นโยบายความเป็นส่วนตัวPrivacy Policy

บริษัท เปี่ยมปิติ จำกัด (Piempiti Co., Ltd.)

เลขประจำตัวผู้เสียภาษี · Tax ID: 0505567026558

ที่อยู่ · Address: 63/6 หมู่ 3 ต.ฟ้าฮ่าม อ.เมือง จ.เชียงใหม่ 50000

ติดต่อด้านความเป็นส่วนตัว · Privacy Contact: [email protected]

เราทำหน้าที่เป็น ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) สำหรับข้อมูลที่ระบุไว้ในนโยบายนี้

เราเก็บข้อมูลเฉพาะที่ท่านให้กับเราโดยตรง ผ่านช่องทางต่อไปนี้:

• ฟอร์มติดต่อ: ชื่อ-นามสกุล, อีเมล, เบอร์โทรศัพท์, LINE ID, ข้อความที่ท่านส่ง (Contact, Schedule Consultation, Land Search, Register Interest)
• แบบฟอร์ม Facebook/Instagram Lead Ads: เมื่อท่านกรอกข้อมูลผ่านโฆษณา Lead Ads บน Facebook หรือ Instagram เราได้รับ ชื่อ-นามสกุล, เบอร์โทรศัพท์, อีเมล, LINE ID และข้อความที่ท่านให้ไว้ในแบบฟอร์มนั้น
• บัญชี Client Portal: ข้อมูลการจองห้อง, ประวัติการชำระเงิน, สลิปการโอน, เอกสารประกอบสัญญา
• ข้อมูลทางเทคนิค (อัตโนมัติ): IP address และ browser fingerprint — ใช้สำหรับกรองสแปม เก็บไว้ 90 วัน ยกเว้นกรณีที่ flag เป็นเหตุการณ์ผิดปกติ
• คุกกี้วิเคราะห์ (Analytics): เฉพาะเมื่อท่านยินยอม — ดูรายละเอียดที่ นโยบายคุกกี้

English: We collect only what you provide — name, email, phone, LINE ID, and message via forms; data from Facebook/Instagram Lead Ads forms (name, phone, email, LINE ID); booking/payment data for portal accounts; IP/browser fingerprint for spam triage (90-day retention); and analytics cookies only with your consent.

• ตอบกลับการสอบถาม: ติดต่อกลับเรื่องคอนโด, การนัดหมายเยี่ยมชม, การจองห้อง
• ส่งมอบบริการ: การจองห้อง, การออกใบเสร็จ, การแจ้งเตือนการชำระเงิน
• บริหารบัญชี Client Portal: จัดเก็บข้อมูลการเป็นลูกค้าและประวัติการทำธุรกรรม
• ป้องกันการละเมิด (Security): กรองสแปม, ป้องกัน fraud, รักษาความปลอดภัยของบัญชี
• วิเคราะห์เพื่อปรับปรุง: เข้าใจการใช้งานเว็บไซต์ (เฉพาะที่ได้รับ consent)
• การปฏิบัติตามกฎหมาย: ใบเสร็จและใบกำกับภาษี (เก็บตามที่กฎหมายภาษีอากรกำหนด)
• การตลาดและโฆษณา (Marketing & Advertising — consent-based): ติดต่อกลับผู้ที่สนใจผ่านทีมขาย (LINE/โทรศัพท์), วิเคราะห์ประสิทธิภาพโฆษณา, แสดงโฆษณาที่เกี่ยวข้องบน Facebook/Instagram — เฉพาะเมื่อท่านให้ความยินยอม
• จัดลำดับความสำคัญการติดต่อกลับ: คำตอบที่ท่านให้ไว้ในแบบฟอร์ม (เช่น ความพร้อมในการซื้อ, ช่วงเวลาที่สะดวกให้ติดต่อ, วัตถุประสงค์การซื้อ) อาจถูกนำไปใช้เพื่อจัดลำดับความสำคัญและปรับรูปแบบการติดต่อกลับของทีมขายให้เหมาะสมกับท่าน

ขอบเขตของนโยบาย: นโยบายฉบับนี้ครอบคลุมข้อมูลทุกประเภทที่เก็บผ่าน Facebook/Instagram Lead Ads forms ด้วย — Meta Platforms เก็บข้อมูล Lead form ในนามของเราก่อนส่งต่อให้บริษัท (Meta acts as data processor on our behalf for Lead Ads data). ท่านสามารถถอนความยินยอมได้ทุกเมื่อโดยติดต่อตามข้อ 1 ด้านบน

We do not sell your data. Answers you provide in forms (e.g. purchase readiness, preferred contact time, purpose of purchase) may be used to prioritize and tailor our sales team's follow-up with you.

เราประมวลผลข้อมูลของท่านโดยอาศัยฐานทางกฎหมายดังต่อไปนี้:

• ความยินยอม (Consent — PDPA §24(1)):
  (ก) คุกกี้วิเคราะห์ (Analytics cookies — GA4);
  (ข) คุกกี้การตลาด / Retargeting (Meta Pixel) — เพื่อแสดงโฆษณาที่เกี่ยวข้องบน Facebook/Instagram;
  (ค) การติดต่อ follow-up จากข้อมูล Lead Ads ที่ท่านให้ผ่าน Facebook/Instagram form;
  — ท่านสามารถถอนความยินยอมได้ทุกเมื่อโดย: คลิก “จัดการคุกกี้” ที่ส่วนท้ายของหน้า, ติดต่อ privacy contact ในข้อ 1, หรือจัดการผ่านการตั้งค่าบน Facebook Account Center
• ปฏิบัติตามสัญญา (Contract): การจอง, ชำระเงิน, ส่งมอบ
• ประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest): ตอบกลับการสอบถาม, ปรับปรุงคุณภาพบริการ, ป้องกัน fraud
• ปฏิบัติตามกฎหมาย (Legal Obligation): ใบกำกับภาษี, การเก็บข้อมูลตามที่กฎหมายภาษีอากรกำหนด

เราเปิดเผยข้อมูลของท่านเฉพาะกับผู้ให้บริการเทคโนโลยีต่อไปนี้ ซึ่งจำเป็นต่อการให้บริการ:

ผู้ให้บริการทั้งหมดได้ลงนามใน Data Processing Agreement หรือเทียบเท่ากับเรา และไม่ได้รับสิทธิ์ใช้ข้อมูลของท่านเพื่อวัตถุประสงค์ของเขาเอง

หมายเหตุ: Meta Platforms ทำหน้าที่เป็นทั้ง Data Processor (สำหรับข้อมูล Lead form ที่ส่งให้บริษัทผ่าน webhook) และ Independent Data Controller (สำหรับ Pixel/CAPI event data บน platform ของ Meta) บริษัทได้ยอมรับ Meta Lead Ads Terms of Service ซึ่งทำหน้าที่เป็น Data Processing Agreement สำหรับ Lead form data

ข้อมูลของท่านอาจถูกโอนไปยังประเทศต่อไปนี้ ผ่านมาตรการป้องกันที่เหมาะสมตาม PDPA Section 28:

• 🇸🇬 สิงคโปร์: Database หลัก (Supabase) — สิงคโปร์มีกฎหมายคุ้มครองข้อมูลที่เทียบเคียง PDPA
• 🇺🇸 สหรัฐอเมริกา: บริการ SaaS หลายตัว (Resend, Twilio, Google Analytics, Google Workspace/Sheets, Cloudflare, Meta Platforms Inc.) — ใช้ Standard Contractual Clauses (SCC) เป็นมาตรการป้องกัน
• 🇮🇪 ไอร์แลนด์ (Ireland): Meta Platforms Ireland Ltd. (EEA Headquarters) — อยู่ภายใต้ GDPR + ใช้ Standard Contractual Clauses (SCC) ของสหภาพยุโรป ซึ่งถือเป็นมาตรฐานการคุ้มครองข้อมูลที่เพียงพอตาม PDPA §28
• 🇯🇵 ญี่ปุ่น: LINE Corporation — ญี่ปุ่นอยู่ในรายชื่อประเทศที่มีระดับการคุ้มครองข้อมูลเพียงพอ ตามที่ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) รับรอง

เราเก็บข้อมูลแต่ละประเภทตามระยะเวลาดังต่อไปนี้:

หลังครบกำหนด เราจะลบหรือทำให้ข้อมูลกลายเป็นข้อมูลที่ระบุตัวตนไม่ได้ (anonymize)

ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ท่านมีสิทธิดังต่อไปนี้:

• สิทธิเข้าถึง (Right to Access — §30): ขอดูข้อมูลของท่านที่เรามี
• สิทธิขอแก้ไข (Right to Rectification — §35-36): ขอแก้ไขข้อมูลที่ไม่ถูกต้อง
• สิทธิลบข้อมูล (Right to Erasure — §33): ขอให้ลบข้อมูลเมื่อไม่จำเป็นแล้ว
• สิทธิจำกัดการประมวลผล (Right to Restrict — §34): ขอให้ระงับการประมวลผลชั่วคราว
• สิทธิคัดค้าน (Right to Object — §32): คัดค้านการประมวลผลที่อาศัย legitimate interest
• สิทธิโอนย้ายข้อมูล (Right to Portability — §31): ขอรับข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่อง (machine-readable)
• สิทธิถอนความยินยอม (Right to Withdraw Consent): ถอนความยินยอมได้ทุกเมื่อ เช่น คลิก "จัดการคุกกี้" ที่ส่วนท้ายของหน้าเพื่อปิด Analytics
• สิทธิร้องเรียน (Right to Lodge Complaint): ดูข้อ 9 ด้านล่าง

การใช้สิทธิ: ส่งคำขอมาที่ [email protected] — เราจะตอบกลับภายใน 30 วันนับจากวันที่ได้รับคำขอ (อาจขยายได้อีก 30 วันในกรณีที่จำเป็น โดยจะแจ้งให้ท่านทราบ)

หากท่านเห็นว่าเราประมวลผลข้อมูลโดยไม่ชอบด้วยกฎหมาย ท่านมีสิทธิร้องเรียนต่อ:

เราขอแนะนำให้ติดต่อเราก่อนเพื่อให้เราได้แก้ไขปัญหาให้ท่าน แต่ท่านมีสิทธิร้องเรียนต่อ PDPC ได้โดยตรงโดยไม่ต้องแจ้งเราก่อน

เราใช้มาตรการทางเทคนิคและการบริหารต่อไปนี้เพื่อปกป้องข้อมูลของท่าน:

• การเข้ารหัส: TLS 1.2/1.3 สำหรับการรับ-ส่งข้อมูล (HTTPS), encryption-at-rest สำหรับ database
• การควบคุมการเข้าถึง: Row-level security ใน database, role-based access (admin / supervisor / executive / customer), key-only SSH
• การตรวจสอบ: Activity logs, fail2ban, daily security reports
• มาตรการป้องกัน: Web Application Firewall (Cloudflare), DDoS protection, rate limiting
• การสำรองข้อมูล: Daily managed backups, weekly config snapshots
• การฝึกอบรม: ทีมงานทุกคนผ่านการอบรม data protection awareness

แม้เราจะใช้มาตรการอย่างเต็มที่ ไม่มีระบบใดปลอดภัย 100% ในกรณีที่เกิด data breach เราจะแจ้งท่านและ PDPC ภายใน 72 ชั่วโมง ตาม PDPA Section 37

เราอาจปรับปรุงนโยบายฉบับนี้เป็นระยะ หากมีการเปลี่ยนแปลงสาระสำคัญ (เช่น เพิ่มประเภทข้อมูลที่เก็บ หรือเพิ่มผู้รับโอนข้อมูล) เราจะ:

• แสดงประกาศบนเว็บไซต์
• ส่งอีเมลแจ้งท่าน (สำหรับลูกค้า Portal)
• ขอความยินยอมใหม่หากการเปลี่ยนแปลงต้องการ consent (เช่น เพิ่ม marketing cookies)

วันที่ปรับปรุงล่าสุดจะแสดงไว้ที่ส่วนหัวของหน้านี้