卡路里財（Kcal Ledger） 隱私權政策

卡路里財（Kcal Ledger）（以下稱「本 App」）由開發者提供。使用本 App 即表示你同意本政策之內容。若你不同意，請勿使用本 App。

1. 我們收集哪些資料

• 你主動輸入的紀錄：飲食、運動、體態（例如體重與你選擇追蹤的指標）、常用食物名稱與營養估算等。
• 帳號與登入：你使用 Sign in with Apple 登入時，我們會取得 Apple 提供的帳號識別碼，用於辨識你的帳號，支援點數、訂閱、防濫用，以及確認飲食庫資料包的下載資格；Apple 身分 token 可能包含電子郵件地址，後端驗證 token 時可能接收並解析該地址，但登入處理不會使用該地址，也不會將其儲存於你的卡路里財帳號；此登入流程不會取得你的姓名。當你使用 Google Drive 備份時，本 App 會存取你的 Google 帳號（例如顯示登入的電子郵件）與 Drive 的 appdata 私有資料夾；備份內容存放在你自己的 Google Drive，不會傳送至我們的後端（見第 7 節）。
• 裝置與 App 設定：多數偏好設定（例如提醒與首頁顯示）只保存在你的裝置。分析與報告請求會附帶 App 語言，以產生對應語言的結果；飲食與運動分析請求也會附帶 App 目前顯示的方案層級（包括內測）。點數與訂閱權益以後端依商店驗證紀錄保存的狀態為準。送出意見回饋時，後端會依此保存的狀態，記錄你送出當下的訂閱狀態（不受診斷摘要開關影響）。
• HealthKit（健康）：僅在你授權時，於你的裝置上讀取引導流程或 TDEE 相關所需之項目（例如生日、性別、身高、體重），以及 Apple 主動消耗等你同意讀取的資料。我們不會將 HealthKit 的原始讀取結果直接上傳至伺服器；你在 App 內建立的紀錄儲存於你的裝置本機，不會同步至我們的後端。
• AI 分析與報告：你選擇以文字或圖片請求分析，或產生週／月報時，完成該次要求所需的資料會傳送至我們的後端代理，再轉送給第三方處理服務。後端可能保存你的帳號識別碼、請求類型、用量、成本與成功狀態等營運紀錄。除第 4、6 節所述符合條件的短篇飲食文字共用快取外，請求原文、圖片與報告輸入資料不會作為你的長期紀錄副本保存；為可靠交付已完成的要求，完整分析或報告結果可能暫存於後端交付緩衝區，預設最長約 48 小時，之後清除。
• 當機、效能與產品互動：第三方診斷服務可能回報當機、效能、裝置類型、作業系統與 App 版本等資料；這些診斷不與你的卡路里財帳號連結。後端另會保存與帳號連結的功能請求時間、類型、用量及成功狀態，用於功能運作、成本控管、防濫用與彙總分析。
• 每日使用統計：自 3.0.0 版起，App 會把與帳號連結的每日使用次數傳到後端：開啟 App 的次數、以各種方式新增飲食紀錄的次數（AI 文字或照片、手動、掃描營養標示、常用、最近吃過、再記一次、飲食庫），以及 App 版本（含 build 號）與安裝來源（正式版、TestFlight 或開發版）；後端另記錄完成新手引導，以及因點數不足而無法使用 AI 分析或報告的次數。這些紀錄每人每天一列，只到「日期」與「次數」，不包含你的飲食內容、品名、照片、營養數值，也不記錄每次操作的時間點（後端僅保留該日統計最早與最近一次送達的時間）。用於了解功能使用情形與改善產品，保存 400 天後分批刪除。從飲食庫新增紀錄時，後端另依日期累加各店家被加入的總次數；這份店家統計不含帳號識別碼，也不記錄品項。
• 店家許願：你在飲食庫送出「許願加入店家」時，我們會保存你填寫的店名與（選填的）常吃內容，連同你的帳號識別碼、送出時間、「店名是否由搜尋字帶入」、App 版本（含 build 號）、安裝來源與語言，用於決定下一批要加入的店家。許願內容不會顯示給其他使用者，也不會在 App 內回顯，我們不會個別回覆；保存 400 天後分批刪除。請勿在許願欄位填寫個人資料或聯絡方式。
• 廣告與追蹤：本 App 不使用廣告或跨 App 追蹤，也未啟用第三方行為分析模組。

2. 我們如何使用資料

自 App 3.0.0 版起，飲食庫下載使用 App 既有身分連線，取得短期下載授權與解密鑰匙。為完成下載，服務會處理資料包版本與識別碼；不會傳送你的飲食紀錄、搜尋內容、餐別或選取選項。已下載資料以加密快取保存於手機，排除裝置備份；鑰匙存放在系統安全儲存區，資料於記憶體中解密使用。代管服務仍可能處理一般連線與安全日誌。2.2.1 及更早版本沒有飲食庫下載功能。先前僅供內部測試的版本不使用此下載方式。

• 提供與改善本 App 的核心功能（紀錄、顯示、趨勢與分析、AI 估算與建議）。
• 在後端執行配額與濫用防護、帳務相關的 API 紀錄與統計。
• 遵守法令或回應合法請求（於適用法域內）。

3. HealthKit

HealthKit 資料之存取遵循 Apple 之 HealthKit 規範。本 App 僅讀取你授權的健康資料，用於匯入基本資料、估算 TDEE 或同步 Apple 主動消耗等功能；不會寫入 HealthKit。我們不會將 HealthKit 資料用於廣告或出售給第三方。你在 App 內建立的飲食、運動、體態、目標與相關紀錄儲存於你的裝置本機，不會同步至我們的後端。你可隨時在 iOS「設定 › 隱私權與安全性 › 健康」調整授權。

4. AI（圖片與文字）

當你使用 AI 功能時，你提供的文字或圖片內容會經由加密傳輸送至我們的後端代理，再傳送至第三方處理服務。處理結果會在本 App 內顯示，或在你確認後儲存於你的紀錄中。此外，符合下述條件的短篇飲食文字分析結果，可能依共用快取規則保存，供後續等同請求重用。請勿在圖片或文字中傳送高度敏感之個資（例如身分證字號、完整金融帳號）。

此外，當你使用運動分析時，該次請求會一併附帶你的體態數值（例如體重、身高、體脂率、肌肉量、基礎代謝率與體態備註）以估算運動消耗；這些數值僅用於產生該次分析結果，並與上述文字／圖片一樣會傳送至我們的後端代理再轉送第三方處理服務，我們的後端不會保留該次請求的原始內容。

當你產生週報或月報時，App 會傳送所選期間與比較期間的飲食描述與營養素、運動描述與熱量／時間、體重與體脂、每日營養目標，以及身高、出生年、性別、活動量、估算 TDEE、基礎代謝率與體態目標等完成報告所需資料。這些資料僅用於產生你要求的報告，不會作為你的長期紀錄副本保存。為了在網路中斷後可靠交付或以同一請求重取已完成的結果，完整分析或報告結果可能暫存於後端交付緩衝區，預設最長約 48 小時，之後清除。

對於通過服務隱私篩選且符合條件的短篇飲食文字請求，後端會使用共用分析快取，以減少重複處理與等待時間，並讓後續等同請求重用既有結果。快取鍵使用不可逆雜湊與版本資訊，且不與你的帳號識別碼連結。快取會保存完整的可重用分析結果；當脈絡包含命中的食物參考資料時，也可能包含你提交的短篇文字。目前快取項目沒有固定的自動到期時間，可能無限期保存到被覆寫或移除為止。照片、運動輸入與體態數值，以及報告輸入不會儲存在此共用快取。

5. 體態與健康相關紀錄

你在 App 內手動輸入或建立的體態資料（如體重、體脂等你選擇的欄位）、飲食、運動、每日目標、常用食物、報告與 AI 摘要，儲存於你的裝置本機。本 App 不使用 iCloud／CloudKit，也不再將這些使用者紀錄同步至自架後端。你可選擇手動將備份匯出至你自己的 Google Drive（見第 7 節「Google Drive 備份（選用）」）。一旦你啟用該備份，這些健康相關紀錄即會離開你的裝置，以未加密（明文）形式經 HTTPS 傳輸並儲存於你自己的 Google Drive；未啟用備份時，它們僅保存在你的裝置本機。

6. 後端儲存

飲食庫下載授權沿用既有 session 的活動時間紀錄與必要續期，不建立個人飲食庫下載歷史；下載票券有效期為五分鐘，不含帳號識別碼。應用程式日誌不記錄票券、解密鑰匙或完整授權回應；代管平台仍可能處理下載網址的 query 與一般安全日誌，不能保證這些平台日誌完全遮蔽票券。

我們會在後端儲存營運所需資料，但不儲存你的飲食、運動、體態、目標、常用食物或報告內容等使用者紀錄副本。後端可能儲存的資料包括：

• 官網下載按鈕彙總統計：當你在 kcalledger.com 點擊導覽列、首屏或頁尾的 App Store 按鈕時，官網會送出固定的按鈕位置與頁面語言，後端依伺服器 UTC 日期累加匿名點擊次數。此統計不設 cookie、不建立使用者或裝置識別碼，也不在統計資料中保存 IP 位址、瀏覽器／裝置資訊或完整來源網址；同一人重複點擊會被計為多次，點擊數不代表安裝數或不重複訪客數。每日彙總資料保留 400 天後以固定筆數逐批清除。上述限制僅指本項官網點擊統計；代管與網路服務仍可能為維運、安全及防濫用處理一般連線與診斷日誌。
• AI／OCR 請求用量與成本紀錄：例如你的帳號識別碼、請求時間、請求類型、處理版本、用量或成本相關欄位、成功率等（實際欄位以當前 schema 為準）。這類營運紀錄本身不包含請求原文、圖片內容、完整回覆或可還原使用者紀錄的除錯資料；飲食文字分析的路由紀錄則可能包含辨識出的店家、品項、份量名稱與參考來源網址（見第 8 節）；前述最長約 48 小時的交付緩衝區與營運紀錄分開處理。
• 飲食文字分析快取：為降低重複處理與等待時間，我們可能針對通過服務隱私篩選且符合條件的短篇飲食文字，以不可逆雜湊與版本資訊建立共用快取。此快取不與帳號識別碼連結，會保存完整的可重用分析結果；當脈絡包含命中的食物參考資料時，也可能包含提交的短篇文字。目前快取項目沒有固定的自動到期時間，可能無限期保存到被覆寫或移除為止。
• 點數、訂閱與帳務驗證資料：例如點數餘額、點數交易、訂閱狀態與商店驗證所需紀錄。
• 每日使用統計與店家許願：內容與保留期間見第 1 節。每日使用統計只保存日期與次數，不含飲食內容；店家許願保存你填寫的店名與常吃內容；兩者都與你的帳號識別碼連結，各保留 400 天。飲食庫的店家加入次數統計不含帳號識別碼，同樣保留 400 天。
• 支援與營運資料：例如你主動送出的回饋、診斷資訊、報告生成狀態或防濫用所需紀錄。當你使用意見回饋表單時：你填寫的回饋內文為必填，會與你的帳號識別碼一併保存，用於處理與回覆你回報的問題或建議；若你在選填欄位填入聯絡方式（例如 Email、電話或其他聯絡方式），我們會一併保存該聯絡方式，僅用於就你的回饋與你聯繫或回覆，此欄位為選填、留空即不收集；表單另附診斷摘要（iOS 版本與裝置類型），預設會隨回饋一併送出，你可於送出前自行關閉，用於協助我們重現與排查你回報的問題；診斷摘要關閉時，回饋仍會附上 App 版本，用於相容性檢查；此外，後端會依你的帳號記錄送出當下的訂閱狀態（以後端依商店驗證紀錄保存的狀態為準，不受診斷摘要開關影響），用於排查購買、訂閱與點數相關問題。刪除帳號後，已送出的回饋不會刪除，會依第 8 節改以代號保留。

第三方處理服務的秘密金鑰僅配置於伺服器端，不內嵌於 App。App 只包含連線我們後端所需的存取金鑰，以及第三方 SDK 的公開識別碼。

7. Google Drive 備份（選用）

你可以選擇登入 Google 並同意授權，手動將 App 備份儲存到你自己的 Google Drive。此功能用於備份與還原，備份內容可能包含你的飲食、運動、體態、每日目標、常用食物、報告、AI 摘要與其他健康相關紀錄。

備份檔會壓縮後上傳至你的 Google Drive app data 空間；目前不另提供 App 端密碼加密。請確認你的 Google 帳號安全設定符合你的需求。

• 儲存位置：備份存放在你自己的 Google Drive app 專屬 appdata 私有資料夾。此資料夾由 Google 管理，通常不會出現在一般 Drive 檔案列表中。
• 權限範圍：本 App 僅要求 Google Drive drive.appdata 權限，不要求完整 Google Drive 存取權限。
• 連線帳號：本 App 會讀取 Google 登入資料中的電子郵件地址，只在裝置端顯示目前連線的帳號；該地址不會包含在備份檔或傳送至我們的後端。
• 使用者控制：你可以不登入 Google，仍以純本機方式使用 App；你也可以在 App 內登出 Google，或到 Google 帳號安全性設定中撤銷本 App 的授權。
• 觸發方式：備份與還原由你手動操作；本 App 不會自動在背景上傳你的紀錄到 Google Drive。
• 加密說明：備份檔案會透過 HTTPS 傳輸並由 Google Drive 儲存，但本 App 目前未對備份內容做客戶端加密——備份為壓縮後的明文資料，任何能存取你該 Google 帳號 appdata 空間者即可讀取其中的健康相關紀錄。若你有疑慮，請勿啟用 Google Drive 備份，或確保你的 Google 帳號已啟用兩步驟驗證等安全防護。

8. 資料保留與刪除

裝置端資料可由你於 App 內刪除紀錄或移除 App。你也可在 App 的「設定 → 刪除帳號」確認後刪除帳號；App 會清除本機資料並登出，後端則依下列方式處理與帳號連結的資料：

• 會刪除的資料：你的登入工作階段（所有裝置都需重新登入）、暫存於交付緩衝區的飲食與運動分析完整結果，以及商店購買通知接收佇列中所有含你帳號識別碼的原始通知（不論是否已處理）。刪除後才送達的商店通知，只會保存去除內容的處理紀錄。已處理通知寫入購買與權益紀錄的內容副本不在此列，見下兩點。週報與月報的完整結果不會在刪除帳號時立即刪除，而是依第 4 節的交付緩衝規則，預設約 48 小時到期後清除。
• 改以代號保留的營運紀錄：除下一點所列外，其餘與帳號連結的後端紀錄不會刪除，而是把帳號識別碼改為與你帳號脫鉤的代號後保留。此代號由原帳號識別碼的雜湊與刪除時間產生，不再用於登入或提供服務，之後以同一 Apple ID 重新登入也不會接回這些紀錄。替換只針對帳號識別碼欄位；下一點所列的紀錄與欄位仍含原帳號識別碼，營運端可據此把代號比對回原帳號。這類紀錄包括：帳號建立時間與完成引導時間等帳號狀態、使用紀錄事件、每日使用次數統計、你送出的店家許願（店名與常吃內容原樣保留）、AI／OCR 請求用量與成本紀錄、飲食文字分析的路由紀錄（含辨識出的店家、品項、份量名稱、候選品牌與品項，以及參考來源網址，但不含你輸入的原文）、報告生成狀態、點數與訂閱帳務紀錄（剩餘點數會作廢）、你送出的意見回饋（包含你填寫的內容、你填寫的聯絡方式、診斷摘要與送出當下的訂閱狀態），以及你送出的報告回饋（包含評分、勾選的標籤與你填寫的文字）。你在回饋中填寫的文字與聯絡方式會原樣保留。這些紀錄用於產品改善、問題排查、帳務與統計；意見回饋中的聯絡方式仍只用於就該筆回饋與你聯繫或回覆。
• 保留原帳號識別碼的紀錄：為防止刪除帳號後重新註冊重複領取新帳號贈點，我們會以原帳號識別碼保留贈點領取紀錄，該紀錄並指向已改為代號的那筆贈點交易；刪除作業本身的稽核紀錄，以及客服或管理人員曾對你帳號執行的操作紀錄，也會以原帳號識別碼保留。此外，以下帳務紀錄雖已改為代號，其中部分欄位仍含原帳號識別碼：點數交易的防重複鍵（新帳號贈點、訂閱每日贈點與客服補點），以及點數包購買紀錄與訂閱權益快照中保存的商店通知內容副本。刪除作業稽核紀錄與上述帳務紀錄都可將代號對回原帳號；這些對應僅供稽核、帳務、防濫用與處理你的隱私要求。我們另會保留帳號識別碼的不可逆雜湊，用於辨識刪除後才送達的商店通知。伺服器應用程式日誌也可能在代管平台的保存期間內含原帳號識別碼。

如需刪除你已送出的意見回饋、報告回饋或店家許願內容（意見回饋包括你填寫的內文與聯絡方式；報告回饋包括你填寫的回饋文字；店家許願包括你填寫的店名與常吃內容），請來信 support@kcalledger.com 提出，並提供足以找到該筆回饋的資訊（例如大約送出時間與內容摘要；報告回饋請一併說明是哪一期的週報或月報；店家許願請提供店名），我們確認後會處理。因帳務、防詐、爭議處理或法令要求必須保留的購買、交易、安全或法遵紀錄，可能依法繼續保存。Google Drive 備份由你的 Google 帳號保存與管理；撤銷 App 授權不一定會刪除既有備份，請使用 Google 帳號提供的方式管理或移除。

第 4、6 節所述共用分析快取不與帳號識別碼連結，因此刪除帳號時無法識別並移除特定快取項目；其保存方式依前述共用快取規則處理。

9. 兒童

本 App 非以未滿法定年齡之兒童為主要對象。若你認為我們不慎蒐集了兒童資料，請與我們聯絡；我們會確認後依適用法令刪除或以其他適當方式處理。依法須保留的紀錄，以及第 4、6 節所述不與帳號連結的共用快取，依第 8 節說明處理。

10. 政策變更

我們可能更新本政策；重大變更時將於 App 或本頁面提示。更新後之版本以上方「最後更新」日期為準。

11. 聯絡方式

如有隱私相關疑問，請使用 App「設定」中提供之支援電子郵件與我們聯繫。