นโยบายความเป็นส่วนตัว
มีผลบังคับใช้ตั้งแต่: 22 พฤษภาคม 2569
1. บทนำ
PayFlows ("บริษัท", "เรา", หรือ "ของเรา") ให้ความสำคัญอย่างยิ่งต่อการคุ้มครองข้อมูลส่วนบุคคลของท่าน นโยบายความเป็นส่วนตัวฉบับนี้จัดทำขึ้นเพื่ออธิบายให้ท่านทราบว่าเราเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของท่านอย่างไร เมื่อท่านใช้บริการ PayFlows ผ่านเว็บไซต์ payflows.co และบริการที่เกี่ยวข้องทั้งหมด (รวมเรียกว่า "บริการ")
นโยบายฉบับนี้เป็นไปตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)และกฎหมายที่เกี่ยวข้อง การใช้บริการของเราถือว่าท่านยอมรับนโยบายฉบับนี้ หากท่านไม่ยอมรับ กรุณาหยุดใช้บริการ
นโยบายฉบับนี้ใช้กับบุคคลทุกประเภทที่มีปฏิสัมพันธ์กับบริการของเรา ได้แก่:
- ผู้ให้บริการ / ร้านค้า (Merchant) — บุคคลหรือนิติบุคคลที่สมัครใช้ระบบ PayFlows เพื่อรับชำระเงินจากลูกค้า
- ผู้ซื้อ / ลูกค้าของร้านค้า (Customer) — บุคคลที่ชำระเงินผ่าน Payment Link ของร้านค้าที่ใช้ PayFlows
- ผู้เยี่ยมชมเว็บไซต์ (Visitor) — บุคคลที่เข้าชม payflows.co โดยทั่วไป
2. ผู้ควบคุมข้อมูลส่วนบุคคล
PayFlows ทำหน้าที่เป็นผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตามความหมายใน PDPA สำหรับข้อมูลที่เก็บรวบรวมจาก Merchant และผู้เยี่ยมชมเว็บไซต์
ในกรณีที่ Merchant ใช้ PayFlows เพื่อเก็บข้อมูลของ Customer ของตน Merchant ถือเป็นผู้ควบคุมข้อมูลส่วนบุคคล และ PayFlows ทำหน้าที่เป็นผู้ประมวลผลข้อมูล (Data Processor) โดยประมวลผลข้อมูลตามคำสั่งของ Merchant เท่านั้น
3. ข้อมูลที่เราเก็บรวบรวม
3.1 ข้อมูลที่ Merchant ให้แก่เรา
- ข้อมูลบัญชี: ชื่อ-นามสกุล อีเมล เบอร์โทรศัพท์ รหัสผ่าน (เก็บในรูปแบบ Hash)
- ข้อมูลธุรกิจ: ชื่อธุรกิจ ประเภทธุรกิจ ที่อยู่
- ข้อมูล API Keys: Public Key และ Secret Key ของ Omise สำหรับรับชำระเงิน
- ข้อมูลการแจ้งเตือน: LINE User ID, LINE Channel Token, อีเมลสำหรับรับรายงาน
- เนื้อหาที่สร้าง: แพ็กเกจ ราคา เงื่อนไขบริการ
3.2 ข้อมูลของ Customer (ที่ Merchant เก็บผ่าน PayFlows)
- ข้อมูลส่วนตัว: ชื่อ-นามสกุล อีเมล เบอร์โทรศัพท์
- ข้อมูลการชำระเงิน: ประเภทบัตร (Visa/Mastercard ฯลฯ) 4 หลักสุดท้ายของบัตร วันหมดอายุ — ไม่เก็บหมายเลขบัตรเต็ม (จัดการโดย Omise ผู้ให้บริการ PCI-DSS Level 1)
- ประวัติการชำระเงิน: จำนวนเงิน วันเวลา สถานะรายการ
- ข้อมูลการสมัคร Subscription: แพ็กเกจที่เลือก รอบบิล สถานะ
3.3 ข้อมูลที่เก็บโดยอัตโนมัติ
- ข้อมูลการใช้งาน: IP Address, Browser Type, หน้าที่เข้าชม, เวลาที่ใช้งาน
- คุกกี้และเทคโนโลยีที่คล้ายกัน (ดูหัวข้อ 10)
- Log ของ Edge Functions: คำร้องขอ, การตอบสนอง, ข้อผิดพลาด
4. ฐานทางกฎหมายในการประมวลผลข้อมูล
เราประมวลผลข้อมูลส่วนบุคคลภายใต้ฐานทางกฎหมายดังต่อไปนี้:
| วัตถุประสงค์ | ฐานทางกฎหมาย |
|---|---|
| การให้บริการตามสัญญา | การปฏิบัติตามสัญญา (มาตรา 24(3)) |
| การประมวลผลการชำระเงิน | การปฏิบัติตามสัญญา (มาตรา 24(3)) |
| การส่งใบเสร็จและแจ้งเตือน | การปฏิบัติตามสัญญา / ประโยชน์อันชอบธรรม |
| การปรับปรุงบริการ | ประโยชน์อันชอบธรรม (มาตรา 24(5)) |
| การส่งข้อมูลการตลาด | ความยินยอม (มาตรา 19) |
| การปฏิบัติตามกฎหมาย | หน้าที่ตามกฎหมาย (มาตรา 24(6)) |
5. วัตถุประสงค์การใช้ข้อมูล
5.1 การให้และปรับปรุงบริการ
- สร้างและจัดการบัญชีผู้ใช้ (Merchant Account)
- ประมวลผลธุรกรรมการชำระเงินและ Subscription
- ส่งใบเสร็จ แจ้งเตือน และรายงานให้ Merchant และ Customer
- จัดการ Retry การชำระเงินที่ล้มเหลว (Dunning Management)
- ตรวจสอบและป้องกันการทุจริต
- ให้การสนับสนุนทางเทคนิคและลูกค้าสัมพันธ์
5.2 การวิเคราะห์และพัฒนา
- วิเคราะห์รูปแบบการใช้งานเพื่อปรับปรุงบริการ
- ตรวจสอบประสิทธิภาพของระบบและแก้ไขข้อผิดพลาด
- พัฒนาฟีเจอร์ใหม่ตามความต้องการของผู้ใช้
5.3 การสื่อสาร
- ส่งการแจ้งเตือนที่เกี่ยวกับบริการ เช่น การอัปเดตนโยบาย การหยุดให้บริการชั่วคราว
- ส่งข้อมูลเกี่ยวกับฟีเจอร์ใหม่หรือโปรโมชั่น (หากได้รับความยินยอม)
- ตอบคำถามและให้ความช่วยเหลือ
5.4 การปฏิบัติตามกฎหมาย
- ปฏิบัติตามข้อกำหนดทางบัญชีและภาษีของไทย
- ตอบสนองต่อคำสั่งของหน่วยงานกำกับดูแลหรือศาล
- ป้องกันการฟอกเงินและการสนับสนุนทางการเงินแก่การก่อการร้าย
7. ระยะเวลาการเก็บข้อมูล
| ประเภทข้อมูล | ระยะเวลา | เหตุผล |
|---|---|---|
| ข้อมูลบัญชี Merchant | ตลอดอายุบัญชี + 3 ปี | การปฏิบัติตามกฎหมายบัญชี |
| ข้อมูลธุรกรรม / ใบเสร็จ | 7 ปีนับจากวันที่รายการ | พ.ร.บ. การบัญชี พ.ศ. 2543 |
| ข้อมูล Customer | ตราบที่ Merchant ยังใช้บริการ + 3 ปี | สัญญาและกฎหมาย |
| Log การใช้งาน | 90 วัน | การตรวจสอบความปลอดภัย |
| คุกกี้ Session | สิ้นสุด Session | การรักษาความปลอดภัย |
เมื่อพ้นระยะเวลาที่กำหนด เราจะลบหรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้ (Anonymization) อย่างปลอดภัย
8. มาตรการรักษาความปลอดภัย
เราใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคล ได้แก่:
8.1 มาตรการทางเทคนิค
- การเข้ารหัสข้อมูลระหว่างการส่ง (TLS 1.2+) และขณะจัดเก็บ (AES-256)
- การตรวจสอบตัวตนหลายปัจจัย (MFA) สำหรับการเข้าถึงระบบภายใน
- Row Level Security (RLS) ใน Supabase — Merchant เห็นได้เฉพาะข้อมูลของตนเอง
- การตรวจสอบความปลอดภัยอย่างสม่ำเสมอและการทดสอบการเจาะระบบ
- การสำรองข้อมูล (Backup) ทุกวันพร้อมการเข้ารหัส
- ระบบตรวจจับการบุกรุก (Intrusion Detection)
8.2 มาตรการด้านองค์กร
- จำกัดการเข้าถึงข้อมูลเฉพาะบุคลากรที่จำเป็น (Least Privilege Principle)
- การอบรมพนักงานด้านความปลอดภัยและ PDPA
- มีขั้นตอนรับมือเหตุการณ์ละเมิดข้อมูล (Incident Response Plan)
- การตรวจสอบ Log การเข้าถึงข้อมูลอย่างสม่ำเสมอ
หมายเหตุ: แม้เราจะใช้มาตรการรักษาความปลอดภัยอย่างเต็มที่ แต่ไม่มีระบบใดปลอดภัย 100% หากท่านพบเหตุการณ์ที่น่าสงสัยกรุณาแจ้งเราที่ privacy@payflows.co ทันที
9. ข้อมูลการชำระเงินและ PCI-DSS
PayFlows ไม่เก็บหมายเลขบัตรเครดิตเต็ม (Full PAN) หรือ CVV ไว้ในระบบของเรา การประมวลผลบัตรเครดิตดำเนินการทั้งหมดผ่าน Omise Co., Ltd.ซึ่งเป็นผู้ให้บริการ Payment Gateway ที่ได้รับการรับรอง PCI-DSS Level 1— มาตรฐานสูงสุดด้านความปลอดภัยของข้อมูลบัตรเครดิตระดับสากล
- ข้อมูลบัตรจะถูกแปลงเป็น Token โดย Omise.js บนเบราว์เซอร์ของลูกค้าก่อนส่งมาถึงเซิร์ฟเวอร์ของเรา
- เราเก็บเฉพาะ Token, 4 หลักสุดท้ายของบัตร, ประเภทบัตร และวันหมดอายุ
- Omise ดูแลการเก็บข้อมูลบัตรตามมาตรฐาน PCI-DSS และรับผิดชอบต่อการรักษาความปลอดภัยของข้อมูลบัตร
11. สิทธิของเจ้าของข้อมูลส่วนบุคคล
ภายใต้ PDPA ท่านมีสิทธิดังต่อไปนี้:
สิทธิในการเข้าถึงข้อมูล
ขอสำเนาข้อมูลส่วนบุคคลของท่านที่เราเก็บไว้
สิทธิในการแก้ไขข้อมูล
ขอให้แก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่ครบถ้วน
สิทธิในการลบข้อมูล
ขอให้ลบข้อมูล เมื่อไม่มีเหตุผลทางกฎหมายให้เก็บต่อ
สิทธิในการคัดค้าน
คัดค้านการประมวลผลด้วยเหตุประโยชน์อันชอบธรรม
สิทธิในการโอนย้ายข้อมูล
ขอรับข้อมูลในรูปแบบที่เครื่องอ่านได้ (Machine-readable)
สิทธิในการถอนความยินยอม
ถอนความยินยอมที่ให้ไว้ได้ทุกเมื่อโดยไม่กระทบสิทธิก่อนหน้า
สิทธิในการระงับการใช้ข้อมูล
ขอให้ระงับการใช้ข้อมูลชั่วคราวในระหว่างพิจารณาคำร้อง
สิทธิร้องเรียน
ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
ในการใช้สิทธิ์ กรุณาส่งคำร้องเป็นลายลักษณ์อักษรไปที่ privacy@payflows.coเราจะตอบกลับภายใน 30 วัน นับจากวันที่ได้รับคำร้อง และอาจขอยืนยันตัวตนก่อนดำเนินการ
12. การโอนข้อมูลระหว่างประเทศ
ผู้ให้บริการบางรายของเราตั้งอยู่ในต่างประเทศ (เช่น Supabase, Vercel, Resend ในสหรัฐอเมริกา) การโอนข้อมูลจะดำเนินการเฉพาะเมื่อประเทศปลายทางมีมาตรฐานคุ้มครองข้อมูลที่เพียงพอ หรือเราได้ทำข้อตกลงคุ้มครองข้อมูลที่เหมาะสม เช่น Standard Contractual Clauses (SCCs)
13. ผู้เยาว์
บริการ PayFlows ไม่ได้มุ่งหมายสำหรับผู้ที่มีอายุต่ำกว่า 20 ปีเราไม่เก็บข้อมูลส่วนบุคคลของผู้เยาว์โดยเจตนา หากท่านพบว่าบุตรหลานของท่านให้ข้อมูลแก่เราโดยไม่ได้รับอนุญาต กรุณาติดต่อเราเพื่อขอลบข้อมูลดังกล่าว
14. การเปลี่ยนแปลงนโยบาย
เราอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว การเปลี่ยนแปลงที่สำคัญจะแจ้งท่านผ่านอีเมลหรือประกาศบนเว็บไซต์อย่างน้อย 30 วันก่อนมีผลบังคับใช้ การใช้บริการต่อเนื่องหลังจากวันที่มีผลบังคับใช้ถือว่าท่านยอมรับการเปลี่ยนแปลง
ท่านสามารถตรวจสอบวันที่อัปเดตล่าสุดได้ที่ส่วนบนของเอกสารนี้ รุ่นก่อนหน้าจะพร้อมให้ตรวจสอบตามคำขอ
15. ติดต่อเรา
หากท่านมีคำถาม ข้อสงสัย หรือต้องการใช้สิทธิ์ตาม PDPA กรุณาติดต่อ:
PayFlows
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO)
อีเมล: privacy@payflows.co
ที่อยู่: กรุงเทพมหานคร ประเทศไทย
เราจะตอบกลับภายใน 30 วันทำการ
หากท่านไม่พอใจในการตอบสนองของเรา ท่านมีสิทธิ์ยื่นเรื่องร้องเรียนต่อ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)