撿到（KyoDeal）隱私權政策
版本：2026-10-04 ・ 生效日：正式上線日
本政策會隨服務調整更新，重大變更會在 App 內通知。
「撿到（KyoDeal）」由林冠廷（Guan Ting Lin，個人）營運（以下稱「我們」），提供附近門市即期出清商品的瀏覽、預訂與取貨服務（「撿到」App 及 kyodeal.app 網站，以下合稱「本服務」）。我們依《個人資料保護法》說明蒐集哪些資料、為什麼蒐集、怎麼保護，以及你可以怎麼行使權利。我們的原則是：只拿做得到服務的最少資料。
一句話版本
- 登入只需要手機號碼，不需要姓名、Email、生日。
- 你的精確位置不會離開手機：App 只在手機上把位置換算成約 1 公里大小的區域代碼，送到伺服器的只有這個代碼。
- 門市店員看不到你的電話或暱稱，只看得到訂單號、品項和數量。
- 只有你主動綁定點數並勾選同意，我們才會把手機號碼提供給點數發行方（美廉社）用於入點。
- 你可以隨時在 App 內刪除帳號。
一、我們蒐集的資料
| 資料 | 什麼時候 | 用途 |
|---|---|---|
| 手機號碼 | 你用簡訊驗證碼登入時 | 識別帳號、登入；你綁定點數時用於入點（見第四節） |
| 暱稱（選填） | 你自己填寫時 | 顯示在 App 內；不提供給門市 |
| 預訂與取貨紀錄 | 你送出預訂、門市確認、取貨時 | 完成預訂、保留商品、取貨核對、客服與爭議處理 |
| 清單、關注、「我要去」、候補 | 你操作這些功能時 | 提供對應功能與通知 |
| 常用地點 | 你設定「家」「公司」、捷運站或使用目前位置時 | 顯示附近門市；只存區域代碼（geohash 6 碼，約 1.2 公里 × 0.6 公里）或捷運站，不存經緯度。使用「目前位置」時，只保留最近一次的區域代碼，用於通知你附近新上架的出清 |
| 推播識別碼（push token） | 你允許通知時 | 傳送訂單狀態、出清提醒等通知 |
| 通知偏好 | 你調整通知設定時 | 決定要不要、什麼時段通知你 |
| 未取貨紀錄 | 門市標記「逾時未取」時 | 依服務規則提醒或暫停預訂（30 天內累計） |
| 點數綁定與點數紀錄 | 你綁定點數、取貨符合任務條件時 | 計算與發放點數（見第四節） |
| 手機號碼的雜湊值 | 你第一次參加新手大禮包時 | 避免同一支號碼重複領取新手大禮包（見第四節）；不可還原為號碼 |
| 操作紀錄（稽核） | 每次寫入操作 | 資安稽核與防止濫用；IP 只保留到網段（IPv4 前 24 位元／IPv6 前 48 位元），完整 IP 不寫入資料庫或紀錄檔 |
我們不蒐集的資料
- 你的精確經緯度（任何資料表、任何紀錄檔都沒有）。
- 姓名、Email、生日、身分證字號。
- 付款資料：本服務不在 App 內付款，結帳在門市進行。
- 簡訊驗證碼明文、廣告識別碼；我們不做跨 App 追蹤，也不放廣告追蹤工具。
二、手機權限
所有權限都是在你使用相關功能時才詢問，拒絕不影響其他功能。
| 權限 | 做什麼 | 資料去向 |
|---|---|---|
| 位置 | 顯示你附近的出清商品 | 位置只在手機上計算成區域代碼，經緯度不會上傳，也不會在背景追蹤你。你也可以改用捷運站或手動選地點。 |
| 相機 | 掃描商品條碼（門市上架）與取貨 QR Code | 影像只在手機上辨識，不會上傳或儲存；送到伺服器的只有掃到的條碼或 QR 內容。 |
| 通知 | 訂單已確認、即將到期、你關注的門市出清、每日出清摘要等 | 透過 Apple（APNs）與 Google（Firebase Cloud Messaging）傳送；通知內容不含你的電話。你可以在 App「通知設定」或手機系統設定中關閉。 |
三、門市看得到什麼
門市店員使用的是綁定在門市手機上的店務功能，永遠看不到你的手機號碼、暱稱或帳號識別碼。門市只看得到：訂單號（例如 A1023）、預訂的品項與數量、訂單狀態，以及取貨時掃描的一次性 QR Code 是否有效。取貨 QR Code 只在門市確認後的保留期間有效，掃描一次即作廢。
四、點數綁定（美廉社）
點數功能是選用的。只有在你於 App「點數」頁主動綁定、並勾選「同意將手機號碼提供給美廉社，用於點數入帳」後：
- 我們會記錄你同意的時間與條款版本。
- 符合任務條件（例如新手大禮包）而產生的點數，我們會定期把你的手機號碼與應入帳點數提供給美廉社，由美廉社入帳到該手機號碼的會員點數。我們不會提供你的預訂明細、位置或其他資料。
- 你可以隨時在 App 內解除綁定；解除後不再提供新的入點資料，已提供並已入帳的點數依美廉社規定處理。解除綁定（或刪除帳號）時已產生、但還沒送出的點數，會在下一次每日批次（通常是隔天）送給美廉社入帳；送出後，我們即刪除綁定紀錄中的手機號碼。
- 點數入帳後，點數的使用與美廉社會員資料，適用美廉社自己的隱私權政策。
未綁定前產生的點數會先保留在我們的紀錄中（狀態為「未綁定」），綁定後才會一併提供入帳。
新手大禮包每支手機號碼一生只能參加一次。為避免重複領取，我們會保留曾參加大禮包的手機號碼雜湊值（不可還原為號碼），用同一支號碼重新註冊不會再次獲得大禮包。這個雜湊值以只存放在伺服器設定中的金鑰計算，不與你的帳號連結，資料庫中也不保存號碼本身。
五、我們會把資料交給誰
我們不販售個人資料。除第四節你同意的點數入帳外，只在提供服務所必要的範圍內，委託下列服務商處理：
- Supabase：帳號登入（簡訊驗證）與資料庫託管，資料庫位於日本（東京）。
- Twilio（美國）：簡訊供應商。登入驗證碼由 Supabase 透過 Twilio 發送；Twilio 只取得你的手機號碼，用於發送驗證碼。
- Cloudflare：伺服器（API）與網站託管、網路安全防護，以及圖片傳輸；Cloudflare 的全球網路負責 API 與圖片的傳輸。
- Google Firebase Cloud Messaging、Apple Push Notification service：傳送推播通知（只會收到推播識別碼與通知內容）。
你的資料儲存在日本（東京）的 Supabase 資料庫；API 與圖片經由 Cloudflare 的全球網路傳輸，因此資料的處理地點可能在台灣以外。依法令要求（例如檢調機關依法調取）時，我們會在法定範圍內提供。
六、存在你手機上的資料
App 只在手機上保存：登入憑證（存取權杖）、門市手機的裝置憑證（僅門市人員）、介面偏好（例如上次選的地點）。不在手機上保存你的電話或其他個人資料。Android 手機的雲端備份與換機轉移不會帶走這些憑證；iPhone 的 iCloud 備份可能包含 App 偏好設定（含登入憑證），憑證過期或你登出後即失效。
七、資料安全
- App 與伺服器之間全程使用 HTTPS 加密。
- 資料庫預設拒絕所有直接存取，只有伺服器以最小權限讀寫；App 內不包含任何伺服器金鑰。
- 邀請碼、裝置憑證、取貨 QR 憑證在資料庫中只存雜湊值，不存明文。
- 門市人員的每一個操作（上架、確認、交貨、標記未取）都會留下稽核紀錄。
八、保存期間
- 帳號資料：保存到你刪除帳號為止。
- 點數紀錄：為對帳與依法令保存帳務紀錄，保存 5 年。
- 預訂與取貨紀錄：為處理爭議與客服，保存 2 年。
- 操作稽核紀錄：保存 1 年。
- 刪除帳號後，上述紀錄只保留不含手機號碼的部分。
- 交付點數發行方的入點名單檔（含手機號碼）：自發行方確認入點完成起保留 90 天後刪除。
- 曾參加新手大禮包的手機號碼雜湊值：為執行「一生一次」的規則而保留（見第四節）。
- 未讀通知與推播佇列：刪除帳號時立即刪除。
九、刪除帳號
在 App「我的 → 刪除帳號」即可刪除（有進行中的預訂時，需先取貨或取消）。刪除時我們會：
- 清除你的手機號碼、暱稱、推播識別碼與通知偏好；
- 刪除常用地點、關注、清單、「我要去」，取消候補；
- 解除點數綁定，不再提供新的入點資料；
- 保留已完成的預訂與點數紀錄（已不含電話，無法再連結到你）以供對帳；還沒送出的點數依第四節在下一次每日批次送出後，刪除綁定紀錄中的手機號碼；
- 登入系統（Supabase Auth）中的手機號碼紀錄，於刪除帳號後 30 日內刪除。
刪除後無法復原。登入系統中的紀錄刪除前，這支手機號碼暫時無法再登入；之後再用同一支手機號碼登入，會是一個新的帳號，但不會再次獲得新手大禮包（見第四節）。
十、你的權利
依《個人資料保護法》第 3 條，你可以請求查詢、閱覽、製給複製本、補充或更正、停止蒐集處理利用，以及刪除你的個人資料。多數項目可以直接在 App 內完成；其他請求請來信，我們會在確認是本人後 30 日內處理。
十一、未成年人
未滿 18 歲請在法定代理人同意下使用本服務。
十二、政策變更
本政策如有重大變更，我們會在 App 內通知，並更新本頁的版本與生效日。點數綁定的同意條款變更時，會請你重新確認。
十三、聯絡我們
個人資料相關請求、客服與其他問題，都請來信 [email protected]。
營運者：林冠廷（Guan Ting Lin，個人），品牌「撿到（KyoDeal）」。