำเครื่องที่ร้านอนุญาต เพื่อให้พนักงานเข้าระบบหน้าร้านได้สะดวกและปลอดภัย
• เราไม่ใช้คุกกี้โฆษณาและไม่ใช้คุกกี้ติดตามพฤติกรรมข้ามเว็บไซต์

4. วัตถุประสงค์และฐานทางกฎหมาย

• ให้บริการตามสัญญา — สร้างบัญชี เข้าสู่ระบบ บันทึกและแสดงข้อมูลของร้าน (ฐานสัญญา)
• รักษาความปลอดภัย ป้องกันการทุจริต และตรวจสอบเหตุผิดปกติ (ฐานประโยชน์โดยชอบด้วยกฎหมาย)
• ปฏิบัติตามกฎหมาย เช่น การเก็บหลักฐานทางบัญชีและภาษี (ฐานหน้าที่ตามกฎหมาย)
• ส่งอีเมลเกี่ยวกับบัญชีและการเปลี่ยนแปลงบริการที่จำเป็น — การสื่อสารการตลาดจะทำเมื่อได้รับความยินยอมเท่านั้น (ฐานความยินยอม)

5. การเปิดเผยข้อมูลต่อบุคคลที่สาม

เราไม่ขายข้อมูลส่วนบุคคล เราเปิดเผยข้อมูลเฉพาะเท่าที่จำเป็นต่อการให้บริการแก่ ผู้ให้บริการช่วงที่ทำสัญญาคุ้มครองข้อมูลกับเรา ได้แก่ ผู้ให้บริการโครงสร้างพื้นฐาน คลาวด์และฐานข้อมูล ผู้ให้บริการจัดส่งอีเมลระบบ ผู้ให้บริการแพลตฟอร์ม LINE (เมื่อผู้ใช้เลือกผูกบัญชี) และผู้ให้บริการชำระเงิน รวมถึงกรณีที่กฎหมายกำหนดหรือมีคำสั่งโดยชอบของหน่วยงานรัฐ ผู้ให้บริการบางรายอาจอยู่ต่างประเทศ — เราคัดเลือกผู้ให้บริการที่มีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอตามที่ PDPA กำหนด

6. ระยะเวลาการเก็บรักษา

• ข้อมูลบัญชีและข้อมูลของร้าน — ตลอดระยะเวลาที่บัญชียังใช้งาน
• เมื่อยกเลิกบริการ — เก็บต่ออีกไม่เกิน 90 วันเพื่อให้กู้คืนได้ เว้นแต่ข้อมูลที่ต้องเก็บตามกฎหมาย (เช่น หลักฐานทางบัญชีและภาษี) ซึ่งเก็บตามระยะเวลาที่กฎหมายนั้นกำหนด จากนั้นจะลบหรือทำให้ระบุตัวตนไม่ได้
• บันทึกการใช้งานเชิงระบบ — เก็บตามระยะเวลาที่จำเป็นต่อความปลอดภัยและการตรวจสอบ

7. มาตรการรักษาความปลอดภัย

• การเชื่อมต่อเข้ารหัสผ่าน HTTPS ทั้งหมด
• รหัสผ่านและ PIN จัดเก็บแบบ hash เท่านั้น
• ข้อมูลของแต่ละร้านถูกแยกจากกันในระดับฐานข้อมูล (row-level security) — ร้านหนึ่งไม่สามารถเข้าถึงข้อมูลของอีกร้านได้
• สิทธิ์การเข้าถึงภายในร้านแบ่งตามหน้าที่ และรายการสำคัญมี audit log ตรวจสอบย้อนหลังได้

8. สิทธิของเจ้าของข้อมูลตาม PDPA

คุณมีสิทธิขอเข้าถึงและขอสำเนาข้อมูล ขอแก้ไขให้ถูกต้อง ขอลบหรือทำลาย ขอระงับการใช้ ขอคัดค้านการประมวลผล ขอถ่ายโอนข้อมูล และเพิกถอนความยินยอมที่เคยให้ไว้ โดยติดต่อเราตามช่องทางด้านล่าง เราจะดำเนินการภายในระยะเวลาที่กฎหมายกำหนด และคุณมีสิทธิร้องเรียนต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากเห็นว่าการประมวลผลไม่เป็นไปตามกฎหมาย สำหรับข้อมูลที่ร้านเป็นผู้ควบคุม (เช่น ข้อมูลพนักงานหรือออเดอร์ของลูกค้า) กรุณายื่นคำขอต่อร้านโดยตรง

9. ข้อมูลของผู้เยาว์

บริการนี้ออกแบบสำหรับผู้ประกอบกิจการ เราไม่มีเจตนาเก็บข้อมูลของผู้เยาว์ หากพบว่ามีการเก็บข้อมูลผู้เยาว์โดยไม่ได้รับความยินยอมที่ถูกต้อง เราจะลบข้อมูลนั้นโดยเร็ว

10. การแก้ไขนโยบาย

เราอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว หากมีการเปลี่ยนแปลงที่มีนัยสำคัญเราจะแจ้งผ่านระบบหรืออีเมลล่วงหน้าตามสมควร วันที่อัปเดตล่าสุดแสดงไว้ที่ส่วนบนของหน้านี้

11. ติดต่อเรา

ผู้ควบคุมข้อมูล: BoxBak — คำถามหรือคำขอใช้สิทธิเกี่ยวกับข้อมูลส่วนบุคคล ติดต่อได้ที่อีเมล beronzemulti@gmail.com