บนเว็บไซต์นี้
เราเป็นผู้ควบคุมข้อมูลส่วนบุคคล
เมื่อคุณติดต่อเรา บริษัท เวสเปอร์เวิร์ค จำกัด เป็นผู้กำหนดวิธีใช้ข้อมูลนั้น ประกาศความเป็นส่วนตัวของเราอธิบายไว้ชัดเจนว่าเก็บข้อมูลอะไร และเก็บนานเท่าไร
อ่านประกาศความเป็นส่วนตัวความปลอดภัย
เก็บข้อมูลให้น้อย และดูแลอย่างรอบคอบ
ซอฟต์แวร์ที่เราสร้างเกี่ยวข้องกับข้อมูลของคลินิกและคนไข้ หน้านี้อธิบายวิธีดูแลข้อมูลเหล่านั้น และช่องทางแจ้งปัญหาด้านความปลอดภัย
ปัจจุบันเรายังไม่มีใบรับรองด้านความปลอดภัย ข้อมูลด้านล่างอธิบายแนวปฏิบัติที่เราใช้ในการทำงาน
วิธีทำงานของเรา
แนวปฏิบัติด้านความปลอดภัยหกข้อ
-
เก็บเท่าที่จำเป็น
ทุกระบบเริ่มจากคำถามว่าต้องใช้ข้อมูลอะไรจริงๆ เว็บไซต์ของเราเองไม่มีฐานข้อมูลเก็บข้อความจากฟอร์มติดต่อ ข้อความของคุณจะถูกส่งเป็นอีเมลเท่านั้น ส่วนระบบที่เราสร้างให้ลูกค้า เราตกลงระยะเวลาเก็บข้อมูลกันตั้งแต่ก่อนเปิดใช้งาน
-
เข้ารหัสระหว่างส่งข้อมูล
ทุกการเชื่อมต่อกับเว็บไซต์ของเราและระบบที่เราสร้างใช้ HTTPS (TLS) พร้อม HSTS เพื่อไม่ให้เบราว์เซอร์ถอยกลับไปใช้ HTTP แบบไม่เข้ารหัส ส่วนข้อมูลที่จัดเก็บกับผู้ให้บริการคลาวด์ ผู้ให้บริการเหล่านั้นเข้ารหัสไว้ขณะจัดเก็บ
-
ให้สิทธิ์เฉพาะคนที่ต้องใช้
ในระบบที่เราสร้างตามโจทย์ สิทธิ์เข้าถึงเป็นของแต่ละคน ไม่มีบัญชีใช้ร่วมกัน และให้เฉพาะคนที่ทำงานกับระบบนั้น ทุกบัญชีใช้การยืนยันตัวตนหลายขั้นตอน (MFA) และเมื่องานจบ สิทธิ์ก็จบตาม
-
รหัสลับไม่อยู่ในโค้ด
API key และรหัสผ่านต่างๆ เก็บไว้ในระบบจัดการรหัสลับของแพลตฟอร์ม ไม่อยู่ในซอร์สโค้ด แชต หรืออีเมล เราเปลี่ยนรหัสใหม่ทุกครั้งที่มีการเปลี่ยนคนหรือผู้ให้บริการ และมีขั้นตอนเขียนไว้ชัดเจน
-
บันทึกระบบโดยไม่เก็บเนื้อหา
บันทึกระบบ (log) ของเราบอกว่ามีเหตุการณ์อะไรเกิดขึ้น แต่ไม่บันทึกว่าใครพูดอะไร เนื้อหาข้อความ ข้อมูลติดต่อ และข้อมูลคนไข้ จะไม่ถูกเขียนลงใน log หรือรายงานข้อผิดพลาด ส่วนบันทึกบทสนทนาที่ผลิตภัณฑ์เก็บไว้ให้คลินิก จะอยู่ในฐานข้อมูลที่เราดูแลแทนคลินิกและควบคุมสิทธิ์การเข้าถึง แยกจาก log และเก็บตามระยะเวลาที่คลินิกตกลง
-
เลือกใช้ผู้ให้บริการเท่าที่จำเป็น
เราเลือกใช้ผู้ให้บริการที่มีชื่อเสียงจำนวนไม่มาก ที่เปิดเผยแนวทางด้านความปลอดภัยและมีข้อตกลงการประมวลผลข้อมูลชัดเจน และแจ้งให้คุณทราบทุกรายก่อนระบบเปิดใช้งาน เราไม่นำข้อมูลของลูกค้าไปฝึกโมเดล AI
PDPA
ออกแบบตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล
ข้อมูลทุกช่องที่เราเก็บมีวัตถุประสงค์ มีฐานทางกฎหมาย และมีระยะเวลาเก็บที่กำหนดไว้ และทุกระบบมีช่องทางรองรับคำขอใช้สิทธิของเจ้าของข้อมูล
ในระบบที่เราสร้างให้คุณ
คุณเป็นผู้ควบคุมข้อมูลส่วนบุคคล
คลินิกหรือธุรกิจของคุณเป็นผู้กำหนดวัตถุประสงค์ในการประมวลผลข้อมูลคนไข้และลูกค้า เราทำหน้าที่เป็นผู้ประมวลผลข้อมูลตามข้อตกลงเป็นลายลักษณ์อักษร ทำตามคำสั่งของคุณ และช่วยให้คุณปฏิบัติตามหน้าที่ตามกฎหมาย
การส่งมอบ
เมื่อส่งมอบงาน คุณเป็นเจ้าของระบบและสิทธิ์เข้าถึงทั้งหมด
ระบบที่เราพัฒนาเฉพาะให้คุณออกแบบมาให้คุณเป็นเจ้าของ เมื่อส่งมอบงาน คุณจะได้รับสิ่งต่อไปนี้
- ซอร์สโค้ดพร้อมประวัติการแก้ไขทั้งหมด ในคลังโค้ดภายใต้บัญชีของคุณ
- บัญชีคลาวด์ โดเมน และ API key ที่จดทะเบียนในชื่อคุณ และเรียกเก็บเงินในชื่อคุณ
- ข้อมูลของคุณในรูปแบบไฟล์มาตรฐานที่เปิดได้ทั่วไป พร้อมสคริปต์สำหรับส่งออกข้อมูล
- เอกสารประกอบระบบ ทั้งโครงสร้างระบบ คู่มือการดูแล และวิธีเปลี่ยนรหัสลับทุกตัว
- การยกเลิกสิทธิ์เข้าถึงของเราในวันที่คุณกำหนด พร้อมยืนยันเป็นลายลักษณ์อักษร
การแจ้งช่องโหว่
พบจุดอ่อน แจ้งเราได้เลย
หากคุณเชื่อว่าพบปัญหาด้านความปลอดภัยในเว็บไซต์ของเรา หรือในระบบที่เราดูแล โปรดแจ้งเราเป็นการส่วนตัว
วิธีแจ้ง
contactส่งอีเมลถึงเราโดยใช้หัวเรื่อง “Security report” และขอให้ใส่ข้อมูลส่วนบุคคลหรือข้อมูลคนไข้เท่าที่จำเป็นต่อการแสดงปัญหาเท่านั้น
ข้อมูลติดต่อสำหรับเครื่องมืออัตโนมัติ /.well-known/security.txt
ข้อมูลที่ควรแนบมา
- URL ระบบ หรือส่วนประกอบที่ได้รับผลกระทบ
- ขั้นตอนที่ทำให้พบปัญหาซ้ำ พร้อมข้อมูลคำขอ (request) หรือภาพหน้าจอ
- ผลกระทบที่คุณคิดว่าอาจเกิดขึ้น
- ช่องทางติดต่อกลับ และคุณต้องการให้เราระบุชื่อเป็นเครดิตหรือไม่
ขั้นตอนหลังจากนั้น
- เราตอบรับรายงานภายใน 5 วันทำการ
- เราแจ้งความคืบหน้าระหว่างตรวจสอบและแก้ไข
- เราแจ้งเมื่อแก้ไขเสร็จ และระบุชื่อคุณเป็นเครดิตหากคุณอนุญาต
เราไม่มีโครงการจ่ายรางวัลสำหรับการแจ้งช่องโหว่ (bug bounty)
การคุ้มครองผู้วิจัยโดยสุจริต
หากคุณดำเนินการโดยสุจริตตามนโยบายนี้ เราจะไม่ดำเนินคดีหรือแจ้งความต่อเจ้าหน้าที่เกี่ยวกับการทดสอบของคุณ การกระทำโดยสุจริตหมายถึง คุณหลีกเลี่ยงการละเมิดความเป็นส่วนตัว การทำลายข้อมูล และการทำให้บริการหยุดชะงัก เข้าถึงข้อมูลเท่าที่จำเป็นต่อการแสดงปัญหาและหยุดทันทีเมื่อพบข้อมูลส่วนบุคคล และให้เวลาเราแก้ไขอย่างสมเหตุสมผลก่อนเปิดเผยต่อสาธารณะ
สิ่งที่อยู่นอกขอบเขต
- การโจมตีให้ระบบหยุดให้บริการ (DoS) หรือการทดสอบรับโหลด
- การหลอกให้บุคคลเปิดเผยข้อมูลหรือกระทำการบางอย่าง (social engineering) หรือฟิชชิงที่มุ่งเป้าไปที่ Vesperwerk หรือลูกค้าของเรา
- การโจมตีทางกายภาพต่อสำนักงานหรืออุปกรณ์
- ผลจากเครื่องมือสแกนอัตโนมัติที่ไม่ได้แสดงปัญหาจริง
- การขาด header หรือการตั้งค่าอีเมล โดยไม่มีวิธีโจมตีที่ใช้ได้จริง
- Clickjacking บนหน้าที่ไม่มีการกระทำที่อ่อนไหว
- บริการของผู้ให้บริการภายนอก ให้แจ้งผู้ให้บริการรายนั้นโดยตรง
- ระบบที่ลูกค้าของเราเป็นเจ้าของ ให้แจ้งลูกค้ารายนั้นโดยตรง
มีคำถามเรื่องความปลอดภัยของโปรเจกต์
ถามเราได้ก่อนตัดสินใจ เราพร้อมอธิบายว่าระบบจัดการข้อมูลของคุณอย่างไร
ติดต่อเรา