นโยบายความเป็นส่วนตัว

มีผลใช้บังคับตั้งแต่วันที่ 30 ตุลาคม 2569

บริษัท ไอแพนด้า จำกัด ผู้ให้บริการแพลตฟอร์ม AI Agent Builder ทางเว็บไซต์ ("เรา") https://ai-agent.ipandaappmaker.com และบริการที่เกี่ยวข้อง ("บริการ") ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลของท่าน นโยบายฉบับนี้อธิบายว่าเราเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของท่านอย่างไร ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ("PDPA") และกฎหมายที่เกี่ยวข้อง

1. ผู้ควบคุมข้อมูลส่วนบุคคลและช่องทางติดต่อ

• ผู้ควบคุมข้อมูลส่วนบุคคล: [ชื่อนิติบุคคลผู้ให้บริการ] เลขทะเบียนนิติบุคคล [เลขทะเบียน]
• ที่อยู่: [ที่อยู่สำนักงาน]
• เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): [อีเมล DPO]

2. บทบาทของเราต่อข้อมูลแต่ละประเภท

• เราเป็นผู้ควบคุมข้อมูลส่วนบุคคล สำหรับข้อมูลบัญชีผู้ใช้ ข้อมูลการเข้าใช้งาน และข้อมูลที่จำเป็นต่อการให้บริการแก่ท่านโดยตรง
• เราเป็นผู้ประมวลผลข้อมูลส่วนบุคคล สำหรับข้อมูลที่ท่านหรือองค์กรของท่านนำเข้าสู่แพลตฟอร์ม เช่น เอกสารในคลังความรู้ (Knowledge Base) ข้อความสนทนากับ Agent และข้อมูลที่ Agent ประมวลผลแทนท่าน ในกรณีนี้ ท่านหรือองค์กรของท่านเป็นผู้ควบคุมข้อมูลส่วนบุคคล และมีหน้าที่ดูแลให้มีฐานทางกฎหมายในการนำข้อมูลของบุคคลอื่นเข้าสู่บริการ

3. ข้อมูลส่วนบุคคลที่เราเก็บรวบรวม

1. ข้อมูลบัญชี: ชื่อ อีเมล รหัสผ่าน (จัดเก็บในรูปแบบแฮช ไม่สามารถถอดกลับได้) รูปโปรไฟล์ ภาษาและเขตเวลา
2. ข้อมูลการยืนยันตัวตนและความปลอดภัย: ข้อมูลการยืนยันตัวตนสองขั้นตอน (MFA) ประวัติการเข้าสู่ระบบ หมายเลข IP ประเภทอุปกรณ์และเบราว์เซอร์ และบันทึกการตรวจสอบ (Audit Log)
3. ข้อมูลการเชื่อมต่อบัญชีภายนอก: เมื่อท่านเลือกเชื่อมต่อบริการภายนอก (เช่น Facebook หรือบริการโซเชียลอื่น) เราได้รับข้อมูลเท่าที่ท่านอนุญาต เช่น ชื่อบัญชี รหัสผู้ใช้ และโทเคนการเข้าถึง
4. เนื้อหาที่ท่านนำเข้า: เอกสาร ไฟล์ รูปภาพ ข้อความ Prompt การตั้งค่า Agent ข้อความสนทนา และผลลัพธ์ที่ AI สร้างขึ้น
5. ข้อมูลลับที่ท่านบันทึก: เช่น API Key หรือรหัสผ่านของระบบภายนอกที่ท่านใช้กับ Agent ซึ่งเราจัดเก็บแบบเข้ารหัส
6. ข้อมูลการใช้งาน: สถิติการใช้งาน จำนวนครั้งการเรียกใช้ Agent และโมเดล ข้อผิดพลาดของระบบ
7. ข้อมูลการให้ความยินยอม: ฉบับของข้อกำหนดและนโยบายที่ท่านยอมรับ และวันเวลาที่ยอมรับ

เราไม่มีวัตถุประสงค์ในการเก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหว ตามมาตรา 26 ของ PDPA (เช่น เชื้อชาติ ความคิดเห็นทางการเมือง ความเชื่อทางศาสนา ข้อมูลสุขภาพ ข้อมูลชีวภาพ) หากท่านจำเป็นต้องนำข้อมูลดังกล่าวเข้าสู่บริการ ท่านต้องได้รับความยินยอมโดยชัดแจ้งจากเจ้าของข้อมูล หรือมีฐานทางกฎหมายอื่นตามที่กฎหมายกำหนด

4. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล

• สร้างและจัดการบัญชี ให้บริการตามที่ท่านร้องขอ (สร้าง ทดสอบ แชร์ และใช้งาน Agent, ประมวลผลเอกสารในคลังความรู้) — ฐานสัญญา (มาตรา 24(3))
• ยืนยันตัวตน รักษาความปลอดภัย ป้องกันการทุจริตและการใช้งานในทางที่ผิด — ฐานประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5))
• เก็บรักษาข้อมูลจราจรทางคอมพิวเตอร์ และปฏิบัติตามคำสั่งของหน่วยงานรัฐที่มีอำนาจ — ฐานการปฏิบัติตามกฎหมาย (มาตรา 24(6)) รวมถึงพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 และที่แก้ไขเพิ่มเติม
• ส่งอีเมลที่จำเป็นต่อบริการ เช่น ยืนยันอีเมล รีเซ็ตรหัสผ่าน คำเชิญเข้า Workspace และการแจ้งเปลี่ยนแปลงข้อกำหนด — ฐานสัญญา
• ปรับปรุงคุณภาพและเสถียรภาพของบริการ จากข้อมูลการใช้งานในระดับสถิติ — ฐานประโยชน์โดยชอบด้วยกฎหมาย
• ส่งข่าวสารและการตลาด (ถ้ามี) — ฐานความยินยอม (มาตรา 19) ซึ่งท่านถอนได้ทุกเมื่อ

เราไม่นำเนื้อหาที่ท่านนำเข้า (เอกสาร ข้อความสนทนา) ไปฝึกสอนโมเดล AI และไม่ขายข้อมูลส่วนบุคคลของท่านให้แก่บุคคลใด

5. การเปิดเผยข้อมูลส่วนบุคคล

เราอาจเปิดเผยข้อมูลส่วนบุคคลของท่านเท่าที่จำเป็นให้แก่

1. ผู้ให้บริการโมเดล AI (เช่น OpenRouter และผู้ให้บริการโมเดลที่ OpenRouter ส่งต่อคำขอ) เพื่อประมวลผลข้อความ เอกสาร และรูปภาพที่ท่านส่งให้ Agent
2. ผู้ให้บริการโครงสร้างพื้นฐาน เช่น ผู้ให้บริการเซิร์ฟเวอร์ ฐานข้อมูล และระบบส่งอีเมล ซึ่งทำหน้าที่ผู้ประมวลผลข้อมูลภายใต้สัญญาที่กำหนดหน้าที่ในการรักษาความลับและความปลอดภัย
3. บริการภายนอกที่ท่านเชื่อมต่อเอง เช่น แพลตฟอร์มโซเชียลมีเดีย หรือ API/MCP Server ที่ท่านตั้งค่าให้ Agent เรียกใช้ ซึ่งการประมวลผลของบริการเหล่านั้นอยู่ภายใต้นโยบายของผู้ให้บริการนั้น
4. สมาชิกใน Workspace หรือบุคคลที่ท่านแชร์ Agent ให้ ตามสิทธิ์ที่ท่านหรือผู้ดูแล Workspace กำหนด
5. หน่วยงานรัฐหรือบุคคลที่มีอำนาจตามกฎหมาย เมื่อมีหมายหรือคำสั่งโดยชอบด้วยกฎหมาย

6. การส่งหรือโอนข้อมูลไปต่างประเทศ

ผู้ให้บริการโมเดล AI และผู้ให้บริการโครงสร้างพื้นฐานบางรายตั้งอยู่นอกประเทศไทย เช่น สหรัฐอเมริกา ซึ่งอาจมีมาตรฐานการคุ้มครองข้อมูลแตกต่างจากประเทศไทย เราจะส่งข้อมูลไปต่างประเทศตามมาตรา 28 และมาตรา 29 ของ PDPA โดยอาศัยความจำเป็นเพื่อปฏิบัติตามสัญญาที่ท่านเป็นคู่สัญญา หรือจัดให้มีมาตรการคุ้มครองที่เหมาะสม เช่น ข้อสัญญามาตรฐานหรือนโยบายคุ้มครองข้อมูลของผู้รับข้อมูล และส่งเฉพาะข้อมูลที่จำเป็นต่อการประมวลผลคำขอนั้น

7. ระยะเวลาเก็บรักษาข้อมูล

• ข้อมูลบัญชีและเนื้อหาที่ท่านนำเข้า: ตลอดระยะเวลาที่บัญชียังใช้งาน และลบภายใน 90 วันหลังจากท่านลบบัญชีหรือลบเนื้อหานั้น เว้นแต่กฎหมายกำหนดให้เก็บนานกว่า
• ข้อมูลจราจรทางคอมพิวเตอร์: ไม่น้อยกว่า 90 วัน ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ฯ และอาจขยายได้ไม่เกิน 2 ปีเมื่อเจ้าพนักงานมีคำสั่ง
• บันทึกการตรวจสอบ (Audit Log) และหลักฐานการให้ความยินยอม: ตลอดระยะเวลาที่บัญชียังใช้งาน และไม่เกิน 10 ปีนับจากวันที่บัญชีสิ้นสุด เพื่อใช้ก่อตั้งสิทธิเรียกร้องหรือต่อสู้ข้อเรียกร้องตามกฎหมาย
• ข้อมูลสำรอง (Backup): ถูกเขียนทับตามรอบการสำรองข้อมูล

เมื่อพ้นระยะเวลาดังกล่าว เราจะลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้

8. คุกกี้และเทคโนโลยีที่คล้ายกัน

เราใช้เฉพาะคุกกี้ที่จำเป็นอย่างยิ่ง ต่อการทำงานของบริการ ได้แก่ คุกกี้รักษาสถานะการเข้าสู่ระบบ คุกกี้ป้องกันการโจมตีแบบ CSRF และการจดจำการตั้งค่าธีมของหน้าจอไว้ในเบราว์เซอร์ของท่าน คุกกี้เหล่านี้ไม่ต้องขอความยินยอม เพราะบริการไม่สามารถทำงานได้หากไม่มี หากในอนาคตเราใช้คุกกี้เพื่อการวิเคราะห์หรือการตลาด เราจะขอความยินยอมจากท่านก่อน

9. การรักษาความมั่นคงปลอดภัย

เราใช้มาตรการเชิงองค์กรและเชิงเทคนิคที่เหมาะสม ได้แก่ การเข้ารหัสการรับส่งข้อมูล (HTTPS/TLS) การแฮชรหัสผ่าน การเข้ารหัสข้อมูลลับขณะจัดเก็บ การแยกข้อมูลของแต่ละ Workspace การกำหนดสิทธิ์การเข้าถึงตามบทบาท การยืนยันตัวตนสองขั้นตอนสำหรับผู้ดูแลระบบ และการบันทึกการตรวจสอบ

หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่การละเมิดนั้นไม่มีความเสี่ยงที่จะมีผลกระทบต่อสิทธิและเสรีภาพของบุคคล และจะแจ้งท่านพร้อมแนวทางเยียวยาโดยไม่ชักช้าหากมีความเสี่ยงสูงต่อสิทธิและเสรีภาพของท่าน

10. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้ PDPA ท่านมีสิทธิดังต่อไปนี้

1. สิทธิในการเข้าถึงและขอรับสำเนา ข้อมูลส่วนบุคคลของท่าน (มาตรา 30)
2. สิทธิในการขอรับหรือโอนย้ายข้อมูล ในรูปแบบที่อ่านหรือใช้งานได้ด้วยเครื่องมืออัตโนมัติ (มาตรา 31)
3. สิทธิในการคัดค้าน การประมวลผลข้อมูล (มาตรา 32)
4. สิทธิในการขอให้ลบหรือทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ (มาตรา 33)
5. สิทธิในการขอให้ระงับการใช้ ข้อมูล (มาตรา 34)
6. สิทธิในการขอแก้ไข ข้อมูลให้ถูกต้อง เป็นปัจจุบัน และสมบูรณ์ (มาตรา 35)
7. สิทธิในการถอนความยินยอม ได้ทุกเมื่อ โดยไม่กระทบการประมวลผลที่ได้ทำไปแล้วก่อนการถอน (มาตรา 19)
8. สิทธิในการร้องเรียน ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากเห็นว่าเราไม่ปฏิบัติตามกฎหมาย

ท่านแก้ไขข้อมูลบัญชีบางส่วนได้เองในหน้าตั้งค่าบัญชี หรือส่งคำขอใช้สิทธิมาที่ [อีเมล DPO] เราอาจขอข้อมูลเพื่อยืนยันตัวตนก่อนดำเนินการ และจะตอบกลับภายใน 30 วันนับแต่ได้รับคำขอ เราอาจปฏิเสธคำขอได้ในกรณีที่กฎหมายกำหนด โดยจะแจ้งเหตุผลให้ท่านทราบ

สำหรับข้อมูลที่เราประมวลผลในฐานะผู้ประมวลผลข้อมูลแทนองค์กรของท่าน (ข้อ 2) โปรดติดต่อองค์กรนั้นโดยตรง เราจะให้ความช่วยเหลือองค์กรในการตอบสนองคำขอตามสมควร

11. ข้อมูลส่วนบุคคลของผู้เยาว์

บริการนี้มีไว้สำหรับผู้ที่บรรลุนิติภาวะแล้ว หากท่านเป็นผู้เยาว์ ท่านต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองก่อนสมัครใช้บริการ ตามมาตรา 20 ของ PDPA หากเราทราบว่ามีการเก็บข้อมูลของผู้เยาว์โดยไม่ได้รับความยินยอมดังกล่าว เราจะลบข้อมูลนั้นโดยเร็ว

12. การเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายนี้เป็นครั้งคราว โดยจะแสดงวันที่ปรับปรุงล่าสุดไว้ในหน้านี้ หากเป็นการเปลี่ยนแปลงที่มีนัยสำคัญ เราจะแจ้งให้ท่านทราบล่วงหน้าทางอีเมลหรือผ่านบริการ และขอความยินยอมใหม่ในกรณีที่กฎหมายกำหนด