นโยบายความเป็นส่วนตัวPrivacy Policy

เดอะ เซลินา คอนโด เอสเตทส์ (The Celina Condo Estates)

เลขประจำตัวผู้เสียภาษี · Tax ID: 0505567020975

ที่อยู่ · Address: 63/6 หมู่ 3 ต.ฟ้าฮ่าม อ.เมือง จ.เชียงใหม่ 50000

ติดต่อด้านความเป็นส่วนตัว · Privacy Contact: [email protected]

เราทำหน้าที่เป็น ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) สำหรับข้อมูลที่ระบุไว้ในนโยบายนี้

เราเก็บข้อมูลเฉพาะที่ท่านให้กับเราโดยตรง ผ่านช่องทางต่อไปนี้:

• ฟอร์มติดต่อ: ชื่อ-นามสกุล, อีเมล, เบอร์โทรศัพท์, LINE ID, ข้อความที่ท่านส่ง (Contact, Schedule Consultation, Land Search, Register Interest)
• แบบฟอร์ม Facebook/Instagram Lead Ads: เมื่อท่านกรอกข้อมูลผ่านโฆษณา Lead Ads บน Facebook หรือ Instagram เราได้รับ ชื่อ-นามสกุล, เบอร์โทรศัพท์, อีเมล, LINE ID และข้อความที่ท่านให้ไว้ในแบบฟอร์มนั้น
• บัญชี Client Portal: ข้อมูลการจองห้อง, ประวัติการชำระเงิน, สลิปการโอน, เอกสารประกอบสัญญา
• ข้อมูลทางเทคนิค (อัตโนมัติ): IP address และ browser fingerprint — ใช้สำหรับกรองสแปม เก็บไว้ 90 วัน ยกเว้นกรณีที่ flag เป็นเหตุการณ์ผิดปกติ
• คุกกี้วิเคราะห์ (Analytics): เฉพาะเมื่อท่านยินยอม — ดูรายละเอียดที่ นโยบายคุกกี้

English: We collect only what you provide — name, email, phone, LINE ID, and message via forms; data from Facebook/Instagram Lead Ads forms (name, phone, email, LINE ID); booking/payment data for portal accounts; IP/browser fingerprint for spam triage (90-day retention); and analytics cookies only with your consent.

• ตอบกลับการสอบถาม: ติดต่อกลับเรื่องคอนโด, การนัดหมายเยี่ยมชม, การจองห้อง
• ส่งมอบบริการ: การจองห้อง, การออกใบเสร็จ, การแจ้งเตือนการชำระเงิน
• บริหารบัญชี Client Portal: จัดเก็บข้อมูลการเป็นลูกค้าและประวัติการทำธุรกรรม
• ป้องกันการละเมิด (Security): กรองสแปม, ป้องกัน fraud, รักษาความปลอดภัยของบัญชี
• วิเคราะห์เพื่อปรับปรุง: เข้าใจการใช้งานเว็บไซต์ (เฉพาะที่ได้รับ consent)
• การปฏิบัติตามกฎหมาย: ใบเสร็จและใบกำกับภาษี (เก็บตามที่กฎหมายภาษีอากรกำหนด)
• การตลาดและโฆษณา (Marketing & Advertising — consent-based): ติดต่อกลับผู้ที่สนใจผ่านทีมขาย (LINE/โทรศัพท์), วิเคราะห์ประสิทธิภาพโฆษณา, แสดงโฆษณาที่เกี่ยวข้องบน Facebook/Instagram — เฉพาะเมื่อท่านให้ความยินยอม

ขอบเขตของนโยบาย: นโยบายฉบับนี้ครอบคลุมข้อมูลทุกประเภทที่เก็บผ่าน Facebook/Instagram Lead Ads forms ด้วย — Meta Platforms เก็บข้อมูล Lead form ในนามของเราก่อนส่งต่อให้บริษัท (Meta acts as data processor on our behalf for Lead Ads data). ท่านสามารถถอนความยินยอมได้ทุกเมื่อโดยติดต่อตามข้อ 1 ด้านบน

We do not sell your data.

เราประมวลผลข้อมูลของท่านโดยอาศัยฐานทางกฎหมายดังต่อไปนี้:

• ความยินยอม (Consent — PDPA §24(1)):
  (ก) คุกกี้วิเคราะห์ (Analytics cookies — GA4);
  (ข) คุกกี้การตลาด / Retargeting (Meta Pixel) — เพื่อแสดงโฆษณาที่เกี่ยวข้องบน Facebook/Instagram;
  (ค) การติดต่อ follow-up จากข้อมูล Lead Ads ที่ท่านให้ผ่าน Facebook/Instagram form;
  — ท่านสามารถถอนความยินยอมได้ทุกเมื่อโดย: คลิก “จัดการคุกกี้” ที่ส่วนท้ายของหน้า, ติดต่อ privacy contact ในข้อ 1, หรือจัดการผ่านการตั้งค่าบน Facebook Account Center
• ปฏิบัติตามสัญญา (Contract): การจอง, ชำระเงิน, ส่งมอบ
• ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest): ตอบกลับการสอบถาม, ปรับปรุงคุณภาพบริการ, ป้องกัน fraud
• ปฏิบัติตามกฎหมาย (Legal Obligation): ใบกำกับภาษี, การเก็บข้อมูลตามที่กฎหมายภาษีอากรกำหนด

เราเปิดเผยข้อมูลของท่านเฉพาะกับผู้ให้บริการเทคโนโลยีต่อไปนี้ ซึ่งจำเป็นต่อการให้บริการ:

ผู้ให้บริการทั้งหมดได้ลงนามใน Data Processing Agreement หรือเทียบเท่ากับเรา และไม่ได้รับสิทธิ์ใช้ข้อมูลของท่านเพื่อวัตถุประสงค์ของเขาเอง

หมายเหตุ: Meta Platforms ทำหน้าที่เป็นทั้ง Data Processor (สำหรับข้อมูล Lead form ที่ส่งให้บริษัทผ่าน webhook) และ Independent Data Controller (สำหรับ Pixel/CAPI event data บน platform ของ Meta) บริษัทได้ยอมรับ Meta Lead Ads Terms of Service ซึ่งทำหน้าที่เป็น Data Processing Agreement สำหรับ Lead form data

ข้อมูลของท่านอาจถูกโอนไปยังประเทศต่อไปนี้ ผ่านมาตรการป้องกันที่เหมาะสมตาม PDPA Section 28:

• 🇸🇬 สิงคโปร์: Database หลัก (Supabase) — สิงคโปร์มีกฎหมายคุ้มครองข้อมูลที่เทียบเคียง PDPA
• 🇺🇸 สหรัฐอเมริกา: บริการ SaaS หลายตัว (Resend, Twilio, Google, Cloudflare, Meta Platforms Inc.) — ใช้ Standard Contractual Clauses (SCC) เป็นมาตรการป้องกัน
• 🇮🇪 ไอร์แลนด์ (Ireland): Meta Platforms Ireland Ltd. (EEA Headquarters) — อยู่ภายใต้ GDPR + ใช้ Standard Contractual Clauses (SCC) ของสหภาพยุโรป ซึ่งถือเป็นมาตรฐานการคุ้มครองข้อมูลที่เพียงพอตาม PDPA §28
• 🇯🇵 ญี่ปุ่น: LINE Corporation — ญี่ปุ่นอยู่ในรายชื่อประเทศที่มีระดับการคุ้มครองข้อมูลเพียงพอ ตามที่ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) รับรอง

เราเก็บข้อมูลแต่ละประเภทตามระยะเวลาดังต่อไปนี้:

หลังครบกำหนด เราจะลบหรือทำให้ข้อมูลกลายเป็นข้อมูลที่ระบุตัวตนไม่ได้ (anonymize)

ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ท่านมีสิทธิดังต่อไปนี้:

• สิทธิเข้าถึง (Right to Access — §30): ขอดูข้อมูลของท่านที่เรามี
• สิทธิขอแก้ไข (Right to Rectification — §35-36): ขอแก้ไขข้อมูลที่ไม่ถูกต้อง
• สิทธิลบข้อมูล (Right to Erasure — §33): ขอให้ลบข้อมูลเมื่อไม่จำเป็นแล้ว
• สิทธิจำกัดการประมวลผล (Right to Restrict — §34): ขอให้ระงับการประมวลผลชั่วคราว
• สิทธิคัดค้าน (Right to Object — §32): คัดค้านการประมวลผลที่อาศัย legitimate interest
• สิทธิโอนย้ายข้อมูล (Right to Portability — §31): ขอรับข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่อง (machine-readable)
• สิทธิถอนความยินยอม (Right to Withdraw Consent): ถอนความยินยอมได้ทุกเมื่อ เช่น คลิก "จัดการคุกกี้" ที่ส่วนท้ายของหน้าเพื่อปิด Analytics
• สิทธิร้องเรียน (Right to Lodge Complaint): ดูข้อ 9 ด้านล่าง

การใช้สิทธิ: ส่งคำขอมาที่ [email protected] — เราจะตอบกลับภายใน 30 วันนับจากวันที่ได้รับคำขอ (อาจขยายได้อีก 30 วันในกรณีที่จำเป็น โดยจะแจ้งให้ท่านทราบ)

หากท่านเห็นว่าเราประมวลผลข้อมูลโดยไม่ชอบด้วยกฎหมาย ท่านมีสิทธิร้องเรียนต่อ:

เราขอแนะนำให้ติดต่อเราก่อนเพื่อให้เราได้แก้ไขปัญหาให้ท่าน แต่ท่านมีสิทธิร้องเรียนต่อ PDPC ได้โดยตรงโดยไม่ต้องแจ้งเราก่อน

เราใช้มาตรการทางเทคนิคและการบริหารต่อไปนี้เพื่อปกป้องข้อมูลของท่าน:

• การเข้ารหัส: TLS 1.2/1.3 สำหรับการรับ-ส่งข้อมูล (HTTPS), encryption-at-rest สำหรับ database
• การควบคุมการเข้าถึง: Row-level security ใน database, role-based access (admin / supervisor / executive / customer), key-only SSH
• การตรวจสอบ: Activity logs, fail2ban, daily security reports
• มาตรการป้องกัน: Web Application Firewall (Cloudflare), DDoS protection, rate limiting
• การสำรองข้อมูล: Daily managed backups, weekly config snapshots
• การฝึกอบรม: ทีมงานทุกคนผ่านการอบรม data protection awareness

แม้เราจะใช้มาตรการอย่างเต็มที่ ไม่มีระบบใดปลอดภัย 100% ในกรณีที่เกิด data breach เราจะแจ้งท่านและ PDPC ภายใน 72 ชั่วโมง ตาม PDPA Section 37

เราอาจปรับปรุงนโยบายฉบับนี้เป็นระยะ หากมีการเปลี่ยนแปลงสาระสำคัญ (เช่น เพิ่มประเภทข้อมูลที่เก็บ หรือเพิ่มผู้รับโอนข้อมูล) เราจะ:

• แสดงประกาศบนเว็บไซต์
• ส่งอีเมลแจ้งท่าน (สำหรับลูกค้า Portal)
• ขอความยินยอมใหม่หากการเปลี่ยนแปลงต้องการ consent (เช่น เพิ่ม marketing cookies)

วันที่ปรับปรุงล่าสุดจะแสดงไว้ที่ส่วนหัวของหน้านี้