นโยบายความเป็นส่วนตัวของ Strakus
ฉบับที่ 2 · มีผลใช้บังคับตั้งแต่วันที่ 28 ตุลาคม 2569 (เพิ่มบันทึกการเข้าใช้บริการตาม พ.ร.บ.คอมพิวเตอร์)
ฉบับภาษาไทยนี้เป็นฉบับหลัก ฉบับภาษาอังกฤษทำไว้เพื่อความสะดวก ถ้าสองฉบับขัดกัน ให้ถือฉบับภาษาไทย
1. นโยบายนี้ใช้กับใคร
1.1 นโยบายนี้อธิบายว่า Strakus ("เรา") เก็บ ใช้ เปิดเผย และดูแลข้อมูลส่วนบุคคลอย่างไร ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ("PDPA") ใช้กับ:
- เจ้าของร้าน ที่สมัครและใช้บริการ ("คุณ")
- ผู้ที่เข้าเว็บไซต์ strakus.xyz หรือติดต่อเรา
- ลูกค้าของร้าน ที่คุยกับบอทของร้าน ให้อ่านข้อ 2.2 ก่อน
1.2 ผู้ควบคุมข้อมูลส่วนบุคคล: ศักดินนท์ เศรษฐสิงห์ ผู้ให้บริการ Strakus ในฐานะบุคคลธรรมดา อีเมล strakusco@gmail.com (ที่อยู่ทางไปรษณีย์ แจ้งให้เมื่อขอทางอีเมล)
1.3 เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO): ตอนนี้กฎหมายยังไม่กำหนดให้บริการขนาดของเราต้องมี DPO เรื่องข้อมูลส่วนบุคคลทุกเรื่อง ติดต่อผู้ก่อตั้งได้โดยตรงทางอีเมลข้างต้น ถ้าเราแต่งตั้ง DPO เราจะแจ้งช่องทางติดต่อไว้ที่นี่
2. บทบาทของเรา
2.1 ข้อมูลของคุณ (เจ้าของร้าน): เราเป็นผู้ควบคุมข้อมูลส่วนบุคคล เช่น อีเมล ข้อมูลบัญชี ข้อมูลการชำระเงิน และข้อมูลความปลอดภัย เราเป็นผู้ตัดสินใจว่าจะใช้ข้อมูลเหล่านี้อย่างไร ตามนโยบายนี้
2.2 ข้อมูลลูกค้าของร้าน: ร้านเป็นผู้ควบคุมข้อมูลส่วนบุคคล และเราเป็นผู้ประมวลผลข้อมูลส่วนบุคคลแทนร้าน
- เมื่อคุณทักแชทหาร้านที่ใช้ Strakus ข้อความ ไอดีผู้ใช้ LINE ประวัติแชท และคำสั่งซื้อของคุณ อยู่ในความรับผิดชอบของร้านนั้น
- เราประมวลผลข้อมูลเหล่านี้ตามคำสั่งของร้าน เพื่อให้บอทตอบคุณและส่งเรื่องให้ร้าน เราไม่ขาย ไม่ใช้โฆษณา และไม่นำไปฝึกโมเดลของเรา
- ถ้าต้องการขอดู แก้ไข หรือลบข้อมูล ให้ติดต่อร้านโดยตรง ถ้าคุณติดต่อเรา เราจะส่งเรื่องให้ร้านและช่วยร้านดำเนินการ
- หน้าที่ของร้านและของเราในส่วนนี้ เขียนไว้ในส่วนที่ 12 ของข้อกำหนดการใช้บริการ
3. ข้อมูลที่เราเก็บ
| ประเภท | ตัวอย่าง | ได้มาจาก |
|---|
| ข้อมูลบัญชี | อีเมล ชื่อผู้ใช้ ชื่อที่แสดงและรูปโปรไฟล์ (ถ้าใส่) รหัสผ่าน (เก็บแบบเข้ารหัสทางเดียว เราอ่านไม่ได้) สถานะแพ็กเกจ ยอดโทเคน และสถานะการระงับบัญชี | คุณ, ระบบของเรา |
| ข้อมูลร้านและบอท | ชื่อร้าน ที่อยู่ เบอร์โทร เวลาเปิดปิด เมนู ข้อมูลในโฟลเดอร์ ชุดคำสั่ง การตั้งค่าบอท ลิงก์ Google Sheet ที่คุณเชื่อม ถ้าคุณเป็นบุคคลธรรมดา ข้อมูลร้านบางส่วนอาจเป็นข้อมูลส่วนบุคคลของคุณ | คุณ |
| ข้อมูลการเชื่อมต่อและคีย์ | ข้อมูลช่อง LINE (channel secret และ access token) และคีย์ AI ของคุณเอง เก็บแบบเข้ารหัส และคีย์ API ของ Strakus ที่คุณสร้างไว้ใช้กับเครื่องมือ CLI | คุณ |
| ข้อมูลการชำระเงิน | คำสั่งซื้อ สินค้าที่ซื้อ ยอดเงิน เวลา เลขอ้างอิงธุรกรรมของธนาคาร ชื่อบัญชีผู้รับ ผลการตรวจสลิป ใบเสร็จ และเมื่อคืนเงิน เลขอ้างอิงการโอนคืนและชื่อบัญชีที่รับเงินคืน | คุณ, Slip2Go, ธนาคาร |
| ข้อมูลการใช้งาน | จำนวนโทเคนที่ใช้ บอทที่ใช้ เวลาที่ใช้ บันทึกการทำงานของระบบ | ระบบของเรา |
| ข้อมูลความปลอดภัย | IP address (เก็บแบบแฮชเพื่อจำกัดการใช้งาน) บันทึกการเข้าใช้บริการ (ไอดีผู้ใช้ อีเมล สิ่งที่ทำ เช่น เข้าสู่ระบบ เปลี่ยนรหัสผ่าน เชื่อม LINE ชำระเงิน พร้อมเวลา IP address และข้อมูลเบราว์เซอร์) บันทึกการเข้าสู่ระบบที่ไม่สำเร็จ ผลการตรวจว่าเป็นคนจริง (Cloudflare Turnstile) ข้อมูลเบราว์เซอร์ที่ส่งมากับคำขอ | อุปกรณ์ของคุณ, Cloudflare |
| การติดต่อ | อีเมลที่คุณส่งหาเรา คำขอคืนเงิน คำขอใช้สิทธิ | คุณ |
| ข้อมูลลูกค้าของร้าน (เราประมวลผลแทนร้าน) | ไอดีผู้ใช้ LINE ข้อความ ประวัติแชท คำถามและคำสั่งซื้อที่ส่งถึงร้าน และเมื่อลูกค้าส่งรูป ไฟล์ หรือหมุดแผนที่ เราบันทึกเพียงว่ามีการส่ง พร้อมพิกัดของหมุดหรือชื่อไฟล์ ตัวรูปและไฟล์ไม่ถูกเก็บในระบบของเราและไม่ถูกส่งให้ AI ร้านดูได้ในแชท LINE OA ของร้านเอง | ลูกค้าของร้าน ผ่าน LINE หรือแชทบนเว็บ |
สิ่งที่เราไม่เก็บ: รูปสลิป (ส่งให้ Slip2Go ตรวจแล้วไม่เก็บไว้) ชื่อและเลขบัญชีผู้โอนจากการตรวจสลิป ข้อมูลบัตรเครดิต และเราไม่ใช้คุกกี้โฆษณาหรือเครื่องมือติดตามพฤติกรรม
4. เราใช้ข้อมูลเพื่ออะไร และใช้ฐานทางกฎหมายใด
| เพื่อ | ข้อมูลที่ใช้ | ฐานทางกฎหมาย (PDPA) |
|---|
| สร้างและดูแลบัญชี ให้บริการ สร้างคำตอบของบอท เชื่อม LINE | บัญชี ร้านและบอท การเชื่อมต่อ การใช้งาน | จำเป็นเพื่อปฏิบัติตามสัญญา (มาตรา 24(3)) |
| รับชำระเงิน ตรวจสลิป เติมโทเคน ส่งใบเสร็จ คืนเงิน | การชำระเงิน บัญชี | สัญญา (มาตรา 24(3)) |
| ส่งอีเมลเรื่องบริการ เช่น ยืนยันอีเมล รีเซ็ตรหัสผ่าน แจ้งโทเคนใกล้หมด เตือนต่ออายุ แจ้งเปลี่ยนข้อกำหนด | บัญชี การใช้งาน | สัญญา (มาตรา 24(3)) |
| ป้องกันการทุจริต บัญชีม้า การรับโทเคนทดลองซ้ำ และการใช้งานผิดปกติ จำกัดการใช้งาน ล็อกบัญชีเมื่อเดารหัสผ่านผิดหลายครั้ง แจ้งเตือนการเข้าสู่ระบบที่น่าสงสัย | ความปลอดภัย การชำระเงิน การใช้งาน | ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)) ของเราและของคุณ ในการรักษาความปลอดภัยของบัญชีและเงิน |
| ตรวจแก้ปัญหาเมื่อระบบขัดข้อง และดูแลคุณภาพบริการ | การใช้งาน บันทึกระบบ | ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)) |
| ปรับปรุงบริการจากข้อมูลภาพรวมที่ระบุตัวบุคคลไม่ได้ | การใช้งาน (รวมเป็นภาพรวม) | ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)) |
| เก็บหลักฐานทางบัญชีและภาษี และเก็บข้อมูลจราจรทางคอมพิวเตอร์ตามที่กฎหมายกำหนด | การชำระเงิน ความปลอดภัย | หน้าที่ตามกฎหมาย (มาตรา 24(6)) |
| ตั้ง ใช้ หรือต่อสู้สิทธิเรียกร้องตามกฎหมาย | ข้อมูลที่เกี่ยวข้อง | ประโยชน์โดยชอบด้วยกฎหมาย (มาตรา 24(5)) |
| ส่งข่าวสาร ฟีเจอร์ใหม่ และข้อเสนอ | อีเมล | ความยินยอม (มาตรา 19) ที่คุณเลือกให้เอง ถอนได้ทุกเมื่อ |
ถ้าคุณไม่ให้ข้อมูล: อีเมลและรหัสผ่านจำเป็นสำหรับการสร้างบัญชี ถ้าไม่มี เราให้บริการไม่ได้ ข้อมูลร้านยิ่งครบ บอทยิ่งตอบได้ดี
เราใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้นี้เท่านั้น ถ้าจะใช้เพื่อวัตถุประสงค์ใหม่ เราจะแจ้งคุณก่อน และขอความยินยอมเมื่อกฎหมายกำหนด
5. ความปลอดภัยของข้อมูล
5.1 มาตรการที่เราใช้ เช่น:
- เข้ารหัสคีย์ AI และข้อมูลช่อง LINE ก่อนเก็บ (AES-GCM แยกกุญแจต่อบัญชี) และถอดรหัสเฉพาะตอนที่ระบบต้องใช้
- ส่งข้อมูลผ่านการเชื่อมต่อที่เข้ารหัส (HTTPS)
- จำกัดให้แต่ละบัญชีเห็นเฉพาะข้อมูลของตัวเอง
- จำกัดจำนวนการใช้งาน ล็อกบัญชีชั่วคราวเมื่อเดารหัสผ่านผิดหลายครั้ง และตรวจว่าเป็นคนจริงตอนเข้าสู่ระบบ
- ปุ่มระงับบัญชีที่หยุดบอทและการใช้คีย์ได้ทันที
- จำกัดคนที่เข้าถึงข้อมูลในฝั่งเราไว้ที่ผู้ก่อตั้ง และเข้าถึงเท่าที่จำเป็นต่อการให้บริการหรือแก้ปัญหา
5.2 ไม่มีระบบใดปลอดภัยได้ทั้งหมด เราไม่อาจรับประกันว่าข้อมูลจะไม่มีวันถูกเข้าถึงโดยมิชอบ แต่เราตรวจและปรับปรุงมาตรการอย่างสม่ำเสมอ
6. ผู้ที่เราส่งข้อมูลให้
6.1 ผู้ประมวลผลข้อมูลช่วง (ผู้ให้บริการที่ช่วยเราให้บริการ) นี่คือรายชื่อปัจจุบันฉบับเดียวของเรา ถ้ามีการเปลี่ยนแปลงที่เกี่ยวกับข้อมูลลูกค้าของร้าน เราแจ้งร้านล่วงหน้าตามข้อกำหนดการใช้บริการ
| ผู้ให้บริการ | ใช้ทำอะไร | ข้อมูลที่เกี่ยวข้อง | ที่ตั้งของการประมวลผล |
|---|
| Cloudflare, Inc. | เว็บไซต์ ระบบหลังบ้าน Strakus AI (Workers AI) คิวข้อความ การตรวจว่าเป็นคนจริง (Turnstile) บันทึกระบบ | ทุกข้อมูลที่ผ่านระบบ | เครือข่ายทั่วโลก |
| Supabase, Inc. | ฐานข้อมูลและระบบเข้าสู่ระบบ | ทุกข้อมูลที่เราเก็บ | ซิดนีย์ ออสเตรเลีย |
| LINE (LY Corporation และบริษัทในเครือ) | ส่งข้อความระหว่าง LINE OA ของร้านกับลูกค้า | ข้อความ ไอดีผู้ใช้ LINE | ตามที่ LINE กำหนด (ดูนโยบายความเป็นส่วนตัวของ LINE) |
| Slip2Go | ตรวจสลิปการโอนเงินกับธนาคาร | รูปสลิป (ซึ่งมีชื่อผู้โอนและยอดเงิน) | ตามที่ Slip2Go กำหนด |
| OpenRouter, Inc. | โมเดลที่ช่วยตรวจคำตอบของบอทรอบคอบ | บทสนทนาและข้อมูลร้านที่ใช้ตอบ | สหรัฐอเมริกา |
| Brevo | ส่งอีเมลเรื่องบัญชีและบริการ | อีเมล ชื่อผู้ใช้ เนื้อหาอีเมล | สหภาพยุโรป (ฝรั่งเศส เยอรมนี เบลเยียม) |
| Google LLC (Gmail) | กล่องอีเมลที่เราใช้ติดต่อกับคุณ (strakusco@gmail.com) | อีเมลที่คุณส่งหาเราและที่เราตอบ | สหรัฐอเมริกาและประเทศอื่น |
6.2 ผู้ให้บริการที่คุณเลือกใช้เอง ระบบส่งข้อมูลไปให้เฉพาะเมื่อคุณเลือกใช้ และคุณมีข้อตกลงกับเขาโดยตรง
- Google (Gemini API), OpenAI, Anthropic หรือผู้ให้บริการ AI อื่น เมื่อบอทใช้คีย์ของคุณเอง: ระบบส่งข้อความของลูกค้าของร้านและข้อมูลร้านที่ใช้ตอบไปให้ผู้ให้บริการนั้น (ดูส่วนที่ 8)
- Google Sheets เมื่อคุณเชื่อมชีตเป็นแหล่งข้อมูลสด: ระบบอ่านข้อมูลจากชีตของคุณ
6.3 ผู้รับข้อมูลอื่น
- ธนาคาร ที่เกี่ยวกับการรับเงินและการคืนเงิน
- หน่วยงานรัฐ ศาล หรือเจ้าพนักงาน เมื่อกฎหมายกำหนดหรือมีคำสั่งที่ชอบด้วยกฎหมาย
- ที่ปรึกษากฎหมายหรือผู้สอบบัญชี ที่มีหน้าที่รักษาความลับ
- ผู้รับโอนกิจการ เช่น นิติบุคคลที่ผู้ก่อตั้งจัดตั้งขึ้นเพื่อดำเนินงาน Strakus ต่อ ผู้รับโอนต้องดูแลข้อมูลตามนโยบายนี้
6.4 เราไม่ขายข้อมูลส่วนบุคคล และไม่ให้ข้อมูลกับผู้อื่นเพื่อการโฆษณาของเขา
7. การส่งข้อมูลไปต่างประเทศ
7.1 ข้อมูลของเราถูกเก็บที่ซิดนีย์ ประเทศออสเตรเลีย และผ่านเครือข่ายของ Cloudflare ที่มีศูนย์ข้อมูลหลายประเทศ บอทรอบคอบส่งบทสนทนาไปตรวจผ่าน OpenRouter ในสหรัฐอเมริกา อีเมลส่งผ่าน Brevo และอีเมลติดต่อของเราอยู่บน Gmail ของ Google
7.2 เท่าที่เราทราบ ณ วันที่เขียนนโยบายนี้ คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลยังไม่ได้ประกาศว่าประเทศเหล่านี้มีมาตรฐานการคุ้มครองข้อมูลเพียงพอ เราจึงอาศัยหลักต่อไปนี้:
- สำหรับข้อมูลของคุณ การส่งไปต่างประเทศจำเป็นเพื่อปฏิบัติตามสัญญาที่คุณเป็นคู่สัญญา (มาตรา 28(3)) เพราะระบบทำงานบนผู้ให้บริการเหล่านี้
- สำหรับข้อมูลทั้งหมด เราเลือกผู้ให้บริการที่มีข้อตกลงคุ้มครองข้อมูลและข้อสัญญามาตรฐานสำหรับการโอนข้อมูล เป็นมาตรการคุ้มครองที่เหมาะสม (มาตรา 29)
7.3 คุณขอรายละเอียดของมาตรการคุ้มครองเหล่านี้ได้ทางอีเมลในส่วนที่ 16
8. คีย์ของคุณเองกับแบบฟรีของผู้ให้บริการ AI (โปรดอ่าน)
8.1 Strakus AI ซึ่งเป็นค่าเริ่มต้น รวมถึงโทเคนฟรีรายวันและโทเคนทดลองของเรา ทำงานบน Cloudflare Workers AI ซึ่ง Cloudflare ระบุในเอกสารของตนว่าไม่นำข้อมูลของลูกค้าไปฝึกโมเดล และไม่เก็บข้อความที่ส่งเข้าและคำตอบไว้หลังประมวลผลเสร็จ (ส่วนประวัติแชทที่เราเก็บเอง เป็นไปตามส่วนที่ 9)
8.2 ถ้าบอทของคุณใช้คีย์ของคุณเองในแบบฟรีของผู้ให้บริการ AI เช่น คีย์ Gemini ที่ไม่ได้ผูกบัญชีชำระเงิน ผู้ให้บริการรายนั้นอาจนำข้อความที่ส่งไป รวมถึงข้อความของลูกค้าของร้าน ไปปรับปรุงและพัฒนาโมเดลและบริการของเขา และพนักงานของเขาอาจอ่านข้อความเหล่านั้นได้ ณ วันที่เขียนนโยบายนี้ Google ระบุไว้ในข้อกำหนดของ Gemini API สำหรับการใช้แบบไม่เสียเงิน และแนะนำว่าไม่ควรส่งข้อมูลส่วนบุคคลหรือข้อมูลลับเข้าไป
8.3 เงื่อนไขนี้เป็นของผู้ให้บริการรายนั้น เราปิดให้ไม่ได้ คุณจึงควรเลือกโดยรู้ข้อนี้ก่อน ถ้าไม่ต้องการ ให้ใช้ Strakus AI หรือแบบเสียเงินของผู้ให้บริการที่ระบุว่าไม่นำข้อมูลไปพัฒนาโมเดล
8.4 บอทรอบคอบส่งบทสนทนาไปตรวจผ่าน OpenRouter ในสหรัฐอเมริกา ซึ่งส่งต่อไปยังผู้ให้บริการโมเดลตามที่ OpenRouter จัดเส้นทาง ภายใต้นโยบายของ OpenRouter
9. เราเก็บข้อมูลไว้นานแค่ไหน
| ข้อมูล | ระยะเวลาเก็บ |
|---|
| ข้อมูลบัญชี ข้อมูลร้านและบอท | ตลอดที่มีบัญชี และลบภายใน 30 วันหลังปิดบัญชี |
| คีย์ AI และข้อมูลช่อง LINE (เข้ารหัส) | จนกว่าคุณจะลบ หรือภายใน 30 วันหลังปิดบัญชี |
| ประวัติแชทกับลูกค้าของร้าน | ตามแพ็กเกจ: แบบฟรี 7 วัน แพ็กเกจ 30 / 90 / 180 / 365 วัน ตามหน้าราคา แล้วลบอัตโนมัติ |
| คำถาม คำสั่งซื้อ และบันทึกการส่งรูป ไฟล์ หรือหมุดที่ส่งถึงร้าน | 30 วัน |
| บันทึกการใช้โทเคน | 30 วัน |
| ข้อมูลกันข้อความซ้ำจาก LINE | 3 วัน |
| บันทึกการเข้าสู่ระบบที่ไม่สำเร็จ | 1 วันหลังครั้งล่าสุด |
| ตัวนับเพื่อจำกัดการใช้งาน (IP แบบแฮช) | ประมาณ 32 วัน |
| บันทึกการทำงานของระบบที่ Cloudflare | ประมาณ 3 วัน |
| บันทึกการเข้าใช้บริการ (ไอดีผู้ใช้ อีเมล สิ่งที่ทำ เวลา IP address) ตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ | 90 วัน หรือนานกว่านั้นถ้าเจ้าพนักงานสั่ง |
| คำสั่งซื้อ ใบเสร็จ และหลักฐานการคืนเงิน | 5 ปี เพื่อหลักฐานทางบัญชีและภาษี |
| อีเมลที่ติดต่อกับเรา | 2 ปีหลังเรื่องจบ เว้นแต่ต้องใช้เป็นหลักฐาน |
| ไอดีของ LINE OA ที่เคยได้รับโทเคนทดลอง | เก็บต่อแม้ปิดบัญชีแล้ว เพื่อไม่ให้ OA เดิมรับโทเคนทดลองซ้ำ |
| บันทึกบัญชีที่ถูกปิดเพราะทุจริตหรือโกงระบบ (อีเมล เหตุผล วันที่) | 2 ปีหลังปิดบัญชี เพื่อป้องกันการสมัครใหม่มาทำซ้ำ |
| ข้อมูลที่ใช้ส่งข่าวสาร | จนกว่าคุณจะถอนความยินยอม |
เมื่อครบกำหนด เราลบหรือทำให้ข้อมูลระบุตัวบุคคลไม่ได้ สำเนาสำรองของผู้ให้บริการฐานข้อมูล (ถ้ามี) จะหมดไปตามรอบของผู้ให้บริการ ถ้ามีข้อพิพาทหรือกฎหมายกำหนด เราอาจเก็บข้อมูลที่เกี่ยวข้องไว้นานกว่านี้เท่าที่จำเป็น
10. สิทธิของคุณ
ตาม PDPA คุณมีสิทธิ:
- ขอเข้าถึงและขอสำเนาข้อมูลส่วนบุคคลของคุณ
- ขอรับหรือขอให้ส่งข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่องมืออัตโนมัติ
- คัดค้านการเก็บและใช้ข้อมูลที่อาศัยประโยชน์โดยชอบด้วยกฎหมาย และคัดค้านการตลาดแบบตรงได้ทุกเมื่อ
- ขอให้ลบ ทำลาย หรือทำให้ข้อมูลระบุตัวบุคคลไม่ได้
- ขอให้ระงับการใช้ข้อมูล
- ขอให้แก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบัน
- ถอนความยินยอมที่เคยให้ไว้ได้ทุกเมื่อ ง่ายเท่ากับตอนให้ การถอนไม่กระทบสิ่งที่ทำไปแล้วโดยชอบ
- ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (www.pdpc.or.th)
วิธีใช้สิทธิ: อีเมลถึง strakusco@gmail.com จากอีเมลที่ใช้สมัคร เราอาจขอข้อมูลเพิ่มเพื่อยืนยันตัวตน และจะตอบภายใน 30 วัน ถ้าเราปฏิเสธคำขอในกรณีที่กฎหมายอนุญาต เช่น ต้องเก็บข้อมูลไว้ตามกฎหมายหรือเพื่อต่อสู้สิทธิเรียกร้อง เราจะแจ้งเหตุผลให้ทราบ
ข้อมูลที่แก้หรือลบได้เองในแอป: ข้อมูลร้าน บอท เมนู คีย์ และการเชื่อม LINE
11. คุกกี้และที่เก็บข้อมูลในเบราว์เซอร์
11.1 เราไม่ใช้คุกกี้โฆษณาหรือเครื่องมือวิเคราะห์พฤติกรรมของบุคคลภายนอก
11.2 สิ่งที่เราใช้ จำเป็นต่อการทำงานของเว็บไซต์และความปลอดภัย:
- สถานะการเข้าสู่ระบบ เก็บในที่เก็บข้อมูลของเบราว์เซอร์ (local storage) เพื่อให้คุณไม่ต้องเข้าสู่ระบบใหม่ทุกครั้ง
- ภาษา ภูมิภาค และธีม ที่คุณเลือก เก็บในเบราว์เซอร์
- คุกกี้ความปลอดภัยของ Cloudflare และ Turnstile เพื่อกันบอทและการโจมตี
11.3 ถ้าเราจะเพิ่มเครื่องมือที่ไม่จำเป็นต่อการทำงาน เช่น เครื่องมือวิเคราะห์การใช้งาน เราจะขอความยินยอมจากคุณก่อน
12. ข่าวสารและการตลาด
เราส่งข่าวสาร ฟีเจอร์ใหม่ และข้อเสนอ เฉพาะเมื่อคุณติ๊กยินยอมไว้ ซึ่งแยกจากการยอมรับข้อกำหนด คุณยกเลิกได้ทุกเมื่อจากลิงก์ในอีเมลนั้น หรือแจ้งเราทางอีเมล อีเมลเรื่องบริการ เช่น ใบเสร็จ การเตือนต่ออายุ การแจ้งโทเคนใกล้หมด การแจ้งเตือนความปลอดภัย และการแจ้งเปลี่ยนข้อกำหนด ไม่ใช่การตลาด เราจึงส่งให้ทุกบัญชี
13. เด็กและเยาวชน
บริการของเรามีไว้สำหรับผู้ที่บรรลุนิติภาวะแล้ว เราไม่ได้ตั้งใจเก็บข้อมูลส่วนบุคคลของผู้เยาว์ในฐานะเจ้าของบัญชี ถ้าพบว่ามีบัญชีของผู้เยาว์ที่ไม่ได้รับความยินยอมจากผู้แทนโดยชอบธรรม เราจะปิดบัญชีและลบข้อมูล ลูกค้าของร้านที่เป็นผู้เยาว์อยู่ในความรับผิดชอบของร้านในฐานะผู้ควบคุมข้อมูล
14. หากเกิดเหตุละเมิดข้อมูล
ถ้าเกิดเหตุละเมิดข้อมูลส่วนบุคคล เราจะ:
- แจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลโดยไม่ชักช้า ภายใน 72 ชั่วโมงนับแต่ทราบ เมื่อกฎหมายกำหนด
- แจ้งคุณพร้อมแนวทางเยียวยา ถ้าเหตุนั้นมีความเสี่ยงสูงต่อสิทธิของคุณ
- แจ้งร้านโดยไม่ชักช้า ถ้าเหตุนั้นเกี่ยวกับข้อมูลลูกค้าของร้าน
15. การเปลี่ยนแปลงนโยบายนี้
เราอาจปรับนโยบายนี้ ฉบับใหม่จะแสดงวันที่มีผลไว้ด้านบน ถ้าเป็นการเปลี่ยนแปลงสำคัญ เช่น ใช้ข้อมูลเพื่อวัตถุประสงค์ใหม่ หรือเพิ่มผู้ประมวลผลข้อมูลช่วง เราจะแจ้งทางอีเมลหรือในแอปก่อนมีผล และขอความยินยอมใหม่เมื่อกฎหมายกำหนด
16. ติดต่อเรา
เรื่องข้อมูลส่วนบุคคล: strakusco@gmail.com หรือ support@strakus.xyz
ผู้ควบคุมข้อมูลส่วนบุคคล: ศักดินนท์ เศรษฐสิงห์ (ที่อยู่ทางไปรษณีย์ แจ้งให้เมื่อขอทางอีเมล)
Strakus Privacy Policy
Version 2 · In effect from 28 October 2026 (adds the access records the Computer Crime Act requires)
This English text is a translation for convenience. The Thai version is the controlling text. If they differ, the Thai version governs.
1. Who this policy covers
1.1 This policy explains how Strakus ("we", "us") collects, uses, discloses and looks after personal data under the Personal Data Protection Act B.E. 2562 (the "PDPA"). It applies to:
- shop owners who sign up and use the Service ("you");
- people who visit strakus.xyz or contact us;
- shops' customers who chat with a shop's bot. Please read 2.2 first.
1.2 Data controller: Sakdinon Settasing (ศักดินนท์ เศรษฐสิงห์), operator of Strakus as an individual, email strakusco@gmail.com (postal address given on request by email).
1.3 Data Protection Officer (DPO): the law does not yet require a service of our size to appoint a DPO. For anything about personal data, contact the founder directly at the email above. If we appoint a DPO, we will publish their contact details here.
2. Our roles
2.1 Your data (as a shop owner): we are the data controller. This covers your email, account data, payment data and security data. We decide how this data is used, as set out in this policy.
2.2 Shops' customers' data: the shop is the data controller, and we are the data processor acting for the shop.
- When you message a shop that uses Strakus, your messages, LINE user ID, chat history and orders are the responsibility of that shop.
- We process this data on the shop's instructions, so the bot can answer you and pass messages to the shop. We do not sell it, use it for advertising, or use it to train our models.
- To see, correct or delete your data, contact the shop directly. If you contact us, we will pass your request to the shop and help it act.
- The shop's duties and ours are set out in Section 12 of the Terms of Service.
3. The data we collect
| Category | Examples | Source |
|---|
| Account data | Email, username, display name and profile picture (if you add them), password (stored one-way hashed; we cannot read it), package status, token balances, and whether the account is frozen | You, our systems |
| Shop and bot data | Shop name, address, phone, opening hours, menu, folder content, prompts, bot settings, a Google Sheet you link. If you are an individual, some shop data may be your personal data | You |
| Connection details and keys | LINE channel secret and access token, your own AI keys, stored encrypted, and Strakus API keys you create for the CLI tool | You |
| Payment data | Orders, what you bought, amount, time, the bank's transaction reference, receiving account name, slip-check result, receipts, and for refunds, the refund transfer reference and the name of the account refunded | You, Slip2Go, banks |
| Usage data | Tokens used, which bots, when, system logs | Our systems |
| Security data | IP address (stored hashed, for rate limits), access records (user ID, email, what was done, such as signing in, changing a password, connecting LINE or paying, with the time, IP address and browser information), failed sign-in records, human-check result (Cloudflare Turnstile), browser information sent with each request | Your device, Cloudflare |
| Contact | Emails you send us, refund requests, rights requests | You |
| Shops' customers' data (processed for the shop) | LINE user ID, messages, chat history, questions and orders sent to the shop; when a customer sends a photo, file or map pin, we record only that it was sent, with the pin's coordinates or the file's name. The photo or file itself is not stored by us and is not sent to the AI; the shop sees it in its own LINE OA chat | Shops' customers, via LINE or web chat |
What we do not keep: slip images (sent to Slip2Go for checking, not stored by us), the payer's name and account number from slip checks, card details. We use no advertising cookies or behavioural tracking tools.
4. Why we use data, and on what legal basis
| Purpose | Data | Legal basis (PDPA) |
|---|
| Create and run your account, provide the Service, generate bot answers, connect LINE | Account, shop and bot, connections, usage | Necessary to perform the contract (s.24(3)) |
| Take payment, check slips, credit tokens, send receipts, give refunds | Payment, account | Contract (s.24(3)) |
| Send service emails, such as email confirmation, password reset, tokens running low, renewal reminders, changes to terms | Account, usage | Contract (s.24(3)) |
| Prevent fraud, mule accounts, repeat claims of the trial tokens and abuse; rate limits; lock an account after repeated wrong passwords; warn about suspicious sign-ins | Security, payment, usage | Legitimate interests (s.24(5)), ours and yours, in keeping accounts and money safe |
| Troubleshoot failures and maintain service quality | Usage, system logs | Legitimate interests (s.24(5)) |
| Improve the Service from aggregate data that cannot identify anyone | Usage (aggregated) | Legitimate interests (s.24(5)) |
| Keep accounting and tax records, and computer traffic data the law requires | Payment, security | Legal obligation (s.24(6)) |
| Establish, exercise or defend legal claims | Relevant data | Legitimate interests (s.24(5)) |
| Send news, new features and offers | Email | Consent (s.19), which you choose to give and can withdraw at any time |
If you do not provide data: an email and password are needed to create an account; without them we cannot provide the Service. The more complete your shop data, the better your bot can answer.
We use data only for the purposes stated here. To use it for a new purpose, we will tell you first and ask for consent where the law requires.
5. Security
5.1 Our measures include:
- encrypting AI keys and LINE connection details before storage (AES-GCM, a separate key per account), decrypted only when the system needs them;
- encrypted connections (HTTPS);
- limiting each account to its own data;
- rate limits, temporary lockouts after repeated wrong passwords, and a human check at sign-in;
- a freeze switch that stops bots and key use at once;
- limiting who can access data on our side to the founder, and only as needed to provide the Service or fix problems.
5.2 No system is completely secure. We cannot guarantee data will never be accessed unlawfully, but we review and improve our measures regularly.
6. Who we share data with
6.1 Sub-processors (providers who help us run the Service). This is our single current list. When a change affects shops' customers' data, we notify shops in advance as set out in the Terms of Service.
| Provider | What for | Data involved | Where processed |
|---|
| Cloudflare, Inc. | Website, backend, Strakus AI (Workers AI), message queue, human check (Turnstile), system logs | All data passing through the system | Global network |
| Supabase, Inc. | Database and sign-in | All data we store | Sydney, Australia |
| LINE (LY Corporation and affiliates) | Delivers messages between the shop's LINE OA and its customers | Messages, LINE user IDs | As LINE determines (see LINE's privacy policy) |
| Slip2Go | Checks transfer slips with the bank | Slip image (which shows the payer's name and amount) | As Slip2Go determines |
| OpenRouter, Inc. | Model that helps check Careful bot answers | Conversation and the shop data used to answer | United States |
| Brevo | Sends account and service emails | Email address, username, email content | European Union (France, Germany, Belgium) |
| Google LLC (Gmail) | The mailbox we use to correspond with you (strakusco@gmail.com) | Emails you send us and our replies | United States and other countries |
6.2 Providers you choose yourself. The system sends them data only if you choose to use them, and you have your own agreement with them.
- Google (Gemini API), OpenAI, Anthropic or another AI provider, when a bot uses your own key: the system sends your shop's customers' messages and the shop data used to answer to that provider (see Section 8).
- Google Sheets, when you link a sheet as a live data source: the system reads data from your sheet.
6.3 Other recipients
- banks involved in receiving payments and making refunds;
- government authorities, courts or officials, when the law requires or a lawful order is made;
- legal advisers or auditors bound by confidentiality;
- a successor to the business, such as a company the founder sets up to continue Strakus, which must handle data under this policy.
6.4 We do not sell personal data, and we do not give data to others for their own advertising.
7. Transfers abroad
7.1 Our data is stored in Sydney, Australia, and passes through Cloudflare's network, which has data centres in many countries. Careful bots send conversations for checking through OpenRouter in the United States. Email is sent through Brevo, and our contact mailbox is on Google's Gmail.
7.2 As far as we know at the time of writing, the Personal Data Protection Committee has not declared that these countries have adequate data protection standards. We therefore rely on:
- for your data, the transfer being necessary to perform the contract you are a party to (s.28(3)), because the Service runs on these providers;
- for all data, choosing providers whose data protection agreements include standard contractual clauses for transfers, as appropriate safeguards (s.29).
7.3 You can ask us for details of these safeguards at the email in Section 16.
8. Your own key and AI providers' free tiers (please read)
8.1 Strakus AI, our default, including the free daily tokens and trial tokens, runs on Cloudflare Workers AI. Cloudflare states in its documentation that it does not use customer content to train models, and does not keep inputs or outputs once a request is processed. (The chat history we keep ourselves follows Section 9.)
8.2 If your bot uses your own key on an AI provider's free tier, for example a Gemini key with no billing account attached, that provider may use what is sent to it, including your shop's customers' messages, to improve and develop its models and services, and its staff may read those messages. At the time of writing, Google states this in the Gemini API terms for unpaid use, and advises not to submit personal or confidential information there.
8.3 These are that provider's terms. We cannot switch them off, so please choose with this in mind. If you do not want this, use Strakus AI, or a paid provider tier whose terms say data is not used to improve models.
8.4 Careful bots send conversations for checking through OpenRouter in the United States, which passes them to the model provider it routes to, under OpenRouter's policies.
9. How long we keep data
| Data | Kept for |
|---|
| Account, shop and bot data | While you have an account; deleted within 30 days of closing it |
| AI keys and LINE connection details (encrypted) | Until you delete them, or within 30 days of closing the account |
| Chat history with shops' customers | By plan: free 7 days; packages 30 / 90 / 180 / 365 days as on the pricing page; then deleted automatically |
| Questions, orders, and records of photos, files or pins sent to the shop | 30 days |
| Token-use records | 30 days |
| LINE duplicate-message records | 3 days |
| Failed sign-in records | 1 day after the latest attempt |
| Rate-limit counters (hashed IP) | About 32 days |
| System logs at Cloudflare | About 3 days |
| Access records (user ID, email, what was done, time, IP address) under the Computer Crime Act | 90 days, or longer if an official orders it |
| Orders, receipts and refund records | 5 years, as accounting and tax evidence |
| Emails exchanged with us | 2 years after the matter closes, unless needed as evidence |
| IDs of LINE OAs that have already received trial tokens | Kept after an account closes, so the same OA cannot claim the trial again |
| Records of accounts closed for fraud or cheating (email, reason, date) | 2 years after closing, to stop the same person signing up to do it again |
| Data used to send news | Until you withdraw consent |
When a period ends, we delete the data or make it impossible to identify anyone. Backup copies at our database provider (if any) expire on the provider's cycle. Where there is a dispute or the law requires, we may keep the relevant data longer, only as long as needed.
10. Your rights
Under the PDPA you have the right to:
- access and get a copy of your personal data;
- receive your data, or have it sent, in a machine-readable format;
- object to processing based on legitimate interests, and object to direct marketing at any time;
- ask for deletion, destruction or anonymisation;
- ask for restriction of use;
- ask for correction so data is accurate and current;
- withdraw consent you gave, at any time, as easily as you gave it; withdrawal does not affect what was lawfully done before;
- complain to the Office of the Personal Data Protection Committee (www.pdpc.or.th).
How: email strakusco@gmail.com from the email you signed up with. We may ask for more information to confirm your identity, and we will respond within 30 days. If we refuse a request where the law allows, for example because we must keep data by law or to defend a legal claim, we will tell you why.
What you can change or delete yourself in the app: shop data, bots, menu, keys and LINE connections.
11. Cookies and browser storage
11.1 We use no advertising cookies and no third-party behavioural analytics.
11.2 What we use is needed for the website to work and stay secure:
- sign-in state, kept in your browser's local storage so you do not have to sign in every time;
- your chosen language, region and theme, kept in your browser;
- Cloudflare and Turnstile security cookies, to block bots and attacks.
11.3 If we add anything not needed for the site to work, such as usage analytics, we will ask for your consent first.
12. News and marketing
We send news, new features and offers only if you tick the consent box, which is separate from accepting the terms. You can unsubscribe at any time from the link in that email, or by emailing us. Service emails, such as receipts, renewal reminders, low-token alerts, security alerts and changes to the terms, are not marketing and go to every account.
13. Children
The Service is for people who have reached majority. We do not knowingly collect minors' personal data as account holders. If we find an account held by a minor without the consent of a legal representative, we will close it and delete the data. Shops' customers who are minors are the shop's responsibility as data controller.
14. If a data breach happens
If a personal data breach happens, we will:
- notify the Office of the Personal Data Protection Committee without delay, within 72 hours of becoming aware, where the law requires;
- tell you, with the remedial steps, if the breach is likely to pose a high risk to your rights;
- tell the affected shop without delay if the breach involves its customers' data.
15. Changes to this policy
We may update this policy. The new version will show its effective date at the top. For important changes, such as a new purpose or a new sub-processor, we will tell you by email or in the app before they take effect, and ask for fresh consent where the law requires.
16. Contact us
For personal data matters: strakusco@gmail.com or support@strakus.xyz
Data controller: Sakdinon Settasing (ศักดินนท์ เศรษฐสิงห์) (postal address given on request by email).