ประกาศความเป็นส่วนตัว

1. ผู้ควบคุมข้อมูลและขอบเขต

[ชื่อ-นามสกุลผู้ประกอบการ] ทะเบียนพาณิชย์เลขที่ [เลขทะเบียนพาณิชย์] สำนักงานอยู่ที่ [ที่อยู่สำนักงานและที่อยู่รับหนังสือ] เป็นผู้ควบคุมข้อมูลส่วนบุคคลสำหรับบริการ Beyond ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“PDPA”)

ประกาศนี้ใช้กับผู้เยี่ยมชม ผู้สั่งซื้อ สมาชิก ผู้เข้าร่วม Challenge ผู้รับของรางวัล และผู้ที่ติดต่อเรา หากบริการของบุคคลภายนอกที่คุณเลือกใช้ เช่น แอปออกกำลังกาย มีประกาศความเป็นส่วนตัวของตนเอง โปรดอ่านประกาศของบุคคลนั้นเพิ่มเติม

2. ข้อมูลที่เราเก็บ

• บัญชีและตัวตน: ชื่อ-นามสกุล ชื่อที่ใช้แสดง อีเมล โทรศัพท์ รหัสผู้ใช้ สถานะการยืนยันอีเมล และรหัสผ่านซึ่งผู้ให้บริการยืนยันตัวตนเก็บในรูปที่เข้ารหัสแล้ว เราไม่เห็นรหัสผ่านของคุณ
• การเข้าร่วม Challenge: แพ็กเกจ หมายเลข BIB ตัวละครที่เลือก แรงจูงใจในการวิ่งที่เลือก และสถานะการเข้าร่วม
• คำสั่งซื้อและการติดต่อ: เลขคำสั่งซื้อ Challenge ราคา สถานะ หลักฐานการยอมรับเอกสาร (เวอร์ชันและเวลา) คำขอคืนเงินและเหตุผล ประวัติการติดต่อ และคำขอรับความช่วยเหลือ
• การชำระเงิน: วิธีและสถานะการชำระ ยอด วันเวลา เลขอ้างอิง สลิปซึ่งอาจมีชื่อผู้โอนหรือเลขบัญชีบางส่วน และบัญชีที่ใช้รับเงินคืน เราไม่ขอ PIN, OTP หรือรหัสผ่านธนาคาร
• กิจกรรมและผลลัพธ์: ประเภท วันที่ ระยะทาง ระยะเวลา บันทึก ภาพหลักฐาน ผลที่ส่งเพื่อคิดคะแนน เครดิต ความคืบหน้า คะแนน อันดับ รางวัลที่ปลดล็อก และค่าประมาณ เช่น จำนวนก้าวหรือแคลอรีที่ระบบคำนวณจากระยะทาง
• การจัดส่ง: ชื่อผู้รับ โทรศัพท์ ที่อยู่ ขนาดเสื้อ (ถ้ามี) บริษัทขนส่ง หมายเลขติดตาม และสถานะพัสดุ
• ข้อมูลเทคนิคและความปลอดภัย: IP address อุปกรณ์ เบราว์เซอร์ คุกกี้ที่จำเป็น สัญญาณป้องกันบอต เวลาใช้งาน บันทึกเหตุการณ์ และ audit log
• การใช้สิทธิและความยินยอม: คำขอ หลักฐานยืนยันตัวตน การตอบกลับ เวอร์ชันข้อความ และเวลาที่ให้หรือถอนความยินยอม

บริการรุ่นปัจจุบันไม่ร้องขอพิกัด GPS หรือเส้นทางจริง อย่างไรก็ดี ไฟล์ภาพที่อัปโหลดถูกเก็บตามต้นฉบับ ซึ่งอาจมี metadata เช่น พิกัดที่ถ่ายภาพ รุ่นอุปกรณ์ และเวลา โปรดปิดการบันทึกตำแหน่งในกล้อง หรือส่งเป็นภาพหน้าจอซึ่งโดยทั่วไปไม่มีพิกัด เจ้าหน้าที่ใช้ไฟล์เพื่อตรวจสอบตามวัตถุประสงค์ในประกาศนี้เท่านั้น

3. ข้อมูลอ่อนไหวและข้อมูลสุขภาพ

เราไม่ขอข้อมูลอ่อนไหวตามมาตรา 26 PDPA เช่น ข้อมูลสุขภาพ ความพิการ หรือข้อมูลชีวภาพ วันที่ ระยะทาง และเวลาของกิจกรรมที่เราใช้คำนวณผลไม่ใช่ข้อมูลสุขภาพในตัวเอง ส่วนแรงจูงใจที่คุณเลือก เช่น “Health” ใช้เพื่อปรับข้อความในบริการเท่านั้น ไม่ใช้ประเมินหรืออนุมานภาวะสุขภาพของคุณ

ภาพหน้าจอจากแอปหรืออุปกรณ์ออกกำลังกายมักแสดงอัตราการเต้นของหัวใจ แคลอรี หรือข้อมูลร่างกายอื่น โปรดครอปหรือปิดบังก่อนส่ง หากภาพที่ส่งยังมีข้อมูลดังกล่าว เจ้าหน้าที่จะใช้ภาพเพื่อตรวจวันที่ ระยะทาง และเวลาเท่านั้น จะไม่คัดลอกข้อมูลสุขภาพนั้นลงในระบบ และไม่นำไปใช้หรือเปิดเผยเพื่อวัตถุประสงค์อื่น โดยตัวภาพจะถูกลบตามระยะเวลาในข้อ 10

หากในอนาคตเราจำเป็นต้องประมวลผลข้อมูลอ่อนไหว เราจะขอความยินยอมโดยชัดแจ้งแยกจากข้อกำหนดการใช้บริการก่อนเริ่ม และการไม่ให้ความยินยอมจะไม่กระทบการใช้บริการหลัก เราไม่บังคับความยินยอมด้านการตลาดหรือการเผยแพร่ต่อสาธารณะเพื่อแลกกับบริการหลัก

4. แหล่งที่มา ข้อมูลที่จำเป็น และผลหากไม่ให้

เราได้รับข้อมูลจากคุณโดยตรง จากการทำงานของระบบ จากผู้ให้บริการโครงสร้างพื้นฐานในข้อ 8 จากธนาคารเท่าที่จำเป็นต่อการยืนยันรายการ จากบริษัทขนส่ง และจากเจ้าหน้าที่ซึ่งบันทึกผลการตรวจสอบ หากผู้อื่นสั่งซื้อหรือกรอกที่อยู่จัดส่งแทนคุณ เราได้รับข้อมูลของคุณจากผู้นั้น

ชื่อ อีเมล โทรศัพท์ ที่อยู่จัดส่ง ข้อมูลการชำระ และข้อมูลกิจกรรมจำเป็นต่อการทำสัญญาและให้บริการ หากไม่ให้ เราอาจสร้างคำสั่งซื้อ ตรวจการชำระ เปิดใช้งานสมาชิก คำนวณความคืบหน้า หรือจัดส่งของรางวัลไม่ได้ ภาพหลักฐานจำเป็นเฉพาะเมื่อ Challenge กำหนด ส่วนคุกกี้ที่ไม่จำเป็นและการตลาดเป็นทางเลือก

5. วัตถุประสงค์และฐานกฎหมาย

การปฏิบัติตามสัญญาและขั้นตอนก่อนทำสัญญา (มาตรา 24(3))

แสดง Challenge สร้างและดูแลคำสั่งซื้อ ตรวจการชำระ เปิดใช้งานสมาชิก คำนวณความคืบหน้า แสดงตารางอันดับแก่ผู้ร่วม Challenge มอบรางวัล จัดส่ง ส่งอีเมลที่จำเป็นต่อบริการ และช่วยเหลือลูกค้า

หน้าที่ตามกฎหมาย (มาตรา 24(6))

จัดทำและเก็บเอกสารบัญชีและภาษี ปฏิบัติตามกฎหมายคุ้มครองผู้บริโภค เก็บข้อมูลจราจรคอมพิวเตอร์ และตอบคำสั่งของหน่วยงานที่มีอำนาจ

ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5))

รักษาความปลอดภัย ป้องกันบอตและการทุจริต ตรวจข้อผิดพลาด เก็บ audit log ก่อตั้งหรือใช้สิทธิเรียกร้อง และปรับปรุงบริการด้วยข้อมูลรวม โดยชั่งน้ำหนักกับสิทธิของคุณ และคุณคัดค้านได้ตามข้อ 13

ความยินยอม (มาตรา 19 และมาตรา 26)

การตลาด คุกกี้วิเคราะห์หรือโฆษณา การเผยแพร่ชื่อ ภาพ หรือผลงานนอกบริการ และข้อมูลอ่อนไหว ซึ่งปัจจุบันเรายังไม่ได้ประมวลผลในกรณีเหล่านี้

เราจะไม่ใช้ข้อมูลเพื่อวัตถุประสงค์ใหม่ที่ไม่สอดคล้องกับที่แจ้งไว้ หากวัตถุประสงค์ใหม่ต้องอาศัยความยินยอม เราจะขอความยินยอมก่อนเริ่มประมวลผล

6. คุกกี้และการจัดเก็บบนอุปกรณ์

บริการใช้เฉพาะคุกกี้และการจัดเก็บบนอุปกรณ์ที่จำเป็นหรือใช้จำการตั้งค่า ดังนี้

• คุกกี้เข้าสู่ระบบ ของผู้ให้บริการยืนยันตัวตน เพื่อรักษา session ของคุณ
• คุกกี้คำสั่งซื้อของผู้เยี่ยมชม แบบ HttpOnly อายุสั้น เพื่อให้กลับไปชำระเงินหรือดูสถานะคำสั่งซื้อได้ก่อนมีบัญชี
• Cloudflare Turnstile ตรวจสัญญาณจากเบราว์เซอร์เพื่อแยกผู้ใช้จริงกับบอต เมื่อสั่งซื้อ สมัคร หรือส่งข้อมูล
• พื้นที่จัดเก็บในเบราว์เซอร์ (localStorage) จำการตั้งค่า เช่น แรงจูงใจ ชื่อที่ใช้แสดง หมายเลข BIB วอลเปเปอร์ และสถานะการแนะนำการใช้งาน ข้อมูลนี้อยู่ในอุปกรณ์ของคุณ หากใช้อุปกรณ์ร่วมกับผู้อื่น โปรดออกจากระบบและล้างข้อมูลเว็บไซต์หลังใช้งาน

ปัจจุบันเราไม่ใช้คุกกี้วิเคราะห์หรือคุกกี้โฆษณา หากจะเพิ่มในอนาคต เราจะแจ้งรายละเอียด อายุ และผู้ให้บริการ และขอความยินยอมก่อนใช้งาน พร้อมเครื่องมือถอนความยินยอม

7. การแสดงข้อมูลแก่ผู้ร่วม Challenge

ตารางอันดับหรือสกอร์บอร์ดแสดงเฉพาะแก่สมาชิกซึ่งเข้าร่วม Challenge เดียวกัน โดยแสดงชื่อที่ใช้แสดง หมายเลข BIB ระยะทางที่ได้รับการนับ คะแนนและโบนัส สถานะ และเวลาที่ทำสำเร็จ ซึ่งเป็นส่วนหนึ่งของบริการ Challenge ตามสัญญา เราไม่แสดงอีเมล โทรศัพท์ ที่อยู่ สลิป หรือภาพหลักฐานกิจกรรมแก่ผู้ใช้อื่น

ชื่อที่ใช้แสดงตั้งต้นจากชื่อที่คุณกรอกตอนสั่งซื้อหรือสมัคร คุณเปลี่ยนเป็นชื่อเล่นหรือชื่อย่อได้ทุกเมื่อที่หน้าโปรไฟล์ หากไม่ต้องการให้แสดงผลในตารางอันดับ ติดต่อเราที่ [อีเมลผู้ประสานงานด้านข้อมูลส่วนบุคคล]

8. ผู้รับข้อมูล

เราเปิดเผยข้อมูลเท่าที่จำเป็นแก่ผู้รับต่อไปนี้ โดยกำหนดหน้าที่คุ้มครองข้อมูลตามบทบาทของแต่ละราย

• ผู้ประมวลผลข้อมูลที่ให้บริการโครงสร้างพื้นฐาน ซึ่งประมวลผลตามคำสั่งของเราภายใต้สัญญา
  • Supabase: ฐานข้อมูล ระบบยืนยันตัวตน และพื้นที่จัดเก็บไฟล์ส่วนตัว (เซิร์ฟเวอร์ที่ประเทศญี่ปุ่น)
  • Cloudflare: โฮสต์เว็บไซต์ ระบบคิวงาน และ Turnstile (เครือข่ายศูนย์ข้อมูลทั่วโลก)
  • Resend: ส่งอีเมลเปิดใช้งานสมาชิกและกู้คืนรหัสผ่าน (สหรัฐอเมริกา)
• ธนาคาร เพื่อยืนยันรายการและคืนเงิน
• บริษัทขนส่ง [ชื่อบริษัทขนส่ง] ซึ่งได้รับเฉพาะชื่อผู้รับ ที่อยู่ โทรศัพท์ และข้อมูลพัสดุ
• ผู้สอบบัญชี ที่ปรึกษากฎหมาย และผู้ให้บริการด้านบัญชีหรือภาษีเท่าที่จำเป็น
• หน่วยงานรัฐ ศาล หรือเจ้าหน้าที่ เมื่อกฎหมายหรือคำสั่งที่ชอบด้วยกฎหมายกำหนด
• สมาชิกที่เข้าร่วม Challenge เดียวกัน เฉพาะข้อมูลตามข้อ 7

เราไม่ขายข้อมูลส่วนบุคคล และไม่ให้บุคคลภายนอกใช้ข้อมูลของคุณเพื่อการตลาดของตนเอง

9. การส่งหรือโอนข้อมูลไปต่างประเทศ

ข้อมูลของคุณถูกจัดเก็บและประมวลผลนอกประเทศไทย ได้แก่ ประเทศญี่ปุ่น (ฐานข้อมูลและไฟล์) สหรัฐอเมริกา (อีเมล) และศูนย์ข้อมูลของ Cloudflare ในหลายประเทศ เราส่งหรือโอนข้อมูลตามมาตรา 28 และมาตรา 29 PDPA และประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลที่เกี่ยวข้อง โดยใช้ข้อตกลงการประมวลผลข้อมูลที่มีข้อสัญญามาตรฐานหรือมาตรการคุ้มครองที่เหมาะสมกับผู้ให้บริการแต่ละราย หรืออาศัยข้อยกเว้นที่กฎหมายอนุญาต เช่น เมื่อจำเป็นต่อการปฏิบัติตามสัญญากับคุณ

คุณขอรายละเอียดมาตรการคุ้มครองที่ใช้กับผู้ให้บริการแต่ละรายได้ที่ [อีเมลผู้ประสานงานด้านข้อมูลส่วนบุคคล]

10. ระยะเวลาเก็บรักษา

เราเก็บข้อมูลไม่เกินระยะที่จำเป็นต่อวัตถุประสงค์ สัญญา หน้าที่ตามกฎหมาย และการใช้หรือป้องกันสิทธิเรียกร้อง เมื่อพ้นระยะจะลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้ เว้นแต่มีข้อพิพาทหรือกฎหมายกำหนดให้เก็บต่อ

บัญชีและโปรไฟล์

ตลอดอายุบัญชี เมื่อปิดบัญชีหรือไม่มีการใช้งาน 2 ปี จะลบหรือทำให้ไม่สามารถระบุตัวตนได้ภายใน 90 วัน เว้นแต่ส่วนที่ต้องเก็บตามหมวดอื่น

คำสั่งซื้อ การชำระเงิน สลิป ใบเสร็จหรือใบกำกับภาษี การคืนเงิน และหลักฐานการยอมรับเอกสาร

5 ปีตามกฎหมายการบัญชีและประมวลรัษฎากร หรือนานกว่านั้นเมื่อเจ้าหน้าที่สั่ง (ไม่เกิน 7 ปี) หรือมีข้อพิพาท

กิจกรรม ความคืบหน้า คะแนน และรางวัล

ตลอดอายุบัญชี เพื่อแสดงประวัติและใบประกาศของคุณ

ภาพหลักฐานกิจกรรมและผลที่ส่งเพื่อคิดคะแนน

1 ปีนับแต่วันสิ้นสุดระยะเวลาสะสมระยะของ Challenge แล้วลบ

ที่อยู่และข้อมูลการจัดส่ง

1 ปีนับแต่วันส่งมอบหรือวันยุติข้อพิพาท ส่วนที่ปรากฏในเอกสารบัญชีเก็บตามระยะของเอกสารบัญชี

บันทึกการใช้งานและความปลอดภัย

อย่างน้อย 90 วันตามกฎหมายว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ และไม่เกิน 1 ปี เว้นแต่ต้องใช้ตรวจสอบเหตุหรือเจ้าหน้าที่สั่งให้เก็บนานกว่า (ไม่เกิน 2 ปี)

สำเนาสำรองข้อมูล

ถูกเขียนทับตามรอบหมุนเวียนภายใน 90 วัน

คำขอใช้สิทธิและหลักฐานความยินยอม

ตลอดช่วงที่ประมวลผลตามความยินยอม และอีก 2 ปีหลังดำเนินการตามคำขอหรือถอนความยินยอม เพื่อแสดงการปฏิบัติตามกฎหมาย

11. ความมั่นคงปลอดภัยและเหตุละเมิด

เราใช้มาตรการเชิงองค์กร เทคนิค และกายภาพที่เหมาะสม เช่น เข้ารหัสการรับส่งข้อมูลด้วย HTTPS ควบคุมสิทธิเข้าถึงข้อมูลรายบุคคล เก็บสลิปและภาพหลักฐานในพื้นที่ส่วนตัวที่เปิดดูได้ผ่านลิงก์อายุสั้น บังคับให้เจ้าหน้าที่ยืนยันตัวตนสองขั้นตอน และบันทึก audit log ของการดำเนินการสำคัญ โดยทบทวนมาตรการตามประกาศคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยมาตรการรักษาความมั่นคงปลอดภัย

หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้าภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่เหตุนั้นไม่มีความเสี่ยงที่จะกระทบสิทธิและเสรีภาพของบุคคล และหากมีความเสี่ยงสูง เราจะแจ้งคุณพร้อมแนวทางเยียวยาโดยไม่ชักช้า

12. การคำนวณอัตโนมัติและการตรวจสอบโดยเจ้าหน้าที่

ระบบคำนวณเครดิต ความคืบหน้า คะแนน อันดับ และสิทธิรางวัลจากกติกา Challenge โดยอัตโนมัติ ส่วนการอนุมัติสลิปและผลที่ส่งเพื่อคิดคะแนนตรวจโดยเจ้าหน้าที่ หากเชื่อว่าผลคำนวณหรือการตัดสินใจผิด คุณขอให้เจ้าหน้าที่ตรวจทานและแก้ไขได้ที่ [อีเมล/โทรศัพท์และเวลาทำการของฝ่ายบริการลูกค้า]

13. สิทธิของเจ้าของข้อมูล

ภายใต้เงื่อนไขและข้อยกเว้นตาม PDPA คุณมีสิทธิ

• ถอนความยินยอมได้ทุกเมื่อสำหรับการประมวลผลที่อาศัยความยินยอม โดยไม่กระทบการประมวลผลก่อนถอน
• ขอเข้าถึงและรับสำเนาข้อมูล และขอให้เปิดเผยการได้มาซึ่งข้อมูลที่คุณไม่ได้ให้ความยินยอม
• ขอรับหรือขอให้ส่งโอนข้อมูลในรูปแบบที่อ่านหรือใช้งานได้ด้วยเครื่องมืออัตโนมัติ
• คัดค้านการประมวลผล รวมถึงการแสดงผลในตารางอันดับ
• ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวบุคคลได้
• ขอให้ระงับการใช้ข้อมูล
• ขอให้แก้ไขข้อมูลให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
• ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

ส่งคำขอที่ [อีเมลผู้ประสานงานด้านข้อมูลส่วนบุคคล] เราอาจขอข้อมูลยืนยันตัวตนเท่าที่จำเป็น และจะดำเนินการหรือแจ้งผลภายใน 30 วันนับแต่วันที่ได้รับคำขอ โดยไม่มีค่าใช้จ่าย หากปฏิเสธหรือดำเนินการได้บางส่วน เราจะแจ้งเหตุผลตามกฎหมาย เช่น เมื่อต้องเก็บเอกสารบัญชีหรือภาษีไว้ตามกฎหมาย

14. ผู้เยาว์

ผู้ที่อายุต่ำกว่า 20 ปีและยังไม่บรรลุนิติภาวะ ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองก่อนสั่งซื้อหรือสร้างบัญชี ตามข้อ 2 ของ ข้อกำหนดการใช้บริการ และผู้ที่อายุต่ำกว่า 10 ปีต้องให้ผู้ใช้อำนาจปกครองเป็นผู้สั่งซื้อและดูแลบัญชีแทน

หากการประมวลผลใดต้องอาศัยความยินยอม เราจะขอความยินยอมจากผู้ใช้อำนาจปกครองตามมาตรา 20 PDPA และผู้ใช้อำนาจปกครองใช้สิทธิตามข้อ 13 แทนผู้เยาว์ได้ หากพบว่าเราเก็บข้อมูลของผู้เยาว์โดยไม่มีความยินยอมที่จำเป็น เราจะหยุดประมวลผลและลบข้อมูลตามที่กฎหมายกำหนด

15. การเปลี่ยนแปลงประกาศ

เราอาจปรับปรุงประกาศนี้ และจะแสดงเวอร์ชันและวันที่ปรับปรุงไว้ด้านบนเสมอ การแก้คำผิด การทำข้อความให้ชัดเจนขึ้น หรือการปรับช่องทางติดต่อที่ไม่ลดสิทธิของคุณมีผลทันที

หากเปลี่ยนประเภทข้อมูล วัตถุประสงค์ ฐานกฎหมาย ผู้รับ การส่งหรือโอนไปต่างประเทศ ระยะเวลาเก็บ หรือสิทธิของคุณอย่างมีสาระสำคัญ เราจะแจ้งผ่านเว็บไซต์และอีเมลก่อนมีผล และขอความยินยอมใหม่ก่อนประมวลผลเมื่อกฎหมายกำหนด การแก้ไขประกาศไม่ทำให้การประมวลผลเดิมที่ไม่มีฐานกฎหมายกลายเป็นชอบด้วยกฎหมาย

16. ติดต่อเรา

• ผู้ควบคุมข้อมูล: [ชื่อ-นามสกุลผู้ประกอบการ]
• ผู้ประสานงานด้านข้อมูลส่วนบุคคล: [อีเมลผู้ประสานงานด้านข้อมูลส่วนบุคคล]
• ฝ่ายบริการลูกค้า: [อีเมล/โทรศัพท์และเวลาทำการของฝ่ายบริการลูกค้า]
• ที่อยู่: [ที่อยู่สำนักงานและที่อยู่รับหนังสือ]