数据保护与 PDPA 合规
我们如何在 ContentVelo 与 ChatMai 两个平台上保护你的个人数据，遵循泰国《个人数据保护法》（佛历 2562 年，PDPA）与 Shopee Open Platform 的要求。
数据控制者信息
对于通过 ContentVelo（Facebook 的 AI 内容制作）与 ChatMai（整合消息收件箱）处理之个人数据负责的数据控制者为：
NB Digital Co., LTD.
10 Soi Inthamara 18, Ratchadaphisek, Din Daeng, Bangkok 10400, Thailand (head office) · Taxpayer identification number 0105568176336
电子邮件：[email protected]
数据保护官：[email protected]
处理之法律依据（PDPA）
依据泰国 PDPA，我们基于下列合法事由处理个人数据：
- 同意 — 你在创建账号、连接社交平台，或授权 Shopee／Facebook 集成时，明确同意数据处理。
- 合同必要性 — 为提供你所订用的 ContentVelo 与 ChatMai 服务所必需的处理。
- 正当利益 — 在不逾越你权利的前提下，用于分析、服务改善与防欺诈。
- 法律义务 — 遵循泰国法令、税务规定与平台伙伴的要求。
各平台收集的数据
依你使用的平台不同，我们收集并处理不同类别的数据：
| 平台 | 数据类别 | 目的 |
|---|---|---|
| ContentVelo | Facebook 主页令牌、AI 生成的内容、帖子分析数据、用户资料（姓名、电子邮件）、账务信息 | AI 内容制作、排程、发布到 Facebook、使用分析 |
| ChatMai | 平台上的对话（Shopee、LINE、Facebook Messenger）、订单脉络、买家／发件者标识、团队协作数据 | 整合收件箱消息处理、AI 自动回复建议、对话分析 |
您必须提供什么，不提供会怎样
PDPA 第 23(2) 条要求本声明说明：提供个人数据在何处是法律或合同要求的，或者是订立合同所必需的，并说明不提供的后果。没有任何一部泰国法律要求您向 ContentVelo 提供任何东西：让下表前几行无法回避的是我们之间的约定，而不是法律。此表是从真正执行拒绝的代码里写出来的，并且区分了哪些是真正的拒绝——表单无法提交、页面根本不渲染、定时贴文被标记为失败——哪些只是结果变差。
| 我们索取的内容 | 是否必须提供 | 如果您不提供 |
|---|---|---|
| 您的电子邮箱 | 合同要求 | 没有它就没有账户。它是您登录时使用的名字，是密码重置唯一能发往的地址，也是支付服务商收到的唯一一项属于您的信息。此项为空时注册表单拒绝提交，而且地址必须唯一：同一个邮箱无法开第二个账户。 |
| 密码 | 以电子邮箱注册时必须提供 | 少于八个字符，或缺少大写字母、小写字母、数字、其他字符中的任何一项，表单都会拒绝；账户创建之前服务器还会再套用同样这四条规则一次。改用 Google、Facebook 或 LINE 登录则根本不会被要求设置密码——产品会生成一个您永远看不到的随机密码，您也可以随后在设置里自己设一个真正的密码。 |
| 确认您的电子邮箱 | 首次登录前必须完成 | 用电子邮箱和密码注册的账户，在点击我们发出的链接之前完全无法登录。账单页进不去，任何页面都进不去：这道检查摆在整个产品的门口。链接有效期为 24 小时，等待一分钟后可以再次发送。通过 Google、Facebook 或 LINE 开的账户不会遇到这一步，因为服务商已经确认过该地址。 |
| 您的姓名和一个工作区名称 | 仅注册表单要求，此后不再检查 | 任何一项为空或短于两个字符时表单都拒绝提交，也不会创建账户。此后没有任何东西再强制它们：您可以在设置里把自己的姓名清空，产品的每一部分都照常运作。它们只是给账户贴个标签、在邮件里称呼您，没有任何功能依赖它们是否属实。 |
| 同意服务条款 | 必须 | 表单不会提交；万一勾选被取消，服务器还会再一次拒绝该次注册。不同意就没有进入产品的路径。我们会记录您同意的日期与时间，这条记录就是约定的依据。 |
| 一个由您管理的 Facebook 主页 | 开账户不需要；要让产品做任何事则必须有 | 没有主页您也可以注册、登录、四处看看，除此之外什么都不能用。撰写页面停在主页选择器那里，根本不渲染表单；AutoPilot 页面整屏被换成邀请您连接主页的提示；发布会以缺少令牌的错误被拒绝；而所属主页已经消失的定时贴文会被标记为失败而不是重试。如果您登录所用的 Facebook 账号一个主页都不管理，连接甚至无法完成——Facebook 返回空列表，我们会带着错误把您送回去。 |
| 业务类型，以及至少十个字符的业务描述 | 完成已连接主页的设置所必须 | 这两项是主页设置里唯一被强制的字段，留空则该步骤无法保存。主页设置完成之前，AutoPilot 会直接拒绝这个主页，快捷模板也不会运行。普通撰写仍然可用，也照样扣费，但结果更差：发给 OpenAI 的指令里完全没有您的业务描述，因此返回的内容很笼统，图片指令也在没有语气设定的情况下发出。 |
| 品牌资料的其余部分——语气、受众、关键词、要回避的话题、颜色、您卖什么 | 每一项都是可选的 | 为空的字段会被逐个跳过。语气回退为“友好”，语言风格回退为“对话式”，其余部分则干脆不出现在我们发送的指令里。没有拒绝，没有额外费用，也没有提醒，只是贴文变得不那么像您。 |
| 您希望出现在贴文中的联系方式——电话号码、电子邮箱、LINE ID、网站、商店链接 | 可选 | 留空则它们永远不会发送给 OpenAI，也不会出现在任何地方：贴文会在没有行动号召的情况下写成，而且指令本身会告诉模型不要凭空编造。填写了则会随每一条指令一起发出，这正是本声明中关于接收方的那一节所描述的。 |
| 已绑定的 LINE 账号 | 可选 | 没有绑定就不会有任何 LINE 消息发给您——代码在组装消息之前就停在缺少账号标识那一步——而 AutoPilot 页面上的“发布前先问我”开关会以灰显加说明的方式呈现，而不是被隐藏。其余一切不变，您也可以随时在设置里解绑。 |
| 电话号码、通讯地址、公司名称、税号或增值税号、出生日期、身份证件 | 从未索取 | 这些在 ContentVelo 的任何地方都不存在为一个字段：注册时没有，设置里没有，结账时没有，付费套餐也没有。这里没有什么需要您拒绝提供，也没有什么可供我们弄丢。如果有人以我们的名义向您索取其中任何一项，那不是我们。 |
| 您的 IP 地址和浏览器发送的标识信息 | 并未索取，但只要在使用产品就无法拒绝 | 注册时我们会读取您的 IP 地址，用来限制同一个地方能开多少个账户，并把它连同浏览器标识一起写入您账户内操作的审计日志。这两项不是可以留空的字段：唯一不提供的办法就是不使用本产品。 |
本声明里有一项义务方向相反，而且属于我们而不是您：您付款之后，泰国会计法要求我们把该笔付款的会计记录保存五年，因此删除账户并不会删掉它。被移走的是您，而不是那条记录。我们的数据删除页面写明了其中什么会留下、什么会被抹除。上面其余的一切，要么是您签下的约定，要么是您完全可以留空的字段。
数据保护措施
我们在两个平台上实施完整的技术与组织措施，以保护你的数据：
技术措施
- 所有请求均使用 HTTPS，普通 HTTP 被重定向，生产环境发送 HSTS。所提供的 TLS 版本取决于我们的托管环境，而非应用程序本身
- 静态数据没有应用层加密：API 令牌与内容以可读形式存储，依靠数据库服务器和托管环境提供保护
- 更改账户的请求均带有防伪造令牌，会话 Cookie 不会暴露给脚本，也不会发送到其他站点
- 每次提交都会自动构建并运行测试套件。我们没有进行自动漏洞扫描或定期依赖项审计
组织措施
- 生产环境系统采用基于角色的访问控制（RBAC）
- 全体人员必须接受数据保护培训
- 所有系统账号一律套用最小权限原则
- 对账户中执行的操作记录审计日志，包含用户、时间、IP 地址和浏览器
数据保存政策
我们仅在必要期间内保存个人数据，保存期限依数据类型与平台要求而异：
| 数据类型 | 保存期限 | 到期后的处置 |
|---|---|---|
| 账号数据 | 至账号删除为止 | 确认后立即从数据库删除 |
| AI 生成的内容 | 直到用户删除 | 从数据库中删除；图片托管服务上的文件仍保留 |
| Shopee／平台消息 | 最长 90 天 | 依 NIST SP 800-88 进行安全删除 |
| API 访问令牌 | 直到被撤销或过期 | 断开连接时删除我们保存的副本；我们不会调用平台使其失效 |
你在 PDPA 下的权利
作为泰国 PDPA 下的数据主体，你就自己的个人数据享有下列权利：
要求取得我们在两个平台上所持有、关于你的全部个人数据副本。
更正你账号中不正确或不完整的个人数据。
要求删除你的个人数据。在设置中删除账号会立即从我们的数据库中移除数据，没有宽限期；也可以交由我们处理，完成后我们会书面确认。
对以正当利益为依据的数据处理提出反对。
以结构化、机器可读的格式取得你的数据。
你可以随时撤回同意，并在设置中断开各平台的连接。
依据第 34 条，要求我们在保留个人数据的同时停止使用它。本产品今天实际能做到什么，写在此列表下方。
依据第 73 条，就我们处理数据的方式向个人数据保护委员会投诉。本声明中关于投诉的那一节写明了去处。
限制在实务中是什么。ContentVelo 里没有任何一个开关可以在保留数据的同时停用账户：用户记录上有一个启用标志，但产品里没有任何页面会把它关掉。真正存在的是三项控制，三者合起来能停掉本产品对您数据所做的大部分事情。在设置里断开主页连接，会清除每个主页的连接标志并删除我们保存的那份访问令牌，同时不动您的贴文、商品和设置——此后不再发布任何内容，也不再从 Facebook 读回任何东西。关闭 AutoPilot 会停止生成新的内容，不过已经排定的贴文仍会在原定时间发出。删除账户是删除数据而不是限制处理，那是另一项权利，而且无法撤销。如果您依据第 34 条需要的不是这三者中的任何一项——例如在准确性争议解决之前先把数据冻结——请写信给数据保护官，我们会人工处理，并以书面确认做了什么。我们宁愿这样告诉您，也不愿描述一个尚未建成的功能。
若要行使你的权利，请联系我们的数据保护官 [email protected]，或使用隐私联系表单。至于 Shopee 相关数据，你也可以直接在 Shopee 卖家中心撤销授权。
谁会收到您的个人数据
泰国《个人数据保护法》(PDPA) 第 23 条第 (4) 款要求我们告知您的个人数据可能被披露给哪些类别的个人或机构。以下是 ContentVelo 拥有的全部类别；凡产品代码本身指明了公司名称的，我们都写出了名称。这就是全部清单：我们不出售个人数据，也没有任何数据经纪商从我们这里获得任何东西。唯一的广告网络是 Meta，且仅限于"广告效果衡量"一行所述的情形：在 ChatMai 的公开介绍页上、访客选择允许之后。
| 接收方类别 | 具体是谁 | 会送到他们那里的内容 |
|---|---|---|
| AI 服务提供商 | OpenAI（美国）；Google，通过 Gemini API | 用于撰写帖子或生成图片的指令，其中带有您的业务说明、语气与关键词设置，以及（如果您填写过）您希望出现在帖子里的电话号码、电子邮件地址、LINE ID、网站和店铺链接。当您要求我们学习某个主页的风格时，该主页最多二十条既有帖子会一并送出。Google 还会收到您上传的参考图片，并会再次收到生成完成的图片以进行质量判定。 |
| 您已连接的平台 | Meta，通过 Facebook Graph API；LINE，通过 Messaging API | Meta 会收到我们发布到您所连接主页的文字与图片，并带上该主页自己的访问令牌；它会回传该主页的帖子、数据以及留言者的名字。当您已绑定 LINE 账号以接收帖子通知时，LINE 会收到通知文字和图片地址。 |
| 登录服务提供商，仅在您使用时 | Google；Meta（Facebook）；LINE | 选择其中之一登录，会让该提供商知道您正在登录 ContentVelo。它会回传您的姓名、电子邮件地址和头像，这些会成为您的账户。使用电子邮件地址和密码登录时，不会向它们发送任何内容。 |
| 支付服务提供商 | PaySolutions，其支付页面位于 thaiepay.com | 您的电子邮件地址、我们的订单编号、您所购买内容的说明以及金额。您的银行卡信息在该提供商自己的页面上输入，从不会到达 ContentVelo，我们也不会把您的姓名发过去。我们的支付服务中还内置了第二家提供商，但并未启用：今天没有任何付款走向它；如果这一点改变，本页也会随之改变。 |
| 图片托管 | 我们的图片托管方，一台位于 storage-server.rayoutdesign.com 的独立服务器 | 为您生成的每一张图片和您上传的每一张图片。这些文件由一个无法猜到、但也没有访问控制的公开网址提供，删除账户并不会把它们删掉。 |
| 发出的电子邮件 | Google：我们的邮件经由 Gmail 的 SMTP 服务器发出 | 每当我们向您发送验证链接、密码重置、购买确认或工单回复时的您的电子邮件地址和整封邮件内容。 |
| 网站分析，且仅在您接受时 | Google Analytics（Google LLC） | 您在我们公开网站上打开了哪些页面、大致位置以及所用浏览器。只有在您于 Cookie 通知中点击“全部接受”之后，才会去取那段代码；在此之前不会取任何东西，也不会设置分析 Cookie。登录后的应用完全不加载它。 |
| 浏览器为绘制页面而取回的文件 | Google Fonts；Tailwind CSS 的内容分发网络；以及在您没有头像时用于占位图片的 Gravatar | 不含您的任何账户数据。但您的浏览器每次加载页面都会向这些公司索取字体、样式表和图片，而这个索取动作会把您的 IP 地址、所在页面和所用浏览器告诉它们。这发生在询问您任何事情之前，并且在登录后的应用里和公开网站上一样会发生。把这些文件搬到我们自己的服务器上，是我们尚未完成的工作。 |
| 托管，以及位于其前面的网络 | 我们的托管供应商，以及我们域名所经过的内容分发网络。本应用两者都没有写明名称。 | ContentVelo 保存的全部内容，因为它们放在我们租用的服务器上；以及每一次请求，因为每一次请求都要穿过那张网络。应用本身没有再加一层加密，因此运营这些服务器的一方可以读到上面的内容。您来问，我们会告诉您在您询问的当下他们是谁。 |
| ChatMai，我们的另一款产品 | 由第 1 节所载的同一家公司运营的另一个应用 | 在 ContentVelo 与 ChatMai 之间往返并不是向别人披露，因为控制者没有改变。这是通过写入我们自己的数据库、再从中读出的一次性令牌完成的，而不是向另一家公司发送消息。 |
| 法院、监管机构与执法机关 | 只有真的发生时才会指名 | 仅限法律要求我们披露的内容，绝不超出。产品的任何部分都不会自动向任何机关发送个人数据。 |
| 广告效果衡量 | Meta Platforms（Meta 像素与转化 API） | 仅在 ChatMai 公开介绍页（chatmai.contentvelo.com/start）的访客在 ChatMai 的广告效果衡量提示中点击"允许"之后：发送该页面访问和对"免费开始"的点击，附带 Meta 自己的浏览器 Cookie（为 contentvelo.com 域设置）；如果同一浏览器随后创建了 ChatMai 工作区，还会发送已创建工作区的信号，附带设备的 IP 地址、浏览器信息以及不透露具体工作区的代码。绝不发送姓名、电子邮件地址、对话或工作区内容。未获同意则不发送任何内容，同意可随时在该页面撤回。Meta 依其自身条款使用所收到的信息。 |
对上述任何一家公司，我们都不出售个人数据，也不会为了向您投放广告而提供。它们此后各自保留什么，由它们自己的政策而非我们的政策决定：我们能告诉您的，只是我们送出什么以及何时停止送出。它们大多位于泰国境外，这正是下一节的内容。
跨境数据传输
基于下列目的，你的数据可能被传输至泰国境外并在当地处理：
- 通过 OpenAI（美国）与 Google Gemini 进行 AI 处理 — 仅用于内容生成，AI 供应商不会保存个人数据
- 应用托管与图片存储由第三方基础设施供应商提供
- 所有传输皆依 PDPA 第 28 条要求，受适当保护措施保障
数据泄露应对
若发生影响个人数据的安全事件，我们会依照严格的应对程序处理：
- 立即隔离 — 在 1 小时内隔离受影响的系统，并删除我们保存的全部访问令牌副本。我们无法撤销 Facebook 或 LINE 上的授权，因此会立即告知您哪些主页受到影响，以及如何在该平台上解除授权。
- 平台通报 — 于 24 小时内通知 Shopee 及受影响平台的安全团队。
- 主管机关通报 — 依 PDPA 规定，于 72 小时内通报 PDPC。
- 用户通知 — 立即告知所有受影响的用户，并说明事件范围与补救步骤。
Shopee Open Platform 数据保护
本节依 Shopee 平台伙伴规范与数据保护政策，规定 ChatMai 如何处理通过 Shopee Open Platform API 取得的数据。
Shopee 数据类别
| 类别 | 具体数据 | 目的 |
|---|---|---|
| 店铺信息 | 店铺 ID、店铺名称、已授权的用户 ID | 在 ChatMai 中识别并验证卖家的店铺 |
| 对话 | 卖家与买家之间的聊天消息、时间戳 | 在整合收件箱中显示对话并可回复 |
| 订单信息 | 订单编号、状态、物流追踪号 | 在客户对话旁显示订单脉络 |
| 买家信息 | 买家账号名称、买家 ID（仅限 Shopee API 所提供者） | 在对话中识别买家；绝不用于直接联系 |
Shopee 数据保存（最长 90 天）
严格遵循 Shopee Open Platform 政策，所有 Shopee 数据最长只保存 90 天：
- 对话消息与买家数据：满 90 天后以安全删除方式永久移除
- 订单参照数据：满 90 天后清除，仅保留去标识化的统计数据
- 卖家可将 Shopee 店铺自 ChatMai 断开连接，立即触发删除
安全的数据销毁
- 电子记录依 NIST SP 800-88 指引，以密码学擦除方式覆写
- 数据库记录永久删除，并以事务日志佐证确实移除
- 备份副本会在 90 天内轮替淘汰 — 超过这个期间不会再有 Shopee 数据留存
严格禁止事项
我们绝不将 Shopee 数据用于：在 Shopee 消息以外联系买家、出售或分享给第三方、建立用于广告的买家画像，或任何未经 Shopee 服务条款授权的用途。
安全与合规
我们在 ContentVelo 与 ChatMai 上都实施完整的安全措施，于基础架构的每一层保护你的数据。
数据处理
- 令牌与凭据以可读形式存储，应用程序未额外加密
- 数据收集最小化 — 我们只保存必要的部分
- 所有查询都由应用程序限定在您的工作区内；客户并非使用各自独立的数据库
令牌安全
- 所有平台连接皆采 OAuth 2.0（Facebook、Shopee、LINE）
- 连接时将短期 Facebook 令牌一次性换取长期令牌，此后不会自动轮换
- 可随时在设置中断开平台连接；撤销授权本身请在该平台自己的设置中操作
审计与监控
- 所有内容与发布动作的完整历程
- 详细的访问记录，含用户、时间戳与动作类型
- 目前没有自助导出审计记录的功能；您可依据访问权提出申请
合规状态
提出申诉
若你认为自己的数据保护权利遭到侵害，可以先向我们申诉，也可以直接向主管机关提出：
个人数据保护委员会（PDPC）
若你认为我们违反了《个人数据保护法》（佛历 2562 年）下你的权利，你有权向 PDPC 提出申诉。