ความปลอดภัยและความเป็นส่วนตัว

คู่มือนี้จะอธิบายถึงสถานที่จัดเก็บข้อมูลของคุณ วิธีการปกป้องข้อมูล และผู้ที่มีสิทธิ์ดูข้อมูลดังกล่าวในสำนักงานกฎหมายของคุณ

การเข้ารหัสข้อมูล#

• ขณะส่งข้อมูล (In transit): ข้อมูลทั้งหมดระหว่างเบราว์เซอร์ของคุณกับ Lawzana Flow จะส่งผ่าน HTTPS
• ขณะจัดเก็บ (At rest): ผู้ให้บริการระบบคลาวด์ของเราจะเข้ารหัสข้อมูลที่จัดเก็บไว้: Google Cloud สำหรับไฟล์ที่อัปโหลด และ DigitalOcean สำหรับฐานข้อมูล
• เอกสาร: ไฟล์ที่อัปโหลดจะถูกจัดเก็บไว้ใน Google Cloud Storage พร้อมการเข้ารหัสฝั่งเซิร์ฟเวอร์ (Server-side encryption)

ขอบเขตภูมิภาคในการจัดเก็บข้อมูล (Data Residency)#

ไฟล์ที่คุณอัปโหลดจะถูกจัดเก็บไว้ในภูมิภาคเดียว สำนักงานกฎหมายที่ลงทะเบียนผ่าน flow.lawzana.com จะได้รับภูมิภาคยุโรป สำหรับสำนักงานที่เริ่มต้นจาก Lawzana Directory จะสามารถเลือกภูมิภาคได้เมื่อมีการสร้างพื้นที่ทำงาน (Workspace)

มีเพียงไฟล์ที่อัปโหลดเท่านั้นที่จะถูกจัดเก็บไว้ในภูมิภาคนั้น ฐานข้อมูล ระบบค้นหา งานเบื้องหลัง (Background jobs) และเซิร์ฟเวอร์แอปพลิเคชันจะทำงานบน DigitalOcean ในสหรัฐอเมริกา คำขอใช้งาน AI จะได้รับการประมวลผลโดย Google Vertex AI บนปลายทางระดับสากล (Global endpoint) ดังนั้นจึงไม่ได้จำกัดอยู่เฉพาะในภูมิภาคจัดเก็บไฟล์ของคุณ

คุณสามารถดูภูมิภาคของคุณได้ที่ Settings → General ใต้หัวข้อ File Storage Region

ความเป็นส่วนตัวของข้อมูล AI#

สิ่งที่ Google ดำเนินการกับคำขอของคุณ#

เราใช้ Google Vertex AI โดย Google จะไม่นำเนื้อหาของคุณไปใช้ในการฝึกฝนโมเดล และมีการปิดการบันทึกข้อมูลคำขอ (Request logging) ในโปรเจกต์ของเรา Google อาจเก็บรักษาคำขอไว้ในหน่วยความจำชั่วคราวได้สูงสุด 24 ชั่วโมงเพื่อการทำแคช (Caching) และอาจบันทึกข้อมูลเพื่อตรวจจับการใช้งานที่ไม่เหมาะสม

• เอกสารและข้อมูลของคุณจะไม่ถูกนำไปใช้ฝึกฝนโมเดล AI อย่างเด็ดขาด
• การบันทึกข้อมูลคำขอ (Request logging) ถูกปิดการใช้งานในโปรเจกต์ Google Cloud ของเรา
• Google อาจเก็บรักษาคำขอไว้ในหน่วยความจำได้สูงสุด 24 ชั่วโมงเพื่อการทำแคช โดยแยกเฉพาะสำหรับโปรเจกต์ของเรา
• Google อาจบันทึกคำขอเพื่อตรวจจับการใช้งานที่ไม่เหมาะสม
• ตัวระบบ Lawzana Flow เองจะจัดเก็บประวัติการแชทกับ AI บทสรุป และข้อเท็จจริงที่สกัดได้ไว้เป็นส่วนหนึ่งของคดีของคุณ

ขั้นตอนการประมวลผลของ AI#

1. คุณส่งคำขอการทำงานของ AI (เช่น สรุปเนื้อหาเอกสาร)
2. เอกสารจะถูกส่งไปยัง Google Vertex AI เพื่อทำการประมวลผล
3. AI จะสร้างผลลัพธ์คำตอบ
4. ผลลัพธ์จะถูกส่งกลับมายัง Lawzana Flow และบันทึกลงในบัญชีของคุณ
5. Google จัดการคำขอตามรายละเอียดที่ระบุไว้ข้างต้น

การยืนยันตัวตนและการเข้าถึง#

• ลงชื่อเข้าใช้ด้วยอีเมลและรหัสผ่าน พร้อมการยืนยันอีเมลก่อนการลงชื่อเข้าใช้ครั้งแรก
• ลงชื่อเข้าใช้ด้วย Google และ Microsoft
• Magic links สำหรับพอร์ทัลลูกความ: ลูกความไม่จำเป็นต้องใช้รหัสผ่านหรือมีบัญชีผู้ใช้
• บทบาทผู้ใช้งาน: สิทธิ์การใช้งาน 4 ระดับ (Owner, Admin, Member, Viewer) ดูเพิ่มเติมที่ ทีมและบทบาทหน้าที่
• การมองเห็นระเบียนข้อมูล: เลือกว่าจะให้ Member และ Viewer มองเห็นผู้มีแนวโน้มจะเป็นลูกความ (Leads) และคดีทั้งหมด หรือเห็นเฉพาะรายการที่ได้รับมอบหมายหรือแชร์กับพวกเขาเท่านั้น
• กำแพงจริยธรรม (Ethical walls): ป้องกันไม่ให้สมาชิกในทีมเข้าถึงคดีที่มีผลประโยชน์ทับซ้อน ดูเพิ่มเติมที่ กำแพงจริยธรรม
• ลิงก์พอร์ทัลมีวันหมดอายุ และคุณสามารถเพิกถอนสิทธิ์ได้ตลอดเวลา

ความปลอดภัยของเซสชัน#

• เซสชันจะใช้คุกกี้ประเภท HTTP-only ที่มีการลงนามและเข้ารหัส (JavaScript ไม่สามารถอ่านได้)
• ระบบจะตรวจสอบสิทธิ์การเข้าถึงซ้ำทุกๆ สองสามนาที ดังนั้นสมาชิกที่ถูกลบออกจะสูญเสียสิทธิ์การเข้าถึงในทันที

บันทึกการตรวจสอบ (Audit Logging)#

บันทึกการตรวจสอบจะบันทึกข้อมูลต่อไปนี้:

• การลงชื่อเข้าใช้
• การเปลี่ยนแปลงข้อมูลผู้มีแนวโน้มจะเป็นลูกความ คดี รายชื่อติดต่อ ลูกความ และระบบอัตโนมัติ
• การอัปโหลด การดู การดาวน์โหลด และการลบเอกสาร
• การเปลี่ยนแปลงขั้นตอนของคดีและการแปลงสถานะผู้มีแนวโน้มจะเป็นลูกความ
• การตรวจสอบผลประโยชน์ทับซ้อน (Conflict checks)
• การเปลี่ยนแปลงบทบาทและการลบสมาชิกในทีม
• การเปลี่ยนแปลงการมองเห็นและการแชร์ระเบียนข้อมูล

บันทึกการตรวจสอบสามารถ:

• ค้นหาได้ ตามการกระทำ ประเภทระเบียน ผู้ใช้งาน หรือวันที่
• ส่งออกได้ เป็นไฟล์ CSV
• เข้าถึงได้เฉพาะผู้มีบทบาท Owner ของสำนักงานเท่านั้น โดยไปที่ Settings → Audit Logs

ความปลอดภัยของโครงสร้างพื้นฐาน#

• เซิร์ฟเวอร์แอปพลิเคชัน ฐานข้อมูล ระบบค้นหา และงานเบื้องหลัง ได้รับการโฮสต์บน DigitalOcean ในสหรัฐอเมริกา; ไฟล์ที่อัปโหลดจะถูกจัดเก็บใน Google Cloud Storage
• ทราฟฟิกทั้งหมดวิ่งผ่าน Cloudflare
• เฮดเดอร์ Content Security Policy (CSP) เพื่อช่วยป้องกันการโจมตีแบบ Cross-site scripting
• ระบบตรวจสอบข้อผิดพลาดด้วย Sentry

การสำรองข้อมูล#

• สำรองข้อมูลฐานข้อมูลอัตโนมัติทุกวัน โดยเก็บรักษาไว้เป็นเวลา 7 วัน
• กู้คืนฐานข้อมูลย้อนหลังตามจุดเวลาที่ต้องการ (Point-in-time restore) ได้ภายใน 7 วันดังกล่าว

ข้อมูลของคุณ#

• มีข้อตกลงการประมวลผลข้อมูล (Data Processing Agreements) ให้เมื่อมีการร้องขอ
• ดาวน์โหลดไฟล์ใดๆ ของคุณได้ตลอดเวลา
• ติดต่อเราเพื่อขอส่งออกข้อมูลทั้งหมดของคุณ หรือขอลบข้อมูลส่วนบุคคลของคุณได้

การเปิดเผยช่องโหว่อย่างมีความรับผิดชอบ (Responsible Disclosure)#

หากคุณตรวจพบช่องโหว่ด้านความปลอดภัย โปรดรายงานมาที่ [email protected]

ติดต่อเรา#

สำหรับคำถามเกี่ยวกับความปลอดภัย:

• อีเมล: [email protected]
• ฝ่ายสนับสนุนทั่วไป: [email protected]