法務文件
隱私權政策
Ajimi 收集什麼、為什麼收集、委託哪些處理者、圖片保留多久，以及你查閱、更正、刪除、匯出與撤回同意的權利。健康資料不作廣告定向、不販售。
最後更新：
Ajimi（味見）由 Event Horizon AI 開發與營運。這份政策說明我們收集什麼、為什麼收集、交給誰處理、保留多久，以及你可以怎麼要回控制權。
先講最要緊的三件事：我們以最小化原則收集健康相關資料；你拍的照片預設短期保留後刪除；健康相關資料不作廣告定向、不販售、不與第三方交換。
一、適用範圍
本政策適用於 Ajimi iOS App、ajimi.app 網站，以及我們為此提供的後端服務。它不適用於你透過 Ajimi 連結前往的第三方網站或服務，那些服務有各自的隱私政策。
若你在台灣以外使用 Ajimi，我們仍以本政策所述的統一基線處理你的資料，並在當地法規要求更高時遵循當地規定。
二、我們收集哪些資料
我們只收集提供判決所必需的資料。以下是完整清單——沒有列在表上的，我們就沒有收。
| 類別 | 內容 | 目的 | 保留 |
|---|---|---|---|
| 帳號識別 | 帳號代號、以 Apple 登入時取得的識別碼、（若你提供）Email | 同步歷史、跨裝置使用、聯繫你 | 帳號存續期間 |
| 飲食檔案 | 孕期週數、你設定的過敏原、飲食目標、清真等飲食偏好；家庭成員檔案為你自行建立的暱稱與上述欄位 | 產生為你而做的判決（L1 硬約束與 L2 目標適配） | 帳號存續期間，可隨時刪除 |
| 掃描圖片 | 你拍攝的商品、配料表或餐盤照片 | 辨識成分與營養標示，產生本次判決 | 預設短期保留後刪除；詳見第四節 |
| 掃描與餐盤歷史 | 判決結果、商品識別資訊、時間、（餐盤模式）份量檔位與估算值 | 歷史查詢、週報、今日目標進度 | 帳號存續期間，可逐筆刪除 |
| 訂閱狀態 | 目前的權益層級、試用與續訂狀態、交易識別碼 | 確認你可使用的功能、處理恢復購買 | 依稅務與帳務法令規定期限 |
| 裝置與錯誤紀錄 | 裝置型號、系統版本、App 版本、當機堆疊、效能指標 | 排除故障、改善穩定度 | 最長 90 天 |
- 我們不收集你的精確位置、通訊錄、相簿全域存取權，也不讀取你未主動送出的照片。
- 飲食檔案採欄位級最小化：規則引擎用不到的欄位一律不設計、不收集。
- 你可以只用基礎掃描而不建立任何檔案——那樣我們就只有裝置與錯誤紀錄。
三、我們為什麼可以處理這些資料
我們依以下法律基礎處理你的資料。撤回同意的方式：在 App 內刪除對應檔案，或來信 privacy@ajimi.app；撤回不影響撤回前已進行的處理。
- 履行契約：提供你要求的掃描、判決、歷史與訂閱功能。
- 你的同意：健康相關資料（孕期、過敏原、飲食目標）以你在建立檔案時的明示同意為基礎，你可以隨時撤回。
- 正當利益：維護服務安全、排除故障、防止濫用；我們會確保此目的不逾越你的權益。
- 法律義務：稅務與帳務紀錄的保存。
四、你拍的照片怎麼處理
照片是 Ajimi 的核心輸入，也是最敏感的一類資料，因此我們把規則寫得很具體：
- 傳輸與靜態儲存全程加密。
- 照片用於產生你這一次的判決，預設短期保留後自動刪除；保留期間在 App 內可見，並且由你控制。
- 若某張照片要留作商品庫的建庫樣本，必須先匿名化（去除可識別的帳號關聯），並取得你的明示同意。你可以拒絕，拒絕不影響任何功能。
- 我們不會把你的照片用於身分辨識，也不會用它建立任何關於你個人的側寫。
- 你可以隨時刪除單筆掃描紀錄；刪除紀錄時對應的照片一併刪除。
五、我們委託的處理者
我們不販售你的資料。為了讓 Ajimi 運作，以下處理者會在我們的指示與合約約束下接觸必要的資料：
| 處理者 | 用途 | 接觸到的資料 |
|---|---|---|
| Cloudflare | 應用運算（Workers）、圖片與樣本儲存（R2）、資料庫（D1）、內容傳遞 | 本政策所列的全部類別，作為基礎設施提供者 |
| Anthropic | 多模態模型：讀取照片中的成分與營養標示，生成解釋文字 | 掃描圖片與辨識所需的最小上下文 |
| OpenAI・Google | 多模態模型的備援與比較評測，用途同上 | 掃描圖片與辨識所需的最小上下文 |
| RevenueCat | 訂閱狀態校驗、權益管理、訂閱分析 | 交易識別碼、訂閱狀態、匿名裝置識別碼 |
| Superwall | 付費頁的遠端設定與版本測試 | 匿名裝置識別碼、付費頁瀏覽事件 |
| Apple | 收款方（App 內購買）、推播通知、以 Apple 登入 | 交易資料、推播識別碼、登入識別碼 |
| Sentry | 當機與錯誤追蹤；日誌全鏈路脫敏，不落健康明文 | 裝置與錯誤紀錄、去識別化的錯誤上下文 |
| Cloudflare Web Analytics | 本網站（ajimi.app）的流量統計——無 Cookie、不做指紋辨識、不建立個人檔案，只產生聚合的到訪與瀏覽數據 | 聚合流量數據（不含個人識別） |
| 產品分析（App 內） | 功能使用度量。供應商尚未選定，目前尚未啟用；啟用前會先更新本政策 | （尚未啟用） |
| LINE 官方帳號 | 週報與官方召回通知；僅在你主動加入好友後才會發送 | 你的 LINE 使用者識別碼與訂閱偏好 |
- 所有處理者都受資料處理合約約束，僅能依我們的指示處理，不得另作他用。
- 模型供應商不會將我們送出的內容用於訓練其通用模型——這是我們與供應商之間的合約條件。
- 上表若有增減，我們會更新本政策並在 App 內告知。
六、健康相關資料的特別聲明
孕期週數、過敏原、飲食目標與掃描歷史屬於高度敏感的資料。針對這一類資料，我們額外承諾：
- 不用於廣告定向，不建立廣告受眾，不與任何廣告網路共享。
- 不販售，不出租，不作為交易對價交換。
- 不用於保險、雇用、信用評估或任何對你不利的決策。
- 未來若進行市場級的統計分析，一律以去識別化的聚合資料進行，無法回推到個人。
七、跨境傳輸
Ajimi 建構在全球性的雲端基礎設施上，你的資料可能在台灣以外的伺服器處理。我們透過與處理者簽訂的標準契約條款，以及技術上的加密與存取控制，確保資料在境外仍受同等程度的保護。
八、保留期間
- 帳號與檔案：帳號存續期間；刪除帳號後於 30 天內從正式環境移除，備份輪替最長 90 天。
- 掃描圖片：預設短期保留後刪除；經同意的匿名化建庫樣本不再與你的帳號關聯。
- 交易與帳務紀錄：依稅務法令規定的期限保存，期滿刪除。
- 錯誤紀錄與當機資料：最長 90 天。
九、你的權利
你隨時可以行使以下權利。App 內能自助完成的，我們都做成自助；其餘寫信到 privacy@ajimi.app，我們會在驗證身分後於 2 個工作日內回覆、30 天內完成。
- 查閱：知道我們持有你的哪些資料。
- 更正：修改不正確的檔案內容。
- 刪除：刪除單筆紀錄，或整個帳號（App 內：設定 → 帳號 → 刪除帳號）。
- 匯出：取得機器可讀格式的資料副本。
- 撤回同意：關閉健康相關檔案或退出建庫樣本，隨時可行且不影響基礎功能。
- 拒絕行銷通知：LINE 官方帳號可隨時封鎖或退出；推播可在系統設定關閉。
十、安全措施
- 傳輸與靜態資料加密；密鑰以平台的機密管理服務保管。
- 存取最小權限；健康相關資料不寫入應用日誌，日誌全鏈路脫敏。
- 依賴套件定期稽核；重大變更前進行安全審查。
- 若發生影響你權益的資料事故，我們會依法律規定的期限通知你與主管機關，並說明我們做了什麼。
十一、法域基線
我們以台灣個人資料保護法為基礎，並同時對齊日本個人情報保護法（APPI）與新加坡個人資料保護法（PDPA）的要求；在工程實作上，我們採用 GDPR 式的統一基線（同意紀錄、資料可攜、刪除權、處理者合約），對所有市場的使用者一體適用。
這代表你不會因為所在市場不同而拿到比較弱的保護。
十二、兒童
Ajimi 不面向 13 歲以下的兒童，我們不會在知情的情況下收集其個人資料。家長可以在自己的帳號下建立家庭成員檔案（例如替孩子設定過敏原），該檔案由家長管理，不需要為孩子另建帳號。
若你認為我們在不知情的情況下取得了兒童的個人資料，請來信 privacy@ajimi.app，我們會盡快刪除。
十三、本網站
ajimi.app 是靜態網站，不使用任何 Cookie，也不嵌入廣告或社群追蹤程式碼。流量統計採用 Cloudflare Web Analytics——它不設 Cookie、不做指紋辨識，只產生聚合的到訪數據，無法識別個人。
若你在本站留下候補名單 Email，我們只用它在開放測試與正式上線時通知你；這筆記錄可能附帶一個廣告活動來源標記（例如「ig-01」，用於統計哪個管道帶來報名，不含任何個人資料）。你隨時可以來信要求刪除。
十四、政策變更
政策更新時，我們會修改本頁的生效日；涉及重大變更（例如新增處理者、擴大收集範圍）時，會在 App 內以顯著方式告知，必要時重新徵得你的同意。
十五、聯絡我們
隱私相關問題、資料查閱與刪除請求：privacy@ajimi.app。一般使用支援：support@ajimi.app。我們會在 2 個工作日內回覆。
營運主體：Event Horizon AI（evhz.ai）。公司登記地址：（待補：公司登記地址）。
若你認為我們處理個人資料的方式有問題，也可以向你所在地的個人資料保護主管機關提出申訴。