นโยบายความเป็นส่วนตัว

01

คำนิยาม

เพื่อวัตถุประสงค์ของนโยบายฉบับนี้:

• "ข้อมูลส่วนบุคคล" หมายถึง ข้อมูลใด ๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้ ตามที่กำหนดไว้ใน PDPA
• "ข้อมูลส่วนบุคคลที่อ่อนไหว" หมายถึง ข้อมูลตามมาตรา 26 ของ PDPA รวมถึงข้อมูลด้านเชื้อชาติ ศาสนา รสนิยมทางเพศ สุขภาพ ข้อมูลชีวภาพ หรือประวัติอาชญากรรม Glossible ไม่ได้เก็บรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหวโดยเจตนา และท่านต้องไม่ส่งข้อมูลดังกล่าวให้แก่เรา
• "การประมวลผล" หมายถึง การดำเนินการใด ๆ กับข้อมูลส่วนบุคคล รวมถึงการเก็บรวบรวม การใช้ การเปิดเผย การจัดเก็บ การโอน การลบ และการทำลาย
• "เจ้าของข้อมูล" หมายถึง บุคคลธรรมดาซึ่งข้อมูลส่วนบุคคลนั้นเกี่ยวข้องด้วย

02

ข้อมูลส่วนบุคคลที่เราเก็บรวบรวม

เราเก็บรวบรวมเฉพาะข้อมูลที่จำเป็น เหมาะสม และเชื่อมโยงกับฐานทางกฎหมายตามข้อ 4 ด้านล่างเท่านั้น ประเภทของข้อมูลที่เก็บรวบรวมประกอบด้วย:

• ข้อมูลบัญชี (เมื่อท่านสมัครสมาชิก): ชื่อ ที่อยู่อีเมล ข้อมูลรับรองตัวตนที่เข้ารหัสซึ่งบริหารจัดการผ่าน Google Firebase Authentication การตั้งค่าบัญชี ภาพโปรไฟล์ (หากท่านใช้บัญชี Google ในการเข้าสู่ระบบ) และการตั้งค่าภาษา
• ข้อมูลคำสั่งซื้อและธุรกรรม (สำหรับสมาชิกและการสั่งซื้อแบบไม่ระบุตัวตน): ชื่อ-นามสกุล ที่อยู่จัดส่งและที่อยู่ออกใบกำกับภาษี รหัสไปรษณีย์ หมายเลขโทรศัพท์ ที่อยู่อีเมล ประวัติคำสั่งซื้อ สินค้าที่สั่งซื้อ ขนาด สี จำนวน ยอดคำสั่งซื้อ รหัสส่วนลดที่ใช้ ข้อมูลใบกำกับภาษี และคำแนะนำการจัดส่ง
• ข้อมูลการชำระเงิน: Glossible ไม่เก็บรวบรวม ไม่เข้าถึง และไม่จัดเก็บหมายเลขบัตรชำระเงินเต็มรูปแบบ รหัส CVV หรือข้อมูลบัญชีธนาคารโดยตรง การชำระเงินจะดำเนินการโดยผู้ให้บริการชำระเงินที่ได้รับมาตรฐาน PCI-DSS โดยตรง เราอาจได้รับข้อมูลธุรกรรมเพียงบางส่วน (เลขสี่หลักท้ายบัตร แบรนด์บัตร สถานะอนุมัติ และหมายเลขธุรกรรม) เฉพาะเพื่อการกระทบยอดคำสั่งซื้อและการป้องกันการทุจริตเท่านั้น
• ข้อมูลการติดต่อสื่อสาร: เนื้อหาของข้อความ ข้อร้องเรียน คำขอคืนสินค้า วิดีโอแกะกล่องตามที่กำหนดในนโยบายการคืนสินค้า บทสนทนาการบริการลูกค้า และรีวิวสินค้าที่ท่านส่งโดยสมัครใจ
• ข้อมูลทางเทคนิคและอุปกรณ์: ที่อยู่ IP ตัวระบุอุปกรณ์ ประเภทและเวอร์ชันเบราว์เซอร์ ระบบปฏิบัติการ การตั้งค่าเขตเวลา URL อ้างอิง หน้าที่เข้าชม ระยะเวลาในหน้าเว็บ ข้อมูลการคลิก และบันทึกข้อขัดข้อง
• คุกกี้ พิกเซล และเทคโนโลยีติดตาม: คุกกี้ชั่วคราวและถาวร พื้นที่จัดเก็บภายใน เว็บบีคอน และเทคโนโลยีที่คล้ายคลึงกัน ซึ่งใช้เพื่อการพิสูจน์ตัวตน การเก็บรักษาตะกร้าสินค้า การวิเคราะห์ การตรวจจับการทุจริต และเพื่อการตลาดและรีทาร์เก็ตติ้งเมื่อท่านให้ความยินยอม โปรดดูข้อ 9
• ข้อมูลการตลาดและความชอบ: สถานะการสมัครรับจดหมายข่าว SMS LINE และการแจ้งเตือนแบบพุช ผลตอบรับจากแบบสำรวจ และรายการสินค้าที่ท่านชอบ

03

แหล่งที่มาของข้อมูลส่วนบุคคล

เราเก็บรวบรวมข้อมูลส่วนบุคคลโดยตรงจากท่าน เมื่อท่านสมัครสมาชิก สั่งซื้อสินค้า ติดต่อเรา หรือมีปฏิสัมพันธ์กับแพลตฟอร์ม นอกจากนี้ เราอาจได้รับข้อมูลส่วนบุคคลจากบุคคลที่สาม ได้แก่ Google (เมื่อท่านใช้ Google ในการเข้าสู่ระบบ) ผู้ให้บริการชำระเงิน คู่ค้าด้านโลจิสติกส์ (การยืนยันการจัดส่ง) แพลตฟอร์มโซเชียลมีเดีย (ในกรณีที่ท่านมีปฏิสัมพันธ์กับบัญชี Glossible) และผู้ให้บริการป้องกันการทุจริต

04

ฐานทางกฎหมายและวัตถุประสงค์ในการประมวลผล

เราประมวลผลข้อมูลส่วนบุคคลบนฐานทางกฎหมายตาม PDPA ดังต่อไปนี้:

• การสร้างบัญชี การพิสูจน์ตัวตน และการรักษาความปลอดภัย — ฐานสัญญา (มาตรา 24(3)) และฐานประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5))
• การประมวลผลคำสั่งซื้อ การจัดส่ง และการบริการลูกค้า — ฐานสัญญา (มาตรา 24(3))
• ใบกำกับภาษี เอกสารทางบัญชี และการรายงานตามกฎหมาย — ฐานหน้าที่ตามกฎหมาย (มาตรา 24(6))
• การป้องกันการทุจริต การสอบสวนข้อพิพาท และการต่อสู้คดีโต้แย้งบัตรเครดิต — ฐานประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5))
• การวิเคราะห์เว็บไซต์และการพัฒนาผลิตภัณฑ์ — ฐานประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5))
• การสื่อสารทางการตลาด รีทาร์เก็ตติ้ง และข้อเสนอเฉพาะบุคคล — ฐานความยินยอม (มาตรา 24) ซึ่งท่านสามารถถอนได้ทุกเมื่อ
• การดำเนินคดีหรือต่อสู้คดีตามกฎหมาย — ฐานประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5))
• ธุรกรรมทางองค์กร (การควบรวมกิจการ การซื้อกิจการ การปรับโครงสร้าง หรือการขายสินทรัพย์) — ฐานประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5))

05

การเปิดเผยและแบ่งปันข้อมูลส่วนบุคคล

เราไม่ขายข้อมูลส่วนบุคคลของท่าน เราเปิดเผยข้อมูลส่วนบุคคลให้แก่ผู้รับเฉพาะประเภทดังต่อไปนี้เท่านั้น ภายใต้ข้อกำหนดการรักษาความลับและการประมวลผลข้อมูลที่จัดทำเป็นลายลักษณ์อักษร:

• ผู้ให้บริการคลาวด์และโครงสร้างพื้นฐาน: Google LLC (Firebase Authentication, Firestore, Cloud Storage, Cloud Run, Analytics) ซึ่งดำเนินการในศูนย์ข้อมูลในภูมิภาค Asia-Southeast1 (สิงคโปร์) และทั่วโลก
• ผู้ให้บริการชำระเงิน: ผู้ให้บริการเกตเวย์ชำระเงินที่ได้รับมาตรฐาน PCI-DSS เพื่อการอนุมัติและการชำระบัญชี
• คู่ค้าด้านโลจิสติกส์และการจัดส่ง: ไปรษณีย์ไทย, Kerry Express, Flash Express, J&T Express, DHL และผู้ขนส่งรายอื่นที่จำเป็นสำหรับการจัดส่งคำสั่งซื้อของท่าน
• ผู้ให้บริการสื่อสาร: ผู้ให้บริการส่งอีเมล SMS และ LINE สำหรับข้อความธุรกรรมและข้อความการตลาด (เมื่อท่านยินยอม)
• ผู้ให้บริการวิเคราะห์และการตลาด: เช่น Google Analytics, Meta Pixel และ TikTok Pixel ซึ่งใช้เฉพาะเมื่อท่านยินยอมผ่านแบนเนอร์คุกกี้ของเรา
• ที่ปรึกษาวิชาชีพ: ผู้สอบบัญชี นักบัญชี ทนายความ และผู้รับประกันภัย ซึ่งผูกพันตามจริยธรรมและการรักษาความลับวิชาชีพ
• หน่วยงานราชการและหน่วยกำกับดูแล: กรมสรรพากร กรมศุลกากร คณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ศาล หน่วยงานบังคับใช้กฎหมาย และหน่วยงานที่มีอำนาจอื่น เมื่อกฎหมายไทยกำหนดหรือเมื่อมีกระบวนการทางกฎหมายที่ถูกต้อง
• ผู้สืบสิทธิทางกฎหมาย: ในกรณีที่มีการควบรวมกิจการ การซื้อกิจการ การจัดหาเงินทุน การปรับโครงสร้าง การล้มละลาย หรือการขายสินทรัพย์ทั้งหมดหรือบางส่วน ข้อมูลส่วนบุคคลอาจถูกโอนไปยังผู้รับโอนหรือกิจการผู้สืบสิทธิ

06

การโอนข้อมูลระหว่างประเทศ

ผู้ให้บริการบางรายของเรา — โดยเฉพาะ Google (Firebase, Cloud Run, Analytics) และผู้ให้บริการชำระเงิน วิเคราะห์ และสื่อสารบางราย — อาจจัดเก็บหรือประมวลผลข้อมูลส่วนบุคคลภายนอกประเทศไทย รวมถึงในประเทศที่อาจไม่มีระดับการคุ้มครองข้อมูลที่เพียงพอตามมาตรฐาน PDPA ในกรณีดังกล่าว เราจะอาศัยมาตรการคุ้มครองตามมาตรา 28 และ 29 ของ PDPA ได้แก่ (ก) ความยินยอมโดยชัดแจ้งของท่านหลังจากได้รับทราบว่ามาตรฐานไม่เพียงพอ (ข) การโอนที่จำเป็นสำหรับการปฏิบัติตามสัญญาที่ท่านเป็นคู่สัญญา (ค) การปฏิบัติตามมาตรการคุ้มครองที่เหมาะสม (เช่น สัญญามาตรฐานหรือข้อบังคับองค์กรที่ได้รับการอนุมัติจาก สคส.) หรือ (ง) ข้อยกเว้นอื่นที่กฎหมายรองรับ

07

ระยะเวลาเก็บรักษาข้อมูล

เราเก็บรักษาข้อมูลส่วนบุคคลเท่าที่จำเป็นสำหรับวัตถุประสงค์ตามนโยบายฉบับนี้ หรือเท่าที่กฎหมายกำหนด ระยะเวลาเก็บรักษาโดยประมาณ:

• ข้อมูลบัญชี: ตลอดอายุการใช้งานของบัญชี และเพิ่มเติมอีกไม่เกินสอง (2) ปีหลังจากการปิดบัญชี เพื่อวัตถุประสงค์ในการป้องกันการทุจริตและระงับข้อพิพาท
• ข้อมูลคำสั่งซื้อ ใบกำกับภาษี และเอกสารทางภาษี: อย่างน้อยสิบ (10) ปีนับจากวันสิ้นรอบบัญชีที่เกี่ยวข้อง ตามที่ประมวลรัษฎากร พระราชบัญญัติการบัญชี พ.ศ. 2543 และอายุความตามประมวลกฎหมายแพ่งและพาณิชย์กำหนด
• บันทึกการบริการลูกค้า: ไม่เกินสาม (3) ปีนับจากการติดต่อครั้งสุดท้าย
• บันทึกความยินยอมทางการตลาดและการยกเลิกการรับข้อความ: เท่าที่จำเป็นเพื่อเป็นหลักฐานความยินยอมและการปฏิบัติตามกฎหมาย
• บันทึกเซิร์ฟเวอร์ บันทึกทางเทคนิค และบันทึกเหตุการณ์ด้านความปลอดภัย: ไม่เกินเก้าสิบ (90) วันสำหรับการสอบสวนด้านความปลอดภัย หรือนานกว่านั้นหากเชื่อมโยงกับเหตุการณ์ที่ยังดำเนินอยู่
• ภาพจากกล้องวงจรปิด (คลังสินค้าและสำนักงาน หากมี): ไม่เกินสามสิบ (30) วัน

08

การรักษาความปลอดภัยของข้อมูล

เราใช้มาตรการรักษาความปลอดภัยทั้งทางการบริหาร เทคนิค และกายภาพอย่างเหมาะสม เพื่อปกป้องข้อมูลส่วนบุคคลจากการสูญหาย การเปลี่ยนแปลง การเปิดเผย หรือการเข้าถึงโดยไม่ได้รับอนุญาต ทั้งโดยอุบัติเหตุและโดยมิชอบ มาตรการดังกล่าวรวมถึงการเข้ารหัสในการส่งข้อมูล (TLS 1.2 ขึ้นไป) การเข้ารหัสข้อมูลที่จัดเก็บบน Google Cloud การควบคุมการเข้าถึงตามบทบาท การยืนยันตัวตนหลายปัจจัยสำหรับบัญชีผู้ดูแลระบบ การบันทึกการตรวจสอบ และการทบทวนความปลอดภัยเป็นระยะ

09

คุกกี้และเทคโนโลยีติดตาม

เราใช้คุกกี้และเทคโนโลยีที่คล้ายคลึงกันสำหรับ: (1) การทำงานที่จำเป็นอย่างยิ่ง (การพิสูจน์ตัวตน ตะกร้าสินค้า การป้องกันการทุจริต) ซึ่งไม่สามารถปิดใช้งานได้โดยไม่ทำให้แพลตฟอร์มไม่สามารถใช้งานได้ (2) การวิเคราะห์และการวัดประสิทธิภาพ และ (3) การตลาด การโฆษณา และรีทาร์เก็ตติ้ง ซึ่งใช้เฉพาะเมื่อท่านยินยอมผ่านแบนเนอร์คุกกี้ของเราเท่านั้น ท่านสามารถจัดการความชอบเกี่ยวกับคุกกี้ได้ผ่านแบนเนอร์คุกกี้หรือการตั้งค่าเบราว์เซอร์ของท่าน การปิดคุกกี้ที่จำเป็นอย่างยิ่งจะทำให้การใช้งานบางส่วนของแพลตฟอร์มไม่สามารถใช้งานได้

10

ความเป็นส่วนตัวของผู้เยาว์

แพลตฟอร์มนี้มีไว้สำหรับผู้ใช้ที่มีอายุไม่ต่ำกว่ายี่สิบ (20) ปี (อายุบรรลุนิติภาวะตามกฎหมายไทย) หากท่านอายุต่ำกว่านี้ ท่านต้องได้รับความยินยอมจากบิดา มารดา หรือผู้ปกครองตามกฎหมายก่อนให้ข้อมูลส่วนบุคคลใด ๆ หรือทำการสั่งซื้อ เราจะไม่เก็บรวบรวมข้อมูลส่วนบุคคลของบุคคลอายุต่ำกว่ายี่สิบ (20) ปีโดยไม่มีความยินยอมดังกล่าว และจะลบข้อมูลนั้นเมื่อทราบ

11

สิทธิของท่านภายใต้ PDPA

ภายใต้เงื่อนไขและข้อยกเว้นตาม PDPA ท่านมีสิทธิดังต่อไปนี้:

• สิทธิในการเข้าถึง (มาตรา 30): ขอรับสำเนาข้อมูลส่วนบุคคลของท่านและข้อมูลเกี่ยวกับวิธีการประมวลผล
• สิทธิในการขอแก้ไข (มาตรา 35): ขอแก้ไขข้อมูลที่ไม่ถูกต้อง ไม่ครบถ้วน หรือล้าสมัย
• สิทธิในการขอลบ (มาตรา 33): ขอให้ลบ ทำลาย หรือทำให้ไม่สามารถระบุตัวตนได้ ตามเงื่อนไขที่กฎหมายกำหนด
• สิทธิในการขอจำกัดการประมวลผล (มาตรา 34): ขอให้จำกัดการประมวลผลตามเงื่อนไขที่กฎหมายกำหนด
• สิทธิในการคัดค้าน (มาตรา 32): คัดค้านการประมวลผลตามเงื่อนไขที่กฎหมายกำหนด
• สิทธิในการขอรับและโอนย้ายข้อมูล (มาตรา 31): ขอรับข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องและส่งไปยังผู้ควบคุมข้อมูลรายอื่น
• สิทธิในการถอนความยินยอม: หากการประมวลผลอาศัยฐานความยินยอม ท่านสามารถถอนได้ทุกเมื่อ การถอนความยินยอมไม่กระทบต่อความชอบด้วยกฎหมายของการประมวลผลที่ดำเนินไปแล้วก่อนการถอน และไม่กระทบต่อการประมวลผลที่อาศัยฐานทางกฎหมายอื่น เช่น ฐานหน้าที่ตามกฎหมาย การปฏิบัติตามสัญญา หรือประโยชน์โดยชอบด้วยกฎหมาย
• สิทธิในการร้องเรียน: ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ที่ https://www.pdpc.or.th

12

การสื่อสารทางการตลาด

หากท่านยินยอมรับการสื่อสารทางการตลาด ท่านอาจได้รับอีเมล SMS ข้อความ LINE หรือการแจ้งเตือนแบบพุชเพื่อการส่งเสริมการขายจากเรา ท่านสามารถยกเลิกได้ทุกเมื่อโดยคลิกที่ลิงก์ "ยกเลิกการสมัคร" ในอีเมล ตอบกลับ STOP สำหรับ SMS หรือเปลี่ยนการตั้งค่าบัญชีของท่าน เราจะยังคงส่งข้อความที่เกี่ยวกับธุรกรรม บัญชี และข้อความทางกฎหมายให้แก่ท่านโดยไม่คำนึงถึงการตั้งค่าทางการตลาด

13

การเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราวเพื่อสะท้อนการเปลี่ยนแปลงในการดำเนินงาน เทคโนโลยี ข้อกำหนดทางกฎหมาย หรือเหตุผลอื่นใด วันที่ "อัปเดตล่าสุด" ด้านบนจะแสดงการแก้ไขครั้งล่าสุด การเปลี่ยนแปลงที่มีนัยสำคัญจะแจ้งให้ทราบผ่านแพลตฟอร์มหรือทางอีเมลตามดุลพินิจของเรา การที่ท่านยังคงใช้งานแพลตฟอร์มต่อไปหลังจากวันที่การเปลี่ยนแปลงมีผลบังคับใช้ ถือว่าท่านยอมรับนโยบายฉบับที่แก้ไขแล้ว ท่านมีหน้าที่ตรวจสอบนโยบายฉบับนี้เป็นระยะ

14

กฎหมายที่ใช้บังคับและเขตอำนาจศาล

นโยบายฉบับนี้อยู่ภายใต้และตีความตามกฎหมายแห่งราชอาณาจักรไทย โดยไม่คำนึงถึงหลักการขัดกันแห่งกฎหมาย ข้อพิพาทใด ๆ ที่เกิดจากหรือเกี่ยวข้องกับนโยบายฉบับนี้ ให้อยู่ภายใต้เขตอำนาจของศาลไทยแต่เพียงผู้เดียว คู่สัญญาตกลงว่าฉบับภาษาไทยของนโยบายฉบับนี้มีผลบังคับเหนือกว่าในกรณีที่มีความไม่สอดคล้องระหว่างฉบับภาษาอังกฤษและฉบับภาษาไทย