漏洞防护措施
- 表单使用 CSRF token，并将 session cookie 设为 HttpOnly/SameSite
- 添加 CSP、X-Frame-Options、Referrer-Policy 和 Permissions-Policy，以减少 XSS、clickjacking 及 referrer 泄露
- 公开页面不加载第三方字体/脚本，减少不必要的对外数据传输
- 建议启用 MFA、进行加密备份，并按 MA（维护）周期测试 restore
本文为译文。如有任何歧义，以泰语版本为准。
安全、PDPA 与 Cookie 治理安全与个人数据保护
Office.in.th 的系统设计遵循以下原则：仅收集必要的数据、按角色分离权限、保留可供审计的使用记录，并依照泰国 PDPA 的指引，让用户能够明确控制非必要 Cookie。
HTTPS
强制通过 TLS 访问，并启用 security headers
RBAC
管控 Admin 与 Customer Portal 的权限
PDPA
支持访问、更正、删除及撤回同意的请求
本网站的 Cookie 状态
必要 Cookie： 用于 session、CSRF 及登录，不用于广告。
分析/营销 Cookie： 默认关闭，仅在用户给予同意后才会启用。
可随时改变主意： 网站底部的“Cookie 设置”按钮可让您随时修改或撤回同意。
系统支持的 PDPA 原则
- 通过 Demo/报价/Support 表单收集数据前告知目的
- 仅收集销售、安装、开具会计单据及售后服务所必需的数据
- 按用户角色限制数据访问权限，并记录 audit log
- 支持通过下方联系渠道提出的访问、更正、删除、限制使用、反对及撤回同意请求
泰国 Cookie 政策
- 必要 Cookie 始终启用，以保证网站正常运行并防止请求伪造
- 分析和营销 Cookie 须在启用前获得明确同意
- “拒绝”与“全部接受”选项所需的操作量相近，以减少 dark pattern
- 撤回同意必须简便，撤回同意后系统将不再加载附加脚本
收集的数据及原因
本表为面向网站用户、客户及项目协调人的简要 privacy notice。实际数据可能因各机构的合同及所安装的系统而有所变化。
联系信息
姓名、单位、职位、电话、电子邮件、府
回复联系、报价、预约 Demo 及跟进销售
商务单据信息
纳税人识别号、地址、报价单、账单、收据
按照合同、税务及会计要求开具单据
售后服务信息
License、Ticket、附件、问题处理记录
提供 Support、Warranty 及 MA 服务
技术信息
IP、访问时间、user agent、audit log
维护安全、排查异常情况及防范攻击
数据主体行使权利的渠道
数据主体可申请访问、获取副本、更正、删除、限制使用、反对处理或撤回同意，提交请求时仅需附上必要的身份验证信息。
法律说明
本页面为系统的实践准则及 privacy notice，并非针对具体个案的法律意见。在用于合同用途或作为机构的正式公告之前，应请法律专家/个人数据保护官再次审阅措辞。
保存期限
按照目的、合同、税务、会计及必要的争议处理需要保存数据
数据传输
除非服务需要或法律要求，否则不会将数据传出系统或提供给第三方