Nooki (“บริการ”) ดำเนินการโดย [ชื่อบริษัทหรือบุคคลผู้ให้บริการ] (“เรา”) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคลตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) นโยบายนี้อธิบายว่าเราเก็บข้อมูลอะไร ใช้ทำอะไร เก็บนานเท่าไร และคุณมีสิทธิ์อะไรบ้าง
1. ข้อมูลที่เราเก็บและเหตุผล
| ข้อมูล | ใช้เพื่อ | ฐานทางกฎหมาย | เก็บนานเท่าไร |
|---|---|---|---|
| อีเมล, รหัสผ่าน (เก็บเป็นค่าแฮช ไม่เก็บตัวรหัสผ่าน), ชื่อที่แสดง | สร้างบัญชีและยืนยันตัวตน, ส่งอีเมลตั้งรหัสผ่านใหม่ | การปฏิบัติตามสัญญา | จนกว่าคุณจะลบบัญชี |
| ตัวละคร (ทรงผม เสื้อผ้า สี) | แสดงตัวคุณในโลก | การปฏิบัติตามสัญญา | จนกว่าคุณจะลบบัญชี |
| โลกที่คุณสร้างหรือเข้าร่วม และบทบาทในโลกนั้น | ให้บริการพื้นที่และจัดการสิทธิ์ | การปฏิบัติตามสัญญา | จนกว่าคุณจะออกจากโลก ลบโลก หรือลบบัญชี |
| ข้อความแชตและเวลาที่ส่ง | แสดงบทสนทนาและประวัติแชตในโลก | การปฏิบัติตามสัญญา | 365 วัน ข้อความที่ถูกลบจะถูกซ่อนทันที และลบถาวรภายใน 30 วัน |
| สิ่งที่คุณวาดหรือโน้ตที่แปะบนกระดาน (Whiteboard) ในโลก | ให้ทุกคนในห้องเห็นตรงกัน และกลับมาดูต่อได้ | การปฏิบัติตามสัญญา | 365 วัน หรือจนกว่าคุณหรือผู้ดูแลห้องจะลบ |
| ตำแหน่งและทิศทางของตัวละครในแผนที่ | แสดงให้คนอื่นเห็นว่าคุณอยู่ตรงไหน | การปฏิบัติตามสัญญา | ไม่บันทึกลงฐานข้อมูล เก็บในหน่วยความจำขณะออนไลน์ และจำตำแหน่งล่าสุดไว้ 5 นาทีหลังออก |
| เซสชันเข้าสู่ระบบ: IP address, ข้อมูลเบราว์เซอร์ (user agent), คุกกี้เซสชัน | รักษาการเข้าสู่ระบบ ป้องกันการใช้งานผิดปกติ | ประโยชน์โดยชอบด้วยกฎหมาย (ความปลอดภัย) | 30 วัน หรือจนกว่าจะออกจากระบบ |
| รายงานพฤติกรรม (รวมสำเนาข้อความที่ถูกรายงาน) และบันทึกการดูแลของผู้ดูแลโลก | ดูแลความปลอดภัยของชุมชน | ประโยชน์โดยชอบด้วยกฎหมาย | 365 วันหลังปิดรายงาน |
| รายชื่อผู้ใช้ที่คุณบล็อก | ซ่อนแชตของผู้ใช้เหล่านั้นจากคุณ | การปฏิบัติตามสัญญา | จนกว่าจะเลิกบล็อกหรือลบบัญชี |
| เวอร์ชันของเอกสารนี้และเวลาที่คุณยอมรับ | เป็นหลักฐานการแจ้งและการยอมรับ | หน้าที่ตามกฎหมาย | จนกว่าคุณจะลบบัญชี |
เราไม่เก็บเสียงหรือวิดีโอ ไม่ใช้ข้อมูลเพื่อโฆษณา และไม่ขายข้อมูลส่วนบุคคล ลิงก์เชิญที่หมดอายุหรือถูกเพิกถอนจะถูกลบภายใน 30 วัน
2. ใครเห็นข้อมูลของคุณบ้าง
- คนที่อยู่ในโลกเดียวกัน: ชื่อที่แสดง ตัวละคร ตำแหน่งในแผนที่ สถานะออนไลน์ และข้อความแชตที่คุณส่งในโลกนั้น
- เจ้าของและผู้ดูแลโลก: รายชื่อสมาชิกและบทบาท รวมถึงรายงานที่ส่งเข้ามาในโลกของเขา (ชื่อผู้รายงานจะเห็นได้เฉพาะผู้ดูแลเท่านั้น ไม่แสดงต่อผู้ถูกรายงาน)
- อีเมลของคุณไม่แสดงต่อผู้ใช้คนอื่น
3. คุกกี้
เราใช้เฉพาะคุกกี้ที่จำเป็นสำหรับการเข้าสู่ระบบ (คุกกี้เซสชัน) ไม่มีคุกกี้โฆษณาหรือคุกกี้ติดตามจากบุคคลที่สาม เบราว์เซอร์อาจจำค่าบางอย่างของหน้าเว็บไว้ในเครื่องของคุณ ซึ่งไม่ได้ส่งกลับมาหาเรา
4. ผู้ให้บริการที่ประมวลผลข้อมูลแทนเรา
เราใช้ผู้ให้บริการภายนอกเพื่อให้บริการทำงานได้ โดยให้เขาประมวลผลข้อมูลตามคำสั่งของเราเท่านั้น:
- โฮสติ้งเว็บและ API: [ระบุ เช่น Vercel]
- ฐานข้อมูล: [ระบุ เช่น Neon]
- เซิร์ฟเวอร์เรียลไทม์: [ระบุผู้ให้บริการ]
- ระบบจำกัดอัตราการใช้งาน: [ระบุ เช่น Upstash] (เก็บแค่ตัวนับชั่วคราว)
- ส่งอีเมล: [ระบุ เช่น Resend]
ผู้ให้บริการบางรายอาจเก็บข้อมูลบนเซิร์ฟเวอร์นอกประเทศไทย เราจะเลือกผู้ให้บริการที่มีมาตรการคุ้มครองข้อมูลที่เพียงพอตามที่ PDPA กำหนด
5. การรักษาความปลอดภัย
ข้อมูลรับส่งผ่าน HTTPS รหัสผ่านถูกแฮชก่อนจัดเก็บ ลิงก์เชิญเก็บเฉพาะค่าแฮช และการเข้าถึงข้อมูลในโลกถูกตรวจสิทธิ์ทุกครั้งที่ฝั่งเซิร์ฟเวอร์ หากเกิดเหตุละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยง เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง และแจ้งผู้ได้รับผลกระทบตามที่กฎหมายกำหนด
6. สิทธิ์ของคุณ
- ขอเข้าถึงและรับสำเนาข้อมูล และขอให้โอนย้ายข้อมูลในรูปแบบที่อ่านด้วยเครื่องได้: กด “ดาวน์โหลดข้อมูลของฉัน” ในหน้า บัญชี (ไฟล์ JSON)
- แก้ไขข้อมูล: เปลี่ยนชื่อและตัวละครได้ทุกเมื่อ
- ลบข้อมูล: ลบบัญชีได้เองในหน้า บัญชี ระบบจะลบบัญชี สมาชิกภาพ ข้อความ และโลกที่คุณเป็นเจ้าของทันที
- คัดค้าน ขอระงับการใช้ หรือถอนความยินยอม: ติดต่อเราตามช่องทางด้านล่าง
- ร้องเรียน ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากเห็นว่าเราไม่ปฏิบัติตามกฎหมาย
เราจะตอบคำขอภายใน 30 วัน
7. ผู้เยาว์
[กำหนดอายุขั้นต่ำ เช่น ผู้ใช้ต้องมีอายุ 13 ปีขึ้นไป และผู้ที่อายุต่ำกว่า 20 ปีควรได้รับความยินยอมจากผู้ปกครอง ตามคำแนะนำของที่ปรึกษากฎหมาย]
8. การเปลี่ยนแปลงนโยบาย
หากเปลี่ยนแปลงสาระสำคัญ เราจะแจ้งในบริการและปรับเวอร์ชันของเอกสาร เวอร์ชันที่คุณยอมรับตอนสมัครถูกบันทึกไว้ในบัญชีของคุณ
9. ติดต่อเรา
[ชื่อบริษัทหรือบุคคลผู้ให้บริการ] · [ที่อยู่ติดต่อ]
อีเมล: [privacy@your-domain] · เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล: [dpo@your-domain หรือ ใช้อีเมลเดียวกับด้านบน]