卡路里財（Kcal Ledger） 隱私權政策

卡路里財（Kcal Ledger）（以下稱「本 App」）由開發者提供。使用本 App 即表示你同意本政策之內容。若你不同意，請勿使用本 App。

1. 我們收集哪些資料

• 你主動輸入的紀錄：飲食、運動、體態（例如體重與你選擇追蹤的指標）、常用食物名稱與營養估算等。
• 帳號與登入：你使用 Sign in with Apple 登入時，我們會取得 Apple 提供的帳號識別碼，用於辨識你的帳號並支援點數、訂閱與防濫用；Apple 身分 token 可能包含電子郵件地址，後端驗證 token 時可能接收並解析該地址，但登入處理不會使用該地址，也不會將其儲存於你的卡路里財帳號；此登入流程不會取得你的姓名。當你使用 Google Drive 備份時，本 App 會存取你的 Google 帳號（例如顯示登入的電子郵件）與 Drive 的 appdata 私有資料夾；備份內容存放在你自己的 Google Drive，不會傳送至我們的後端（見第 7 節）。
• 裝置與 App 設定：例如語言、訂閱或內測層級（若適用）、與功能相關的偏好設定。
• HealthKit（健康）：僅在你授權時，於你的裝置上讀取引導流程或 TDEE 相關所需之項目（例如生日、性別、身高、體重），以及 Apple 主動消耗等你同意讀取的資料。我們不會將 HealthKit 的原始讀取結果直接上傳至伺服器；你在 App 內建立的紀錄儲存於你的裝置本機，不會同步至我們的後端。
• AI 分析與報告：你選擇以文字或圖片請求分析，或產生週／月報時，完成該次要求所需的資料會傳送至我們的後端代理，再轉送給第三方處理服務。後端可能保存應用程式產生的使用者識別碼、請求類型、用量、成本與成功狀態等營運紀錄。除第 4、6 節所述符合條件的短篇飲食文字共用快取外，請求原文、圖片與報告輸入資料不會作為你的長期紀錄副本保存；為可靠交付已完成的要求，完整分析或報告結果可能暫存於後端交付緩衝區，預設最長約 48 小時，之後清除。
• 當機、效能與產品互動：第三方診斷服務可能回報當機、效能、裝置類型、作業系統與 App 版本等資料；這些診斷不與你的卡路里財帳號連結。後端另會保存與帳號連結的功能請求時間、類型、用量及成功狀態，用於功能運作、成本控管、防濫用與彙總分析。本 App 不使用廣告或跨 App 追蹤，行為分析模組未啟用。

2. 我們如何使用資料

• 提供與改善本 App 的核心功能（紀錄、顯示、趨勢與分析、AI 估算與建議）。
• 在後端執行配額與濫用防護、帳務相關的 API 紀錄與統計。
• 遵守法令或回應合法請求（於適用法域內）。

3. HealthKit

HealthKit 資料之存取遵循 Apple 之 HealthKit 規範。本 App 僅讀取你授權的健康資料，用於匯入基本資料、估算 TDEE 或同步 Apple 主動消耗等功能；不會寫入 HealthKit。除上述授權範圍外，我們不會將 HealthKit 資料用於廣告或出售給第三方。你在 App 內建立的飲食、運動、體態、目標與相關紀錄儲存於你的裝置本機，不會同步至我們的後端。你可隨時在 iOS「設定 › 隱私權與安全性 › 健康」調整授權。

4. AI（圖片與文字）

當你使用 AI 功能時，你提供的文字或圖片內容會經由加密傳輸送至我們的後端代理，再傳送至第三方處理服務。處理結果會在本 App 內顯示，或在你確認後儲存於你的紀錄中。此外，符合下述條件的短篇飲食文字分析結果，可能依共用快取規則保存，供後續等同請求重用。請勿在圖片或文字中傳送高度敏感之個資（例如身分證字號、完整金融帳號）。

此外，當你使用運動分析時，該次請求會一併附帶你的體態數值（例如體重、身高、體脂率、肌肉量、基礎代謝率與體態備註）以估算運動消耗；這些數值僅用於產生該次分析結果，並與上述文字／圖片一樣會傳送至我們的後端代理再轉送第三方處理服務，我們的後端不會保留該次請求的原始內容。

當你產生週報或月報時，App 會傳送所選期間與比較期間的飲食描述與營養素、運動描述與熱量／時間、體重與體脂、每日營養目標，以及身高、出生年、性別、活動量、估算 TDEE、基礎代謝率與體態目標等完成報告所需資料。這些資料僅用於產生你要求的報告，不會作為你的長期紀錄副本保存。為了在網路中斷後可靠交付或以同一請求重取已完成的結果，完整分析或報告結果可能暫存於後端交付緩衝區，預設最長約 48 小時，之後清除。

對於通過服務隱私篩選且符合條件的短篇飲食文字請求，後端會使用共用分析快取，以減少重複處理與等待時間，並讓後續等同請求重用既有結果。快取鍵使用不可逆雜湊與版本資訊，且不與你的帳號識別碼連結。快取會保存完整的可重用分析結果；當脈絡包含命中的食物參考資料時，也可能包含你提交的短篇文字。目前快取項目沒有固定的自動到期時間，可能無限期保存到被覆寫或移除為止。照片、運動輸入與體態數值，以及報告輸入不會儲存在此共用快取。

5. 體態與健康相關紀錄

你在 App 內手動輸入或建立的體態資料（如體重、體脂等你選擇的欄位）、飲食、運動、每日目標、常用食物、報告與 AI 摘要，儲存於你的裝置本機。本 App 不使用 iCloud／CloudKit，也不再將這些使用者紀錄同步至自架後端。你可選擇手動將備份匯出至你自己的 Google Drive（見第 7 節「Google Drive 備份（選用）」）。一旦你啟用該備份，這些健康相關紀錄即會離開你的裝置，以未加密（明文）形式經 HTTPS 傳輸並儲存於你自己的 Google Drive；未啟用備份時，它們僅保存在你的裝置本機。

6. 後端儲存

我們會在後端儲存營運所需資料，但不儲存你的飲食、運動、體態、目標、常用食物或報告內容等使用者紀錄副本。後端可能儲存的資料包括：

• 官網下載按鈕彙總統計：當你在 kcalledger.com 點擊導覽列、首屏或頁尾的 App Store 按鈕時，官網會送出固定的按鈕位置與頁面語言，後端依伺服器 UTC 日期累加匿名點擊次數。此統計不設 cookie、不建立使用者或裝置識別碼，也不在統計資料中保存 IP 位址、瀏覽器／裝置資訊或完整來源網址；同一人重複點擊會被計為多次，點擊數不代表安裝數或不重複訪客數。每日彙總資料保留 400 天後以固定筆數逐批清除。上述限制僅指本項官網點擊統計；代管與網路服務仍可能為維運、安全及防濫用處理一般連線與診斷日誌。
• AI／OCR 請求用量與成本紀錄：例如去識別化或應用程式產生的使用者識別碼、請求時間、請求類型、處理版本、用量或成本相關欄位、成功率等（實際欄位以當前 schema 為準）。這類營運紀錄本身不包含請求原文、圖片內容、完整回覆或可還原使用者紀錄的除錯資料；前述最長約 48 小時的交付緩衝區與營運紀錄分開處理。
• 飲食文字分析快取：為降低重複處理與等待時間，我們可能針對通過服務隱私篩選且符合條件的短篇飲食文字，以不可逆雜湊與版本資訊建立共用快取。此快取不與帳號識別碼連結，會保存完整的可重用分析結果；當脈絡包含命中的食物參考資料時，也可能包含提交的短篇文字。目前快取項目沒有固定的自動到期時間，可能無限期保存到被覆寫或移除為止。
• 點數、訂閱與帳務驗證資料：例如點數餘額、點數交易、訂閱狀態與商店驗證所需紀錄。
• 支援與營運資料：例如你主動送出的回饋、診斷資訊、報告生成狀態或防濫用所需紀錄。當你使用意見回饋表單時：你填寫的回饋內文為必填，會與你的帳號識別碼一併保存，用於處理與回覆你回報的問題或建議；若你在選填欄位填入聯絡方式（例如 Email、電話或其他聯絡方式），我們會一併保存該聯絡方式，僅用於就你的回饋與你聯繫或回覆，此欄位為選填、留空即不收集；表單另附診斷摘要（App、系統、裝置與訂閱狀態摘要），預設會隨回饋一併送出，你可於送出前自行關閉，用於協助我們重現與排查你回報的問題。

服務金鑰僅配置於伺服器端，不內嵌於 App 公開發行版本之客戶端。

7. Google Drive 備份（選用）

你可以選擇登入 Google 並同意授權，手動將 App 備份儲存到你自己的 Google Drive。此功能用於備份與還原，備份內容可能包含你的飲食、運動、體態、每日目標、常用食物、報告、AI 摘要與其他健康相關紀錄。

備份檔會壓縮後上傳至你的 Google Drive app data 空間；目前不另提供 App 端密碼加密。請確認你的 Google 帳號安全設定符合你的需求。

• 儲存位置：備份存放在你自己的 Google Drive app 專屬 appdata 私有資料夾。此資料夾由 Google 管理，通常不會出現在一般 Drive 檔案列表中。
• 權限範圍：本 App 僅要求 Google Drive drive.appdata 權限，不要求完整 Google Drive 存取權限。
• 連線帳號：本 App 會讀取 Google 登入資料中的電子郵件地址，只在裝置端顯示目前連線的帳號；該地址不會包含在備份檔或傳送至我們的後端。
• 使用者控制：你可以不登入 Google，仍以純本機方式使用 App；你也可以在 App 內登出 Google，或到 Google 帳號安全性設定中撤銷本 App 的授權。
• 觸發方式：備份與還原由你手動操作；本 App 不會自動在背景上傳你的紀錄到 Google Drive。
• 加密說明：備份檔案會透過 HTTPS 傳輸並由 Google Drive 儲存，但本 App 目前未對備份內容做客戶端加密——備份為壓縮後的明文資料，任何能存取你該 Google 帳號 appdata 空間者即可讀取其中的健康相關紀錄。若你有疑慮，請勿啟用 Google Drive 備份，或確保你的 Google 帳號已啟用兩步驟驗證等安全防護。

8. 資料保留與刪除

裝置端資料可由你於 App 內刪除紀錄或移除 App。你也可在 App 的「設定 → 刪除帳號」確認後，要求刪除與帳號連結的後端資料、清除 App 本機資料並登出；因帳務、防詐、爭議處理或法令要求必須保留的購買、交易、安全或法遵紀錄，可能依法繼續保存。Google Drive 備份由你的 Google 帳號保存與管理；撤銷 App 授權不一定會刪除既有備份，請使用 Google 帳號提供的方式管理或移除。

第 4、6 節所述共用分析快取不與帳號識別碼連結，因此刪除帳號時無法識別並移除特定快取項目；其保存方式依前述共用快取規則處理。

9. 兒童

本 App 非以未滿法定年齡之兒童為主要對象。若你認為我們不慎蒐集了兒童資料，請與我們聯絡以便刪除。

10. 政策變更

我們可能更新本政策；重大變更時將於 App 或本頁面提示。更新後之版本以上方「最後更新」日期為準。

11. 聯絡方式

如有隱私相關疑問，請使用 App「設定」中提供之支援電子郵件與我們聯繫。