อัปเดตล่าสุด: 26 พฤษภาคม 2026
เราออกแบบระบบโดยให้ความปลอดภัยของข้อมูลลูกค้าเป็นเป้าหมายหลัก หน้านี้สรุปมาตรการที่ใช้จริง ทั้งในด้านเทคนิคและกระบวนการ สำหรับลูกค้าองค์กรที่ต้องการรายละเอียดเพิ่มเติม ติดต่อ [email protected]
- Encryption in transit — HTTPS/TLS 1.3 ทุก endpoint ที่ public-facing
- Encryption at rest — Dataset, model และไฟล์ที่ลูกค้าอัปโหลดถูกเข้ารหัสในระบบจัดเก็บ
- Password hashing — รหัสผ่านลูกค้าใช้ bcrypt (cost factor 12) — เราไม่เก็บรหัสผ่าน plaintext
- JWT signing — Token ใช้ asymmetric signing พร้อม short-lived access token + rotating refresh
- Role-based access control (RBAC) — แยกสิทธิ์ระดับ owner, admin, member, viewer ในแต่ละองค์กร
- Two-factor authentication (TOTP) — เปิดได้สำหรับทุกบัญชี รองรับ authenticator app มาตรฐาน
- Session management — Token หมดอายุอัตโนมัติ, ผู้ใช้ทำ logout ทุกเซสชันได้
- SSO — Google และ Facebook OAuth สำหรับองค์กรที่ต้องการ — รองรับการเพิ่ม SAML สำหรับ enterprise
การแยกข้อมูลระหว่างลูกค้า (Multi-tenancy)
- ทุกข้อมูลถูก tag ด้วย tenant_id ระดับ database row และ object storage prefix
- การ query และ API endpoint บังคับ filter ด้วย tenant_id ของผู้ใช้ที่ login
- ลูกค้าหนึ่งไม่สามารถเข้าถึงข้อมูล dataset, label, model หรือ device ของลูกค้าอื่นได้ — ไม่ว่าจะใน UI หรือ direct API
การสำรองข้อมูลและความต่อเนื่อง
- Database backup — Snapshot ทุกวัน + WAL archival สำหรับ point-in-time recovery
- Object storage backup — Dataset และ model มีการสำรองข้อมูลแยก zone
- Disaster recovery — RTO และ RPO target จะระบุในสัญญาเฉพาะลูกค้า enterprise
- Audit log — ทุก action ทาง API ถูกบันทึก พร้อม user, timestamp, IP
- Monitoring — Metrics ใน Prometheus + Loki logs, alert ผ่าน Slack/PagerDuty
- Incident response — ทีมงานพร้อมรับเหตุภายในเวลาทำการ พร้อมขั้นตอนการกักกัน วิเคราะห์ และแจ้งลูกค้าตาม Privacy Policy
Network และโครงสร้างพื้นฐาน
- Edge protection — Cloudflare WAF + DDoS protection + bot management
- Bot/CAPTCHA — Cloudflare Turnstile บน auth endpoint สำคัญ
- Rate limiting — ที่ API gateway เพื่อป้องกัน brute force + abuse
- Internal network — Service-to-service communication ภายใน VPC, ไม่ public
บุคคล กระบวนการ และผู้ให้บริการ
- พนักงานและผู้รับเหมาเซ็น NDA ก่อนเข้าถึงข้อมูลที่ identifiable
- การเข้าถึงข้อมูลลูกค้าโดยทีมงานจำกัดเฉพาะเท่าที่จำเป็นต่อการให้บริการ และมี audit log
- Sub-processors — ดูรายการที่ Subprocessors
- การแจ้งช่องโหว่ — security.txt (RFC 9116)
การปฏิบัติตามกฎหมายและมาตรฐาน
- PDPA — เราปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (ไทย) — ดู Privacy Policy
- ISO 27001 / SOC 2 — Roadmap อยู่ในแผน เราพร้อมแบ่งปันรายละเอียดเพิ่มเติมกับลูกค้า enterprise ที่ต้องการ
- DPA — มีให้กับลูกค้าองค์กร ดู DPA
การแจ้งช่องโหว่
หากคุณพบปัญหาด้านความปลอดภัย โปรดส่งอีเมลถึง [email protected] พร้อมรายละเอียดและวิธีทำซ้ำ โปรดอย่าเปิดเผยต่อสาธารณะก่อนที่เราจะตรวจสอบและแก้ไข
เรามุ่งมั่นที่จะตอบรับ report ภายใน 3 วันทำการ ดูเพิ่มเติมที่ security.txt
