1. 引言
Baan Sabai Garden Spa(以下简称"我们"),地址位于22 Chao Fah West Road, Chalong 83130, TH,运营网站 demo.nawaspa.com及其中介绍的服务。本政策说明当您访问我们的网站、预订疗程或与我们联系时,我们会收集哪些个人数据、收集的原因、与谁共享,以及您享有的权利。
我们是通过本网站收集信息的数据控制者。本政策旨在符合泰国《个人数据保护法 B.E. 2562 (PDPA)》的要求——这是适用于我们这一泰国企业的法律——并针对位于欧洲经济区、英国或瑞士的访客,同时遵守《通用数据保护条例》(GDPR)。
2. 我们收集的信息
您直接提供的信息
当您提交预订或咨询、使用我们的聊天机器人,或通过网站与我们联系时,我们可能会收集:您的姓名、电话号码、电子邮件地址(可选)、首选疗程与日期、人数,以及您选择附上的任何备注(例如您在聊天机器人中提及的过敏情况或偏好)。
自动收集的信息
经您通过首次访问时的 Cookie 横幅给予同意后,我们使用 Google Analytics 4 来了解访客如何使用我们的网站——访问的页面、根据 IP 地址得出的大致位置、浏览器类型以及在网站上停留的时间。这些数据为汇总形式,不用于识别您的个人身份。除非您主动接受,否则不会设置任何分析 Cookie;详见下文"Cookie"部分。
我们的托管与安全服务商(Vercel、Cloudflare、Upstash)会自动记录 IP 地址和请求时间戳等技术数据,仅用于运行网站、对滥用流量进行限流,以及检测表单中的机器人。
3. 我们如何使用您的信息
我们将您提供的信息用于:
- 回应您的预订请求与咨询,并通过电子邮件及 WhatsApp/Line 确认预订
- 运营我们的 AI 聊天机器人,使用您的消息来回答问题并协助预订
- 保留泰国法律要求的税务与商业会计合规记录
- 检测并防止对我们的预订与咨询表单的垃圾信息或滥用
- 了解并改进我们的网站,前提是您已同意分析 Cookie
我们不会将您的个人信息出售、出租或共享给第三方用于其自身的营销目的,也不会使用广告或跨站追踪 Cookie。
4. 我们与谁共享您的信息
我们使用以下子处理商来运营我们的网站与业务。每个子处理商仅接收其履行职能所需的数据:
| 服务 | 用途 | 涉及的数据 |
|---|---|---|
| Supabase | 数据库托管 | 预订、咨询、聊天记录、Cookie 同意日志 |
| Brevo | 事务性电子邮件 | 姓名、电子邮件、预订详情(仅用于确认邮件) |
| Cloudinary | 图片托管 | 水疗与疗程照片——不含任何客人个人数据 |
| Cloudflare Turnstile | 机器人/垃圾信息防护 | 用于验证您为人类的浏览器信号;不会构建任何个人档案 |
| Upstash | 限流 | IP 地址,仅用于统计请求与防止滥用 |
| MiniMax | AI 聊天机器人回复 | 您的聊天消息,用于生成回复 |
| Google Analytics 4 | 网站分析 | 仅在 Cookie 同意后启用——见"Cookie"部分 |
| Vercel | 网站托管 | 标准服务器日志;同时提供 Vercel Analytics/Speed Insights |
| WhatsApp / Line | 客人消息 | 您选择在这些平台上与我们进行的对话,受其各自的隐私政策约束 |
我们也可能根据泰国法律、法院命令的要求,或在为保护 Baan Sabai Garden Spa、我们的客人或公众的权利、财产或安全必要时,披露个人数据。
5. 国际数据传输
上述部分服务(包括 Supabase、Brevo、Cloudinary、Cloudflare、Upstash、MiniMax、Google 和 Vercel)在泰国以外的服务器上处理数据,包括美国和欧盟境内。在我们进行国际个人数据传输时,我们依赖这些服务商向其客户提供的标准合同与安全保障措施,符合 PDPA 第 28–29 条关于跨境传输的要求,并针对 EEA 访客,符合 GDPR 的传输机制。
6. 数据保留
我们仅在为本政策所述目的所需的时间内保留个人数据:
- 预订与咨询记录——最长 24 个月,用于客户服务与泰国税务/会计合规,除非您要求我们更早删除。
- 聊天记录——与您的预订/咨询记录一同保留相同期限,以便您再次联系我们时提供上下文。
- Cookie 同意日志——最长 24 个月。该记录仅包含随机生成的 ID、哈希处理后的 IP 地址、您的类别选择和时间戳——绝不包含您的姓名或联系方式。
7. 您的权利
如果您位于泰国(PDPA)
根据 PDPA 第 30–36 条,您有权:要求访问并获取您的个人数据副本;要求更正不准确的数据;要求删除、暂停或匿名化您的数据;反对或限制我们对您数据的处理;以及随时撤回同意(不影响撤回前已进行的处理)。您也有权向泰国个人数据保护委员会投诉。
如果您位于 EEA、英国或瑞士(GDPR)
您拥有与上述相同的核心权利,在 GDPR 术语中称为访问权、更正权、删除权、限制处理权、数据可携权和反对权。当我们依赖您的同意(如分析 Cookie)时,您可随时撤回,不影响撤回前处理的合法性。您也有权向当地数据保护机构投诉。
如需行使上述任何权利,请使用第 11 节中的联系方式与我们联系。我们将在适用法律规定的时限内(PDPA 下为 30 天)作出回应。
8. Cookie
当您首次访问我们的网站时,横幅会询问您允许哪些 Cookie。我们使用两类:
- 必要 Cookie——网站运行所必需(记住您的 Cookie 选择、会话安全)。这些始终启用,无需同意,因为它们是提供您所请求服务的严格必要 Cookie。
- 分析 Cookie(Google Analytics)——仅在您点击"全部接受"或在"自定义"中启用时设置。如果您点击"拒绝非必要",则不会设置任何内容。
我们不使用广告或营销 Cookie。您可随时通过每页页脚的"Cookie 设置"链接更改您的选择,或清除浏览器的网站数据。有关您的决定保留多长时间,请参见第 6 节。
9. 儿童隐私
我们的网站和服务面向成人。疗程最低年龄为 12 岁,适用时均需成人监护,并在现场明示。我们不会明知故犯地收集儿童的个人数据,也不向无人陪同的未成年人提供服务。如果您认为有儿童向我们提供了个人数据,请联系我们,我们将予以删除。
10. 安全性
我们采用行业标准措施保护您的数据,包括浏览器与服务器及数据库之间的加密连接(HTTPS/TLS)、基于角色的访问控制(将员工访问权限限制在其职责所需的信息范围内),以及使用安全审计良好的可靠基础设施提供商(Supabase、Vercel、Cloudflare)进行托管和存储。没有任何传输或存储方法是 100% 安全的;如果我们获悉影响您个人信息的数据泄露事件,我们将根据 PDPA 及适用的 GDPR 要求,通知受影响个人和相关机构。
11. 本政策的变更
我们可能不时更新本政策,以反映我们的服务或法律义务的变化。本页顶部的"最后更新"日期反映最近一次修订。如果变更重大——例如新增数据类型或新的第三方处理商——我们将在本页突出显示,或在法律要求时征求新的同意。
12. 联系方式
如有任何隐私相关的问题、请求或投诉,请通过以下方式联系我们:
Baan Sabai Garden Spa
22 Chao Fah West Road, Chalong 83130, TH
WhatsApp: +66931584912
Line: @baansabai