นโยบายความเป็นส่วนตัว

นโยบายความเป็นส่วนตัวฉบับนี้ (“นโยบาย”) จัดทำขึ้นตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“พ.ร.บ.ฯ” หรือ “PDPA”) เพื่อแจ้งให้ผู้ใช้งานทราบถึงวิธีการที่ Kruoop Co, LTD (“บริษัท”) ในฐานะผู้ควบคุมข้อมูลส่วนบุคคล เก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้งานแพลตฟอร์ม Kruoop ซึ่งให้บริการผ่านเว็บไซต์ kruoop.com และช่องทางอื่นที่บริษัทกำหนด (“แพลตฟอร์ม”)

ช่องทางติดต่อผู้ควบคุมข้อมูลส่วนบุคคล: อีเมล support@kruoop.com ที่อยู่: [ที่อยู่จดทะเบียนของนิติบุคคล — ผู้ก่อตั้งต้องระบุก่อนประกาศใช้]

การสมัครใช้งานหรือการใช้งานแพลตฟอร์มต่อไป ถือว่าผู้ใช้งานได้รับทราบเนื้อหาของนโยบายฉบับนี้แล้ว ทั้งนี้ ในกรณีที่การประมวลผลรายการใดอาศัยความยินยอม บริษัทจะขอความยินยอมโดยชัดแจ้งเป็นการเฉพาะ และผู้ใช้งานมีสิทธิถอนความยินยอมได้ตามข้อ 8

• “ข้อมูลส่วนบุคคล” หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรมโดยเฉพาะ
• “การประมวลผล” หมายถึง การเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล
• “ผู้ใช้งาน”หมายถึง บุคคลธรรมดาผู้สมัครบัญชีหรือเข้าใช้งานแพลตฟอร์ม ทั้งในบทบาทผู้เรียน ครูผู้สอน (“ครู”) และผู้ดูแลระบบ
• “โค้ช AI” หมายถึง ระบบผู้ช่วยการเรียนรู้อัตโนมัติบนแพลตฟอร์มซึ่งสร้างคำตอบด้วยปัญญาประดิษฐ์
• “ผู้ประมวลผลข้อมูลส่วนบุคคล” หมายถึง บุคคลหรือนิติบุคคลซึ่งดำเนินการประมวลผลข้อมูลส่วนบุคคลตามคำสั่งหรือในนามของบริษัท

บริษัทเก็บรวบรวมข้อมูลส่วนบุคคลจากผู้ใช้งานโดยตรง จากการใช้งานแพลตฟอร์ม และจากผู้ให้บริการภายนอกที่ผู้ใช้งานเลือกใช้ ดังต่อไปนี้

3.1 ข้อมูลบัญชีและโปรไฟล์

ชื่อที่แสดง ชื่อผู้ใช้ (handle) อีเมล รหัสผ่านในรูปแบบเข้ารหัสทางเดียว (hash) รูปโปรไฟล์ (avatar) ที่ผู้ใช้งานอัปโหลด และข้อมูลแนะนำตัวที่ผู้ใช้งานกรอกเอง

3.2 เนื้อหาที่ผู้ใช้งานสร้าง

โพสต์ ความคิดเห็น การกดถูกใจ โพลและการลงคะแนน รวมถึงไฟล์หรือรูปภาพที่แนบกับเนื้อหาดังกล่าว

3.3 ข้อมูลการเรียน

คอมมูนิตี้และคอร์สที่เข้าร่วม ความคืบหน้าในการเรียน กิจกรรมที่ลงทะเบียน คะแนนสะสม เลเวล และอันดับในลีดเดอร์บอร์ดตามระบบเกมมิฟิเคชันของแพลตฟอร์ม

3.4 ข้อมูลการชำระเงิน

ประวัติการสมัครสมาชิก แผนการชำระเงิน (รายเดือน/รายปี) จำนวนเงิน สถานะการชำระ และตัวระบุธุรกรรม ทั้งนี้ หมายเลขบัตรเครดิต/เดบิตและข้อมูลการชำระเงินโดยละเอียดถูกเก็บรวบรวมและประมวลผลโดย Stripe ซึ่งเป็นผู้ให้บริการรับชำระเงินภายนอกโดยตรง — ระบบของบริษัทไม่จัดเก็บหมายเลขบัตรเต็มรูปแบบไม่ว่ากรณีใด (ดูนโยบายของ Stripe ได้ที่เว็บไซต์ของ Stripe)

สำหรับคอมมูนิตี้แบบเสียค่าสมาชิก แพลตฟอร์มให้บริการในลักษณะตลาดกลาง ( marketplace) โดยครูหรือผู้เปิดคอมมูนิตี้เป็นผู้ขายอิสระ เมื่อสมาชิก ชำระค่าสมาชิก Stripe จะเป็นผู้ประมวลผลการชำระเงินและโอนเงินเข้าบัญชี Stripe ของครู (บัญชีที่เชื่อมต่อ) โดยตรง และบริษัทจะหักค่าธรรมเนียมแพลตฟอร์มในอัตราร้อยละ 20 (20%) จากยอดชำระดังกล่าว ข้อมูลจำนวนเงิน สถานะการโอน และตัวระบุธุรกรรมที่เกี่ยวข้องกับการรับเงินของครูจะถูกประมวลผลเพื่อการนี้

3.5 ข้อมูลจากการเข้าสู่ระบบผ่านผู้ให้บริการภายนอก

กรณีผู้ใช้งานเลือกเข้าสู่ระบบด้วยบัญชี LINE หรือ Google บริษัทจะได้รับตัวระบุบัญชี ชื่อที่แสดง อีเมล และรูปโปรไฟล์ ตามขอบเขตที่ผู้ใช้งานอนุญาตผ่านหน้าจอขอสิทธิของผู้ให้บริการนั้น

3.6 ข้อมูลบทสนทนากับโค้ช AI

ข้อความคำถามและคำตอบระหว่างผู้ใช้งานกับโค้ช AI ถูกบันทึกเพื่อให้บริการต่อเนื่องและพัฒนาคุณภาพของระบบ (ดู ข้อจำกัดความรับผิดของ AI)

3.7 คุกกี้และข้อมูลการใช้งาน

คุกกี้ที่จำเป็นต่อการทำงานของระบบ (ดูข้อ 12) หมายเลขไอพี (IP address) ชนิดอุปกรณ์และเบราว์เซอร์ เวลาเข้าใช้งาน และบันทึกการทำงานของระบบ (log) เพื่อความมั่นคงปลอดภัย

3.8 ข้อมูลของครูสำหรับการรับเงิน (Stripe Connect / KYC)

กรณีครูหรือผู้เปิดคอมมูนิตี้ประสงค์จะรับเงินจากคอมมูนิตี้แบบเสียค่าสมาชิก ครูต้องเปิดบัญชี Stripe ของครู (บัญชีที่เชื่อมต่อ) และให้ข้อมูลยืนยันตัวตนและข้อมูลตรวจสอบ (KYC) แก่ Stripe โดยตรง ผ่านขั้นตอนการลงทะเบียนของ Stripe ซึ่งอาจรวมถึงชื่อ-นามสกุล วันเดือนปีเกิด ข้อมูลติดต่อ เอกสารแสดงตน และข้อมูลบัญชีรับเงิน ตามที่ Stripe กำหนด ทั้งนี้บริษัทจะแบ่งปันข้อมูลระบุตัวตนของครูเท่าที่จำเป็น (เช่น ตัวระบุผู้ใช้และข้อมูลโปรไฟล์พื้นฐาน) ให้แก่ Stripe เพื่อสร้างและตรวจสอบบัญชีที่เชื่อมต่อดังกล่าว โดยข้อมูลยืนยันตัวตนที่ครูให้ไว้กับ Stripe จะถูกประมวลผลภายใต้นโยบายของ Stripe เอง

บริษัทประมวลผลข้อมูลส่วนบุคคลตามวัตถุประสงค์และฐานทางกฎหมายภายใต้ พ.ร.บ.ฯ ดังต่อไปนี้

1. การสมัคร การยืนยันตัวตน และการให้บริการหลักของแพลตฟอร์ม (การสร้างบัญชี การเข้าสู่ระบบ การเข้าร่วมคอมมูนิตี้ การเรียนคอร์ส การโพสต์และโต้ตอบ) — ฐานการปฏิบัติตามสัญญา
2. การรับชำระเงิน การจัดการการสมัครสมาชิก และการคืนเงิน — ฐานการปฏิบัติตามสัญญา
3. การแสดงคะแนน เลเวล และลีดเดอร์บอร์ดตามระบบเกมมิฟิเคชัน ซึ่งเป็นส่วนหนึ่งของประสบการณ์การเรียนรู้บนแพลตฟอร์ม — ฐานการปฏิบัติตามสัญญา
4. การให้บริการโค้ช AI ตามที่ผู้ใช้งานร้องขอ — ฐานการปฏิบัติตามสัญญา
5. การวิเคราะห์การใช้งาน การพัฒนาและปรับปรุงคุณภาพของบริการ ในลักษณะที่ไม่กระทบสิทธิเสรีภาพขั้นพื้นฐานของผู้ใช้งานเกินสมควร — ฐานประโยชน์โดยชอบด้วยกฎหมาย
6. การรักษาความมั่นคงปลอดภัยของระบบ การป้องกันการทุจริต และการบังคับใช้ข้อกำหนดการใช้งาน — ฐานประโยชน์โดยชอบด้วยกฎหมาย
7. การปฏิบัติตามกฎหมายที่ใช้บังคับ เช่น กฎหมายภาษีอากร การบัญชี หรือคำสั่งโดยชอบด้วยกฎหมายของหน่วยงานรัฐ — ฐานการปฏิบัติตามกฎหมาย
8. การใช้คุกกี้ที่ไม่จำเป็นต่อการให้บริการ (เช่น คุกกี้เพื่อการวิเคราะห์เชิงสถิติหรือการตลาด — หากมี) และการติดต่อสื่อสารทางการตลาด — ฐานความยินยอม ซึ่งผู้ใช้งานมีสิทธิถอนความยินยอมได้ตลอดเวลา โดยไม่กระทบการประมวลผลที่ได้กระทำไปแล้วก่อนการถอน

บริษัทอาจเปิดเผยข้อมูลส่วนบุคคลเท่าที่จำเป็นแก่บุคคลดังต่อไปนี้ โดยบริษัทจัดให้มีข้อตกลงการประมวลผลข้อมูลหรือมาตรการคุ้มครองตามที่ พ.ร.บ.ฯ กำหนด

• Stripe — ผู้ให้บริการรับชำระเงินภายนอก เพื่อประมวลผลการชำระเงินและการคืนเงินของสมาชิก และสำหรับครู ยังทำหน้าที่เป็นผู้รับและตรวจสอบข้อมูลยืนยันตัวตนเพื่อเปิดบัญชีรับเงิน (บัญชีที่เชื่อมต่อ) และโอนเงินเข้าบัญชีดังกล่าว
• LINE และ Google — ผู้ให้บริการระบบยืนยันตัวตน กรณีผู้ใช้งานเลือกเข้าสู่ระบบผ่านบัญชีดังกล่าว
• Cloudflare — ผู้ให้บริการเครือข่ายและความมั่นคงปลอดภัยของการเชื่อมต่อ
• ผู้ให้บริการโครงสร้างพื้นฐาน ระบบฐานข้อมูล และผู้ให้บริการโมเดลปัญญาประดิษฐ์ ที่บริษัทใช้ในการให้บริการแพลตฟอร์มและโค้ช AI
• ที่ปรึกษาวิชาชีพ เช่น ผู้สอบบัญชี ที่ปรึกษากฎหมาย เท่าที่จำเป็นต่อการปฏิบัติหน้าที่
• หน่วยงานรัฐหรือศาล เมื่อมีหน้าที่ตามกฎหมายหรือคำสั่งโดยชอบด้วยกฎหมาย

บริษัทไม่ขายข้อมูลส่วนบุคคลของผู้ใช้งานแก่บุคคลใดทั้งสิ้น

ผู้ให้บริการบางรายตามข้อ 5 (เช่น Stripe, Google, Cloudflare และผู้ให้บริการโมเดลปัญญาประดิษฐ์) อาจจัดเก็บหรือประมวลผลข้อมูลบนเซิร์ฟเวอร์ที่ตั้งอยู่นอกราชอาณาจักรไทย รวมถึงข้อมูลบัญชีที่เชื่อมต่อและข้อมูลยืนยันตัวตนของครูซึ่ง Stripe อาจประมวลผลนอกราชอาณาจักรไทยเช่นกัน ในกรณีดังกล่าว บริษัทจะดำเนินการให้การส่งหรือโอนข้อมูลเป็นไปตามหลักเกณฑ์ที่ พ.ร.บ.ฯ กำหนด เช่น การโอนไปยังประเทศปลายทางที่มีมาตรฐานการคุ้มครองที่เพียงพอ การจัดให้มีมาตรการคุ้มครองที่เหมาะสม หรือการอาศัยข้อยกเว้นอื่นตามกฎหมาย

บริษัทเก็บรักษาข้อมูลส่วนบุคคลเท่าที่จำเป็นตามวัตถุประสงค์ของการประมวลผล โดยมีแนวทางดังนี้

• ข้อมูลบัญชี โปรไฟล์ เนื้อหา และข้อมูลการเรียน — ตลอดระยะเวลาที่บัญชียังใช้งานอยู่ และไม่เกิน 90 วันหลังการลบบัญชี เว้นแต่กฎหมายกำหนดให้เก็บนานกว่านั้น
• ข้อมูลธุรกรรมการชำระเงินและเอกสารทางบัญชี — ตามระยะเวลาที่กฎหมายภาษีอากรและการบัญชีกำหนด
• บันทึกการทำงานของระบบ (log) — โดยทั่วไปไม่เกิน 90 วัน เว้นแต่จำเป็นต่อการสอบสวนเหตุการณ์ด้านความมั่นคงปลอดภัย
• บันทึกความยินยอมและการยอมรับเอกสารทางกฎหมาย — เก็บรักษาไว้ตลอดระยะเวลาที่จำเป็นเพื่อเป็นหลักฐานการปฏิบัติตามกฎหมาย

เมื่อพ้นระยะเวลาดังกล่าว บริษัทจะลบ ทำลาย หรือทำให้ข้อมูลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้

ภายใต้ พ.ร.บ.ฯ ผู้ใช้งานในฐานะเจ้าของข้อมูลส่วนบุคคลมีสิทธิดังต่อไปนี้

1. สิทธิในการเข้าถึงและขอรับสำเนา ข้อมูลส่วนบุคคลของตนที่อยู่ในความรับผิดชอบของบริษัท
2. สิทธิในการขอรับหรือขอให้โอนย้ายข้อมูล (data portability) ในรูปแบบที่อ่านได้โดยเครื่องมืออัตโนมัติ ในกรณีที่กฎหมายกำหนด
3. สิทธิในการคัดค้านการประมวลผล ในกรณีที่กฎหมายกำหนด
4. สิทธิในการขอให้ลบหรือทำลาย หรือทำให้ข้อมูลเป็นข้อมูลที่ไม่สามารถระบุตัวบุคคลได้
5. สิทธิในการขอให้ระงับการใช้ ข้อมูลส่วนบุคคลเป็นการชั่วคราว
6. สิทธิในการขอแก้ไข ข้อมูลส่วนบุคคลให้ถูกต้อง เป็นปัจจุบัน สมบูรณ์ และไม่ก่อให้เกิดความเข้าใจผิด
7. สิทธิในการถอนความยินยอม สำหรับการประมวลผลที่อาศัยฐานความยินยอม โดยไม่กระทบการประมวลผลที่ชอบด้วยกฎหมายก่อนการถอน
8. สิทธิในการร้องเรียน ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลหรือหน่วยงานที่เกี่ยวข้อง (ดูข้อ 9)

ผู้ใช้งานสามารถใช้สิทธิได้โดยติดต่อ support@kruoop.com พร้อมระบุสิทธิที่ประสงค์จะใช้ และข้อมูลที่เพียงพอต่อการยืนยันตัวตน บริษัทจะพิจารณาและแจ้งผลภายใน 30 วันนับแต่วันที่ได้รับคำร้องขอ ทั้งนี้ บริษัทอาจปฏิเสธคำร้องขอได้เฉพาะกรณีที่มีข้อยกเว้นตามกฎหมาย โดยจะแจ้งเหตุผลของการปฏิเสธให้ทราบ

หากผู้ใช้งานเห็นว่าบริษัทประมวลผลข้อมูลส่วนบุคคลโดยไม่ชอบด้วยกฎหมาย ผู้ใช้งานมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ตามหลักเกณฑ์และวิธีการที่สำนักงานฯ กำหนด อย่างไรก็ดี บริษัทขอแนะนำให้ติดต่อบริษัทที่ support@kruoop.com เป็นลำดับแรกเพื่อให้บริษัทได้มีโอกาสชี้แจงและแก้ไขข้อกังวลโดยเร็ว

บริษัทจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมทั้งเชิงองค์กรและเชิงเทคนิค เพื่อป้องกันการสูญหาย เข้าถึง ใช้ เปลี่ยนแปลง แก้ไข หรือเปิดเผยข้อมูลส่วนบุคคลโดยปราศจากอำนาจหรือโดยมิชอบ อาทิ

• การเข้ารหัสข้อมูลระหว่างการรับส่ง (TLS/HTTPS)
• การจัดเก็บรหัสผ่านในรูปแบบเข้ารหัสทางเดียว (hash) โดยไม่เก็บรหัสผ่านในรูปแบบข้อความปกติ
• การควบคุมสิทธิการเข้าถึงข้อมูลในระดับแถวของฐานข้อมูล (row-level security) และการจำกัดสิทธิการเข้าถึงของบุคลากรตามหลักการให้สิทธิเท่าที่จำเป็น
• การสำรองข้อมูลและการบันทึกกิจกรรมของระบบ

ในกรณีเกิดเหตุการละเมิดข้อมูลส่วนบุคคลที่มีความเสี่ยงต่อสิทธิเสรีภาพของเจ้าของข้อมูล บริษัทจะแจ้งต่อสำนักงานฯ ภายใน 72 ชั่วโมงนับแต่ทราบเหตุเท่าที่สามารถกระทำได้ และแจ้งเจ้าของข้อมูลตามหลักเกณฑ์ที่กฎหมายกำหนด

แพลตฟอร์มมิได้มุ่งหมายให้บริการแก่เด็กอายุต่ำกว่า 10 ปี และบริษัทไม่มีเจตนาเก็บรวบรวมข้อมูลส่วนบุคคลของเด็กดังกล่าว กรณีผู้ใช้งานเป็นผู้เยาว์ (อายุยังไม่ครบ 20 ปีบริบูรณ์) การให้ความยินยอมในการประมวลผลข้อมูลส่วนบุคคลที่ต้องอาศัยความยินยอม ต้องได้รับความยินยอมจากผู้ใช้อำนาจปกครองด้วย เว้นแต่เป็นกรณีที่ผู้เยาว์อาจให้ความยินยอมโดยลำพังได้ตามที่กฎหมายกำหนด หากบริษัทพบว่ามีการเก็บรวบรวมข้อมูลโดยไม่เป็นไปตามหลักเกณฑ์ดังกล่าว บริษัทจะดำเนินการลบข้อมูลนั้นโดยเร็ว

12.1 คุกกี้ที่จำเป็นต่อการให้บริการ

แพลตฟอร์มใช้คุกกี้และเทคโนโลยีจัดเก็บข้อมูลบนเบราว์เซอร์เท่าที่จำเป็นต่อการทำงานของระบบ ได้แก่

• คุกกี้เซสชันสำหรับการยืนยันตัวตน — ใช้รักษาสถานะการเข้าสู่ระบบของผู้ใช้งาน
• คุกกี้จดจำธีมการแสดงผล — ใช้จดจำโหมดสว่าง/มืดที่ผู้ใช้งานเลือก
• คุกกี้จดจำคอมมูนิตี้ที่ใช้งานอยู่ — ใช้จดจำคอมมูนิตี้ล่าสุดที่ผู้ใช้งานเปิดใช้งาน

คุกกี้กลุ่มนี้จำเป็นต่อการให้บริการตามสัญญา จึงไม่อาศัยความยินยอมและไม่สามารถปิดการใช้งานผ่านแพลตฟอร์มได้ หากปิดการใช้งานผ่านเบราว์เซอร์ บางส่วนของบริการอาจไม่ทำงานตามปกติ

12.2 การบันทึกการยอมรับ

เมื่อผู้ใช้งานกด “ยอมรับ” บนแบนเนอร์แจ้งเตือนคุกกี้ ระบบจะบันทึกการรับทราบไว้ในเบราว์เซอร์ของผู้ใช้งาน และในกรณีที่ผู้ใช้งานเข้าสู่ระบบอยู่ ระบบจะบันทึกรายการความยินยอมพร้อมเวอร์ชันของเอกสารไว้ในระบบของบริษัทเพื่อเป็นหลักฐาน

12.3 คุกกี้เพื่อการวิเคราะห์ (หากมี)

หากในอนาคตบริษัทใช้คุกกี้เพื่อการวิเคราะห์เชิงสถิติหรือการตลาด บริษัทจะขอความยินยอมจากผู้ใช้งานก่อน และผู้ใช้งานสามารถถอนความยินยอมได้ตลอดเวลา

12.4 การจัดการคุกกี้

ผู้ใช้งานสามารถตั้งค่าเบราว์เซอร์เพื่อปฏิเสธหรือลบคุกกี้ได้ด้วยตนเอง โปรดศึกษาวิธีการจากคู่มือของเบราว์เซอร์ที่ใช้งาน

บริษัทอาจแก้ไขปรับปรุงนโยบายฉบับนี้เป็นครั้งคราวเพื่อให้สอดคล้องกับการให้บริการและกฎหมายที่เปลี่ยนแปลงไป โดยจะประกาศฉบับปรับปรุงบนหน้านี้พร้อมระบุวันที่ปรับปรุงและหมายเลขเวอร์ชัน กรณีการแก้ไขมีนัยสำคัญต่อสิทธิของผู้ใช้งาน บริษัทจะแจ้งให้ทราบผ่านแพลตฟอร์มหรืออีเมลตามสมควร และจะขอความยินยอมใหม่ในกรณีที่กฎหมายกำหนด

ผู้ควบคุมข้อมูลส่วนบุคคล: Kruoop Co, LTD

• อีเมล: support@kruoop.com
• ที่อยู่: [ที่อยู่จดทะเบียนของนิติบุคคล — ผู้ก่อตั้งต้องระบุก่อนประกาศใช้]