Privacy Policy / นโยบายความเป็นส่วนตัว

OpsAdmin — AI Admin Desktop Application

⚠️ DISCLAIMER (สำหรับเจ้าของกิจการ): เอกสารฉบับนี้เป็น template ที่ยกร่างให้สำหรับ OpsAdmin โดยอิงตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ก่อนเผยแพร่จริง ควรให้ทนายตรวจสอบ อย่างน้อย 1 ครั้ง โดยเฉพาะเมื่อ:

• มีการจดทะเบียนนิติบุคคล → ต้องใส่ชื่อ/เลขจดทะเบียนจริง
• เพิ่ม sub-processor / ผู้ให้บริการรายใหม่
• ขยายตลาดไปต่างประเทศ (EU → GDPR, US → CCPA)

ช่องที่ต้องกรอกข้อมูลจริงแสดงเป็น [ตัวอย่างนี้]

🇹🇭 นโยบายความเป็นส่วนตัว (ภาษาไทย)

1. บทนำ

OpsAdmin ("เรา", "ของเรา", หรือ "OpsAdmin") ให้ความสำคัญสูงสุดกับความเป็นส่วนตัวของท่าน นโยบายฉบับนี้อธิบายว่าเราเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของท่านอย่างไร เมื่อท่านใช้ซอฟต์แวร์ OpsAdmin ("บริการ") ซึ่งรวมถึงเวอร์ชัน Desktop (Local License) และ Cloud/Online Subscription

นโยบายนี้จัดทำขึ้นตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ("PDPA")

การใช้บริการของท่านหมายถึงท่านได้อ่านและยอมรับนโยบายฉบับนี้แล้ว หากท่านไม่ยอมรับ กรุณาหยุดใช้บริการ

2. ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller)

3. บทบาทของเรา (Controller vs Processor)

OpsAdmin มีบทบาทแตกต่างกันขึ้นกับประเภทข้อมูล:

3.1 OpsAdmin เป็น "ผู้ควบคุมข้อมูล" (Controller) สำหรับ:

• ข้อมูลบัญชีของท่าน (ในฐานะลูกค้าของเรา) — ชื่อ, อีเมล, เบอร์โทร, ข้อมูลการชำระเงิน
• ข้อมูลการใช้งานซอฟต์แวร์ (analytics, error logs)
• ข้อมูลที่ท่านส่งผ่านช่องทาง support/contact

3.2 OpsAdmin เป็น "ผู้ประมวลผลข้อมูล" (Processor) สำหรับ:

• ข้อมูลของลูกค้าปลายทาง (end-customer) ที่ท่านนำเข้ามาในระบบ เช่น chat history, lead data, knowledge base content
• ในกรณีนี้ ท่านเป็นผู้ควบคุมข้อมูล และเรา process ตามคำสั่งของท่านเท่านั้น
• ความสัมพันธ์นี้กำกับโดย Data Processing Agreement (DPA) แยกต่างหาก

3.3 Local License (เครื่องท่านเอง):

หากท่านใช้ Local License โดยรันบนเครื่องของท่าน เราไม่มีการเข้าถึงข้อมูลของท่านหรือลูกค้าปลายทาง ข้อมูลทั้งหมดอยู่ในเครื่องท่าน

4. ข้อมูลที่เราเก็บรวบรวม

4.1 ข้อมูลที่ท่านให้กับเราโดยตรง

• ข้อมูลการสมัครสมาชิก: ชื่อ-นามสกุล, อีเมล, เบอร์โทร, ชื่อกิจการ
• ข้อมูลการชำระเงิน: ผ่าน payment gateway (Omise/Stripe) — เราไม่เก็บเลขบัตรเครดิตเต็มรูป
• ข้อมูลบัญชี LLM API: API key ที่ท่านใช้ (เก็บแบบ encrypted, ไม่เปิดเผย)
• ข้อมูลการติดต่อ support: เนื้อหาที่ท่านส่งให้เรา

4.2 ข้อมูลที่เราเก็บโดยอัตโนมัติ (Online tier เท่านั้น)

• ข้อมูลทางเทคนิค: IP address, browser type, OS, device ID
• ข้อมูลการใช้งาน: หน้าที่เปิด, ปุ่มที่กด, ระยะเวลาใช้งาน, error logs
• Cookies / Local storage: session token, preferences

4.3 ข้อมูลที่ท่านนำเข้ามาในระบบ (ท่านเป็น controller)

• ข้อมูลลูกค้าปลายทาง: ชื่อ, เบอร์โทร, ที่อยู่, ประวัติการซื้อ
• บทสนทนาแชท (FB Messenger, LINE OA)
• เอกสาร knowledge base (PDF, DOCX, XLSX)

5. วัตถุประสงค์การใช้ข้อมูล (Purpose)

เราใช้ข้อมูลของท่านเพื่อ:

6. การเปิดเผยข้อมูลต่อบุคคลที่สาม (Sub-processors)

เราเปิดเผยข้อมูลต่อบุคคลที่สามเฉพาะตามที่จำเป็น:

6.1 ผู้ให้บริการที่เราใช้ (Sub-processors)

หมายเหตุ: ในกรณี Online tier ที่ใช้ BYOK (Bring Your Own Key) ข้อมูล chat จะถูกส่งจาก server เราไปยัง LLM provider ที่ท่านเลือก โดยใช้ API key ของท่านเอง ความสัมพันธ์ระหว่างท่านกับ LLM provider เป็นความรับผิดชอบของท่าน

6.2 เราจะไม่ขายหรือให้เช่าข้อมูลของท่านแก่บุคคลที่สามเพื่อวัตถุประสงค์ทางการตลาดของพวกเขา

7. การโอนข้อมูลข้ามประเทศ (Cross-border Transfer)

สำคัญ: การใช้งาน AI Model จะมีการส่งข้อมูลออกนอกประเทศไทย

• ข้อมูลที่ส่งให้ LLM provider (Anthropic, Google, OpenAI) จะถูกประมวลผลใน สหรัฐอเมริกาและ/หรือสิงคโปร์
• เราเลือก provider ที่มี DPA + Standard Contractual Clauses (SCC) ที่ให้การคุ้มครองเทียบเท่า PDPA
• ท่านมีสิทธิ์เลือกใช้ Local License เพื่อหลีกเลี่ยงการโอนข้อมูลออกนอกประเทศ

การยินยอมโดยชัดแจ้ง (Explicit Consent): การใช้บริการ Online tier ของเรา ถือว่าท่านยินยอมให้โอนข้อมูลไปต่างประเทศตามที่อธิบายข้างต้น

8. ระยะเวลาเก็บข้อมูล (Retention Period)

ท่านสามารถขอลบข้อมูลก่อนกำหนดได้ ตามสิทธิ์ในข้อ 9

9. สิทธิ์ของเจ้าของข้อมูล (Data Subject Rights)

ตาม PDPA ท่านมีสิทธิ์ดังนี้:

วิธีใช้สิทธิ์: ส่งคำขอมาที่ [email protected] เราจะตอบกลับภายใน 30 วัน

10. ความปลอดภัยของข้อมูล (Security)

เรามีมาตรการคุ้มครองข้อมูลดังนี้:

• 🔐 Encryption at-rest: AES-256 สำหรับ database และไฟล์
• 🔒 Encryption in-transit: TLS 1.3
• 🔑 API key encryption: เก็บแบบ encrypted, ไม่เปิดเผยแม้แต่กับ admin ของเรา
• 👤 Access control: เฉพาะพนักงานที่ได้รับอนุญาตเท่านั้นที่เข้าถึงระบบ
• 📊 Audit logs: บันทึกการเข้าถึงข้อมูลทุกครั้ง
• 🛡️ Vulnerability scanning: ตรวจสอบช่องโหว่อย่างต่อเนื่อง
• 🔄 Backup: สำรองข้อมูลอัตโนมัติ พร้อม disaster recovery plan

แม้เราจะมีมาตรการที่ดี ไม่มีระบบใดที่ปลอดภัย 100% หากเกิดเหตุการณ์ข้อมูลรั่วไหล เราจะแจ้งให้ท่านทราบภายใน 72 ชั่วโมง ตาม PDPA

11. คุกกี้ (Cookies)

เว็บไซต์ของเราใช้คุกกี้เพื่อ:

ท่านสามารถจัดการคุกกี้ผ่าน cookie banner ตอนเข้าเว็บครั้งแรก หรือผ่านการตั้งค่า browser

12. การใช้ AI / Automated Decision-Making

OpsAdmin ใช้ AI (Large Language Models) ในการ:

• ตอบคำถามลูกค้าปลายทางอัตโนมัติ
• จัดประเภท/วิเคราะห์ข้อความ
• สร้างรายงาน

ข้อสำคัญ:

• AI ทำงานภายใต้ การควบคุมของท่าน (ในฐานะ admin)
• ท่านสามารถ takeover แทน AI ได้ทุกเมื่อ
• AI ไม่ทำการตัดสินใจที่มีผลทางกฎหมาย กับลูกค้าปลายทาง (เช่น การปฏิเสธบริการ, การกำหนดเครดิต)
• ท่านมี สิทธิ์ขอให้มนุษย์พิจารณา หากเชื่อว่า AI ตัดสินใจผิดพลาด

13. ผู้เยาว์ (Minors)

บริการของเรา ไม่ได้มุ่งเป้าไปยังเด็กอายุต่ำกว่า 20 ปี หากท่านเป็นผู้ปกครองและพบว่าบุตรของท่านส่งข้อมูลให้เราโดยไม่ได้รับอนุญาต กรุณาติดต่อเราเพื่อให้ลบข้อมูล

14. การแก้ไขนโยบาย

เราอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว เมื่อมีการเปลี่ยนแปลงที่สำคัญ เราจะ:

• แจ้งท่านล่วงหน้าอย่างน้อย 30 วัน ทางอีเมล
• โพสต์ประกาศบนหน้า dashboard
• อัปเดต Last Updated ที่ด้านบนของเอกสาร

การใช้บริการต่อหลังจากการปรับปรุงถือว่าท่านยอมรับนโยบายฉบับใหม่

15. ติดต่อเรา

หากท่านมีคำถามเกี่ยวกับนโยบายฉบับนี้ หรือต้องการใช้สิทธิ์ของท่าน:

📧 อีเมล: [email protected] 📮 ที่อยู่: [ที่อยู่บริษัท — กรุณากรอก]

ร้องเรียนต่อ สคส.: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) เว็บไซต์: https://www.pdpc.or.th

🇬🇧 Privacy Policy (English)

1. Introduction

OpsAdmin ("we", "us", or "OpsAdmin") values your privacy. This Privacy Policy explains how we collect, use, disclose, and protect your personal data when you use the OpsAdmin software ("Service"), including the Desktop (Local License) and Cloud/Online Subscription versions.

This Policy is prepared in compliance with the Personal Data Protection Act B.E. 2562 (PDPA) of Thailand.

Using our Service constitutes your acceptance of this Policy. If you do not agree, please discontinue use.

2. Data Controller

3. Our Role (Controller vs Processor)

OpsAdmin's role differs by data category:

3.1 OpsAdmin as Controller for:

• Your account data (as our customer) — name, email, phone, billing info
• Service usage data (analytics, error logs)
• Support/contact communications

3.2 OpsAdmin as Processor for:

• End-customer data you upload to the system — chat history, lead data, knowledge base content
• In this case, you are the Controller and we process per your instructions only
• This relationship is governed by a separate Data Processing Agreement (DPA)

3.3 Local License (on your own machine):

If you use the Local License running on your machine, we have no access to your data or end-customer data. All data remains on your device.

4. Personal Data We Collect

4.1 Information you provide directly

• Account info: name, email, phone, business name
• Payment info: via payment gateway (Omise/Stripe) — we do not store full credit card numbers
• LLM API credentials: your API keys (stored encrypted, not exposed)
• Support communications: content you submit

4.2 Information collected automatically (Online tier only)

• Technical data: IP address, browser, OS, device ID
• Usage data: pages viewed, buttons clicked, session duration, error logs
• Cookies / local storage: session tokens, preferences

4.3 Data you import (you are the Controller)

• End-customer data: name, phone, address, purchase history
• Chat conversations (FB Messenger, LINE OA)
• Knowledge base documents (PDF, DOCX, XLSX)

5. Purposes of Processing

We use your data to:

6. Disclosure to Third Parties (Sub-processors)

We disclose data to third parties only as necessary:

6.1 Sub-processors we use

Note: For Online tier using BYOK (Bring Your Own Key), chat data is sent from our servers to the LLM provider you select, using your own API key. Your relationship with the LLM provider is your responsibility.

6.2 We do not sell or rent your data to third parties for their marketing purposes.

7. Cross-border Data Transfer

Important: AI model usage involves sending data outside Thailand.

• Data sent to LLM providers (Anthropic, Google, OpenAI) is processed in the United States and/or Singapore
• We select providers with DPA + Standard Contractual Clauses (SCC) providing protection equivalent to PDPA
• You have the right to choose the Local License to avoid cross-border transfer

Explicit Consent: Using our Online tier constitutes your consent to cross-border data transfer as described above.

8. Data Retention

You can request earlier deletion per Section 9.

9. Data Subject Rights

Under PDPA, you have the following rights:

How to exercise: Email [email protected]. We respond within 30 days.

10. Security

We implement protective measures:

• 🔐 Encryption at-rest: AES-256 for databases and files
• 🔒 Encryption in-transit: TLS 1.3
• 🔑 API key encryption: stored encrypted, not visible even to our admins
• 👤 Access control: only authorized personnel access systems
• 📊 Audit logs: every data access is logged
• 🛡️ Vulnerability scanning: continuous monitoring
• 🔄 Backup: automated with disaster recovery plan

Despite strong measures, no system is 100% secure. In the event of a breach, we will notify affected users within 72 hours per PDPA.

11. Cookies

Our website uses cookies for:

You can manage cookies via the cookie banner on first visit or your browser settings.

12. AI / Automated Decision-Making

OpsAdmin uses AI (Large Language Models) to:

• Automatically respond to end-customer messages
• Classify/analyze text
• Generate reports

Key points:

• AI operates under your control (as admin)
• You can take over from AI at any time
• AI does not make legally significant decisions about end-customers (e.g., service denial, credit decisions)
• You have the right to request human review if you believe AI made an error

13. Minors

Our service is not directed at children under 20 years. If you are a parent and discover your child submitted data without authorization, please contact us for deletion.

14. Policy Updates

We may update this Policy occasionally. For material changes, we will:

• Notify you at least 30 days in advance by email
• Post a notice on the dashboard
• Update the Last Updated date at the top

Continued use after updates constitutes acceptance of the new Policy.

15. Contact Us

For questions about this Policy or to exercise your rights:

📧 Email: [email protected] 📮 Address: [Company Address — to be filled]

File a complaint with PDPC: Personal Data Protection Committee Office (PDPC) Website: https://www.pdpc.or.th

📝 Implementation Checklist (Internal)

Before publishing this Privacy Policy, ensure:

• Replace all [placeholder] fields with real data
• Register business entity (if not done) and add legal name + tax ID
• Confirm actual sub-processors used (remove unused, add new)
• Sign DPA with each LLM provider:
  • Anthropic: https://www.anthropic.com/legal
  • Google Cloud: https://cloud.google.com/terms/data-processing-addendum
  • OpenAI: https://openai.com/policies/data-processing-addendum
• Have Thai lawyer review (1-2 hour consultation, ~฿5,000-15,000)
• Publish at https://[yourdomain]/privacy and link from footer
• Include link in app onboarding (checkbox required)
• Set up privacy@[yourdomain] email forwarder
• Build internal process to handle data subject requests within 30 days
• Document Record of Processing Activities (ROPA) internally
• Train any team members on PDPA basics

Template prepared 2026-06-02 for OpsAdmin Always have a lawyer review before publishing