นโยบายความเป็นส่วนตัว

account_circle บัญชีผู้ใช้ (เข้าสู่ระบบด้วย Google)

เราขอสิทธิ์จาก Google แค่ชุดพื้นฐานที่สุด (openid email profile) และสิ่งที่เราหยิบมาใช้จริงมีสี่อย่าง: รหัสประจำตัวบัญชี (ค่าที่ Google ใช้ระบุว่าเป็นคุณ) อีเมล ชื่อที่แสดง และรูปโปรไฟล์ — ไม่ได้ขอสิทธิ์เข้าถึง Gmail, Google Drive, ปฏิทิน รายชื่อผู้ติดต่อ หรืออะไรก็ตามนอกเหนือจากสี่อย่างข้างต้น และเข้าถึงไม่ได้แม้จะอยากทำ เพราะไม่ได้ขอสิทธิ์นั้นไว้ตั้งแต่แรก

สิ่งที่บันทึกลงฐานข้อมูลของเราคือ อีเมล ชื่อที่แสดง สถานะบัญชี (เลี้ยงกาแฟแล้วหรือยัง) บทบาทในระบบ ยอดเครดิตคงเหลือกับวันที่เติมล่าสุด วันที่สร้างบัญชี วันที่เข้าสู่ระบบครั้งล่าสุด รหัสประจำตัวบัญชี Google ที่ใช้จับคู่ว่าเป็นคุณคนเดิม และเรื่องรูปโปรไฟล์อีกสองช่องคือ นามสกุลไฟล์รูปกับเวลาที่เราลองไปดึงรูปครั้งล่าสุด (บันทึกทุกครั้งที่ลอง ไม่ว่าจะได้รูปหรือไม่ได้ เพื่อไม่ให้ต้องยิงไปหา Google ซ้ำโดยเปล่าประโยชน์) — ไม่มีช่องไหนในฐานข้อมูลเก็บที่อยู่รูป (URL) ของ Google เลย ตัวไฟล์รูปอยู่บนดิสก์ของเรา ไม่ได้อยู่ในฐานข้อมูล

เก็บไว้จนกว่าคุณจะขอให้ลบ — บัญชีไม่มีวันหมดอายุเอง เพราะถ้าลบทิ้งเงียบ ๆ คุณจะเข้าเว็บครั้งหน้าแล้วไม่เจอประวัติของตัวเอง รูปโปรไฟล์อายุเท่ากับบัญชี และถูกลบไปพร้อมกันเมื่อคุณขอให้ลบบัญชี

imagesmode รูปโปรไฟล์ — เราคัดลอกมาไว้ที่เรา ไม่ได้ลิงก์ไปหา Google

ตอนคุณเข้าสู่ระบบ เซิร์ฟเวอร์ของเรา (ไม่ใช่เบราว์เซอร์ของคุณ) ดาวน์โหลดรูปโปรไฟล์จาก Google มาหนึ่งครั้ง แล้วย่อเป็นรูปจัตุรัส 128 × 128 จุด และเข้ารหัสไฟล์ขึ้นใหม่ทั้งไฟล์ การเข้ารหัสใหม่เหลือไว้เฉพาะเนื้อภาพ — ข้อมูลแฝงที่ติดมากับไฟล์เดิม เช่น EXIF ซึ่งอาจมีพิกัดสถานที่ ถูกทิ้งไปทั้งหมด

เบราว์เซอร์ของคุณไม่เคยติดต่อ Google เพื่อโหลดรูปนี้ หน้าเว็บชี้ไปที่ /me/avatar ซึ่งเป็นที่อยู่บนโดเมนของเราเอง เราไม่ได้ฝังที่อยู่รูปของ googleusercontent.com ไว้ที่ไหนบนหน้าเว็บเลย Google จึงไม่มีทางรู้ว่าคุณเปิดหน้าไหนของเว็บนี้เมื่อไหร่ นี่คือเหตุผลเดียวกับที่ฟอนต์ทุกตัวบนเว็บนี้ถูกคัดลอกมาไว้ที่เรา แทนการโหลดจากเซิร์ฟเวอร์ของ Google — และกฎ CSP ของเว็บ ซึ่งอนุญาตให้โหลดรูป ได้จากโดเมนของเราเองกับรูปที่สร้างขึ้นในเครื่องคุณเท่านั้น ไม่มีโดเมนภายนอกสักโดเมน เป็นตัวบังคับข้อนี้ที่ระดับเบราว์เซอร์ ไม่ใช่แค่คำสัญญาบนหน้าเว็บ

หลังครั้งแรกแล้ว เราไม่ได้ไปดึงรูปใหม่ทุกครั้งที่คุณเข้าสู่ระบบ — ตามกำหนดปกติจะดึงซ้ำอย่างมากเดือนละครั้ง เพื่อให้รูปตามของจริง (ถ้าครั้งก่อนไม่ได้รูป เช่น บัญชี Google ของคุณไม่มีรูป หรือเน็ตสะดุด จะลองใหม่เร็วสุดวันละครั้ง)

มีอีกหนึ่งจังหวะที่ไม่มีกำหนดเวลามากั้นเลย — ขอบอกตรง ๆ ไว้ตรงนี้: ถ้าไฟล์รูปของคุณหายไปจากดิสก์ของเรา (เกิดได้จริงหลังกู้เครื่องใหม่ เพราะเราตั้งใจไม่เอาไฟล์รูปเข้าสายสำรองข้อมูล การสำรองไว้อีกที่หนึ่งแปลว่าลบบัญชีแล้วภาพใบหน้าของคุณยังเหลืออยู่) การเข้าสู่ระบบครั้งถัดไปจะไปดึงรูปมาใหม่ทันที ไม่รอให้ครบกำหนดข้างบน และถ้าไฟล์หายซ้ำอีกกี่ครั้ง ก็ดึงใหม่อีกเท่านั้นครั้ง เพราะจุดประสงค์คือให้ระบบซ่อมตัวเอง แทนที่จะปล่อยให้คุณเห็นแค่ตัวอักษรย่อไปอีกเดือนหนึ่งทั้งที่บัญชี Google ของคุณมีรูปอยู่ · นอกจากสามจังหวะนี้ เราไม่ติดต่อ Google เรื่องรูปของคุณอีกเลย

ไฟล์รูปเก็บแยกคนละที่กับไฟล์ที่คุณอัปโหลดมาใช้เครื่องมือ จึงไม่ถูกตัวลบไฟล์ 1 ชั่วโมงกวาดไปด้วย และอยู่จนกว่าคุณจะขอให้ลบบัญชี ถ้าไม่มีรูป หรือดึงรูปไม่สำเร็จ เว็บจะแสดงอักษรตัวแรกของชื่อคุณแทน และการดึงรูปไม่สำเร็จไม่เคยทำให้คุณเข้าสู่ระบบไม่ได้

upload_file ไฟล์ที่คุณอัปโหลด

เก็บไว้เพื่อประมวลผลและให้คุณดาวน์โหลดผลลัพธ์เท่านั้น ลบอัตโนมัติภายใน 1 ชั่วโมง — ระบบลบไฟล์หมดอายุ (purge) ทำงานทุก 10 นาที ไม่มีขั้นตอนใดที่มนุษย์เข้าถึงเนื้อหาไฟล์

ข้อยกเว้นเดียว ซึ่งคุณเป็นคนเลือกเอง: ผู้ที่เลี้ยงกาแฟแล้วสามารถติ๊กให้ผลลัพธ์ของงานชิ้นนั้นอยู่ได้ถึง 24 ชั่วโมง แทน 1 ชั่วโมง — ค่าตั้งต้นของทุกคนยังเป็น 1 ชั่วโมงเหมือนเดิม ไม่ติ๊กก็ไม่มีอะไรเปลี่ยน และไฟล์ต้นทางที่คุณอัปโหลดขึ้นมาถูกลบใน 1 ชั่วโมงเสมอทุกกรณี ตัวเลือกนี้ยืดอายุเฉพาะไฟล์ผลลัพธ์เท่านั้น

receipt_long บันทึกงาน

ชื่อเครื่องมือที่ใช้ ชื่อไฟล์ ขนาดไฟล์ สถานะของงาน (สำเร็จ/ล้มเหลว) รหัสข้อผิดพลาดเมื่อทำงานไม่สำเร็จ และเวลาที่ใช้ทำงาน — ผูกกับบัญชีของคุณ เพราะเครื่องมือฝั่งเซิร์ฟเวอร์ต้องเข้าสู่ระบบก่อนใช้ทุกตัว เก็บไว้ 90 วัน แล้วถูกลบออกจากฐานข้อมูล เพื่อแก้ปัญหาการใช้งานและปรับปรุงบริการ — ไม่รวมเนื้อหาไฟล์ ซึ่งถูกลบไปแล้วภายใน 1 ชั่วโมง

ตัวลบทำงานวันละครั้งตอนตีสามสามสิบเจ็ดนาทีเวลาไทย ไม่ได้ลบทันทีที่ครบกำหนด บันทึกงานที่ครบ 90 วันตอนกลางวันจึงรอถึงรอบของคืนถัดไป อายุจริงที่นานที่สุดจึงเป็นเกือบ 91 วัน ไม่ใช่ 90 วันเป๊ะ ๆ

รวมถึงค่าที่คุณกรอกในฟอร์มของเครื่องมือนั้นด้วย (เช่น มุมที่หมุน คุณภาพที่เลือก ข้อความที่พิมพ์ลงบนเอกสาร) เพราะระบบต้องใช้ค่าเหล่านี้ ตอนประมวลผล — เก็บนานเท่ากับบันทึกงาน ยกเว้นค่าที่เป็นความลับ เช่น รหัสผ่านที่ใช้ล็อกไฟล์ PDF ซึ่งถูกลบทิ้งทันทีที่งานทำเสร็จ ไม่ได้เก็บไว้ต่อแม้แต่นาทีเดียว

fingerprint หมายเลข IP และโควตา

ในฐานข้อมูลของเราไม่เก็บ IP ดิบ — ที่ใดต้องอ้างถึงเครื่องของคุณ ระบบแปลง IP เป็นค่า hash ผสมค่าลับ (pepper) ก่อนบันทึก ซึ่งย้อนกลับเป็น IP เดิมไม่ได้

ส่วนเครดิตการใช้งานนับตามบัญชีของคุณ ไม่ใช่ตามหมายเลข IP สิ่งที่เก็บมีสองช่องเท่านั้นคือ ยอดเครดิตคงเหลือ กับวันที่เติมให้ครั้งล่าสุด เป็นตัวเลขและวันที่ล้วน ๆ ไม่ผูกกับชื่อไฟล์ เนื้อหางาน หรือเครื่องมือที่คุณใช้

เราไม่ได้ตั้งงานเบื้องหลังไล่เติมเครดิตให้ทุกบัญชีทุกวัน — ระบบคิดตอนคุณมาใช้จริงว่าผ่านมากี่วันตั้งแต่ครั้งล่าสุด แล้วเติมให้ครั้งเดียวตรงนั้น (วันละ 5 สะสมได้ถึง 15 · ผู้ที่เลี้ยงกาแฟแล้ววันละ 1000) แปลว่าบัญชีที่ไม่ได้เข้ามาใช้ ไม่ถูกแตะต้องเลย และเราไม่มีบันทึกว่าคุณเข้ามาวันไหนบ้างจากกลไกนี้

ข้อยกเว้นที่ต้องบอกตรง ๆ: เว็บเซิร์ฟเวอร์ (nginx) เขียน log การเข้าถึงตามค่ามาตรฐาน ซึ่ง log นั้นมีหมายเลข IP อยู่ด้วย เราใช้ดูแลระบบและตรวจสอบการโจมตีเท่านั้น และมันถูกลบไปตามรอบหมุน log ของเครื่อง

forum เมื่อคุณส่งข้อความหาเรา

ท้ายหน้าเครื่องมือทุกตัวมีช่องให้แจ้งปัญหาหรือเสนอสิ่งที่อยากให้เพิ่ม ถ้าคุณกดส่ง เราจะเก็บ ข้อความที่คุณพิมพ์ ชื่อเครื่องมือที่คุณอยู่ตอนนั้น บัญชีของคุณ (เพื่อให้รู้ว่าใครเจอปัญหา และเพื่อกันข้อความอัตโนมัติ โดยไม่ต้องมีปริศนาให้คุณกดยืนยันว่าเป็นมนุษย์) และเวลาที่ส่ง

เราเก็บชื่อเบราว์เซอร์กับระบบปฏิบัติการแบบย่อไปด้วย เช่น "Chrome 120 / Windows" เพราะเครื่องมือส่วนใหญ่ของเราทำงานในเบราว์เซอร์ของคุณ ปัญหาจึงมักขึ้นกับว่าใช้เบราว์เซอร์อะไร — ไม่ใช่ User-Agent ฉบับเต็ม ซึ่งละเอียดพอจะใช้ระบุเครื่องได้ และไม่มีหมายเลข IP ค่านี้ถูกแสดงให้คุณเห็นในฟอร์มก่อนกดส่ง ไม่ได้เก็บลับหลัง

เก็บไว้จนกว่าคุณจะขอให้ลบ และถูกลบไปพร้อมกัน เมื่อคุณขอลบบัญชี — เราเก็บไว้เพื่อไล่แก้ปัญหาและดูว่าควรทำอะไรต่อ ไม่ได้เอาไปใช้ทำการตลาด และไม่ส่งต่อให้ใคร ข้อความของคุณถูกอ่านโดยผู้ดูแลเว็บซึ่งเป็นคนคนเดียว

lock คุกกี้และเซสชัน

เราใช้คุกกี้เท่าที่ระบบต้องใช้จริงสองตัว: คุกกี้เซสชันที่เก็บเพียง รหัสสุ่มที่ไม่มีความหมายในตัวเอง (ข้อมูลตัวจริงอยู่ฝั่งเซิร์ฟเวอร์ อายุ 7 วัน ลบทันทีเมื่อกดออกจากระบบ) และคุกกี้ระหว่างขั้นตอนเข้าสู่ระบบกับ Google ที่มีอายุ 10 นาทีแล้วถูกลบทิ้ง

ไม่มีคุกกี้ติดตามโฆษณา ไม่มี Google Analytics และไม่มีสคริปต์จากเว็บอื่นบนหน้าเว็บของเราเลย จึงไม่มีแบนเนอร์ขอความยินยอมคุกกี้ให้กด

monitoring สถิติรวมรายวัน

ทุกวันระบบสรุปตัวเลขรวมต่อเครื่องมือ — จำนวนงาน จำนวนที่สำเร็จ/ล้มเหลว และจำนวนผู้ใช้ที่ไม่ซ้ำกัน — เก็บไว้เพื่อดูว่าเครื่องมือไหนมีคนใช้จริง ตารางสรุปนี้ไม่มีอีเมล ไม่มีชื่อ ไม่มีชื่อไฟล์ และไม่มีค่า hash ของ IP เป็นตัวเลขนับล้วน ๆ จึงเก็บต่อได้แม้บันทึกงานรายชิ้นถูกลบไปแล้ว

history ประวัติว่าคุณใช้เครื่องมือตัวไหน

เมื่อคุณกดใช้เครื่องมือ เราบันทึกไว้สามช่องเท่านั้นคือ บัญชีของคุณ ชื่อเครื่องมือ และเวลาที่ใช้ เพื่อให้หน้าแรกพาคุณกลับไปทำงานที่ค้างไว้ต่อได้ และเพื่อให้เรารู้ว่าควรพัฒนาเครื่องมือตัวไหนต่อ

ไม่มีชื่อไฟล์ ไม่มีเนื้อหาไฟล์ ไม่มีค่าที่คุณกรอกในฟอร์ม และไม่มีหมายเลข IP — บันทึกนี้บอกได้แค่ว่าคุณเปิดใช้เครื่องมือตัวนั้น ไม่ได้บอกว่าคุณทำอะไรกับมัน

เก็บไม่เกิน 180 วันแล้วระบบลบให้เอง และถูกลบไปทั้งหมดเมื่อคุณขอลบบัญชี · ล้างเองได้ทุกเมื่อ ด้วยปุ่ม “ล้างประวัติ” ที่หน้าแรกตอนล็อกอินแล้ว หรือที่หน้าตั้งค่าบัญชี — กดแล้วหายทันที ไม่ต้องรอใครมาทำให้

calculate เครื่องมือคำนวณ

เครื่องมือคำนวณ เช่น คำนวณภาษี ทำงานแบบคำนวณแล้วตอบกลับทันที ไม่บันทึกตัวเลขหรือข้อมูลที่คุณกรอกลงฐานข้อมูลใด ๆ — สิ่งเดียวที่ถูกบันทึกคือชื่อเครื่องมือกับเวลาที่ใช้ ตามที่เขียนไว้ในการ์ด “ประวัติว่าคุณใช้เครื่องมือตัวไหน” ข้างบน ไม่ใช่ตัวเลขที่คุณกรอกหรือคำตอบที่ได้

shield เครื่องมือที่ไม่ส่งอะไรออกเลย

เครื่องมือ 137 ตัวจากทั้งหมด 196 ตัว ทำงานในเบราว์เซอร์ของคุณล้วน ๆ ไฟล์และข้อความไม่เคยออกจากเครื่องคุณ เราจึงไม่มีทางเห็นแม้แต่ชื่อไฟล์ หน้าของเครื่องมือแต่ละตัวระบุไว้ชัดว่าเป็นแบบไหน

แต่ต้องบอกให้ครบ: เครื่องมือกลุ่มนี้แจ้งกลับมาที่เราหนึ่งครั้ง ตอนคุณกดใช้ เพื่อหักเครดิตของบัญชีคุณ — ที่ส่งมามีแค่ชื่อเครื่องมือ ไม่มีไฟล์ ไม่มีชื่อไฟล์ และไม่มีเนื้อหาใด ๆ และนั่นคือจังหวะเดียวกับที่เราจดประวัติการใช้ ตามการ์ดข้างบน · ถ้าคุณใช้ตอนออฟไลน์ เครื่องมือยังทำงานได้ตามปกติและเราไม่รู้เลย

เซิร์ฟเวอร์ที่เก็บข้อมูล

เซิร์ฟเวอร์ของเราโฮสต์กับ DigitalOcean (ศูนย์ข้อมูลสิงคโปร์) ซึ่งทำหน้าที่เป็นผู้ให้บริการโครงสร้างพื้นฐานเท่านั้น ไฟล์และข้อมูลทั้งหมดถูกประมวลผลบนเซิร์ฟเวอร์ของเราเอง ไม่มีการส่งเนื้อหาไฟล์ไปยังบริการภายนอกอื่นใด

Google (เฉพาะตอนเข้าสู่ระบบ)

การกดเข้าสู่ระบบด้วยบัญชี Google ทำให้ Google รู้ว่าคุณใช้เว็บนี้ และเว็บของเราคุยกับเซิร์ฟเวอร์ของ Google เพื่อยืนยันตัวตนคุณ การประมวลผลข้อมูลฝั่ง Google อยู่ภายใต้นโยบายของ Google เอง (policies.google.com/privacy) ซึ่งเราไม่มีอำนาจควบคุม

ตอนคุณกดเข้าสู่ระบบมีสามขั้น และไม่ได้เกิดที่เดียวกันทั้งหมด: ขั้นแรกคือขออนุญาต — เบราว์เซอร์ของคุณเป็นตัววิ่งไปที่ accounts.google.com เอง (เราแค่ส่งคุณไปด้วยการ redirect) และต้องเป็นแบบนั้น เพราะรหัสผ่าน Google ของคุณ ต้องไม่ผ่านมือเราเลยแม้แต่ครั้งเดียว · อีกสองขั้นคือยืนยันตัวตนคุณกับ Google และดาวน์โหลดรูปโปรไฟล์มาเก็บไว้ที่เรา ซึ่งสองขั้นนี้เกิดที่เซิร์ฟเวอร์ของเรา ไม่ใช่ที่เบราว์เซอร์ของคุณ

หลังเข้าสู่ระบบเสร็จแล้ว ระหว่างที่คุณกดใช้งานหน้าต่าง ๆ ของเว็บนี้ ไม่มี request วิ่งไปหา Google แม้แต่ครั้งเดียว ไม่ว่าจะเป็นรูป ฟอนต์ สคริปต์ หรือสถิติ

คุณถอนสิทธิ์ที่ให้ไว้กับเว็บนี้ได้ตลอดเวลาที่ หน้าจัดการสิทธิ์ของบัญชี Google — หลังจากนั้นคุณจะเข้าสู่ระบบไม่ได้ แต่บัญชีในระบบเรายังอยู่จนกว่าจะขอให้ลบ

savings Stripe (เฉพาะตอนเลี้ยงกาแฟ)

ถ้าคุณเลือกเลี้ยงกาแฟ เบราว์เซอร์ของคุณถูกส่งออกไปที่หน้าชำระเงิน ของ Stripe ซึ่งเป็นผู้ให้บริการรับชำระเงิน — คุณกรอกเลขบัตรบนหน้าของ Stripe ไม่ใช่บนเว็บนี้

เราไม่เคยเห็นเลขบัตร วันหมดอายุ หรือรหัสหลังบัตรของคุณเลย แม้แต่ครั้งเดียว และไม่มีช่องไหนในฐานข้อมูลของเราที่เก็บของพวกนั้นได้ สิ่งที่เราเก็บคือรหัสอ้างอิงรายการจ่ายที่ Stripe ออกให้ จำนวนเงิน สกุลเงิน สถานะว่าจ่ายสำเร็จหรือไม่ และเวลาที่จ่าย — เก็บไว้เพื่อยืนยันว่าคุณเลี้ยงกาแฟแล้วจริง และเพื่อออกหลักฐานให้ตอนคุณขอคืนเงิน

Stripe เห็นข้อมูลการจ่ายของคุณตามที่จำเป็นต่อการรับเงิน (เลขบัตร ชื่อบนบัตร อีเมล ประเทศ) และประมวลผลภายใต้นโยบายของ Stripe เอง ซึ่งเราไม่มีอำนาจควบคุม · การจ่ายเงินอาจทำให้ข้อมูลถูกส่งออกนอกประเทศไทย ตามที่ผู้ให้บริการรับชำระเงินระดับสากลทำงาน

ถ้าคุณไม่เคยกดเลี้ยงกาแฟ เบราว์เซอร์ของคุณไม่เคยติดต่อ Stripe เลยแม้แต่ครั้งเดียว — เว็บนี้ไม่ได้ฝังสคริปต์ของ Stripe ไว้บนหน้าไหนทั้งสิ้น เงื่อนไขการคืนเงินอยู่ที่เงื่อนไขการใช้บริการ ข้อ 5