隱私權政策

1. 我們蒐集的資料

帳號資料

• Email；暱稱（沒填時取 Email @ 前段，或 Google／Apple 提供的姓名）；頭像（你上傳的照片，或 Google 提供的大頭照網址；Google 大頭照由 Google 的伺服器直接提供）。
• 密碼：只保存經雜湊處理的結果，我們看不到你的密碼原文。
• 使用 Google 或 Apple 登入時：該服務提供的帳號識別碼、Email 與姓名。使用 Apple 隱藏 Email 時，我們只會收到 Apple 的轉寄地址。
• 使用 Apple 登入時：Apple 提供的授權憑證（加密保存，刪除帳號時用來向 Apple 撤銷授權）。

寶寶資料

• 寶寶是這些資料的當事人。寶寶資料只能由寶寶的父母或監護人，或經父母、監護人同意代為記錄的照顧者提供，並由父母或監護人負責同意。
• 寶寶暱稱、性別（可選「保密」）、出生日期、副食品起始日、頭像，以及過敏或體質備註（選填）。

餐次紀錄

• 日期與時間、料理名稱、食材、質地、份量、作法與餵食備註。
• 餐前、餐後照片（選填）。

健康相關紀錄

• 疑似不適紀錄（選填）：症狀、描述、處置備註、疹子照（最多 3 張），以及 App 是否顯示過就醫提醒。
• 寶寶的過敏或體質備註（選填）。
• 這些是你為寶寶記錄的健康相關資料，只用於讓你記錄與回看，不用於廣告或行銷。我們不會解讀這些紀錄，也不會判斷寶寶是否過敏或生病。
• 請勿填入病歷、診斷證明等醫療院所文件的內容。

帳號安全與系統紀錄

• 登入憑證與登入紀錄：登入時間、登入方式、IP 位址、裝置資訊（User-Agent）。
• 驗證碼紀錄：收件 Email、申請時的 IP 位址、寄送狀態，以及等待驗證期間暫存的註冊資料（暱稱、經雜湊處理的密碼）；驗證碼只保存經雜湊處理的結果。
• 同意免責聲明的時間、版本與當時的 IP 位址；同意服務條款與本政策的版本與時間。
• 伺服器存取紀錄：每次請求的 IP 位址、時間、請求方法、完整網址（含查詢字串，例如你在食材庫搜尋的文字）、狀態碼、請求與回應的大小、處理時間、裝置資訊（User-Agent）、來源網頁（Referer）與通訊協定，依第 4 節最長保留 30 日。
• 72 小時溯源開啟紀錄：只記錄哪一餐的溯源在何時被開啟，不另記帳號、IP 或裝置。
• 防止濫用的計數：以經雜湊處理的 IP 位址、Email 或帳號代碼，計算登入、驗證碼寄送與兌換、變更密碼的嘗試次數，不保存 IP 位址或 Email 原文。
• 以未註冊的 Email 申請重設密碼時：只保存遮罩後的 Email、經雜湊處理的 Email、申請時間與驗證碼輸入次數。

存在你裝置上的資料

• 登入憑證（存在手機系統的安全儲存區）、App 自行保存的已讀取資料暫存、尚未送出的記餐內容。登出或刪除帳號時，App 會清除這些資料。
• 手機系統為顯示圖片可能另外留下快取，由手機系統管理，刪除 App 時清除。
• 另有「某則一次性提示是否已顯示過」的標記，不含紀錄內容，登出或刪除帳號後仍留在裝置上；刪除 App 時清除。

裝置權限

• 相機與相簿：只在你拍照或選照片時使用。拒絕授權仍可記錄，只是無法附照片。

我們不蒐集的資料

• App 不要求定位權限，也不讀取你裝置的位置。
• 我們不蒐集聯絡人、錄音、廣告識別碼與付款資料。
• App 本身沒有內建使用分析、當機回報或廣告工具。參加 TestFlight 測試，或在 iPhone 設定中同意與 App 開發者分享分析資料時，Apple 可能把當機報告提供給我們，見第 3 節。

資料類別

• 識別個人的資料：Email、暱稱、頭像、帳號識別碼。
• 寶寶的個人描述：暱稱、性別、出生日期、副食品起始日、頭像。
• 生活與飲食紀錄：餐次紀錄與餐盤照。
• 健康相關紀錄：疑似不適紀錄、疹子照、過敏或體質備註。
• 帳號安全與系統紀錄：IP 位址、裝置資訊、登入與驗證紀錄、同意紀錄、伺服器存取紀錄（含你在 App 中操作時的網址與搜尋文字）。

2. 使用目的與依據

• 建立與管理帳號：登入、Email 驗證、重設密碼、寄送驗證碼與密碼變更通知。
• 提供記餐、行事曆、疑似不適紀錄、72 小時溯源、食材庫與食育統計。
• 維護帳號安全與服務運作：偵測異常登入、防止濫用，以及依伺服器存取紀錄排除故障、了解效能與調查資安事件。
• 保存你同意免責聲明、服務條款與本政策的紀錄。
• 改善服務：只計算每週記餐數、沿用前一餐的比例、溯源開啟率等整體數字，只產出無法識別個人的彙總數字，不另外蒐集個人資料。

上述處理的依據，是你與我們之間的服務契約關係，以及你在註冊時對本政策的同意。

健康相關紀錄的同意：你勾選同意本政策並完成註冊，即表示你同意我們依本政策處理你為寶寶填寫的健康相關紀錄（疑似不適紀錄、疹子照、過敏或體質備註），只用於讓你記錄與回看。這些欄位都是選填；不同意時，請不要填寫。這些紀錄與疹子照會依第 4 節存放在台灣以外的資料庫與照片儲存空間。

我們不出售個人資料、不投放廣告、不把你的資料公開或提供給其他使用者，也不做醫療診斷。

3. 資料提供對象

受我們委託處理資料的服務商

這些服務商依其與我們之間的服務合約與資料處理條款，只在提供本服務所需的範圍內處理資料，並提供不低於本政策的保護：

• Resend（美國 Plus Five Five, Inc. 提供）：寄送驗證碼、重設密碼與密碼變更通知信。處理收件 Email、信件內容與寄送紀錄。信件從日本（東京）寄出；寄送紀錄等資料存放在美國，並可能由 Resend 在美國的服務商處理，見第 4 節。
• Cloudflare（美國 Cloudflare, Inc. 提供）：App 與我們伺服器之間所有連線的傳送，以及照片儲存（R2）與照片網址的傳送。處理經過的連線內容，包括登入時輸入的 Email 與密碼、第 1 節中你在 App 輸入的各項資料與你的 IP 位址，以及你上傳的照片。連線經過的機房與照片的儲存位置可能在台灣以外，見第 4 節。
• Google Cloud Run（Google LLC 提供的雲端服務）：執行 App 的伺服器程式，機房在台灣。處理第 1 節中存在伺服器的所有資料。
• Neon（Databricks 旗下的資料庫服務）：存放 App 的資料庫，機房在新加坡（使用 Amazon Web Services 的新加坡機房）。處理第 1 節中存在伺服器的所有資料。

你選擇使用的登入服務

• Google、Apple：你選擇用 Google 或 Apple 登入時，由該服務確認你的身分，並把第 1 節所列的帳號識別碼、Email、姓名等提供給我們。你在 Google、Apple 的資料，依其各自的隱私權政策處理。
• 你使用 Apple 登入並刪除帳號時，我們會把 Apple 授權憑證送回 Apple，請 Apple 撤銷授權。

由 Apple 提供的回饋與當機報告

• 參加 TestFlight 測試時：Apple 會把你送出的意見（可能包含螢幕截圖、裝置資訊與你的 Email）及當機報告提供給我們；TestFlight 的當機報告依 Apple 的規定自動分享。
• 使用正式版時：如果你在 iPhone 設定中同意與 App 開發者分享分析資料，Apple 會把當機報告提供給我們。
• 這些資料由 Apple 依其隱私權政策蒐集，存放在 Apple 的開發者服務；我們只用於修正問題。

其他情形

除上述情形外，我們只在法律明文規定、司法或主管機關依法要求、為免除你的生命、身體、自由或財產上的危險、為防止他人權益的重大危害，或經你同意時，才會在必要範圍內提供資料。

4. 利用期間、地區、對象與方式

利用地區

• 台灣：營運者所在地。
• 日本、美國：Resend 寄信。信件由 Resend 位於日本（東京）的寄送設施寄出；寄送紀錄（收件 Email、寄送狀態與事件紀錄）存放在美國，信件內容也可能存放在美國。
• Google、Apple 登入：依其各自的政策處理。
• Apple 提供的回饋與當機報告：依 Apple 的政策處理。
• App 與伺服器之間的連線、照片網址的傳送：經 Cloudflare 的全球網路，由接收連線的 Cloudflare 機房處理，該機房可能位於台灣以外。
• 伺服器：台灣（Google Cloud Run）。
• 伺服器紀錄（Google Cloud Logging）：儲存地區可能在台灣以外。
• 資料庫：新加坡（Neon）。第 1 節中存在伺服器的資料，包括帳號資料、寶寶資料、餐次紀錄與健康相關紀錄，會傳送到台灣以外的新加坡儲存與處理。
• 照片儲存：Cloudflare R2。我們已將亞太地區設為偏好的儲存位置，但這項設定不能指定照片實際存放的國家或地區；你上傳的照片（餐盤照、疹子照與頭像）可能存放在台灣以外，包括亞太地區以外。

利用對象與方式

• 對象：我們，以及第 3 節所列的服務商。
• 方式：以電子方式在伺服器、資料庫、照片儲存空間、你的裝置與上述服務商的系統中處理，用於第 2 節的目的。

保存期間

• 帳號資料、寶寶資料、餐次紀錄、健康相關紀錄與照片：保存到你刪除該筆資料或刪除帳號為止。已刪除的餐盤照，Cloudflare 與裝置的快取最長可能再保留 1 日；照片檔案刪除失敗時的情形，見第 7 節。
• 登入憑證與登入紀錄：保存到你刪除帳號為止。
• 免責聲明、服務條款與本政策的同意紀錄：保存到你刪除帳號為止，刪除帳號時一併刪除。
• 用 Email 註冊、超過 7 天仍未完成驗證的帳號：每日自動清除。
• 驗證碼：10 分鐘內有效；驗證碼紀錄在建立 24 小時後，於每日清理時刪除。
• 防止濫用的計數：最長保存 2 日，期滿於每日清理時刪除。
• 以未註冊的 Email 申請重設密碼的紀錄：建立 24 小時後，於每日清理時刪除。
• 未完成記餐的暫存照片：1 天後自動刪除。
• 伺服器紀錄（log）與資料庫備份：最長保留 30 日，期滿刪除或覆寫。
• Resend 寄件紀錄（收件 Email、信件內容、寄送狀態與事件紀錄）：依 Resend 公告，由 Resend 保存 30 日。
• Apple 提供的測試回饋與當機報告：存放在 Apple 的開發者服務，依 Apple 的規定保存（當機報告可下載 120 日）；我們不另外保存副本。
• 以未註冊的 Email 登入失敗時留下的登入事件紀錄（時間、方式、IP 位址、裝置資訊，不含 Email）：保存 30 日，期滿於每日清理時刪除。
• 未完成驗證而被自動清除，或因他人以同一 Email 完成驗證而被取代的帳號：其登入事件紀錄與帳號同時刪除。

5. 安全措施

• 密碼、驗證碼與登入憑證，伺服器只保存經雜湊處理的結果；Apple 授權憑證加密保存。
• 每個帳號只能存取自己的寶寶與紀錄。變更或重設密碼後，其他裝置會被登出。
• 限制驗證碼的寄送次數與輸入錯誤次數。
• 手機上的登入憑證存在系統的安全儲存區。正式版 App 只透過 HTTPS 加密連線。
• 疹子照、寶寶頭像與使用者頭像存在不公開的空間，只有登入的本人能取得網址，網址 15 分鐘後失效；在這 15 分鐘內，拿到網址的人不必登入也能看到。App 不提供分享或複製照片網址的功能。
• 發生個人資料被竊取、洩漏、竄改或其他侵害時，我們會查明後依法以適當方式通知你，說明發生的事實與已採取的因應措施。

餐盤照是公開網址

• 餐前、餐後照片存放在公開網址。網址含無法猜測的隨機碼，App 只顯示給你本人，但知道網址的人不必登入就能看到。
• 請勿在餐盤照中拍入可識別寶寶臉部或住家的畫面。

6. 你的權利

依個人資料保護法，你可以就我們保存的你與寶寶的個人資料，行使下列權利：

• 查詢或請求閱覽。
• 請求製給複製本。
• 請求補充或更正。
• 請求停止蒐集、處理或利用。
• 請求刪除。

如何行使

• 你可以直接在 App 內查看、編輯或刪除資料，或依第 7 節刪除帳號。寶寶檔案目前無法在 App 內單獨刪除，請寄信請求，或刪除帳號。
• 其他請求（包括資料副本），請寄信到 support@dailylittlespoon.app，說明你要行使的權利。
• 確認身分：請用註冊時的 Email 寄信。如果你使用 Apple 隱藏 Email，或無法使用註冊 Email，請在信中說明，我們會用其他合理方式確認你的身分。
• 處理期限：查詢、閱覽與製給複製本，我們會在收到申請後 15 日內決定，必要時可延長 15 日，並會以 Email 通知你延長的原因；補充、更正、停止蒐集處理利用與刪除，會在 30 日內決定，必要時可延長 30 日，並會以 Email 通知你延長的原因。
• 你以 Email 提出請求時，我們會以 Email 回覆與通知；如你希望改以紙本，請在信中說明。

不提供資料的影響

• Email（或 Google、Apple 帳號），以及同意服務條款與本政策，是使用本服務的必要條件。
• 寶寶暱稱與出生日期是建立寶寶檔案的必填欄位。
• 其他欄位都可以不填，只是相關功能無法使用或紀錄不完整。

7. 刪除帳號

• 在 App 內：進入「設定 › 永久刪除帳號」，依畫面輸入大寫英文「DELETE」確認。
• 無法使用 App：寄信到 support@dailylittlespoon.app，主旨寫「刪除帳號」；依第 6 節確認身分後，由我們刪除。申請方式也公布在支援頁：https://dailylittlespoon.app/support#delete-account。
• 會一併刪除：帳號（Email、暱稱、頭像、密碼）、Google／Apple 登入連結與授權憑證、登入憑證、驗證碼、登入紀錄、免責聲明與條款政策的同意紀錄，以及你的寶寶與其全部餐次、疑似不適、溯源紀錄與照片。我們不保留「已註銷使用者」的資料。
• 你的裝置上的登入憑證與暫存資料也會清除（第 1 節所寫的一次性提示標記除外，刪除 App 時清除）。刪除後無法復原；用同一個 Email 重新註冊，會是全新的帳號。
• 使用 Apple 登入時，我們會請 Apple 撤銷授權；撤銷失敗時帳號仍會刪除，你可以在 iPhone 的「設定 › Apple 帳號 › 使用 Apple 登入」自行移除。
• 刪除帳號、刪除餐次、更換或移除照片時，如照片檔案一時刪除失敗，我們會每日自動重試，並在 7 日內完成刪除；完成前，其中的餐盤照仍可能透過原網址被看到。
• 已刪除的餐盤照，Cloudflare 與裝置的快取最長可能再保留 1 日，期間知道原網址的人仍可能看到。
• 伺服器紀錄與資料庫備份中的資料，會在第 4 節所寫的 30 日內刪除或覆寫。
• 刪除時，伺服器紀錄會留下一行刪除紀錄：經雜湊處理的帳號代碼與刪除時間，不含 Email、IP 位址或姓名，與其他伺服器紀錄一樣最長保留 30 日。
• 防止濫用的計數（以經雜湊處理的 Email、IP 位址或帳號代碼計算，不含原文）不會在刪除帳號時立即刪除，會依第 4 節在最長 2 日內，於每日清理時刪除。

8. 寶寶與兒童

• 本服務給年滿 18 歲的父母、監護人與照顧者使用，不供兒童自行註冊或使用。
• 寶寶資料不會公開給其他使用者，也不用於廣告或行銷；餐盤照以公開網址存放，說明見第 5 節。

9. 不是醫療服務

• 本服務是生活紀錄工具，不提供醫療診斷、治療或建議。疑似不適紀錄、食材標示與營養資訊只是整理與提醒，不能取代兒科醫師的評估。
• 寶寶出現呼吸困難、嘴唇或臉部腫脹、意識不清等急性不適時，請立即撥打 119 或就醫。

10. 政策更新與聯絡

• 本政策任何更新都會換新的版本號與生效日，公布在 App 內與本政策公布網址。你下次打開或切回 App 時，須重新閱讀並同意，才能繼續使用。
• 你不同意時，可以在同意畫面登出；如需刪除帳號，請寄信到 support@dailylittlespoon.app。
• 我們如要把你的資料用於本政策所列以外的目的，或提供給第三方作其自身用途，會先取得你的同意才開始。更換或新增受我們委託處理資料的服務商時，會更新本政策，並依本節第 1 項請你重新同意。
• 對本政策或你的個人資料有任何問題，請寄信到 support@dailylittlespoon.app。