1.ข้อมูลที่เราเก็บรวบรวม

1.1 ข้อมูลที่ท่านให้โดยตรง

1.2 ข้อมูลที่เกิดจากการใช้งาน

• Log การเข้าใช้งาน (IP Address, เวลา, Action)
• ข้อมูล Production, Batch Record, Control Plan ที่ผู้ใช้บริการนำเข้า
• ข้อมูลพิกัด GPS สำหรับการ Check-in (หากเปิดใช้งาน)
• ข้อมูลอุปกรณ์ (Browser, OS, Device ID)

2.วัตถุประสงค์และฐานทางกฎหมาย

3.การใช้ข้อมูลส่วนบุคคล

บริษัทใช้ข้อมูลส่วนบุคคลเพื่อ:

• ให้บริการ YieldSteps และฟีเจอร์ต่างๆ
• ยืนยันตัวตนและจัดการบัญชีผู้ใช้
• ส่งการแจ้งเตือน อีเมล และข้อความที่เกี่ยวกับบริการ
• ออกใบแจ้งหนี้ ใบเสร็จ และเอกสารภาษี
• วิเคราะห์การใช้งานเพื่อปรับปรุงระบบ
• ตอบสนองต่อการร้องเรียนและคำขอสนับสนุน
• ปฏิบัติตามข้อกำหนดทางกฎหมาย

4.การเปิดเผยข้อมูล

4.1 บุคคลที่สามที่ได้รับข้อมูล

ผู้ให้บริการเหล่านี้ผูกพันด้วยสัญญาการประมวลผลข้อมูล (DPA) และห้ามใช้ข้อมูลเพื่อวัตถุประสงค์อื่น

4.2 การเปิดเผยตามกฎหมาย

บริษัทอาจเปิดเผยข้อมูลเมื่อได้รับคำสั่งจากหน่วยงานรัฐหรือศาล โดยจะแจ้งให้ท่านทราบล่วงหน้าหากกฎหมายอนุญาต

5.การส่งข้อมูลไปต่างประเทศ

ข้อมูลของท่านอาจถูกประมวลผลในประเทศสิงคโปร์ (Render Cloud) และสหรัฐอเมริกา (Netlify, SendGrid) ซึ่งอาจมีมาตรฐานการคุ้มครองข้อมูลที่แตกต่างจากประเทศไทย

6.ระยะเวลาการเก็บข้อมูล

เมื่อครบกำหนด ข้อมูลจะถูกลบหรือทำให้ไม่สามารถระบุตัวตนได้อย่างถาวร

7.สิทธิ์ของเจ้าของข้อมูล

ภายใต้ พ.ร.บ. PDPA ท่านมีสิทธิ์ดังต่อไปนี้:

ท่านมีสิทธิ์ร้องเรียนต่อ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) หากเชื่อว่าสิทธิ์ของท่านถูกละเมิด

8.มาตรการรักษาความปลอดภัย

8.1 การเข้ารหัสข้อมูล

• การรับส่งข้อมูลทั้งหมดเข้ารหัสด้วย TLS 1.2+ (HTTPS)
• รหัสผ่านเข้ารหัสด้วย bcrypt (Cost Factor 12)
• ข้อมูล Sensitive (เช่น API Keys, credentials) เข้ารหัสด้วย AES-256-GCM
• JWT Token ลงนามด้วย RS256

8.2 การควบคุมการเข้าถึง

• ระบบ Role-Based Access Control (RBAC) 7 ระดับ
• Multi-tenant isolation — ข้อมูลแต่ละบริษัทแยกกันโดยสมบูรณ์
• Two-Factor Authentication (TOTP) รองรับ Google Authenticator
• Account Lockout หลังพยายาม Login ผิด 5 ครั้ง
• Session Token หมดอายุใน 15 นาที (Access) และ 7 วัน (Refresh)

8.3 การตรวจสอบและ Audit

• Audit Log บันทึกทุก Action สำคัญพร้อม IP Address และ Timestamp
• Log ไม่สามารถแก้ไขหรือลบได้ (Immutable)
• การสำรองข้อมูล (Backup) ทุกวัน เก็บไว้ 30 วัน

8.4 การรับมือเหตุการณ์ (Incident Response)

• มีแผน Incident Response สำหรับกรณีข้อมูลรั่วไหล
• แจ้ง PDPC และเจ้าของข้อมูลภายใน 72 ชั่วโมง กรณีละเมิดข้อมูลส่วนบุคคล

9.Cookies และ Analytics

ท่านสามารถปฏิเสธ Cookie ที่ไม่จำเป็นได้ผ่านแบนเนอร์ Cookie ในระบบ

10.ROPA (บันทึกกิจกรรมการประมวลผล)

บริษัทจัดทำบันทึกกิจกรรมการประมวลผลข้อมูลส่วนบุคคล (Record of Processing Activities — ROPA) ตาม PDPA มาตรา 39 ซึ่งครอบคลุม:

สามารถขอดูบันทึก ROPA ได้ที่ hello@creativevaluation.com

11.การแจ้งเหตุละเมิดข้อมูล

หากเกิดเหตุการณ์ละเมิดข้อมูลส่วนบุคคล บริษัทจะดำเนินการดังนี้:

• ภายใน 72 ชั่วโมง: แจ้งสำนักงาน PDPC ตามมาตรา 37 PDPA
• โดยไม่ชักช้า: แจ้งเจ้าของข้อมูลที่ได้รับผลกระทบ หากมีความเสี่ยงสูง
• ดำเนินการแก้ไข: ระงับการเข้าถึงและแก้ไขช่องโหว่โดยเร็ว
• จัดทำรายงาน: บันทึกเหตุการณ์และมาตรการแก้ไขไว้เป็นหลักฐาน

12.ติดต่อเจ้าหน้าที่คุ้มครองข้อมูล (DPO)

1.Data We Collect

1.1 Data You Provide Directly

1.2 Data Generated Through Use

• Access logs (IP Address, timestamp, action)
• Production, Batch Record, Control Plan data entered by users
• GPS location data for check-in (if enabled)
• Device information (browser, OS, device ID)

2.Purpose and Legal Basis

3.Use of Personal Data

• Providing YieldSteps services and features
• Authentication and account management
• Sending notifications, emails, and service-related messages
• Issuing invoices, receipts, and tax documents
• Analyzing usage for system improvements
• Responding to complaints and support requests
• Complying with legal obligations

4.Data Disclosure

4.1 Third-Party Service Providers

These providers are bound by Data Processing Agreements (DPA) and may not use data for other purposes.

4.2 Legal Disclosure

The Company may disclose data upon order from government authorities or courts. We will notify you in advance where permitted by law.

5.International Data Transfers

Your data may be processed in Singapore (Render Cloud) and the United States (Netlify, SendGrid), which may have different data protection standards than Thailand.

6.Data Retention

Upon expiry, data will be permanently deleted or anonymized.

7.Your Rights

Under Thailand's PDPA, you have the following rights:

You have the right to lodge a complaint with the Office of the Personal Data Protection Committee (PDPC) if you believe your rights have been violated.

8.Security Measures

8.1 Encryption

• All data transmission encrypted with TLS 1.2+ (HTTPS)
• Passwords hashed with bcrypt (Cost Factor 12)
• Sensitive data (API Keys, credentials) encrypted with AES-256-GCM
• JWT Tokens signed with RS256

8.2 Access Control

• Role-Based Access Control (RBAC) with 7 permission levels
• Complete multi-tenant data isolation
• Two-Factor Authentication (TOTP) via Google Authenticator
• Account lockout after 5 failed login attempts
• Access Tokens expire in 15 minutes; Refresh Tokens in 7 days

8.3 Audit and Monitoring

• Immutable Audit Logs recording all significant actions with IP and timestamp
• Daily backups retained for 30 days

9.Cookies and Analytics

10.Record of Processing Activities (ROPA)

The Company maintains a Record of Processing Activities (ROPA) per PDPA Section 39:

11.Data Breach Notification

• Within 72 hours: Notify PDPC per PDPA Section 37
• Without undue delay: Notify affected data subjects if high risk
• Immediate action: Contain the breach and remediate vulnerabilities
• Documentation: Record the incident and remediation measures

12.Contact Data Protection Officer (DPO)