นโยบายความปลอดภัย

1. ขอบเขตและหลักการ

เรามุ่งรักษาความลับ ความถูกต้องครบถ้วน และความพร้อมใช้งานของเว็บไซต์ API คำสั่งซื้อ และหลักฐานการชำระเงิน โดยเก็บและใช้ข้อมูลเท่าที่จำเป็นต่อการให้บริการ ตรวจสอบธุรกรรม ป้องกันการทุจริต และปฏิบัติตามหน้าที่ที่เกี่ยวข้อง

2. บัญชีและสิทธิ์การเข้าถึง

ขณะนี้เว็บไซต์ยังไม่มีระบบสมาชิกสำหรับลูกค้า ลูกค้าสั่งซื้อและติดตามด้วยหมายเลขออเดอร์ ส่วนหลังบ้านสงวนไว้สำหรับผู้ดูแลที่ได้รับอนุญาต ผู้ดูแลต้องเก็บรหัสผ่านและโทเคนเข้าสู่ระบบเป็นความลับ ไม่ใช้เครื่องสาธารณะ และออกจากระบบเมื่อใช้งานเสร็จ

3. การรับส่งและจัดเก็บข้อมูล

การใช้งานจริงควรผ่าน HTTPS เท่านั้น ขณะพัฒนาในเครื่องอาจใช้ HTTP บน localhost ซึ่งไม่ใช่การตั้งค่าสำหรับรับข้อมูลจากสาธารณะ ข้อมูลคำสั่งซื้อเก็บในฐานข้อมูล PostgreSQL และข้อมูลคิวงานอาจอยู่ใน Redis ตามการติดตั้งของระบบ ผู้ดูแลต้องจำกัดสิทธิ์เครื่องและฐานข้อมูลไม่ให้บุคคลทั่วไปเข้าถึง

4. การป้องกันข้อมูลลับ

คีย์ API รหัสผ่าน และค่าเชื่อมต่อระบบต้องอยู่ในตัวแปรแวดล้อมฝั่งเซิร์ฟเวอร์ ห้ามฝังใน JavaScript ที่ส่งให้เบราว์เซอร์ ห้ามเผยแพร่ใน Git หรือภาพหน้าจอ และควรเปลี่ยนทันทีเมื่อสงสัยว่ารั่วไหล ระบบบันทึกเหตุการณ์ถูกออกแบบให้ไม่แสดงข้อความ error/stack ดิบที่อาจมีข้อมูลลับ

5. การตรวจสอบข้อมูลและไฟล์

ระบบจำกัดชนิดไฟล์ภาพสลิปและขนาดไฟล์ ตรวจสอบลายเซ็นไฟล์เบื้องต้น และเก็บไฟล์สลิปใหม่ในพื้นที่ที่ไม่เปิดเป็นไฟล์สาธารณะ การเข้าดูสลิปทำผ่าน API หลังยืนยันสิทธิ์ผู้ดูแล ทั้งนี้มาตรการเหล่านี้ไม่ใช่การรับรองว่าไฟล์หรือธุรกรรมทุกชนิดปราศจากความเสี่ยง

6. การชำระเงินและการเติมเกม

ลูกค้าควรตรวจสอบชื่อบัญชีและยอดก่อนโอน และไม่ส่งรหัสผ่านเกมหรือรหัส OTP ให้ร้านค้า เว็บไซต์ไม่มีเหตุให้ขอรหัสผ่านเกมหรือรหัส OTP ธนาคารจากลูกค้า ปัจจุบันหลักฐานสลิปอาจต้องให้ผู้ดูแลตรวจด้วยตนเอง การเชื่อมต่อผู้ให้บริการเติมเกมจริงและการตรวจ webhook จะเปิดใช้ได้ต่อเมื่อมีเอกสาร API และการตรวจลายเซ็นที่ผ่านการทดสอบแล้ว

7. การบันทึกเหตุการณ์และการเฝ้าระวัง

ระบบอาจบันทึกเหตุการณ์ที่จำเป็น เช่น การเปลี่ยนสถานะออเดอร์ การเข้าสู่ระบบผู้ดูแล และข้อผิดพลาดของบริการ เพื่อแก้ปัญหาและตรวจสอบการใช้งานผิดปกติ ผู้ดูแลควรจำกัดคนที่เปิดดู log และไม่แนบข้อมูลลูกค้าหรือคีย์ลับในรายงานปัญหา

8. การสำรองและระยะเวลาเก็บรักษา

การสำรองข้อมูลขึ้นอยู่กับการตั้งค่าของผู้ให้บริการโฮสต์และผู้ดูแลระบบ ขณะนี้ยังไม่ได้ประกาศรอบสำรองหรือกำหนดลบข้อมูลอัตโนมัติอย่างเป็นทางการ จึงต้องกำหนดผู้รับผิดชอบ รอบทดสอบการกู้คืน และอายุการเก็บก่อนเปิดให้บริการจริง

9. ผู้ให้บริการภายนอก

ระบบอาจใช้ผู้ให้บริการโฮสต์ ฐานข้อมูล SMS หรือผู้ให้บริการเกมภายนอกเท่าที่จำเป็น หากมีการเชื่อมต่อ Hubzell หรือผู้ให้บริการรายอื่น ข้อมูล UID/แพ็กเกจที่จำเป็นต่อการเติมจะถูกส่งให้ผู้ให้บริการนั้นตามเงื่อนไขและเอกสารของบริการ การเชื่อมต่อจริงยังอยู่ระหว่างเตรียมการ

10. การแจ้งเหตุด้านความปลอดภัย

หากพบการเข้าถึงผิดปกติ การรั่วไหล หรือการใช้ข้อมูลโดยไม่ได้รับอนุญาต โปรดแจ้ง LINE @745mryed พร้อมเวลาที่พบ หมายเลขออเดอร์ (ถ้ามี) และรายละเอียดเท่าที่จำเป็น กรุณาอย่าส่งรหัสผ่าน API, OTP หรือข้อมูลบัตร/บัญชีเต็มจำนวน เราจะตรวจสอบ จำกัดผลกระทบ และแจ้งผู้ได้รับผลกระทบหรือหน่วยงานที่เกี่ยวข้องเมื่อกฎหมายกำหนด

11. หน้าที่ของผู้ใช้

• เก็บหมายเลขออเดอร์และข้อมูลบัญชีเกมของตนเอง ไม่เผยแพร่สลิปต่อสาธารณะ
• ตรวจสอบ UID/Server และข้อมูลการชำระเงินก่อนยืนยัน
• แจ้งร้านทันทีเมื่อพบการใช้งานหรือข้อมูลที่ไม่รู้จัก

12. การปรับปรุงนโยบาย

เราอาจแก้ไขนโยบายเมื่อระบบหรือผู้ให้บริการเปลี่ยนแปลง โดยระบุวันที่แก้ไขไว้บนหน้านี้ การเปลี่ยนแปลงสาระสำคัญจะแจ้งผ่านเว็บไซต์หรือช่องทางติดต่อของร้าน