นโยบายความเป็นส่วนตัวของ HeiBook
อัปเดตล่าสุด: 15 ต.ค. 2569 (15 ตุลาคม 2026)
1. เราคือใคร
HeiBook คือระบบจองคิวสำหรับร้านนวดและสปา ให้บริการโดย:
Hello-Momo
179 หมู่ 4 ต.โนนดินแดง อ.โนนดินแดง จ.บุรีรัมย์ 31260 ประเทศไทย
โทรศัพท์: +66 81 492 4293
อีเมลติดต่อเรื่องข้อมูลส่วนบุคคล: [email protected]
เราไม่ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูล (DPO) หากมีคำถามเรื่องข้อมูลส่วนบุคคล ติดต่อทีมของเราที่อีเมลข้างต้น
2. บทบาทของเรา
- ลูกค้าของร้านและการจอง: ร้านที่ใช้ HeiBook เป็นผู้ควบคุมข้อมูล (data controller) ของลูกค้าตัวเอง ส่วน Hello-Momo เป็นผู้ประมวลผลข้อมูล (data processor) ทำตามคำสั่งของร้านเท่านั้น ภายใต้สัญญาประมวลผลข้อมูล (DPA, GDPR ข้อ 28) ถ้าคุณจองคิวกับร้านใด ร้านนั้นเป็นผู้ตอบเรื่องข้อมูลของคุณ เราช่วยร้านตอบ
- เว็บไซต์ การทดลองใช้ และการติดต่อเรา: ที่นี่ Hello-Momo เป็นผู้ควบคุมข้อมูลของสิ่งที่คุณให้เรา
นโยบายนี้ว่าด้วยกลุ่มหลังเป็นหลัก หัวข้อ 6 อธิบายวิธีที่เราดูแลข้อมูลการจองในฐานะผู้ประมวลผล
3. เราเก็บอะไร
- ฟอร์มขอทดลองใช้ฟรี (จากคุณ): ชื่อร้าน เมือง ชื่อคุณ อีเมล เบอร์โทร (ไม่บังคับ) ข้อความ (ไม่บังคับ) และช่องติ๊กว่าอ่านนโยบายแล้ว ฟอร์มยังบันทึกภาษาและหน้าที่คุณมาจาก รวมถึงแท็กแคมเปญในลิงก์ (utm_source, utm_medium, utm_campaign, utm_content)
- อีเมลถึงเรา (จากคุณ): สิ่งที่คุณเขียนและอีเมลของคุณ
- กันสแปม (ระบบสร้างเอง): เราเก็บรหัส (hash) ของ IP address ของคุณไว้ไม่เกิน 1 ชั่วโมง เพื่อจำกัดจำนวนครั้งที่ใช้ฟอร์มและแชต ไม่ได้เก็บ IP address จริง
- นับผู้เข้าชม: เรานับการเข้าชมและการคลิกโดยไม่เก็บ IP address ตัวนับใช้รหัสที่สร้างจากค่าสุ่มที่เปลี่ยนทุกวัน และบอกไม่ได้ว่าคุณเป็นใคร รหัสนี้ถูกลบอย่างช้าที่สุดในวันถัดไป
- คุกกี้: หน้าขายไม่ใช้เครื่องมือติดตามของบริษัทอื่น และไม่ใช้คุกกี้เพื่อการนับ ฟอร์มตั้งคุกกี้ที่จำเป็นหนึ่งตัว (csrftoken) เพื่อป้องกันการใช้ฟอร์มในทางที่ผิด
เราไม่หาข้อมูลของคุณจากแหล่งอื่น และไม่เก็บข้อมูลอ่อนไหว (ข้อ 9)
4. ใช้ข้อมูลเพื่ออะไร และฐานทางกฎหมาย
| วัตถุประสงค์ | ข้อมูล | ฐานทางกฎหมาย |
|---|---|---|
| ตอบคุณและตั้งร้านทดลองตามที่ขอ | ข้อมูลในฟอร์ม | จำเป็นเพื่อดำเนินการตามคำขอของคุณก่อนทำสัญญา (ข้อ 6(1)(b)) |
| ตอบอีเมลที่คุณส่งถึงเรา | ข้อความ อีเมล | ดำเนินการตามคำขอของคุณก่อนทำสัญญา (6(1)(b)) หรือประโยชน์โดยชอบของเราในการตอบคำถาม (6(1)(f)) |
| กันสแปมและการใช้ในทางที่ผิด | hash ของ IP | ประโยชน์โดยชอบ (6(1)(f)): ไม่ให้ฟอร์มและแชตถูกระบบอัตโนมัติรบกวน ขอดูการชั่งน้ำหนักประโยชน์ได้ที่ช่องติดต่อหัวข้อ 1 |
| นับผู้เข้าชมโดยไม่ระบุตัวตน | รหัสนิรนามรายวัน | ประโยชน์โดยชอบ (6(1)(f)): รู้ว่ามีคนเข้าชมหน้าเว็บกี่คน โดยไม่ใช้คุกกี้และไม่เก็บ IP address |
| ให้บริการแทนร้าน (ข้อมูลการจอง) | ข้อมูลลูกค้าจากร้าน | คำสั่งของร้าน สัญญาประมวลผลข้อมูล (ข้อ 28) |
เราไม่ใช้ข้อมูลเพื่อการตลาดถ้าคุณไม่ได้ให้ความยินยอมแยกต่างหาก ไม่มีการตัดสินใจอัตโนมัติหรือการทำโปรไฟล์ (ข้อ 22)
5. ใครได้รับข้อมูล
- ทีมของ Hello-Momo
- Google (Gmail): ผู้ให้บริการอีเมลที่เราใช้ส่งและรับอีเมล
- เซิร์ฟเวอร์ของ Hello-Momo เองในประเทศไทย: ที่เก็บข้อมูลจากฟอร์มและแชต
- Cloudflare: ผู้ให้บริการ DNS และบริการเครือข่าย (พร็อกซี) ที่ทราฟฟิกเว็บของเว็บไซต์ผ่าน
เราไม่ขายข้อมูลของคุณ
6. ข้อมูลการจองที่เราดูแลแทนร้าน (ในฐานะผู้ประมวลผล)
- ข้อมูลเป็นของร้าน เราใช้เพื่อให้ระบบจองทำงานเท่านั้น ไม่ใช้เพื่อประโยชน์ของเราเองหรือการตลาด
- เราช่วยร้านตอบคำขอใช้สิทธิ์ของลูกค้า ปัจจุบันระบบยังไม่มีปุ่มส่งออกข้อมูลลูกค้า ทีมของเราส่งออกและลบข้อมูลให้ตามคำขอของร้าน
- เมื่อสัญญากับร้านสิ้นสุด ร้านขอให้ส่งออกข้อมูลได้ภายใน 30 วัน หลังจากนั้นเราลบข้อมูล รวมข้อมูลสำรอง ภายใน 90 วัน ยกเว้นเอกสารบัญชีเกี่ยวกับสัญญาระหว่างเรากับร้าน (ดูหัวข้อ 8)
- ผู้ประมวลผลช่วงและการโอนข้อมูลไปไทยอยู่ในหัวข้อ 5 และ 7
7. การโอนข้อมูลออกนอก EEA
เซิร์ฟเวอร์ของเราตั้งอยู่ในประเทศไทย ซึ่งอยู่นอก EEA ดังนั้นข้อมูลของคุณไม่ได้เก็บอยู่ใน EU/EEA ผู้ให้บริการในหัวข้อ 5 อาจประมวลผลข้อมูลนอก EEA ด้วย
คณะกรรมาธิการยุโรปไม่ได้มีมติรับรองว่าไทยมีระดับการคุ้มครองเพียงพอ (ตรวจรายชื่อเมื่อ 13 ต.ค. 2569) สำหรับการโอนข้อมูล เราจึงใช้ข้อสัญญามาตรฐาน (SCC) ของคณะกรรมาธิการยุโรป (Implementing Decision (EU) 2021/914, GDPR ข้อ 46(2)(c)) ขอสำเนามาตรการคุ้มครองได้ที่อีเมลในหัวข้อ 1
เราวางแผนย้ายไปเซิร์ฟเวอร์ใน EEA แต่ยังไม่มีกำหนดวัน
8. เก็บข้อมูลนานแค่ไหน
GDPR กำหนดให้เก็บข้อมูลไม่นานเกินความจำเป็นตามวัตถุประสงค์ (ข้อ 5(1)(e)) กฎหมายไม่ได้กำหนดจำนวนวันตายตัวสำหรับเรื่องนี้ แผนของเราคือ:
| ข้อมูล | ระยะเก็บ | เหตุผล |
|---|---|---|
| ข้อมูลติดต่อของคนที่ไม่เริ่มทดลองใช้ (ฟอร์ม อีเมล แชต) | ไม่เกิน 90 วันหลังติดต่อครั้งล่าสุด | เกณฑ์ที่ทีมตั้งเอง กฎหมายไม่ได้กำหนดตัวเลข ฐาน: หลักจำกัดการเก็บ GDPR ข้อ 5(1)(e) |
| ร้านทดลองที่ไม่เป็นสัญญา | ลบภายใน 90 วันหลังการทดลองสิ้นสุด | เกณฑ์ที่ทีมตั้งเอง ฐานเดียวกัน |
| สัญญา ใบแจ้งหนี้ และเอกสารบัญชีระหว่างเรากับร้าน | ตามระยะที่กฎหมายบัญชีและภาษีที่ใช้บังคับกับเรากำหนด | หน้าที่เก็บเอกสารตามกฎหมาย |
| hash ของ IP (กันสแปม) | ไม่เกิน 1 ชั่วโมง | ค่าตั้งในระบบ |
| นับผู้เข้าชม: รหัสรายวัน | ลบอย่างช้าที่สุดในวันถัดไป ส่วนยอดรวม (จำนวนผู้เข้าชม) เก็บได้ไม่จำกัดเวลา เพราะโยงถึงตัวบุคคลไม่ได้ | ยอดรวมไม่ระบุตัวตน |
| ข้อมูลการจองของร้าน | ตลอดอายุสัญญากับร้าน หลังสัญญาสิ้นสุด: ส่งออกตามคำขอภายใน 30 วัน แล้วลบภายใน 90 วัน | GDPR ข้อ 28(3)(g) |
9. สิทธิ์ของคุณ
คุณมีสิทธิ์เข้าถึง แก้ไข ลบ จำกัดการประมวลผล และขอโอนย้ายข้อมูล (GDPR ข้อ 15–20) และถอนความยินยอมได้ทุกเมื่อโดยไม่กระทบการประมวลผลก่อนหน้า (ข้อ 7(3))
สิทธิ์คัดค้าน (ข้อ 21): คัดค้านการประมวลผลที่อาศัยประโยชน์โดยชอบได้ทุกเมื่อ เช่น การกันสแปมและการนับผู้เข้าชม
ใช้สิทธิ์ได้โดยอีเมลถึง [email protected] เราตอบภายในหนึ่งเดือนอย่างช้าที่สุด (GDPR ข้อ 12(3)) ถ้าข้อมูลอยู่ในระบบจองของร้าน เราช่วยร้านตอบ
10. ร้องเรียน
ร้องเรียนได้ที่หน่วยงานคุ้มครองข้อมูลนอร์เวย์ Datatilsynet (www.datatilsynet.no) หรือหน่วยงานของประเทศที่คุณอาศัย/ทำงาน หรือที่เชื่อว่าเกิดการละเมิด (ข้อ 77)
11. ต้องให้ข้อมูลไหม
การให้ข้อมูลเป็นความสมัครใจ แต่ถ้าไม่กรอกช่องที่จำเป็น เราตั้งร้านทดลองให้ไม่ได้ ไม่ใช่ข้อบังคับของกฎหมายหรือสัญญา
12. การเปลี่ยนแปลง
ถ้าแก้ไขสำคัญ เราจะแจ้งคุณโดยตรง เช่นทางอีเมล และแสดงว่าส่วนไหนเปลี่ยน