개인정보 처리방침

1. 소개

본 개인정보 처리방침("방침")은 BEST SOLUTION (THAILAND) CO.,LTD.("당사", "BestsoGroup")가 BestsoGroup.com, sso.bestsogroup.com, account.bestsogroup.com, 당사 모바일 애플리케이션 및 생태계 내 50개 플랫폼 전체(통칭 "서비스")의 이용자("귀하", "이용자")의 개인 데이터를 어떻게 수집, 사용, 공개, 보호하는지를 설명합니다.

당사 서비스에 가입하거나 이를 이용함으로써, 귀하는 본 방침의 조건을 수락하고 이에 동의하는 것입니다.

2. 당사가 수집하는 정보

당사는 서비스 운영에 필요한 개인 데이터만 수집합니다. 항목은 다음과 같습니다:

3. 당사의 데이터 사용 방식

당사는 다음 목적으로 귀하의 데이터를 사용합니다:

• 귀하가 요청한 서비스 제공 — 계정 생성, 주문 처리, 상품/서비스 제공.
• 계정 인증 및 보안 유지(2FA, 비정상 로그인 탐지).
• 서비스 관련 안내 발송(비밀번호 재설정, 이메일 인증, 보안 알림).
• 마케팅 및 프로모션 콘텐츠 발송(귀하의 명시적 동의가 있는 경우에만 — 언제든 수신을 거부할 수 있습니다).
• 태국 회계법에 따른 세금계산서 보관, AML/KYC 요건 등 법적 의무 준수.
• 사기, 남용, 서비스 오용 방지.
• 서비스 개선을 위한 사용 분석(집계된 비식별 데이터).

4. 처리의 법적 근거 (PDPA)

당사는 PDPA 제24조에 따라 다음 법적 근거로 귀하의 데이터를 처리합니다:

• 동의 — 예: 마케팅 자료 발송.
• 계약 이행 — 귀하가 가입한 서비스의 제공.
• 정당한 이익 — 보안 및 사기 방지.
• 법적 의무 — 세무 기록 보관, 자금세탁방지 준수.

5. 제3자와의 데이터 공유

당사는 귀하의 데이터를 판매하지 않으나, 다음의 경우 제3자와 공유할 수 있습니다:

• 필수 서비스 제공업체 — Cloudflare(CDN/호스팅), Railway(서버), Resend(이메일), ThaiBulkSMS(SMS), 결제 게이트웨이(예: Omise, PromptPay).
• BestsoGroup 생태계 내 파트너 플랫폼 — SSO로 로그인할 때, 로그인하는 하위 플랫폼에 기본 프로필 데이터(이름, 이메일, 사진)가 공유됩니다.
• 정부 기관 — 법원 명령, 압수수색 영장, 또는 국세청, DSI, 법 집행 기관의 적법한 요청에 따라.
• 사업 양도 — 회사가 매각되거나 합병되는 경우, 귀하의 데이터가 인수 당사자에게 이전될 수 있습니다(사전에 통지함).

6. 국외 데이터 이전

귀하의 데이터 대부분은 태국 내 서버(Railway 데이터센터)에 저장됩니다. 다만 당사가 이용하는 일부 서비스(예: Resend, Cloudflare)는 싱가포르나 미국에 데이터를 저장할 수 있습니다. 당사는 PDPA와 동등하거나 더 엄격한 데이터 보호 기준을 갖춘 제공업체만 선택합니다.

7. 데이터 보유

당사는 필요한 기간 동안에만 귀하의 데이터를 보유합니다:

• 활성 계정 — 계정이 유지되는 동안.
• 닫힌 계정 — 복구를 위해 90일간 보관한 후 영구 삭제됩니다.
• 거래 기록 — 태국 회계 및 세법에 따라 10년간 보관됩니다.
• 감사 로그 — 7년간 보관됩니다(사기 방지 및 법적 조사 목적).

8. 정보주체로서 귀하의 권리 (PDPA 제30~37조)

PDPA에 따라 귀하는 다음 권리를 가집니다:

• 열람권 — 당사가 보유한 귀하의 데이터 사본을 요청할 권리.
• 정정권 — 부정확한 데이터를 수정할 권리.
• 삭제권 — 삭제를 요청할 권리(회계 기록 등 법적 제한이 적용됨).
• 처리 제한권 — 당사의 데이터 사용 방식을 제한할 권리.
• 반대권 — 특정 경우에 처리에 반대할 권리.
• 데이터 이동권 — 기계 판독이 가능한 형식으로 데이터를 받을 권리.
• 동의 철회권 — 이전에 부여한 동의를 철회할 권리.
• 개인정보보호위원회(PDPC)에 진정을 제기할 권리.

account.bestsogroup.com → 보안 → 데이터 관리에서 권리를 행사하거나, 당사 DPO(privacy@BestSoGroup.com)로 이메일을 보내세요.

9. 보안 조치

당사는 귀하의 데이터를 보호하기 위해 기술적·관리적 통제를 적용합니다:

• 비밀번호는 bcrypt(rounds=12)로 해시됩니다 — 평문 비밀번호는 절대 저장되지 않습니다.
• 전송 중 모든 데이터는 HTTPS/TLS 1.3으로 암호화됩니다.
• 다중 인증(2FA) — TOTP와 SMS OTP를 지원합니다.
• JWT 토큰 로테이션 + 로그아웃 시 리프레시 토큰 차단 목록.
• 감사 로그가 민감 데이터에 대한 모든 접근을 기록합니다.
• 정기적인 내부 보안 감사.

10. 쿠키 및 추적 기술

당사는 로그인 세션 관리를 위해 쿠키를 사용하며(필수 쿠키 — 서비스에 반드시 필요함), 검증된 파트너를 통해 사용 현황을 파악하기 위한 분석 쿠키를 사용할 수 있습니다(선택 — 거부할 수 있음). 쿠키는 브라우저 설정에서 관리할 수 있습니다.

11. 아동의 데이터

당사 서비스는 만 18세 이상 또는 부모의 동의를 받은 이용자를 대상으로 설계되었습니다. 귀하가 부모이고 자녀가 동의 없이 당사에 데이터를 제공했다고 판단되면, 즉시 데이터를 삭제할 수 있도록 당사에 연락해 주세요.

12. 본 방침의 변경

당사는 본 방침을 수시로 업데이트할 수 있습니다. 중대한 변경 사항은 이메일 또는 앱 내 공지를 통해 최소 30일 전에 안내됩니다. 이 페이지 상단의 "최종 업데이트" 날짜는 최신 버전을 반영합니다.