นโยบายความเป็นส่วนตัวและคุ้มครองข้อมูลส่วนบุคคล

บริษัท เฮยวาจา จำกัด (“HeyWaja”, “เรา”, “ผู้ควบคุมข้อมูลส่วนบุคคล”) ตระหนักและให้ความสำคัญสูงสุดต่อสิทธิในความเป็นส่วนตัวและการคุ้มครองข้อมูลส่วนบุคคลของท่าน นโยบายฉบับนี้อธิบายถึงวิธีการเก็บรวบรวม ใช้ เปิดเผย และปกป้องข้อมูลเมื่อท่านใช้งานแอปพลิเคชัน HeyWaja สำหรับ macOS และบริการที่เกี่ยวข้อง ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

HeyWaja ยึดหลักการลดปริมาณข้อมูลให้เหลือน้อยที่สุดเท่าที่จำเป็น (Data Minimization):
• ข้อมูลบัญชีผู้ใช้งาน: อีเมล รหัสผ่าน (ซึ่งถูกแฮชเข้ารหัสทางเดียวอย่างปลอดภัย) และรหัสประจำตัวผู้ใช้ (User ID) เพื่อการยืนยันตัวตนผ่าน Supabase Auth
• ข้อมูลเชิงสถิติและการเรียกเก็บเงิน: บันทึกจำนวนนาทีที่ใช้งาน โควตาคงเหลือ และประวัติรอบบิล เพื่อการให้บริการตามแพ็กเกจและป้องกันการฉ้อโกง — ไม่มีการบันทึกข้อความที่ท่านพูดลงในประวัติบัญชี
• ข้อมูลการชำระเงิน: ดำเนินการผ่าน Stripe โดยตรงตามมาตรฐานความปลอดภัยสูงสุด PCI-DSS ระดับ 1 HeyWaja ไม่สามารถเข้าถึงหรือจัดเก็บหมายเลขบัตรเครดิตหรือข้อมูลทางธนาคารของท่าน
• พจนานุกรมส่วนบุคคล (Custom Glossary): คำศัพท์เฉพาะและคำย่อที่ท่านบันทึก จะถูกจัดเก็บไว้เฉพาะในเครื่องคอมพิวเตอร์ Mac ของท่านในรูปแบบ Local Database ไม่มีการส่งขึ้น Server ของเรา

เมื่อท่านกดปุ่มพิมพ์ด้วยเสียง ข้อมูลคลื่นเสียงจะถูกแปลงเป็นสัญญาณดิจิทัลและส่งผ่านช่องทางที่เข้ารหัสขั้นสูง (TLS 1.3 / AES-256) ไปยังคลัสเตอร์ประมวลผลความเร็วสูง (High-Speed AI Inference Cluster) เพื่อแปลงเป็นข้อความและเกลาไวยากรณ์ภาษาไทย-อังกฤษ

หัวใจสำคัญด้านความปลอดภัย:
1. RAM-Only Streaming: ข้อมูลเสียงจะคงอยู่ชั่วคราวบนหน่วยความจำ RAM ระหว่างกระบวนการแปลงคำเท่านั้น
2. Immediate Ephemeral Purge: เมื่อส่งข้อความกลับมายังเครื่องของท่านแล้ว ข้อมูลเสียงจะถูกลบและทำลายทันที (Purged) โดยไม่มีการบันทึกไฟล์เสียงลงบนดิสก์
3. Strict Direct Injection: ข้อความที่ได้จะถูกส่งตรงเข้าสู่เคอร์เซอร์ของโปรแกรมที่ท่านกำลังเปิดใช้งานผ่าน macOS Accessibility API โดยไม่มีการจัดเก็บ Keystroke หรือ Text Log บน Server

เพื่อให้ระบบสามารถถอดเสียงภาษาไทยได้อย่างแม่นยำและตอบสนองภายในเสี้ยววินาที เรามีความจำเป็นต้องใช้บริการจากผู้ให้บริการโครงสร้างพื้นฐานระดับสากล ภายใต้สัญญาประมวลผลข้อมูล (Data Processing Agreement - DPA) ที่มีข้อกำหนดห้ามใช้ข้อมูลเพื่อประโยชน์อื่นอย่างเคร่งครัด ตามมาตรา 28 และ 29 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562

• ข้อมูลเสียงพูด (Audio): ไม่เก็บรักษา (0 วัน) ถูกทำลายทิ้งทันทีที่ประมวลผลเสร็จสิ้น
• ข้อความเพื่อปรับปรุงคุณภาพ (สมัครใจ): หากท่านเปิดใช้การส่งข้อมูลเพื่อปรับปรุงคุณภาพการถอดเสียง ระบบจะจัดเก็บข้อความต้นทางและผลลัพธ์แบบ ลบตัวตน (PII-scrubbed) ซึ่งไม่ผูกกับตัวตนของท่าน เป็นเวลาไม่เกิน 730 วัน และท่านสามารถถอนความยินยอมหรือขอลบได้ตลอดเวลาผ่าน DPO
• ข้อมูลบัญชีและโควตา: จัดเก็บตลอดระยะเวลาที่ท่านยังคงสถานะสมาชิก และจะทำการลบทิ้งอย่างถาวรภายใน 30 วันหลังจากที่ท่านร้องขอลบบัญชี
• ข้อมูลธุรกรรมทางบัญชี: จัดเก็บตามระยะเวลาที่กฎหมายภาษีอากรและกฎหมายการเงินกำหนดไว้

เราขอให้คำมั่นสัญญาและรับรองตามกฎหมายว่า ทั้งข้อมูลเสียงพูด (Voice) และข้อความที่แปลงได้ (Text) จะไม่ถูกนำไปใช้ในการฝึกฝน (Train), ปรับปรุง (Fine-tune), หรือทดสอบโมเดลปัญญาประดิษฐ์สาธารณะหรือโมเดลเชิงพาณิชย์ใด ๆ ข้อมูลของท่านถูกใช้เพื่อวัตถุประสงค์ในการแสดงผลข้อความตามคำสั่งพิมพ์ของท่านในขณะนั้น กรณีท่านเปิดใช้ (ด้วยความสมัครใจ) การส่งข้อความเพื่อปรับปรุงคุณภาพตามข้อ 5 ข้อมูลดังกล่าวใช้เพื่อการวินิจฉัยและปรับปรุงคุณภาพการถอดเสียงเท่านั้น ถูกลบตัวตนก่อนจัดเก็บ และไม่เข้าข่ายการฝึกฝนโมเดลตามข้อรับรองนี้

ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ท่านมีสิทธิอันชอบธรรมในการควบคุมข้อมูลส่วนบุคคลของท่าน ดังนี้:
• สิทธิในการเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคล (Right to Access)
• สิทธิในการขอให้โอนย้ายข้อมูลส่วนบุคคล (Right to Data Portability)
• สิทธิในการคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูล (Right to Object)
• สิทธิในการขอให้ลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้ (Right to Erasure / Right to be Forgotten)
• สิทธิในการขอให้ระงับการใช้ข้อมูล (Right to Restrict Processing)
• สิทธิในการขอให้แก้ไขข้อมูลให้ถูกต้องเป็นปัจจุบัน (Right to Rectification)
• สิทธิในการถอนความยินยอมได้ตลอดเวลา (Right to Withdraw Consent)

ท่านสามารถใช้สิทธิดังกล่าวได้โดยส่งคำร้องมายังเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ที่ dpo@heywaja.com เราจะดำเนินการตรวจสอบและตอบสนองต่อคำร้องของท่านภายใน 30 วัน

HeyWaja ใช้มาตรการรักษาความมั่นคงปลอดภัยเชิงเทคนิคและการบริหารจัดการ (Technical and Organizational Measures) ที่ได้มาตรฐานสากล ได้แก่ การเข้ารหัสข้อมูลขณะส่งผ่านเครือข่ายด้วย TLS 1.3, การเข้ารหัสข้อมูลที่เก็บรักษา (Encryption at Rest) ด้วยอัลกอริทึม AES-256, การจำกัดสิทธิ์เข้าถึงฐานข้อมูลตามหลัก Least Privilege และการตรวจสอบช่องโหว่ความปลอดภัยอย่างสม่ำเสมอ

บริการของ HeyWaja ไม่ได้มีเป้าหมายเพื่อให้บริการแก่บุคคลที่มีอายุต่ำกว่า 13 ปี (หรือผู้เยาว์ที่ยังไม่บรรลุนิติภาวะโดยไม่ได้รับความยินยอมจากผู้แทนโดยชอบธรรม) หากเราตรวจพบว่ามีการเก็บรวบรวมข้อมูลส่วนบุคคลของผู้เยาว์โดยไม่สอดคล้องกับกฎหมาย เราจะดำเนินการลบข้อมูลดังกล่าวออกจากระบบโดยทันที

หากท่านมีข้อสงสัย คำถาม หรือข้อเสนอแนะเกี่ยวกับนโยบายความเป็นส่วนตัว สามารถติดต่อได้ที่:
เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (Data Protection Officer - DPO):
อีเมล: dpo@heywaja.com
ฝ่ายสนับสนุนทั่วไปและบริการลูกค้า:
อีเมล: support@heywaja.com