隐私政策

1. 引言

本隐私政策（“本政策”）说明 BEST SOLUTION (THAILAND) CO.,LTD.（“我们”、“BestsoGroup”）如何收集、使用、披露与保护我们平台用户（“你”、“用户”）的个人数据，平台包括 BestsoGroup.com、sso.bestsogroup.com、account.bestsogroup.com、我们的移动应用以及生态系统中的全部 50 个平台（统称“本服务”）。

注册或使用本服务，即表示你接受并同意本政策的各项条款。

2. 我们收集的信息

我们仅收集运营本服务所必需的个人数据。类别包括：

3. 我们如何使用你的数据

我们将你的数据用于以下目的：

• 提供你所请求的服务——账户创建、订单处理、商品/服务交付。
• 对你的账户进行身份验证与安全保护（2FA、异常登录检测）。
• 发送与服务相关的通信（密码重置、邮箱验证、安全提醒）。
• 发送营销与推广内容（仅在你明确选择接收时——你可随时退订）。
• 履行法律义务，如依据泰国会计法保留税务发票、AML/KYC 要求。
• 防止对本服务的欺诈、滥用与不当使用。
• 分析使用情况以改进本服务（汇总的、不可识别个人身份的数据）。

4. 处理的法律依据（PDPA）

我们依据 PDPA 第 24 条规定的以下合法依据处理你的数据：

• 同意——例如用于发送营销资料。
• 合同履行——提供你所订阅的服务。
• 正当利益——安全与欺诈防范。
• 法律义务——税务记录保存、反洗钱合规。

5. 与第三方共享你的数据

我们不会出售你的数据，但在以下情形下可能与第三方共享：

• 关键服务提供商——Cloudflare（CDN/托管）、Railway（服务器）、Resend（邮件）、ThaiBulkSMS（短信）、支付网关（如 Omise、PromptPay）。
• BestsoGroup 生态系统内的合作平台——当你通过 SSO 登录时，基本资料数据（姓名、邮箱、头像）会共享给你所登录的子平台。
• 政府机构——依据法院命令、搜查令，或税务局、DSI 或执法机构的合法请求。
• 业务转让——若公司被出售或合并，你的数据可能转移至收购方（届时会提前通知你）。

6. 跨境数据传输

你的大部分数据存储于泰国境内的服务器（Railway 数据中心）。但我们使用的部分服务（如 Resend、Cloudflare）可能将数据存储于新加坡或美国。我们只选择数据保护标准与 PDPA 相当或更严格的提供商。

7. 数据保留

我们仅在必要期间保留你的数据：

• 活跃账户——在账户保持开通期间持续保留。
• 已注销账户——保留 90 天以便恢复，之后永久删除。
• 交易记录——依据泰国会计与税务法保留 10 年。
• 审计日志——保留 7 年（用于欺诈防范与法律调查）。

8. 你作为数据主体的权利（PDPA 第 30–37 条）

依据 PDPA，你享有以下权利：

• 访问权——请求获取我们持有的关于你的数据副本。
• 更正权——更正不准确的数据。
• 删除权——请求删除（受法律限制，如会计记录）。
• 限制处理权——限制我们使用你数据的方式。
• 反对权——在特定情形下反对处理。
• 数据可携权——以机器可读格式接收你的数据。
• 撤回同意权——撤回此前给予的同意。
• 向个人数据保护委员会（PDPC）投诉的权利。

请在 account.bestsogroup.com → 安全 → 数据控制中行使你的权利，或发送邮件至我们的 DPO：privacy@BestSoGroup.com。

9. 安全措施

我们采用技术与管理控制措施保护你的数据：

• 密码以 bcrypt（rounds=12）哈希存储——绝不存储你的明文密码。
• 所有传输中的数据均以 HTTPS/TLS 1.3 加密。
• 多因素认证（2FA）——支持 TOTP 与短信 OTP。
• JWT 令牌轮换 + 退出登录时刷新令牌列入拒绝名单。
• 审计日志记录对敏感数据的每一次访问。
• 定期开展内部安全审计。

10. Cookie 与追踪技术

我们使用 Cookie 管理登录会话（必要 Cookie——本服务所必需），并可能通过经审核的合作伙伴使用分析 Cookie 以了解使用情况（可选——你可以拒绝）。你可以通过浏览器设置管理 Cookie。

11. 儿童数据

本服务面向年满 18 周岁，或已获家长同意的用户。如果你是家长，并认为你的孩子在未经同意的情况下向我们提供了数据，请联系我们立即删除该数据。

12. 本政策的变更

我们可能不时更新本政策。重大变更将至少提前 30 天通过邮件或应用内通知告知。本页顶部的“最后更新”日期反映最新版本。