🔒

นโยบายความเป็นส่วนตัว

Privacy Policy — DuckKits AI Portal

← กลับ Login

นโยบายความเป็นส่วนตัว

Privacy Policy

มีผลบังคับใช้ตั้งแต่ 1 มีนาคม 2569  ·  ปรับปรุงล่าสุด 26 มีนาคม 2569  ·  เวอร์ชัน 1.0

🔒 ไม่ขายข้อมูล🚫 ไม่มี Tracking Cookies✅ PDPA Compliant🌐 GDPR Aligned🤖 Invitation-Only System
1

ข้อมูลเกี่ยวกับผู้ควบคุมข้อมูล

Data Controller

DuckKits AI Portal ดำเนินการโดย

บริษัท KTN Business Solutions (KTNBS)

อีเมล support@ktnbs.com

เว็บไซต์ www.ktnbs.com

DuckKits AI Portal เป็นระบบ AI สำหรับองค์กร ให้บริการเฉพาะผู้ใช้ที่ได้รับเชิญจากผู้ดูแลระบบเท่านั้น ไม่รับสมัครบุคคลทั่วไป

2

ข้อมูลที่เราเก็บรวบรวม

Data We Collect

2.1 ข้อมูลบัญชีและตัวตน

  • ชื่อแสดงผล (Display Name) อีเมล รูปโปรไฟล์ จาก Google / Microsoft OAuth
  • บทบาท (Role) และแผนก (Department) ที่ได้รับมอบหมายในองค์กร
  • ภาษาและ Timezone ที่ตั้งค่าในโปรไฟล์

2.2 ข้อมูลการใช้งาน AI

  • ข้อความ (Messages) ที่ส่งและรับในทุก Thread
  • ไฟล์ที่แนบ: PDF, DOCX, XLSX, CSV, PNG, JPG, MP3 (สูงสุด 10 MB/ไฟล์)
  • เสียงที่บันทึก (Voice Input) ก่อนแปลงเป็นข้อความ
  • รูปภาพที่สร้างผ่าน Image Studio (Text-to-Image)
  • Template และ Instruction ที่สร้างหรือใช้งาน

2.3 ข้อมูลเซสชันและความปลอดภัย

  • IP Address, User Agent, ประเภทอุปกรณ์ (Device, Browser, OS)
  • เวลาเข้าสู่ระบบ เวลา Logout และ Last Activity
  • ข้อมูลตำแหน่งโดยประมาณ (GeoIP — ประเทศ/จังหวัด) เพื่อการตรวจสอบความปลอดภัย
  • Audit Log ทุกการกระทำสำคัญ (เปลี่ยน Role, ลบผู้ใช้, เปลี่ยน Model ฯลฯ)

2.4 ข้อมูล Credits และการเงิน

  • ยอด Credit คงเหลือ (Base + Add-on) และประวัติการใช้งาน
  • บันทึก Token ที่ใช้ต่อ Request และต้นทุนโดยประมาณ

เราไม่เก็บรหัสผ่าน — ระบบใช้ OAuth 2.0 + PKCE ผ่าน Google และ Microsoft เป็นวิธียืนยันตัวตน

3

ฐานทางกฎหมายในการประมวลผล

Legal Basis for Processing (GDPR Art.6 / PDPA ม.24)

การปฏิบัติตามสัญญาAuthentication, Session Management, การให้บริการ AI Chat, Credit Tracking
ประโยชน์โดยชอบด้วยกฎหมายAudit Logs, Security Monitoring, ป้องกันการใช้งานที่ผิดปกติ, การวิเคราะห์ประสิทธิภาพระบบ
ความยินยอมการส่งอีเมลแจ้งเตือน (Notification Email) — ถอนความยินยอมได้ที่ตั้งค่าบัญชี
พันธะตามกฎหมายการเก็บ Log ตามข้อกำหนดทางกฎหมาย, การเปิดเผยข้อมูลตามคำสั่งศาล
4

วัตถุประสงค์ในการใช้ข้อมูล

How We Use Your Data

  • ยืนยันตัวตนและจัดการสิทธิ์การเข้าถึงตามระบบ RBAC/PBAC
  • ให้บริการ AI Chat, Projects, Templates, Instructions และ Image Studio
  • จัดการ Session Limit และ Thread Session Lock เพื่อป้องกันการใช้งานซ้ำซ้อน
  • ตรวจสอบและแจ้งเตือนเมื่อตรวจพบการ Login จากอุปกรณ์หรือ IP ผิดปกติ
  • คำนวณและหักยอด AI Credits ตาม FIFO Algorithm
  • บันทึก Audit Trail เพื่อการตรวจสอบและ Compliance
  • ส่งอีเมลแจ้งเตือน (Invitation, Welcome, Security Alert, Model Change) ตามที่ตั้งค่า
  • วิเคราะห์ Usage Analytics เพื่อปรับปรุงระบบ
5

การประมวลผลข้อมูลโดย AI

AI Data Processing

เมื่อคุณส่งข้อความผ่าน DuckKits AI Portal ข้อมูลจะถูกส่งไปยัง AI Provider ที่องค์กรของคุณเปิดใช้งาน ได้แก่

OpenAI

สหรัฐอเมริกา

GPT-4.1, GPT-4o, GPT-5, DALL-E 3

Anthropic

สหรัฐอเมริกา

Claude Opus, Sonnet, Haiku

Google

สหรัฐอเมริกา

Gemini Pro, Flash, Ultra

Perplexity

สหรัฐอเมริกา

Perplexity Online

xAI

สหรัฐอเมริกา

Grok

DeepSeek

สาธารณรัฐประชาชนจีน

DeepSeek V3, Coder

  • ข้อความและไฟล์ที่ส่งจะถูกประมวลผลโดย AI Provider ตามนโยบายความเป็นส่วนตัวของแต่ละราย
  • ระบบอาจเปิดใช้ PII Detection (Presidio) เพื่อตรวจจับและปกปิดข้อมูลส่วนบุคคลก่อนส่งไปยัง AI ตามการตั้งค่าขององค์กร
  • ประวัติการสนทนา (Thread) จัดเก็บในฐานข้อมูลของระบบและไม่ถูกลบอัตโนมัติ เพื่อรักษา Audit Trail
  • Context Compaction: เมื่อ Context ถึง 90% ระบบจะสรุปข้อความเก่าอัตโนมัติ โดยข้อความต้นฉบับยังคงอยู่ใน DB

⚠️ ไม่แนะนำให้ส่งข้อมูลส่วนบุคคลที่อ่อนไหว (เลขบัตรประชาชน, ข้อมูลสุขภาพ, ข้อมูลการเงิน) หรือความลับทางธุรกิจที่สำคัญผ่านระบบ AI

6

การโอนข้อมูลไปยังต่างประเทศ

International Data Transfers (PDPA ม.28-29 / GDPR Chapter V)

ระบบมีการโอนข้อมูลไปยังประเทศต่างๆ ดังนี้

  • Google & Microsoft (OAuth) — สหรัฐอเมริกา ใช้เพื่อยืนยันตัวตนเท่านั้น อยู่ภายใต้ Standard Contractual Clauses (SCCs)
  • AI Providers — สหรัฐอเมริกา และสาธารณรัฐประชาชนจีน (DeepSeek) ข้อมูลที่โอนคือข้อความใน Prompt เพื่อประมวลผล AI

เราดำเนินการโอนข้อมูลเฉพาะกับผู้ให้บริการที่มีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ หรืออยู่ภายใต้สัญญา Data Processing Agreement (DPA) ที่เหมาะสม

องค์กรสามารถจำกัด AI Provider ที่ใช้งานได้ผ่าน Org Model Settings หากต้องการหลีกเลี่ยงการส่งข้อมูลไปยังบางประเทศ

7

ระยะเวลาการเก็บรักษาข้อมูล

Data Retention (PDPA ม.23(3))

Session Token (JWT)ตามนโยบายองค์กร (ค่าเริ่มต้น 8 ชั่วโมง)
Activity Logs / Audit Logsตลอดอายุบัญชี + 1 ปีหลังปิดบัญชี
ข้อความใน Thread (Messages)ตลอดอายุบัญชี (ไม่ลบอัตโนมัติ — เพื่อ Audit Trail)
ไฟล์ที่ลบแล้ว30 วัน (Trash) จากนั้นลบถาวร
Token Blacklistจนกว่า Token จะหมดอายุ (ล้างโดย Cron Job)
Notification Recordsตามประเภท: Security 30 วัน, Project 90 วัน, AI Model 14 วัน
ข้อมูล Credit / Transactionตลอดอายุบัญชี + 3 ปี (เพื่อการตรวจสอบ)
ข้อมูลบัญชีหลังลบลบ Soft Delete ทันที, Hard Delete ตามนโยบายองค์กร
8

Cookies และ Session Storage

Cookies & Local Storage

ระบบใช้ Cookie ที่จำเป็นสำหรับการทำงานเท่านั้น ไม่มี Tracking หรือ Advertising Cookies

auth_tokenHttpOnly, SameSite=Lax

JWT Session Token สำหรับยืนยันตัวตน

callback_urlHttpOnly, 10 นาที

URL ปลายทางก่อน redirect ไป Login

pkce_verifierSession (ลบหลัง Login)

PKCE Code Verifier สำหรับ OAuth Security

oauth_stateSession (ลบหลัง Login)

CSRF Protection สำหรับ OAuth Flow

oauth_providerSession (ลบหลัง Login)

Provider ที่เลือก (google/microsoft)

9

การแบ่งปันข้อมูลกับบุคคลที่สาม

Data Sharing & Third Parties

เราไม่ขาย ไม่เช่า และไม่โอนข้อมูลส่วนบุคคลให้บุคคลภายนอกเพื่อการตลาดหรือโฆษณา ข้อมูลจะถูกแบ่งปันเฉพาะกรณีต่อไปนี้

  • AI Providers — ข้อความ Prompt ส่งเพื่อประมวลผล AI ตาม Provider ที่เลือก
  • Google / Microsoft — เฉพาะการยืนยันตัวตน OAuth ไม่ได้รับข้อมูลการสนทนา
  • ผู้ดูแลระบบในองค์กร — Super Admin และ Org Admin มีสิทธิ์เข้าถึง Audit Log, User Activity และสถิติการใช้งานภายในองค์กรของตน
  • ข้อกำหนดทางกฎหมาย — เปิดเผยตามคำสั่งศาลหรือหน่วยงานกำกับดูแลที่มีอำนาจ
10

มาตรการรักษาความปลอดภัย

Security Measures

  • AES-256-GCM — เข้ารหัส OAuth Access Token และข้อมูลสำคัญก่อนจัดเก็บ
  • JWT + HMAC-SHA256 — Session Token ลงนามและตรวจสอบความถูกต้องทุก Request
  • PKCE (RFC 7636) — ป้องกัน Authorization Code Interception ใน OAuth Flow
  • Token Blacklist — Token ที่ Logout แล้วถูก Blacklist ทันที ป้องกันการนำกลับมาใช้
  • Session Limit — จำกัดจำนวน Session พร้อมกัน (ค่าเริ่มต้น 3 Session/User)
  • TLS/HTTPS — ทุก Connection เข้ารหัสระหว่างส่งผ่านเครือข่าย
  • PBAC Guards — ตรวจสอบสิทธิ์ทุก API Endpoint ตาม Permission Code
  • Security Notifications — แจ้งเตือนทันทีเมื่อ Login จากอุปกรณ์ใหม่หรือมีการ Revoke Session
11

สิทธิ์ของเจ้าของข้อมูล

Your Rights (PDPA ม.30-37 / GDPR Art.15-22)

สิทธิ์รับทราบ (Right to be informed)

ได้รับแจ้งก่อนหรือขณะเก็บรวบรวมข้อมูล — นโยบายนี้เป็นส่วนหนึ่งของการแจ้ง

สิทธิ์เข้าถึง (Right of access)

ขอสำเนาข้อมูลส่วนบุคคลที่เราจัดเก็บ

สิทธิ์แก้ไข (Right to rectification)

ขอแก้ไขข้อมูลที่ไม่ถูกต้อง เช่น Display Name ผ่านหน้า Profile Settings

สิทธิ์ลบ (Right to erasure)

ขอลบบัญชีและข้อมูลที่เกี่ยวข้อง โดยติดต่อผู้ดูแลระบบ (ยกเว้น Audit Log ที่ต้องเก็บตามกฎหมาย)

สิทธิ์คัดค้าน (Right to object)

คัดค้านการประมวลผลที่อ้างฐาน Legitimate Interest

สิทธิ์ถอนความยินยอม (Right to withdraw consent)

ถอนความยินยอมสำหรับ Notification Email ได้ที่หน้าตั้งค่าการแจ้งเตือน

สิทธิ์โอนย้ายข้อมูล (Right to portability)

ขอรับข้อมูลในรูปแบบที่เครื่องอ่านได้ (สำหรับข้อมูลที่ประมวลผลด้วยความยินยอม)

ติดต่อขอใช้สิทธิ์ได้ที่ support@ktnbs.com เราจะตอบกลับภายใน 30 วัน

12

สิทธิ์ร้องเรียนต่อ PDPC

Right to Lodge a Complaint (PDPA ม.73)

หากคุณเชื่อว่าเราประมวลผลข้อมูลส่วนบุคคลของคุณโดยไม่ชอบด้วยกฎหมาย คุณมีสิทธิ์ร้องเรียนต่อ

สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)

กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม

www.pdpc.or.th

เราขอให้คุณติดต่อเราก่อนยื่นร้องเรียน เพื่อให้เราได้มีโอกาสแก้ไขปัญหาร่วมกัน

13

ผู้เยาว์

Children's Privacy

DuckKits AI Portal ออกแบบสำหรับการใช้งานในองค์กรเท่านั้น ไม่ได้มุ่งให้บริการแก่บุคคลที่มีอายุต่ำกว่า 20 ปี (ซึ่งถือเป็นผู้เยาว์ตาม PDPA) หากผู้เยาว์ใช้งานระบบ ต้องได้รับความยินยอมจากผู้ปกครองหรือผู้แทนโดยชอบธรรมก่อน

14

การเปลี่ยนแปลงนโยบาย

Policy Updates

  • เราอาจปรับปรุงนโยบายนี้เป็นครั้งคราวเพื่อสะท้อนการเปลี่ยนแปลงของระบบหรือกฎหมาย
  • การเปลี่ยนแปลงสำคัญจะแจ้งผ่านระบบ Announcement ในแอปพลิเคชันล่วงหน้าอย่างน้อย 30 วัน
  • วันที่มีผลบังคับใช้และวันปรับปรุงล่าสุดระบุไว้ที่ด้านบนของเอกสารนี้
  • การใช้งานต่อเนื่องหลังวันที่มีผลบังคับใช้ถือว่ายอมรับนโยบายที่ปรับปรุงแล้ว
15

ติดต่อและเจ้าหน้าที่คุ้มครองข้อมูล

Contact & Data Protection Officer (DPO)

หากมีคำถาม ข้อสงสัย หรือต้องการใช้สิทธิ์ใดๆ เกี่ยวกับข้อมูลส่วนบุคคล

ฝ่าย IT Support

support@ktnbs.com

ตอบกลับภายใน 3 วันทำการ

เรื่องคุ้มครองข้อมูลส่วนบุคคล

info@ktnbs.com

ตอบกลับภายใน 30 วัน

© 2026 KTNBS · DuckKits AI Portal · All rights reserved

เงื่อนไขการใช้งาน·นโยบาย AI·← กลับ Login