นโยบายความเป็นส่วนตัว

Manabi (ในช่วงเตรียมจดทะเบียนนิติบุคคล โดยจะปรับปรุงข้อมูลผู้ควบคุมข้อมูลส่วนบุคคลเป็นนิติบุคคลเมื่อจดทะเบียนเสร็จ และจะแจ้งในหน้านี้) ("Manabi", "เรา") เป็นผู้ควบคุมข้อมูลส่วนบุคคลตามมาตรา 37 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

ติดต่อเรื่องความเป็นส่วนตัว: แบบฟอร์มติดต่อ

เราเก็บรวบรวมข้อมูลส่วนบุคคลดังต่อไปนี้:

เราไม่เก็บ: ข้อมูลสุขภาพ ข้อมูลศาสนา ข้อมูลพันธุกรรม ข้อมูลทางชีวภาพ หรือข้อมูลอ่อนไหวอื่นๆ ตามมาตรา 26 แห่ง PDPA

เราประมวลผลข้อมูลส่วนบุคคลบนฐานทางกฎหมายดังนี้:

• ข้อมูลแบบฟอร์มสอบถาม (Lead): จนกว่าเคสจะสิ้นสุด (เช่น โรงเรียนติดต่อกลับและได้ข้อสรุปแล้ว) แล้วเก็บต่ออีก 12 เดือน เพื่อให้โรงเรียนสามารถติดตามผลได้ตามสมควร
• บัญชีผู้ปกครอง: ตลอดระยะเวลาที่มีบัญชี + 1 ปีหลังจากลบบัญชี เพื่อวัตถุประสงค์ด้านการปฏิบัติตามกฎหมาย
• บันทึก Analytics (Google Analytics): 14 เดือนตามนโยบาย Google Analytics 4
• บันทึกการใช้งานในระบบของเรา (เช่น การค้นหา การเยี่ยมชมหน้าเว็บ): เก็บไว้ 12 เดือน หลังจากนั้นจะถูกลบอัตโนมัติ ส่วนข้อมูลอุปกรณ์ที่ไม่มีการใช้งานเกิน 12 เดือน (เช่น เว็บไซต์ต้นทาง อุปกรณ์) จะถูกลบทิ้งแต่ยังคงตัวเลขสรุปไว้
• สิ่งที่เราเรียนรู้จากคำตอบและการใช้งาน (เช่น งบประมาณ ย่านที่สนใจ ช่วงอายุลูก): เก็บไว้ 12 เดือน หลังจากนั้นจะถูกลบอัตโนมัติ
• Audit Log (การดำเนินการของ admin): เก็บถาวรตามระยะเวลาที่กำหนดในนโยบายภายใน
• คำตอบของคุณเกี่ยวกับโรงเรียน: เก็บไว้ตราบเท่าที่บัญชีของคุณยังอยู่ คุณแก้ไขคำตอบเดิมได้เอง (ระบบแทนที่คำตอบเก่าให้อัตโนมัติ) คำตอบเดิมที่ถูกแทนที่ จะถูกเก็บไว้ในบันทึกภายในเพื่อการตรวจสอบ ไม่แสดงต่อสาธารณะ

เมื่อครบกำหนด ข้อมูลจะถูกลบหรือทำให้ไม่สามารถระบุตัวตนได้ (anonymize) โดยอัตโนมัติ เว้นแต่จำเป็นต้องเก็บเพื่อปฏิบัติตามคำสั่งศาลหรือกฎหมาย

เราเปิดเผยข้อมูลส่วนบุคคลเฉพาะในกรณีดังต่อไปนี้:

Manabi ใช้บริการ Supabase (host บน AWS) ในการจัดเก็บข้อมูลส่วนบุคคล โดยเซิร์ฟเวอร์ตั้งอยู่ที่ ภูมิภาคเอเชียแปซิฟิก – โซล สาธารณรัฐเกาหลี (AWS ap-northeast-2)

ฐานทางกฎหมายในการส่งข้อมูลออกนอกประเทศไทย:

• สาธารณรัฐเกาหลีมี Personal Information Protection Act (PIPA) ตั้งแต่ปี 2554 ซึ่งกำหนดมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลในระดับที่เพียงพอเทียบเท่ากับ PDPA ไทย
• การส่งข้อมูลเป็นไปตามมาตรา 28 ของ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่อนุญาตให้ส่งข้อมูลไปยังประเทศที่มีมาตรฐานคุ้มครองข้อมูลเพียงพอ
• Supabase Inc. (ผู้ประมวลผลข้อมูล) มีมาตรการรักษาความปลอดภัยตามมาตรฐาน SOC 2 Type II และ ISO 27001
• ผู้ใช้สามารถถอนความยินยอมในการส่งข้อมูลออกนอกประเทศได้ตลอดเวลา โดยติดต่อ DPO ผ่าน แบบฟอร์มติดต่อ

รายละเอียดนโยบายความเป็นส่วนตัวของ Supabase: supabase.com/privacy

เราใช้มาตรการรักษาความปลอดภัยดังต่อไปนี้:

• การเข้ารหัส (Encryption at rest): ข้อมูลทั้งหมดในฐานข้อมูล ถูกเข้ารหัสด้วยมาตรฐาน AES-256
• HTTPS: การส่งข้อมูลทุกครั้งใช้ TLS 1.2 หรือสูงกว่า
• Password Hashing: รหัสผ่านทุกอันถูก hash ด้วย PBKDF2-SHA256 100,000 iterations ก่อนบันทึก เราไม่สามารถอ่านรหัสผ่านของคุณได้
• Row Level Security (RLS): การเข้าถึงข้อมูลในฐานข้อมูลถูกจำกัด ตามบทบาท (role) ของผู้ใช้แต่ละคน
• Access Control: พนักงาน Manabi เข้าถึงข้อมูลส่วนบุคคลได้ เฉพาะเท่าที่จำเป็นสำหรับการทำงาน (Principle of Least Privilege)

แม้เราจะใช้มาตรการที่เหมาะสม แต่ไม่มีระบบใดที่ปลอดภัย 100% หากพบการละเมิดข้อมูล เราจะแจ้งคุณและหน่วยงานที่เกี่ยวข้องภายในระยะเวลาที่กฎหมายกำหนด

คุณมีสิทธิ์ดังต่อไปนี้เกี่ยวกับข้อมูลส่วนบุคคลของคุณ:

เราใช้คุกกี้ 3 ประเภท:

เปลี่ยนตัวเลือกคุกกี้ของคุณ

เราอาจปรับปรุงนโยบายความเป็นส่วนตัวนี้เป็นครั้งคราว การเปลี่ยนแปลงที่มีนัยสำคัญจะแจ้งให้ทราบล่วงหน้า อย่างน้อย 30 วัน ผ่านทางอีเมล (สำหรับผู้ที่มีบัญชี) หรือแบนเนอร์บนเว็บไซต์

วันที่มีผลบังคับใช้ของนโยบายแสดงไว้ที่ด้านบนของหน้านี้ การใช้บริการต่อเนื่องหลังจากวันดังกล่าว ถือว่าคุณยอมรับนโยบายที่ปรับปรุงแล้ว

ติดต่อ DPO: หน้าติดต่อ

หากคุณเชื่อว่าสิทธิ์ของคุณถูกละเมิดและไม่ได้รับการแก้ไขจาก Manabi คุณมีสิทธิ์ร้องเรียนต่อ: