นโยบายความเป็นส่วนตัว

เอกสารเวอร์ชัน 2.0 · มีผลบังคับใช้ 1 กรกฎาคม 2569 · ปรับปรุงล่าสุด 10 กรกฎาคม 2569 · Koyun TCG (koyun9.com)

บทนำและขอบเขต

นโยบายความเป็นส่วนตัวฉบับนี้ ("นโยบาย") อธิบายวิธีการที่ Koyun TCG ("แพลตฟอร์ม", "เรา") ซึ่งให้บริการผ่านเว็บไซต์ koyun9.com และช่องทางที่เกี่ยวข้อง เก็บรวบรวม ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของผู้ใช้บริการทุกประเภท ไม่ว่าจะเป็นผู้เยี่ยมชม สมาชิก ผู้ซื้อ หรือร้านค้า

นโยบายฉบับนี้ใช้บังคับกับข้อมูลส่วนบุคคลที่เราประมวลผลในฐานะ ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller) ตาม PDPA ทั้งนี้ ในบางกรณีร้านค้าที่ได้รับข้อมูลการจัดส่งของผู้ซื้อจะถือเป็นผู้ควบคุมข้อมูลอีกรายหนึ่งสำหรับข้อมูลที่ตนได้รับ และมีหน้าที่ปฏิบัติตามกฎหมายด้วยตนเอง

การสมัครสมาชิก เปิดร้านค้า หรือใช้บริการใดๆ ของแพลตฟอร์ม ถือว่าท่านได้อ่านและรับทราบเนื้อหาของนโยบายฉบับนี้แล้ว

คำนิยาม

• "ข้อมูลส่วนบุคคล" หมายถึง ข้อมูลเกี่ยวกับบุคคลซึ่งทำให้สามารถระบุตัวบุคคลนั้นได้ไม่ว่าทางตรงหรือทางอ้อม
• "การประมวลผล" หมายถึง การดำเนินการใดๆ กับข้อมูลส่วนบุคคล เช่น การเก็บรวบรวม บันทึก จัดเก็บ ใช้ เปิดเผย หรือลบ
• "สมาชิก" หมายถึง ผู้ที่ลงทะเบียนบัญชีผู้ใช้กับแพลตฟอร์ม
• "ร้านค้า" หมายถึง สมาชิกที่เปิดหน้าร้านเพื่อลงประกาศขายสินค้าบนแพลตฟอร์ม
• "ผู้ประมวลผลข้อมูล" หมายถึง บุคคลหรือนิติบุคคลที่ประมวลผลข้อมูลส่วนบุคคลตามคำสั่งของเรา เช่น ผู้ให้บริการคลาวด์

ข้อมูลส่วนบุคคลที่เก็บรวบรวม

ข้อมูลบัญชีสมาชิก

ชื่อผู้ใช้ (username) อีเมล หมายเลขโทรศัพท์ (พร้อมการยืนยันตัวตนด้วยรหัส OTP) รูปประจำตัว และข้อมูลรับรองการเข้าสู่ระบบ ทั้งนี้ รหัสผ่านจะถูกจัดเก็บในรูปแบบค่าแฮชทางเดียว (one-way hash) เท่านั้น เราไม่สามารถเข้าถึงรหัสผ่านจริงของท่านได้

ข้อมูลร้านค้า

ชื่อร้าน ชื่อผู้ติดต่อ LINE ID หมายเลขโทรศัพท์ อีเมล โลโก้ร้าน ข้อมูลบัญชีธนาคารสำหรับรับชำระเงินที่ร้านประกาศเอง และข้อมูลประกาศขายสินค้า

ข้อมูลคำสั่งซื้อและธุรกรรม

ชื่อ–นามสกุลผู้รับ หมายเลขโทรศัพท์ ที่อยู่จัดส่ง รายการสินค้า ประวัติคำสั่งซื้อ ภาพหลักฐานการชำระเงิน (สลิป) ที่ผู้ซื้อแนบเพื่อให้ร้านค้าตรวจสอบ และข้อมูลการชำระค่าบริการเสริมของแพลตฟอร์ม

เนื้อหาที่ผู้ใช้สร้างขึ้น

ข้อความสนทนาผ่านระบบแชทภายในแพลตฟอร์ม รูปภาพที่ส่งในแชท รีวิวและคะแนนร้านค้า ประกาศตามหาการ์ด และข้อเสนอแลกเปลี่ยน

ข้อมูลทางเทคนิคและการใช้งาน

ยอดเข้าชมประกาศ รายการสินค้าที่ถูกใจ (Wishlist) ข้อมูลอุปกรณ์และเบราว์เซอร์โดยสังเขป บันทึกข้อผิดพลาดของระบบ (error log) และข้อมูลสถิติการใช้งานแบบรวม (aggregated) ผ่านเครื่องมือวิเคราะห์ตามหัวข้อ “คุกกี้และเทคโนโลยีการติดตาม”

แหล่งที่มาของข้อมูล

เราเก็บรวบรวมข้อมูลส่วนบุคคลจาก (ก) ข้อมูลที่ท่านให้ไว้โดยตรงผ่านการสมัคร กรอกแบบฟอร์ม หรือใช้งานฟีเจอร์ต่างๆ (ข) ข้อมูลที่เกิดขึ้นโดยอัตโนมัติจากการใช้บริการ เช่น ประวัติการใช้งานและข้อมูลทางเทคนิค และ (ค) ข้อมูลจากผู้ให้บริการภายนอกที่จำเป็นต่อการให้บริการ เช่น ผลการตรวจสอบสลิปโอนเงินจากผู้ให้บริการตรวจสอบธุรกรรม

วัตถุประสงค์และฐานทางกฎหมายในการประมวลผล

การเปิดเผยข้อมูลต่อบุคคลที่สาม

เราไม่ขายหรือให้เช่าข้อมูลส่วนบุคคลของท่าน การเปิดเผยจะเกิดขึ้นเฉพาะกรณีดังต่อไปนี้

• ระหว่างผู้ซื้อกับร้านค้า: เมื่อท่านสั่งซื้อสินค้า ข้อมูลจัดส่ง (ชื่อ หมายเลขโทรศัพท์ ที่อยู่) และสลิปการชำระเงินจะถูกส่งให้ร้านค้าคู่สัญญาเพื่อดำเนินการตามคำสั่งซื้อ
• ผู้ประมวลผลข้อมูล/ผู้ให้บริการช่วง: Google Firebase (ฐานข้อมูล ระบบยืนยันตัวตน และการแจ้งเตือน), Cloudinary (จัดเก็บรูปภาพ), ผู้ให้บริการตรวจสอบสลิปโอนเงินอัตโนมัติ และผู้ให้บริการวิเคราะห์การใช้งานตามหัวข้อ “คุกกี้และเทคโนโลยีการติดตาม” โดยผู้ให้บริการเหล่านี้ประมวลผลข้อมูลภายใต้ข้อตกลงและนโยบายคุ้มครองข้อมูลของตน
• กรณีตามกฎหมาย: เมื่อมีคำสั่งศาล หมายเรียก หรือคำสั่งโดยชอบด้วยกฎหมายจากหน่วยงานที่มีอำนาจ
• การปรับโครงสร้างกิจการ: ในกรณีมีการควบรวม โอน หรือขายกิจการ ข้อมูลอาจถูกโอนไปยังผู้รับโอนโดยยังอยู่ภายใต้นโยบายฉบับนี้

ข้อมูลที่แสดงต่อสาธารณะโดยสภาพ เช่น ชื่อร้าน โลโก้ ประกาศขายสินค้า รีวิว และชื่อผู้ใช้ที่แสดงคู่กับรีวิว จะปรากฏต่อผู้เยี่ยมชมทั่วไปตามการทำงานปกติของตลาดกลาง

การส่งหรือโอนข้อมูลไปต่างประเทศ

ผู้ให้บริการโครงสร้างพื้นฐานของเรา (เช่น Google Firebase และ Cloudinary) อาจจัดเก็บข้อมูลบนเซิร์ฟเวอร์ที่ตั้งอยู่นอกประเทศไทย เราคัดเลือกเฉพาะผู้ให้บริการที่มีมาตรฐานการคุ้มครองข้อมูลระดับสากล (เช่น ISO/IEC 27001) และดำเนินการให้การโอนข้อมูลดังกล่าวเป็นไปตามหลักเกณฑ์ที่ PDPA กำหนด

คุกกี้และเทคโนโลยีการติดตาม

เราใช้เทคโนโลยีจัดเก็บข้อมูลบนเบราว์เซอร์และเครื่องมือวิเคราะห์ ดังนี้

ท่านสามารถลบข้อมูล Local Storage ได้ผ่านการตั้งค่าเบราว์เซอร์ และสามารถใช้เครื่องมือปฏิเสธการติดตาม เช่น Google Analytics Opt-out Add-on ได้ ทั้งนี้ การปิดการจัดเก็บข้อมูลที่จำเป็นอาจทำให้บางฟีเจอร์ไม่ทำงาน

ระยะเวลาการเก็บรักษาข้อมูล

เมื่อพ้นระยะเวลาดังกล่าว เราจะลบ ทำลาย หรือทำให้ข้อมูลไม่สามารถระบุตัวบุคคลได้

มาตรการรักษาความมั่นคงปลอดภัย

• การรับส่งข้อมูลทั้งหมดถูกเข้ารหัสผ่านโปรโตคอล HTTPS (TLS)
• รหัสผ่านจัดเก็บเป็นค่าแฮชทางเดียว ไม่มีการจัดเก็บรหัสผ่านในรูปแบบข้อความปกติ
• การเข้าถึงฐานข้อมูลถูกควบคุมด้วยกฎความปลอดภัย (Security Rules) ตามหลักการให้สิทธิเท่าที่จำเป็น (least privilege)
• การยืนยันหมายเลขโทรศัพท์ด้วยรหัส OTP และระบบตรวจจับพฤติกรรมผิดปกติเพื่อป้องกันการยิงข้อมูล (rate limiting / bot protection)
• มีการทบทวนและปรับปรุงมาตรการความปลอดภัยอย่างสม่ำเสมอ

สิทธิของเจ้าของข้อมูลส่วนบุคคล

ภายใต้ PDPA ท่านมีสิทธิดังต่อไปนี้: สิทธิในการเข้าถึงและขอรับสำเนาข้อมูล สิทธิในการแก้ไขข้อมูลให้ถูกต้อง สิทธิในการขอลบหรือทำลายข้อมูล สิทธิในการขอให้ระงับการใช้ข้อมูล สิทธิในการคัดค้านการประมวลผล สิทธิในการขอถ่ายโอนข้อมูล และสิทธิในการถอนความยินยอมที่เคยให้ไว้

ท่านสามารถใช้สิทธิได้โดยติดต่อเราตามช่องทางการติดต่อท้ายเอกสารนี้ เราจะพิจารณาและดำเนินการภายใน 30 วันนับแต่วันที่ได้รับคำขอ ทั้งนี้ เราอาจปฏิเสธคำขอได้ในกรณีที่กฎหมายกำหนด เช่น การเก็บข้อมูลนั้นจำเป็นต่อการปฏิบัติตามกฎหมายหรือการก่อตั้งสิทธิเรียกร้อง

หากท่านเห็นว่าการประมวลผลข้อมูลของเราไม่ชอบด้วยกฎหมาย ท่านมีสิทธิร้องเรียนต่อคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

ข้อมูลของผู้เยาว์

บริการของเราไม่ได้มุ่งหมายสำหรับผู้ที่มีอายุต่ำกว่า 13 ปี และผู้เยาว์ที่ทำธุรกรรมควรได้รับความยินยอมจากผู้ปกครองตามกฎหมาย หากปรากฏว่าเราเก็บข้อมูลของเด็กโดยไม่ได้รับความยินยอมที่ถูกต้อง เราจะลบข้อมูลดังกล่าวโดยเร็วเมื่อได้รับแจ้ง

การแก้ไขเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายฉบับนี้เป็นครั้งคราวเพื่อให้สอดคล้องกับบริการและกฎหมายที่เปลี่ยนแปลงไป โดยจะระบุวันที่มีผลบังคับใช้ของฉบับล่าสุดไว้ที่ส่วนหัวของเอกสารเสมอ กรณีการเปลี่ยนแปลงมีนัยสำคัญ เราจะแจ้งให้ทราบผ่านประกาศบนแพลตฟอร์มล่วงหน้าตามสมควร

ช่องทางการติดต่อ

Privacy Policy

Document version 2.0 · Effective 1 July 2026 · Last updated 10 July 2026 · Koyun TCG (koyun9.com)

Introduction and Scope

This Privacy Policy (the "Policy") describes how Koyun TCG (the "Platform", "we", "us"), operating through koyun9.com and related channels, collects, uses, discloses, and protects the personal data of all users — visitors, members, buyers, and sellers alike.

This Policy applies to personal data that we process as a Data Controller under the PDPA. Where a seller receives a buyer's shipping details to fulfil an order, that seller acts as a separate data controller for the data so received and is independently responsible for its own legal compliance.

By registering an account, opening a shop, or otherwise using the Platform, you acknowledge that you have read and understood this Policy.

Definitions

• "Personal Data" means any information relating to a person which enables that person to be identified, directly or indirectly.
• "Processing" means any operation performed on personal data, such as collection, recording, storage, use, disclosure, or erasure.
• "Member" means a person who registers a user account with the Platform.
• "Seller" means a Member who opens a storefront to list items for sale on the Platform.
• "Data Processor" means a person or entity that processes personal data on our instructions, such as a cloud service provider.

Personal Data We Collect

Account data

Username, email address, telephone number (verified via one-time password), profile image, and login credentials. Passwords are stored exclusively as one-way hashes; we cannot access your actual password.

Seller data

Shop name, contact name, LINE ID, telephone number, email, shop logo, bank account details published by the seller for receiving payment, and product listings.

Order and transaction data

Recipient name, telephone number, shipping address, order items and history, payment-slip images uploaded by buyers for seller verification, and records of payments for the Platform's optional paid services.

User-generated content

Messages and images sent through the in-app chat, shop reviews and ratings, "card wanted" posts, and trade offers.

Technical and usage data

Listing view counts, wishlist items, summary device and browser information, system error logs, and aggregated usage statistics collected through the analytics tools described under “Cookies and Tracking Technologies”.

Sources of Data

We collect personal data (a) directly from you when you register, complete forms, or use Platform features; (b) automatically through your use of the service, such as usage history and technical data; and (c) from third-party providers where necessary to deliver the service, such as the result of automated payment-slip verification.

Purposes and Legal Bases of Processing

Disclosure to Third Parties

We do not sell or rent your personal data. Disclosure occurs only in the following circumstances:

• Between buyer and seller: when you place an order, your shipping details (name, telephone number, address) and payment slip are provided to the contracting seller to fulfil the order.
• Data processors / sub-contractors: Google Firebase (database, authentication, and notifications), Cloudinary (image hosting), an automated payment-slip verification provider, and the analytics providers described under “Cookies and Tracking Technologies”. These providers process data under their own data-protection commitments.
• Legal requirements: pursuant to a court order, subpoena, or other lawful order of a competent authority.
• Business transfers: in the event of a merger, transfer, or sale of the business, data may be transferred to the successor subject to this Policy.

Information that is public by nature — such as shop names, logos, product listings, reviews, and the username displayed alongside a review — is visible to all visitors as part of the ordinary operation of a marketplace.

Cross-Border Transfers

Our infrastructure providers (such as Google Firebase and Cloudinary) may store data on servers located outside Thailand. We engage only providers that maintain internationally recognised data-protection standards (e.g., ISO/IEC 27001) and take steps to ensure such transfers comply with the requirements of the PDPA.

Cookies and Tracking Technologies

We use browser storage technologies and analytics tools as follows:

You may clear local storage through your browser settings and may use opt-out tools such as the Google Analytics Opt-out Add-on. Disabling strictly necessary storage may cause certain features to stop working.

Data Retention

Upon expiry of the applicable period, we delete, destroy, or irreversibly anonymise the data.

Security Measures

• All data in transit is encrypted via HTTPS (TLS).
• Passwords are stored as one-way hashes only; no plain-text passwords are retained.
• Database access is governed by security rules applying the principle of least privilege.
• Telephone numbers are verified by OTP, and anomaly-detection measures (rate limiting / bot protection) guard against abuse.
• Security measures are reviewed and improved on an ongoing basis.

Your Rights as a Data Subject

Under the PDPA you have the rights of access and copy, rectification, erasure, restriction of processing, objection, data portability, and withdrawal of consent previously given.

You may exercise these rights by contacting us through the contact channels at the end of this document. We will respond within 30 days of receiving your request. We may refuse a request where the law so permits — for example, where retention is required for legal compliance or the establishment of legal claims.

If you believe our processing violates the law, you have the right to lodge a complaint with Thailand's Personal Data Protection Committee (PDPC).

Children's Data

The service is not directed at persons under 13 years of age, and minors should obtain parental consent as required by law before transacting. If we learn that we have collected a child's data without valid consent, we will delete it promptly upon notice.

Changes to this Policy

We may update this Policy from time to time to reflect changes in the service or the law. The effective date of the current version is always stated at the top of this document. Where a change is material, we will provide reasonable advance notice on the Platform.

Contact