ประกาศความเป็นส่วนตัว — ฉบับร่าง

เอกสารนี้ยังไม่ใช่ประกาศความเป็นส่วนตัวที่พร้อมใช้จริง และไม่ใช่คำรับรองการปฏิบัติตามกฎหมาย

PoC เก็บชื่อบัญชีทดสอบและแฮชรหัสผ่าน ข้อมูลเซสชัน (ตัวระบุแบบแฮช เวลาเริ่ม/หมดอายุ และสถานะเพิกถอน) และโทเคนป้องกัน CSRF ไว้ในฐานข้อมูล

เมื่อใช้ ThaID ระบบตรวจสอบ ID token ที่ลงลายมือชื่อบนเซิร์ฟเวอร์ และผูกบัญชีด้วย HMAC ของ issuer และ subject ไม่เก็บเลขประจำตัวประชาชน subject ดิบ หรือชื่อจาก ThaID ในฐานข้อมูล ค่าผูกบัญชียังคงเป็นข้อมูลนามแฝง ไม่ใช่ข้อมูลนิรนามถาวร โทเคนจากผู้ให้บริการไม่ถูกเก็บในคุกกี้หรือฐานข้อมูล สถานะและ nonce ป้องกันการปลอมคำขอเก็บฝั่งเซิร์ฟเวอร์และหมดอายุใน 10 นาที

การพยายามเข้าสู่ระบบที่ล้มเหลวเก็บแฮชชื่อบัญชีและ IP พร้อมเวลาเพื่อจำกัดการเดารหัสผ่าน แฮชเหล่านี้ไม่ใช่การทำข้อมูลให้ไม่สามารถระบุตัวบุคคลได้อย่างถาวร

คุกกี้ใช้สำหรับเซสชันและ CSRF เท่านั้น ไม่มีการวิเคราะห์ผู้ใช้หรือ CDN ภายนอก เซสชันมีอายุ 8 ชั่วโมง และโทเคน CSRF มีอายุ 10 นาที การหมดอายุไม่เท่ากับลบแถวข้อมูลโดยอัตโนมัติ ผู้ดูแลต้องกำหนดการล้างข้อมูลทดสอบ

เซิร์ฟเวอร์และ reverse proxy อาจบันทึก IP ใน access log ผู้ดำเนินงานต้องกำหนดฐานทางกฎหมาย อายุเก็บรักษา ผู้เข้าถึง ช่องทางติดต่อ และสิทธิของเจ้าของข้อมูลก่อนใช้งานจริง