個人資料保護政策
PHYGITAL AGENCY COMPANY LIMITED（บริษัท ฟิจิทัล เอเจนซี จำกัด）
目錄 / TABLE OF CONTENTS▼
重點摘要 關於 PHYGITAL AGENCY 如何處理資料，您需要知道的事：
- 適用法律： 我們是在泰國登記的公司，本政策依據泰國《個人資料保護法》（PDPA，佛曆 2562 年／西元 2019 年），並在相關情況下參照歐盟 GDPR；本政策不代表符合台灣《個人資料保護法》的規定。
- 角色透明： 處理自家業務的資料時，我們是「個人資料控制者（Data Controller）」；為客戶提供服務時，我們是「個人資料處理者（Data Processor）」，兩種角色清楚區分。
- AI 與資料保護： 我們嚴格保護您的機密資料，絕不把客戶資料用於訓練公開的人工智慧（AI）。
PHYGITAL AGENCY COMPANY LIMITED 認知到在數位經濟時代，「資料」是最有價值的資產，而依據聯合國《企業與人權指導原則》（UNGPs），「隱私」是必須受到保護的基本人權。
本政策向員工、合作夥伴、客戶與消費者說明，我們如何蒐集、保存、使用、揭露與保護個人資料，並符合泰國佛曆 2562 年（西元 2019 年）《個人資料保護法》（PDPA）；在相關情況下，也涵蓋歐盟《一般資料保護規則》（GDPR）的標準。
我們的法律地位與角色（Our Legal Roles）
Legal Role and Responsibility
理解法律角色是透明的起點。PHYGITAL AGENCY 在處理資料上有兩種身分：
- 「個人資料控制者」（Data Controller）： 當我們為了代理商自身的營運蒐集資料時，例如員工資料、應徵者資料、詢問服務者的資料，或客戶的請款資料。
- 「個人資料處理者」（Data Processor）： 當我們為客戶（委託方）提供數位行銷服務時，例如以委託方的顧客名單在社群媒體建立自訂受眾（Custom Audience）、管理 CRM 資料庫，或為客戶品牌開發潛在客戶（Lead Generation）。此時我們只依照委託方（Data Controller）的書面指示處理資料。
我們蒐集的個人資料（Data We Collect）
Data Collection
我們只保存業務所必要的資料，分為：
- 個人與聯絡資料： 姓名、電話、電子郵件、地址與社群帳號
- 技術與使用資料（Technical & Usage Data）： IP 位址、瀏覽器類型，以及透過 Cookie 與追蹤像素（Tracking Pixels）取得的網站瀏覽行為
- 敏感資料（Sensitive Data）： 我們沒有蒐集敏感資料（例如種族、宗教、生物特徵、健康）的政策，除非是勞動法規要求的員工資料，或已取得明確同意（Explicit Consent）。
資料處理的目的（Purpose of Processing）
Purpose of Processing
我們依據契約（Contract）、同意（Consent）、正當利益（Legitimate Interest）與法定義務（Legal Obligation）等法律基礎（Lawful Basis）處理個人資料，目的如下：
- 聯絡協調、提供服務提案與簽訂契約
- 依委託範圍規劃策略與投放廣告（媒體採購 Media Buying）
- 分析並改善網站與行銷活動的成效
- 人力資源管理、薪酬與福利
AI 訓練的隱私政策（AI Data Training Policy）
AI Data Usage Policy
在人工智慧快速發展的時代，PHYGITAL AGENCY 對保護您的資料表明以下立場：
- Zero-Trust Public AI Training： 委託方的個人資料、委託方的顧客資料庫，以及屬於營業秘密的資訊，絕不會輸入（Input）或用於訓練（Train）公開的生成式 AI（例如開放版 ChatGPT、Midjourney，或會把資料用於開發模型的平台）。
- 使用企業級 AI： 需要 AI 協助資料分析（Data Analytics）時，我們只使用有明確個人資料保護契約（DPA）與零資料保留（Zero-Data Retention，不保留資料用於學習）政策的企業級系統，確保最高的安全性。
資料揭露與跨境傳輸（Data Sharing & Cross-Border Transfer）
Data Disclosure
身為數位代理商，我們需要使用全球性的工具，您的資料可能透過以下對象傳送或處理：
- 廣告平台與合作夥伴： 例如 Meta（Facebook／Instagram）、Google、TikTok、LINE 官方帳號或各種 CRM 平台
- 雲端與資料儲存服務商： 例如 Google Workspace、Amazon Web Services（AWS）、Microsoft Azure 等
我們會確認目的地國家或平台具備泰國 PDPA 第 28 至 29 條所要求的適足個人資料保護標準（Adequate Data Protection Standard），或有國際標準契約條款（Standard Contractual Clauses，SCCs）作為保障。
安全維護措施（Data Security Measures）
Security Measures
- 我們採取技術與組織措施（Technical & Organizational Measures），例如資料加密（Encryption）、依角色限制存取權限（Role-based Access Control），以及所有可存取客戶資料的帳號都使用雙重驗證（2FA）。
- 資料外洩應變（Data Breach Protocol）： 發生資料侵害時，我們會立即控制事態，並依法於 72 小時內通知資料當事人與泰國個人資料保護委員會（PDPC）。
資料當事人的權利（Data Subject Rights）
Data Subject Rights
每個人都完整享有泰國 PDPA（及 GDPR）規定的以下權利：
1. 個人資料的查閱與取得副本權
2. 要求更正資料使其正確、最新的權利
3. 要求刪除或銷毀的權利（被遺忘權）
4. 要求停止或反對資料處理的權利（特別是直接行銷）
5. 取得或移轉資料的權利（資料可攜權）
6. 隨時撤回同意的權利
PHYGITAL INSIGHT
“PHYGITAL AGENCY 把遵守 PDPA 視為「競爭優勢（Competitive Advantage）」，而不是「文書負擔」。新時代的數位行銷，必須建立在尊重人權與消費者決定的基礎上。透明、尊重顧客資料的行銷活動，比過去「如影隨形的追蹤（Creepy Tracking）」更能建立持久的品牌忠誠度。”
常見問題（FAQ）
我們是在泰國登記的公司，適用的是泰國《個人資料保護法》（PDPA，2019 年），本政策也依此撰寫，並不代表符合台灣《個人資料保護法》的各項規定。如果台灣企業委託的工作涉及台灣當事人的資料，而您需要依台灣法律處理，請在合約中載明要求，我們會依您（資料控制者）的書面指示處理。
絕對不會。 您的顧客資料是最高等級的營業秘密。為了在廣告平台建立自訂受眾而上傳時，我們只用於您的工作，並在活動結束或合約終止時，立即從 PHYGITAL AGENCY 的系統刪除或銷毀。
我們使用網站運作所必要的 Cookie（Strictly Necessary），以及用來提供更符合您興趣內容的分析與行銷 Cookie（Analytics／Marketing Cookies）。您隨時可以在網站的 Cookie 橫幅選擇「拒絕（Reject）」或重新設定。
合約終止或解除時，PHYGITAL AGENCY 以「個人資料處理者」的身分，在合約約定的期間內刪除、銷毀或把所有個人資料交還委託方（Data Controller）。依法必須為會計與稅務保存的資料除外，這類資料會匿名化或嚴格限制存取後保存。
請寄電子郵件至我們的個人資料保護長（DPO）：hello@phygital.co.th。資料當事人隨時可以要求查閱、取得副本、更正、刪除或撤回同意，我們依法於 30 日內處理。可以用中文提出申請。
只保存合約所需的期間。合約結束時，會在約定期間內刪除、銷毀或交還委託方；會計與稅務法規要求保存的資料除外，並以限制存取的方式保存。
數位時代的行銷，需要信任（Trust in Digital Age）
讓我們協助您規劃透明、重視隱私的行銷策略。 和同時懂技術與資料保護的夥伴一起做數位行銷，讓 PHYGITAL AGENCY 安全地拓展您的事業，不必擔心法律問題。