隱私權政策

Ajimi（味見）由 Event Horizon AI 開發與營運。這份政策說明我們收集什麼、為什麼收集、交給誰處理、保留多久，以及你怎麼要回控制權。

一、適用範圍

本政策適用於 Ajimi iOS App、ajimi.app 網站，以及我們為此提供的後端服務。它不適用於你透過 Ajimi 連結前往的第三方網站或服務，那些服務有各自的隱私政策。

若你在台灣以外使用 Ajimi，我們仍以本政策所述的統一基線處理你的資料，並在當地法規要求更高時遵循當地規定。

二、Ajimi 沒有帳號，這代表什麼

Ajimi 1.0 不設帳號，不需要 Email、手機號碼或任何登入方式。我們沒有你的姓名；後端資料只透過識別碼對應到裝置或訂閱，不對應到你的姓名或 Apple ID。

這同時代表：你的資料以「這一台裝置」為錨。刪除 App，手機裡的檔案與歷史就一併消失；換手機時，付費方案靠 Apple 帳戶的「恢復購買」找回，檔案需要重新建立。

• 我們用三個隨機產生的識別碼運作：訂閱服務的匿名使用者識別碼（RevenueCat）、產品分析的裝置識別碼（PostHog）、App 更新分發的安裝識別碼（Expo）。此外，訂閱服務的軟體套件每次連線都會附上 iOS 提供給開發者的廠商識別碼（IDFV）：同一開發者的 App 在同一台裝置上共用這個值，刪除這台裝置上該開發者的全部 App 後即重置。這些識別碼都不連結你的姓名或 Apple ID，但屬於可間接識別的資料，我們以個人資料對待。
• 這些識別碼目前在 App 內看不到。這會影響你行使權利的方式，第十節會說明白。
• 你替家人取的稱呼只存在你的手機裡，不會送到後端。送去判決的請求裡，家人只以序位代號區分（第一位、第二位……），每個人的手機上都是同一組代號，不能用來識別誰。

三、我們收集哪些資料

我們只收集產生判決與維持服務所需的資料。以下是完整清單，並且分清楚「存在你手機裡」與「送到我們後端」兩件事。

• 我們不收集姓名、手機號碼、精確位置、通訊錄、相簿的全域存取權，也不讀取你未主動送出的照片；App 內不收集 Email。
• 你可以不建立任何檔案只用基礎掃描；那樣後端收到的就只有照片、判決明細與使用行為事件。
• 不提供上述資料的影響：不提供檔案，判決只會是一般質量參照，不會為你個人化；不允許相機或相簿，就無法掃描。

四、我們為什麼可以處理這些資料

我們依以下基礎處理你的資料。撤回同意的方式：在 App 內關閉或刪除對應檔案（包含家人的）、刪除 App，或來信 privacy@ajimi.app；撤回不影響撤回前已進行的處理。

• 履行你要求的服務：提供掃描、判決、歷史與訂閱功能。
• 你的明示同意：健康相關檔案（孕期、過敏原、控糖、GLP-1 期間）與清真偏好，以你在建立檔案前於 App 內的明示同意為基礎，你可以隨時撤回。
• 替家人建立的檔案：成年家人的檔案，以你事先取得對方同意為前提；未成年家人的檔案，以其法定代理人的同意為基礎——你是法定代理人時由你決定，不是時請先取得法定代理人的同意。第一次加入家人之前，App 會請你確認這一點。
• 「問 Aji」：第一次使用前，App 會說明送出什麼、交給誰，在你同意後才開始。你可以不使用它，不影響其他功能。
• 正當利益：維護服務安全、排除故障、防止濫用、改善產品；我們會確保此目的不逾越你的權益。
• 法律義務：稅務與帳務紀錄的保存。

五、你拍的照片與你問的問題怎麼處理

照片是 Ajimi 的核心輸入，也是最需要講清楚的一類資料；你在「問 Aji」裡輸入的問題同樣在這裡說明：

• 照片以加密連線送到我們的後端（Cloudflare Workers），再交給模型供應商辨識成分與營養標示；辨識時，供應商只收到照片與辨識指令，不會收到你的檔案。辨識完成後留下的是結構化的辨識結果，供規則引擎產生判決。
• 照片在後端保留 30 天，之後自動刪除；手機端不保存照片副本。
• 你在判決頁按下「回報辨識錯誤」時，App 只送出那一筆判決的編號，不附帶你的檔案或任何識別碼；我們會由人工查看那一次的照片與判決（判決中包含依你的檔案得出的結論），用來修正辨識。被回報的一筆同樣在 30 天後刪除，不因回報而延長。
• 我們不做人臉辨識或身分辨識，也不用照片建立任何關於你個人的側寫。請避免拍到他人的臉或個人資訊，照片只需要包含食品與標示。
• 目前沒有把用戶照片留作商品庫樣本的作法。未來若要這麼做，會先在 App 內取得你的明示同意，且樣本會先去除與識別碼的關聯；你可以拒絕，拒絕不影響任何功能。
• 你在判決頁使用「問 Aji」追問時，App 會把你的問題連同那一筆判決的內容送到我們的後端，再交給模型供應商 Anthropic 產生回覆。這時供應商會看到判決裡依你的檔案得出的結論與檔案類型名稱（例如「控糖」「孕期」），但不會收到孕期週數、過敏原清單、家人的資料、照片或任何識別碼。回覆在顯示之前會先經過我們的檢查。對話我們不保存；關掉對話頁，它就從手機清除。請不要在問題裡輸入姓名、病歷或其他你不想送出的個人資訊。

六、我們委託的處理者

我們不販售你的資料。為了讓 Ajimi 運作，以下處理者會在我們的指示與契約約束下接觸必要的資料：

• 所有處理者都受資料處理契約約束，僅能依我們的指示處理，不得另作他用。
• 模型供應商依其 API 服務條款，不以我們送出的內容訓練其模型。供應商端會為濫用監測保存一段時間後刪除，期限依各供應商公開的資料處理條款（一般為 30 天以內；被其安全系統判定違反使用政策的內容可能保存較久）。
• 上表若有增減，我們會更新本政策並在 App 內告知。

七、健康相關資料的特別聲明

孕期週數、過敏原、控糖與 GLP-1 期間的檔案、清真偏好，以及依它們得出的判決，屬於高度敏感的資料；你替家人建立的檔案，以及你在「問 Aji」裡輸入的內容，同樣以這個標準對待。針對這一類資料，我們額外承諾：

• 不用於廣告定向，不建立廣告受眾，不與任何廣告網路共享。
• 不販售，不出租，不作為交易對價交換。
• 不用於保險、雇用、信用評估或任何對你不利的決策。
• 未來若進行市場級的統計分析，一律以去識別化的聚合資料進行，無法回推到個人。

八、跨境傳輸

Ajimi 建構在全球性的雲端基礎設施上，你的資料會在台灣以外處理；第六節列出了每一家處理者的所在地。我們透過與處理者簽訂的資料處理契約，以及傳輸與靜態加密、最小權限存取，確保資料在境外仍受同等程度的保護。

九、保留期間

• 手機內的檔案（包含家人的檔案與稱呼）、歷史、識別碼：由你控制；刪除 App 即消失。
• 照片：後端 30 天。
• 判決明細與餐盤紀錄（後端）：最長 30 天。
• 「問 Aji」的對話：我們不保存；只在對話頁開著的時候留在手機的記憶體裡。
• 使用行為事件：最長 12 個月。
• App 更新分發的安裝識別碼與下載紀錄：依 Expo 隱私政策。
• 訂閱與帳務紀錄：訂閱關係存續期間；帳務憑證依稅務法令期限保存，期滿刪除。
• 候補名單：通知寄出後 30 天內刪除。
• 資料權利請求的處理紀錄：3 年。
• 安全事件相關紀錄（已脫敏）：最長 12 個月。

十、你的權利

你隨時可以行使以下權利。沒有帳號，所以權利的行使方式和多數 App 不同：我們把做得到的寫清楚，也把做不到的說明白。

• 查閱與更正：你的檔案（包含你替家人建立的）與歷史都在手機裡，App 內即可查看與修改。
• 家人的資料：由建立檔案的你代為查閱、更正與刪除；在「檔案」頁刪除那位家人，往後的判決就不再使用他的檔案。家人本人有疑問，也可以來信 privacy@ajimi.app。
• 刪除（本機）：刪除 App 就會清除手機裡的檔案、歷史與識別碼，這是最直接、也最完整的刪除方式。
• 刪除（後端）：照片與判決明細不與任何識別碼連結，我們無法逐筆對應到你，它們最長 30 天自動刪除。使用行為事件與更新分發紀錄只透過 App 內看不到的識別碼保存，我們無法憑你的描述找到對應紀錄，因此無法應個別請求刪除，依第九節期限自動刪除。訂閱紀錄由你的 Apple 帳戶承載。
• 匯出：手機內的資料 App 內可見；後端沒有可對應到你的個人紀錄，因此沒有可匯出的後端資料。
• 撤回同意：關閉或刪除健康相關檔案即為撤回，往後的判決不再使用它；不影響基礎掃描。
• 「問 Aji」的對話不保存，因此沒有可查閱、匯出或刪除的對話紀錄；不想再用，不開啟它即可。
• 拒絕通知：App 內的提醒都是本機排程，可在「檔案」頁設定關閉，或在 iOS 設定停用通知。
• 其他問題來信 privacy@ajimi.app，我們會在 2 個工作日內回覆、30 天內完成。

十一、安全措施

• 傳輸全程加密；後端靜態資料由平台加密保存；密鑰以平台的機密管理服務保管，不進入程式碼。
• 應用日誌只記錄運作所需的計量與分類值，例如判決編號、耗時、判決等級與照片大小；「問 Aji」只記錄第幾問、回覆屬於哪一類（一般回答，或哪一種預先寫好的回覆）、耗時與模型名稱。不記錄照片、檔案內容、判決文字、你的問題或 Aji 的回覆。
• 為了防止濫用，我們會在短時間內以連線的 IP 位址計算請求次數，超過上限就會請你稍後再試。這個計數只在網路節點上短時間保留，不寫入資料庫或日誌，也不與照片、判決或對話連結。
• 存取最小權限；依賴套件定期稽核；重大變更前進行安全審查。
• 若發生影響你權益的資料事故，我們會依法律規定的期限通知主管機關，並以 App 內公告與本頁說明我們做了什麼。因為沒有帳號，我們無法個別通知你。

十二、法域基線

我們以台灣個人資料保護法為基礎，並同時對齊日本個人情報保護法（APPI）與新加坡個人資料保護法（PDPA）的要求；在工程實作上採用 GDPR 式的統一基線（明示同意與同意紀錄、刪除權、處理者契約），對所有市場的使用者一體適用。

這代表你不會因為所在市場不同而拿到比較弱的保護。

十三、兒童與年齡

Ajimi 的使用者不以 13 歲以下兒童為對象。未滿 18 歲者，請在法定代理人同意下使用。

家長或監護人可以在自己的 App 裡替未成年子女建立檔案，例如孩子的過敏原。這時我們會處理到與孩子有關的健康相關資料：只有檔案設定與依它得出的判決。我們不收集孩子的姓名、年齡或聯絡方式；你替孩子取的稱呼只存在你的手機裡。這類處理以法定代理人的同意為基礎：你是孩子的法定代理人時由你決定；你不是時（例如其他照顧孩子的家人），請先取得法定代理人的同意。你隨時可以在「檔案」頁刪除孩子的檔案。

除此之外，我們不會在知情的情況下向 13 歲以下兒童本人收集個人資料。若你認為我們在不知情的情況下取得了兒童的個人資料，請來信 privacy@ajimi.app，我們會盡快刪除。

十四、本網站

ajimi.app 是靜態網站，不使用任何 Cookie，也不嵌入廣告或社群追蹤程式碼。流量統計採用 Cloudflare Web Analytics：它不設 Cookie、不做指紋辨識，只產生聚合的到訪數據，無法識別個人。

若你在本站留下候補名單 Email，我們只用它在正式上線時通知你一次；這筆記錄附帶來源標記（例如「ig-01」，用於統計哪個管道帶來報名）與送出時間，不含其他個人資料。通知寄出後 30 天內刪除；在此之前你隨時可以來信要求刪除。

十五、政策變更

政策更新時，我們會修改本頁的生效日；涉及重大變更（新增處理者、擴大收集範圍、延長保留期）時，App 會在下次啟動時以顯著方式告知，並重新徵得你的同意後才繼續使用相關功能。

十六、聯絡我們

隱私相關問題、資料查閱與刪除請求：privacy@ajimi.app。一般使用支援：support@ajimi.app。我們會在 2 個工作日內回覆。

營運主體：Event Horizon AI（evhz.ai）。公司登記地址：（待補：公司登記地址）。

若你認為我們處理個人資料的方式有問題，也可以向你所在地的個人資料保護主管機關提出申訴。

處理者的資料處理條款以各處理者官方網站公布的版本為準：Cloudflare、Anthropic、OpenAI、PostHog、RevenueCat、Expo、Apple。