นโยบายความเป็นส่วนตัว Refundly

1. ประเภทข้อมูลส่วนบุคคลที่ประมวลผล

บริษัทเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลดังต่อไปนี้ และไม่ประมวลผลข้อมูลส่วนบุคคลของเด็กอายุต่ำกว่า 16 ปี:

•เมื่อสมัครสมาชิก (จำเป็น): ที่อยู่อีเมล รหัสผ่าน (จัดเก็บแบบเข้ารหัส)

•เมื่อเชื่อมโยง UID กระดานซื้อขายของสมาชิก (จำเป็น): ชื่อกระดานซื้อขาย UID ที่เกี่ยวข้อง ประวัติการซื้อขายสัญญาล่วงหน้าของกระดานซื้อขาย (วันเวลา ปริมาณ)

•เมื่อใช้บริการคืนค่าธรรมเนียมในฐานะผู้ที่ไม่ใช่สมาชิก (จำเป็น): ชื่อกระดานซื้อขาย UID ที่เกี่ยวข้อง ประวัติการซื้อขายสัญญาล่วงหน้า (วันเวลา ปริมาณ)

•เก็บรวบรวมโดยอัตโนมัติ: ที่อยู่ IP ประเภทเบราว์เซอร์ ภาษา บันทึกการใช้บริการ (วันเวลาเข้าถึงและประวัติการเข้าชม การสะสม การขอ และการถอนคืนค่าธรรมเนียม/รางวัล) ข้อมูลอุปกรณ์ (รุ่น ชื่อและเวอร์ชัน OS) คุกกี้

•เมื่อทำแบบสำรวจหรือให้ความคิดเห็นผ่านอีเมล/ช่องทางอื่น: รายการที่จำเป็นสำหรับแบบสำรวจ/ความคิดเห็นนั้น

บริษัทไม่เก็บคีย์ API ของกระดานซื้อขาย สิทธิการถอน หรือคีย์ส่วนตัวของกระเป๋าเงิน และไม่ถือครองหรือจัดการสินทรัพย์ดิจิทัลของผู้ใช้โดยตรง

2. ระยะเวลาประมวลผลและจัดเก็บ

บริษัทจะลบและทำลายข้อมูลที่เก็บรวบรวมโดยไม่ชักช้า แม้ไม่มีการร้องขอ เมื่อผู้ใช้ลาออกหรือสูญเสียสถานะ อย่างไรก็ดี กรณีต่อไปนี้จะจัดเก็บตามระยะเวลาที่ระบุ:

(a) เมื่ออยู่ระหว่างการสืบสวน/ตรวจสอบจากการฝ่าฝืนกฎหมาย: จนกว่าจะสิ้นสุด

(b) เมื่อยังมีสิทธิ/หนี้ที่เกิดจากการใช้บริการ: จนกว่าการชำระบัญชีจะเสร็จสิ้น

(c) ที่อยู่อีเมล เพื่อป้องกันการสมัครใหม่ด้วยอีเมลเดิม: จนกว่าจะสิ้นสุดบริการ

(d) บันทึกการสะสม การขอ และการถอนคืนค่าธรรมเนียม/รางวัล: เป็นเวลา 5 ปี (ข้อมูลที่ระบุตัวตน เช่น UID จะถูกปกปิด (masking) นับแต่วันที่ขอถอน)

(e) เมื่อกฎหมายกำหนดระยะเวลาจัดเก็บ: ตามระยะเวลานั้น

3. วัตถุประสงค์ในการประมวลผล

•ยืนยันเจตนาในการสมัคร รักษาและจัดการสถานะสมาชิก ป้องกันการใช้บริการในทางที่ผิด และการแจ้งต่าง ๆ

•ตรวจจับและป้องกันการฉ้อโกงและการสูญเสียเงิน และคุ้มครองบัญชี

•การให้บริการ รวมถึงการสะสม การกระทบยอด และการจ่ายคืนค่าธรรมเนียม/รางวัล

•การสื่อสารเกี่ยวกับบริการ เช่น การแจ้งความปลอดภัยและการอัปเดต

•การสนับสนุนลูกค้า รวมถึงการจัดการข้อซักถามและข้อพิพาท

•การประกันความปลอดภัยของเครือข่ายและข้อมูล

•การปรับปรุงเนื้อหา/เค้าโครงบริการ และพัฒนาบริการใหม่

•การตลาดและโฆษณา (อีเมล SMS ฯลฯ) เฉพาะผู้ใช้ที่ยินยอมรับเท่านั้น

4. การเปิดเผยแก่บุคคลภายนอก

บริษัทเปิดเผยข้อมูลส่วนบุคคลแก่บุคคลภายนอกเฉพาะเมื่อได้รับความยินยอมจากผู้ใช้หรือเมื่อมีบทบัญญัติพิเศษของกฎหมาย เมื่อจำเป็นต้องเปิดเผย บริษัทจะแจ้งล่วงหน้าถึงผู้รับ วัตถุประสงค์ รายการ และระยะเวลาจัดเก็บ/ใช้ และขอความยินยอม

5. การมอบหมายการประมวลผล

บริษัทอาจมอบหมายงานต่อไปนี้ให้บุคคลภายนอกเพื่อการให้บริการที่ราบรื่น และจะเปิดเผยผู้รับมอบหมายและงานที่มอบหมายในนโยบายนี้ พร้อมทำสัญญาเพื่อให้ข้อมูลได้รับการจัดการอย่างปลอดภัย:

•การดำเนินงานโครงสร้างพื้นฐานคลาวด์ (เซิร์ฟเวอร์/การจัดเก็บข้อมูล)

•การส่งอีเมลและการแจ้งเตือน

•เครื่องมือสนับสนุนและตอบข้อซักถามลูกค้า

ผู้รับมอบหมายและงานที่มอบหมายเฉพาะเจาะจงเป็นไปตาม [รายชื่อผู้รับมอบหมายที่จัดทำขึ้นแล้ว] และการเปลี่ยนแปลงจะเปิดเผยผ่านนโยบายนี้

6. การโอนข้อมูลส่วนบุคคลไปต่างประเทศ

เนื่องจากบริษัทจัดตั้งในสาธารณรัฐเกาหลี ข้อมูลส่วนบุคคลของผู้ใช้ที่พำนักในประเทศไทยจะถูกโอนไปยังที่ตั้งของบริษัท (สาธารณรัฐเกาหลี) และโครงสร้างพื้นฐานของบริษัท

ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) บริษัทจะดำเนินการให้ประเทศ/หน่วยงานปลายทางมีระดับการคุ้มครองที่เพียงพอ หรือจัดให้มีมาตรการคุ้มครองที่เหมาะสม เช่น ข้อสัญญามาตรฐาน โดยให้ความระมัดระวังเป็นพิเศษกับข้อมูลอ่อนไหว เช่น เอกสารแสดงตน

บริษัทอาจโอนนิติบุคคลผู้ดำเนินงานหรือโครงสร้างพื้นฐานไปต่างประเทศ รวมถึงศูนย์การเงินระหว่างประเทศดูไบ (DIFC) ในอนาคต โดยจะจัดให้มีมาตรการคุ้มครองที่เหมาะสมเช่นกัน

7. สิทธิของเจ้าของข้อมูลและวิธีใช้สิทธิ

(a) ผู้ใช้อาจใช้สิทธิตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ได้แก่ การเข้าถึง การแก้ไข การลบ การจำกัดการประมวลผล การโอนย้ายข้อมูล การคัดค้าน และการเพิกถอนความยินยอม

(b) การใช้สิทธิอาจกระทำผ่านผู้แทนโดยชอบด้วยกฎหมายหรือผู้รับมอบอำนาจ โดยต้องยื่นหนังสือมอบอำนาจที่ยืนยันการมอบอำนาจ

(c) การใช้สิทธิอาจกระทำผ่านเจ้าหน้าที่คุ้มครองข้อมูล (หรือหน่วยงานที่รับผิดชอบ) ตามข้อ 10 ทางอีเมล ฯลฯ บริษัทจะดำเนินการโดยไม่ชักช้า แม้สิทธิบางประการอาจถูกจำกัดตามกฎหมาย

(d) คำขอจำกัดการประมวลผลหรือเพิกถอนความยินยอมอาจหมายความว่าบริษัทไม่สามารถให้บริการต่อไปได้ ซึ่งในกรณีนั้นสัญญาการใช้บริการอาจสิ้นสุดลง

(e) กรณีเป็นเด็ก บริษัทจะขอความยินยอมจากผู้แทนโดยชอบด้วยกฎหมายตามที่กฎหมายกำหนด โดยหลักการบริษัทไม่ประมวลผลข้อมูลส่วนบุคคลของเด็กอายุต่ำกว่า 16 ปี

8. คุกกี้และการเก็บรวบรวมอัตโนมัติ

(a) บริษัทใช้คุกกี้เพื่อให้บริการเฉพาะบุคคล โดยใช้วิเคราะห์ความถี่/เวลาในการเข้าถึง ระบุรูปแบบการใช้งาน ตรวจสอบการเข้าถึงที่ปลอดภัย ปรับปรุงบริการ และให้บริการ/โฆษณาที่เหมาะสม

(b) ผู้ใช้อาจปฏิเสธการจัดเก็บคุกกี้ผ่านการตั้งค่าเบราว์เซอร์ แต่อาจทำให้ใช้บริการบางส่วนได้ลำบาก

9. การทำลายข้อมูลส่วนบุคคลและมาตรการรักษาความปลอดภัย

(a) บริษัทจะทำลายข้อมูลส่วนบุคคลโดยไม่ชักช้าเมื่อไม่จำเป็นอีกต่อไป เช่น เมื่อพ้นระยะเวลาจัดเก็บหรือบรรลุวัตถุประสงค์ ไฟล์อิเล็กทรอนิกส์จะถูกทำลายด้วยวิธีทางเทคนิคที่ไม่สามารถกู้คืนได้ เอกสารพิมพ์จะถูกทำลายด้วยเครื่องย่อยหรือเผา

(b) บริษัทใช้มาตรการต่อไปนี้เพื่อความปลอดภัยของข้อมูลส่วนบุคคล:

ด้านการบริหาร: จัดทำและดำเนินการตามแผนบริหารจัดการภายใน และฝึกอบรมพนักงานเป็นประจำ

ด้านเทคนิค: การเข้ารหัสข้อมูลส่วนบุคคล การจัดการสิทธิการเข้าถึง การเก็บบันทึกการเข้าถึงและป้องกันการปลอม/แก้ไข มาตรการป้องกันการแฮก

ด้านกายภาพ: การควบคุมการเข้าถึงห้องเซิร์ฟเวอร์และห้องจัดเก็บข้อมูล

10. เจ้าหน้าที่คุ้มครองข้อมูลและหน่วยงานที่รับผิดชอบ

บริษัทแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลและหน่วยงานที่รับผิดชอบ เพื่อรับผิดชอบโดยรวมในการประมวลผลข้อมูลส่วนบุคคล และจัดการข้อซักถาม ข้อร้องเรียน และการเยียวยาที่เกี่ยวข้อง:

•เจ้าหน้าที่คุ้มครองข้อมูล (DPO): [ชื่อ / ตำแหน่ง]

•หน่วยงานที่รับผิดชอบ: [ชื่อหน่วยงาน]

•ติดต่อ: [อีเมล / โทรศัพท์]

11. การเยียวยาการละเมิดและหน่วยงานกำกับดูแล

หน่วยงานกำกับดูแล: คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) และสำนักงานคณะกรรมการฯ

เจ้าของข้อมูลอาจยื่นเรื่องร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) หรือขอการเยียวยาจากศาลที่มีเขตอำนาจ

12. การเปลี่ยนแปลงนโยบายความเป็นส่วนตัว

บริษัทอาจแก้ไขนโยบายนี้เพื่อสะท้อนการเปลี่ยนแปลงของกฎหมายหรือบริการ บริษัทจะประกาศการเปลี่ยนแปลงอย่างน้อย 7 วันก่อนวันมีผล กรณีมีการเปลี่ยนแปลงสำคัญต่อสิทธิของผู้ใช้ (เช่น เปลี่ยนประเภทข้อมูลที่เก็บหรือวัตถุประสงค์ในการใช้) บริษัทจะแจ้งล่วงหน้าอย่างน้อย 30 วัน

นโยบายความเป็นส่วนตัวนี้มีผลบังคับใช้ตั้งแต่วันที่ 30 มิถุนายน 2026