นโยบายความเป็นส่วนตัว

มีผลบังคับใช้ 1 พฤศจิกายน 2561  ·  ปรับปรุงล่าสุด 4 สิงหาคม 2569

ความเป็นส่วนตัวของท่านคือความรับผิดชอบของเรา นโยบายฉบับนี้ใช้บังคับกับข้อมูลส่วนบุคคลทั้งหมดที่ บริษัท ฤดี รีเทล จำกัด ผู้ดำเนินการแพลตฟอร์ม Ruedee เก็บรวบรวมผ่านเว็บไซต์ ruedee.com แอปพลิเคชันบนอุปกรณ์เคลื่อนที่ ช่องทางโซเชียลมีเดีย ศูนย์บริการลูกค้า และช่องทางอื่นใดที่บริษัทดำเนินการ

โปรดอ่านนโยบายฉบับนี้ควบคู่กับ ข้อกำหนดและเงื่อนไขการใช้บริการ หากท่านมีข้อสงสัยประการใด สามารถติดต่อเราได้ตามช่องทางที่ระบุไว้ในหมวดที่ 13

1. บทนำและขอบเขตการบังคับใช้

1. นโยบายฉบับนี้จัดทำขึ้นตาม พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“PDPA”) และกฎหมายลำดับรองที่เกี่ยวข้อง
2. “ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมและข้อมูลนิติบุคคล
3. นโยบายนี้ใช้บังคับกับ ลูกค้า ผู้ให้บริการ ร้านค้าพันธมิตร ผู้เยี่ยมชมเว็บไซต์ และผู้ติดต่อ ทุกราย
4. นโยบายนี้ ไม่ใช้บังคับ กับการประมวลผลข้อมูลที่ดำเนินการโดยผู้ให้บริการหรือบุคคลภายนอกในฐานะผู้ควบคุมข้อมูลของตนเอง ซึ่งอยู่ภายใต้นโยบายความเป็นส่วนตัวของบุคคลนั้น
5. บริษัทมีนโยบายแยกต่างหากสำหรับ ผู้สมัครงาน และ คู่ค้าทางธุรกิจ ซึ่งเผยแพร่ไว้บนเว็บไซต์ของบริษัท

2. ข้อมูลส่วนบุคคลที่เราเก็บรวบรวม

หากท่านไม่ให้ข้อมูลที่ทำเครื่องหมายว่า จำเป็น บริษัทอาจไม่สามารถสร้างบัญชี รับคำสั่งจอง ดำเนินการชำระเงิน หรือให้บริการแก่ท่านได้

3. แหล่งที่มาของข้อมูล

1. จากท่านโดยตรง — เมื่อท่านสมัครสมาชิก กรอกแบบฟอร์ม ทำการจอง เขียนรีวิว หรือติดต่อฝ่ายบริการลูกค้า
2. โดยอัตโนมัติจากการใช้งาน — ผ่านคุกกี้ พิกเซล ชุดพัฒนาซอฟต์แวร์ (SDK) และบันทึกของเซิร์ฟเวอร์
3. จากผู้ให้บริการและร้านค้าพันธมิตร — เช่น สถานะการเข้ารับบริการ การยืนยันการใช้อีวอเชอร์ หรือรายงานการไม่มาตามนัด
4. จากผู้ให้บริการภายนอก — ผู้ประมวลผลการชำระเงิน ผู้ให้บริการยืนยันตัวตน ผู้ให้บริการตรวจจับการฉ้อโกง และผู้ให้บริการวิเคราะห์ข้อมูล
5. จากผู้ให้บริการเข้าสู่ระบบด้วยบัญชีโซเชียล — เมื่อท่านเลือกเข้าสู่ระบบผ่าน Google, Facebook, Apple หรือ LINE เราจะได้รับข้อมูลพื้นฐานตามที่ท่านอนุญาตในการตั้งค่าของผู้ให้บริการนั้น
6. จากแหล่งข้อมูลสาธารณะ — เช่น ทะเบียนนิติบุคคลของกรมพัฒนาธุรกิจการค้า เพื่อยืนยันสถานะของผู้ให้บริการที่เป็นนิติบุคคล

4. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล

บริษัทประมวลผลข้อมูลส่วนบุคคลของท่านตามวัตถุประสงค์และฐานทางกฎหมายดังต่อไปนี้

5. ข้อมูลส่วนบุคคลอ่อนไหว

ข้อมูลอ่อนไหวตามมาตรา 26 แห่ง PDPA ได้แก่ ข้อมูลเชื้อชาติ ศาสนา ความคิดเห็นทางการเมือง พฤติกรรมทางเพศ ประวัติอาชญากรรม ข้อมูลสุขภาพ ความพิการ ข้อมูลพันธุกรรม และข้อมูลชีวภาพ

1. โดยหลักการ บริษัท ไม่ประสงค์จะเก็บรวบรวมข้อมูลอ่อนไหว และไม่ควรมีการระบุข้อมูลดังกล่าวในช่องข้อความทั่วไป
2. อย่างไรก็ตาม บริการบางประเภทบนแพลตฟอร์ม เช่น บริการด้านสุขภาพ คลินิกความงาม การนวดบำบัด หรือทันตกรรม อาจจำเป็นต้องมีการให้ข้อมูลสุขภาพ เช่น ประวัติการแพ้ ภาวะตั้งครรภ์ โรคประจำตัว หรือข้อจำกัดทางร่างกาย เพื่อความปลอดภัยของท่านเอง
3. ในกรณีดังกล่าว บริษัทจะเก็บรวบรวมและเปิดเผยข้อมูลแก่ผู้ให้บริการที่เกี่ยวข้อง ต่อเมื่อได้รับความยินยอมโดยชัดแจ้งจากท่านเท่านั้น และจะใช้ข้อมูลเพียงเท่าที่จำเป็นต่อการให้บริการอย่างปลอดภัย
4. ท่านมีสิทธิเพิกถอนความยินยอมได้ทุกเมื่อ แต่การเพิกถอนอาจทำให้ผู้ให้บริการไม่สามารถให้บริการบางประเภทแก่ท่านได้ด้วยเหตุผลด้านความปลอดภัย
5. บริษัทอาจใช้ข้อมูลชีวภาพ เช่น การสแกนใบหน้าหรือลายนิ้วมือ เพื่อการยืนยันตัวตนในการเข้าสู่ระบบ เฉพาะเมื่อท่านเปิดใช้งานฟีเจอร์ดังกล่าวด้วยตนเอง ทั้งนี้ ข้อมูลชีวภาพจะถูกประมวลผลและจัดเก็บไว้ในอุปกรณ์ของท่านเอง บริษัทไม่ได้รับสำเนาข้อมูลดังกล่าว

6. คุกกี้และเทคโนโลยีติดตาม

คุกกี้คือไฟล์ข้อความขนาดเล็กที่จัดเก็บไว้บนอุปกรณ์ของท่านเมื่อเข้าชมเว็บไซต์ บริษัทใช้คุกกี้และเทคโนโลยีที่คล้ายกัน ได้แก่ พิกเซล แท็ก และ SDK ในแอปพลิเคชัน

1. เมื่อท่านเข้าชมเว็บไซต์ครั้งแรก จะปรากฏแบนเนอร์ให้ท่านเลือกยอมรับหรือปฏิเสธคุกกี้แต่ละประเภท ท่านสามารถเปลี่ยนแปลงการตั้งค่าได้ตลอดเวลาผ่านเมนู “การตั้งค่าคุกกี้” ที่ส่วนท้ายของทุกหน้า
2. การปฏิเสธคุกกี้ที่จำเป็นจะทำให้เว็บไซต์ไม่สามารถทำงานได้อย่างถูกต้อง
3. ท่านสามารถลบหรือบล็อกคุกกี้ผ่านการตั้งค่าเบราว์เซอร์ของท่านได้ด้วยตนเอง
4. บริษัทเคารพสัญญาณ Global Privacy Control และ Do Not Track ที่เบราว์เซอร์ของท่านส่งมา โดยจะถือเป็นการปฏิเสธคุกกี้เพื่อการตลาด

7. การเปิดเผยข้อมูลส่วนบุคคล

บริษัท ไม่ขายข้อมูลส่วนบุคคลของท่านให้แก่บุคคลใด เราเปิดเผยข้อมูลเท่าที่จำเป็นแก่ผู้รับต่อไปนี้เท่านั้น

บริษัทกำหนดให้ผู้รับข้อมูลทุกรายต้องผูกพันตามข้อตกลงรักษาความลับและข้อตกลงการประมวลผลข้อมูลส่วนบุคคล และห้ามใช้ข้อมูลนอกเหนือวัตถุประสงค์ที่บริษัทกำหนด

8. การส่งหรือโอนข้อมูลไปยังต่างประเทศ

1. ผู้ให้บริการคลาวด์ ระบบวิเคราะห์ข้อมูล และเครื่องมือสื่อสารบางรายมีเซิร์ฟเวอร์ตั้งอยู่นอกราชอาณาจักรไทย เช่น ในสิงคโปร์ ญี่ปุ่น สหภาพยุโรป หรือสหรัฐอเมริกา
2. การส่งหรือโอนข้อมูลไปต่างประเทศจะดำเนินการตามมาตรา 28 และ 29 แห่ง PDPA โดยบริษัทจะใช้มาตรการคุ้มครองอย่างใดอย่างหนึ่งดังนี้
   • ส่งไปยังประเทศปลายทางที่มีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอตามที่คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลประกาศกำหนด
   • จัดทำข้อสัญญามาตรฐานว่าด้วยการคุ้มครองข้อมูลกับผู้รับข้อมูลปลายทาง
   • ใช้นโยบายคุ้มครองข้อมูลภายในกลุ่มกิจการที่ได้รับการตรวจสอบแล้ว
   • ขอความยินยอมโดยชัดแจ้งจากท่านหลังจากได้แจ้งถึงมาตรฐานการคุ้มครองที่ไม่เพียงพอของประเทศปลายทางแล้ว
3. ท่านสามารถขอรับสำเนาหรือรายละเอียดของมาตรการคุ้มครองที่บริษัทใช้ได้โดยติดต่อเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล

9. ระยะเวลาการเก็บรักษาข้อมูล

บริษัทเก็บรักษาข้อมูลส่วนบุคคลไว้เพียงเท่าที่จำเป็นตามวัตถุประสงค์ที่แจ้งไว้ หรือตามที่กฎหมายกำหนด

เมื่อพ้นระยะเวลาข้างต้น บริษัทจะลบ ทำลาย หรือทำให้ข้อมูลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้ (anonymisation) และอาจเก็บรักษาข้อมูลที่ไม่ระบุตัวตนไว้เพื่อการวิเคราะห์เชิงสถิติต่อไป

10. มาตรการรักษาความมั่นคงปลอดภัย

บริษัทจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมทั้งด้านเทคนิค ด้านองค์กร และด้านกายภาพ

มาตรการด้านเทคนิค

• เข้ารหัสข้อมูลระหว่างการรับส่งด้วย TLS 1.2 ขึ้นไป และเข้ารหัสข้อมูลที่จัดเก็บด้วยมาตรฐาน AES-256
• จัดเก็บรหัสผ่านในรูปแบบแฮชทางเดียวพร้อมค่าสุ่ม (salted hash) โดยไม่จัดเก็บรหัสผ่านในรูปแบบข้อความธรรมดา
• ไม่จัดเก็บหมายเลขบัตรชำระเงินเต็มรูปแบบ โดยใช้ระบบโทเคนของผู้ให้บริการที่ได้รับการรับรองมาตรฐาน PCI DSS
• ควบคุมการเข้าถึงตามหลักสิทธิที่จำเป็นน้อยที่สุด และบังคับใช้การยืนยันตัวตนหลายปัจจัยสำหรับระบบสำคัญ
• บันทึกและตรวจสอบการเข้าถึงข้อมูล ตรวจหาช่องโหว่เป็นระยะ และทดสอบเจาะระบบอย่างน้อยปีละครั้ง
• สำรองข้อมูลอย่างสม่ำเสมอพร้อมแผนกู้คืนระบบเมื่อเกิดภัยพิบัติ

มาตรการด้านองค์กรและกายภาพ

• กำหนดนโยบายความมั่นคงปลอดภัยสารสนเทศและอบรมพนักงานเรื่องการคุ้มครองข้อมูลอย่างน้อยปีละครั้ง
• ผูกพันพนักงานและผู้รับจ้างด้วยข้อตกลงรักษาความลับ
• ควบคุมการเข้าถึงพื้นที่จัดเก็บข้อมูลและอุปกรณ์ด้วยระบบคีย์การ์ดและกล้องวงจรปิด

11. การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

1. หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล บริษัทจะแจ้งต่อ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล ภายใน 72 ชั่วโมง นับแต่ทราบเหตุ เว้นแต่เหตุนั้นไม่มีความเสี่ยงที่จะกระทบต่อสิทธิและเสรีภาพของบุคคล
2. ในกรณีที่เหตุละเมิดมีความเสี่ยงสูงที่จะกระทบต่อสิทธิและเสรีภาพของท่าน บริษัทจะแจ้งให้ท่านทราบโดยไม่ชักช้า พร้อมระบุลักษณะของเหตุ ข้อมูลที่ได้รับผลกระทบ มาตรการเยียวยาที่ดำเนินการ และคำแนะนำในการป้องกันตนเอง
3. บริษัทจัดทำบันทึกเหตุละเมิดทุกกรณีไว้เป็นหลักฐานตามที่กฎหมายกำหนด
4. หากท่านพบช่องโหว่ด้านความปลอดภัยหรือสงสัยว่ามีการรั่วไหลของข้อมูล โปรดแจ้งมาที่ security@ruedee.com โดยเราจะไม่ดำเนินคดีกับผู้ที่แจ้งช่องโหว่โดยสุจริตและไม่ก่อความเสียหาย

12. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้ PDPA ท่านมีสิทธิดังต่อไปนี้

การใช้สิทธิบางประการอาจถูกจำกัดได้ตามกฎหมาย เช่น เมื่อบริษัทมีหน้าที่ต้องเก็บข้อมูลไว้ตามกฎหมายภาษี หรือเมื่อจำเป็นต่อการก่อตั้งสิทธิเรียกร้องตามกฎหมาย ในกรณีเช่นนี้บริษัทจะแจ้งเหตุผลให้ท่านทราบเป็นลายลักษณ์อักษร

13. วิธีการใช้สิทธิและการลบข้อมูล

ช่องทางการใช้สิทธิ

1. ผ่านแอปพลิเคชันหรือเว็บไซต์ — ไปที่ บัญชีของฉัน → การตั้งค่าความเป็นส่วนตัว ซึ่งท่านสามารถดาวน์โหลดข้อมูล แก้ไขข้อมูล จัดการความยินยอม หรือขอลบบัญชีได้ด้วยตนเอง
2. ทางอีเมล — ส่งคำขอมาที่ privacy@ruedee.com พร้อมระบุชื่อ อีเมลที่ลงทะเบียน สิทธิที่ประสงค์จะใช้ และรายละเอียดของคำขอ
3. ทางไปรษณีย์ — ส่งถึงเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล บริษัท ฤดี รีเทล จำกัด ตามที่อยู่สำนักงานของบริษัท

ขั้นตอนการดำเนินการ

1. บริษัทจะยืนยันตัวตนของท่านก่อน เพื่อป้องกันการเปิดเผยข้อมูลแก่ผู้ไม่มีสิทธิ อาจมีการขอเอกสารแสดงตนเพิ่มเติม
2. บริษัทจะพิจารณาและตอบกลับคำขอของท่านภายใน 30 วัน นับแต่วันที่ได้รับคำขอที่ครบถ้วน
3. ในกรณีที่คำขอมีความซับซ้อนหรือมีจำนวนมาก บริษัทอาจขยายระยะเวลาออกไปได้อีกไม่เกิน 30 วัน โดยจะแจ้งเหตุผลให้ท่านทราบ
4. การใช้สิทธิ ไม่มีค่าใช้จ่าย เว้นแต่คำขอนั้นไม่มีมูลหรือมีลักษณะเป็นการใช้สิทธิเกินสมควรซ้ำ ๆ ซึ่งบริษัทอาจเรียกเก็บค่าใช้จ่ายตามสมควรหรือปฏิเสธคำขอได้

การลบบัญชีและข้อมูล

เมื่อท่านขอลบบัญชี บริษัทจะดำเนินการดังนี้

• ปิดการเข้าถึงบัญชีทันที และลบข้อมูลโปรไฟล์ ประวัติการค้นหา และการตั้งค่าส่วนบุคคลภายใน 30 วัน
• ทำให้รีวิวของท่านเป็นแบบไม่ระบุชื่อ หรือลบออกตามที่ท่านร้องขอ
• คงข้อมูลธุรกรรมและใบกำกับภาษีไว้ตามระยะเวลาที่กฎหมายกำหนดในหมวดที่ 9 โดยจำกัดการเข้าถึงเฉพาะเจ้าหน้าที่ที่เกี่ยวข้องเท่านั้น
• เครดิตเงินคืน อีวอเชอร์ที่ยังไม่ได้ใช้ และสิทธิประโยชน์คงเหลือจะสิ้นสุดลงโดยไม่มีการชดเชย

14. การตลาดและการติดต่อสื่อสาร

1. บริษัทจะส่งข่าวสารการตลาด โปรโมชัน และข้อเสนอพิเศษ เมื่อได้รับความยินยอมจากท่านเท่านั้น
2. ท่านสามารถยกเลิกการรับข่าวสารได้ทุกเมื่อ โดย
   • คลิกลิงก์ “ยกเลิกการรับข่าวสาร” ที่ส่วนท้ายของอีเมลทุกฉบับ
   • ปรับการตั้งค่าใน บัญชีของฉัน → การแจ้งเตือน
   • ตอบกลับ SMS ด้วยข้อความตามที่ระบุ หรือแจ้งฝ่ายบริการลูกค้า
3. การยกเลิกจะมีผลภายใน 7 วัน นับแต่ที่บริษัทได้รับแจ้ง
4. แม้ท่านจะยกเลิกการรับข่าวสารการตลาดแล้ว บริษัทยังคงต้องส่ง ข้อความเกี่ยวกับธุรกรรม เช่น การยืนยันการจอง การแจ้งเตือนนัดหมาย ใบเสร็จ การแจ้งเปลี่ยนแปลงเงื่อนไขบริการ และการแจ้งเตือนด้านความปลอดภัย ซึ่งท่านไม่สามารถยกเลิกได้ตราบเท่าที่ยังมีบัญชีอยู่
5. บริษัทอาจใช้ข้อมูลการใช้งานเพื่อจัดกลุ่มผู้ใช้และแสดงโฆษณาที่เกี่ยวข้องบนแพลตฟอร์มของบุคคลภายนอก ท่านสามารถคัดค้านการประมวลผลลักษณะนี้ได้ตามหมวดที่ 12

15. การตัดสินใจโดยอัตโนมัติและการจัดทำโปรไฟล์

บริษัทใช้ระบบอัตโนมัติในบางกระบวนการ ดังนี้

• การจัดอันดับและแนะนำบริการ — ระบบวิเคราะห์ประวัติการค้นหา การจอง และตำแหน่งที่ตั้ง เพื่อจัดลำดับผลการค้นหาและแนะนำร้านที่น่าจะตรงกับความสนใจของท่าน
• การตรวจจับการฉ้อโกง — ระบบให้คะแนนความเสี่ยงของธุรกรรมจากรูปแบบการใช้งาน อุปกรณ์ และประวัติการชำระเงิน เพื่อระงับรายการที่น่าสงสัย
• การคัดกรองเนื้อหา — ระบบตรวจหาข้อความที่อาจละเมิดข้อกำหนด เช่น การพยายามย้ายธุรกรรมออกนอกแพลตฟอร์ม

การตัดสินใจอัตโนมัติที่ ส่งผลกระทบอย่างมีนัยสำคัญต่อท่าน เช่น การระงับบัญชีหรือการปฏิเสธธุรกรรม จะได้รับการทบทวนโดยเจ้าหน้าที่ที่เป็นบุคคลธรรมดาเสมอ ท่านมีสิทธิ

1. ขอทราบเหตุผลของการตัดสินใจนั้น
2. ขอให้เจ้าหน้าที่ทบทวนการตัดสินใจใหม่
3. โต้แย้งผลการตัดสินใจ โดยติดต่อ privacy@ruedee.com

16. ข้อมูลส่วนบุคคลของผู้เยาว์

1. แพลตฟอร์มของบริษัทมิได้มีวัตถุประสงค์เพื่อให้บริการแก่ผู้ที่มีอายุต่ำกว่า 20 ปีบริบูรณ์ โดยลำพัง
2. บริษัทไม่เก็บรวบรวมข้อมูลของเด็กอายุต่ำกว่า 10 ปี โดยเจตนา หากจำเป็นต้องประมวลผล จะต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองเท่านั้นตามมาตรา 20 แห่ง PDPA
3. ผู้เยาว์ที่มีอายุตั้งแต่ 10 ปีขึ้นไปแต่ยังไม่บรรลุนิติภาวะ อาจให้ความยินยอมได้เฉพาะการกระทำที่สมแก่ฐานานุรูปและจำเป็นในการดำรงชีพตามสมควร มิฉะนั้นต้องได้รับความยินยอมจากผู้ปกครอง
4. หากบริษัททราบว่าได้เก็บรวบรวมข้อมูลของผู้เยาว์โดยไม่ได้รับความยินยอมที่ถูกต้อง บริษัทจะลบข้อมูลดังกล่าวโดยไม่ชักช้า
5. หากท่านเป็นผู้ปกครองและเชื่อว่าบุตรหลานของท่านได้ให้ข้อมูลแก่บริษัทโดยไม่ได้รับความยินยอม โปรดติดต่อ privacy@ruedee.com เพื่อให้เราดำเนินการลบข้อมูล

17. การเปลี่ยนแปลงนโยบายฉบับนี้

1. บริษัทอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราว เพื่อให้สอดคล้องกับการเปลี่ยนแปลงของกฎหมาย เทคโนโลยี หรือแนวทางการดำเนินธุรกิจ
2. นโยบายฉบับปรับปรุงจะเผยแพร่บนหน้านี้ พร้อมระบุวันที่ปรับปรุงล่าสุดและหมายเลขฉบับไว้ที่ส่วนหัวของเอกสาร
3. หากการเปลี่ยนแปลงมีสาระสำคัญ เช่น การเพิ่มวัตถุประสงค์ใหม่ในการประมวลผล การเปลี่ยนแปลงผู้รับข้อมูล หรือการขยายระยะเวลาการเก็บรักษา บริษัทจะแจ้งให้ท่านทราบล่วงหน้าไม่น้อยกว่า 30 วัน ผ่านอีเมลหรือการแจ้งเตือนในแอปพลิเคชัน และจะขอความยินยอมใหม่หากกฎหมายกำหนด
4. บริษัทเก็บรักษานโยบายฉบับก่อนหน้าไว้เพื่อการตรวจสอบ ท่านสามารถขอรับสำเนาได้จากเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล