นโยบายความเป็นส่วนตัว

1. เราเป็นใคร และนโยบายนี้ครอบคลุมอะไร

นโยบายนี้อธิบายว่า Meridian ผู้ประกอบการบุคคลธรรมดาซึ่งดำเนิน Meridian จากประเทศไทย ("Meridian", "เรา") เก็บข้อมูลส่วนบุคคลอะไรบ้างเมื่อคุณใช้ เว็บไซต์ terminal และหน้า research ของ Meridian เก็บไปทำไม เก็บไว้นานเท่าใด และคุณมีสิทธิ์บังคับให้เราทำอะไรได้บ้าง

เราเป็นผู้ควบคุมข้อมูลส่วนบุคคล (data controller) ของข้อมูลดังกล่าว มาตรฐานพื้นฐานของเราคือ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) ของประเทศไทย หากคุณอยู่ในสหภาพยุโรปหรือสหราชอาณาจักร เราจะให้สิทธิ์และการคุ้มครองระดับเดียวกันกับคุณด้วย — แนวทางแบบ GDPR-lite — แม้ในกรณีที่เราไม่ได้ถูกบังคับตามกฎหมายก็ตาม

สรุปสั้น ๆ: เราเก็บข้อมูลน้อยที่สุดเท่าที่ทำได้, API key ของ exchange คือสิ่งที่อ่อนไหวที่สุดที่เราถือ และเราปฏิบัติกับมันแบบนั้นจริง ๆ, เราไม่ขายข้อมูลให้ใคร และคุณลบข้อมูลทั้งหมดได้

2. เราเก็บอะไรบ้าง

เราไม่ขอและไม่ต้องการบัตรประชาชนของคุณ ข้อมูลบัญชีธนาคาร เลขบัตรเครดิต รหัสผ่าน exchange หรือข้อมูลอ่อนไหวเป็นพิเศษ (สุขภาพ ศาสนา ชีวมิติ ความคิดเห็นทางการเมือง) กรุณาอย่าส่งสิ่งเหล่านี้มาให้เรา

3. API key ของ exchange

นี่คือของมีค่าที่สุด จึงต้องมีหัวข้อของตัวเอง

• Key ถูกเข้ารหัสขณะจัดเก็บ และ ไม่เคยถูกเขียนลง log ในรูปข้อความธรรมดา ไม่ว่าใน error trace ใน analytics หรือใน ticket ของฝ่ายสนับสนุน
• Key จะถูกถอดรหัสในหน่วยความจำเท่านั้น และเฉพาะตอนที่การทำงานที่คุณสั่งต้องใช้จริง ๆ — การซิงก์ หรือการส่งคำสั่งจาก automation ที่คุณ deploy เอง
• สิทธิ์การเข้าถึงภายในถูกจำกัดให้แคบที่สุดเท่าที่ทำได้ เราไม่ได้เปิดอ่าน key ของคุณเพื่อไปส่องพอร์ตของคุณ
• คุณควรเชื่อมต่อ key แบบ trade-only ที่ ปิดสิทธิ์ถอนเงิน เราจะเตือนหากพบ key ที่ถอนเงินได้ Key ที่ขยับเงินไม่ได้ ก็ถูกใช้ขโมยเงินไม่ได้ แม้ในกรณีเลวร้ายที่สุด
• ลบ key ใน Meridian เมื่อใด เราลบสำเนาของเราเมื่อนั้น การลบบัญชีจะลบ key ทั้งหมด แต่เราเพิกถอน key ที่ฝั่ง exchange ให้ไม่ได้ — กรุณาไปเพิกถอนที่นั่นด้วย

เราไม่รับฝากทรัพย์สินของคุณ และเราไม่มีความสามารถจะโอนหรือถอนเงินของคุณ

4. ฐานทางกฎหมายที่ทำให้เราเก็บได้

• เพื่อปฏิบัติตามสัญญากับคุณ — บัญชี, layouts, key, automation, backtest, สถานะสมาชิก หากไม่มีข้อมูลเหล่านี้ ผลิตภัณฑ์ทำงานไม่ได้
• ความยินยอม — ให้ไว้ตอนสมัครสำหรับการประมวลผลที่ระบุใน นโยบายนี้ และแยกต่างหากสำหรับสิ่งที่เป็นทางเลือก เช่น อีเมลการตลาด คุณถอนความยินยอมส่วนที่เป็นทางเลือกได้ทุกเมื่อ
• ประโยชน์โดยชอบด้วยกฎหมาย — การรักษาความปลอดภัยของบริการ การป้องกันการใช้งานโดยมิชอบและการฉ้อโกง และการแก้บั๊ก
• หน้าที่ตามกฎหมาย — เมื่อกฎหมายหรือหน่วยงานที่มีอำนาจกำหนด (เช่น การเก็บเอกสารทางบัญชีและภาษี)

5. เราแบ่งปันข้อมูลกับใคร

เราไม่ขายข้อมูลส่วนบุคคลของคุณ เราไม่เอาไปเทรด และเราไม่แบ่งปันสถานะ การถือครอง กลยุทธ์ หรือพฤติกรรมการเทรดของคุณให้ใคร เราใช้ผู้ประมวลผลข้อมูล (processor) จำนวนไม่มาก และเฉพาะตามที่ระบุไว้เท่านั้น:

• Supabase — ฐานข้อมูล ระบบยืนยันตัวตน และพื้นที่จัดเก็บ เก็บข้อมูลบัญชี layouts key ที่เข้ารหัส และประวัติของคุณ
• Lemon Squeezy — merchant of record และผู้ขายตามกฎหมาย สำหรับแพ็กเกจแบบเสียเงิน เป็นผู้รับและเก็บข้อมูลการชำระเงินของคุณ ภายใต้นโยบายความเป็นส่วนตัวของตนเอง เราไม่เคยเห็นเลขบัตรของคุณ เขาบอกเราเพียงว่าคุณชำระเงินแล้วและอยู่แพ็กเกจใด
• Exchange ที่คุณเชื่อมต่อ (เช่น Binance) — คำสั่งและ API call ของคุณถูกส่งไปที่นั่น ซึ่งเป็นจุดประสงค์ของการเชื่อมต่ออยู่แล้ว พวกเขาเป็นผู้ควบคุมข้อมูลอิสระ ภายใต้ข้อกำหนดของตนเอง
• Vercel — ให้บริการ hosting สำหรับเว็บแอป และ Railway — ให้บริการ hosting สำหรับ automation worker และระบบเก็บ exchange key แบบเข้ารหัส ปัจจุบันเราไม่ได้เปิดใช้ product analytics จากบุคคลภายนอก ตัวติดตามโฆษณา หรือ error-monitoring แยกต่างหาก หากมีการเปลี่ยนแปลง เราจะปรับนโยบายและรายการ cookie ก่อนเปิดใช้ผู้ให้บริการนั้น

เราจะเปิดเผยข้อมูลในกรณีที่กฎหมายกำหนดจริง ๆ ด้วย และจะแจ้งให้คุณทราบหากเราได้รับอนุญาตให้แจ้ง

6. ข้อมูลของคุณถูกเก็บที่ไหน (การโอนข้อมูลข้ามพรมแดน)

Supabase และผู้ประมวลผลรายอื่นของเราเก็บข้อมูลบนเซิร์ฟเวอร์นอกประเทศไทย การใช้ Meridian จึงมีการโอนข้อมูลส่วนบุคคลของคุณข้ามพรมแดน เราบอกเรื่องนี้ตรง ๆ เพราะ PDPA กำหนดให้ต้องแจ้ง

เราใช้เฉพาะผู้ประมวลผลที่มีมาตรฐานการคุ้มครองที่เพียงพอ และมีข้อสัญญาคุ้มครองข้อมูลที่ตนถือครอง ภูมิภาคที่จัดเก็บหลัก: Thailand, SEA

7. เราเก็บข้อมูลไว้นานแค่ไหน

• ข้อมูลบัญชี layouts key และประวัติ — ตราบเท่าที่บัญชีของคุณยังอยู่
• หลังจากคุณลบบัญชี — ถูกลบจริง API key ที่เข้ารหัสไว้ จะถูกทำลายทันที ส่วนที่เหลือจะถูกลบออกจากระบบที่ใช้งานจริง และจะหายจาก backup เมื่อ backup หมุนรอบภายใน 90 Days
• Log ทางเทคนิค — 90 Days จากนั้นลบทิ้ง
• เอกสารการเรียกเก็บเงิน — เก็บตามที่กฎหมายภาษีและบัญชีกำหนด ทั้งโดยเราและโดย merchant of record

8. สิทธิ์ของคุณ

ภายใต้ PDPA — และเราให้สิทธิ์เดียวกันนี้กับทุกคน — คุณมีสิทธิ์:

• เข้าถึง ข้อมูลส่วนบุคคลที่เราถือเกี่ยวกับคุณ และขอสำเนาได้
• แก้ไข ข้อมูลที่ไม่ถูกต้องหรือไม่ครบถ้วน
• ลบ ข้อมูล การลบบัญชีคือการลบจริง — key และข้อมูลของคุณถูกลบออกจริง ไม่ใช่แค่ทำเครื่องหมายว่าซ่อนไว้
• ขอให้โอนย้าย ข้อมูล — รับข้อมูลในรูปแบบที่เครื่องอ่านได้
• คัดค้านหรือขอให้ระงับ การประมวลผล และ ถอนความยินยอม ในสิ่งที่คุณเคยให้ความยินยอมไว้
• ร้องเรียน — กับเราก่อน (กรุณา) และกับสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC) หากเราไม่แก้ไขให้

สิทธิ์เหล่านี้ส่วนใหญ่คุณทำเองได้จากหน้าตั้งค่า นอกนั้นเขียนมาที่ admin@axyra.one เราจะตอบภายใน 30 วัน

9. ความปลอดภัย และสิ่งที่จะเกิดขึ้นหากข้อมูลรั่วไหล

ข้อมูลถูกเข้ารหัสทั้งระหว่างส่งและขณะจัดเก็บ API key มีมาตรการเพิ่มเติมตามข้อ 3 สิทธิ์การเข้าถึงภายในจำกัดเท่าที่งานต้องใช้ และเราอัปเดตแพตช์ระบบที่เรารันอยู่ ไม่มีระบบใดปลอดภัยสมบูรณ์แบบ และเราจะไม่อ้างว่าระบบของเราเป็นเช่นนั้น

หากเกิดเหตุข้อมูลรั่วไหลที่ทำให้ข้อมูลส่วนบุคคลของคุณเสี่ยง เราจะ แจ้ง PDPC ของไทยภายใน 72 ชั่วโมงนับแต่ทราบเหตุ และแจ้งผู้ใช้ที่ได้รับผลกระทบโดยไม่ชักช้า พร้อมอธิบายว่าเกิดอะไรขึ้น ข้อมูลใดเกี่ยวข้อง และต้องทำอะไรต่อ หากมี exchange key เข้ามาเกี่ยวข้องไม่ว่าทางใด ข้อความแรกที่เราจะส่งถึงคุณคือ: ไปเพิกถอน key ที่ exchange เดี๋ยวนี้

10. Cookie และ analytics

เราใช้ cookie เท่าที่จำเป็นเพื่อให้คุณอยู่ในระบบและเพื่อความปลอดภัย ของบริการ cookie เหล่านี้จำเป็นอย่างยิ่ง และปิดไม่ได้โดยไม่ทำให้การเข้าสู่ระบบพัง

Analytics ของผลิตภัณฑ์ที่เราใช้เป็นแบบภาพรวมและเคารพความเป็นส่วนตัว — เราอยากรู้ว่าฟีเจอร์ถูกใช้หรือไม่ ไม่ได้อยากตามคุณไปทั่วอินเทอร์เน็ต เราไม่ใช้ตัวติดตามเพื่อการโฆษณาและไม่ขายข้อมูลให้เครือข่ายโฆษณา ณ วันที่นโยบายมีผล cookie จำกัดอยู่ที่ cookie ที่จำเป็นต่อ authentication, session และความปลอดภัย ซึ่งตั้งโดย Meridian และ Supabase และไม่มี optional analytics cookie

11. ผู้เยาว์

Meridian ไม่ได้มีไว้สำหรับผู้ที่อายุต่ำกว่า 18 ปี เราไม่เก็บข้อมูลจากเด็กโดยเจตนา และหากทราบว่าเก็บไปแล้ว เราจะลบทิ้ง

12. การเปลี่ยนแปลงนโยบายนี้

หากเราเปลี่ยนแปลงนโยบายนี้ในสาระสำคัญ เราจะแจ้งทางอีเมลหรือในผลิตภัณฑ์ก่อนการเปลี่ยนแปลงมีผล วันที่ด้านบนคือวันที่ของฉบับปัจจุบันเสมอ

13. ติดต่อเรา

คำถามเรื่องความเป็นส่วนตัว การใช้สิทธิ์ หรือปัญหาด้านความปลอดภัย: admin@axyra.one ผู้ควบคุมข้อมูล: Meridian ผู้ประกอบการบุคคลธรรมดา ที่อยู่: Bangkok, Thailand ณ วันที่นโยบายมีผล เรายังไม่ได้แต่งตั้ง DPO หากกฎหมายกำหนดให้ต้องมี เราจะปรับส่วนนี้พร้อมข้อมูลติดต่อ

ฉบับภาษาอังกฤษของนโยบายนี้เป็นฉบับที่มีผลบังคับ คำแปลใด ๆ จัดทำขึ้นเพื่อความสะดวกเท่านั้น