1. บทนำและขอบเขต

นโยบายฉบับนี้อธิบายวิธีการที่ PopStep (“ผู้ให้บริการ”) เก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้บริการ ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 โดยผู้ให้บริการมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับข้อมูลที่เก็บรวบรวมผ่านแพลตฟอร์ม

2. ข้อมูลส่วนบุคคลที่เก็บรวบรวม

ผู้ให้บริการเก็บรวบรวมข้อมูลเท่าที่จำเป็นแก่การให้บริการ ดังนี้

• ข้อมูลบัญชี ได้แก่ อีเมล ชื่อ รูปโปรไฟล์ และข้อมูลระบุตัวตนที่ Google ส่งให้เมื่อท่านเลือกเข้าสู่ระบบ โดย PopStep ไม่ได้รับหรือจัดเก็บรหัสผ่าน Google ของท่าน
• ข้อมูลผู้จองและการจอง ได้แก่ ชื่อเล่น เบอร์โทรศัพท์ ห้อง วันที่ เวลา ระยะเวลา จำนวนผู้เข้าใช้บริการ สถานะ รหัสการจอง และประวัติการจอง
• ข้อมูลที่เกี่ยวกับการชำระเงิน ได้แก่ ยอดค่าบริการ ส่วนลด สถานะการชำระเงิน และภาพสลิปที่ผู้ใช้อัปโหลด โดยไม่เก็บข้อมูลบัตรชำระเงินหรือรหัสเข้าแอปธนาคาร
• ข้อมูลสำหรับคืนเงิน ได้แก่ ธนาคารหรือ PromptPay เลขบัญชีหรือเบอร์โทรศัพท์ ชื่อเจ้าของบัญชี เหตุผล จำนวนเงิน และเลขอ้างอิงการโอนคืน เก็บเมื่อร้านยกเลิกการจองและต้องคืนเงิน
• ข้อมูลสิทธิประโยชน์ ได้แก่ แต้ม ตราปั๊ม ระดับสมาชิก หรือคูปองที่ระบบอาจจัดเก็บเพื่อการทดสอบหรือเมื่อมีการเปิดใช้รายการส่งเสริมการขายในอนาคต
• ข้อมูลกิจกรรมในแอป ได้แก่ รายการห้องที่บันทึกเป็นรายการโปรด และคะแนนรีวิวที่ท่านให้ไว้
• ข้อมูลของผู้สมัคร Partner และเจ้าของสตูดิโอ ได้แก่ ชื่อผู้ติดต่อ เบอร์โทรศัพท์ LINE ID ที่อยู่ ข้อมูลสถานีใกล้เคียง ข้อมูลร้าน ห้อง เวลาเปิด–ปิด ภาพถ่าย ชื่อบัญชีรับเงิน หมายเลข PromptPay คำรับรองความเป็นเจ้าของบัญชี และข้อมูลที่ใช้ตรวจสอบร้าน
• ข้อมูลลูกค้าที่ร้านบันทึกเอง ได้แก่ ชื่อ เบอร์โทรศัพท์ LINE ID แหล่งที่มาของการจอง เวลา และสถานะการชำระเงินของลูกค้าที่ติดต่อร้านผ่านหน้าร้าน โทรศัพท์ หรือ LINE โดยเจ้าของสตูดิโอเป็นผู้รับผิดชอบการเก็บและบันทึกข้อมูลดังกล่าวโดยชอบด้วยกฎหมาย
• ข้อมูลช่วยเหลือและการแจ้งเตือน ได้แก่ หัวข้อ รายละเอียด ข้อความสนทนา สถานะคำขอ และประวัติการแจ้งเตือนที่เกี่ยวข้องกับบัญชีหรือการจอง
• ข้อมูลทางเทคนิค ได้แก่ ข้อมูลอุปกรณ์ เบราว์เซอร์ หมายเลขไอพี และบันทึกการใช้งานที่จำเป็นต่อการรักษาความมั่นคงปลอดภัยของระบบ

3. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล

4. การเปิดเผยข้อมูลแก่สตูดิโอพันธมิตร

เมื่อท่านส่งคำขอจอง เจ้าของสตูดิโอที่เกี่ยวข้องจะเห็นข้อมูลเท่าที่จำเป็นแก่การให้บริการ ได้แก่ ห้องที่จอง วันเวลา จำนวนผู้เข้าใช้บริการ ยอดค่าบริการ ส่วนลด สถานะการจอง และสลิปที่ส่งเพื่อตรวจยอด หากมีคำขอคืนเงิน ร้านจะเห็นธนาคาร เลขบัญชี และชื่อเจ้าของบัญชีที่ผู้ใช้ระบุเพื่อดำเนินการโอนคืน โดยระบบจำกัดสิทธิให้เจ้าของสตูดิโอเข้าถึงได้เฉพาะการจองที่เกิดขึ้นกับห้องของตนเองเท่านั้น ทั้งนี้ เจ้าของสตูดิโอมีสถานะเป็นผู้ควบคุมข้อมูลส่วนบุคคลอีกรายหนึ่งสำหรับข้อมูลที่ตนได้รับไป

4.1 ข้อมูลของสตูดิโอที่แสดงต่อสาธารณะ

เมื่อร้านได้รับอนุมัติและเปิดหน้าร้าน ระบบอาจแสดงชื่อร้าน ที่อยู่หรือบริเวณที่ตั้ง สถานีและระยะทางโดยประมาณ เวลาเปิด–ปิด รายละเอียดห้อง ราคา ความจุ สิ่งอำนวยความสะดวก ภาพถ่าย และข้อมูลติดต่อร้านที่เจ้าของร้านเลือกเผยแพร่ ต่อผู้เข้าชมเว็บไซต์ทั้งที่เข้าสู่ระบบและยังไม่ได้เข้าสู่ระบบ โดยจะไม่แสดงหมายเลข PromptPay หรือข้อมูลตรวจสอบตัวตนของผู้สมัครเป็นข้อมูลสาธารณะ

5. ผู้ให้บริการภายนอกซึ่งประมวลผลข้อมูล

ผู้ให้บริการใช้บริการของผู้ประมวลผลข้อมูลภายนอก ดังนี้

• Supabase สำหรับระบบยืนยันตัวตน ฐานข้อมูล และการจัดเก็บไฟล์ภาพ
• Google สำหรับการเข้าสู่ระบบและยืนยันตัวตนด้วยบัญชี Google
• Vercel สำหรับการให้บริการโฮสต์เว็บแอปพลิเคชัน

ผู้ให้บริการไม่ขาย ไม่ให้เช่า และไม่แลกเปลี่ยนข้อมูลส่วนบุคคลของท่านแก่บุคคลภายนอกเพื่อวัตถุประสงค์ทางการตลาด

6. การส่งหรือโอนข้อมูลไปยังต่างประเทศ

ผู้ให้บริการภายนอกตามข้อ 5 อาจจัดเก็บหรือประมวลผลข้อมูลบนเซิร์ฟเวอร์ที่ตั้งอยู่นอกราชอาณาจักรไทย ในกรณีดังกล่าว ผู้ให้บริการจะดำเนินการตามสมควรเพื่อให้มั่นใจว่าผู้รับข้อมูลมีมาตรการคุ้มครองข้อมูลส่วนบุคคลที่เพียงพอ ตามหลักเกณฑ์ที่กฎหมายกำหนด

7. มาตรการรักษาความมั่นคงปลอดภัย

• ข้อมูลจัดเก็บบนฐานข้อมูล Postgres ซึ่งกำหนดนโยบายควบคุมการเข้าถึงระดับแถว (Row Level Security) เพื่อให้ผู้ใช้ ร้าน และแอดมินเข้าถึงเฉพาะข้อมูลที่เกี่ยวข้อง
• สลิปการชำระเงินจัดเก็บในพื้นที่ส่วนตัวและเปิดผ่านลิงก์ชั่วคราว ส่วนข้อมูลบัญชีรับเงินคืนไม่แสดงต่อสาธารณะ
• ระบบใช้ Google OAuth และไม่รับหรือจัดเก็บรหัสผ่าน Google ของผู้ใช้
• การรับส่งข้อมูลระหว่างอุปกรณ์ของท่านกับระบบกระทำผ่านช่องทางที่เข้ารหัส (HTTPS)
• มีการจำกัดสิทธิการแก้ไขข้อมูลสำคัญ เช่น แต้มสะสมและสถานะการชำระเงิน มิให้ผู้ใช้แก้ไขได้โดยตรง

อย่างไรก็ดี ไม่มีระบบใดปลอดภัยโดยสมบูรณ์ ผู้ให้บริการจึงไม่อาจรับประกันความปลอดภัยได้อย่างเด็ดขาด

8. ระยะเวลาการเก็บรักษาข้อมูล

ผู้ให้บริการเก็บรักษาข้อมูลบัญชีและข้อมูลการจองไว้ตลอดระยะเวลาที่บัญชียังใช้งานอยู่ และต่อไปอีกเท่าที่จำเป็นเพื่อการปฏิบัติตามกฎหมาย การระงับข้อพิพาท หรือการบังคับตามข้อกำหนดการใช้บริการ สลิปและข้อมูลบัญชีรับเงินคืนจะเก็บเท่าที่จำเป็นต่อการตรวจสอบ การคืนเงิน และข้อพิพาท จากนั้นจะลบหรือปกปิดข้อมูลตามรอบการเก็บรักษาของผู้ให้บริการ เมื่อพ้นกำหนดดังกล่าว ข้อมูลจะถูกลบหรือทำให้ไม่สามารถระบุตัวบุคคลได้

9. คุกกี้และเทคโนโลยีที่คล้ายคลึงกัน

ผู้ให้บริการใช้การจัดเก็บข้อมูลในเบราว์เซอร์ของท่านเพื่อรักษาสถานะการเข้าสู่ระบบเท่านั้น Google อาจใช้คุกกี้ที่จำเป็นในขั้นตอนยืนยันตัวตนตามนโยบายของ Google ทั้งนี้ PopStep ไม่ใช้คุกกี้เพื่อติดตามพฤติกรรมข้ามเว็บไซต์หรือเพื่อการโฆษณา

10. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ท่านมีสิทธิดังต่อไปนี้

• สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของตน
• สิทธิขอแก้ไขข้อมูลให้ถูกต้องเป็นปัจจุบัน (ท่านสามารถแก้ไขชื่อผู้ใช้ได้เองในหน้าการตั้งค่า)
• สิทธิขอลบหรือทำลายข้อมูล และขอให้ระงับการใช้ข้อมูล
• สิทธิขอให้โอนย้ายข้อมูลไปยังผู้ควบคุมข้อมูลรายอื่น
• สิทธิคัดค้านการประมวลผล และสิทธิถอนความยินยอมที่ให้ไว้
• สิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล หากเห็นว่าการประมวลผลไม่ชอบด้วยกฎหมาย

การใช้สิทธิข้างต้นกระทำได้โดยติดต่อผู้ให้บริการตามช่องทางในข้อ 12 ทั้งนี้ การลบข้อมูลบางประการอาจทำให้ท่านไม่สามารถใช้บริการต่อไปได้ ข้อมูลบางส่วนอาจต้องเก็บต่อเท่าที่กฎหมายกำหนดหรือจำเป็นต่อการตรวจสอบธุรกรรม การคืนเงิน การป้องกันการทุจริต และการระงับข้อพิพาท

11. ข้อมูลส่วนบุคคลของผู้เยาว์

แพลตฟอร์มมิได้มีเจตนาให้บริการแก่ผู้เยาว์ซึ่งใช้บริการโดยปราศจากความยินยอมของผู้ปกครอง หากผู้ให้บริการทราบว่าได้เก็บรวบรวมข้อมูลของผู้เยาว์โดยมิได้รับความยินยอมที่ถูกต้อง จะดำเนินการลบข้อมูลดังกล่าวโดยไม่ชักช้า

12. ช่องทางการติดต่อ

หากมีข้อสงสัย ข้อร้องเรียน หรือประสงค์จะใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล กรุณาติดต่อผู้ให้บริการที่ popstep-verse@gmail.com

13. การแก้ไขเปลี่ยนแปลงนโยบาย

ผู้ให้บริการอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว โดยจะประกาศฉบับปรับปรุงพร้อมระบุวันที่ปรับปรุงล่าสุดไว้ในหน้านี้