นโยบายผู้ควบคุมข้อมูล

อัปเดตล่าสุด: ตุลาคม 2569

เมื่อใด Mapii เป็นผู้กำหนดวัตถุประสงค์ของข้อมูลส่วนบุคคล และเมื่อใดธุรกิจของคุณเป็นผู้กำหนด นโยบายนี้คือเงื่อนไขการประมวลผลเนื้อหาลูกค้าที่เราจัดการแทนคุณ สำหรับลูกค้าในประเทศไทย หากฉบับภาษาไทยและภาษาอังกฤษขัดหรือแย้งกัน ให้ถือตามฉบับภาษาไทย

1. ผู้ควบคุมข้อมูลคือใคร

บริษัทคือ บริษัท เอ็มเอพีไอไอ จำกัด (MAPII COMPANY LIMITED) นิติบุคคลที่จดทะเบียนในประเทศไทย เลขทะเบียนนิติบุคคล 0135569029817 สำนักงานแห่งใหญ่ตั้งอยู่เลขที่ 92/12 หมู่ที่ 4 ตำบลคลองหนึ่ง อำเภอคลองหลวง จังหวัดปทุมธานี 12120

ปัจจุบันเรายังไม่ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) และไม่มีตัวแทนนอกประเทศไทย คำขอเกี่ยวกับข้อมูลส่วนบุคคลโปรดส่งถึง hello@mapii.cloud หรือส่งเป็นหนังสือถึงสำนักงานแห่งใหญ่

นโยบายนี้เป็นส่วนหนึ่งของข้อกำหนดการใช้บริการ ส่วนนโยบายความเป็นส่วนตัวมีรายละเอียดครบถ้วน รวมถึง Google Limited Use สำหรับลูกค้าในประเทศไทย หากฉบับภาษาไทยและภาษาอังกฤษขัดหรือแย้งกัน ให้ถือตามฉบับภาษาไทย สำหรับบุคคลอื่น ให้ถือตามฉบับภาษาอังกฤษ

2. เมื่อเราเป็นผู้ควบคุมข้อมูล

เราเป็นผู้กำหนดวัตถุประสงค์ของข้อมูลส่วนบุคคลเกี่ยวกับบัญชี Mapii ของคุณ ได้แก่

• รายละเอียดบัญชี เช่น อีเมล ชื่อ และตัวระบุสำหรับเข้าสู่ระบบ
• ข้อมูลติดต่อสำหรับการเรียกเก็บเงินและสถานะการสมัครใช้บริการ (หมายเลขบัตรเก็บไว้ที่ Stripe)
• ข้อความที่คุณส่งถึงฝ่ายบริการลูกค้า
• บันทึกด้านความปลอดภัยและบันทึกการใช้ผลิตภัณฑ์ที่จำเป็นต่อการดำเนินงานและการคุ้มครอง Mapii

ฐานทางกฎหมาย ได้แก่ สัญญาที่ทำกับคุณ ความยินยอมในกรณีที่เราขอ (รวมถึงการเชื่อมต่อ Google และคุกกี้ที่ไม่จำเป็น) ประโยชน์โดยชอบด้วยกฎหมายด้านความปลอดภัยและความเสถียรของผลิตภัณฑ์ และหน้าที่ตามกฎหมาย เช่น บันทึกทางภาษี รายละเอียดอยู่ในนโยบายความเป็นส่วนตัว

3. เมื่อคุณเป็นผู้ควบคุมข้อมูล

คุณเป็นผู้ควบคุมข้อมูลส่วนบุคคลเกี่ยวกับลูกค้าของคุณ ซึ่งเราจัดการเพียงเพื่อให้บริการ Mapii แก่ธุรกิจของคุณ รวมถึงเนื้อหารีวิวจากโปรไฟล์ Google ที่คุณเชื่อมต่อ เช่น ชื่อผู้รีวิว คะแนน และความคิดเห็น ตลอดจนโพสต์หรือคำตอบที่คุณร่างเกี่ยวกับธุรกิจ

สำหรับข้อมูลดังกล่าว เราเป็นผู้ประมวลผลข้อมูลส่วนบุคคลของคุณ เราใช้ข้อมูลตามคำสั่งของคุณ ซึ่งก็คือฟีเจอร์ที่คุณเปิดใช้ เราไม่ขาย ไม่ใช้เพื่อการโฆษณา ไม่ใช้ฝึกโมเดล AI ทั่วไป ไม่สร้างชุดข้อมูลแยกเพื่อวัตถุประสงค์เหล่านั้น และไม่ติดต่อผู้รีวิวเอง

4. หน้าที่ของเราในฐานะผู้ประมวลผลข้อมูล

สำหรับเนื้อหาลูกค้า เราจะ

• ประมวลผลตามคำสั่งในนโยบายนี้และในผลิตภัณฑ์เท่านั้น เว้นแต่กฎหมายกำหนดเป็นอย่างอื่น
• แจ้งคุณหากคำสั่งใดดูเหมือนขัดต่อ PDPA และอาจระงับคำสั่งนั้นไว้จนกว่าจะได้ข้อยุติ
• จำกัดการเข้าถึงเฉพาะผู้ที่จำเป็น และกำหนดให้มีหน้าที่รักษาความลับ
• ใช้มาตรการรักษาความปลอดภัยตามนโยบายความเป็นส่วนตัว โดยข้อมูลถูกเข้ารหัสระหว่างการส่ง และระบบที่เก็บโทเคน Google มีการเข้ารหัสข้อมูลขณะจัดเก็บ
• ช่วยคุณตอบคำขอของผู้รีวิวหรือลูกค้า โดยใช้ข้อมูลที่มีอยู่ในผลิตภัณฑ์
• แจ้งคุณโดยไม่ชักช้าเมื่อยืนยันได้ว่ามีเหตุละเมิดเนื้อหาลูกค้านั้น เพื่อให้คุณปฏิบัติหน้าที่ของตนได้ (ในส่วนที่เราเป็นผู้ควบคุมข้อมูล เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามที่ PDPA กำหนด)
• หยุดอ่านและเขียนข้อมูลในโปรไฟล์ของคุณเมื่อคุณตัดการเชื่อมต่อ และลบเนื้อหาลูกค้าออกจากระบบที่ใช้งานจริงเมื่อคุณลบบัญชี ยกเว้นข้อมูลที่กฎหมายกำหนดให้ต้องเก็บ ซึ่งได้แก่ข้อมูลการเรียกเก็บเงิน ไม่ใช่รีวิว ส่วนเนื้อหาที่จัดเก็บไว้แล้วขณะตัดการเชื่อมต่อจะเป็นไปตามระยะเวลาการเก็บรักษาในนโยบายความเป็นส่วนตัว (เนื้อหาการแจ้งเตือนรีวิวจะไม่ถูกเก็บเกิน 30 วัน)

เราจะตอบคำถามเป็นลายลักษณ์อักษรที่สมเหตุสมผลเกี่ยวกับหน้าที่เหล่านี้ ทั้งนี้ นโยบายนี้ไม่ได้ให้สิทธิเข้าสถานที่ของเราหรือตรวจสอบผู้ให้บริการของเรา

5. คำสั่งของคุณ

คำสั่งของคุณคือการกระทำที่คุณทำในผลิตภัณฑ์ ได้แก่

• เชื่อมต่อบัญชี Google และเลือกสถานที่
• ขอฉบับร่างคำตอบหรือโพสต์จาก AI
• ยืนยันคำตอบหรือโพสต์ รวมถึงโพสต์ที่คุณตั้งเวลาไว้
• ตัดการเชื่อมต่อ Google หรือลบบัญชี

เราไม่เผยแพร่สิ่งใดไปยัง Google ตามความริเริ่มของเราเอง โพสต์ที่ตั้งเวลาไว้จะถูกส่งเพราะคุณยืนยันแล้วเท่านั้น หากคำสั่งใดจะขัดต่อนโยบายของ Google หรือกฎหมาย เราอาจปฏิเสธและแจ้งให้คุณทราบ

6. บุคคลในรีวิว

ชื่อ คะแนน และความคิดเห็นของผู้รีวิวเป็นข้อมูลส่วนบุคคลของบุคคลนั้น เราได้รับข้อมูลจาก Google เพราะคุณเชื่อมต่อโปรไฟล์ ไม่ได้รับจากผู้รีวิวโดยตรง เราแสดงข้อมูลแก่บัญชีของคุณ เก็บเนื้อหาการแจ้งเตือนไว้ไม่เกิน 30 วัน และไม่นำไปสร้างรายชื่อเพื่อการตลาด

คุณมีหน้าที่ต้องมีฐานทางกฎหมายในการใช้เนื้อหานั้นในธุรกิจของคุณ และรับผิดชอบต่อสิ่งที่คุณเผยแพร่เป็นคำตอบ

7. ผู้ประมวลผลข้อมูลช่วง

เราใช้ผู้ให้บริการรายอื่นเท่าที่จำเป็นต่อการให้บริการฟีเจอร์ที่คุณขอ เราระบุชื่อ Google และ Stripe เพราะเป็นความสัมพันธ์ที่เฉพาะเจาะจง ส่วนรายอื่นระบุตามหน้าที่ ไม่ระบุชื่อผลิตภัณฑ์ เพื่อให้นโยบายยังถูกต้องหากมีการเปลี่ยนผู้ให้บริการ และไม่เปิดเผยโครงสร้างระบบภายใน

ผู้ให้บริการเหล่านี้ต้องคุ้มครองข้อมูลและใช้ตามคำสั่งของเราเท่านั้น เราไม่อนุญาตให้นำข้อมูลผู้ใช้ Google ไปใช้เพื่อการโฆษณาของตนเองหรือฝึกโมเดลทั่วไป หากเราเพิ่มหมวดผู้ให้บริการใหม่สำหรับเนื้อหาลูกค้า เราจะปรับปรุงนโยบายนี้ก่อนเริ่มใช้

8. การโอนข้อมูลออกนอกประเทศไทย

Google และ Stripe ประมวลผลข้อมูลส่วนบุคคลนอกประเทศไทย รวมถึงในสหรัฐอเมริกา ผู้ให้บริการในหมวดหมู่ข้างต้นอาจประมวลผลข้อมูลนอกประเทศไทยด้วย เมื่อ PDPA กำหนดให้ต้องมีมาตรการคุ้มครอง เราใช้สัญญาที่กำหนดให้ผู้รับข้อมูลต้องคุ้มครองข้อมูลและใช้ตามคำสั่งของเราเท่านั้น หากต้องการรายชื่อประเทศปลายทางปัจจุบัน โปรดส่งอีเมลถึง hello@mapii.cloud

9. การเก็บรักษาและการลบ

ข้อมูลบัญชีเก็บไว้ตลอดระยะเวลาที่บัญชียังใช้งาน และถูกลบออกจากระบบที่ใช้งานจริงเมื่อคุณลบบัญชี สำเนาที่ค้างอยู่ในแบ็กอัปตามรอบปกติจะคงอยู่จนกว่าจะถูกเขียนทับ และไม่ถูกนำมาใช้กู้คืนบัญชีที่คุณลบแล้ว

เนื้อหาการแจ้งเตือนรีวิวจาก Google Business Profile API เก็บไว้ไม่เกิน 30 วันตามปฏิทิน โทเคน OAuth คงอยู่ตลอดระยะเวลาที่การเชื่อมต่อยังเปิดใช้ และถูกลบออกจากระบบที่ใช้งานจริงเมื่อคุณตัดการเชื่อมต่อ ข้อมูลการเรียกเก็บเงินเก็บไว้ตามที่กฎหมายภาษีอากรและกฎหมายการบัญชีของไทยกำหนด โดยทั่วไปไม่น้อยกว่าห้าปี

10. ความมั่นคงปลอดภัย

การเข้าถึงข้อมูลของบัญชีจำกัดเฉพาะบัญชีนั้น โทเคน Google เก็บบนเซิร์ฟเวอร์ของเราและไม่ถูกส่งไปยังเบราว์เซอร์ ข้อมูลถูกเข้ารหัสระหว่างการส่ง และข้อมูลที่จัดเก็บได้รับการป้องกันจากการเข้าถึงโดยไม่ได้รับอนุญาต เราไม่ระบุชื่อผลิตภัณฑ์ที่ใช้ดำเนินการดังกล่าว

11. การช่วยเหลือเรื่องการใช้สิทธิ

ข้อมูลบัญชี เจ้าของข้อมูลยื่นคำขอต่อเรา และเราตอบในฐานะผู้ควบคุมข้อมูล รายการสิทธิอยู่ในนโยบายความเป็นส่วนตัว การถอนความยินยอมไม่ทำให้การประมวลผลที่ชอบด้วยกฎหมายซึ่งทำไปแล้วเสียไป

ข้อมูลผู้รีวิว คุณเป็นผู้ควบคุมข้อมูล หากมีผู้ติดต่อเราเกี่ยวกับเนื้อหาบนโปรไฟล์ของคุณ เราจะไม่เปิดการสนทนากับบุคคลนั้นเกี่ยวกับธุรกิจของคุณ แต่จะแนะนำให้ติดต่อคุณ หรือช่วยคุณตอบ เว้นแต่กฎหมายกำหนดให้เราต้องดำเนินการเอง

12. เหตุละเมิดข้อมูล

หากข้อมูลส่วนบุคคลที่เราประมวลผลแทนคุณถูกละเมิด และเหตุนั้นน่าจะกระทบสิทธิของบุคคล เราจะแจ้งเจ้าของบัญชีโดยไม่ชักช้า เพื่อให้คุณปฏิบัติหน้าที่ของตนได้ ในส่วนที่เราเป็นผู้ควบคุมข้อมูลและ PDPA กำหนด เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลด้วย โดยไม่ชักช้าและภายใน 72 ชั่วโมงนับจากทราบเหตุเท่าที่จะทำได้

13. เอเจนซี่

หากเอเจนซี่เชื่อมต่อสถานที่ของลูกค้า ธุรกิจของลูกค้าเป็นผู้ควบคุมเนื้อหาลูกค้าของสถานที่นั้น เว้นแต่เอเจนซี่และลูกค้าตกลงเป็นอย่างอื่นเป็นลายลักษณ์อักษร โดยเอเจนซี่ยืนยันว่ามีอำนาจให้คำสั่งแก่เราสำหรับสถานที่นั้น

14. เมื่อสิ้นสุดการใช้บริการ

เมื่อคุณลบบัญชี เราจะลบเนื้อหาลูกค้าออกจากระบบที่ใช้งานจริงตามที่อธิบายในนโยบายความเป็นส่วนตัว เราไม่เก็บเนื้อหารีวิวไว้เป็นบันทึกทางภาษี บันทึกทางภาษีคือข้อมูลการเรียกเก็บเงิน ไม่ใช่รีวิว

15. วิธีอ่านร่วมกับนโยบายอื่น

โปรดอ่านนโยบายนี้ร่วมกับนโยบายความเป็นส่วนตัวและข้อกำหนดการใช้บริการ หากขัดหรือแย้งกันในเรื่องข้อมูลผู้ใช้ Google ให้ถือตามกฎ Limited Use ในนโยบายความเป็นส่วนตัว หากขัดหรือแย้งกันในเรื่องผู้ควบคุมเนื้อหาลูกค้า ให้ถือตามนโยบายนี้ ไม่มีเอกสารใดอนุญาตให้เราขายข้อมูลส่วนบุคคลหรือใช้ข้อมูลผู้ใช้ Google เพื่อการโฆษณา

Mapii ไม่ใช่ Google ส่วน Google Business Profile เป็นบริการของ Google และค่าบริการของ Mapii ไม่ใช่ค่าธรรมเนียมของ Google

Data Controller Policy

Last updated: October 2026

When Mapii decides the purpose of personal data, and when your business does. This policy sets out the processing terms for the customer content we handle for you.

1. Who the controller is

The company is บริษัท เอ็มเอพีไอไอ จำกัด (MAPII COMPANY LIMITED), a company registered in Thailand, juristic-person registration number 0135569029817, with its registered office at 92/12 2nd Floor, Moo 4, Phahonyothin Road, Khlong Nueng Subdistrict, Khlong Luang District, Pathum Thani 12120, Thailand.

We have not appointed a data protection officer or a representative outside Thailand. Send requests about personal data to hello@mapii.cloud, or in writing to the registered office.

This policy forms part of the Terms of Service. The Privacy Policy contains the full privacy notice, including Google Limited Use. For customers in Thailand, the Thai version of these policies prevails if it differs from the English version. For everyone else, the English version prevails.

2. When we are the controller

We decide the purposes for personal data about your Mapii account, including:

• account details, such as email address, name, and sign-in identifiers;
• billing contact details and subscription status (card numbers stay with Stripe);
• support messages you send us; and
• security logs and product-usage records needed to run and protect Mapii.

Our legal bases are the contract with you; consent where we ask for it (including the Google connection and non-essential cookies); legitimate interests in security and product reliability; and legal obligations, such as tax records. Details are in the Privacy Policy.

3. When you are the controller

You are the controller of personal data about your customers that we handle only to provide Mapii to your business. This includes review content from the Google profile you connect — such as a reviewer's name, rating, and comment — and the posts and replies you draft about your business.

For that data, we are your processor. We use it only on your instructions, which are the features you turn on. We do not sell it, use it for advertising, use it to train general AI models, build a separate dataset from it for those purposes, or contact reviewers ourselves.

4. Our duties as your processor

For customer content, we will:

• process it only on the instructions in this policy and in the product, unless the law requires otherwise;
• tell you if an instruction appears to breach the PDPA, and we may pause that instruction until it is resolved;
• limit access to people who need it and bind them to confidentiality;
• apply the security measures described in the Privacy Policy — data is encrypted in transit, and the systems that store Google tokens encrypt data at rest;
• help you respond to requests from reviewers or customers, using the information the product already holds;
• notify you without undue delay after we confirm a breach of that customer content, so you can meet your own obligations (where we are the controller, we notify the Personal Data Protection Committee as the PDPA requires); and
• stop reading from and writing to your profile when you disconnect, and delete customer content from active systems when you delete your account, except records the law requires us to keep — those are billing records, not reviews. Content already stored when you disconnect follows the retention periods in the Privacy Policy (review notification content is never kept beyond 30 days).

We will answer reasonable written questions about these duties. This policy does not grant a right to enter our premises or to audit our suppliers.

5. Your instructions

Your instructions are the actions you take in the product:

• connecting a Google account and choosing a location;
• requesting an AI draft of a reply or post;
• confirming a reply or post, including a post you schedule; and
• disconnecting Google or deleting your account.

We never publish to Google on our own initiative. A scheduled post is sent only because you have already confirmed it. If an instruction would breach Google's policies or the law, we may refuse it and tell you.

6. People in a review

A reviewer's name, rating, and comment are that person's personal data. We receive them from Google because you connected your profile, not from the reviewer. We show them to your account, keep notification content for no more than 30 days, and do not use them to build marketing lists.

You are responsible for having a lawful basis to use that content in your business, and for what you publish in reply.

7. Sub-processors

We use other providers only as needed to deliver the features you request. Google and Stripe are named because those relationships are specific. Other providers are listed by function rather than product name, so this policy stays accurate if a vendor changes and does not expose our internal setup.

These providers must protect the data and use it only on our instructions. We do not authorize them to use Google user data for their own advertising or to train general models. If we add a new category of provider for customer content, we will update this policy before relying on it.

8. Transfers outside Thailand

Google and Stripe process personal data outside Thailand, including in the United States. Other providers in the categories above may also process data outside Thailand. Where the PDPA requires safeguards, we use contracts that require the recipient to protect the data and use it only on our instructions. Email hello@mapii.cloud for the current list of destination countries.

9. Retention and deletion

Account data is kept while your account is active and deleted from active systems when you delete the account. Residual copies in routine backups remain only until the backup cycle overwrites them, and are never used to restore an account you have deleted.

Review notification content from the Google Business Profile API is kept for no more than 30 calendar days. OAuth tokens are kept while the connection is active and are deleted from active systems when you disconnect. Billing records are kept for the period required by Thai tax and accounting law — generally at least five years.

10. Security

Access to an account's data is limited to that account. Google tokens are stored on our servers and are never sent to a browser. Data is encrypted in transit, and stored data is protected against unauthorized access. We do not name the products we use to do this.

11. Helping with rights requests

Account data. The individual asks us, and we respond as the controller. The available rights are listed in the Privacy Policy. Withdrawing consent does not undo processing that was already lawful.

Reviewer data. You are the controller. If someone contacts us about content on your profile, we will not open a discussion with them about your business. We will direct them to you, or help you respond, unless the law requires us to act ourselves.

12. Incidents

If personal data we process for you is breached and the breach is likely to affect people's rights, we will tell the account holder without undue delay so you can meet your own obligations. Where we are the controller and the PDPA requires it, we will also notify the Personal Data Protection Committee — without undue delay and, where feasible, within 72 hours of becoming aware of the breach.

13. Agencies

If an agency connects a client's location, the client business is the controller of that location's customer content, unless the agency and the client have agreed otherwise in writing. The agency confirms that it has authority to give us instructions for that location.

14. End of the service

When you delete your account, we delete customer content from active systems as described in the Privacy Policy. We do not keep review content as a tax record; the tax record is the billing record, not the reviews.

15. How to read this with our other policies

Read this policy together with the Privacy Policy and the Terms of Service. If they conflict on Google user data, the Privacy Policy's Limited Use rules prevail. If they conflict on who controls customer content, this policy prevails. Nothing in any of these documents allows us to sell personal data or use Google user data for advertising.

Mapii is not Google. Google Business Profile is a Google service, and Mapii's fee is not a Google fee.