รายการผู้ประมวลผลข้อมูลภายนอก
Hideout — แพลตฟอร์มสำนักงานเสมือน (Virtual Office)
วันที่มีผลบังคับใช้: 3 กันยายน พ.ศ. 2569
เอกสารนี้แสดงรายชื่อผู้ให้บริการภายนอกที่ประมวลผลข้อมูลส่วนบุคคลแทน บริษัท เดอะแก๊งเทคโนโลยี จำกัด พร้อมบทบาท ประเภทข้อมูลที่เกี่ยวข้อง และประเทศที่ตั้งที่ประมวลผลข้อมูล ตามที่ข้อกำหนดในการให้บริการและนโยบายความเป็นส่วนตัวได้อ้างถึง
1. บทนำ
เอกสารฉบับนี้เป็นส่วนหนึ่งของข้อกำหนดในการให้บริการและนโยบายความเป็นส่วนตัวของบริการ Hideout โดยแสดงรายชื่อผู้ให้บริการภายนอก (ผู้ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งของบริษัท) ที่บริษัทใช้อยู่ในปัจจุบัน พร้อมบทบาท ประเภทข้อมูลที่เกี่ยวข้อง และประเทศที่ตั้งที่ประมวลผลข้อมูล ตามมาตรา 28 และมาตรา 29 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562
บริษัทเผยแพร่รายการนี้แยกจากข้อกำหนดในการให้บริการและนโยบายความเป็นส่วนตัว เพื่อให้ปรับปรุงข้อมูลได้ทันทีเมื่อมีการเปลี่ยนแปลงผู้ให้บริการ โดยไม่ต้องแก้ไขเอกสารหลักทั้งสองฉบับ หากเอกสารนี้ขัดหรือแย้งกับนโยบายความเป็นส่วนตัวในส่วนที่เกี่ยวกับข้อมูลส่วนบุคคล ให้ถือตามนโยบายความเป็นส่วนตัวเป็นหลัก
2. รายชื่อผู้ประมวลผลข้อมูลภายนอก
ณ วันที่ปรับปรุงล่าสุดของเอกสารนี้ บริษัทใช้ผู้ให้บริการภายนอกดังต่อไปนี้:
| ผู้ให้บริการ | บทบาท / วัตถุประสงค์ | ประเภทข้อมูลที่เกี่ยวข้อง | ประเทศที่ตั้ง / ประมวลผลข้อมูล |
|---|---|---|---|
| Fly.io | โฮสต์ระบบเบื้องหลัง (backend) ของบริการ | ข้อมูลบัญชี เนื้อหาในพื้นที่ทำงาน ข้อมูลจราจรทางคอมพิวเตอร์ | สิงคโปร์ (Fly.io ภูมิภาค sin) |
| Neon | ฐานข้อมูล (Postgres) สำหรับจัดเก็บข้อมูลบัญชี โปรไฟล์ และเนื้อหาในพื้นที่ทำงาน | ข้อมูลบัญชีและโปรไฟล์ เนื้อหาในพื้นที่ทำงาน ข้อมูลจราจรทางคอมพิวเตอร์ | สิงคโปร์ (AWS ap-southeast-1) |
| Cloudflare | โฮสต์และเผยแพร่ส่วนหน้า (frontend) ของบริการ | ข้อมูลการเข้าใช้งานหน้าเว็บ เช่น ที่อยู่ไอพีและวันเวลาที่เข้าใช้งาน | หลายประเทศ (เครือข่ายทั่วโลกของ Cloudflare ไม่มีที่ตั้งประมวลผลข้อมูลแห่งเดียว) |
| WorkOS | ยืนยันตัวตนและจัดการข้อมูลรับรองการเข้าสู่ระบบของบัญชีผู้ใช้ | ชื่อ อีเมล และข้อมูลรับรองการเข้าสู่ระบบ | สหรัฐอเมริกา |
| Stripe | รับชำระเงินและออกหลักฐานการรับชำระเงิน | ข้อมูลการชำระเงินและผลลัพธ์ของรายการ (ไม่รวมหมายเลขบัตรชำระเงินเต็ม ซึ่งบริษัทไม่ได้รับหรือจัดเก็บไว้ในระบบของบริษัท) ชื่อและอีเมลของผู้ชำระเงิน | สหรัฐอเมริกา (โครงสร้างพื้นฐานหลักของ Stripe ดำเนินการบน AWS ในสหรัฐอเมริกา) — นิติบุคคลคู่สัญญาสำหรับบัญชีในประเทศไทยคือ Stripe Payments (Thailand) Ltd. ซึ่งเป็นผู้ควบคุมข้อมูลตามกฎหมายไทย แต่มิใช่ที่ตั้งของการประมวลผลข้อมูลทางเทคนิค |
| DigitalOcean | เซิร์ฟเวอร์วิเคราะห์ข้อมูลและบันทึกการทำงานของระบบ (analytics/logging) และระบบรับส่งสัญญาณเสียงและภาพแบบเรียลไทม์ | ข้อมูลปริมาณการใช้เครือข่ายและสื่อ ข้อมูลจราจรทางคอมพิวเตอร์ สัญญาณเสียงและภาพ (ส่งผ่านแบบเรียลไทม์โดยไม่จัดเก็บ) | สิงคโปร์ (ดาตาเซ็นเตอร์ SGP1) |
| PostHog | วิเคราะห์ภาพรวมการใช้งานผลิตภัณฑ์แบบไม่ระบุตัวบุคคล และทยอยเปิดใช้ฟีเจอร์เป็นรายองค์กร (feature flags) | ไม่มีข้อมูลส่วนบุคคลของบุคคลธรรมดา — ไม่ส่งชื่อ อีเมล รหัสประจำตัวผู้ใช้งาน หรือที่อยู่ไอพี และไม่สร้างคุกกี้หรือตัวระบุถาวรบนอุปกรณ์ของผู้ใช้งาน ข้อมูลที่ส่งมีเพียงเหตุการณ์การใช้งานเฉพาะจุดที่บริษัทกำหนดไว้ในโค้ด ประเภทเบราว์เซอร์ ระบบปฏิบัติการและอุปกรณ์อย่างกว้าง และรหัสองค์กร (พื้นที่ทำงาน) ซึ่งเป็นข้อมูลของนิติบุคคลหรือหน่วยงาน (บริการไม่ได้เปิดใช้การเก็บทุกการคลิกอัตโนมัติ (autocapture) และการเก็บการเปิดหน้าเว็บอัตโนมัติ (pageview)) | สหภาพยุโรป (PostHog EU Cloud) |
ฐานทางกฎหมายสำหรับการโอนข้อมูล — บริษัทไม่ได้อาศัยความยินยอมเป็นฐานในการโอนข้อมูลไปยังผู้ให้บริการข้างต้น แต่อาศัยความจำเป็นเพื่อปฏิบัติตามสัญญาที่ผู้ใช้งานเป็นคู่สัญญา ตามมาตรา 28 วรรคสอง (3) แห่ง PDPA เนื่องจากบริการไม่สามารถทำงานได้หากไม่มีผู้ให้บริการเหล่านี้ ผู้ให้บริการภายนอกแต่ละรายดำเนินการภายใต้ข้อกำหนดการให้บริการและนโยบายความเป็นส่วนตัวมาตรฐานของตนเอง ซึ่งบริษัทผูกพันตามในฐานะผู้ใช้บริการ โดยบริษัทยังไม่ได้จัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคล (Data Processing Agreement) หรือข้อสัญญามาตรฐาน (Standard Contractual Clauses) เพิ่มเติมเป็นการเฉพาะกับผู้ให้บริการรายใด รายละเอียดของฐานทางกฎหมายสำหรับการโอนข้อมูลไปต่างประเทศระบุไว้ในนโยบายความเป็นส่วนตัว
หมายเหตุเกี่ยวกับ PostHog — วรรคข้างต้นไม่ใช้บังคับกับ PostHog เนื่องจากตามการตั้งค่าที่บริษัทใช้อยู่ ไม่มีการส่งข้อมูลส่วนบุคคลของบุคคลธรรมดาไปยัง PostHog เลย จึงไม่เป็นการประมวลผลหรือการโอนข้อมูลส่วนบุคคลตามมาตรา 28 แห่ง PDPA และไม่ต้องอาศัยฐานทางกฎหมายใดตามพระราชบัญญัติดังกล่าว บริษัทระบุ PostHog ไว้ในรายการนี้เพื่อความโปร่งใส แม้จะมิใช่ผู้ประมวลผลข้อมูลส่วนบุคคลก็ตาม รายละเอียดของการตั้งค่าที่ทำให้ข้อมูลไม่ระบุตัวบุคคลระบุไว้ในข้อ 2 ของนโยบายความเป็นส่วนตัว หากในอนาคตบริษัทเปลี่ยนการตั้งค่าจนทำให้ระบุตัวผู้ใช้งานรายบุคคลได้ บริษัทจะปรับปรุงเอกสารนี้และนโยบายความเป็นส่วนตัว พร้อมจัดให้มีฐานทางกฎหมายที่ถูกต้องก่อนเริ่มดำเนินการ
3. การปรับปรุงรายการนี้
-
บริษัทอาจเพิ่ม ลบ หรือเปลี่ยนผู้ให้บริการภายนอกในรายการนี้เป็นครั้งคราวตามความจำเป็นทางธุรกิจ โดยไม่ต้องแก้ไขข้อกำหนดในการให้บริการหรือนโยบายความเป็นส่วนตัว
-
หากการเปลี่ยนแปลงกระทบต่อประเภทข้อมูลหรือวัตถุประสงค์ในการประมวลผลอย่างมีนัยสำคัญ บริษัทจะแจ้งผู้ใช้งานล่วงหน้าตามที่ระบุไว้ในนโยบายความเป็นส่วนตัว
-
บริษัทจะระบุวันที่ปรับปรุงล่าสุดไว้ในเอกสารนี้ทุกครั้งที่มีการเปลี่ยนแปลง
4. ช่องทางติดต่อ
ผู้ใช้งานที่มีข้อสงสัยเกี่ยวกับผู้ให้บริการภายนอกรายใดในรายการนี้ หรือต้องการข้อมูลเพิ่มเติมเกี่ยวกับการประมวลผลข้อมูลของผู้ให้บริการรายนั้น ติดต่อได้ที่ contact@thegang.tech