นโยบายความเป็นส่วนตัว — แอปพลิเคชัน Chertam

มีผลบังคับใช้: 6 กรกฎาคม 2569 (2026-07-06)

ปรับปรุงล่าสุด: 6 กรกฎาคม 2569

บริษัท เชอทำ 1991 จำกัด (Chertam 1991 Co., Ltd.) ("บริษัท", "เรา") ในฐานะ ผู้ควบคุมข้อมูลส่วนบุคคล ให้ความสำคัญกับการคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้บริการแอปพลิเคชัน Chertam ("แอป") ซึ่งเป็นบริการให้เช่าชุดและเครื่องแต่งกาย (รองรับทั้ง iOS และ Android) นโยบายนี้อธิบายว่าเราเก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของคุณอย่างไร ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

หน้านโยบายฉบับนี้เผยแพร่ที่ https://chertam-1991.web.app/privacy

1. ผู้ควบคุมข้อมูลและช่องทางติดต่อ

• ผู้ควบคุมข้อมูล: บริษัท เชอทำ 1991 จำกัด (Chertam 1991 Co., Ltd.)
• ติดต่อ / ใช้สิทธิของเจ้าของข้อมูล: support@chertam.co.th เป็นช่องทางเดียวสำหรับการติดต่อและการใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลทุกกรณี

2. ข้อมูลที่เราเก็บรวบรวม วัตถุประสงค์ และฐานทางกฎหมาย

หมายเหตุเรื่องข้อมูลอ่อนไหว: เอกสารยืนยันตัวตน เช่น บัตรประชาชน อาจมีข้อมูลที่ถือเป็นข้อมูลอ่อนไหวตาม PDPA มาตรา 26 (เช่น ศาสนา หมู่เลือด) เราเก็บรวบรวมและใช้เอกสารเหล่านี้เพียงเพื่อยืนยันตัวตนและป้องกันการฉ้อโกงเท่านั้น โดยจำกัดการเข้าถึงเฉพาะเจ้าหน้าที่ที่ได้รับอนุญาต หากไม่จำเป็นต้องใช้ข้อมูลอ่อนไหวส่วนใด คุณสามารถปิดทับ (redact) ส่วนนั้นก่อนอัปโหลดได้

3. การเปิดเผยข้อมูลแก่ผู้ประมวลผลและบุคคลที่สาม

เราไม่ขายข้อมูลส่วนบุคคลของคุณ เราเปิดเผยข้อมูลเท่าที่จำเป็นให้แก่ผู้ประมวลผลข้อมูล (data processor) ที่ให้บริการแก่เราภายใต้ข้อตกลงการประมวลผลข้อมูล ได้แก่:

• Google Firebase / Google Cloud Platform — โครงสร้างพื้นฐานหลักของแอป: การยืนยันตัวตน (Authentication) ฐานข้อมูล (Firestore) พื้นที่จัดเก็บไฟล์ (Cloud Storage) ฟังก์ชันเซิร์ฟเวอร์ (Cloud Functions) การแจ้งเตือน (Cloud Messaging) การวิเคราะห์ (Analytics) และรายงานการขัดข้อง (Crashlytics)
• Opn Payments — ผู้ให้บริการรับชำระเงิน (ประมวลผลบัตรแบบ tokenized, PromptPay และการคืนเงิน)
• ผู้ให้บริการประมวลผลภาพด้วยปัญญาประดิษฐ์ภายนอก (Photo Try-On) — ประมวลผลรูปเต็มตัวเพื่อสร้างภาพลองชุดเท่านั้น (จะระบุ/ปรับปรุงรายชื่อในนโยบายนี้เมื่อเริ่มเปิดใช้บริการ)
• ผู้ให้บริการติดตามพัสดุและขนส่ง — เมื่อเปิดใช้บริการติดตามพัสดุ ข้อมูลหมายเลขพัสดุและสถานะจะถูกประมวลผลผ่านผู้ให้บริการติดตามพัสดุภายนอก (TrackingMore — ผู้ให้บริการต่างประเทศ) และบริษัทขนส่งที่ใช้จัดส่งจริง (เช่น Flash, Kerry, J&T, ไปรษณีย์ไทย)

ผู้ประมวลผลเหล่านี้ได้รับอนุญาตให้ใช้ข้อมูลของคุณเฉพาะตามคำสั่งของเราและเพื่อวัตถุประสงค์ที่กำหนดไว้เท่านั้น นอกจากนี้เราอาจเปิดเผยข้อมูลเมื่อกฎหมายกำหนดหรือเมื่อได้รับคำสั่งโดยชอบจากหน่วยงานของรัฐ

4. การส่งหรือโอนข้อมูลไปต่างประเทศ

ผู้ประมวลผลบางรายมีการประมวลผลหรือจัดเก็บข้อมูลนอกประเทศไทย (มาตรา 28/29 ของ PDPA):

• Google Firebase / Google Cloud — โครงสร้างพื้นฐานอยู่ในสหรัฐอเมริกา/ต่างประเทศ
• FASHN (หากถูกเลือกเป็นผู้ประมวลผลภาพ AI) — ผู้ประมวลผลในสหรัฐอเมริกา (Google Vertex AI ประมวลผลภายในระบบ Google Cloud เดียวกับข้อมูลอื่นของแอป)
• ผู้ให้บริการติดตามพัสดุ (TrackingMore) — ผู้ให้บริการในสหรัฐอเมริกา/ต่างประเทศ (มีการส่งเลขพัสดุข้ามพรมแดน)

ในการโอนข้อมูลไปต่างประเทศ เราจะดำเนินการให้มีมาตรการคุ้มครองที่เหมาะสมตามที่ PDPA กำหนด เช่น ข้อสัญญาการประมวลผลข้อมูลกับผู้รับข้อมูลปลายทาง

5. ระยะเวลาการเก็บรักษาข้อมูล

• รูปลองชุดด้วย AI (person + result): ผู้ใช้ลบข้อมูลการลองชุดทั้งหมดได้ด้วยตนเองทันทีทุกเมื่อในแอป (เมนู บัญชี → ความเป็นส่วนตัว → ลบข้อมูลการลองชุด) และระบบจะลบรูปภาพเหล่านี้โดยอัตโนมัติภายในไม่เกิน 90 วันนับจากวันอัปโหลด ไม่ว่าผู้ใช้จะลบเองหรือไม่ก็ตาม
• เอกสารยืนยันตัวตน (KYC): เก็บรักษาเท่าที่จำเป็นต่อวัตถุประสงค์การยืนยันตัวตนและตามที่กฎหมายที่เกี่ยวข้องกำหนด การลบทำได้โดยเจ้าหน้าที่/ระบบเท่านั้น
• ข้อมูลธุรกรรมการเงิน/บัญชี/ภาษี: เก็บตามระยะเวลาที่กฎหมายว่าด้วยการบัญชีและภาษีอากรกำหนด
• ข้อมูลบัญชีและประวัติการเช่า: เก็บตลอดระยะเวลาที่บัญชียังใช้งาน และช่วงเวลาอันสมควรหลังปิดบัญชี เว้นแต่มีฐานทางกฎหมายให้เก็บต่อ

6. สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้ PDPA คุณมีสิทธิดังต่อไปนี้:

• สิทธิเข้าถึงและขอสำเนา ข้อมูลส่วนบุคคลของคุณ (ม.30)
• สิทธิขอแก้ไข ข้อมูลให้ถูกต้องเป็นปัจจุบัน (ม.36) — ข้อมูลโปรไฟล์บางส่วนแก้ไขได้เองในแอป
• สิทธิขอลบหรือทำลาย ข้อมูล (ม.33) — รวมถึงการลบรูปลองชุดในแอปได้ทันที และการขอลบบัญชี (ดูหน้า "การลบข้อมูล")
• สิทธิขอระงับการใช้ ข้อมูล (ม.34)
• สิทธิคัดค้าน การประมวลผลข้อมูล (ม.32)
• สิทธิขอให้โอนย้ายข้อมูล (ม.31)
• สิทธิถอนความยินยอม เมื่อใดก็ได้ (เช่น ถอนความยินยอมฟีเจอร์ลองชุด = ลบรูปทั้งหมด)
• สิทธิร้องเรียน ต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) หากเห็นว่าการประมวลผลไม่ชอบด้วยกฎหมาย

การใช้สิทธิ ติดต่อ support@chertam.co.th เราจะดำเนินการภายในระยะเวลาที่กฎหมายกำหนด (โดยทั่วไปภายใน 30 วัน)

7. ความปลอดภัยของข้อมูล

เราใช้มาตรการทางเทคนิคและองค์กรที่เหมาะสม เช่น การเข้ารหัสข้อมูลระหว่างการรับส่ง กฎความปลอดภัย (security rules) ที่จำกัดการเข้าถึงไฟล์และข้อมูลเฉพาะเจ้าของและเจ้าหน้าที่ที่ได้รับอนุญาต (owner-scoped) การจำกัดสิทธิเข้าถึงของทีมงาน และการแปลงข้อมูลบัตรเป็นโทเคนที่ฝั่งผู้ให้บริการชำระเงิน (เราไม่จัดเก็บเลขบัตร) อย่างไรก็ตาม ไม่มีระบบใดปลอดภัย 100% เราจึงพัฒนามาตรการอย่างต่อเนื่อง

8. คุกกี้และการวิเคราะห์การใช้งาน

แอปบนมือถือไม่ได้ใช้คุกกี้แบบเว็บไซต์ แต่ใช้ชุดพัฒนา (SDK) ของ Firebase Analytics เพื่อเก็บสถิติการใช้งานแบบภาพรวมโดย ไม่มีข้อมูลระบุตัวตนหรือรูปภาพ และใช้ Firebase Crashlytics เพื่อรวบรวมข้อมูลการขัดข้องของแอปเพื่อการแก้ไขข้อบกพร่อง หน้าเว็บนโยบายนี้ให้บริการผ่าน Firebase Hosting แบบสาธารณะ

9. การเข้าสู่ระบบผ่านผู้ให้บริการภายนอก (Social Sign-In)

ปัจจุบันแอปรองรับการเข้าสู่ระบบด้วยอีเมลและรหัสผ่าน ในอนาคตอาจมีการเพิ่มการเข้าสู่ระบบผ่าน Google, Facebook, LINE (และ Apple บน iOS) เมื่อเปิดใช้งาน หากคุณเลือกใช้ เราจะได้รับข้อมูลพื้นฐาน เช่น ชื่อและอีเมลจากผู้ให้บริการนั้นเพื่อสร้าง/เชื่อมโยงบัญชี ตามการตั้งค่าความเป็นส่วนตัวของบัญชีผู้ให้บริการดังกล่าว

10. การเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายนี้เป็นครั้งคราว หากมีการเปลี่ยนแปลงในสาระสำคัญ เราจะแจ้งให้ทราบผ่านแอปหรือช่องทางที่เหมาะสม และปรับปรุงวันที่มีผลบังคับใช้ด้านบน

วันที่มีผลบังคับใช้: 6 กรกฎาคม 2569 (2026-07-06)

Privacy Policy — Chertam App

Effective date: 6 July 2026 (2026-07-06)

Last updated: 6 July 2026

Chertam 1991 Co., Ltd. ("the Company", "we", "us"), as the Data Controller, is committed to protecting the personal data of users of the Chertam application ("the App"), a clothing and costume rental service (available on iOS and Android). This Policy explains how we collect, use, disclose, and protect your personal data in accordance with Thailand's Personal Data Protection Act B.E. 2562 (PDPA).

This policy is published at https://chertam-1991.web.app/privacy

1. Data Controller and Contact

• Data Controller: Chertam 1991 Co., Ltd.
• Contact / Exercise your rights: support@chertam.co.th is the sole contact channel for all data-subject requests.

2. Data We Collect, Purposes, and Legal Bases

Note on sensitive data: Identity documents such as a national ID card may contain data treated as sensitive under PDPA section 26 (e.g. religion, blood type). We collect and use such documents solely for identity verification and fraud prevention, with access restricted to authorized staff. Where sensitive fields are not needed, you may redact them before uploading.

3. Disclosure to Processors and Third Parties

We do not sell your personal data. We disclose data only as necessary to data processors who serve us under data-processing agreements:

• Google Firebase / Google Cloud Platform — core infrastructure: Authentication, Firestore database, Cloud Storage, Cloud Functions, Cloud Messaging, Analytics, and Crashlytics.
• Opn Payments — payment processor (tokenized card processing, PromptPay, refunds).
• External AI image-processing provider (Photo Try-On) — processes full-body photos solely to generate try-on images (the specific provider will be named/updated in this policy once the service goes live).
• Tracking and delivery providers — once shipment tracking is enabled, tracking numbers and delivery status will be processed via an external tracking provider (TrackingMore — an international provider), together with the carriers used for actual delivery (e.g. Flash, Kerry, J&T, Thailand Post).

These processors may use your data only under our instructions and for the stated purposes. We may also disclose data where required by law or valid government order.

4. Cross-Border Data Transfers

Some processors process or store data outside Thailand (PDPA sections 28/29):

• Google Firebase / Google Cloud — infrastructure in the United States/abroad.
• FASHN (if selected as the AI image processor) — a US-based processor. (Google Vertex AI processes within the same Google Cloud environment as the App's other data.)
• Tracking provider (TrackingMore) — a US/international provider (tracking numbers are transferred cross-border).

For cross-border transfers we implement appropriate safeguards as required by the PDPA, such as data-processing contracts with the recipients.

5. Data Retention

• AI try-on photos (person + result): you can delete all your try-on data yourself, at any time, immediately, in the app (Account → Privacy → Delete try-on data). These images are also automatically deleted no later than 90 days after upload, whether or not you delete them yourself.
• KYC / identity documents: retained for as long as necessary for identity-verification purposes and as required by applicable law; deletion is staff/system-only.
• Financial/accounting/tax records: retained for the period required by accounting and tax law.
• Account data and rental history: retained while the account is active and for a reasonable period after closure, unless a legal basis requires longer retention.

6. Your Rights as a Data Subject

Under the PDPA you have the rights to: access and obtain a copy (s.30); rectification (s.36) — some profile fields are editable in-app; erasure/destruction (s.33) — including immediate in-app deletion of try-on photos and account-deletion requests (see the "Data Deletion" page); restriction of processing (s.34); objection (s.32); data portability (s.31); withdraw consent at any time (e.g. withdrawing try-on consent deletes all such photos); and lodge a complaint with the Personal Data Protection Committee (PDPC) office if processing is unlawful.

To exercise your rights, contact support@chertam.co.th. We will act within the period required by law (generally within 30 days).

7. Data Security

We apply appropriate technical and organizational measures, including encryption in transit, owner-scoped security rules restricting access to files and data to the owner and authorized staff, restricted staff access, and card tokenization on the payment provider's side (we do not store card numbers). No system is 100% secure, so we continually improve our safeguards.

8. Cookies and Analytics

The mobile app does not use web cookies. It uses the Firebase Analytics SDK to collect aggregate usage statistics containing no identifying data or images, and Firebase Crashlytics to collect crash data for debugging. This policy page is served publicly via Firebase Hosting.

9. Social Sign-In

The App currently supports email/password sign-in. In the future, sign-in via Google, Facebook, LINE (and Apple on iOS) may be added. When enabled and if you choose to use it, we will receive basic information such as your name and email from that provider to create/link your account, subject to that provider's privacy settings.

10. Changes to This Policy

We may update this Policy from time to time. For material changes we will notify you via the App or another appropriate channel and update the effective date above.

Effective date: 6 July 2026 (2026-07-06)