1. เราคือใคร (ผู้ควบคุมข้อมูล)

KK (ต่อไปนี้เรียกว่า “เว็บไซต์” หรือ “เรา”) เป็นแบรนด์สื่อสอนใช้งานคริปโตหลายภาษา เผยแพร่ผ่าน kkinvesting.io ในเอกสารฉบับนี้ “ผู้ควบคุมข้อมูลส่วนบุคคล” (Data Controller) ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หมายถึงทีมบรรณาธิการของเว็บไซต์ ติดต่อเพื่อใช้สิทธิเกี่ยวกับข้อมูลส่วนบุคคลได้ที่ [email protected]

2. ข้อมูลที่เราเก็บรวบรวม

เรารับข้อมูลผ่านสามช่องทาง

• เก็บอัตโนมัติ (ข้อมูลทางเทคนิค): หมายเลข IP, ประเภทและเวอร์ชันของเบราว์เซอร์, ระบบปฏิบัติการ, เวลาเข้าชม, ระยะเวลาที่อยู่ในหน้า, หน้าที่เยี่ยมชม, referrer, ความละเอียดหน้าจอ ข้อมูลเหล่านี้มาจาก server log, Google Analytics 4 และ Cloudflare Web Analytics
• คุกกี้และ local storage: ใช้จดจำภาษาที่คุณเลือก สถานะการยินยอม การวัดผลทราฟฟิก และ attribution ของโฆษณา (ดูรายละเอียดในข้อ 6)
• ข้อมูลที่คุณให้เราเอง: ชื่อ อีเมล และเนื้อหาข้อความเมื่อคุณส่งเมลหรือใช้แบบฟอร์มติดต่อ รวมถึงอีเมลเมื่อคุณสมัครรับจดหมายข่าว

เรา ไม่เก็บ: ข้อมูลบัตรเครดิตหรือเลขบัญชีธนาคาร, private key ของกระเป๋าคริปโต, ภาพถ่ายหรือสแกนบัตรประชาชน/พาสปอร์ต หากมีผู้อ้างว่าเป็น KK และขอข้อมูลเหล่านี้จากคุณ นั่นคือการแอบอ้าง โปรดแจ้งเราทันทีที่ [email protected]

3. วัตถุประสงค์ในการใช้ข้อมูล

• ให้บริการเนื้อหาและปรับเวอร์ชันภาษาให้ตรงกับคุณ
• วิเคราะห์ทราฟฟิกและพฤติกรรมผู้อ่านเพื่อปรับปรุงเนื้อหาและประสบการณ์ใช้งาน
• ตอบกลับเมลหรือข้อซักถามของคุณ
• ส่งจดหมายข่าวที่คุณสมัครรับ (ทุกฉบับมีลิงก์ยกเลิกการรับ)
• ตรวจจับและป้องกันการใช้งานที่ผิดปกติ การฉ้อโกง และการโจมตีจากบอท
• ปฏิบัติตามหน้าที่ตามกฎหมาย เช่น คำขอจากหน่วยงานกำกับดูแล หรือกระบวนการทางศาล

เรา ไม่ขาย ข้อมูลส่วนบุคคลของคุณให้บุคคลที่สาม และ ไม่นำ ข้อมูลส่วนบุคคลของคุณไปฝึกโมเดล AI

4. ฐานทางกฎหมาย (PDPA มาตรา 24 และ GDPR)

เราประมวลผลข้อมูลส่วนบุคคลของคุณภายใต้ฐานทางกฎหมายอย่างใดอย่างหนึ่งต่อไปนี้ โดยอ้างอิงมาตรา 24 ของ PDPA และมาตรา 6 ของ GDPR ที่สอดคล้องกัน

• ความยินยอม (PDPA มาตรา 24 / GDPR Art. 6(1)(a)): คุกกี้ประเภทวิเคราะห์และโฆษณา การสมัครรับจดหมายข่าว คุณสามารถถอนความยินยอมเมื่อใดก็ได้
• ประโยชน์โดยชอบด้วยกฎหมาย (PDPA มาตรา 24(5) / GDPR Art. 6(1)(f)): ความปลอดภัยของเว็บไซต์ การป้องกันการฉ้อโกง การวิเคราะห์ทราฟฟิกพื้นฐาน และ log ทางเทคนิค
• การปฏิบัติตามสัญญา (PDPA มาตรา 24(3) / GDPR Art. 6(1)(b)): ตอบกลับคำถามหรือข้อเสนอความร่วมมือที่คุณส่งมาให้เรา
• หน้าที่ตามกฎหมาย (PDPA มาตรา 24(6) / GDPR Art. 6(1)(c)): ตอบสนองต่อคำขอที่ชอบด้วยกฎหมายจากหน่วยงานกำกับดูแล เช่น สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC), ก.ล.ต. (SEC Thailand), ธนาคารแห่งประเทศไทย (ธปท.) หรือ ปปง.

5. ผู้ให้บริการบุคคลที่สามและการเปิดเผยข้อมูล

เราทำงานร่วมกับผู้ประมวลผลข้อมูล (Data Processor) ต่อไปนี้ ซึ่งดำเนินการตามคำสั่งของเรา และอยู่ภายใต้นโยบายความเป็นส่วนตัวของแต่ละบริษัท

• Google Analytics 4 (Google LLC): วัดผลทราฟฟิก (เปิดใช้ IP Anonymization แล้ว)
• Cloudflare, Inc.: CDN, ป้องกัน DDoS, Web Analytics
• WordPress / Automattic: โครงสร้างพื้นฐานของเว็บไซต์
• โปรแกรม Affiliate ของแบรนด์คริปโต: เมื่อคุณคลิกลิงก์ Affiliate และสมัครใช้งาน แบรนด์นั้นจะได้รับข้อมูล attribution (ส่วนใหญ่เป็น click ID ที่ไม่ระบุตัวตน) แต่ จะไม่ได้รับ ข้อมูลในแบบฟอร์มที่คุณกรอกในเว็บของเรา

เรา ไม่แบ่งปัน ข้อมูลติดต่อหรือรายชื่อผู้รับจดหมายข่าวให้พันธมิตร Affiliate

6. คุกกี้และเทคโนโลยีที่คล้ายกัน

• คุกกี้ที่จำเป็น (Strictly Necessary): ใช้รักษาฟังก์ชันพื้นฐาน เช่น การสลับภาษาผ่าน Polylang และสถานะการยินยอม ไม่สามารถปิดได้
• คุกกี้วิเคราะห์ (Analytics): Google Analytics, Cloudflare Web Analytics จะทำงานเฉพาะหลังจากคุณยินยอมเท่านั้น
• คุกกี้ค่าที่ชอบ (Preferences): จดจำโหมดมืด ขนาดฟอนต์ และการตั้งค่าอื่นๆ
• คุกกี้โฆษณา / Attribution: ติดตามการคลิกลิงก์ Affiliate (ส่วนใหญ่เป็น first-party cookie)

คุณจัดการคุกกี้ได้ผ่านการตั้งค่าเบราว์เซอร์ เครื่องมือ Cookie Consent ของเว็บไซต์ (ป๊อปอัปเมื่อเข้าครั้งแรก) หรือสัญญาณ Do Not Track (DNT) / Global Privacy Control ของระบบปฏิบัติการ การปิดคุกกี้วิเคราะห์หรือค่าที่ชอบไม่กระทบการอ่านบทความ แต่ฟังก์ชันบางอย่าง เช่น การจำภาษา อาจต้องตั้งค่าใหม่ทุกครั้งที่เข้ามา

7. การโอนข้อมูลข้ามประเทศ

เซิร์ฟเวอร์ของเราและผู้ให้บริการบุคคลที่สามบางรายตั้งอยู่ในสหรัฐอเมริกา สหภาพยุโรป และเอเชียแปซิฟิก หากข้อมูลส่วนบุคคลของคุณถูกโอนจากประเทศไทยไปยังประเทศที่ PDPC ยังไม่ได้รับรองว่ามีมาตรฐานการคุ้มครองข้อมูลเพียงพอ (ตามมาตรา 28 ของ PDPA) เราจะใช้มาตรการคุ้มครองที่เหมาะสม เช่น ข้อสัญญามาตรฐานของสหภาพยุโรป (Standard Contractual Clauses) หรือ Binding Corporate Rules ของผู้ประมวลผล คุณขอสำเนาข้อตกลงเหล่านี้ได้โดยส่งเมลมาที่ [email protected]

8. ระยะเวลาเก็บรักษาข้อมูล

• Server log: 14 วัน
• ข้อมูลผู้ใช้และเหตุการณ์ใน Google Analytics: 14 เดือน
• เมลที่ติดต่อเข้ามา: เก็บ 24 เดือนหลังดำเนินการเสร็จสิ้น เพื่อเป็นบันทึกฝ่ายบริการ
• รายชื่อจดหมายข่าว: เก็บจนกว่าคุณจะยกเลิกการสมัคร หลังจากนั้นเก็บเฉพาะบันทึกการถอนความยินยอมตามกฎหมายป้องกันสแปม

9. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้ PDPA (ประเทศไทย มาตรา 30–37): คุณมีสิทธิ (1) ขอเข้าถึงและรับสำเนาข้อมูล (2) ขอให้ส่งหรือโอนข้อมูลไปยังผู้ควบคุมรายอื่น (สิทธิในการเคลื่อนย้ายข้อมูล) (3) คัดค้านการเก็บ ใช้ หรือเปิดเผย (4) ขอให้ลบหรือทำลายข้อมูล (5) ขอให้ระงับการใช้ชั่วคราว (6) ขอให้แก้ไขให้ถูกต้องและเป็นปัจจุบัน (7) เพิกถอนความยินยอม และ (8) ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)

ภายใต้ GDPR (EU / UK / Switzerland): สิทธิเข้าถึง แก้ไข ลบ จำกัดการประมวลผล การเคลื่อนย้ายข้อมูล คัดค้าน ปฏิเสธการตัดสินใจอัตโนมัติล้วนๆ เพิกถอนความยินยอม และร้องเรียนต่อหน่วยงานกำกับดูแลในประเทศของคุณ (เช่น Data Protection Commission ของไอร์แลนด์)

ภายใต้ CCPA/CPRA (ผู้อยู่ในแคลิฟอร์เนีย): สิทธิที่จะรับทราบ ลบ แก้ไข เลือกไม่ให้ “แบ่งปัน” ข้อมูล (เราไม่ขายข้อมูลอยู่แล้ว แต่คุณยังสามารถคัดค้านการ “แบ่งปัน” ข้อมูลสำหรับโฆษณาข้ามเว็บ) และไม่ถูกเลือกปฏิบัติ เยาวชนอายุต่ำกว่า 16 ปีในแคลิฟอร์เนียต้องใช้ระบบ opt-in

การใช้สิทธิทั้งหมด ส่งเมลมาที่ [email protected] เราจะตอบกลับภายใน 30 วันตามที่ PDPA กำหนด (อาจขยายได้อีก 30 วันในกรณีซับซ้อน พร้อมแจ้งเหตุผลให้คุณทราบล่วงหน้า)

10. ความเป็นส่วนตัวของเด็ก

เนื้อหาของเว็บไซต์มีเป้าหมายที่ผู้อ่านอายุ 18 ปีขึ้นไป เราไม่จงใจเก็บข้อมูลของเด็กอายุต่ำกว่า 13 ปี (ตาม COPPA ของสหรัฐฯ) หรือต่ำกว่า 16 ปี (ตาม GDPR) และเนื้อหาการลงทุนคริปโตไม่เหมาะกับเยาวชน หากคุณเป็นผู้ปกครองและเชื่อว่าบุตรหลานของคุณส่งข้อมูลให้เรา โปรดแจ้งมา เราจะลบภายใน 72 ชั่วโมง

11. ความปลอดภัยของข้อมูล

เราใช้มาตรการทางเทคนิคและเชิงองค์กรที่เหมาะสมเพื่อปกป้องข้อมูลของคุณ รวมถึง HTTPS/TLS 1.3 ทั้งเว็บ, Cloudflare WAF, การยืนยันตัวตนสองปัจจัยในระบบหลังบ้าน, หลักการให้สิทธิต่ำสุดที่จำเป็น และการทดสอบเจาะระบบตามรอบ อย่างไรก็ตาม ไม่มีระบบส่งข้อมูลหรือจัดเก็บข้อมูลใดที่ปลอดภัย 100% หากเกิดเหตุข้อมูลรั่วไหล เราจะแจ้งสำนักงาน PDPC ภายใน 72 ชั่วโมงตามที่ PDPA กำหนด และแจ้งผู้ที่ได้รับผลกระทบเมื่อจำเป็น

12. การปรับปรุงนโยบาย

นโยบายนี้อาจเปลี่ยนแปลงตามกฎหมายใหม่ ประกาศของ PDPC หรือการปรับบริการ เราจะระบุวันที่แก้ไขล่าสุดไว้ด้านบนของหน้า และประกาศการเปลี่ยนแปลงที่สำคัญผ่านหน้าแรกหรือจดหมายข่าว แนะนำให้คุณย้อนกลับมาทบทวนอย่างน้อยปีละครั้ง

13. ติดต่อเรา / DPO / การร้องเรียน PDPC

มีคำถามเกี่ยวกับนโยบายนี้ ต้องการใช้สิทธิของเจ้าของข้อมูล หรือพบเหตุการณ์ที่อาจกระทบความเป็นส่วนตัว?

• สอบถามเรื่องความเป็นส่วนตัวทั่วไป: [email protected]
• เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): [email protected]
• ร้องเรียนต่อหน่วยงานกำกับดูแลของประเทศไทย: สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ตามมาตรา 73 ของ PDPA เว็บไซต์ pdpc.or.th
• การติดต่อทั่วไป: หน้าติดต่อเรา