นโยบายความเป็นส่วนตัว

นโยบายนี้อธิบายว่า Norman Shop เก็บข้อมูลส่วนบุคคลของคุณอะไรบ้าง เพื่ออะไร เก็บไว้นานเท่าไร ส่งต่อให้ใคร และคุณใช้สิทธิตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ได้อย่างไร

1. ผู้ควบคุมข้อมูลส่วนบุคคล

ผู้ควบคุมข้อมูล	[ต้องกรอก: ชื่อผู้ประกอบการตามที่จดทะเบียน]
ที่อยู่	[ต้องกรอก: ที่อยู่ตามที่จดทะเบียน]
ช่องทางใช้สิทธิ	[ต้องกรอก: อีเมลสำหรับเรื่อง PDPA]

2. ข้อมูลที่เราเก็บ และเก็บเพราะอะไร

ข้อมูล	ใช้ทำอะไร	ฐานทางกฎหมาย
อีเมล ชื่อที่ใช้แสดง และรหัสผ่านที่เข้ารหัสทางเดียว	สร้างบัญชี ยืนยันตัวตน ส่งสินค้าและใบเสร็จ	การปฏิบัติตามสัญญา
ประวัติคำสั่งซื้อ รายการสินค้า ราคา และสถานะการชำระเงิน	ส่งมอบสินค้า ให้คุณเปิดดูย้อนหลัง และจัดทำบัญชี	การปฏิบัติตามสัญญา และหน้าที่ตามกฎหมายภาษี
รหัสอ้างอิงจาก Stripe (customer, checkout session, subscription)	ผูกการชำระเงินและสถานะสมาชิกกับบัญชีของคุณ	การปฏิบัติตามสัญญา
ข้อความที่คุณกรอกตอนเคลมประกัน	พิจารณาคำขอเปลี่ยนสินค้า	การปฏิบัติตามสัญญา
หมายเลข IP ขณะเข้าสู่ระบบหรือสมัครสมาชิก	จำกัดจำนวนครั้งที่ลองรหัสผ่านผิด เพื่อกันการเดารหัสผ่านของคุณ เก็บชั่วคราวในหน่วยความจำและหายไปเมื่อระบบรีสตาร์ท ไม่บันทึกลงฐานข้อมูล	ประโยชน์อันชอบธรรมด้านความปลอดภัย
บันทึกการทำงานของผู้ดูแลระบบ (audit log)	ตรวจสอบย้อนหลังได้ว่าใครอนุมัติหรือเปลี่ยนแปลงคำสั่งซื้อและสต็อกของคุณ	ประโยชน์อันชอบธรรมด้านความปลอดภัย
บันทึกข้อผิดพลาดของระบบ	รู้ตัวเมื่อระบบพัง โดยเฉพาะกรณีที่คุณจ่ายเงินแล้วแต่ไม่ได้ของ	ประโยชน์อันชอบธรรมในการให้บริการ

สิ่งที่เราไม่เก็บ

เลขบัตรเครดิตหรือเดบิต การกรอกบัตรเกิดขึ้นบนหน้าของ Stripe ระบบของเราไม่เห็นและไม่บันทึกเลขบัตร วันหมดอายุ หรือ CVV
รหัสผ่านของคุณในรูปแบบที่อ่านได้ เราเก็บเฉพาะค่าที่เข้ารหัสทางเดียว
ข้อมูลอ่อนไหวตามมาตรา 26 ของ PDPA เช่น ศาสนา เชื้อชาติ หรือข้อมูลสุขภาพ

สินค้าที่ส่งมอบให้คุณ

คีย์เกมและข้อมูลบัญชีเกมที่คุณซื้อถูกเข้ารหัสไว้ในฐานข้อมูล และจะแสดงให้เห็นเฉพาะเมื่อคำสั่งซื้อชำระเงินเรียบร้อยแล้วเท่านั้น ผู้ดูแลระบบเข้าดูได้เท่าที่จำเป็นต่อการช่วยเหลือและการเคลมประกัน และการเข้าดูนั้นถูกบันทึกไว้ใน audit log

3. เราส่งข้อมูลให้ใครบ้าง

เราไม่ขายข้อมูลของคุณ และไม่ส่งให้ใครเพื่อการตลาดของผู้อื่น เราใช้ผู้ให้บริการเท่าที่จำเป็นต่อการให้บริการ ซึ่งบางรายอยู่ต่างประเทศ ทำให้มีการโอนข้อมูลข้ามพรมแดน

ผู้ให้บริการ	ได้รับข้อมูลอะไร
Stripe (รับชำระเงิน)	อีเมล ชื่อ จำนวนเงิน และข้อมูลบัตรที่คุณกรอกบนหน้าของ Stripe เอง
ผู้ให้บริการอีเมล (Resend / Brevo หรือ SMTP ที่เราตั้งค่าไว้)	อีเมล ชื่อ และเนื้อหาอีเมลที่ส่งถึงคุณ
Cloudinary (เก็บรูปภาพของร้าน)	ไฟล์ภาพที่อัปโหลดผ่านระบบหลังร้าน
ผู้ให้บริการติดตามข้อผิดพลาด (ถ้าเปิดใช้งาน)	เส้นทางที่เรียก รหัสอ้างอิงคำขอ และรหัสผู้ใช้กับอีเมล โดยตัดเนื้อหาคำขอ คีย์ รหัสผ่าน และคุกกี้ออกก่อนส่งเสมอ
ผู้ให้บริการโครงสร้างพื้นฐาน (Railway)	ข้อมูลทั้งหมดข้างต้นในฐานะที่เก็บระบบและฐานข้อมูล

นอกจากนี้ เราอาจเปิดเผยข้อมูลเมื่อมีคำสั่งโดยชอบด้วยกฎหมาย หรือเมื่อจำเป็นเพื่อใช้สิทธิเรียกร้องตามกฎหมาย

4. เก็บไว้นานแค่ไหน

บัญชีผู้ใช้ เก็บจนกว่าคุณจะขอลบ หรือจนกว่าบัญชีจะไม่มีการใช้งานและไม่มีภาระผูกพันคงค้าง
คำสั่งซื้อและเอกสารทางบัญชี เก็บอย่างน้อย 5 ปี ตามที่กฎหมายภาษีอากรกำหนด แม้คุณจะขอลบบัญชีแล้วก็ตาม
บันทึกการทำงานของผู้ดูแลระบบ เก็บไว้ตราบที่ยังจำเป็นต่อการตรวจสอบย้อนหลัง
บันทึกข้อผิดพลาด เก็บตามระยะเวลาของผู้ให้บริการ โดยปกติไม่เกิน 90 วัน

5. สิทธิของคุณ

ตาม PDPA คุณมีสิทธิดังนี้ และใช้สิทธิได้โดยติดต่อเราตามช่องทางในข้อ 1

ขอเข้าถึงและขอสำเนาข้อมูลของคุณ
ขอแก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่เป็นปัจจุบัน
ขอลบหรือทำให้ข้อมูลไม่ระบุตัวตน เว้นแต่ส่วนที่เรามีหน้าที่ตามกฎหมายต้องเก็บไว้
ขอให้ระงับการใช้ข้อมูลชั่วคราว
ขอรับข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่อง หรือให้ส่งต่อไปยังผู้ควบคุมข้อมูลรายอื่น
คัดค้านการประมวลผลที่อาศัยฐานประโยชน์อันชอบธรรม
ถอนความยินยอมในกรณีที่เราขอความยินยอมไว้

เราจะตอบคำขอภายใน 30 วันนับแต่ได้รับคำขอ หากคุณเห็นว่าเราจัดการข้อมูลไม่ถูกต้อง คุณมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล

6. คุกกี้และการเก็บข้อมูลบนเครื่องของคุณ

เว็บไซต์นี้เก็บโทเคนสำหรับคงสถานะเข้าสู่ระบบ ตะกร้าสินค้า และการตั้งค่าธีมไว้ในเบราว์เซอร์ของคุณ (localStorage) ทั้งหมดจำเป็นต่อการใช้งานและไม่ได้ใช้เพื่อการโฆษณา ล้างได้โดยออกจากระบบหรือล้างข้อมูลเว็บไซต์ในเบราว์เซอร์

7. ความปลอดภัย

รหัสผ่านถูกเข้ารหัสทางเดียวด้วย bcrypt
คีย์และข้อมูลบัญชีเกมถูกเข้ารหัสไว้ในฐานข้อมูล
การเชื่อมต่อทั้งหมดใช้ HTTPS
การเข้าถึงข้อมูลของผู้ดูแลระบบถูกจำกัดตามบทบาทและถูกบันทึกไว้

หากเกิดเหตุละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงต่อสิทธิของคุณ เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง และแจ้งคุณโดยไม่ชักช้าเมื่อความเสี่ยงนั้นสูง

8. เด็กและเยาวชน

บริการนี้มีไว้สำหรับผู้ที่ทำนิติกรรมได้ด้วยตนเอง หากผู้เยาว์ต้องการใช้บริการ ต้องได้รับความยินยอมจากผู้ปกครองก่อน

9. การแก้ไขนโยบายนี้

เมื่อมีการแก้ไข เราจะปรับวันที่มีผลบังคับใช้ที่ท้ายหน้า และหากเป็นการเปลี่ยนแปลงที่มีนัยสำคัญ จะแจ้งทางอีเมล ดูเพิ่มเติมที่ เงื่อนไขการใช้บริการ