นโยบายความเป็นส่วนตัว

1. ขอบเขตและคำจำกัดความ

นโยบายฉบับนี้ใช้กับบุคคลทุกประเภทที่ติดต่อกับเรา ได้แก่:

• ลูกค้าที่ใช้บริการพยากรณ์ดวงจีน, คอร์สเรียน, สินค้า/เนื้อหาที่ขายผ่าน sereniques.com
• ผู้เยี่ยมชมเว็บไซต์ ผู้สมัครรับจดหมายข่าว ผู้สมัครเป็นสมาชิก
• คู่ค้า ผู้ติดต่อทางธุรกิจ และผู้ที่กรอกข้อมูลในแบบฟอร์มของเรา

คำจำกัดความ:

• ข้อมูลส่วนบุคคล หมายถึงข้อมูลเกี่ยวกับบุคคลธรรมดาที่สามารถระบุตัวตนของบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม
• เจ้าของข้อมูล หมายถึงบุคคลที่ข้อมูลส่วนบุคคลนั้นๆ ระบุถึง (ตัวท่าน)
• ผู้ควบคุมข้อมูลส่วนบุคคล ตามนโยบายนี้คือ บริษัท เซริณีคส์ (ประเทศไทย) จำกัด

2. ฐานทางกฎหมายในการประมวลผล

เราประมวลผลข้อมูลส่วนบุคคลของท่านโดยอาศัยฐานทางกฎหมายตาม PDPA มาตรา 24 ดังต่อไปนี้:

• ฐานสัญญา (Contractual Necessity) — เพื่อปฏิบัติตามสัญญาที่ท่านเป็นคู่สัญญา หรือดำเนินการตามคำขอของท่านก่อนทำสัญญา (เช่น การจองคิวพยากรณ์, ลงทะเบียนคอร์ส, การชำระเงิน)
• ฐานหน้าที่ตามกฎหมาย (Legal Obligation) — เพื่อปฏิบัติตามกฎหมายที่บังคับใช้ (เช่น เก็บใบกำกับภาษี 5 ปีตามประมวลรัษฎากร, การรายงานตามกฎหมายภาษี)
• ฐานความยินยอม (Consent) — สำหรับการประมวลผลที่ต้องได้รับความยินยอมโดยตรง เช่น การส่งจดหมายข่าวการตลาด หรือการเก็บข้อมูลที่อ่อนไหว
• ฐานประโยชน์โดยชอบด้วยกฎหมาย (Legitimate Interest) — เพื่อประโยชน์ของบริษัทฯ หรือบุคคลภายนอกที่ไม่กระทบสิทธิของเจ้าของข้อมูลเกินสมควร เช่น การรักษาความปลอดภัยของระบบ การวิเคราะห์การใช้งาน การพัฒนาบริการ
• ฐานประโยชน์สำคัญต่อชีวิต (Vital Interest) — ในกรณีจำเป็นต่อความปลอดภัยของท่านหรือบุคคลอื่น

3. ประเภทข้อมูลส่วนบุคคลที่เราเก็บรวบรวม

ข้อมูลที่เราเก็บมีดังต่อไปนี้:

3.1 ข้อมูลระบุตัวบุคคลและการติดต่อ

• ชื่อ-นามสกุล ชื่อเล่น
• อีเมล เบอร์โทรศัพท์ LINE ID Instagram username
• วันเดือนปีเกิด เพศ
• ที่อยู่ที่ใช้ในการออกใบกำกับภาษี (ถ้ามี)

3.2 ข้อมูลเฉพาะของบริการพยากรณ์ดวงจีน

ข้อมูลด้านล่างเก็บโดยเฉพาะเพื่อใช้คำนวณผังดวงจีน (八字) ของท่าน เราถือว่าเป็นข้อมูล จำเป็นต่อการให้บริการ ไม่นำไปใช้นอกเหนือจากที่ระบุ:

• เวลาเกิดที่แม่นยำ (HH:MM)
• สถานที่เกิด (จังหวัด/ประเทศ) สำหรับคำนวณ True Solar Time
• คำถามและความปรารถนาที่ท่านส่งมาพร้อมการจองคิว
• ผังดวง 八字 + บทวิเคราะห์ที่จัดเก็บในบัญชีของท่าน

3.3 ข้อมูลธุรกรรมและการชำระเงิน

• ประวัติการจองคิวและคอร์สที่ลงทะเบียน
• วงเงิน วิธีการชำระเงิน วันที่ทำธุรกรรม
• ข้อมูลใบกำกับภาษี (ชื่อ ที่อยู่ เลขผู้เสียภาษี)
• เราไม่จัดเก็บเลขบัตรเครดิต หรือ CVV ของท่านในระบบของเรา ข้อมูลเหล่านี้อยู่ในความดูแลของผู้ให้บริการ Stripe ตามมาตรฐาน PCI-DSS

3.4 ข้อมูลการเรียนและกิจกรรม

• คอร์สที่ลงทะเบียนและความก้าวหน้าในการเรียน
• คำตอบในการบ้านและแบบฝึกหัด คะแนนและข้อเสนอแนะ
• ใบประกาศนียบัตร (ถ้ามี)

3.5 ข้อมูลทางเทคนิคและการใช้งานเว็บไซต์

• หมายเลข IP, ประเภทเบราว์เซอร์, ระบบปฏิบัติการ, ประเภทอุปกรณ์
• เวลาเข้าถึง หน้าเว็บที่เยี่ยมชม URL ที่อ้างอิง
• คุกกี้และเทคโนโลยีติดตามที่คล้ายกัน

4. วัตถุประสงค์ในการประมวลผลข้อมูล

เราใช้ข้อมูลของท่านเพื่อวัตถุประสงค์ต่อไปนี้:

• ให้บริการที่ท่านสั่งซื้อ จัดคิวนัดหมาย ออกใบกำกับภาษี
• คำนวณและจัดเก็บผังดวงของท่าน เพื่อใช้พยากรณ์ในครั้งปัจจุบันและอนาคต
• ส่งข้อความยืนยัน เตือนคิวล่วงหน้า แจ้งเหตุการณ์สำคัญที่เกี่ยวกับบริการ
• ดำเนินการสนับสนุนการเรียน ตรวจการบ้าน ออกประกาศนียบัตร
• ส่งจดหมายข่าวประจำเดือน บทความ โปรโมชัน เฉพาะที่ท่านสมัครรับ
• วิเคราะห์การใช้งานเว็บไซต์เพื่อปรับปรุงประสบการณ์
• ป้องกันการฉ้อโกง รักษาความปลอดภัยของระบบและบัญชี
• ปฏิบัติตามกฎหมายและคำสั่งของเจ้าหน้าที่ที่มีอำนาจ
• ใช้ในการพิสูจน์/ปกป้องสิทธิของบริษัทฯ ในกรณีมีข้อพิพาท

5. แหล่งที่มาของข้อมูล

เราได้รับข้อมูลส่วนบุคคลของท่านจากแหล่งดังต่อไปนี้:

• โดยตรงจากท่าน — ข้อมูลที่ท่านกรอกในแบบฟอร์ม การจองคิว การลงทะเบียน หรือการสื่อสารกับเรา
• โดยอัตโนมัติจากการใช้งาน — คุกกี้ บันทึกเข้าออกระบบ ข้อมูลอุปกรณ์
• จากบุคคลภายนอก — ผู้ให้บริการการชำระเงิน (Stripe) ผู้ให้บริการ social login (Google) ในกรณีที่ท่านเลือกใช้บริการเหล่านั้น

6. การเปิดเผยและส่งต่อข้อมูลให้บุคคลภายนอก

เราจะไม่ขายข้อมูลส่วนบุคคลของท่าน อาจมีการเปิดเผยให้บุคคลภายนอกในกรณีที่จำเป็น ตามวัตถุประสงค์ที่ระบุในนโยบายนี้ และผู้รับข้อมูลผูกพันตามมาตรฐานความปลอดภัย ที่เทียบเท่าหรือสูงกว่าที่ PDPA กำหนด:

6.1 ผู้ให้บริการประมวลผลข้อมูล

• Supabase (PostgreSQL hosting + Auth) — เก็บฐานข้อมูลและจัดการการล็อกอิน · เซิร์ฟเวอร์ใน AWS Singapore
• Stripe (Payment processing) — รับชำระเงินบัตรเครดิตและ PromptPay · เซิร์ฟเวอร์ในสหรัฐอเมริกา · ปฏิบัติตาม PCI-DSS Level 1
• Resend (Email delivery) — ส่งอีเมลยืนยัน ใบกำกับ จดหมายข่าว · เซิร์ฟเวอร์ในสหรัฐอเมริกา
• Google Cloud (Calendar, Meet, Workspace) — ปฏิทินนัดหมายและห้องพยากรณ์ออนไลน์
• Google AI (Gemini) — ผู้ช่วยวิเคราะห์ข้อมูลในลักษณะที่ไม่ระบุตัวตน
• Anthropic (Claude) — ผู้ช่วยวิเคราะห์ข้อมูลในลักษณะที่ไม่ระบุตัวตน
• ThaiBulkSMS — ส่ง SMS แจ้งเตือนคิว (เฉพาะหมายเลขโทรศัพท์และข้อความ)
• Railway (Application hosting) — โฮสต์ระบบเว็บไซต์
• LINE Corporation — แชนเนล LINE OA สำหรับลูกค้าที่เลือกติดต่อทาง LINE

6.2 หน่วยงานราชการและบุคคลที่กฎหมายกำหนด

• กรมสรรพากร เพื่อรายงานภาษี
• เจ้าหน้าที่รัฐในกรณีที่มีหมายศาล หมายค้น หรือคำสั่งทางกฎหมาย
• สำนักงานคุ้มครองข้อมูลส่วนบุคคล (PDPC)

6.3 ในกรณีปรับโครงสร้างองค์กร

หากเรามีการควบรวม ขายกิจการ หรือโอนทรัพย์สิน ข้อมูลส่วนบุคคลอาจถูกโอนไปยังนิติบุคคล ใหม่ภายใต้เงื่อนไขที่ไม่ลดมาตรฐานการคุ้มครองข้อมูลของท่าน

7. การส่งข้อมูลไปต่างประเทศ

ผู้ประมวลผลข้อมูลบางรายตั้งเซิร์ฟเวอร์อยู่นอกประเทศไทย (เช่น Stripe ในสหรัฐอเมริกา, AWS Singapore สำหรับ Supabase) การส่งข้อมูลออกนอกประเทศจะดำเนินการเฉพาะในกรณี จำเป็นต่อการให้บริการ และเป็นไปตาม PDPA มาตรา 28 โดย:

• ผู้รับข้อมูลอยู่ในประเทศที่ PDPC ประกาศว่ามีมาตรฐานการคุ้มครองข้อมูลที่เพียงพอ หรือ
• มีข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) ที่กำหนดมาตรฐานความปลอดภัยเทียบเท่า PDPA

8. ระยะเวลาในการเก็บรักษาข้อมูล

เราจะเก็บข้อมูลของท่านเท่าที่จำเป็นตามวัตถุประสงค์และตามที่กฎหมายกำหนด:

• ข้อมูลบัญชีและประวัติการจอง — ตลอดเวลาที่บัญชียังเปิดใช้งาน + 2 ปีหลังการลบบัญชี (ตามอายุความตาม ป.พ.พ. มาตรา 193/30)
• ใบกำกับภาษีและหลักฐานการชำระเงิน — 5 ปี ตามประมวลรัษฎากร มาตรา 87/3
• ข้อมูลผังดวง 八字 — ตลอดเวลาที่บัญชียังเปิดใช้งาน เพื่อให้พยากรณ์ในครั้งต่อไปได้แม่นยำ
• คุกกี้และ log การใช้งาน — สูงสุด 90 วัน
• ข้อมูลในรายการ unsubscribe — เก็บอีเมลที่ขอเลิกรับตลอดไป เพื่อกันการส่งซ้ำ
• ข้อมูลที่อยู่ระหว่างพิพาท — เก็บจนกว่าข้อพิพาทจะยุติและพ้นอายุความ

9. สิทธิของเจ้าของข้อมูล

ตาม PDPA มาตรา 30 ถึง มาตรา 36 ท่านมีสิทธิในข้อมูลส่วนบุคคลของท่านดังต่อไปนี้:

1. สิทธิในการเข้าถึงและขอรับสำเนา ข้อมูลส่วนบุคคลที่เรามีเกี่ยวกับท่าน รวมถึงขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลที่ท่านไม่ได้ให้ความยินยอม
2. สิทธิในการขอแก้ไข ข้อมูลที่ไม่ถูกต้องหรือไม่ครบถ้วนให้เป็นปัจจุบัน
3. สิทธิในการขอให้ลบ ทำลาย หรือทำให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวตนได้ เมื่อข้อมูลนั้นหมดความจำเป็น หรือท่านได้ถอนความยินยอม (ยกเว้นที่เรามีหน้าที่ตามกฎหมายต้องเก็บไว้)
4. สิทธิในการขอให้ระงับการใช้ข้อมูล ในกรณีที่ตรวจสอบความถูกต้อง หรือพ้นความจำเป็นแต่ท่านขอให้คงไว้
5. สิทธิในการคัดค้าน การประมวลผลข้อมูล โดยเฉพาะที่ทำเพื่อการตลาดทางตรง
6. สิทธิในการขอรับหรือขอให้ส่งข้อมูล ในรูปแบบที่อ่านได้ทางอิเล็กทรอนิกส์ (Data Portability) เช่น JSON หรือ CSV
7. สิทธิในการขอถอนความยินยอม ที่ให้ไว้ก่อนหน้านี้ได้ทุกเมื่อ โดยไม่กระทบต่อการประมวลผลที่อาศัยฐานทางกฎหมายอื่น
8. สิทธิในการร้องเรียน ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) หากเห็นว่าการประมวลผลข้อมูลของเราไม่เป็นไปตามกฎหมาย

ท่านสามารถใช้สิทธิเหล่านี้โดยติดต่อเราตามช่องทางในข้อ 13 เราจะดำเนินการตามคำขอ ภายใน 30 วัน นับแต่วันที่ได้รับคำขอ และอาจขยายระยะเวลาออกไปอีกตาม ความซับซ้อนของคำขอ โดยจะแจ้งเหตุผลให้ท่านทราบ

10. คุกกี้และเทคโนโลยีติดตาม

เว็บไซต์ของเราใช้คุกกี้ใน 3 ประเภท:

• คุกกี้ที่จำเป็นต่อการทำงาน (Strictly Necessary) — เก็บเซสชันการล็อกอิน การตั้งค่าภาษา ตะกร้าสินค้า — ปิดไม่ได้ มิฉะนั้นเว็บไซต์จะไม่ทำงาน
• คุกกี้เพื่อการวิเคราะห์ (Analytics) — Google Analytics เก็บสถิติการใช้งานในรูปแบบที่ไม่ระบุตัวตน — ท่านสามารถเลือกปิดได้
• คุกกี้ของบุคคลภายนอก (Third-party) — Stripe (จำเป็นต่อการชำระเงิน), Google Tag Manager — ท่านสามารถจัดการได้ในเบราว์เซอร์

ท่านสามารถปิดคุกกี้ได้จากการตั้งค่าเบราว์เซอร์ของท่าน แต่อาจส่งผลต่อการใช้งานบางฟีเจอร์

11. มาตรการรักษาความปลอดภัย

เราใช้มาตรการรักษาความปลอดภัยตามมาตรฐานอุตสาหกรรม ทั้งทางเทคนิคและทางการบริหาร:

• การเข้ารหัสในการสื่อสาร (HTTPS/TLS 1.3) ตลอดทั้งเว็บไซต์
• การเข้ารหัสในการจัดเก็บ (Encryption at rest) สำหรับฐานข้อมูล
• ระบบยืนยันตัวตนแบบสองชั้น (2FA) สำหรับบัญชี admin
• การควบคุมการเข้าถึง (Role-Based Access Control) แยกสิทธิ์ตามหน้าที่
• การจดบันทึกและตรวจสอบ (Audit Log) การเข้าถึงข้อมูลที่อ่อนไหว
• การสำรองข้อมูล และทดสอบการกู้คืนเป็นระยะ

อย่างไรก็ตาม ไม่มีระบบใดที่ปลอดภัย 100% ในกรณีพบเหตุการละเมิดข้อมูลที่กระทบสิทธิของท่าน เราจะแจ้งให้ท่านและสำนักงานคุ้มครองข้อมูลฯ ทราบ ภายใน 72 ชั่วโมง ตามที่ PDPA มาตรา 37 กำหนด

12. ข้อมูลที่เก็บก่อนวันที่ PDPA มีผลบังคับใช้

ข้อมูลส่วนบุคคลที่เราเก็บรวบรวมก่อนวันที่ 1 มิถุนายน 2565 (วันที่ PDPA มีผลบังคับ ใช้เต็มรูปแบบ) เราจะใช้ข้อมูลนั้นต่อไปตามวัตถุประสงค์เดิมที่เก็บมา ตาม PDPA มาตรา 95 ท่านมีสิทธิที่จะขอให้เราหยุดใช้ข้อมูลดังกล่าวได้ตลอดเวลา

13. การติดต่อเรา

สำหรับการใช้สิทธิตามนโยบายนี้ การร้องเรียน หรือสอบถามใดๆ เกี่ยวกับข้อมูลส่วนบุคคล กรุณาติดต่อ:

บริษัท เซริณีคส์ (ประเทศไทย) จำกัด
เลขประจำตัวผู้เสียภาษี: 0105566169464
ที่อยู่: 111 ทรู ดิจิทัล พาร์ค เวสต์ อาคารยูนิคอร์น ชั้น 10 ยูนิต 1007
ถนนสุขุมวิท แขวงบางจาก เขตพระโขนง กรุงเทพมหานคร 10260
อีเมล: service@sereniques.com

ในกรณีที่ท่านเห็นว่าเราไม่ปฏิบัติตามกฎหมาย ท่านสามารถร้องเรียนต่อ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ได้ที่ www.pdpc.or.th

14. การปรับปรุงนโยบาย

เราอาจปรับปรุงนโยบายนี้เป็นครั้งคราวให้สอดคล้องกับการเปลี่ยนแปลงของบริการ กฎหมาย หรือมาตรฐานอุตสาหกรรม การเปลี่ยนแปลงที่มีนัยสำคัญ (เช่น เพิ่มประเภทข้อมูล เพิ่มผู้ ประมวลผลภายนอก เปลี่ยนวัตถุประสงค์การใช้ข้อมูล) เราจะแจ้งให้ท่านทราบล่วงหน้า อย่างน้อย 30 วัน ผ่านทางอีเมลและการประกาศบนเว็บไซต์ การที่ท่านใช้บริการต่อไป หลังการปรับปรุง ถือเป็นการยอมรับเงื่อนไขใหม่