บ้านนักอ่าน by Dearbook ให้ความสำคัญกับความเป็นส่วนตัวของผู้ใช้ เอกสารฉบับนี้อธิบายว่าเราเก็บ ใช้ เปิดเผย และคุ้มครอง ข้อมูลส่วนบุคคลของท่านอย่างไร ตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

ผู้ควบคุมข้อมูลส่วนบุคคล (Data Controller): นายปรัตถกร ตันติวชิรฐากูร (บุคคลธรรมดา) ผู้พัฒนาและดำเนินงานเว็บไซต์บ้านนักอ่าน และเป็นเจ้าของช่อง YouTube “Dearbook หนังสือที่รักของผม” — ติดต่อได้ที่ privacy@baannakarn.com

เราเก็บข้อมูลส่วนบุคคลของท่านในกรณีต่อไปนี้:

• ข้อมูลบัญชี: อีเมล, ชื่อแสดง (display name), username, รูปโปรไฟล์ (avatar) — ที่ท่านระบุเมื่อสมัครสมาชิกหรืออัปเดตในภายหลัง
• ข้อมูลจาก Google OAuth (เลือกใช้): หากท่านเลือกเข้าสู่ระบบด้วย Google เราจะได้รับ อีเมล, ชื่อ, และ avatar URL ตามที่ Google ส่งมาให้
• เนื้อหาที่ผู้ใช้สร้าง: บันทึกการอ่านและข้อความ “ตกตะกอน” ที่ท่านเขียน, รายการหนังสือ, ไดอารี่, รูปภาพที่ท่านอัปโหลด (ปกหนังสือ/รูปโปรไฟล์), บันทึกเสียง (ฟีเจอร์ Pro ที่ยังอยู่ระหว่างพัฒนา เมื่อเปิดใช้จะเก็บเป็นส่วนตัวสำหรับท่าน), การติดตามผู้ใช้อื่น และการตั้งค่าความเป็นส่วนตัวของแต่ละบันทึก · ทุกบันทึกเป็นส่วนตัวโดยค่าเริ่มต้น ท่านเลือกเองว่าจะเปิดสาธารณะเล่มใด
• ข้อมูลการใช้งานและเทคนิค: IP address, user agent, เวลาเข้าสู่ระบบ, เหตุการณ์สำคัญ (login, error) ที่จัดเก็บโดยอัตโนมัติเพื่อความปลอดภัยและการดูแลระบบ
• การติดต่อ: เมื่อท่านอีเมลหรือส่งข้อความถึงเรา เราจะเก็บเนื้อหาและข้อมูลที่ท่านให้ไว้

เรา ไม่เก็บข้อมูลส่วนบุคคลที่อ่อนไหว (sensitive personal data) เช่น เชื้อชาติ ศาสนา ข้อมูลสุขภาพ ข้อมูลทางการเงินที่อ่อนไหว เว้นแต่ท่านระบุไว้ใน profile โดยสมัครใจ

เราใช้ข้อมูลของท่านเพื่อวัตถุประสงค์ต่อไปนี้:

• การให้บริการ (ฐาน: สัญญา): สร้างและรักษาบัญชี และแสดงเนื้อหาที่ท่านบันทึก
• การสื่อสารบริการ (ฐาน: สัญญา / ประโยชน์โดยชอบด้วยกฎหมาย): ส่งอีเมลสำคัญ เช่น magic-link เข้าสู่ระบบ และการแจ้งเปลี่ยนแปลงเงื่อนไข
• ความปลอดภัยและการป้องกันการละเมิด (ฐาน: ประโยชน์โดยชอบด้วยกฎหมาย): ตรวจจับการใช้งานผิดปกติ, ป้องกัน spam, ตอบสนอง takedown notice
• สถิติการอ่านของตัวท่านเอง (ฐาน: สัญญา): เราประมวลผลบันทึกการอ่านของท่าน — จำนวนเล่ม จำนวนหน้า จังหวะการอ่าน อารมณ์ที่ท่านระบุ และข้อความที่ท่านเขียน — เพื่อสร้างสถิติ ตราประทับ และข้อมูลเชิงลึกกลับไปแสดงให้ท่านคนเดียวเห็น ทั้งนี้บันทึกที่ท่านตั้งเป็นส่วนตัว จะไม่ถูกนำไปแสดงในสถิติสาธารณะหรือของผู้ใช้อื่น
• การปรับปรุงบริการ (ฐาน: ประโยชน์โดยชอบด้วยกฎหมาย): วิเคราะห์รูปแบบการใช้งานโดยรวม (aggregate/anonymised) เพื่อพัฒนาฟีเจอร์
• การตลาด (ฐาน: ความยินยอม): ส่งจดหมายข่าวหรือข้อเสนอเฉพาะเมื่อท่านยินยอม ท่านสามารถถอนความยินยอมได้ตลอดเวลา
• ปฏิบัติตามกฎหมาย: เมื่อมีหน้าที่ตามกฎหมายไทยหรือคำสั่งศาลที่ชอบด้วยกฎหมาย

เราใช้ผู้ให้บริการภายนอกในการประมวลผลข้อมูล (data processors) ดังต่อไปนี้ ภายใต้ข้อตกลงคุ้มครองข้อมูลที่เหมาะสม:

• Supabase (ศูนย์ข้อมูลโตเกียว ประเทศญี่ปุ่น): ฐานข้อมูล, การยืนยันตัวตน, จัดเก็บไฟล์ และส่งอีเมล magic-link สำหรับเข้าสู่ระบบ
• Vercel (บริษัทสหรัฐอเมริกา — เซิร์ฟเวอร์ที่ประมวลผลคำขอของท่าน ตั้งอยู่ที่โตเกียว ประเทศญี่ปุ่น · CDN กระจายทั่วโลก): hosting เว็บไซต์
• Google (สหรัฐอเมริกา): OAuth login (เฉพาะผู้ใช้ที่เลือกใช้) และ Google Workspace ซึ่งเป็นกล่องอีเมลที่รับข้อความเมื่อท่านติดต่อเรา

เรา ไม่ขายข้อมูลส่วนบุคคล ของท่านให้แก่บุคคลที่สามไม่ว่ากรณีใด ๆ เราจะเปิดเผยข้อมูลให้หน่วยงานราชการเฉพาะเมื่อมีคำสั่งศาลที่ชอบด้วยกฎหมายเท่านั้น

เนื่องจากผู้ให้บริการของเรา (Supabase, Vercel, Google) มีศูนย์ข้อมูลในต่างประเทศ ข้อมูลของท่านจึงอาจถูกโอนและประมวลผลนอกประเทศไทย (ฐานข้อมูล ไฟล์ และเซิร์ฟเวอร์ที่ประมวลผลคำขอของท่าน ตั้งอยู่ที่โตเกียว ประเทศญี่ปุ่น ส่วนบริษัทผู้ให้บริการจดทะเบียนในสหรัฐอเมริกา และอาจมีการประมวลผลบางส่วนในสหรัฐอเมริกาหรือ EU)

เราดำเนินการให้มีมาตรการคุ้มครองที่เหมาะสมตาม PDPA มาตรา 28 เช่น การใช้สัญญามาตรฐานคุ้มครองข้อมูล (Standard Contractual Clauses) หรือใช้ผู้ให้บริการที่ปฏิบัติตามมาตรฐานคุ้มครองข้อมูลของ EU (GDPR)

• ข้อมูลบัญชี: ตลอดอายุการใช้งาน เมื่อผู้ใช้ลบบัญชี โปรไฟล์ บันทึกการอ่าน และไฟล์ที่อัปโหลดจะถูกลบ ทันทีและกู้คืนไม่ได้ (สำเนาสำรองของระบบที่ผู้ให้บริการเก็บไว้จะหมุนเวียนออกไปตามรอบปกติ และไม่ถูกนำกลับมาใช้ในบริการ)
• Logs ทางเทคนิค (login, error): ไม่เกิน 12 เดือน
• ข้อมูลที่ทำให้ไม่สามารถระบุตัวบุคคลได้ (anonymised): อาจเก็บไว้เพื่อการวิเคราะห์โดยไม่มีกำหนดเวลา

ตาม PDPA ท่านมีสิทธิดังต่อไปนี้:

• สิทธิเข้าถึง: ขอสำเนาข้อมูลส่วนบุคคลของท่าน (ดาวน์โหลดได้เองทันทีที่หน้า Settings → ขอสำเนาข้อมูลของฉัน)
• สิทธิแก้ไข: ขอแก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่เป็นปัจจุบัน
• สิทธิลบ (“สิทธิที่จะถูกลืม”): ขอลบข้อมูลส่วนบุคคล (ในกรณีที่ไม่มีเหตุให้ต้องเก็บไว้ตามกฎหมาย)
• สิทธิระงับการใช้: ขอให้เราระงับการประมวลผลชั่วคราว
• สิทธิคัดค้าน: คัดค้านการประมวลผลที่ใช้ฐานประโยชน์โดยชอบด้วยกฎหมาย
• สิทธิโอนย้ายข้อมูล: รับข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่อง และส่งต่อไปยังผู้ควบคุมข้อมูลอื่น
• สิทธิถอนความยินยอม: ถอนความยินยอมที่เคยให้ไว้ได้ตลอดเวลา (ไม่กระทบการประมวลผลก่อนถอน)
• สิทธิร้องเรียน: ยื่นเรื่องต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ที่ pdpc.or.th

ท่านสามารถดำเนินการเองได้บางส่วนผ่าน /settings หรือติดต่อเราที่ privacy@baannakarn.com — เราจะตอบกลับภายใน 30 วัน

• การส่งข้อมูลทั้งหมดผ่าน HTTPS / TLS
• ใช้ Row Level Security (RLS) บน Supabase เพื่อจำกัดการเข้าถึงข้อมูลตามผู้ใช้
• รหัสผ่านและ token ถูกเข้ารหัส (hashed/encrypted at rest) โดยผู้ให้บริการ
• เข้าถึงข้อมูลฝั่ง admin เฉพาะบุคคลที่จำเป็นต่อการดูแลระบบ และอยู่ภายใต้ข้อตกลงรักษาความลับ
• ในกรณีที่เกิด data breach ที่กระทบสิทธิของเจ้าของข้อมูล เราจะแจ้ง PDPC ภายใน 72 ชั่วโมง และแจ้งผู้ใช้ที่ได้รับผลกระทบโดยไม่ชักช้า

เราใช้คุกกี้และเทคโนโลยีคล้ายกันในกรณีต่อไปนี้:

• Cookies จำเป็น (Essential): session cookies จาก Supabase Auth — จำเป็นต่อการล็อกอิน ไม่สามารถปิดได้
• Cookies ด้านความปลอดภัย: ใช้ป้องกัน CSRF และยืนยันคำขอ
• สถิติการเข้าชม (Vercel Web Analytics): เรานับจำนวนการเข้าชมหน้าแบบภาพรวมด้วย Vercel Web Analytics ซึ่งไม่ใช้คุกกี้ ไม่บันทึก IP address และไม่มีตัวระบุถาวรที่ตามตัวท่านข้ามวันหรือข้ามเว็บไซต์ได้ ข้อมูลที่เราเห็นเป็นตัวเลขรวม เช่น หน้าไหนถูกเปิดกี่ครั้ง ไม่สามารถระบุตัวตนผู้เข้าชมรายคนได้

ปัจจุบันเรา ไม่ใช้คุกกี้สำหรับการตลาดหรือการติดตามข้ามเว็บไซต์ (no third-party tracking) หากในอนาคตเราเพิ่มคุกกี้ analytics หรือ marketing ที่ติดตามตัวท่านได้ เราจะขอความยินยอมท่านล่วงหน้า

บริการของเราใช้ได้เฉพาะผู้ที่มีอายุตั้งแต่ 13 ปีบริบูรณ์ขึ้นไป เท่านั้น เราไม่เก็บข้อมูลส่วนบุคคลของเด็กอายุต่ำกว่า 13 ปีโดยเจตนา และไม่อนุญาตให้เด็กอายุต่ำกว่า 13 ปีสมัครใช้งานไม่ว่ากรณีใด หากท่านพบว่ามีเด็กอายุต่ำกว่า 13 ปีสมัครเข้ามา โปรดแจ้งเราที่ privacy@baannakarn.com เพื่อให้เราลบบัญชีและข้อมูลที่เกี่ยวข้อง

สำหรับผู้ใช้อายุ 13–19 ปี ซึ่งยังไม่บรรลุนิติภาวะตามกฎหมายไทย การสมัครและใช้งาน ต้องได้รับความยินยอมจากผู้ปกครองตามกฎหมาย (ดู เงื่อนไขการใช้บริการ ข้อ 02)

เราอาจปรับปรุงนโยบายนี้เป็นระยะ ๆ ทุกฉบับระบุวันที่มีผลไว้ที่ด้านบน เมื่อมีการเปลี่ยนแปลงในสาระสำคัญ เราจะประกาศบนเว็บไซต์ล่วงหน้าตามสมควร และ ระบบจะขอให้ท่านอ่านและยอมรับนโยบายฉบับใหม่ก่อนใช้งานต่อ

หากท่านมีคำถาม ต้องการใช้สิทธิ หรือต้องการยื่นข้อร้องเรียน ส่งผ่าน ฟอร์มติดต่อ /contact หรืออีเมล:

หากท่านเห็นว่าเราจัดการข้อมูลของท่านไม่ถูกต้องตาม PDPA ท่านมีสิทธิยื่นเรื่องต่อ สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) ที่ pdpc.or.th

Baannakarn by Dearbook respects your privacy. This Policy describes how we collect, use, disclose, and protect your personal data, in accordance with Thailand’s Personal Data Protection Act B.E. 2562 (PDPA).

Data Controller: Mr. Paratthakorn Tantivachiratakul (an individual), who builds and operates the Baannakarn website and owns the YouTube channel “Dearbook หนังสือที่รักของผม” — reachable at privacy@baannakarn.com.

We collect the following categories of personal data:

• Account data: email, display name, username, avatar — provided by you when registering or updating your profile.
• Google OAuth data (optional): if you choose to log in via Google, we receive email, name, and avatar URL as provided by Google.
• User-generated content: your reading logs and reflections, book lists, diary entries, images you upload (book covers / profile pictures), voice notes (a Pro feature still in development; stored privately for you once it opens), follows, and the privacy setting on each entry. Every entry is private by default; you choose which books to make public.
• Usage & technical data: IP address, user agent, login timestamps, system events (login, error) — collected automatically for security and operations.
• Communications: when you email or message us, we keep your message contents and provided details.

We do not collect sensitive personal data (e.g. ethnicity, religion, health, sensitive financial data) unless you voluntarily place it in your profile.

We process your data for the following purposes:

• Service delivery (basis: contract): creating and maintaining your account and displaying your saved content.
• Service communication (basis: contract / legitimate interest): sending essential emails — magic-link login and notice of changes to terms.
• Security & abuse prevention (basis: legitimate interest): detecting unusual activity, anti-spam, responding to takedown notices.
• Your own reading statistics (basis: contract): we process your reading logs — books, pages, reading rhythm, the moods you record, the words you write — to produce the statistics, seals and insights shown to you alone. Entries you keep private never appear in public statistics or in anyone else's.
• Service improvement (basis: legitimate interest): analysing aggregate / anonymised usage to develop features.
• Marketing (basis: consent): sending newsletters or offers only when you have opted in. You may withdraw consent at any time.
• Legal compliance: when required by Thai law or lawful court order.

We engage the following third-party processors, under appropriate data-protection agreements:

• Supabase (Tokyo, Japan): database, authentication, file storage, and the magic-link sign-in emails.
• Vercel (a US company — the servers that run your requests are in Tokyo, Japan; the CDN is global): website hosting.
• Google (USA): OAuth login (only if you choose it), and Google Workspace, the mailbox that receives your messages when you contact us.

We do not sell your personal data to any third party. We disclose data to government authorities only in response to a lawful court order.

Because our processors (Supabase, Vercel, Google) maintain data centres outside Thailand, your data may be transferred and processed abroad — the database, the files and the servers that run your requests are all in Tokyo, Japan, while the providers themselves are US companies and some processing may happen in the United States or the EU.

We rely on appropriate safeguards under PDPA Section 28, such as Standard Contractual Clauses or providers that adhere to EU data-protection standards (GDPR).

• Account data: for the lifetime of the account. When you delete your account, your profile, reading log and uploaded files are removed immediately and cannot be recovered (routine provider backups roll off on their normal cycle and are never restored into the live service).
• Technical logs (login, error): no more than 12 months.
• Anonymised data: may be retained indefinitely for analytics.

Under the PDPA, you have the following rights:

• Right of access: request a copy of your personal data (available instantly under Settings → “ขอสำเนาข้อมูลของฉัน”).
• Right to rectification: correct inaccurate or outdated data.
• Right to erasure (“right to be forgotten”): request deletion (subject to legal retention obligations).
• Right to restrict processing: request temporary suspension of processing.
• Right to object: object to processing based on legitimate interest.
• Right to data portability: receive your data in a machine-readable format and transmit it to another controller.
• Right to withdraw consent: withdraw any previously given consent at any time (without affecting prior processing).
• Right to lodge a complaint: with Thailand’s Personal Data Protection Committee (PDPC) at pdpc.or.th.

You can exercise some of these rights directly via /settings, or contact us at privacy@baannakarn.com. We respond within 30 days.

• All data transmission over HTTPS / TLS.
• Row Level Security (RLS) enforced on Supabase to restrict per-user data access.
• Passwords and tokens are hashed/encrypted at rest by our providers.
• Admin-side data access is restricted to personnel necessary for operations and subject to confidentiality obligations.
• In the event of a data breach affecting data-subject rights, we will notify PDPC within 72 hours and inform affected users without undue delay.

We use cookies and similar technologies for:

• Essential cookies: Supabase Auth session cookies — required for login, cannot be disabled.
• Visit statistics (Vercel Web Analytics): we count page views in aggregate with Vercel Web Analytics, which uses no cookies, does not store IP addresses, and keeps no persistent identifier that could follow you across days or across websites. What we see are aggregate numbers — e.g. how many times a page was opened — and cannot identify any individual visitor.

Currently we do not use marketing or cross-site tracking cookies (no third-party tracking). If we ever add analytics or marketing cookies that can track you, we will request your consent in advance.

Our Service is available only to users aged 13 years and older. We do not knowingly collect personal data from children under 13, and children under 13 are not permitted to register under any circumstances. If you discover that a child under 13 has registered, please contact us at privacy@baannakarn.com so we can remove the account and associated data.

Users aged 13–19, who have not yet reached the age of majority under Thai law, require parental or legal-guardian consent to register and use the Service (see Terms of Service, Section 02).

We may update this Policy from time to time; every version carries its effective date at the top. For material changes we will post notice on the website in reasonable advance, and the app will ask you to read and accept the new version before you continue.

For questions, rights requests, or complaints, use the /contact form or email:

If you believe we have not handled your data lawfully, you have the right to file a complaint with the Personal Data Protection Committee (PDPC) at pdpc.or.th.