隐私政策

本隐私政策(以下简称"本政策")规定了 Advanced Civil Construction & Engineering Co., Ltd.(以下简称"公司")运营的 GearBid(以下简称"本服务")在个人数据处理方面的基本原则,并说明您行使权利的方式。本政策主要依据泰国《2562/2019 佛历个人数据保护法》(以下简称"PDPA")制定。我们建立了以下标准与程序,以合法、透明地处理您的个人数据。

本政策适用于公司提供的所有触点——移动端网页、PC 端网页、应用内通知、LINE 集成渠道及客户支持渠道。您可在注册或首次使用本服务时审阅本政策,并就所需范围选择是否同意。本政策未定义的术语,沿用服务条款、《泰国民法典》及 PDPA 中的定义。

本政策自您首次使用本服务起持续适用,至账户注销后法定保留期限届满为止。如公司政策发生变化或法律修订,本政策将依据第 13 条事先通知后予以更新。如您难以理解本政策的任何部分,可联系 DPO 寻求解释,公司有义务以平实语言进行说明。

公司运营本政策时,使其符合 PDPA 及国际个人数据保护原则:透明性、目的限制、数据最少化、准确性、存储限制、完整性与保密性以及问责性。这些原则不仅是声明,更体现在实际服务设计、运营、外包合同及员工培训的各个环节。

1. 概述及 DPO 联系方式

GearBid 是面向泰国市场(曼谷、春武里等地区)、连接建筑设备租赁供需的反向竞价经纪平台。在提供本服务时,公司收集、使用、存储、共享并销毁您的个人数据,并对所有该等处理承担责任。公司在 PDPA 下具有数据控制者 (Data Controller) 的地位。对于部分活动(支付处理、云端托管、通知发送等),外部供应商作为数据处理者 (Data Processors) 参与。

依照 PDPA 第 41 条,公司已任命数据保护官(以下简称"DPO")。DPO 负责监督个人数据处理的合法性检查、处理数据主体权利请求、应对个人数据泄露、培训内部员工以及与监管机构合作。

• 数据保护官 (DPO):Eun Sung Jeong (James)
• 联系邮箱:contact@gearbid.io
• 联系电话:+66-(0)81-378-0115
• 公司地址:No. 68 Bangna-Trad 23, Bangna Nuea, Bangna, Bangkok 10260

您可随时通过上述方式联系 DPO,就本政策、我们当前的个人数据处理或行使权利的方式提出疑问。我们将在收到您的请求后,在法定期限内本着诚信原则予以回复。本服务受 Kingdom of Thailand 管辖,个人数据争议属于 Courts of Bangkok, Thailand 的管辖范围。

2. 收集的个人数据类别

公司仅按与目的相称的最小限度收集个人数据。所收集项目因用户类型(客户、供应商、管理员)及所使用功能而异。详细项目如下。

公司原则上不收集敏感个人数据(如种族、宗教、政治观点、性取向、健康信息或生物识别数据)。法律要求的情形(例如身份验证文件)除外,我们仅在取得单独明示同意后以受限方式处理。

上述部分项目可能因您使用本服务的方式而不被收集。例如,对于仅作为供应商的用户,不收集询价单 (RFQ) 相关项目;对于仅作为客户的用户,不收集设备库存项目。我们在每个输入表单及同意页面上具体告知所收集的项目。

我们定期审核收集项目,移除或匿名化不再需要的项目。无理由长期保留的信息——例如不直接用于信用分计算的旧日志——在保留期限届满时立即销毁或转化为无法恢复的形式。

3. 收集方式

我们以下列方式收集个人数据。每种收集方式均以您可识别的形式运作,履行 PDPA 第 23 条规定的告知义务。

1. 用户直接输入:您在注册、完善资料、登记设备、登记询价单 (RFQ)、提交投标、签署电子合同、客户支持咨询及与本服务的其他交互过程中输入或上传的信息。我们对每个字段明确标示必填项与可选项,您可拒绝填写可选项。
2. 使用过程中自动收集:设备及日志信息、Cookie 标识符以及使用模式(页面导航、功能使用频率等)在您使用本服务时自动收集。Cookie 的具体用途及控制方法,请参阅 Cookie 政策。
3. 社交登录集成(LINE / Google):如您选择社交登录,登录所需信息将通过 LINE 或 Google 官方 API 传输——LINE 为 LINE 用户 ID 及登录 access token,Google 为账号标识符 (sub) 及邮箱。我们不收集登录所需以外的信息(如您的好友列表或时间线)。
4. 应用内文件上传及 OCR 自动提取:当您在应用内上传营业登记文件(PP20、DBD 等)以进行公司/供应商验证时,外部 OCR 服务 (Google Cloud Vision) 会自动提取并验证公司名称、税号、地址等信息。上传的文件图像会被传输至 OCR 服务用于提取,处理后不另行保留。此外,合同定金等款项通过银行转账及运营团队人工确认处理,未集成外部支付网关 (PG)。
5. 线下运营渠道:在初期 MVP 阶段,可能采用 Wizard-of-Oz 方式,由公司运营团队代客户或供应商录入信息。即便如此,只有经用户同意收集的信息才会被录入系统。
6. 纸质及邮件渠道:除应用内上传外,公司与您之间的正式文件(合同、授权委托书等)可作为例外通过纸质或邮件收集。原件经扫描后以电子形式保存,或在法律要求保留原件的情形下另行妥善保存。

收集时,我们清晰告知您收集者、收集项目、目的、法律依据、您的权利及拒绝的影响。您有权不同意所告知的项目。如您拒绝必填项,可能限制相关功能或本服务部分使用,但不会因此遭受不利对待。

4. 处理目的

我们仅出于以下目的处理个人数据。当目的达成或同意被撤回时,相关信息将立即销毁或匿名化。

• 注册及身份验证:手机 OTP 验证、防止重复注册及通过营业登记文件 OCR 比对核实营业资质。
• 服务交付(匹配与合同订立):登记询价单 (RFQ)、向供应商发送通知、收集投标、订立合同以及设备进场与归还时间管理。
• 信用分计算与信誉管理:汇总相互评价、反映交易履约表现、检测欺诈与不当行为以及决定是否限制投标。
• 支付处理及结算:收取定金(10%)、向供应商结算款项、处理退款、开具税务发票及保留会计记录。
• 通知:通过邮件、短信及应用内推送发送的交易进度通知、投标截止提醒、结算通知及安全警报。
• 法定义务:依泰国税法保存交易记录、依反腐败及反洗钱法律进行身份验证,以及响应法院和侦查机关的合法请求。
• 客户支持及争议解决:处理一对一咨询、调解交易争议、运行退款或赔偿程序及保留内部记录以防止重发。
• 服务改进及统计:使用模式分析、功能使用频率、转化漏斗分析、A/B 测试及 Bug 报告收集。我们使用产品分析工具 (PostHog),统计原则上以无法识别身份的形式(匿名化或假名化)处理后使用。
• 安全及防欺诈:检测异常登录、防止滥用多账户、检测串通投标以及通过日志分析进行漏洞检查。
• 营销(仅在另行同意的情况下):关于新功能、促销及活动的信息。营销相关处理仅限于在营销通讯同意页面单独同意的用户,且始终可取消订阅。
• 内部风险管理:综合使用信用分下降、合同反复取消及争议历史等信号,管理整个平台的风险。如风险管理涉及自动化决策,您依 PDPA 第 30(4) 条有权对该决策提出异议并请求人工复核。
• 审计及内部控制:用于公司内部财务审计、合规检查、利益冲突管理以及响应审计部门。

如我们需要将个人数据用于本清单之外的目的,我们将向您取得单独的额外同意,并清晰说明额外使用的范围、期限及方式。一旦目的达成,我们将不再保留相关个人数据;在适用法定保留的情形下,我们将另行存储。

5. 法律依据 (PDPA 第 24 条)

PDPA 第 24 条列出了处理个人数据的法律依据。我们针对每项处理活动识别一项或多项以下依据并予以适用。法律依据因目的及项目而异。

• 同意:适用于您明示选择的处理活动,如营销、可选 Cookie(分析及广告)及敏感数据的有限收集。您可随时撤回同意;撤回前的处理仍属合法。
• 合同:适用于履行您与公司之间合同所需的处理(注册、同意服务条款、转租合同等)。这是处理注册信息及询价单 (RFQ)、投标、合同与支付信息的主要依据。拒绝该等处理可能限制对本服务本身的使用。
• 法定义务:适用于公司为遵守相关法律所必需的处理,如泰国税法(交易记录最少保留 5 年)、反腐败及反洗钱法律、劳动法、消费者保护法及电子商务法。响应当局的合法令状或调查请求亦属于此依据。
• 正当利益:适用于公司或第三方的正当利益超越您权利与自由的情形。信用分计算、防欺诈及不当行为、服务安全日志、防止平台滥用以及基础分析统计均属于此项。我们在内部进行正当利益评估,以平衡正当利益与您的权利。
• 重大利益 / 公共利益:在普通平台运营中通常不适用。仅在我们必须使用联系方式或位置信息以在紧急情况下保护您生命或人身安全的极有限情形下可适用。

为向您透明呈现法律依据,公司在每个同意页面及表单上均列明该处理活动的依据及拒绝的影响。

同一项个人数据可同时适用多项法律依据。例如,手机号可同时基于合同履行(服务交付)及正当利益(防欺诈)进行处理,因此即便您撤回同意,基于其余法律依据的处理仍可继续。我们将清楚说明此类重叠情形。

如我们需要变更法律依据(例如,将某项处理活动从同意变更为正当利益),我们将事先通知您对您的影响,并在必要时提供再次同意或异议的机会。

6. 第三方共享

原则上,我们不向外部共享您的个人数据。在为提供本服务无法避免或法律要求与第三方共享的情形下,我们仅共享所需最小限度的信息。主要接收方类别为邮件/短信通知提供商、云基础设施提供商、文档 OCR 服务、产品分析服务、社交登录提供商及会计与税务服务提供商。合同定金等款项通过银行转账处理,不共享给任何外部支付网关 (PG)。

您可在第三方信息共享同意中查阅各接收方详情、共享项目、目的及保留期限。需要单独同意的共享在该页面处理,以便您可有选择地同意。在法律强制共享的情形下(法院令状、侦查机关的合法请求等),我们可在无单独同意的情况下共享,并将共享事实及依据记录在内部日志中。

向第三方共享个人数据时,我们将范围限于目的所需最小限度,并以合同方式要求接收方履行安全义务、不超目的使用及不再共享。

第三方共享与处理外包不同。外包是指外部供应商在公司的指示下处理个人数据(例如云端托管、邮件发送服务)。在该情形下,供应商为处理者 (Processor),不得在公司指示范围之外处理数据。第三方共享则是接收方为自身目的并自负其责处理个人数据(例如,税务服务提供商作为其专业工作的一部分进行会计处理)。在该情形下,接收方为单独的控制者 (Controller),并承担自身的法律责任。

您可向 DPO 索取截至目前共享您个人数据的接收方清单及共享日期。如有正当理由,您可请求公司停止与特定接收方的共享。在不与法律或合同义务冲突的情况下,我们将尽可能满足您的请求。

7. 跨境传输

我们在 AWS 泰国(曼谷,ap-southeast-7)区域运行本服务的核心基础设施(服务器与数据库),因此用户数据原则上保存在泰国境内。但部分功能——邮件发送、短信发送、社交登录及产品分析——使用泰国境外的服务器,故该等数据处理构成 PDPA 第 28 条所称的跨境传输 (Cross-border transfer)。

我们采用以下方法以确保 PDPA 第 28 条所要求的充分保护水平:

1. 传输至具有充分保护水平的国家:我们核实接收国是否被 PDPC(个人数据保护委员会)认可为具有充分的个人数据保护水平。
2. 标准合同条款:如数据传输至无认可充分保护水平国家的企业,我们与接收方签署标准合同条款或同等合同,以施加同等水平的保护。
3. 用户的明示同意:在上述两项依据均不适用的情形下,我们告知您接收国、传输目的、传输项目及风险,并仅在取得您单独同意后才进行传输。
4. 加密及访问控制:我们对传输加密采用 TLS 1.2 或更高版本,在存储阶段保持静态加密及严格的访问控制。

我们目前的主要跨境接收方为邮件发送 (Resend)、短信发送 (AWS 新加坡区域)、文档 OCR (Google Cloud Vision)、产品分析 (PostHog,美国) 及社交登录 (LINE、Google)。具体接收方清单及变更历史可在第三方信息共享同意中查阅。

我们定期重新评估跨境传输的范围、接收方及风险水平。如接收国法律的变化(例如,授予政府广泛访问权)可能严重影响用户权利,我们可停止向该国传输或采取额外保护措施。如有必要,我们将事先通知您影响。

如对跨境传输有进一步疑问或异议,可联系 DPO。我们将本着诚信原则提供有关传输事实、接收方、目的及保护措施的信息。

8. 保留期限

我们仅在达成目的所需期限内保留个人数据。期限届满后,立即销毁或匿名化。承担法定保留义务的信息,在所需期限内单独安全存储。

收到账户注销请求后,除法律要求保留的信息外,我们将在 30 天内销毁个人数据。销毁电子文件采用无法恢复的方式(永久删除、销毁加密密钥等),纸质打印件采用碎纸或焚烧方式。

即使在保留期限届满后,通过匿名化或假名化去除身份可识别性的信息仍可用于统计或研究目的;该等数据可能不在 PDPA 范围之内。我们定期检查匿名化的稳健性,以避免再识别风险。

您可请求对保留期限进行具体说明,或对特定项目提前销毁。在不与法定保留义务冲突的情况下,我们将满足该等请求。销毁完成后,我们将通知您事实及日期。

9. 数据主体的权利 (PDPA 第 30-34 条)

您可自由行使 PDPA 所保障的数据主体权利。一旦收到权利请求,我们将在 30 天的法定期限内告知您结果,该期限可合理延长至 60 天。如延长,我们将告知您延长理由。

• 查阅权:您可询问公司处理您哪些个人数据及如何处理。在确认您身份后,我们将提供处理项目、目的、接收方等信息。对于反复或过度的请求,可能收取合理费用。
• 更正权:如个人数据不准确或过时,您可请求更正或补充。资料页面上您可直接编辑的信息,可由您自行更新。其他项目请联系 DPO。
• 删除权 / 被遗忘权:如法律依据已不存在、您已撤回同意,或非法处理被确认,您可请求删除您的个人数据。除法定保留义务仍然存在的项目外,我们将予以删除。
• 限制处理权:如您对处理的准确性提出异议,或在处理审核期间,您可请求我们暂时限制对该个人数据的处理。
• 反对权:您可随时对基于正当利益的特定处理活动(例如,营销、一般分析)或直接营销提出反对。一旦收到反对,除法律有压倒性理由外,我们将停止相关处理。
• 数据可携权:对于基于同意或合同履行处理且通过自动化方式收集的个人数据,您可请求以结构化、机器可读的格式(如 JSON 或 CSV)接收您所提供的信息,或将其转移至第三方。
• 撤回同意权:对于基于同意处理的项目,您可随时撤回同意。撤回不影响撤回前处理的合法性;撤回后,该等处理停止。
• 投诉权:如您对我们的个人数据处理有异议,可直接向 PDPC(个人数据保护委员会)提出投诉。PDPC 投诉程序详见第 14 条。

如要行使您的权利,请将您的请求及身份验证信息发送至 contact@gearbid.io,或通过应用内一对一咨询提交。我们将在收到后 30 天内回复结果(批准、拒绝理由、要求补充材料等)。如您的请求被拒绝,您有权请求 PDPC 复核。

行使您的权利时,我们以合理方式核实您是数据主体本人或经授权的代表。该核实旨在防止第三方试图访问或删除他人个人数据所造成的损害。用于核实的信息不会用于其他目的,核实后立即销毁。如核实流程构成不合理负担,您可请求替代核实方式。

行使您的权利原则上免费。但如同一请求在合理期限内反复提出或明显过度(例如,对同一信息的数十次访问请求),我们可依 PDPA 收取合理费用或拒绝请求。如拒绝,我们将以书面形式说明理由。

10. Cookie 与跟踪

我们使用 Cookie 及类似跟踪技术来改进服务性能、保持您的登录状态、提供个性化功能及分析使用模式。Cookie 按功能与用途分为四类。

1. 严格必要:本服务基本运行所必需的 Cookie,如维持登录会话、CSRF 防御、保留购物车或表单状态等。无需同意即可使用。
2. 功能性:用于用户便利功能,如记住语言与地区设置、UI 主题及收藏项。
3. 性能 / 分析:为改进服务,按功能收集使用频率、页面导航路径及错误率。我们使用产品分析工具 PostHog;详见 Cookie 政策。
4. 营销:用于基于兴趣的广告展示、营销活动效果衡量及再营销。仅在另行同意的情况下激活。

具体 Cookie 清单(名称、提供商、目的、保留期限)及更改设置方法,请参阅 Cookie 政策。您可随时通过应用内 Cookie 设置页面或浏览器设置拒绝或撤回可选 Cookie。

除 Cookie 外,我们可在有限范围内使用类似技术,如本地存储、会话存储、移动设备标识符及像素标签。该等技术按与 Cookie 相同的原则分类管理,非必要用途仅在取得您同意的情况下激活。对于第三方提供的分析或广告脚本,我们事先审查数据传输范围及提供商的隐私政策。

11. 安全措施

我们综合运用管理、技术及物理措施,确保您的个人数据安全。主要安全措施如下:

1. 传输及静态加密:所有 Web 及 API 通信均采用 TLS 1.2 或更高版本加密。关键敏感字段(手机号、支付信息、身份证件等)在存储时予以加密(静态加密)。加密密钥在专用 KMS(密钥管理系统)中管理。
2. 访问控制 (RBAC):员工对个人数据的访问采用基于角色的访问控制严格区分。我们应用最小权限原则,对敏感操作要求单独的审批步骤。
3. 审计日志:个人数据的访问、修改及删除均记录在内部审计日志中,并在设定期限内保留以备事后核查。异常访问模式将自动检测。
4. 泄露检测与响应:我们通过防火墙、入侵检测与防御系统、日志分析及异常访问监控,持续监测个人数据泄露企图。在发生或疑似泄露时,我们将在 PDPA 第 37 条规定的期限内通知 PDPC 及受影响用户。
5. 定期安全审计:我们定期进行内部检查及外部专家安全漏洞审核,必要时包括渗透测试。
6. 员工安全培训:全体员工在入职时及定期完成个人数据保护培训,熟悉保密义务及事件响应程序。
7. 处理者管理:在向外部供应商外包个人数据处理时,我们以合同方式施加同等水平的安全义务,并定期检查合规情况。
8. 数据隔离与备份:生产环境与开发、测试环境在物理上和逻辑上相互隔离。如开发中必须使用实际个人数据,我们事先进行假名化或脱敏。定期备份保存于加密存储中,并具备灾难恢复程序,以便在系统故障时不丢失个人数据。
9. 漏洞报告:我们运营联系渠道 (contact@gearbid.io),供外部研究人员与用户安全报告安全漏洞。所报告的问题将快速验证并采取必要措施。

我们随技术进步及威胁环境变化持续更新安全措施。任何措施均无法保证绝对安全,公司的义务是采取合理的保护措施。您也应遵守个人层面的安全实践——密码管理、设备安全、避免可疑链接等。我们将定期提供安全指引以提供支持。

12. 儿童的个人数据

我们对未成年人个人数据的保护尤为重视。依《泰国民法典》,成年年龄为 20 岁。未取得法定代理人(父母或监护人)的明示同意,我们不收集 20 岁以下用户的个人数据。即使取得法定代理人同意后,收集和使用范围也限于服务交付所需最小限度。

鉴于建筑设备租赁平台的 B2B 性质,本服务禁止 10 岁以下儿童使用。如发现未经同意收集了 10 岁以下儿童的个人数据,我们将立即销毁并通知法定代理人。

法定代理人可随时请求查阅、更正、删除或暂停处理其子女的个人数据。我们将核实请求人是否为合法的法定代理人,并立即处理请求。

我们针对儿童个人数据保护开展额外的培训和内部检查,如相关法律或 PDPC 指引发生变化,我们将更新本政策。对于供应商企业,虽通常假定为成年人,但我们对个体供应商加强年龄验证,以防止未成年人以企业身份注册。

13. 政策变更

我们可能因法律变化、服务变更或政策审核而修订本政策。对于实质性影响您权利或义务的变更,我们将至少在变更生效日前 30 天通过以下方式通知您:

1. 应用内通知及公告栏横幅
2. 直接发送至您注册时提供的邮箱
3. 通过邮件或短信通知

如变更需要追加同意,我们将请您再次同意。对于不再次同意的用户,我们可保留先前的标准或限制相关功能。轻微变更(错别字修正、措辞整理等)可在不事先通知的情况下反映。变更历史记录在本政策底部的版本信息及 lastUpdated 字段中。

如您希望审阅本政策的过往版本,可联系 DPO。我们将在合理范围内提供过往版本。

为使变更通知更有效,我们还提供主要变更的简短易读摘要。这有助于您识别主要变更并采取行动,而无需阅读全文。摘要不替代正文的法律效力,最终标准为本政策正文。

14. 向 PDPC 提出投诉

PDPC(个人数据保护委员会)是负责执行和监督个人数据保护法的泰国政府机构。如您对公司的个人数据处理有疑问或异议,应首先尝试与公司的 DPO 解决。如对公司的回复不满意,您可直接向 PDPC 提出投诉。

PDPC 投诉程序如下:

1. 准备投诉:使用 PDPC 的官方表格准备异议及证明材料。
2. 投诉渠道:可通过 PDPC 官方网站、邮寄或指定受理窗口提出投诉。
3. 审核及措施:PDPC 可对所提出的投诉进行调查、举行听证会、发出改进建议并处以行政罚款。

公司有义务诚信配合 PDPC 的调查、数据请求及改进建议,并将根据 PDPC 的决定立即落实任何所需的纠正措施。提出投诉本身不会触发您在使用本服务时的任何不利对待,公司不会对提出投诉的用户采取任何报复。

在向 PDPC 提出投诉之前,通常建议先尝试通过与公司直接对话解决问题。公司有义务诚信、迅速地回应您的异议,DPO 监督该等内部投诉处理流程。即便如此,您仍有权直接向 PDPC 提出投诉,而无需经过内部流程,公司不会强制使用内部流程。

本政策的最终解释及个人数据处理争议的管辖权适用 Kingdom of Thailand 及 Courts of Bangkok, Thailand。如有进一步疑问,请联系 DPO Eun Sung Jeong (James)(contact@gearbid.io、+66-(0)81-378-0115)。公司地址为 No. 68 Bangna-Trad 23, Bangna Nuea, Bangna, Bangkok 10260,亦欢迎书面咨询。