隐私声明

依据《个人数据保护法》B.E. 2562（2019年），适用于由 Perke Innovation and Technology Co., Ltd. 运营的 PEXTH 平台。

草稿 — 发布前须经法律顾问审阅
本文件为初始草稿，尚未经过法律顾问审阅。

自 起生效

如有冲突，以泰文版本为准。

1. 引言与适用范围

Perke Innovation and Technology Co., Ltd.（以下称“本公司”“我们”）是 PEXTH 平台的运营者，该平台将能源采购方与客户（以下称“客户”）同在我们处注册的能源服务商（以下称“合作伙伴”）相连接。我们重视您的隐私，特制定本声明，说明我们如何依据《个人数据保护法》B.E. 2562（2019年）（以下称“PDPA”）收集、使用和披露您的个人数据。

本声明适用于您对 PEXTH 各网站与系统的使用，包括 pexth.com、account.pexth.com（账户与登录）、partner.pexth.com（合作伙伴门户）、business.pexth.com（员工控制台）以及 api.pexth.com，也适用于您通过电子邮件、电话或 LINE 与我们联系。

2. 个人数据控制者

本声明项下的个人数据控制者为：

Perke Innovation and Technology Co., Ltd.
บริษัท เพอร์ค อินโนเวชั่น แอนด์ เทคโนโลยี จำกัด
51 Major Tower Rama 9, 11th Floor, Unit 1104.1, Rama 9 Road, Huamak, Bangkapi, Bangkok 10240, Thailand
电子邮件 [email protected] · 电话 064-963-9291 · LINE @perkeinnovation

当合作伙伴通过平台获得您的项目信息和联系方式后，各合作伙伴将就其为联系您并提供报价而使用该信息，成为独立的个人数据控制者，并须遵守 PDPA 以及 PEXTH 的使用条款。

3. 我们收集的个人数据

3.1 账户数据

  • 您的姓名、电子邮件、电话号码（如提供）、头像以及所选语言
  • 您的密码，我们仅以无法还原为原始密码的哈希值形式存储
  • 双重身份验证（2FA）数据，例如一次性密码的密钥以及以哈希值形式存储的恢复码
  • 电子邮件验证状态、您在系统中的角色以及账户设置

3.2 通过 Google、Facebook 或 LINE 登录

如果您选择通过外部服务商登录，我们将从该服务商获得您授权的信息，即该服务商的用户 ID、姓名、电子邮件和头像，以创建或关联您的 PEXTH 账户。我们不会获得这些账户的密码，您可以随时在账户与安全页面解除关联。

3.3 合作伙伴与公司数据

  • 公司名称、法人名称、纳税识别号、业务类型、府、地址、坐标、网站
  • 公司的联系方式，例如姓名、电子邮件、电话号码和 LINE ID
  • 徽标、横幅、图片、视频、项目案例以及合作伙伴在其资料页上发布的信息
  • 公司团队成员及其角色（所有者、经理、成员）
  • 与公司认证相关的文件和记录

3.4 项目（RFQ）与联系信息

当您提交项目详情时，我们会收集申请方类型（家庭/个人或企业/机构）、服务类型、府、系统规模、预算、项目详情以及您的联系方式（姓名、电话号码和电子邮件）。这些信息将发送给系统为您的项目匹配的合作伙伴（最多 5 家，或您选择直接向其索取报价的公司），以便合作伙伴与您联系并制作报价。

3.5 报价、评价与已保存的公司

  • 您收到的报价，以及您对其的接受或拒绝
  • 您撰写的评价与评分，将连同您的显示名称公开展示
  • 您已保存的公司列表以及系统内的通知

3.6 付款信息

对于购买合作伙伴套餐，我们会收集付款记录、金额、参考编号、所用优惠券以及您上传的转账凭证图片，其中可能包含转账人姓名和部分账号。我们不会存储您的信用卡号或银行登录凭据。

3.7 技术与使用数据

IP 地址、浏览器和设备类型（User-Agent）、登录日期和时间、活动会话、登录记录以及系统中重要操作的记录（审计日志），用于安全和事后追溯。

3.8 敏感个人数据

我们无意收集 PDPA 第 26 条规定的敏感个人数据（例如宗教、健康数据或生物特征数据）。请勿在项目详情、评价或平台上的其他内容中包含此类数据。

4. 数据来源

  • 直接来自您，当您注册、填写表单、提交项目、上传文件或与我们联系时
  • 来自登录服务商（Google、Facebook、LINE），依您的授权
  • 来自合作伙伴，例如当公司所有者将您添加为团队成员或向您发送报价时
  • 来自可信的公开来源，例如来自政府机构的法人信息，用于核实公司
  • 来自系统的自动收集，例如第 3.7 条所述的技术与使用数据

5. Cookie 与设备上的数据存储

PEXTH 仅使用为提供服务和保障安全所必需的 Cookie。我们不使用广告 Cookie 或第三方跟踪 Cookie。

设备上存储的 Cookie 与数据
名称用途期限类型
pexth_at用于访问 PEXTH 各部分服务的身份验证令牌（仅服务器可读 — HttpOnly）约 15 分钟必要
pexth_rt安全地保持登录状态并续期令牌（HttpOnly）最长约 30 天，或直至您退出登录必要
pexth_csrf在提交表单或办理交易时防止跨站请求伪造（CSRF）约 30 天必要
pexth_theme通过 Cookie 记住您选择的浅色或深色模式，使浏览器和服务器显示相同主题。选择跟随系统模式时会删除此 Cookie。最长约 1 年，或直至您选择跟随系统模式或清除 Cookie偏好设置
pexth_lang记住您选择的语言，使 PEXTH 各项服务以相同语言显示内容。最长约 1 年，或直至您清除 Cookie偏好设置

网站的部分页面会展示来自外部服务商的内容，即 Google Fonts 提供的字体以及联系页面上的 Google 地图。这些服务商可能会获得您的 IP 地址并按其自身政策使用 Cookie。

您可以将浏览器设置为拒绝或删除 Cookie，但如果您屏蔽必要的 Cookie，将无法登录或在平台上办理某些操作。

6. 处理目的与法律依据

处理目的与法律依据
目的法律依据（PDPA）
创建和管理账户、身份验证、登录以及双重身份验证履行合同（第 24(3) 条）
接收项目详情，并将项目和联系信息转发给匹配的合作伙伴您在表单中给予的同意（第 19 条），以及在订立合同前应您的要求所采取的措施（第 24(3) 条）
登记、核实并发布合作伙伴的公司资料履行合同（第 24(3) 条），以及为保护用户免受并不真实存在的服务商侵害的合法利益（第 24(5) 条）
销售合作伙伴套餐、核实付款、开具收据以及进行账务处理履行合同（第 24(3) 条），以及会计与税法规定的法律义务（第 24(6) 条）
就账户、商机、报价及认证状态发送通知履行合同（第 24(3) 条）
展示评价与评分，并审核不当内容合法利益（第 24(5) 条）
维护安全，防范欺诈、垃圾信息和滥用，包括使用日志记录合法利益（第 24(5) 条）以及法律义务（第 24(6) 条）
分析汇总统计以改进服务（尽可能以不识别个人身份的汇总形式）合法利益（第 24(5) 条）
遵守法律、法院命令或主管机关的要求，以及为提出或行使法律主张法律义务（第 24(6) 条）以及合法利益（第 24(5) 条）
发送资讯、促销和营销活动同意（第 19 条），我们将单独征求，您可随时撤回

如果您不提供为提供服务所必需的信息，例如用于注册的电子邮件或用于提交项目的电话号码，我们可能无法为您提供该服务。

7. 个人数据的披露

我们不会出售您的个人数据，仅在必要范围内向下列对象披露：

  • 与您的项目匹配的合作伙伴 — 获得您的项目详情、姓名、电话号码和电子邮件，仅用于就该项目与您联系并提供报价。
  • 平台上的一般用户 — 合作伙伴选择发布的公司资料信息，以及您连同显示名称的评价。公司的联系方式仅向已登录的会员显示。
  • 代表我们处理数据的服务商 — 例如服务器和云服务商、电子邮件发送系统以及数据备份，均受要求其对数据保密并保障其安全的合同约束。
  • 登录服务商 — 在您选择使用的身份验证过程中的 Google、Facebook 和 LINE。
  • 政府机关及依法有权的机构 — 在法律要求或存在合法命令时。
  • 专业顾问 — 例如审计师和法律顾问，负有保密义务。
  • 业务受让方 — 在合并、出售或转让业务的情形下，受让方须依据本声明保护数据，我们将事先通知您。

8. 数据保存期限

  • 账户数据 — 在账户处于活动状态期间保存，并在账户关闭后不超过 1 年，以便处理咨询或争议，除非法律要求更长的期限。
  • 项目、商机与报价数据 — 自项目提交之日起 2 年，或直至您请求删除，以较早者为准，除非仍有相关处理或争议正在进行。
  • 付款信息与会计文件 — 按会计法和税法典规定的期限保存（通常为 5 至 10 年）。
  • 登录记录与安全日志 — 依《计算机犯罪法》不少于 90 天，且不超过 1 年，除非为调查安全事件所需。
  • 登录会话 — 约 30 天内到期，或在您退出登录或撤销会话时立即到期。

在上述期限届满后，我们将删除、销毁数据或使其无法识别个人身份。

9. 数据的跨境传输

部分数据可能被传输至泰国境外的服务器或存储于其上，例如当您通过 Google、Facebook 或 LINE 登录时，当您的浏览器加载 Google 字体或地图时，或当我们使用数据中心位于境外的云服务和电子邮件服务商时。在此类情形下，我们将确保目的地国家或地区具备充分的数据保护标准，或依据 PDPA 第 28 条和第 29 条采取适当的保护措施，或依据法律规定的例外情形，例如为履行您作为一方当事人的合同，或依据您的同意。

10. 数据主体的权利

在法律规定的条件下，您享有下列权利：

  • 撤回同意的权利 — 随时撤回您已给予的同意，且不影响撤回前已进行的处理（第 19 条）。
  • 查阅并获取副本的权利，即查阅您的个人数据（第 30 条）。
  • 数据可携带的权利，以机器可读的格式提供（第 31 条）。
  • 反对的权利，反对基于合法利益或用于直接营销的处理（第 32 条）。
  • 删除或销毁的权利，或使数据无法识别个人身份（第 33 条）。
  • 限制使用的权利，限制对您个人数据的使用（第 34 条）。
  • 更正的权利，使数据准确、最新且完整（第 35 条和第 36 条）。
  • 投诉的权利 — 如您认为我们未遵守法律，可向个人数据保护委员会办公室（PDPC）投诉。

您可以在账户与安全页面自行更新账户信息、撤销会话并解除外部账户关联。对于其他请求，请发送电子邮件至 [email protected]，主题注明“数据主体权利请求”。在处理前我们可能会要求提供信息以核实您的身份，并将在收到请求后 30 天内答复。在某些情形下，我们可依法拒绝请求，并会将理由告知您。

11. 安全措施

我们采取适当的组织和技术措施，以防止未经授权的访问、使用、更改或披露数据，例如：

  • 使用 HTTPS/TLS 对传输中的数据进行加密
  • 以安全哈希方式存储密码，并支持双重身份验证
  • 短期有效且经数字签名的登录令牌，以及 CSRF 防护
  • 基于角色和必要性的访问权限控制，以及对重要操作的记录
  • 将付款凭证和报价文件存储于非公开区域
  • 对请求进行频率限制，以防范攻击和垃圾信息

如发生个人数据泄露事件，我们将在知悉后 72 小时内尽可能通知 PDPC，并在该事件可能对您的权利和自由造成高风险时，毫不迟延地通知您。

12. 未成年人

PEXTH 的服务面向已成年人士以及代表企业办理业务的人士。如果您尚未成年，请在监护权人同意的情况下使用本服务。如果我们得知在未依法取得同意的情况下收集了未成年人的数据，我们将尽快删除该数据。

13. 本声明的变更

我们可能会不时更新本声明，以与我们的服务和法律的变化保持一致，并在本页顶部显示最新的生效日期。如有重大变更，我们将通过电子邮件或系统内通知告知您，并在法律要求时重新征求同意。

从平台链接的合作伙伴网站和外部服务拥有各自的隐私政策，请您一并阅读这些服务商的政策。

14. 联系方式

如您对本声明有任何疑问，或希望行使数据主体权利，请联系本公司的个人数据保护协调员：

  • 电子邮件 [email protected]
  • 电话 064-963-9291
  • LINE @perkeinnovation
  • 邮寄地址：Perke Innovation and Technology Co., Ltd., 51 Major Tower Rama 9, 11th Floor, Unit 1104.1, Rama 9 Road, Huamak, Bangkapi, Bangkok 10240, Thailand

另见：使用条款