清迈大学美术学院创意摄影专业（以下简称“我们”）作为本系统 Portfolio Online | CreativePhotography CMU 的个人数据控制者（Data Controller），依据佛历 2562 年（公元 2019 年）《个人数据保护法》（PDPA）高度重视对您个人数据的保护。本政策说明我们如何收集、使用、披露和保护您的数据。
1 我们收集的数据
| 数据类型 | 示例 | 目的 | 法律依据 |
|---|
| 个人信息 |
姓名、学号、出生日期、电话号码、电子邮箱 |
在系统中识别学生并进行联系 |
履行合同 / 正当利益 |
| 作品数据 |
图片、视频、说明文字、作品类型标签 |
在公开网站上展示作品 |
同意 / 正当利益 |
| 登录数据 |
邮箱、密码（使用 bcrypt 加密）、会话 ID |
验证身份并保障账号安全 |
履行合同 |
| 技术数据 |
IP 地址（仅用于估算国家 / 省份）、User-Agent、访问页面、访问时间 |
系统安全与故障排查（日志） |
正当利益 |
| Cookie 数据 |
会话 Cookie、Cookie 同意值 |
网站运行、保存设置 |
必需 / 同意（视类型而定） |
网站访问统计不存储 IP 地址 — 系统仅在打开页面时用 IP 估算访问者所在的国家和省份，并只保存国家 / 省份名称（位置数据来自 DB-IP.com）。
我们不收集健康、宗教或财务等敏感信息，除非获得明确同意。
2 使用目的
- 为教育目的和作品集制作，在线展示学生作品
- 管理用户账号和访问权限
- 提供在社交媒体分享作品的功能
- 保障系统安全，防止未经授权的使用
- 提升服务质量和用户体验
- 就账号及重要系统更新与您联系
3 向第三方披露
我们不会出于商业目的出售、出租或交换您的个人数据。在以下情况下我们可能披露数据：
🌐
技术服务提供商
受数据保护协议约束的托管服务商（服务器位于泰国）
⚖️
政府机关
依法律规定或法院命令（在可能的情况下会事先通知您）
🔗
社交媒体（当您分享时）
当您点击分享按钮时，作品的 URL 会按您的选择发送至 Facebook / LINE / X。所发送的数据适用各平台自己的政策。
4 数据保存期限
| 数据类型 | 保存期限 |
|---|
| 用户账号和个人资料数据 | 账号有效期间 + 注销后 3 年 |
| 作品（图片、视频） | 账号有效期间，或直至删除 |
| 系统访问日志 | 90 天，用于安全目的 |
| Session Cookie | 直至关闭浏览器或会话过期 |
| Cookie 同意值 | 365 天（保存在 localStorage） |
5 Cookie 政策
Cookie 是您访问网站时存储在设备上的小型数据文件。本网站使用以下 Cookie：
这些 Cookie 是网站基本运行所必需的，无法关闭，且不会存储可识别您身份的数据。
| 名称 | 目的 | 有效期 |
|---|
PHPSESSID | 维持登录会话、CSRF 防护 | Session |
ckc_consent | 记录您对 Cookie 政策的接受（localStorage） | 365 天 |
帮助网站记住设置并提升使用体验，例如安装为渐进式网页应用（PWA）
| 名称 | 目的 | 有效期 |
|---|
Cache (SW) | 用于离线使用的 Service Worker 缓存（PWA） | 视 SW 设置而定 |
当您点击按钮将作品分享到 Facebook、LINE 或 X (Twitter) 等社交媒体时使用。这些 Cookie 直接适用各平台自己的政策。
6 数据主体的权利
根据佛历 2562 年（公元 2019 年）《个人数据保护法》，您享有以下权利：
删除权
请求删除个人数据（Right to Erasure / 被遗忘权）
数据可携权
以机器可读格式获取数据，以便转移给其他控制者
我们将在收到请求之日起 30 天 内处理您的请求。
7 数据安全
- 所有密码在存储前均使用 bcrypt 算法加密 — 任何人都无法读取真实密码。
- 所有连接均使用 HTTPS/TLS 以防止数据在传输过程中被截获
- 所有表单均使用 CSRF Token 防御跨站请求伪造（CSRF）攻击
- 数据库位于服务器的私有网络内，不对外公开
- 数据访问权限按角色（admin / student / public）严格划分
8 向境外传输数据
通常我们不会将个人数据传输至境外。但当您选择在社交媒体（Facebook、LINE、X）分享作品时，作品的 URL 会发送至这些平台，其服务器可能位于境外。此传输是依据您的指示进行的。
本网站使用的 Google Fonts 可能会将您的 IP 地址发送给 Google LLC（美国），该公司适用欧美数据隐私框架及 Google 的政策。
10 政策变更
我们可能会不时更新本政策，以符合法律或运营的变化。重大变更将至少在生效前 30 天 于网站上通知。最近更新日期显示在本页顶部。
