นโยบายความเป็นส่วนตัว

วันที่มีผล / Effective date: 2026-10-13 · ปรับปรุงล่าสุด / Last updated: 2026-10-13 · เวอร์ชัน / Version: 2026-09-25-draft2

ภาษาไทย

1. ขอบเขตและผู้ควบคุมข้อมูล

นโยบายนี้อธิบายว่า MaeModAI (แม่มด AI) บริการสร้างและเผยแพร่คอนเทนต์การตลาดด้วย AI ซึ่งดำเนินการโดย บริษัท จีเอฟที ดิจิตอล คอลเซ้าท์ติ้ง จำกัด (ผู้ควบคุมข้อมูลส่วนบุคคล) เก็บ ใช้ เปิดเผย และลบข้อมูลของคุณอย่างไร โดยครอบคลุมเว็บไซต์ maemod.com และแอปพลิเคชันที่เชื่อมกับบัญชีโซเชียลมีเดียของคุณ นโยบายนี้ออกแบบให้สอดคล้องกับพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA)

2. ข้อมูลที่เราเก็บ

ข้อมูลบัญชีและการเข้าสู่ระบบ (อีเมล ตัวระบุบัญชี องค์กรที่คุณสังกัด)
ข้อมูลจากผู้ให้บริการยืนยันตัวตนภายนอกที่คุณเลือกใช้เข้าสู่ระบบ เช่น บัญชี LINE (ตัวระบุบัญชีและอีเมลที่ผู้ให้บริการส่งมา) · บันทึกการยอมรับข้อกำหนดและนโยบาย · ค่า hash ของที่อยู่ IP เพื่อป้องกันการใช้งานผิดปกติ · บันทึกการดำเนินการของทีมงานที่เกี่ยวกับบัญชีของคุณ
ข้อมูลจราจรทางคอมพิวเตอร์ที่กฎหมายกำหนดให้เก็บ: ที่อยู่ IP ของอุปกรณ์ที่คุณใช้ เวลา ตัวระบุบัญชี และชนิดเหตุการณ์ (เข้าสู่ระบบสำเร็จหรือไม่สำเร็จพร้อมวิธีเข้าสู่ระบบ ออกจากระบบ และการใช้งาน — การใช้งานบันทึกไม่เกินชั่วโมงละครั้งต่อเครือข่าย) เราไม่บันทึกหน้าที่คุณเปิด ข้อความที่คุณพิมพ์ หรือข้อมูลอุปกรณ์อื่น
คอนเทนต์ที่คุณสร้างหรืออัปโหลด: แคปชัน รูปภาพ วิดีโอ แบรนด์คิท และงานที่กำหนดเวลาเผยแพร่
ข้อมูลการเชื่อมต่อบัญชีโซเชียลมีเดียที่คุณอนุญาต (โทเคนถูกเข้ารหัสที่ชั้นแอปพลิเคชัน; สำหรับบางการเชื่อมต่อ โทเคนอยู่ในการดูแลของผู้ให้บริการเผยแพร่ที่เราใช้ เราไม่ได้เก็บเอง)
ประวัติการใช้งาน ธุรกรรมเครดิต และการชำระเงิน

ข้อมูลที่ได้รับจาก Meta (Facebook / Instagram)

เมื่อคุณเชื่อมต่อบัญชีผ่านแอปของเราโดยตรง (วางแผนไว้ ยังไม่ได้เปิดใช้งาน) เราขอสิทธิ์ (scope) และได้รับข้อมูลดังนี้:

สิทธิ์ (scope)	ข้อมูลที่ได้รับ	ใช้ทำอะไร
`public_profile`	ชื่อและตัวระบุผู้ใช้ Facebook ของคุณ	ระบุตัวตนผู้เชื่อมต่อ
`pages_show_list`	รายชื่อเพจที่คุณดูแล (ชื่อเพจ Page ID และรูปเพจ)	ให้คุณเลือกเพจที่จะเชื่อมต่อ และยืนยันสิทธิ์ผู้ดูแล
`pages_manage_posts`	สิทธิ์เผยแพร่ลงเพจที่เลือก	เผยแพร่โพสต์/รูป/วิดีโอ/รีลตามคำสั่งของคุณเท่านั้น
`pages_read_engagement`	โพสต์ของเพจย้อนหลัง (สูงสุด 30 โพสต์ล่าสุด) พร้อมยอด engagement	สร้างแบรนด์คิทอัตโนมัติและสรุปผลการเผยแพร่
`instagram_basic`	ตัวระบุและชื่อบัญชี Instagram Professional ที่ผูกกับเพจ	ระบุบัญชี IG ปลายทางการเผยแพร่
`instagram_content_publish`	สิทธิ์เผยแพร่ลง Instagram	เผยแพร่รูป/รีลลง IG ตามคำสั่งของคุณเท่านั้น

สำหรับการเชื่อมต่อผ่านผู้ให้บริการเผยแพร่ที่เราใช้ (แอปพาร์ตเนอร์ที่เชื่อมต่อแทนเรา) การอนุญาตเกิดขึ้นบนแอปของผู้ให้บริการนั้น และข้อมูลที่เราได้รับผ่าน API ของผู้ให้บริการ ได้แก่ ตัวระบุและชื่อบัญชีที่เชื่อม ตัวระบุผู้ใช้ที่ให้สิทธิ์ ชื่อและตัวระบุเพจและปลายทางที่เลือก ตัวระบุและชื่อบัญชี Instagram ที่ผูกไว้ ลิงก์และตัวระบุของโพสต์ที่เผยแพร่ โพสต์ของเพจที่ผู้ให้บริการซิงก์มา (ทั้งโพสต์ย้อนหลังและโพสต์ใหม่ รวมถึงโพสต์ที่ไม่ได้สร้างผ่าน MaeModAI) พร้อมลิงก์ไฟล์สื่อและยอด engagement รวมถึงผลและสถานะการเผยแพร่ — ใช้เพื่อเผยแพร่ตามคำสั่งของคุณ สร้างแบรนด์คิท และสรุปผลการเผยแพร่

3. วัตถุประสงค์และฐานกฎหมาย

วัตถุประสงค์	ฐานกฎหมาย (PDPA)
ให้บริการตามที่คุณสั่ง: สร้างคอนเทนต์ด้วย AI เผยแพร่ไปยังแพลตฟอร์มที่เชื่อมต่อ บริหารแผนและเครดิต	การปฏิบัติตามสัญญา (มาตรา 24(3))
เก็บเอกสารบัญชี ภาษี บันทึกการชำระเงิน และข้อมูลจราจรทางคอมพิวเตอร์ตามที่กฎหมายกำหนด	หน้าที่ตามกฎหมาย (มาตรา 24(6))
รักษาความปลอดภัยของระบบ ป้องกันการใช้งานที่ผิดกฎหมาย และปรับปรุงบริการ รวมถึงการวิเคราะห์ข้อมูลรวม (aggregate) ภายในองค์กร — ไม่เปิดเผยให้ลูกค้ารายอื่น	ประโยชน์โดยชอบธรรม (มาตรา 24(5)) — คุณมีสิทธิคัดค้านได้ตามมาตรา 32
เชื่อมต่อบัญชีโซเชียลมีเดียและใช้สิทธิ์ที่แพลตฟอร์มมอบให้	ความยินยอมของคุณ (มาตรา 19) — เพิกถอนได้ทุกเมื่อ

เราวางแผนจะใช้ข้อมูลรวม (aggregate) ข้ามลูกค้าภายในองค์กรเพื่อปรับปรุงคุณภาพบริการ การวิเคราะห์นี้ยังไม่ได้เปิดใช้งาน และข้อมูลรวมที่ได้จะไม่ถูกเปิดเผยหรือแสดงให้ลูกค้ารายอื่นเห็น

4. ผู้ประมวลผลข้อมูลภายนอกและการโอนข้อมูลไปต่างประเทศ

หมายเหตุ: การสร้างคอนเทนต์ด้วย AI และการรับชำระเงินยังไม่ได้เปิดใช้งาน — ผู้ให้บริการที่เกี่ยวข้องจะเริ่มประมวลผลข้อมูลเมื่อฟีเจอร์นั้นเปิดใช้งาน

ผู้ให้บริการส่วนใหญ่ต่อไปนี้ประมวลผลข้อมูลนอกประเทศไทย การโอนข้อมูลไปต่างประเทศภายใต้มาตรา 28/29 ของ PDPA ต้องมีมาตรการคุ้มครองที่เหมาะสมตามกฎหมาย — เราอยู่ระหว่างจัดทำทะเบียนการโอนข้อมูลและยืนยันมาตรการของผู้ให้บริการแต่ละราย และเราส่งเฉพาะข้อมูลที่จำเป็นต่อการให้บริการแต่ละอย่าง:

ประเภทผู้ให้บริการ	ใช้ทำอะไร	ประเทศที่ประมวลผล
คลาวด์/โครงสร้างพื้นฐานและฐานข้อมูล	ฐานข้อมูล ระบบยืนยันตัวตน และโฮสติ้งเว็บแอปพลิเคชัน	สิงคโปร์ · สหรัฐอเมริกา / เครือข่ายทั่วโลก
จัดเก็บและส่งมอบไฟล์สื่อ	จัดเก็บและส่งมอบไฟล์สื่อ (รูปภาพ วิดีโอ)	สหรัฐอเมริกา / เครือข่ายทั่วโลก
สร้างคอนเทนต์ด้วย AI	สร้างรูปภาพ/วิดีโอ และร่างแคปชันและข้อความการตลาดตามคำสั่งของคุณ	สหรัฐอเมริกา · ประเทศที่ประมวลผลของบางรายผู้ให้บริการไม่เปิดเผย หรือเรายังไม่ได้ยืนยัน
เผยแพร่ไปยังแพลตฟอร์มโซเชียล	เผยแพร่โพสต์ไปยังแพลตฟอร์มที่คุณเชื่อมต่อ	ตามนโยบายของผู้ให้บริการ (อยู่ระหว่างยืนยัน)
รับชำระเงิน	รับชำระเงินและค่าบริการ	ประเทศไทย / ตามที่ผู้ให้บริการกำหนด
ยืนยันตัวตนผ่านบัญชีภายนอก	เข้าสู่ระบบด้วยบัญชีภายนอกที่คุณเลือก เช่น LINE	ตามประเทศของผู้ให้บริการที่คุณเลือก
ส่งอีเมลของระบบ	ส่งลิงก์เข้าสู่ระบบและรหัสยืนยันทางอีเมล	ตามนโยบายของผู้ให้บริการ (อยู่ระหว่างยืนยัน)

ข้อมูลของคุณจึงอาจถูกจัดเก็บหรือประมวลผลโดยผู้ให้บริการนอกประเทศไทย รวมถึงสิงคโปร์และสหรัฐอเมริกา เรากำลังจัดทำมาตรการคุ้มครองการโอนข้อมูลตามมาตรา 28/29 และจะปรับปรุงนโยบายนี้เมื่อจัดทำเสร็จ ตัวอย่างเช่น ไฟล์และพรอมป์ที่คุณสั่งสร้างถูกส่งไปยังผู้ให้บริการ AI และไฟล์ที่เผยแพร่ถูกส่งไปยังแพลตฟอร์มปลายทางผ่านผู้ให้บริการเผยแพร่ การชำระเงินดำเนินการโดยผู้ให้บริการรับชำระเงิน — เราไม่เก็บเลขบัตรชำระเงินเต็ม

5. ระยะเวลาเก็บรักษา

คุณขอลบบัญชีได้ทุกเมื่อ แยกจากนั้น บัญชีอาจถูกลบตามกติกาการเก็บรักษาด้านล่างนี้

ระหว่างที่บัญชียังใช้งานอยู่ เราเก็บข้อมูลย้อนหลังไม่เกิน 1 ปี นับจากวันสร้างข้อมูลแต่ละชิ้น ยกเว้นข้อมูลที่ยังใช้งานอยู่ เช่น แบรนด์คิทและรูปสินค้าปัจจุบัน (การลบตามอายุข้อมูลยังไม่ได้เปิดใช้งาน — ข้อมูลอาจถูกเก็บนานกว่านี้จนกว่าระบบจะเปิด)
เมื่อแผนสิ้นสุดและคุณไม่ได้เลือกอย่างอื่น บัญชีจะเป็นบัญชี Free หลังแผน (การสร้างคอนเทนต์และการเติมเครดิตยังไม่เปิดใช้งาน): บัญชียังเปิดอยู่ เครดิตที่เติมยังใช้ได้ และข้อมูลถูกเก็บเหมือนผู้ใช้ที่ใช้งานอยู่ (ย้อนหลัง 1 ปี)
เมื่อคุณปิดบัญชี เราเก็บข้อมูลและเครดิตที่เติมไว้อีก 3 เดือน นับจากวันที่คุณขอปิดบัญชีหรือวันที่สิทธิ์ของแผนสิ้นสุด แล้วแต่วันใดมาทีหลัง จากนั้นลบทั้งหมด — เราจะเตือนคุณก่อนดำเนินการปิดบัญชี
บัญชีที่ไม่เคยเติมเครดิต (ทั้งบัญชี Free แรกเข้า และบัญชีที่เคยชำระแผนรายเดือนแต่ไม่เคยเติมเครดิต): เมื่อสิทธิ์ของแผนสิ้นสุด เราเก็บข้อมูลไว้อีก 3 เดือนแล้วลบ
บัญชี Free ที่เคยเติมเครดิตแต่ไม่ได้ใช้บริการติดต่อกัน 12 เดือน: เราเก็บข้อมูลไว้อีก 3 เดือนแล้วลบพร้อมเครดิตที่เติมคงเหลือ
การลบครอบคลุมฐานข้อมูล ไฟล์สื่อทุกเวอร์ชัน แคช และข้อมูลการเชื่อมต่อ ยกเว้นข้อมูลตามข้อ 6
เราไม่ลบโพสต์ที่เผยแพร่ไปแล้วบนแพลตฟอร์มภายนอก — โพสต์เหล่านั้นอยู่ภายใต้การควบคุมของคุณและเงื่อนไขของแพลตฟอร์มนั้น
การกลับมาชำระเงินหรือกลับมาใช้บริการภายใน 3 เดือนจะยกเลิกเฉพาะการลบตามรอบการเก็บรักษาเท่านั้น — คำขอลบข้อมูลที่คุณส่งเองดำเนินการให้เสร็จภายใน 90 วันโดยไม่ขึ้นกับรอบของแผน และถูกยกเลิกได้เฉพาะเมื่อคุณถอนคำขอนั้นเอง
ระบบลบข้อมูลอัตโนมัติตามรอบข้างต้นยังไม่ได้เปิดใช้งาน — การลบในขั้นนี้ดำเนินการผ่านช่องทางอีเมลตามหน้า การลบข้อมูล

6. ข้อมูลที่ไม่ถูกลบตามรอบข้างต้น

เอกสารทางบัญชีและภาษี — เก็บไม่น้อยกว่า 5 ปีตามที่กฎหมายกำหนด
บันทึกธุรกรรมเครดิต — เก็บเท่าที่จำเป็นต่อเอกสารทางบัญชีข้างต้น โดยจำกัดข้อมูลส่วนบุคคลไว้เท่าที่จำเป็น และไม่เกิน 5 ปีเช่นเดียวกับเอกสารทางบัญชี เว้นแต่กฎหมายกำหนดให้เก็บนานกว่านั้น
ข้อมูลจราจรทางคอมพิวเตอร์ตามมาตรา 26 ของพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ — เก็บ 90 วันนับจากวันที่บันทึก แล้วลบอัตโนมัติภายใน 7 วันหลังครบกำหนด เว้นแต่พนักงานเจ้าหน้าที่สั่งให้เก็บนานกว่านั้นตามกฎหมาย (ไม่เกิน 2 ปีนับจากวันที่บันทึก)
บันทึกการยอมรับข้อกำหนดและนโยบาย (ตัวระบุผู้ใช้ เอกสาร เวอร์ชัน เวลา) — เก็บ 5 ปีหลังลบบัญชี เช่นเดียวกับเอกสารทางบัญชี
บันทึกการดำเนินการของทีมงานที่เกี่ยวกับบัญชีของคุณ — เก็บเพื่อความปลอดภัยและการตรวจสอบ

7. การใช้ข้อมูลเพื่อเทรน AI

เราไม่นำข้อมูลหรือคอนเทนต์ของคุณไปเทรนโมเดล AI ของเราเอง อย่างไรก็ตาม ผู้ให้บริการ AI ภายนอกอาจใช้หรือเก็บข้อมูลที่ส่งไปประมวลผลตามข้อกำหนดของตน เช่น ผู้ให้บริการ AI บางรายอาจใช้ข้อมูลที่ส่งไปเพื่อพัฒนาบริการหรือเทรนโมเดลของตน และบางรายเก็บ log และไฟล์ที่สร้างขึ้นไว้ระยะหนึ่ง (เช่น log ประมาณ 2 เดือน และไฟล์ประมาณ 14 วัน) เราในฐานะผู้ควบคุมข้อมูลยังคงมีหน้าที่ควบคุมการเปิดเผยข้อมูลของคุณต่อผู้ให้บริการเหล่านี้

8. คุกกี้

เราใช้เฉพาะคุกกี้ที่จำเป็นต่อการทำงานของบริการ (เช่น การรักษาสถานะเข้าสู่ระบบ) ไม่ใช้คุกกี้เพื่อโฆษณาหรือติดตามพฤติกรรมข้ามเว็บไซต์

9. อายุขั้นต่ำของผู้ใช้

บริการนี้สำหรับผู้ใช้ที่มีอายุ 18 ปีขึ้นไปเท่านั้น

10. ความปลอดภัยและการแจ้งเหตุข้อมูลรั่วไหล

เราใช้มาตรการทางเทคนิคและการจัดการที่เหมาะสม เช่น การเข้ารหัสโทเคนที่ชั้นแอปพลิเคชัน และการจำกัดสิทธิ์เข้าถึงข้อมูลตามบทบาท หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) โดยไม่ชักช้า และหากทำได้ภายใน 72 ชั่วโมงนับแต่ทราบเหตุ เว้นแต่เหตุละเมิดนั้นไม่น่าจะมีความเสี่ยงต่อสิทธิและเสรีภาพของบุคคล และหากเหตุละเมิดมีความเสี่ยงสูง เราจะแจ้งให้คุณทราบพร้อมมาตรการแก้ไขโดยไม่ชักช้าเช่นกัน

11. สิทธิของคุณตาม PDPA

คุณมีสิทธิดังต่อไปนี้ โดยใช้สิทธิผ่านช่องทางติดต่อในข้อ 13:

สิทธิขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของคุณ (มาตรา 30)
สิทธิขอให้แก้ไขข้อมูลให้ถูกต้องเป็นปัจจุบัน (มาตรา 35)
สิทธิขอให้ลบหรือทำลายข้อมูล (มาตรา 33) — ดูหน้า การลบข้อมูล
สิทธิขอให้ระงับการใช้ข้อมูล (มาตรา 34)
สิทธิโต้แย้งการประมวลผลข้อมูล (มาตรา 32)
สิทธิขอให้โอนย้ายข้อมูลของคุณ (มาตรา 31)
สิทธิเพิกถอนความยินยอมได้ทุกเมื่อ (มาตรา 19) โดยไม่กระทบการประมวลผลที่ทำไปแล้ว
สิทธิร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.)

เราจะตอบและดำเนินการตามคำขอภายใน 30 วันนับจากได้รับคำขอที่ถูกต้องพร้อมการยืนยันตัวตน — คำขอลบข้อมูลจะดำเนินการให้เสร็จสิ้นภายใน 90 วัน ตามหน้า การลบข้อมูล

12. การแก้ไขนโยบายนี้

หากมีการแก้ไขนโยบายอย่างมีสาระสำคัญ เราจะแจ้งล่วงหน้าไม่น้อยกว่า 30 วัน หรือตามที่กฎหมายกำหนด ทางอีเมลที่ลงทะเบียนไว้หรือประกาศในแอป ก่อนการแก้ไขมีผล

13. ติดต่อเรา

อีเมล / Email: support@maemod.com
ผู้ควบคุมข้อมูลส่วนบุคคล: บริษัท จีเอฟที ดิจิตอล คอลเซ้าท์ติ้ง จำกัด (GFT DIGITAL CONSULTING Co., Ltd.) — ยังไม่ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) สำหรับคำขอด้านข้อมูลส่วนบุคคล ติดต่ออีเมลข้างต้น
Data controller: GFT DIGITAL CONSULTING Co., Ltd.. No Data Protection Officer (DPO) has been appointed yet; for privacy requests, contact the email above.

English

1. Scope and data controller

This policy explains how MaeModAI, an AI marketing content creation and publishing service operated by GFT DIGITAL CONSULTING Co., Ltd. (the data controller), collects, uses, discloses, and deletes your data. It covers maemod.com and the application connected to your social media accounts, and is designed to comply with Thailand's Personal Data Protection Act B.E. 2562 (PDPA).

2. Data we collect

Account and sign-in data (email, account identifiers, your organization)
Data from the external sign-in provider you choose, such as your LINE account (the account identifier and email the provider sends us) · records of your acceptance of the Terms and Privacy Policy · a hash of your IP address to prevent abuse · staff action logs relating to your account
Computer traffic data we are required by law to keep: the IP address of the device you use, the time, your account identifier, and the event type (successful or failed sign-in with the sign-in method, sign-out, and use of the service — use is recorded at most once per hour per network). We do not record the pages you open, what you type, or other device details.
Content you create or upload: captions, images, videos, brand kits, and scheduled publishing jobs
Social account connection data you authorize (tokens are encrypted at the application level; for some connections the credential is held by the publishing provider we use and not stored by us)
Usage history, credit transactions, and payment records

Data received from Meta (Facebook / Instagram)

When you connect accounts through our own app (planned; not yet enabled), we will request these permissions and receive:

Permission (scope)	Data received	Purpose
`public_profile`	Your Facebook user name and ID	Identify the connecting user
`pages_show_list`	Pages you manage (page name, Page ID, page picture)	Let you choose Pages and confirm admin rights
`pages_manage_posts`	Publishing permission on selected Pages	Publish posts/images/videos/Reels only at your direction
`pages_read_engagement`	Page post history (up to the 30 most recent posts) with engagement metrics	Automatic brand kit creation and publishing summaries
`instagram_basic`	ID and username of the Instagram Professional account linked to a Page	Identify the IG publishing destination
`instagram_content_publish`	Publishing permission on Instagram	Publish images/Reels to IG only at your direction

For connections made through the publishing provider we use (a partner app that connects on our behalf), authorization happens on that provider's app, and the data we receive through the provider's API includes the connected account's identifiers and names, the authorizing platform user's identifier, the names and identifiers of selected pages and destinations, the linked Instagram account's identifier and username, links and identifiers of published posts, the page's posts synced by the provider (both past and new posts, including posts not created through MaeModAI) with media links and engagement metrics, and publishing results and status — used to publish at your direction, build your brand kit, and summarize publishing results.

3. Purposes and legal bases

Purpose	Legal basis (PDPA)
Provide the service you request: AI content generation, publishing to connected platforms, plan and credit management	Performance of a contract (Section 24(3))
Keep accounting, tax, and payment records, and computer traffic data as required by law	Legal obligation (Section 24(6))
System security, abuse prevention, and service improvement, including internal aggregate analytics — never disclosed to other customers	Legitimate interest (Section 24(5)) — you may object under Section 32
Connect social accounts and use platform-granted permissions	Your consent (Section 19) — revocable at any time

We plan to use cross-customer aggregate data internally to improve the service. This analysis is not yet enabled, and the resulting aggregate data will not be disclosed or shown to other customers.

4. Third-party processors and cross-border transfers

Note: AI content generation and payments are not yet enabled — the related providers will begin processing data when those features are enabled.

Most providers below process data outside Thailand. Cross-border transfers under Sections 28/29 of the PDPA require legally appropriate safeguards — we are compiling the transfer inventory and verifying each provider's arrangements. We send only the data each operation requires:

Provider category	Purpose	Processing country
Cloud / infrastructure and database	Database, authentication, and web application hosting	Singapore · United States / global network
Media file storage and delivery	Storing and delivering media files (images, videos)	United States / global network
AI content generation	Generating images/videos and drafting captions and marketing copy at your request	United States · some processing locations are not disclosed by the providers or have not yet been verified by us
Publishing to social platforms	Publishing posts to your connected platforms	As designated by the provider (verification in progress)
Payments	Payment processing	Thailand / as designated by the provider
External sign-in	Signing in with an external account you choose, such as LINE	Country of the provider you choose
System email	Sending sign-in links and verification codes by email	As designated by the provider (verification in progress)

Your data may therefore be stored or processed by service providers outside Thailand, including Singapore and the United States. We are putting transfer safeguards under Sections 28/29 in place and will update this policy when they are complete. For example, the files and prompts you ask us to generate are sent to AI providers, and published files are delivered to the destination platform through the publishing provider. Payments are processed by a payment provider — we do not store full payment card numbers.

5. Retention

You may request account deletion at any time. Separately, accounts may be deleted under the retention rules below.

While your account is active, we keep data for up to 1 year from the date each item was created, except items still in use such as your current brand kit and product images (age-based deletion is not yet enabled — data may be kept longer until it is).
When a plan ends and you choose nothing else, your account becomes a post-plan Free account (content generation and top-ups are not yet enabled): it stays open, your top-up credits remain usable, and your data is kept like an active user's (rolling 1 year).
When you close your account, we keep your data and top-up credits for 3 months from the date you ask to close it or the date your plan entitlement ends, whichever is later, then delete everything — we warn you before closing the account.
An account that never topped up (an introductory Free account, or an account that paid for a monthly plan but never topped up): we keep the data for 3 months after its plan entitlement ends, then delete it.
A Free account that topped up but has not used the service for 12 consecutive months: we keep the data for 3 more months, then delete it together with the remaining top-up credits.
Deletion covers the database, all media file versions, caches, and connection data, except the data in section 6.
We do not delete posts already published on external platforms — those remain under your control and the platform's terms.
Returning to use the service or paying again within those 3 months cancels only retention-cycle deletion. An explicit erasure request is completed within 90 days independently of plan cycles and is cancelled only if you withdraw that request.
Automated deletion on the cycles above is not yet enabled — deletion requests are currently handled by email via Data Deletion.

6. Data not deleted on the cycle above

Accounting and tax records — kept for at least 5 years as required by law
Credit transaction records — kept only to the extent needed for the accounting records above, with personal data limited to what is necessary, and no longer than 5 years, the same as accounting records, unless the law requires a longer period
Computer traffic data under Section 26 of the Computer Crime Act — kept for 90 days from the day it is recorded, then deleted automatically within 7 days after that period, unless a competent official orders longer retention under the law (up to 2 years from the day it is recorded)
Records of your acceptance of the Terms and Privacy Policy (user identifier, document, version, time) — kept for 5 years after account deletion, the same as accounting records
Staff action logs relating to your account — kept for security and audit purposes

7. Use of data for AI training

We do not use your data or content to train our own AI models. However, external AI providers may use or retain data sent for processing under their own terms — for example, some AI providers may use the data sent to them to improve their services or train their models, and some keep logs and generated files for a period (e.g. logs for about 2 months and generated files for about 14 days). As data controller, we remain responsible for governing the disclosure of your data to these providers.

8. Cookies

We use only cookies strictly necessary for the service to function (such as keeping you signed in). We do not use advertising cookies or cross-site tracking.

9. Minimum age

The service is for users aged 18 and over only.

10. Security and breach notification

We apply appropriate technical and organizational measures, such as application-level token encryption and role-based access control. If a personal data breach occurs, we will notify the Office of the Personal Data Protection Commission (PDPC) without delay and, where feasible, within 72 hours of becoming aware, unless the breach is unlikely to result in a risk to individuals' rights and freedoms. Where the breach presents a high risk, we will also notify you without delay, together with remedial measures.

11. Your rights under the PDPA

You have the following rights, exercisable through the contact in section 13:

Right to access and obtain a copy of your personal data (Section 30)
Right to rectification of inaccurate or outdated data (Section 35)
Right to erasure (Section 33) — see Data Deletion
Right to restriction of processing (Section 34)
Right to object to processing (Section 32)
Right to data portability (Section 31)
Right to withdraw consent at any time (Section 19), without affecting prior processing
Right to lodge a complaint with the Office of the Personal Data Protection Commission (PDPC)

We will respond to and act on a valid request within 30 days of receiving it with verified identity — deletion requests are completed within 90 days as described on the Data Deletion page.

12. Changes to this policy

If we make material changes to this policy, we will give at least 30 days' notice, or as required by law, by email to your registered address or by notice in the app before the changes take effect.

13. Contact

ผู้ให้บริการ: บริษัท จีเอฟที ดิจิตอล คอลเซ้าท์ติ้ง จำกัด (GFT DIGITAL CONSULTING Co., Ltd.) ให้บริการภายใต้ชื่อ MaeModAI (แม่มด AI)
Service provider: GFT DIGITAL CONSULTING Co., Ltd., operating as MaeModAI (แม่มด AI).
อีเมล / Email: support@maemod.com
ผู้ควบคุมข้อมูลส่วนบุคคล: บริษัท จีเอฟที ดิจิตอล คอลเซ้าท์ติ้ง จำกัด (GFT DIGITAL CONSULTING Co., Ltd.) — ยังไม่ได้แต่งตั้งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) สำหรับคำขอด้านข้อมูลส่วนบุคคล ติดต่ออีเมลข้างต้น
Data controller: GFT DIGITAL CONSULTING Co., Ltd.. No Data Protection Officer (DPO) has been appointed yet; for privacy requests, contact the email above.
ที่อยู่ / Address: 142/232 ถนนกาญจนาภิเษก แขวงบางแค เขตบางแค กรุงเทพมหานคร 10160