个人信息保护政策
PHYGITAL AGENCY COMPANY LIMITED（บริษัท ฟิจิทัล เอเจนซี จำกัด）
目录 / TABLE OF CONTENTS▼
重点摘要 关于 PHYGITAL AGENCY 如何处理数据，您需要知道的事：
- 适用法律： 我们是在泰国注册的公司，本政策依据泰国《个人数据保护法》（PDPA，佛历 2562 年／公历 2019 年），并在相关情况下参照欧盟 GDPR；本政策不代表符合中国《个人信息保护法》的规定。
- 角色透明： 处理自家业务的数据时，我们是“个人数据控制者（Data Controller）”；为客户提供服务时，我们是“个人数据处理者（Data Processor）”，两种角色清楚区分。
- AI 与数据保护： 我们严格保护您的机密数据，绝不把客户数据用于训练公共的人工智能（AI）。
PHYGITAL AGENCY COMPANY LIMITED 认识到在数字经济时代，“数据”是最有价值的资产，而依据联合国《工商企业与人权指导原则》（UNGPs），“隐私”是必须受到保护的基本人权。
本政策向员工、合作伙伴、客户与消费者说明，我们如何收集、保存、使用、披露与保护个人数据，并符合泰国佛历 2562 年（公历 2019 年）《个人数据保护法》（PDPA）；在相关情况下，也涵盖欧盟《通用数据保护条例》（GDPR）的标准。
我们的法律地位与角色（Our Legal Roles）
Legal Role and Responsibility
理解法律角色是透明的起点。PHYGITAL AGENCY 在处理数据上有两种身份：
- “个人数据控制者”（Data Controller）： 当我们为了代理公司自身的运营收集数据时，例如员工资料、应聘者资料、咨询服务者的资料，或客户的请款资料。
- “个人数据处理者”（Data Processor）： 当我们为客户（委托方）提供数字营销服务时，例如用委托方的顾客名单在社交媒体建立自定义受众（Custom Audience）、管理 CRM 数据库，或为客户品牌开发潜在客户（Lead Generation）。此时我们只按照委托方（Data Controller）的书面指示处理数据。
我们收集的个人数据（Data We Collect）
Data Collection
我们只保存业务所必需的数据，分为：
- 个人与联系资料： 姓名、电话、电子邮件、地址与社交媒体账号
- 技术与使用数据（Technical & Usage Data）： IP 地址、浏览器类型，以及通过 Cookie 与追踪像素（Tracking Pixels）获得的网站浏览行为
- 敏感数据（Sensitive Data）： 我们没有收集敏感数据（例如种族、宗教、生物特征、健康）的政策，除非是劳动法规要求的员工资料，或已取得明确同意（Explicit Consent）。
数据处理的目的（Purpose of Processing）
Purpose of Processing
我们依据合同（Contract）、同意（Consent）、正当利益（Legitimate Interest）与法定义务（Legal Obligation）等法律基础（Lawful Basis）处理个人数据，目的如下：
- 联络协调、提供服务提案与签订合同
- 按委托范围规划策略与投放广告（媒体采购 Media Buying）
- 分析并改善网站与营销活动的成效
- 人力资源管理、薪酬与福利
AI 训练的隐私政策（AI Data Training Policy）
AI Data Usage Policy
在人工智能快速发展的时代，PHYGITAL AGENCY 对保护您的数据表明以下立场：
- Zero-Trust Public AI Training： 委托方的个人数据、委托方的顾客数据库，以及属于商业秘密的信息，绝不会输入（Input）或用于训练（Train）公共的生成式 AI（例如开放版 ChatGPT、Midjourney，或会把数据用于开发模型的平台）。
- 使用企业级 AI： 需要 AI 协助数据分析（Data Analytics）时，我们只使用有明确个人数据保护协议（DPA）与零数据留存（Zero-Data Retention，不保留数据用于学习）政策的企业级系统，确保最高的安全性。
数据披露与跨境传输（Data Sharing & Cross-Border Transfer）
Data Disclosure
作为数字代理公司，我们需要使用全球性的工具，您的数据可能通过以下对象传送或处理：
- 广告平台与合作伙伴： 例如 Meta（Facebook／Instagram）、Google、TikTok、LINE 官方账号或各种 CRM 平台
- 云与数据存储服务商： 例如 Google Workspace、Amazon Web Services（AWS）、Microsoft Azure 等
我们会确认目的地国家或平台具备泰国 PDPA 第 28 至 29 条所要求的适足个人数据保护标准（Adequate Data Protection Standard），或有国际标准合同条款（Standard Contractual Clauses，SCCs）作为保障。
安全维护措施（Data Security Measures）
Security Measures
- 我们采取技术与组织措施（Technical & Organizational Measures），例如数据加密（Encryption）、按角色限制访问权限（Role-based Access Control），以及所有可访问客户数据的账号都使用双重验证（2FA）。
- 数据泄露应对（Data Breach Protocol）： 发生数据泄露时，我们会立即控制事态，并依法于 72 小时内通知数据主体与泰国个人数据保护委员会（PDPC）。
数据主体的权利（Data Subject Rights）
Data Subject Rights
每个人都完整享有泰国 PDPA（及 GDPR）规定的以下权利：
1. 个人数据的查阅与获取副本权
2. 要求更正数据使其正确、最新的权利
3. 要求删除或销毁的权利（被遗忘权）
4. 要求停止或反对数据处理的权利（特别是直接营销）
5. 获取或转移数据的权利（数据可携权）
6. 随时撤回同意的权利
PHYGITAL INSIGHT
“PHYGITAL AGENCY 把遵守 PDPA 视为“竞争优势（Competitive Advantage）”，而不是“文书负担”。新时代的数字营销，必须建立在尊重人权与消费者决定的基础上。透明、尊重顾客数据的营销活动，比过去“如影随形的追踪（Creepy Tracking）”更能建立持久的品牌忠诚度。”
常见问题（FAQ）
我们是在泰国注册的公司，适用的是泰国《个人数据保护法》（PDPA，2019 年），本政策也依此撰写，并不代表符合中国《个人信息保护法》的各项规定。如果中国企业委托的工作涉及中国境内个人的信息，而您需要依中国法律处理（例如数据出境方面的要求），请在合同中载明要求，并向贵公司的法务确认；我们会依您（数据控制者）的书面指示处理。
绝对不会。 您的顾客数据是最高等级的商业秘密。为了在广告平台建立自定义受众而上传时，我们只用于您的工作，并在活动结束或合同终止时，立即从 PHYGITAL AGENCY 的系统删除或销毁。
我们使用网站运作所必需的 Cookie（Strictly Necessary），以及用来提供更符合您兴趣内容的分析与营销 Cookie（Analytics／Marketing Cookies）。您随时可以在网站的 Cookie 横幅选择“拒绝（Reject）”或重新设置。
合同终止或解除时，PHYGITAL AGENCY 以“个人数据处理者”的身份，在合同约定的期限内删除、销毁或把所有个人数据交还委托方（Data Controller）。依法必须为会计与税务保存的数据除外，这类数据会匿名化或严格限制访问后保存。
请发送电子邮件至我们的个人数据保护官（DPO）：hello@phygital.co.th。数据主体随时可以要求查阅、获取副本、更正、删除或撤回同意，我们依法于 30 日内处理。可以用中文提出申请。
只保存合同所需的期限。合同结束时，会在约定期限内删除、销毁或交还委托方；会计与税务法规要求保存的数据除外，并以限制访问的方式保存。
数字时代的营销，需要信任（Trust in Digital Age）
让我们协助您规划透明、重视隐私的营销策略。 和同时懂技术与数据保护的伙伴一起做数字营销，让 PHYGITAL AGENCY 安全地拓展您的业务，不必担心法律问题。