นโยบายความเป็นส่วนตัว
ฉบับที่ 1.2 · มีผลบังคับใช้ตั้งแต่วันที่ 10 ตุลาคม 2026
นโยบายนี้อธิบายว่าผู้ให้บริการแอปพลิเคชัน SAINT ("ผู้ให้บริการ" "เรา") เก็บ ใช้ เปิดเผย และคุ้มครองข้อมูลส่วนบุคคลของคุณอย่างไร เมื่อคุณใช้แอป SAINT บน iOS และ Android รวมถึงบริการที่เกี่ยวข้อง ("บริการ") นโยบายนี้จัดทำขึ้นตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) ผู้ให้บริการเป็นผู้ควบคุมข้อมูลส่วนบุคคลของข้อมูลที่เก็บผ่านบริการ
1. ข้อมูลที่เราเก็บ
1.1 ข้อมูลที่คุณให้เรา
- ข้อมูลบัญชี: ชื่อ อีเมล และรหัสผ่าน รหัสผ่านถูกเก็บในรูปค่าแฮชที่ย้อนกลับไม่ได้ เราไม่เก็บรหัสผ่านตัวจริง
- ข้อมูลโปรไฟล์: ชื่อที่แสดง หมายเลขโทรศัพท์ และรูปโปรไฟล์ ซึ่งคุณเลือกกรอกเองได้
- เนื้อหาที่คุณส่งในแชท: ข้อความ รูปภาพ ไฟล์ สติกเกอร์ การแชร์ผู้ติดต่อ (หมายถึงผู้ใช้ SAINT คนอื่น ไม่ใช่รายชื่อในโทรศัพท์ของคุณ) และตำแหน่งปัจจุบันในเวลาที่คุณกดแชร์เท่านั้น
- ข้อมูล SOS: ถ้าคุณตั้งค่า SOS เราเก็บหมายเลขโทรกลับ ชื่อ สัญชาติ ภาษาที่คุณพูด และผู้ติดต่อฉุกเฉินไม่เกิน 3 คน (ชื่อ หมายเลขโทรศัพท์ และความเกี่ยวข้อง) ถ้าคุณกด SOS ก่อนตั้งค่า หรือเว้นหมายเลขโทรกลับหรือชื่อไว้ เราใช้ชื่อและหมายเลขโทรศัพท์ในโปรไฟล์ของคุณแทน หมายเลขโทรกลับที่คุณให้หลังกด SOS จะถูกบันทึกในข้อมูลตั้งค่า SOS ด้วยหากช่องนั้นยังว่าง โปรดแจ้งให้ผู้ติดต่อฉุกเฉินทราบว่าคุณใส่ข้อมูลของเขาไว้ เมื่อคุณกด SOS เราได้รับตำแหน่งของคุณ ระดับแบตเตอรี่ของอุปกรณ์ และสิ่งที่คุณแจ้งเพิ่ม เช่น ประเภทเหตุ คำตอบ ข้อความถึงเจ้าหน้าที่ และการแจ้งว่าคุณพูดไม่ได้ (ดูข้อ 1.5)
- ข้อมูลที่คุณติดต่อเรา: เนื้อหาคำถาม คำร้องเรียน หรือรายงานผู้ใช้ที่คุณส่งมา
- ข้อมูลสุขภาพ: ข้อมูลที่คุณกรอกหรือเลือกนำเข้าในฟีเจอร์ "ข้อมูลสุขภาพของฉัน" เมื่อคุณให้ความยินยอมแล้วเท่านั้น (ข้อ 1.7)
1.2 ข้อมูลที่เก็บโดยอัตโนมัติเมื่อคุณใช้บริการ
- ข้อมูลการเข้าสู่ระบบและความปลอดภัย: หมายเลข IP ประเภทอุปกรณ์และเบราว์เซอร์ (user agent) ชื่ออุปกรณ์ ประเทศโดยประมาณ เวลาเข้าสู่ระบบ ประวัติเซสชัน ความพยายามเข้าสู่ระบบ และบันทึกการใช้งานเพื่อความปลอดภัย (audit log)
- ข้อมูลการแจ้งเตือน: โทเคนสำหรับการแจ้งเตือนแบบพุช และประเภทแพลตฟอร์มของอุปกรณ์
- ข้อมูลการตั้งค่าและกิจกรรม: ภาษา ธีม การตั้งค่าการแจ้งเตือน การจัดหน้าหลัก และประวัติกิจกรรมในบัญชี
- ข้อมูลการทำงานผิดพลาด: เมื่อเปิดใช้บริการรายงานข้อผิดพลาด แอปจะส่งข้อมูลทางเทคนิคเมื่อแอปขัดข้อง เช่น รุ่นอุปกรณ์ เวอร์ชันระบบปฏิบัติการ และรายละเอียดข้อผิดพลาด
1.3 ข้อมูลที่เราได้รับจากบุคคลอื่น
- การเข้าสู่ระบบด้วย Google: หากคุณเลือกเข้าสู่ระบบด้วย Google เราจะได้รับรหัสบัญชี Google ชื่อ อีเมล และรูปโปรไฟล์ของคุณ
- การเข้าสู่ระบบด้วย Apple (iOS): หากคุณเลือกเข้าสู่ระบบด้วย Apple เราจะได้รับรหัสผู้ใช้ที่ Apple ออกให้สำหรับแอปนี้ และอีเมลของคุณ ถ้าคุณเลือกซ่อนอีเมล เราจะได้รับอีเมลตัวกลางที่ Apple สร้างขึ้น (…@privaterelay.appleid.com) และ Apple จะส่งต่อข้อความมาที่อีเมลจริงของคุณ เราจะได้รับชื่อของคุณเฉพาะในการเข้าสู่ระบบครั้งแรกเท่านั้น หากคุณเลือกแชร์ นอกจากนี้เราจะเก็บโทเคนที่ Apple ออกให้ไว้แบบเข้ารหัส เพื่อใช้ยกเลิกการเชื่อมต่อกับ Apple เมื่อคุณลบบัญชี
- พันธมิตรทางธุรกิจ: ทุกครั้งที่คุณเข้าสู่ระบบ และเมื่อแอปขอสิทธิ์พนักงานของคุณคืน แอปส่งข้อมูลยืนยันตัวตน SAINT ของคุณ (โทเคนที่ลงนามแล้ว ซึ่งมีรหัสผู้ใช้ SAINT อีเมล และชื่อของคุณถ้าตั้งไว้) ให้ระบบของพันธมิตร เพื่อตรวจว่าคุณเป็นพนักงานที่มีสิทธิ์ใช้พอร์ทัลพนักงานหรือไม่ พันธมิตรแจ้งเราว่าไม่สร้างบัญชีใหม่ให้คุณจากข้อมูลนี้ ถ้าคุณมีบัญชีกับพันธมิตรที่ใช้อีเมลเดียวกันและเลือกเชื่อมบัญชี คุณยืนยันว่าเป็นเจ้าของบัญชีด้วยรหัสผ่านของพันธมิตรหรือบัญชี Google ซึ่งถูกส่งให้พันธมิตรตรวจสอบ จากนั้นชื่อและหมายเลขโทรศัพท์ที่ว่างอยู่ในโปรไฟล์ SAINT จะถูกเติมจากบัญชีนั้น ส่วนช่องที่มีค่าทั้งสองฝั่งแต่ไม่ตรงกัน คุณเลือกได้ว่าจะใช้ค่าไหน
- ผู้ใช้คนอื่น: เช่น ข้อความที่ผู้อื่นส่งถึงคุณ หรือรายงานที่ผู้อื่นส่งเกี่ยวกับบัญชีของคุณ
1.4 ข้อมูลในพอร์ทัลพนักงาน
หากคุณเป็นพนักงานของพันธมิตรที่ได้รับสิทธิ์ใช้พอร์ทัลพนักงาน แอปจะแสดงข้อมูลการจองและข้อมูลลูกค้าจากระบบของพันธมิตร เช่น ชื่อผู้เข้าพัก จำนวนผู้เข้าพัก บริการ วันที่ ยอดเงิน และสถานะการชำระเงิน ข้อมูลเหล่านี้ดึงจากระบบของพันธมิตรเพื่อแสดงผลขณะใช้งาน และการเช็กอินที่คุณทำจะถูกส่งกลับไปยังระบบของพันธมิตร ถ้าพันธมิตรเปิดให้คุณใช้เมนูเวรและงาน แอปแสดงงานที่มอบหมายให้คุณ ซึ่งอาจมีชื่อและหมายเลขโทรศัพท์ของลูกค้า และส่งการเข้าเวร ออกเวร การรับ ปฏิเสธ เริ่ม และเสร็จงาน พร้อมเวลาและเหตุผลที่คุณกรอก กลับไปยังระบบของพันธมิตร
1.5 SOS และโหมดเจ้าหน้าที่ภาคสนาม
SOS และโหมดเจ้าหน้าที่ภาคสนามทำงานร่วมกับศูนย์สั่งการ Smart-Emergency ("ศูนย์สั่งการ") ซึ่งดำเนินการโดยหน่วยงานพันธมิตรที่ให้บริการศูนย์สั่งการเหตุฉุกเฉิน
- เมื่อคุณกด SOS แอปส่งข้อมูล SOS ในข้อ 1.1 พร้อมรหัสภายในของบัญชี SAINT ของคุณ ผ่านเซิร์ฟเวอร์ของเราไปยังศูนย์สั่งการ เพื่อให้เจ้าหน้าที่ประเมินเหตุ ติดต่อกลับ และส่งทีมช่วยเหลือ ศูนย์สั่งการอาจแจ้งชื่อ ภาษา จุดเกิดเหตุ และหมายเลขโทรกลับของคุณให้ทีมที่รับเหตุ (ไม่แจ้งหมายเลขโทรกลับเมื่อคุณแจ้งว่าพูดไม่ได้)
- ระหว่างเหตุ แอปส่งตำแหน่งของคุณเป็นระยะ รวมถึงตอนที่แอปอยู่เบื้องหลัง (iPhone แสดงแถบสีฟ้า และ Android แสดงการแจ้งเตือนค้างไว้) การส่งเริ่มเมื่อคุณกด SOS และระหว่างที่เหตุยังไม่จบ จะเริ่มส่งอีกเมื่อเปิดแอปบนโทรศัพท์ที่เข้าสู่ระบบด้วยบัญชีของคุณ (ถ้าเครื่องนั้นอนุญาตตำแหน่ง) การส่งหยุดเมื่อเหตุจบ เมื่อครบ 24 ชั่วโมงหลังกด SOS หรือเมื่อคุณปิดแอป
- ถ้าคุณเป็นเจ้าหน้าที่ภาคสนามและเปิดโหมดเจ้าหน้าที่ แอปส่งข้อมูลการปฏิบัติงานไปที่ระบบของศูนย์สั่งการโดยตรง ได้แก่ สถานะเวร ตำแหน่งระหว่างเข้าเวร มีงาน หรือกด SOS ของเจ้าหน้าที่ (รวมถึงตอนที่แอปอยู่เบื้องหลัง) ระดับแบตเตอรี่ของโทรศัพท์ สถานะงาน ข้อความกับศูนย์ บันทึกการปฏิบัติงานซึ่งอาจมีอาการหรือการรักษาผู้ป่วย เหตุผลและหมายเหตุเมื่อรับงานไม่ได้ คำขอกำลังเสริม ทรัพยากรของหน่วย และรูปถ่ายจากหน้างานที่คุณถ่ายด้วยกล้องของโทรศัพท์ที่เปิดจากแอป
- รูปถ่าย: แอปเปิดกล้องของโทรศัพท์ให้ถ่าย และไม่เลือกรูปจากคลังรูปของคุณ ก่อนส่ง แอปย่อรูปและลบข้อมูลแฝงในไฟล์ เช่น ตำแหน่งและรุ่นโทรศัพท์ แล้วส่งตำแหน่งที่ถ่ายแยกไปด้วย รูปรออยู่ในพื้นที่เก็บของแอปเอง และถูกลบออกจากโทรศัพท์ทันทีเมื่อศูนย์ได้รับหรือปฏิเสธรูปนั้น หรือเมื่อคุณออกจากระบบหรือปิดโหมดเจ้าหน้าที่ หลังส่งแล้วเปิดดูรูปในแอปไม่ได้อีก
- แอปแสดงข้อมูลผู้แจ้งเหตุที่ศูนย์ส่งให้ทีมที่รับงาน เช่น ชื่อ ภาษา และหมายเลขโทรกลับ เพื่อติดต่อระหว่างเหตุเท่านั้น แอปไม่เก็บหมายเลขนั้นไว้ แต่หมายเลขที่คุณกดโทรอาจยังอยู่ในประวัติการโทรของโทรศัพท์
- บันทึกเหตุในระบบของศูนย์สั่งการอยู่ในความรับผิดชอบของหน่วยงานผู้ให้บริการศูนย์สั่งการ ระยะเวลาเก็บอยู่ในข้อ 6
1.6 ข้อมูลที่เราไม่เก็บ
- เราไม่เข้าถึงรายชื่อผู้ติดต่อในโทรศัพท์ของคุณ
- เราไม่ติดตามตำแหน่งของคุณตลอดเวลา และแอปไม่ขอสิทธิ์ตำแหน่งแบบ "ตลอดเวลา" ตำแหน่งถูกใช้เมื่อคุณกดแชร์ในแชท เมื่อคุณกด SOS และในโหมดเจ้าหน้าที่ภาคสนามระหว่างเข้าเวร มีงาน หรือหลังกด SOS ของเจ้าหน้าที่ (ข้อ 1.5) นอกจากนี้ หากคุณอนุญาตตำแหน่งไว้แล้ว แอปส่งตำแหน่งโดยประมาณ (ปัดเป็นราว 1 กม.) วันละครั้งและเมื่อเปิดหน้าตั้งค่า SOS เพื่อแสดงปุ่มประเภทเหตุที่เหมาะกับพื้นที่ และศูนย์สั่งการได้รับเฉพาะตำแหน่งที่ปัดแล้ว
- ข้อมูลลายนิ้วมือหรือใบหน้าที่ใช้ปลดล็อกแอปถูกประมวลผลโดยระบบปฏิบัติการของอุปกรณ์ แอปและผู้ให้บริการไม่ได้รับข้อมูลชีวภาพนี้
- รหัส PIN ถูกเก็บในรูปค่าแฮชไว้ในพื้นที่เก็บข้อมูลที่ปลอดภัยของอุปกรณ์เท่านั้น และไม่ถูกส่งมาที่เซิร์ฟเวอร์
- เราไม่แสดงโฆษณา ไม่ติดตามคุณข้ามแอปหรือเว็บไซต์ของบริษัทอื่น และไม่ขายข้อมูลส่วนบุคคลของคุณ
- แอปไม่มีการชำระเงินหรือการซื้อภายในแอป
- แอปไม่มีการโทรด้วยเสียงหรือวิดีโอในตัว และไม่ใช้ไมโครโฟน ปุ่มโทรในแอป (เช่น 1669 และ 191) เปิดแอปโทรศัพท์ของเครื่องเพื่อโทรออกเอง
1.7 ข้อมูลสุขภาพของฉัน
"ข้อมูลสุขภาพของฉัน" เป็นฟีเจอร์ที่คุณเลือกใช้หรือไม่ใช้ก็ได้ คุณใช้ส่วนอื่นของแอปได้โดยไม่ต้องกรอก และเราจะเก็บข้อมูลนี้ต่อเมื่อคุณให้ความยินยอมในหน้าของฟีเจอร์ ซึ่งแยกจากการยอมรับเงื่อนไขการใช้บริการ
- ข้อมูลที่เก็บ: กรุ๊ปเลือดและหมู่ Rh เพศ วันเกิด น้ำหนัก ส่วนสูง โรคประจำตัว (พร้อมหมายเหตุ) การแพ้ยาและการแพ้อาหาร (ความรุนแรง อาการ และหมายเหตุ) สิทธิการรักษาและกรมธรรม์ประกัน (บริษัท ประเภท เลขกรมธรรม์ วันหมดอายุ และหมายเลขสายด่วน) ค่าที่วัด ได้แก่ ความดันโลหิต ชีพจร น้ำตาลในเลือด อุณหภูมิ และน้ำหนัก พร้อมวันเวลาและสิ่งที่ทำขณะวัด ทั้งที่คุณกรอกเองและที่คุณเลือกนำเข้าจากแอปสุขภาพของโทรศัพท์ และบันทึกความยินยอมของคุณ (ฉบับของข้อความที่คุณยอมรับ และวันเวลา)
- การนำเข้าจากแอปสุขภาพของโทรศัพท์ (เลือกได้): ถ้าคุณกดเชื่อมต่อ แอปอ่านข้อมูลจาก Apple Health บน iPhone หรือ Health Connect บน Android เฉพาะประเภทที่คุณเลือกในแอปและอนุญาตในหน้าขอสิทธิ์ของระบบ บน iPhone ได้แก่ กรุ๊ปเลือด เพศ วันเกิด น้ำหนัก ส่วนสูง ความดันโลหิต อัตราการเต้นของหัวใจ น้ำตาลในเลือด และอุณหภูมิร่างกาย บน Android ได้แก่ น้ำหนัก ส่วนสูง ความดันโลหิต น้ำตาลในเลือด และอุณหภูมิร่างกาย แอปอ่านค่าที่วัดย้อนหลังไม่เกิน 30 วัน และเก็บไม่เกิน 100 ค่าล่าสุดต่อประเภท แอปอ่านอย่างเดียว ไม่เขียนข้อมูลกลับไปยังแอปสุขภาพ ข้อมูลที่นำเข้าถูกเก็บในบัญชี SAINT ของคุณเช่นเดียวกับข้อมูลที่กรอกเอง และแอปแสดงว่าค่าใดมาจากแอปสุขภาพ ค่าใดคุณกรอกเอง ถ้าคุณเปิด "ซิงก์อัตโนมัติ" แอปอ่านข้อมูลใหม่เมื่อคุณเปิดแอป และในเบื้องหลังเมื่อโทรศัพท์อนุญาต ถ้าไม่เปิด แอปอ่านเฉพาะเมื่อคุณสั่ง คุณยกเลิกการเชื่อมต่อในแอป หรือยกเลิกสิทธิ์ในการตั้งค่าของโทรศัพท์ได้ทุกเมื่อ แอปจะหยุดอ่าน ส่วนข้อมูลที่บันทึกไว้แล้วยังอยู่จนกว่าคุณจะลบ
- เก็บที่ไหน: บนเซิร์ฟเวอร์ของเราซึ่งตั้งอยู่ในประเทศสิงคโปร์ (ข้อ 5) ผูกกับบัญชีของคุณ ข้อมูลสุขภาพถูกเข้ารหัสก่อนบันทึกลงฐานข้อมูล ด้วยกุญแจที่เก็บแยกจากฐานข้อมูล สำเนาสำรองของฐานข้อมูลจึงอ่านข้อมูลนี้ไม่ได้หากไม่มีกุญแจ นอกจากนี้มีสำเนาในพื้นที่เก็บข้อมูลที่เข้ารหัสของโทรศัพท์ที่คุณเข้าสู่ระบบ เพื่อให้เปิดบัตรข้อมูลฉุกเฉินได้แม้ไม่มีสัญญาณ สำเนาในโทรศัพท์ถูกลบเมื่อคุณออกจากระบบเอง เมื่อบัญชีอื่นเข้าสู่ระบบในเครื่องนั้น และเมื่อบัญชีถูกลบ ถ้าการเข้าสู่ระบบหมดอายุไปเอง สำเนายังอยู่ในเครื่องสำหรับบัญชีเดิม และเปิดได้อีกเมื่อเข้าสู่ระบบด้วยบัญชีนั้น
- ใครเห็น: คุณ ในแอปบนโทรศัพท์ที่เข้าสู่ระบบด้วยบัญชีของคุณ และคุณเปิดบัตรข้อมูลฉุกเฉินให้แพทย์หรือผู้ช่วยเหลือดูจากหน้าจอได้เอง เราไม่มีหน้าจอหรือเครื่องมือให้พนักงานหรือฝ่ายช่วยเหลือเปิดดูข้อมูลนี้ ผู้ดูแลระบบที่เข้าถึงเซิร์ฟเวอร์และถือกุญแจถอดรหัสได้ในทางเทคนิค การเข้าถึงผ่านระบบถูกบันทึก และคุณดูประวัตินี้ได้เองในแอป (ประวัตินี้บันทึกเฉพาะการเข้าถึงผ่านระบบ) ผู้ที่ถือโทรศัพท์ของคุณขณะแอปเปิดอยู่เห็นข้อมูลนี้ได้ โปรดล็อกโทรศัพท์และตั้ง PIN ของแอป
- SOS: ข้อมูลนี้ยังไม่ถูกส่งไปกับ SOS และเจ้าหน้าที่ของศูนย์สั่งการยังไม่เห็น หากจะเปิดให้ส่งในภายหลัง เราจะแก้นโยบายนี้และขอความยินยอมแยกอีกฉบับจากคุณก่อน
- วัตถุประสงค์และฐานทางกฎหมาย: เพื่อให้คุณเปิดดูได้จากทุกเครื่องที่เข้าสู่ระบบด้วยบัญชีของคุณ และมีข้อมูลพร้อมแสดงเมื่อเกิดเหตุฉุกเฉิน โดยอาศัยความยินยอมโดยชัดแจ้งของคุณ เพราะข้อมูลสุขภาพเป็นข้อมูลส่วนบุคคลที่มีความอ่อนไหว เราไม่ใช้ข้อมูลนี้เพื่อการโฆษณา การตลาด หรือการวิเคราะห์พฤติกรรม แอปแสดงสิ่งที่คุณกรอกหรือนำเข้า พร้อมค่าเฉลี่ย 30 วัน และเส้นอ้างอิงทั่วไปบนกราฟ (ความดัน 140/90 มม.ปรอท อุณหภูมิ 37.5 °C) ซึ่งไม่ใช่การวินิจฉัย แอปไม่วินิจฉัยโรค และไม่ให้คำแนะนำทางการแพทย์
- เก็บนานเท่าไร และลบอย่างไร: เราเก็บจนกว่าคุณจะลบหรือถอนความยินยอม คุณลบทีละรายการได้ในหน้าของแต่ละหมวด หรือถอนความยินยอมและลบทั้งหมดได้ทุกเมื่อ ที่เมนู ข้อมูลสุขภาพของฉัน > ความเป็นส่วนตัวและการแชร์ > ถอนความยินยอมและลบข้อมูลสุขภาพ เมื่อถอนความยินยอม เราลบข้อมูลสุขภาพของคุณออกจากฐานข้อมูลที่ใช้งานอยู่ทันที และแอปลบสำเนาในโทรศัพท์เมื่อการถอนสำเร็จ เหลือสองอย่าง คือบันทึกว่าคุณเคยยินยอมและถอนเมื่อใด และประวัติการเข้าถึง ซึ่งไม่มีเนื้อหาข้อมูลสุขภาพ (บอกเพียงว่าเกิดอะไร กับหมวดใด เมื่อใด จากแอปใด) เราเก็บแต่ละรายการของประวัติการเข้าถึงไว้ 1 ปีนับจากวันที่บันทึก และคุณยังเปิดดูได้ในแอปหลังถอนความยินยอม สำเนาสำรองที่เข้ารหัสจะถูกลบตามรอบการสำรองข้อมูล เมื่อคุณขอลบบัญชี ข้อมูลสุขภาพยังใช้ได้ตามปกติระหว่างรอ 30 วัน ถ้าคุณยกเลิกคำขอ ข้อมูลยังอยู่ครบ และเมื่อครบกำหนด ข้อมูลถูกลบพร้อมข้อมูลอื่นของบัญชี รวมถึงประวัติการเข้าถึง (ข้อ 6)
- ถ้าคุณใช้มากกว่าหนึ่งเครื่อง: ทุกเครื่องที่เข้าสู่ระบบด้วยบัญชีของคุณแสดงข้อมูลชุดเดียวกัน การแก้ไขที่ทำขณะไม่มีสัญญาณถูกส่งเมื่อกลับมาออนไลน์
2. การใช้สิทธิ์เข้าถึงอุปกรณ์
แอปจะขออนุญาตก่อนใช้สิทธิ์เหล่านี้ และคุณปฏิเสธหรือยกเลิกได้ในการตั้งค่าของอุปกรณ์ ผลคือฟีเจอร์ที่เกี่ยวข้องจะใช้ไม่ได้
- กล้อง: สแกน QR code เช็กอินลูกค้าในพอร์ทัลพนักงาน ถ่ายรูปส่งในแชท และถ่ายรูปจากหน้างานส่งศูนย์สั่งการในโหมดเจ้าหน้าที่
- รูปภาพ: เลือกรูปเพื่อส่งในแชทและตั้งเป็นรูปโปรไฟล์
- ตำแหน่ง (ขณะใช้แอป): แชร์ตำแหน่งในแชทเมื่อคุณกดแชร์ ส่งตำแหน่งให้ศูนย์สั่งการเมื่อคุณกด SOS และในโหมดเจ้าหน้าที่ระหว่างเข้าเวร มีงาน หรือหลังกด SOS ของเจ้าหน้าที่ และโหลดปุ่ม SOS ตามพื้นที่โดยประมาณ (ข้อ 1.6) การส่งที่เริ่มแล้วทำต่อตอนแอปอยู่เบื้องหลังจนกว่าเหตุหรืองานจะจบ หรือออกเวร
- Face ID / ลายนิ้วมือ: ปลดล็อกแอป
- การแจ้งเตือน: แจ้งข้อความใหม่ และเรื่องที่เกี่ยวกับบัญชีและบริการที่คุณใช้
- ข้อมูลจากแอปสุขภาพของโทรศัพท์ (Apple Health / Health Connect): อ่านข้อมูลสุขภาพประเภทที่คุณเลือกนำเข้าใน "ข้อมูลสุขภาพของฉัน" แบบอ่านอย่างเดียว (ข้อ 1.7)
3. วัตถุประสงค์และฐานทางกฎหมาย
- ให้บริการตามสัญญา: สร้างและจัดการบัญชี ยืนยันตัวตน ส่งและเก็บข้อความและไฟล์ แสดงการแจ้งเตือน ให้บริการพอร์ทัลพนักงาน และให้การสนับสนุนผู้ใช้ (ฐานสัญญา)
- SOS และการช่วยเหลือฉุกเฉิน: ส่งข้อมูล SOS และตำแหน่งให้ศูนย์สั่งการและทีมช่วยเหลือ เพื่อป้องกันหรือระงับอันตรายต่อชีวิต ร่างกาย หรือสุขภาพของคุณ (ฐานป้องกันอันตรายต่อชีวิต) และตามที่คุณขอใช้บริการ (ฐานสัญญา)
- ข้อมูลสุขภาพของฉัน: เก็บสิ่งที่คุณกรอกหรือนำเข้า เพื่อให้คุณเปิดดูและแสดงได้เมื่อจำเป็น (ฐานความยินยอมโดยชัดแจ้ง ซึ่งคุณถอนได้ทุกเมื่อ ดูข้อ 1.7)
- โหมดเจ้าหน้าที่ภาคสนาม: ส่งข้อมูลการปฏิบัติงานให้ศูนย์สั่งการที่สั่งงานคุณ (ฐานสัญญา และฐานประโยชน์โดยชอบด้วยกฎหมายในการประสานงานช่วยเหลือ)
- ความปลอดภัยและป้องกันการใช้งานในทางที่ผิด: ตรวจจับการเข้าสู่ระบบที่น่าสงสัย จำกัดความถี่การใช้งาน แจ้งเตือนการเข้าสู่ระบบ ตรวจสอบรายงานและการบล็อก และบังคับใช้เงื่อนไขการใช้บริการ (ฐานประโยชน์โดยชอบด้วยกฎหมาย)
- ปรับปรุงบริการ: วิเคราะห์ข้อผิดพลาดเพื่อแก้ไขและพัฒนาแอป (ฐานประโยชน์โดยชอบด้วยกฎหมาย)
- ปฏิบัติตามกฎหมาย: เก็บข้อมูลตามที่กฎหมายกำหนด และตอบคำขอของหน่วยงานรัฐที่มีอำนาจตามกฎหมาย (ฐานหน้าที่ตามกฎหมาย)
- ข่าวสารและการตลาด: ส่งข่าวสารหรือข้อเสนอเฉพาะเมื่อคุณให้ความยินยอม และคุณถอนความยินยอมได้ทุกเมื่อ (ฐานความยินยอม)
4. การเปิดเผยข้อมูล
- ผู้ใช้คนอื่น: ชื่อและรูปโปรไฟล์ของคุณจะแสดงให้คู่สนทนาเห็น หากคุณกรอกหมายเลขโทรศัพท์ในโปรไฟล์ ผู้ใช้ที่รู้หมายเลขนั้นจะค้นหาและเพิ่มคุณเป็นเพื่อนในแชทได้ ส่วนข้อความ ไฟล์ และตำแหน่งที่คุณส่งจะถูกเปิดเผยต่อผู้รับ
- ผู้ให้บริการที่ทำงานแทนเรา: เช่น ผู้ให้บริการคลาวด์และพื้นที่จัดเก็บไฟล์ ผู้ให้บริการส่งอีเมล ผู้ให้บริการส่งการแจ้งเตือนแบบพุช (Expo, Apple Push Notification service และ Firebase Cloud Messaging ซึ่งอาจได้รับตัวอย่างข้อความที่แสดงในการแจ้งเตือน) และผู้ให้บริการรายงานข้อผิดพลาด ผู้ให้บริการเหล่านี้ใช้ข้อมูลได้ตามคำสั่งของเราเท่านั้น
- Google: เมื่อคุณเลือกเข้าสู่ระบบด้วย Google
- Apple: เมื่อคุณเลือกเข้าสู่ระบบด้วย Apple เราจะติดต่อ Apple เพื่อยืนยันตัวตนของคุณ และเพื่อยกเลิกการเชื่อมต่อเมื่อคุณลบบัญชี
- พันธมิตรทางธุรกิจ: ข้อมูลยืนยันตัวตนเมื่อคุณเข้าสู่ระบบ ข้อมูลยืนยันเมื่อคุณเชื่อมบัญชี การเช็กอิน และการเข้าเวรและงานในพอร์ทัลพนักงาน (ข้อ 1.3 และ 1.4)
- ศูนย์สั่งการ Smart-Emergency และทีมช่วยเหลือ: ข้อมูล SOS ตำแหน่ง ตำแหน่งโดยประมาณที่ใช้โหลดปุ่ม SOS (ข้อ 1.6) และข้อมูลในโหมดเจ้าหน้าที่ภาคสนามรวมถึงรูปถ่าย (ข้อ 1.5)
- บริการเสริมภายในแอป: บริการบางอย่าง เช่น บริการแปลภาษา จะเปิดภายในแอป และได้รับข้อมูลยืนยันตัวตนของคุณเพื่อไม่ต้องเข้าสู่ระบบซ้ำ แอปจะส่งข้อมูลนี้ให้เฉพาะเว็บไซต์ในโดเมนของผู้ให้บริการเท่านั้น
- หน่วยงานตามกฎหมาย: เมื่อกฎหมายกำหนด มีคำสั่งศาล หรือจำเป็นต่อการปกป้องสิทธิ ความปลอดภัย หรือทรัพย์สินของผู้ใช้ ผู้ให้บริการ หรือบุคคลอื่น
- การเปลี่ยนแปลงกิจการ: หากมีการควบรวมหรือโอนกิจการ ข้อมูลอาจถูกโอนไปยังผู้รับโอน ซึ่งต้องคุ้มครองข้อมูลตามนโยบายนี้
5. การส่งข้อมูลไปต่างประเทศ
เซิร์ฟเวอร์ของเราตั้งอยู่ในประเทศสิงคโปร์ ข้อมูลในบัญชีของคุณ เช่น ข้อมูลบัญชี ข้อความแชท ข้อมูล SOS และข้อมูลสุขภาพ (ข้อ 1.7) จึงถูกเก็บและประมวลผลที่นั่น นอกจากนี้ ผู้ให้บริการบางราย เช่น ผู้ให้บริการแจ้งเตือนแบบพุช ผู้ให้บริการรายงานข้อผิดพลาด Google และ Apple อาจประมวลผลข้อมูลในประเทศอื่น เราจะส่งข้อมูลไปต่างประเทศตามเงื่อนไขของ PDPA เท่านั้น เช่น ประเทศปลายทางมีมาตรฐานคุ้มครองข้อมูลที่เพียงพอ มีมาตรการคุ้มครองที่เหมาะสม หรือการส่งนั้นจำเป็นต่อการปฏิบัติตามสัญญากับคุณ
6. การเก็บรักษาข้อมูล
- เราเก็บข้อมูลบัญชีและเนื้อหาของคุณตลอดระยะเวลาที่บัญชียังใช้งานอยู่
- ไฟล์ที่คุณลบจะถูกลบถาวรภายใน 30 วัน
- ข้อมูลสุขภาพของฉัน: เก็บจนกว่าคุณจะลบหรือถอนความยินยอม หรือจนบัญชีถูกลบ (ข้อ 1.7) หลังถอนความยินยอม เราเก็บบันทึกความยินยอม และเก็บประวัติการเข้าถึงซึ่งไม่มีเนื้อหาข้อมูลสุขภาพ รายการละ 1 ปีนับจากวันที่บันทึก เมื่อลบบัญชี ประวัติการเข้าถึงถูกลบพร้อมกัน สำเนาสำรองที่เข้ารหัสจะถูกลบตามรอบการสำรองข้อมูล
- ข้อมูล SOS ในระบบของเรา: ตำแหน่งที่ส่งระหว่างเหตุเก็บ 7 วันหลังเหตุจบ (ถ้าเหตุไม่ถูกปิดเลย เก็บ 30 วันหลังกด SOS) ข้อมูลที่ส่งให้ศูนย์สั่งการ (ชื่อ หมายเลขโทรศัพท์ ผู้ติดต่อฉุกเฉิน และข้อความ) เก็บ 30 วันหลังเหตุจบ และบันทึกเหตุ (เลขเหตุ ประเภทเหตุ ระดับความเร่งด่วน หน่วยงานที่รับเหตุ การแจ้งว่าพูดไม่ได้ สถานะ ผลการปิด และเวลา) เก็บ 1 ปีหลังเหตุจบ ข้อมูลตั้งค่า SOS เก็บจนกว่าคุณจะล้างข้อมูลนั้นหรือลบบัญชี
- ข้อมูล SOS ที่ศูนย์สั่งการ: หมายเลขโทรกลับ ชื่อ ผู้ติดต่อฉุกเฉิน ข้อความ และรหัสภายในของบัญชี SAINT ของคุณ เก็บ 1 ปีหลังปิดเหตุ ตำแหน่งระหว่างเหตุเก็บ 90 วันหลังปิดเหตุ แล้วเหลือเฉพาะจุดเกิดเหตุ และบันทึกเหตุเก็บ 5 ปีหลังปิดเหตุ แล้วทำให้ระบุตัวตนไม่ได้ ระยะเหล่านี้กำหนดโดยหน่วยงานผู้ให้บริการศูนย์สั่งการ และอาจเปลี่ยนตามข้อกำหนดทางกฎหมาย
- ข้อมูลโหมดเจ้าหน้าที่ที่ศูนย์สั่งการ: ศูนย์สั่งการลบรูป 1 ปีหลังปิดเหตุ ข้อมูลอื่นในโหมดเจ้าหน้าที่เป็นไปตามระยะของศูนย์สั่งการ
- เมื่อคุณขอลบบัญชี เราจะลบข้อมูลส่วนบุคคลของคุณ หรือทำให้ข้อมูลนั้นระบุตัวคุณไม่ได้ ภายใน 30 วัน และระหว่างนั้นคุณยกเลิกคำขอได้ หลังลบแล้วเราเก็บไว้เพียง
- บันทึกการเข้าสู่ระบบ (หมายเลข IP อุปกรณ์ เวลา ความพยายามเข้าสู่ระบบ และอีเมลที่ใช้เข้าสู่ระบบ) เก็บจนแต่ละรายการมีอายุครบ 90 วันนับจากวันที่บันทึก ตามพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ และเปิดดูเฉพาะเมื่อมีคำขอตามกฎหมาย
- บันทึกเพื่อความปลอดภัยของระบบ เก็บ 1 ปีนับจากเหตุการณ์ โดยลบรหัสผู้ใช้ของคุณออก
- รายงานการใช้งานในทางที่ผิดและข้อความที่ถูกรายงาน เก็บ 1 ปีนับจากวันที่รายงาน
- ข้อความแชทที่คุณส่งถึงผู้อื่น ซึ่งยังอยู่ในบทสนทนาของผู้รับ โดยแสดงผู้ส่งเป็น "ผู้ใช้ที่ถูกลบ"
- ไฟล์ที่คุณใส่ไว้ในพื้นที่ของคนอื่น ตราบที่เจ้าของพื้นที่ยังเก็บไว้
- หลักฐานว่าได้ลบบัญชีตามคำขอแล้ว (เลขอ้างอิงภายในและวันที่ ไม่มีอีเมลหรือชื่อ) เก็บไว้โดยไม่มีกำหนดลบ เพื่อเป็นหลักฐานว่าเราทำตามคำขอ
- ข้อมูลอื่นที่กฎหมายกำหนดให้เก็บต่อ หรือที่จำเป็นต่อการก่อตั้ง ใช้ หรือยกข้อต่อสู้ตามสิทธิเรียกร้องทางกฎหมาย
- เมื่อลบบัญชี ข้อมูล SOS ในระบบของเราถูกลบ และเราขอให้ศูนย์สั่งการลบข้อมูลที่เคยส่งไป เราเก็บเพียงบันทึกคำขอนั้นพร้อมรหัสภายในของบัญชี จนครบ 30 วันหลังศูนย์ยืนยัน ส่วนบันทึกเหตุที่ศูนย์สั่งการต้องเก็บ เป็นไปตามระยะของศูนย์สั่งการ
- ข้อความที่คุณส่งไปแล้วจะยังอยู่ในอุปกรณ์ของผู้รับ เราลบข้อมูลในอุปกรณ์ของผู้อื่นไม่ได้
- บันทึกเพื่อความปลอดภัยจะเก็บเท่าที่จำเป็นต่อการรักษาความปลอดภัย หรือตามที่กฎหมายกำหนด
7. ความปลอดภัยของข้อมูล
เราใช้มาตรการที่เหมาะสมเพื่อคุ้มครองข้อมูลของคุณ ได้แก่ การเข้ารหัสระหว่างการส่งข้อมูล การแฮชรหัสผ่าน การเข้ารหัสข้อมูลลับบางประเภท การยืนยันตัวตนสองขั้นตอน การล็อกแอปด้วย PIN หรือข้อมูลชีวภาพ การเก็บโทเคนเข้าสู่ระบบในพื้นที่ปลอดภัยของอุปกรณ์ การจำกัดความถี่การเข้าสู่ระบบ และการจำกัดสิทธิ์การเข้าถึงข้อมูลเฉพาะผู้ที่จำเป็น ข้อมูลสุขภาพถูกส่งผ่านการเชื่อมต่อที่เข้ารหัส ถูกเข้ารหัสก่อนบันทึกลงฐานข้อมูลด้วยกุญแจที่เก็บแยกจากฐานข้อมูล และสำเนาในโทรศัพท์อยู่ในพื้นที่เก็บข้อมูลที่เข้ารหัสของอุปกรณ์
แอปเก็บสำเนาข้อความแชทบางส่วนไว้ในอุปกรณ์ เพื่อให้เปิดดูได้เร็วขึ้นและใช้งานได้ขณะออฟไลน์ โปรดล็อกอุปกรณ์ของคุณ และระวังการใช้อุปกรณ์ร่วมกับผู้อื่น ไม่มีระบบใดปลอดภัยได้ทั้งหมด หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล เราจะแจ้งหน่วยงานกำกับดูแลและผู้ที่ได้รับผลกระทบตามที่กฎหมายกำหนด
8. สิทธิของคุณ
ภายใต้ PDPA คุณมีสิทธิดังนี้
- ขอเข้าถึงและขอรับสำเนาข้อมูลส่วนบุคคลของคุณ
- ขอให้ส่งหรือโอนข้อมูลในรูปแบบที่อ่านได้ด้วยเครื่อง
- ขอแก้ไขข้อมูลให้ถูกต้องและเป็นปัจจุบัน โดยแก้ไขโปรไฟล์ได้เองในแอป
- ขอลบหรือทำให้ข้อมูลระบุตัวตนไม่ได้ รวมถึงขอลบบัญชี
- ขอระงับการใช้ข้อมูล
- คัดค้านการเก็บ ใช้ หรือเปิดเผยข้อมูล
- ถอนความยินยอมที่เคยให้ไว้ การถอนนี้ไม่กระทบการประมวลผลที่ทำไปแล้วก่อนหน้า
คุณใช้สิทธิได้โดยติดต่อเราตามช่องทางในข้อ 11 เราจะตอบกลับภายใน 30 วันนับจากวันที่ได้รับคำขอ และอาจต้องยืนยันตัวตนของคุณก่อน
สำหรับ "ข้อมูลสุขภาพของฉัน" คุณดู แก้ไข และลบได้เองในแอป และถอนความยินยอมได้ที่เมนู ข้อมูลสุขภาพของฉัน > ความเป็นส่วนตัวและการแชร์
9. ผู้เยาว์
บริการนี้มีไว้สำหรับผู้ที่มีอายุ 13 ปีขึ้นไป ผู้ใช้ที่อายุต่ำกว่า 20 ปีต้องได้รับความยินยอมจากผู้ปกครองในกรณีที่กฎหมายกำหนด หากเราทราบว่าเก็บข้อมูลของเด็กอายุต่ำกว่า 13 ปีโดยไม่ได้รับความยินยอมที่ถูกต้อง เราจะลบข้อมูลนั้น
10. การเปลี่ยนแปลงนโยบาย
เราอาจปรับปรุงนโยบายนี้เป็นครั้งคราว หากมีการเปลี่ยนแปลงสาระสำคัญ เราจะแจ้งให้คุณทราบในแอปก่อนการเปลี่ยนแปลงมีผล และจะขอความยินยอมใหม่หากกฎหมายกำหนด ฉบับล่าสุดจะแสดงในแอปและบนเว็บไซต์ของผู้ให้บริการเสมอ
11. ติดต่อเรา
หากมีคำถามหรือต้องการใช้สิทธิเกี่ยวกับข้อมูลส่วนบุคคล โปรดติดต่อผู้ให้บริการ
Privacy Policy
Version 1.2 · Effective from 10 October 2026
This policy explains how the provider of the SAINT application ("the Service Provider", "we", "us") collects, uses, discloses and protects your personal data when you use the SAINT app on iOS and Android and related services (the "Service"). It is written to comply with Thailand's Personal Data Protection Act B.E. 2562 (2019) ("PDPA"). The Service Provider is the data controller for personal data collected through the Service.
1. Data we collect
1.1 Data you give us
- Account data: your name, email address and password. Passwords are stored only as a one-way hash; we never store the password itself.
- Profile data: display name, phone number and profile photo, all of which you choose whether to provide.
- What you send in chat: messages, photos, files and stickers. It also covers contact cards (these are other SAINT users, not your phone's address book) and your current location, which is sent only when you tap to share it.
- SOS data: if you set up SOS, we keep a callback number, your name, nationality, the languages you speak and up to three emergency contacts (name, phone number and relationship). If you press SOS before setting it up, or leave the callback number or name empty, we use the name and phone number in your profile. A callback number you give after pressing SOS is also saved in your SOS setup if that field was empty. Please let your emergency contacts know you have added them. When you press SOS, we receive your location, your device's battery level and anything you add afterwards, such as the kind of emergency, your answers, messages to the responders and that you cannot speak (see section 1.5).
- When you contact us: the content of questions, complaints or user reports you send.
- Health data: what you enter, or choose to import, in "My health data", only after you give consent (section 1.7).
1.2 Data collected automatically
- Sign-in and security data: IP address, device and browser type (user agent), device name and approximate country. It also includes sign-in times, session history, sign-in attempts and security audit logs.
- Notification data: your push notification token and device platform.
- Settings and activity: language, theme, notification settings, home screen layout and account activity history.
- Crash data: when crash reporting is enabled, technical details are sent if the app crashes. These include device model, operating system version and error details.
1.3 Data we receive from others
- Sign in with Google: if you choose it, we receive your Google account ID, name, email address and profile photo.
- Sign in with Apple (iOS): if you choose it, we receive the user ID Apple issues for this app and your email address. If you choose to hide your email, we receive a relay address Apple creates (…@privaterelay.appleid.com), and Apple forwards messages to your real address. We receive your name only on your first sign-in, and only if you choose to share it. We also keep, encrypted, the token Apple issues, so that we can disconnect from Apple when you delete your account.
- Business partners: each time you sign in, and when the app renews your staff access, the app sends proof of your SAINT sign-in (a signed token with your SAINT user ID, email address and, if you have set one, your name) to the partner's system to check whether you are a staff member with access to the staff portal. The partner has told us it does not create an account for you from it. If you have a partner account with the same email address and choose to link it, you prove the account is yours with the partner's password or your Google account, which the partner checks. Empty name and phone fields in your SAINT profile are then filled from that account; where both have a value and they differ, you choose which to keep.
- Other users: for example, messages they send you or reports they submit about your account.
1.4 Staff portal data
If you are a partner's staff member with access to the staff portal, the app shows booking and guest data from the partner's system. This includes guest names, number of guests, services, dates, amounts and payment status. The app retrieves this data from the partner's system to display it while you work. Check-ins you perform are sent back to the partner's system. If the partner lets you use the duty and jobs menu, the app shows the jobs assigned to you, which may include a customer's name and phone number. It sends your going on and off duty, and your accepting, declining, starting and finishing jobs, with the times and any reasons you enter, back to the partner's system.
1.5 SOS and field officer mode
SOS and field officer mode work with the Smart-Emergency dispatch centre (the "dispatch centre"), run by a partner organisation that operates an emergency dispatch service.
- When you press SOS, the app sends the SOS data in section 1.1, with an internal ID of your SAINT account, through our servers to the dispatch centre, so that its staff can assess the emergency, contact you and send help. The dispatch centre may give the team it sends your name, languages, the incident location and your callback number (not the callback number when you have said you cannot speak).
- During the incident, the app keeps sending your location, including while the app is in the background (an iPhone shows a blue bar, and Android shows an ongoing notification). Sending starts when you press SOS. While that incident is open, it starts again whenever the app is opened on a phone signed in to your account, if location is allowed on that phone. It stops when the incident ends, 24 hours after you pressed SOS, or when you close the app.
- If you are a field officer and turn on officer mode, the app sends your work data straight to the dispatch centre's system: your duty status, your location while on duty, on a job or after pressing an officer SOS (including while the app is in the background), your phone's battery level, job status, messages with the centre, field records that may include a patient's symptoms or treatment, the reasons and notes you give when you cannot take a job, requests for support, your unit's resources, and photos of the job you take with the phone's camera, opened from the app.
- Photos: the app opens the phone's camera for them and never takes them from your photo library. Before sending, it shrinks each photo and removes the hidden details stored in the file, such as location and phone model, and sends where the photo was taken separately. A photo waits in the app's own storage and is deleted from the phone as soon as the centre has it or refuses it, or when you sign out or turn officer mode off. Photos cannot be viewed in the app after sending.
- The app shows the team on a job the reporter details the dispatch centre provides, such as name, language and callback number, only to make contact during the incident. The app does not store the number, although a number you dial may stay in your phone's call log.
- Case records in the dispatch centre's system are the responsibility of the organisation that runs it. Retention periods are in section 6.
1.6 What we do not collect
- We do not access your phone's address book.
- We do not track your location all the time, and the app never asks for "always" location access. Your location is used when you share it in chat, when you press SOS, and in field officer mode while you are on duty, on a job or after an officer SOS (section 1.5). In addition, if you have already allowed location access, the app sends an approximate location, rounded to about 1 km, once a day and when you open the SOS settings, so that the SOS buttons suit your area; the dispatch centre receives only that rounded location.
- Face or fingerprint data used to unlock the app is handled by your device's operating system. Neither the app nor the Service Provider ever receives it.
- Your PIN is stored as a hash in your device's secure storage only and is never sent to our servers.
- We do not show ads, and we do not track you across other companies' apps or websites. We do not sell your personal data.
- The app has no payments or in-app purchases.
- The app has no built-in voice or video calls and does not use the microphone. Call buttons in the app (such as 1669 and 191) open your phone's own dialler, and you place the call yourself.
1.7 My health data
"My health data" is optional. You can use the rest of the app without it, and we keep this data only after you give consent on the feature's own screen, separately from accepting the Terms of Service.
- What is kept: blood group and Rh type, sex, date of birth, weight, height, medical conditions (with notes), drug and food allergies (severity, symptoms and notes), treatment coverage and insurance policies (company, type, policy number, expiry date and hotline number), and readings (blood pressure, pulse, blood glucose, temperature and weight, with the date, time and what you were doing), both those you type in yourself and those you choose to import from your phone's health app. We also keep the record of your consent (which version of the wording you accepted, and when).
- Importing from your phone's health app (optional): if you tap to connect, the app reads data from Apple Health on an iPhone or Health Connect on Android, only the types you choose in the app and allow on the system's permission screen. On an iPhone these are blood group, sex, date of birth, weight, height, blood pressure, heart rate, blood glucose and body temperature. On Android they are weight, height, blood pressure, blood glucose and body temperature. The app reads readings from the last 30 days at most, and keeps at most the latest 100 readings of each type. It only reads, and never writes anything back to the health app. Imported data is kept in your SAINT account in the same way as data you type in, and the app shows which values came from the health app and which you entered. If you turn on "Automatic sync", the app reads new data when you open it, and in the background when the phone allows it; if you don't, it reads only when you ask it to. You can disconnect in the app, or revoke the permission in your phone's settings, at any time. The app then stops reading, and data already saved stays until you delete it.
- Where it is kept: on our servers, which are in Singapore (section 5), tied to your account. It is encrypted before it is written to the database, with a key kept apart from the database, so a backup of the database cannot be read without the key. There is also a copy in the encrypted storage of each phone you are signed in on, so the emergency card opens without a signal. The copy on a phone is deleted when you sign out yourself, when another account signs in on that phone, and when the account is deleted. If your sign-in simply expires, the copy stays on the phone for the same account and opens again when you sign back in to that account.
- Who can see it: you, in the app on a phone signed in to your account, and you can open your emergency card and show the screen to a doctor or responder yourself. We have no screen or tool that lets staff or support open this data. System administrators who can reach the server and hold the key can technically decrypt it. Access through the system is logged, and you can see that history yourself in the app (it records access through the system only). Anyone holding your phone while the app is open can see this data, so please lock your phone and set the app PIN.
- SOS: this data is not sent with an SOS yet, and the dispatch centre's staff cannot see it. If we later make it possible to send it, we will update this policy and ask for your separate consent first.
- Purpose and legal basis: so that you can open it from every phone signed in to your account and have it ready to show in an emergency, on the basis of your explicit consent, because health data is sensitive personal data. We do not use it for advertising, marketing or profiling. The app shows what you entered or imported, with a 30-day average and general reference lines on the charts (140/90 mmHg for blood pressure, 37.5 °C for temperature), which are not a diagnosis. The app does not diagnose and gives no medical advice.
- How long it is kept, and how to delete it: we keep it until you delete it or withdraw consent. You can delete single entries on each section's page, or withdraw consent and delete everything at any time, under My health data > Privacy and sharing > Withdraw consent and delete health data. When you withdraw consent, we delete your health data from the live database at once, and the app deletes the copy on your phone once the withdrawal succeeds. Two things are kept: the record that you had agreed and when you withdrew, and the access history, which holds no health data (only what happened, to which section, when and from which app). We keep each access history entry for 1 year from the day it was recorded, and you can still open it in the app after withdrawing. Encrypted backups are deleted as the backup cycle rotates them out. When you ask for your account to be deleted, your health data stays usable during the 30-day wait. If you cancel the request, it is all still there; when the time is up, it is deleted with the rest of the account, the access history included (section 6).
- If you use more than one phone: every phone signed in to your account shows the same record. Changes made without a signal are sent when you are back online.
2. Device permissions
The app asks before using each permission. You can refuse, or revoke a permission later in your device settings, but the related feature will then be unavailable.
- Camera: to scan QR codes, check in guests in the staff portal, take photos for chat, and take photos of a job for the dispatch centre in officer mode.
- Photos: to pick photos to send in chat or use as your profile photo.
- Location (while using the app): to share your location in chat when you tap to share, to send your location to the dispatch centre when you press SOS, in officer mode while you are on duty, on a job or after an officer SOS, and to fetch the SOS buttons for your approximate area (section 1.6). Sending that has started carries on while the app is in the background, until the incident or job ends or you go off duty.
- Face ID / fingerprint: to unlock the app.
- Notifications: to alert you to new messages and to matters about your account and the services you use.
- Data from your phone's health app (Apple Health / Health Connect): to read, without ever writing, the health data types you choose to import in "My health data" (section 1.7).
3. Purposes and legal bases
- Providing the Service (contract): creating and managing your account, verifying your identity and delivering and storing messages and files. This also covers showing notifications, running the staff portal and supporting you.
- SOS and emergency help (vital interests, contract): sending SOS data and your location to the dispatch centre and the responders, to prevent or suppress a danger to your life, body or health, and because you asked for the service.
- My health data (explicit consent): keeping what you enter or import so that you can view it and show it when needed. You can withdraw this consent at any time (section 1.7).
- Field officer mode (contract, legitimate interests): sending your work data to the dispatch centre that assigns your jobs, to coordinate a rescue.
- Security and abuse prevention (legitimate interests): detecting suspicious sign-ins, rate limiting and sending sign-in alerts. It also covers reviewing reports and blocks, and enforcing the Terms of Service.
- Improving the Service (legitimate interests): analysing errors to fix and improve the app.
- Legal compliance (legal obligation): keeping records the law requires and responding to lawful requests from authorities.
- News and marketing (consent): only if you opt in. You can withdraw consent at any time.
4. Who we share data with
- Other users: people you chat with see your name and profile photo. If you add a phone number to your profile, anyone who knows that number can find you and add you in chat. Messages, files and locations you send are disclosed to their recipients.
- Service providers acting for us: cloud hosting and file storage providers, and email delivery providers. Push notification providers (Expo, Apple Push Notification service and Firebase Cloud Messaging) may receive the message preview shown in a notification. The list also includes crash reporting providers. These providers may use the data only on our instructions.
- Google: when you choose Sign in with Google.
- Apple: when you choose Sign in with Apple, we contact Apple to verify you, and again to disconnect when you delete your account.
- Business partners: your sign-in check, the proof when you link an account, your check-ins, and your duty and jobs in the staff portal (sections 1.3 and 1.4).
- The Smart-Emergency dispatch centre and responders: SOS data, your location, the approximate location used for the SOS buttons (section 1.6), and field officer mode data including photos (section 1.5).
- Services inside the app: some services, such as translation, open inside the app and receive your sign-in credentials so you don't have to sign in again. The app sends these only to websites on the Service Provider's own domains.
- Authorities: when required by law or court order, or when needed to protect the rights, safety or property of users, the Service Provider or others.
- Business transfers: in a merger or transfer of business, data may pass to the acquirer. The acquirer must protect it in line with this policy.
5. International transfers
Our servers are in Singapore. The data in your account, such as account details, chat messages, SOS data and health data (section 1.7), is therefore stored and processed there. In addition, some providers, such as push notification providers, crash reporting providers, Google and Apple, may process data in other countries. We transfer data abroad only as the PDPA permits. For example, the destination has adequate data protection standards, appropriate safeguards are in place, or the transfer is necessary to perform our contract with you.
6. Retention
- We keep your account data and content while your account is active.
- Files you delete are permanently removed within 30 days.
- My health data: kept until you delete it or withdraw consent, or until the account is deleted (section 1.7). After you withdraw consent, we keep the record of your consent, and keep the access history, which holds no health data, for 1 year from the day each entry was recorded. When the account is deleted, the access history is deleted with it. Encrypted backups are deleted as the backup cycle rotates them out.
- SOS data on our systems: locations sent during an incident are kept for 7 days after the incident ends (30 days after you pressed SOS if the incident is never closed). What was sent to the dispatch centre (name, phone numbers, emergency contacts and messages) is kept for 30 days after the incident ends, and a record of the incident (its number, the kind of emergency, urgency level, responding agency, whether you said you could not speak, status, outcome and times) for 1 year after it ends. Your SOS setup is kept until you clear it or delete your account.
- SOS data at the dispatch centre: your callback number, name, emergency contacts, messages and the internal ID of your SAINT account are kept for 1 year after the case is closed. Locations sent during the incident are kept for 90 days after the case is closed, after which only the incident location remains. The case record is kept for 5 years after the case is closed and then anonymised. The organisation that runs the dispatch centre sets these periods, and they may change as the law requires.
- Field officer data at the dispatch centre: the dispatch centre deletes photos 1 year after the incident is closed. Other officer mode data follows the centre's own periods.
- When you ask us to delete your account, we delete your personal data or anonymise it within 30 days, and you can cancel the request until then. After that we keep only:
- sign-in records (IP address, device, times, sign-in attempts and the email address used to sign in), each until it is 90 days old, as Thailand's Computer-Related Crime Act requires, opened only for a lawful request;
- security logs, for 1 year from the event, with your user ID removed;
- abuse reports and the reported messages, for 1 year from the report;
- chat messages you sent to others, which stay in the recipients' conversations shown as a deleted user;
- files you put in someone else's space, while they keep them;
- a record that your account was deleted as you asked (an internal reference and dates, with no email address or name), kept with no end date as proof that we did as you asked;
- any other data the law requires us to keep, or that is needed to establish, exercise or defend legal claims.
- When your account is deleted, your SOS data on our systems is deleted and we ask the dispatch centre to delete what we sent it. We keep only a record of that request, with the internal ID of your account, until 30 days after the centre confirms. Case records the dispatch centre must keep follow its own periods.
- Messages you have already sent remain on the recipients' devices. We cannot delete data on other people's devices.
- Security logs are kept only as long as needed for security or as required by law.
7. Security
We use appropriate measures to protect your data:
- encryption in transit and password hashing;
- encryption of certain secrets;
- two-factor authentication and app lock by PIN or biometrics;
- sign-in tokens kept in your device's secure storage;
- sign-in rate limits;
- need-to-know access controls.
Health data travels over an encrypted connection and is encrypted before it is written to the database, with a key kept apart from the database. The copy on your phone is in the device's encrypted storage.
The app keeps a copy of some chat messages on your device so they load faster and work offline. Please lock your device and take care when sharing it with others. No system is completely secure. If a personal data breach occurs, we will notify the regulator and affected people as the law requires.
8. Your rights
Under the PDPA you have the right to:
- access your personal data and obtain a copy;
- receive or transfer your data in a machine-readable format;
- correct your data and keep it up to date (you can edit your profile yourself in the app);
- have your data deleted or anonymised, including deleting your account;
- restrict our use of your data;
- object to the collection, use or disclosure of your data;
- withdraw consent you have given. Withdrawal does not affect processing done before it.
To exercise these rights, contact us using the details in section 11. We will respond within 30 days of receiving your request and may need to verify your identity first.
For "My health data", you can view, correct and delete it yourself in the app, and withdraw consent under My health data > Privacy and sharing.
9. Minors
The Service is intended for people aged 13 and over. Users under 20 need a parent's or guardian's consent where the law requires it. If we learn that we hold data about a child under 13 without valid consent, we will delete it.
10. Changes to this policy
We may update this policy from time to time. If we make material changes, we will tell you in the app before they take effect and ask for fresh consent where the law requires. The latest version is always available in the app and on the Service Provider's website.
11. Contact us
For questions or to exercise your rights over your personal data, contact the Service Provider: