นโยบายความเป็นส่วนตัว

1. ผู้ควบคุมข้อมูลส่วนบุคคล

เว็บไซต์ NOPAYNOPLAY (nopaynoplay.org) เป็นแพลตฟอร์มเปิดสำหรับเตือนภัย เว็บไซต์การพนันหลอกลวง เว็บพนันไม่จ่ายเงิน บัญชีม้า และมิจฉาชีพออนไลน์ในประเทศไทย ดำเนินงานแบบไม่แสวงหากำไร โดยชุมชนอาสาสมัคร

ติดต่อผู้ควบคุมข้อมูล: /contact

2. ข้อมูลที่เราเก็บ

2.1 ข้อมูลของผู้ใช้ (ผู้แจ้งเบาะแส)

• LINE User ID + ชื่อโปรไฟล์ + รูปโปรไฟล์ (เมื่อล็อกอินด้วย LINE)
• เนื้อหารายงานเบาะแสที่คุณส่ง (URL, บัญชี, ไอดีไลน์, รูปหลักฐาน, คำอธิบาย)
• ที่อยู่ IP + User Agent (เก็บชั่วคราวเพื่อป้องกันสแปม)
• คุกกี้เซสชัน (เพื่อล็อกอิน) + คุกกี้นับ view (30 วัน)

2.2 ข้อมูลของผู้ถูกกล่าวหา

เนื้อหาที่ผู้ใช้แจ้งเข้ามาอาจมีข้อมูลของบุคคลอื่น (เช่น ชื่อบัญชี เลขบัญชี ไอดีไลน์) ข้อมูลเหล่านี้จะถูก ปกปิดบางส่วน (masked) ก่อนเผยแพร่สาธารณะ เช่น เลขบัญชี 10 หลักจะแสดงเฉพาะ 3 หลักแรกและ 3 หลักท้าย

3. วัตถุประสงค์การเก็บและใช้ข้อมูล

• เตือนภัยประชาชนก่อนโอนเงิน (public interest / ประโยชน์สาธารณะ)
• ป้องกันความเสียหายจากการฉ้อโกงออนไลน์
• สนับสนุนการทำงานของหน่วยงานบังคับใช้กฎหมาย
• ปรับปรุงบริการและป้องกันการใช้งานผิดวัตถุประสงค์

4. ฐานทางกฎหมาย (Lawful Basis)

ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 24(4):

“เพื่อประโยชน์อันชอบธรรมของผู้ควบคุมข้อมูลส่วนบุคคลหรือของบุคคลอื่น เว้นแต่ประโยชน์ดังกล่าวมีความสำคัญน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูล”

ประโยชน์อันชอบธรรม = การป้องกันประชาชนจากการฉ้อโกง ซึ่งเป็นภัยสาธารณะ

5. ระยะเวลาการเก็บข้อมูล

• ข้อมูลเซสชันล็อกอิน: 30 วัน
• รายงานที่อนุมัติแล้ว: เก็บไว้ตราบที่ยังเป็นประโยชน์สาธารณะ
• รายงานที่ถูกปฏิเสธ: ลบภายใน 90 วัน
• Log การใช้งาน: 180 วัน

6. สิทธิของเจ้าของข้อมูล

คุณมีสิทธิดังต่อไปนี้ตาม PDPA:

• สิทธิเข้าถึงข้อมูล (Right to Access) — ขอสำเนาข้อมูลของคุณ
• สิทธิขอลบข้อมูล (Right to Erasure) — ยื่นคำร้องที่ /takedown
• สิทธิคัดค้าน (Right to Object) — คัดค้านการประมวลผลข้อมูล
• สิทธิถอนความยินยอม (Right to Withdraw Consent) — ยกเลิกบัญชีล็อกอิน
• สิทธิร้องเรียน — ต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

ยื่นคำร้องได้ที่ /contact — เราจะตอบภายใน 30 วัน

7. การเปิดเผยข้อมูลกับบุคคลที่สาม

เราจะไม่ขาย ให้เช่า หรือแลกเปลี่ยนข้อมูลกับบุคคลที่สาม เว้นแต่:

• เมื่อมีคำสั่งศาล/หมายเรียกจากหน่วยงานบังคับใช้กฎหมาย
• เมื่อได้รับความยินยอมจากคุณ
• ผู้ให้บริการโครงสร้างพื้นฐาน (Vercel, Cloudflare) ภายใต้ Data Processing Agreement

8. คุกกี้ (Cookies)

• nopaynoplay_session — เซสชันล็อกอิน (httpOnly, 30 วัน)
• viewed_reports — ป้องกันการนับ view ซ้ำ (httpOnly, 30 วัน)
• __cf_bm — Cloudflare Bot Management (Session)
• ไม่มีการใช้ Third-party tracking cookies

9. ความปลอดภัย

• HTTPS + HSTS ทุกหน้า
• Content Security Policy (CSP) เข้มงวด
• Cloudflare Turnstile ป้องกัน bot
• Admin ต้องใช้ 2FA (TOTP)
• Session cookies เข้ารหัสด้วย HMAC-SHA256

10. การเปลี่ยนแปลงนโยบาย

เราขอสงวนสิทธิ์ในการแก้ไขนโยบายฉบับนี้ การเปลี่ยนแปลงจะประกาศบนหน้านี้ พร้อมวันที่อัปเดตล่าสุดด้านบน