เราเก็บข้อมูลเฉพาะที่จำเป็น และจะอธิบายให้คุณทราบทุกอย่าง

เราคือ บริษัท OneDigiTech จำกัด บริษัทไทยที่ดำเนินการ OneEA - Enterprise AI Transformation ที่ oneai-studio.web.app เราถือว่าข้อมูลส่วนบุคคลของคุณเป็นความรับผิดชอบ ไม่ใช่ทรัพย์สินที่จะนำไปใช้หากำไร

เราเก็บเฉพาะข้อมูลที่จำเป็นต่อการใช้งาน — ข้อมูลบัญชี, เนื้อหาที่คุณสร้าง (blueprint, ความคืบหน้า lab, บทสนทนากับ AI Tutor) และ log ทางเทคนิคที่ใช้รักษาความเสถียรและความปลอดภัยของระบบ เราไม่ขายข้อมูลส่วนบุคคล และไม่นำข้อมูลขององค์กรของคุณไปใช้ฝึก AI ภายนอก

ส่วนที่เหลือของนโยบายฉบับนี้จะอธิบายแต่ละหัวข้อโดยละเอียด — รวมถึงผู้ให้บริการภายนอกที่เกี่ยวข้อง (Google Firebase, Google Gemini), สถานที่จัดเก็บ, ระยะเวลาเก็บข้อมูล และสิทธิที่คุณสามารถใช้ได้ตลอดเวลา

ผู้ควบคุมข้อมูลส่วนบุคคล: บริษัท OneDigiTech จำกัด จดทะเบียนในประเทศไทย สำนักงานใหญ่ตั้งอยู่ที่กรุงเทพมหานคร

เรื่องเกี่ยวกับความเป็นส่วนตัวทุกอย่าง — คำถาม, ร้องเรียน, หรือใช้สิทธิ — ติดต่อ privacy@onedigitech.cc สำหรับการสนับสนุนทั่วไป ติดต่อ hello@onedigitech.cc

หากคุณเป็นลูกค้าองค์กรที่มีสัญญากับเรา องค์กรของคุณคือผู้ควบคุมข้อมูล (Controller) สำหรับเนื้อหาที่อัปโหลดเข้า tenant ขององค์กร และ OneDigiTech ทำหน้าที่เป็นผู้ประมวลผล (Processor) ตาม PDPA มาตรา 40 / GDPR Article 28

เราเก็บข้อมูลเท่าที่จำเป็น รายการต่อไปนี้คือทุกประเภทที่เราเก็บ ณ วันที่นโยบายนี้มีผลบังคับใช้

ภายใต้ PDPA และ GDPR เราต้องมีฐานทางกฎหมายในการประมวลผลข้อมูลทุกกิจกรรม เรายึดตามฐานต่อไปนี้:

• สัญญา (PDPA ม.24(3) / GDPR Art.6(1)(b)) — เพื่อให้บริการตามที่คุณสมัคร: ยืนยันตัวตน, บันทึกงาน, รัน AI Tutor, ออก certificate
• ประโยชน์โดยชอบด้วยกฎหมาย (PDPA ม.24(5) / GDPR Art.6(1)(f)) — รักษาความปลอดภัย, ป้องกันการใช้งานในทางที่ผิด, แก้ bug และปรับปรุงคุณภาพผ่าน analytics แบบ anonymise เราได้ชั่งน้ำหนักประโยชน์เหล่านี้กับสิทธิของคุณแล้วและเห็นว่าได้สัดส่วน
• หน้าที่ตามกฎหมาย (PDPA ม.24(6) / GDPR Art.6(1)(c)) — เก็บข้อมูลตามที่กฎหมายไทยกำหนด, ตอบสนองคำขอที่ชอบด้วยกฎหมายของหน่วยงานรัฐ และดำเนินการตามภาระภาษีหรือบัญชี
• ความยินยอม (PDPA ม.19 / GDPR Art.6(1)(a)) — สำหรับการประมวลผลที่ไม่จำเป็นอย่างยิ่ง เช่น รับข่าวสารผลิตภัณฑ์ทางอีเมล — ถอนความยินยอมได้ตลอดเวลาโดยไม่กระทบบริการ

เราใช้ Google Gemini (model: gemini-2.5-flash สำหรับ chat; gemini-embedding-001 สำหรับ retrieval) เป็นผู้ให้บริการ AI เมื่อคุณส่งข้อความถึง AI Tutor ข้อมูลต่อไปนี้จะถูกส่งไปยัง Gemini ผ่าน Google Cloud enterprise API:

• Prompt ของคุณและบริบทบทสนทนาล่าสุด
• ส่วนของเนื้อหา Enterprise AI ที่เกี่ยวข้อง (คอร์ส, lab, blueprint) ที่ retrieve มาเพื่อให้ AI ตอบโดยอ้างอิงเนื้อหาจริง — เป็นบริบทของ tenant ของคุณ ไม่ใช่ข้อมูลของผู้ใช้คนอื่น
• System prompt ที่อธิบายบทบาทและข้อจำกัดของ assistant

เราไม่ส่ง password, ข้อมูลการชำระเงิน หรือข้อมูลส่วนบุคคลที่อ่อนไหวไปยัง Gemini หากคุณ paste เนื้อหาที่อ่อนไหวลงใน Tutor มันจะถูกส่งเป็นส่วนของ prompt — กรุณาหลีกเลี่ยงการ paste secret หรือข้อมูลที่ระบุตัวบุคคลซึ่งไม่เกี่ยวกับคำถาม

คำตอบของ AI ถูกสร้างขึ้นโดยอัตโนมัติ อาจมีข้อผิดพลาด, hallucination หรือมุมมองที่ลำเอียง — อย่าถือเป็นคำแนะนำทางกฎหมาย, การแพทย์, การเงิน หรือ compliance โปรดอ่านเงื่อนไขการใช้บริการของเราเพิ่มเติม

เราใช้ผู้ให้บริการ infrastructure ที่เชื่อถือได้จำนวนน้อย แต่ละรายผูกพันด้วยข้อตกลงประมวลผลข้อมูล และประมวลผลตามคำสั่งของเราเท่านั้น:

OneEA - Enterprise AI Transformation ส่วนใหญ่ stateless ฝั่ง server เราใช้ localStorage ของ browser และ cookie จำเป็นเล็กน้อย — ไม่มี advertising cookie จาก third-party

• Token ยืนยันตัวตน (Firebase ID token) เก็บใน localStorage — จำเป็นต่อการเข้าระบบ
• การตั้งค่า theme (light/dark) และ locale (ไทย/อังกฤษ) — ตกแต่งล้วน คุณตั้งเอง
• CSRF nonce อายุสั้นสำหรับ Cloud Function ที่อ่อนไหว
• Cache ของ service worker (หากติดตั้งเป็น PWA) — cache เฉพาะ asset สาธารณะ ไม่มีข้อมูลส่วนบุคคล

การล้าง storage ของ browser จะทำให้คุณออกจากระบบและรีเซ็ตการตั้งค่า แต่จะไม่ลบบัญชีหรือเนื้อหา

เราไม่ขายข้อมูลส่วนบุคคล เราเปิดเผยข้อมูลเฉพาะกรณีจำกัดต่อไปนี้:

• ให้ผู้ประมวลผลที่ระบุไว้ข้างต้น เฉพาะเพื่อให้บริการตามที่คุณร้องขอ
• ภายใน tenant ขององค์กรของคุณ — สมาชิกอื่นใน tenant เห็นเนื้อหาที่คุณ publish ไปยังพื้นที่ที่แชร์ได้ (เช่น composition ระดับองค์กร) เนื้อหาส่วนตัว (ความคืบหน้า lab ส่วนบุคคล, ประวัติ Tutor) ไม่ถูกแชร์
• เมื่อกฎหมายกำหนด — ตอบสนองคำสั่งศาล, คำขอจากหน่วยงานกำกับดูแล หรือกระบวนการทางกฎหมายของรัฐบาลไทย เราจะแจ้งให้ผู้ที่ได้รับผลกระทบทราบเมื่อกฎหมายอนุญาต
• เพื่อปกป้องสิทธิ — ตรวจจับ, สืบสวน หรือป้องกันการฉ้อโกง, การใช้งานในทางที่ผิด, การละเมิดความปลอดภัย หรือภัยคุกคามต่อความปลอดภัย เราเปิดเผยเท่าที่จำเป็นเท่านั้น
• ในการโอนกิจการ — หาก OneDigiTech ถูกซื้อหรือควบรวม ข้อมูลส่วนบุคคลอาจโอนเป็นส่วนหนึ่งของดีล โดยมีการคุ้มครองในระดับเทียบเท่าและแจ้งให้คุณทราบล่วงหน้า

ภูมิภาคประมวลผลหลักคือสิงคโปร์ (asia-southeast1) ผู้ประมวลผลบางรายอาจส่งทราฟฟิกผ่านภูมิภาคอื่นเพื่อ resilience หรือให้บริการผู้ใช้ทั่วโลก

เมื่อข้อมูลส่วนบุคคลออกนอกประเทศไทย เรายึดกลไกการโอนข้ามประเทศที่ PDPA ม.28 อนุญาต: ความยินยอมที่ชัดแจ้งสำหรับการโอนไปยังประเทศที่ไม่มี adequacy decision, มาตรการสัญญาเทียบเท่ามาตรฐาน PDPA หรือการประมวลผลที่จำเป็นต่อสัญญาที่คุณมีกับเรา

สำหรับผู้ใช้ใน EU/EEA เรายึด Standard Contractual Clauses (SCCs) ของ European Commission เมื่อจำเป็น

เราเก็บข้อมูลส่วนบุคคลเท่าที่จำเป็นต่อวัตถุประสงค์ที่เก็บมา จากนั้นจะลบหรือ anonymise ตารางเฉพาะ:

• ข้อมูลบัญชีที่ใช้งานอยู่ — เก็บตราบเท่าที่บัญชียัง active
• บัญชีที่ไม่ใช้งาน — ลบอัตโนมัติเมื่อไม่ login เกิน 24 เดือน หลังจากช่วงผ่อนผัน 30 วันที่เราจะส่งอีเมลเตือน
• ประวัติ AI Tutor — เก็บ 90 วันเป็น default; คุณลบบทสนทนาเฉพาะรายการได้ตลอดเวลาจากหน้าประวัติ Tutor
• Log ของ application และ security audit trail — เก็บ 12 เดือน เพื่อการสืบสวน security และป้องกัน abuse
• Backup — เก็บแบบเข้ารหัส 30 วันเพื่อ disaster recovery แล้วลบถาวร
• เอกสารตามที่กฎหมายภาษี/บัญชีของไทยกำหนด — เก็บตามระยะเวลาที่กฎหมายระบุ (ปัจจุบัน 5 ปีนับจากสิ้นรอบบัญชี)

เราปฏิบัติตามมาตรฐานความปลอดภัยในอุตสาหกรรมและมาตรการทางเทคนิคที่ PDPA มาตรา 37 กำหนด:

• เข้ารหัสระหว่างการส่ง (TLS 1.2+ ในทุก endpoint)
• เข้ารหัสขณะเก็บ สำหรับ Firestore, Cloud Functions secret และ backup (Google-managed AES-256)
• การแยกแยะ multi-tenant ที่ระดับ data layer (tenantId scoping + Firestore Security Rules)
• Role-Based Access Control (RBAC) สำหรับพนักงานภายใน ตามหลัก least privilege
• Secret ที่อ่อนไหวเก็บใน Google Secret Manager — ไม่อยู่ใน source code หรือ environment file ที่ commit ลง git
• Monitoring แบบต่อเนื่องเพื่อตรวจจับ access pattern ผิดปกติ และ alert อัตโนมัติเมื่อเกิด security event
• Vulnerability scan dependency ในทุก build และ patch CVE ที่รู้แล้วโดยเร็ว

ไม่มีระบบใดปลอดภัย 100% หากเราพบว่าเกิดเหตุละเมิดข้อมูลที่ส่งผลกระทบต่อคุณ เราจะแจ้งคุณและสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส./PDPC) ภายใน 72 ชั่วโมงหลังทราบเหตุ ตามที่ PDPA มาตรา 37(4) กำหนด

คุณมีสิทธิต่อไปนี้เกี่ยวกับข้อมูลส่วนบุคคล หากต้องการใช้สิทธิใด อีเมลมาที่ privacy@onedigitech.cc — เราจะตรวจสอบตัวตน, ตอบกลับภายใน 7 วันทำการ และดำเนินการให้แล้วเสร็จภายใน 30 วันตามที่กฎหมายกำหนด

• สิทธิเข้าถึง (PDPA ม.30) — ขอสำเนาข้อมูลส่วนบุคคลของคุณที่เราเก็บไว้
• สิทธิแก้ไข (ม.36) — แก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่ครบถ้วน
• สิทธิลบ (ม.33) — ขอลบบัญชีและข้อมูลส่วนบุคคล ภายใต้ข้อจำกัดทางกฎหมาย
• สิทธิระงับการใช้ (ม.34) — ขอให้ระงับการประมวลผลระหว่างที่ข้อร้องเรียนยังไม่จบ
• สิทธิให้โอนย้ายข้อมูล (ม.31) — รับข้อมูลของคุณในรูปแบบ structured ที่ใช้กันทั่วไป และส่งต่อไปยังผู้ควบคุมรายอื่น
• สิทธิคัดค้าน (ม.32) — คัดค้านการประมวลผลที่ใช้ฐานประโยชน์โดยชอบ หรือเพื่อการตลาดทางตรง
• สิทธิถอนความยินยอม (ม.19) — สำหรับการประมวลผลที่ใช้ฐานความยินยอม ถอนได้ตลอดเวลาโดยไม่กระทบการประมวลผลก่อนหน้าที่ชอบด้วยกฎหมาย
• สิทธิร้องเรียน — ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) หรือหน่วยกำกับดูแลในประเทศของคุณ (สำหรับ EU/EEA)

OneEA - Enterprise AI Transformation มีไว้สำหรับผู้เรียนระดับองค์กร และไม่ได้มุ่งไปที่เด็กอายุต่ำกว่า 13 ปี เราไม่จงใจเก็บข้อมูลส่วนบุคคลจากบุคคลอายุต่ำกว่า 13

หากคุณอายุระหว่าง 13 ถึง 20 ปี (อายุบรรลุนิติภาวะตามกฎหมายไทย) และยังไม่สมรส เราอาจขอความยินยอมจากผู้ปกครองหรือผู้แทนโดยชอบธรรมก่อนอนุญาตการใช้งานเกินกว่าการเรียกดูเบื้องต้น ตามที่ PDPA มาตรา 20 กำหนด

หากคุณเชื่อว่าเราเก็บข้อมูลจากเด็กโดยไม่มีความยินยอมที่ถูกต้อง ติดต่อ privacy@onedigitech.cc และเราจะลบให้

เราไม่ใช้ข้อมูลส่วนบุคคลในการตัดสินใจอัตโนมัติที่ก่อให้เกิดผลทางกฎหมายหรือผลกระทบสำคัญที่คล้ายกัน (เช่น credit scoring หรือผลการจ้างงาน)

AI Tutor สร้างคำแนะนำและเนื้อหาการเรียนรู้ แต่คุณยังคงควบคุม — ไม่มีผลลัพธ์ใดที่ถูกนำไปดำเนินการแทนคุณหรือจำกัดสิทธิการเข้าถึงบริการ

หากเราจะเริ่มใช้การตัดสินใจอัตโนมัติเมื่อใด เราจะอัปเดตนโยบายนี้และขอความยินยอมที่ชัดแจ้งจากคุณตามที่กฎหมายกำหนด

เราอาจอัปเดตนโยบายนี้เพื่อสะท้อนการเปลี่ยนแปลงในกฎหมาย, แนวปฏิบัติ หรือบริการ เมื่อมีการเปลี่ยนแปลงสำคัญ เราจะ:

• อัปเดตวันที่ "ปรับปรุงล่าสุด" ด้านบนของหน้านี้
• แสดง notice ใน app และส่งอีเมลถึงผู้ใช้ที่ active ล่วงหน้าอย่างน้อย 30 วันก่อนการเปลี่ยนแปลงมีผลบังคับใช้
• หากการเปลี่ยนแปลงต้องการความยินยอมใหม่ จะขอความยินยอมก่อนที่จะใช้กับบัญชีของคุณ

สำหรับคำถาม, ข้อร้องเรียน หรือคำขอใช้สิทธิเรื่องความเป็นส่วนตัว ติดต่อเจ้าหน้าที่คุ้มครองข้อมูล (DPO) ที่ privacy@onedigitech.cc เราตั้งเป้าตอบรับทุกคำขอภายใน 3 วันทำการ

ที่อยู่ทางไปรษณีย์: บริษัท OneDigiTech จำกัด กรุงเทพมหานคร ประเทศไทย ดูที่อยู่จดทะเบียนแบบละเอียดได้ที่หน้า contact บนเว็บบริษัท

หากคุณไม่พอใจกับการตอบกลับของเรา คุณสามารถยื่นร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ที่ https://www.pdpc.or.th หรือหน่วยกำกับดูแลในประเทศของคุณ