ความปลอดภัย

01โครงสร้างพื้นฐาน

JobsKru ทำงานบนบริการคลาวด์ที่มีผู้ให้บริการดูแล แทนการใช้เซิร์ฟเวอร์ที่เราดูแลเอง:

• เว็บไซต์และ API ทำงานบน Cloudflare Workers ภายใต้เครือข่ายของ Cloudflare ซึ่งมีไฟร์วอลล์และระบบป้องกันการโจมตีแบบ DDoS
• ข้อมูลบัญชี งาน และใบสมัคร จัดเก็บในฐานข้อมูล PostgreSQL ที่ Supabase ดูแล
• รูปภาพและวิดีโอจัดเก็บใน Cloudflare R2 ส่วนเอกสารสำคัญ (เช่น เอกสารยืนยันตัวตนและสมุดบัญชีธนาคารของโครงการ Affiliate) แยกเก็บในพื้นที่จัดเก็บส่วนตัวที่ไม่มีที่อยู่สาธารณะ และเข้าถึงได้ผ่าน API ของเราเท่านั้น
• การชำระเงินดำเนินการผ่าน Stripe ข้อมูลบัตรส่งตรงถึง Stripe โดยไม่ผ่านเซิร์ฟเวอร์ของ JobsKru และเราไม่จัดเก็บหมายเลขบัตร

ผู้ให้บริการเหล่านี้ดูแลความปลอดภัยของศูนย์ข้อมูลและฮาร์ดแวร์ของตนเอง เราอ้างอิงมาตรการที่ผู้ให้บริการเผยแพร่สำหรับความปลอดภัยทางกายภาพ

02การเข้ารหัส

• ระหว่างการรับส่ง: ทุกหน้าและทุกการเรียก API ใช้ HTTPS (TLS) และโดเมนไฟล์ cdn.jobskru.com รองรับเฉพาะ TLS 1.3
• ขณะจัดเก็บ: ฐานข้อมูลและพื้นที่จัดเก็บไฟล์ได้รับการเข้ารหัสโดยผู้ให้บริการ
• ข้อมูลสำคัญ: เลขประจำตัวประชาชน เลขประจำตัวผู้เสียภาษี และเลขบัญชีธนาคารสำหรับรับค่าตอบแทน Affiliate จะถูกเข้ารหัสด้วย AES-GCM โดย API ของเราก่อนจัดเก็บ และเก็บในรูปที่อ่านได้เฉพาะเลข 4 หลักสุดท้าย เอกสารยืนยันตัวตนและสมุดบัญชีที่อัปโหลดก็เข้ารหัสด้วยวิธีเดียวกัน

03บัญชีและการเข้าสู่ระบบ

• รหัสผ่านจัดเก็บในรูปแฮช Argon2id เท่านั้น ไม่มีการเก็บในรูปที่อ่านได้
• คุณเปิดใช้การยืนยันตัวตนสองขั้นตอนได้ เพื่อให้การเข้าสู่ระบบต้องใช้รหัสแบบใช้ครั้งเดียวด้วย
• โทเค็นเซสชันสุ่มขึ้นใหม่ทุกครั้ง เก็บในคุกกี้แบบ Secure และ HttpOnly ที่สคริปต์บนหน้าเว็บอ่านไม่ได้ และฝั่งเราจัดเก็บเฉพาะค่าแฮช เซสชันหมดอายุภายใน 30 วัน
• คุณดูอุปกรณ์ที่เข้าสู่ระบบบัญชีของคุณอยู่ และสั่งออกจากระบบอุปกรณ์ใดก็ได้
• บัญชีผู้หางานและบัญชีผู้ว่าจ้างแยกจากกัน และผู้ว่าจ้างเห็นเฉพาะองค์กรที่ตนสังกัด ตามบทบาทที่ได้รับในองค์กรนั้น

04ความปลอดภัยของแอปพลิเคชัน

• กฎการเข้าถึงบังคับใช้ในระดับฐานข้อมูล (PostgreSQL Row-Level Security) คำขอแต่ละครั้งจึงอ่านหรือแก้ไขได้เฉพาะข้อมูลที่ผู้ใช้นั้นมีสิทธิ์ แม้โค้ดของแอปพลิเคชันจะมีข้อบกพร่อง
• แบบฟอร์มได้รับการปกป้องด้วย Cloudflare Turnstile เพื่อป้องกันบอท มีการตรวจสอบการปลอมแปลงคำขอข้ามไซต์ (CSRF) และจำกัดจำนวนครั้งสำหรับการเข้าสู่ระบบ การสมัครสมาชิก และการดำเนินการสำคัญอื่น ๆ
• ข้อความที่โรงเรียนและผู้หางานเขียน เช่น รายละเอียดงาน จะถูกกรองก่อนแสดงผล เพื่อป้องกันการโจมตีแบบ Cross-Site Scripting
• ไฟล์ที่อัปโหลดได้รับการตรวจสอบประเภทและขนาดก่อนจัดเก็บ
• เราออกแบบและตรวจทานโค้ดโดยคำนึงถึงความเสี่ยงตาม OWASP Top 10

05การเข้าถึงโดยเจ้าหน้าที่ JobsKru

• สิทธิ์ผู้ดูแลระบบจำกัดเฉพาะผู้ดูแลแพลตฟอร์ม และส่วนที่อ่อนไหวที่สุด (เช่น ข้อมูลการรับค่าตอบแทน Affiliate) จำกัดเฉพาะผู้ดูแลระบบสูงสุด
• การเปิดดูเอกสารสำคัญ และการดำเนินการของผู้ดูแลระบบต่อบัญชีและองค์กร ต้องระบุเหตุผล และถูกบันทึกในบันทึกการตรวจสอบ (Audit Log)
• ข้อมูลลับและกุญแจเข้ารหัสของระบบจริงเก็บในที่เก็บข้อมูลลับของผู้ให้บริการโฮสติ้ง ไม่ได้อยู่ในซอร์สโค้ด

06ความเป็นส่วนตัวและข้อมูลส่วนบุคคล

เราดูแลข้อมูลส่วนบุคคลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (PDPA) เราจัดทำบันทึกรายการกิจกรรมการประมวลผล เก็บเฉพาะข้อมูลที่บริการจำเป็นต้องใช้ และเก็บไว้เท่าที่จำเป็นเท่านั้น

คุกกี้เพื่อการวิเคราะห์จะใช้เมื่อคุณยินยอมเท่านั้น และไม่ใช้ในหน้าที่คุณเข้าสู่ระบบ ดูรายละเอียดได้ในนโยบายความเป็นส่วนตัว นโยบายคุ้มครองข้อมูลส่วนบุคคล และนโยบายคุกกี้

07การรับมือเหตุการณ์ด้านความปลอดภัย

หากตรวจพบเหตุการณ์ด้านความปลอดภัย เราจะควบคุมสถานการณ์ ตรวจสอบสิ่งที่เกิดขึ้น และแก้ไขที่ต้นเหตุ หากเหตุละเมิดข้อมูลส่วนบุคคลมีแนวโน้มทำให้เกิดความเสี่ยงต่อบุคคล เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลและผู้ได้รับผลกระทบตามที่ PDPA กำหนด

08การแจ้งช่องโหว่

หากคุณพบปัญหาด้านความปลอดภัยใน JobsKru โปรดแจ้งเราที่ security@jobskru.com นโยบายการเปิดเผยช่องโหว่ของเราอธิบายสิ่งที่ควรแจ้ง ขอบเขต และวิธีที่เราจะทำงานร่วมกับคุณ

09ติดต่อเรา

คำถามด้านความปลอดภัย: security@jobskru.com คำถามเกี่ยวกับข้อมูลส่วนบุคคลของคุณ: privacy@jobskru.com