นโยบายความเป็นส่วนตัว

1. ผู้ให้บริการและผู้ควบคุมข้อมูลส่วนบุคคล

DomainHunter ดำเนินการโดยบุคคลธรรมดา (sole proprietor) ไม่ได้จดทะเบียนเป็นนิติบุคคลหรือบริษัท เราทำหน้าที่เป็น ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) สำหรับข้อมูลที่อธิบายไว้ในนโยบายนี้

เนื่องจากเราเป็นผู้ให้บริการรายย่อย จึงยังไม่มีการแต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) อย่างเป็นทางการ ซึ่งภายใต้ PDPA ไม่ได้บังคับสำหรับการประมวลผลขนาดเล็ก อย่างไรก็ตาม คุณสามารถติดต่อเราเรื่องความเป็นส่วนตัวและการใช้สิทธิของคุณได้ที่อีเมล support@domainhunter.info เสมอ

2. ข้อมูลส่วนบุคคลที่เราเก็บรวบรวม

เราเก็บเฉพาะข้อมูลเท่าที่จำเป็นต่อการให้บริการ ดังนี้

ข้อมูลบัญชีและโปรไฟล์

• อีเมล ชื่อ-นามสกุล และรูปโปรไฟล์ (avatar) ที่ได้รับจากการสมัครหรือจากผู้ให้บริการ OAuth
• เขตเวลา (timezone) และภาษาที่คุณเลือกใช้
• ข้อมูลเหล่านี้จัดเก็บใน Supabase (ตาราง auth.users และ profiles)

ข้อมูลการยืนยันตัวตน (Authentication)

• คุณเข้าสู่ระบบได้ด้วยอีเมลและรหัสผ่าน หรือผ่าน OAuth ของ Google, Apple หรือ Facebook
• รหัสผ่านจัดการโดย Supabase (เข้ารหัสด้วย bcrypt) — DomainHunter ไม่เคยจัดเก็บรหัสผ่านของคุณ
• เรารองรับอีเมลแบบ Private Relay ของ Apple (อีเมลปกปิด)

ข้อมูลการสมัครสมาชิกและการชำระเงิน

• แพ็กเกจ สถานะ รอบการเรียกเก็บเงิน สกุลเงิน และจำนวนเงิน
• รหัสอ้างอิงจาก Lemon Squeezy (subscription / customer / order / variant ID)
• เราไม่เคยจัดเก็บหรือเห็นข้อมูลบัตรเครดิตหรือบัตรชำระเงินของคุณ การประมวลผลบัตรทั้งหมดดำเนินการโดย Lemon Squeezy

ข้อมูลการใช้งานผลิตภัณฑ์

• Watchlist: รายชื่อโดเมน บันทึกส่วนตัว (notes) และราคาประมูลสูงสุด (max bid) ที่คุณกำหนด
• การค้นหาที่บันทึกไว้ (saved searches) ซึ่งคือเงื่อนไขตัวกรองของคุณ
• บันทึกการใช้งาน (usage logs) เช่น เหตุการณ์การค้นหา เพื่อบังคับใช้โควตาตามแพ็กเกจ
• API keys: เราจัดเก็บเฉพาะ ค่าแฮช SHA-256 และส่วนนำหน้า (prefix) สำหรับแสดงผล เท่านั้น โดยคีย์เต็มจะแสดงเพียงครั้งเดียวตอนสร้าง

ข้อมูลการคลิกลิงก์พันธมิตร (Affiliate)

• เมื่อคุณคลิกปุ่มซื้อที่ Namecheap เราจะบันทึกชื่อโดเมน ผู้รับจดทะเบียน (registrar) เวลา ค่าแฮช SHA-256 ของหมายเลข IP แบบใส่ salt โดยเราไม่เคยจัดเก็บหมายเลข IP จริง ข้อความ user agent และ referrer
• การบันทึกนี้ทำงานกับผู้เยี่ยมชมที่ไม่ได้ล็อกอินด้วย (กรณีนั้นจะไม่มีรหัสผู้ใช้)

คุกกี้

• เราใช้เพียง คุกกี้เซสชันของ Supabase (httpOnly, Secure, SameSite=Lax) เพื่อให้คุณยังคงอยู่ในระบบ
• ระบบวิเคราะห์การใช้งานของเราใช้ localStorage ของเบราว์เซอร์ ไม่ใช่คุกกี้

3. วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล

ภายใต้ PDPA เราประมวลผลข้อมูลส่วนบุคคลของคุณบนฐานทางกฎหมายดังต่อไปนี้

• การปฏิบัติตามสัญญา — เพื่อสร้างและดูแลบัญชี ให้บริการค้นหาและวิเคราะห์โดเมน จัดการ watchlist และการสมัครสมาชิกของคุณ
• ประโยชน์โดยชอบด้วยกฎหมาย (legitimate interest) — เพื่อความปลอดภัยของระบบ การป้องกันการใช้งานในทางที่ผิด การวิเคราะห์การใช้งานเพื่อปรับปรุงบริการ และการระบุที่มาของการคลิกลิงก์พันธมิตร (affiliate attribution)
• ความยินยอม (consent) — สำหรับอีเมลการตลาดหรือข่าวสาร และคุกกี้หรือการติดตามที่ไม่จำเป็น (หากมี) โดยคุณถอนความยินยอมได้ทุกเมื่อ
• การปฏิบัติตามกฎหมาย (legal obligation) — เมื่อเราจำเป็นต้องเก็บหรือเปิดเผยข้อมูลตามที่กฎหมายกำหนด

4. การวิเคราะห์การใช้งานและการตรวจสอบข้อผิดพลาด

การวิเคราะห์การใช้งาน (Analytics)

• เราใช้ PostHog เพื่อวิเคราะห์การใช้งานผลิตภัณฑ์ เช่น เหตุการณ์การค้นหา การคลิกปุ่มซื้อ และการดูหน้าราคา หลังจากคุณล็อกอิน ระบบจะระบุตัวตนด้วยรหัสผู้ใช้ (user id)
• เราปิดการบันทึกภาพหน้าจอและการเล่นซ้ำเซสชัน (session replay / recording) ไว้อย่างชัดเจน

การตรวจสอบข้อผิดพลาด (Error monitoring)

• เราอาจใช้ Sentry เพื่อบันทึกข้อผิดพลาดของเซิร์ฟเวอร์และ stack trace เพื่อแก้ไขปัญหา โดยค่าเริ่มต้นจะไม่มีการเก็บข้อมูลส่วนบุคคล

5. บุคคลที่สามและผู้ประมวลผลข้อมูล

เราเปิดเผยหรือแบ่งปันข้อมูลส่วนบุคคลกับผู้ให้บริการภายนอก (ผู้ประมวลผลข้อมูล) เท่าที่จำเป็นต่อการให้บริการ ดังนี้

• Supabase — ฐานข้อมูลและการยืนยันตัวตน จัดเก็บข้อมูลบัญชี โปรไฟล์ และข้อมูลการใช้งานผลิตภัณฑ์ทั้งหมด (เซิร์ฟเวอร์อยู่ที่สิงคโปร์ ภูมิภาค ap-southeast-1)
• Lemon Squeezy — การชำระเงินในฐานะ ผู้ค้าที่บันทึก (Merchant of Record) ดำเนินการประมวลผลบัตร ภาษี และใบแจ้งหนี้
• Resend — ส่งอีเมลธุรกรรม (เช่น อีเมลต้อนรับ สรุปการแจ้งเตือน) โดยรับอีเมลและเนื้อหาข้อความของคุณ
• Google / Apple / Facebook — การเข้าสู่ระบบผ่าน OAuth เฉพาะกรณีที่คุณเลือกล็อกอินด้วยโซเชียล
• PostHog — เหตุการณ์การวิเคราะห์การใช้งานผลิตภัณฑ์

ผู้ให้บริการข้อมูลโดเมน ได้แก่ DataForSEO, Ahrefs, OpenPageRank, WhoisXML, ICANN CZDS และ Upstash Redis จะได้รับเฉพาะ ชื่อโดเมนเท่านั้น ไม่มีข้อมูลส่วนบุคคล เราระบุไว้เพื่อความโปร่งใสว่าผู้ให้บริการเหล่านี้จัดการกับข้อมูลโดเมนซึ่งไม่ใช่ข้อมูลส่วนบุคคล

เราไม่ขายข้อมูลส่วนบุคคลของคุณให้แก่บุคคลใด

6. การโอนข้อมูลไปยังต่างประเทศ

ผู้ให้บริการบางรายของเราตั้งอยู่นอกประเทศไทย (เช่น สหรัฐอเมริกา สหภาพยุโรป และสิงคโปร์) การใช้บริการจึงอาจมีการโอนข้อมูลส่วนบุคคลของคุณไปยังต่างประเทศ

ภายใต้ PDPA เราเปิดเผยข้อเท็จจริงนี้และเลือกใช้ผู้ให้บริการที่มีมาตรฐานการคุ้มครองข้อมูลที่เหมาะสม การโอนข้อมูลเป็นไปเท่าที่จำเป็นต่อการให้บริการตามสัญญากับคุณเท่านั้น

7. ระยะเวลาการเก็บรักษาข้อมูล

• เราเก็บข้อมูลบัญชีไว้ตลอดระยะเวลาที่บัญชีของคุณยังใช้งานอยู่ และเก็บต่ออีกระยะเวลาที่เหมาะสมหลังจากนั้น เพื่อวัตถุประสงค์ทางกฎหมาย การจัดการบัญชี และการป้องกันการทุจริต
• ข้อมูลเชิงสถิติแบบรวม (aggregate) หรือข้อมูลที่ผ่านการแฮชแล้ว อาจถูกเก็บไว้นานกว่า เนื่องจากไม่สามารถระบุตัวคุณได้
• เมื่อคุณขอลบข้อมูล เราจะลบหรือทำให้ข้อมูลไม่สามารถระบุตัวตนได้ ภายใต้ข้อยกเว้นที่กฎหมายอนุญาตให้เก็บต่อ

8. มาตรการรักษาความปลอดภัย

• ข้อมูลถูกเข้ารหัสระหว่างการส่งด้วย HTTPS
• ใช้ระบบ row-level security เพื่อแยกข้อมูลของผู้ใช้แต่ละรายออกจากกัน
• API keys และหมายเลข IP ถูกจัดเก็บในรูปแบบที่ผ่านการแฮชแล้ว
• ข้อมูลบัตรชำระเงินไม่เคยผ่านระบบของเรา เพราะทั้งหมดอยู่กับ Lemon Squeezy
• ไม่มีระบบใดปลอดภัยอย่างสมบูรณ์ เราจึงไม่สามารถรับประกันความปลอดภัย 100% ได้ แต่เราใช้มาตรการที่เหมาะสมเพื่อปกป้องข้อมูลของคุณ

9. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้ PDPA คุณมีสิทธิดังต่อไปนี้

• สิทธิในการเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของคุณ
• สิทธิในการขอแก้ไขข้อมูลให้ถูกต้อง (rectification)
• สิทธิในการขอลบหรือทำลายข้อมูล (erasure)
• สิทธิในการขอให้ระงับการใช้ข้อมูล (restriction)
• สิทธิในการคัดค้านการประมวลผลข้อมูล (objection)
• สิทธิในการขอให้โอนย้ายข้อมูล (data portability)
• สิทธิในการถอนความยินยอม เมื่อการประมวลผลนั้นอาศัยความยินยอมของคุณ
• สิทธิในการร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. / PDPC)

ปัจจุบันเรายังไม่มีปุ่มลบบัญชีแบบบริการตนเอง (self-service) คุณสามารถใช้สิทธิข้างต้นได้โดยส่งอีเมลถึงเราที่ support@domainhunter.info เราจะดำเนินการตอบกลับและจัดการคำขอภายในระยะเวลาอันสมควร โดยทั่วไปภายใน 30 วัน

10. สิทธิเพิ่มเติมสำหรับผู้ใช้ในสหภาพยุโรปและสหราชอาณาจักร (GDPR)

หากคุณอยู่ในเขตเศรษฐกิจยุโรป (EEA) หรือสหราชอาณาจักร คุณมีสิทธิตามกฎหมาย GDPR ซึ่งใกล้เคียงกับสิทธิภายใต้ PDPA ได้แก่ สิทธิในการเข้าถึง แก้ไข ลบ จำกัดการประมวลผล คัดค้าน และโอนย้ายข้อมูล รวมถึงสิทธิร้องเรียนต่อหน่วยงานกำกับดูแลการคุ้มครองข้อมูลในประเทศของคุณ

ฐานทางกฎหมายในการประมวลผลของเราภายใต้ GDPR สอดคล้องกับที่ระบุไว้ข้างต้น ได้แก่ การปฏิบัติตามสัญญา ประโยชน์โดยชอบด้วยกฎหมาย ความยินยอม และการปฏิบัติตามกฎหมาย คุณสามารถส่งคำขอใช้สิทธิได้ที่ support@domainhunter.info

11. ข้อมูลของผู้เยาว์

บริการนี้ไม่ได้มุ่งเป้าไปที่ผู้เยาว์ เราไม่ได้ตั้งใจให้บริการแก่ผู้ที่มีอายุต่ำกว่า 20 ปี (เกณฑ์ตาม PDPA) หรือต่ำกว่า 18 ปี และเราไม่เก็บข้อมูลของผู้เยาว์โดยเจตนา หากคุณเชื่อว่าเราเก็บข้อมูลของผู้เยาว์โดยไม่ได้รับความยินยอมที่เหมาะสม โปรดติดต่อเราเพื่อให้ลบข้อมูลดังกล่าว

12. การเปลี่ยนแปลงนโยบายนี้

เราอาจปรับปรุงนโยบายความเป็นส่วนตัวนี้เป็นครั้งคราว หากมีการเปลี่ยนแปลงที่มีนัยสำคัญ เราจะแจ้งให้คุณทราบทางอีเมลหรือผ่านแอป โดยวันที่ปรับปรุงล่าสุดจะแสดงไว้ที่ด้านบนของเอกสารนี้เสมอ

13. ติดต่อเรา

หากคุณมีคำถามเกี่ยวกับนโยบายนี้ หรือต้องการใช้สิทธิของคุณ โปรดติดต่อ

• บริการ: DomainHunter (app.domainhunter.info)
• อีเมล: support@domainhunter.info

หากคุณไม่พอใจการดำเนินการของเรา คุณมีสิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส. / PDPC)