隱私權政策

本隱私權政策說明 Teddy App Labs（以下稱「我們」）在你使用 GlowKit（以下稱「本 App」）時，如何收集、使用與保護資訊。GlowKit 是一款私密的 AI 保養程序與進度追蹤工具，用於美容性、非醫療的自我照護。我們在設計時把信任放在第一位，尤其是關於你的掃描照片。

1. 我們收集的資訊

我們的目標是盡可能少收集資料。依照你使用本 App 的方式，可能包括：

• 你掃描的照片。你選擇要分析的自拍照或影像。照片可能會儲存在你的裝置本機，用於掃描紀錄。完整的雲端分析也可能為你的帳號紀錄私密地儲存一張處理後的掃描照片，詳見第 2 節。
• 掃描結果。你的 GlowScore、指標細部拆解、產品指南、保養程序、鎖定揭曉狀態與進度紀錄，儲存在本機，並在需要雲端帳號進度時儲存於 Supabase。
• 帳號識別碼。GlowKit 一開始會建立一個私密的 Supabase 帳號以供同步。如果你選擇讓它在重新安裝與不同裝置間可復原，Apple Sign In 可以連結該帳號。
• 購買資訊。你的訂閱、試用、回復購買與 Pro 權限狀態，透過 Apple 與 RevenueCat 管理。我們不會收到或儲存你完整的付款卡片資料。
• 本機個人化設定。選項有限的 Glow Profile 選擇、七天計畫狀態、每日打卡、保養程序編輯與提醒偏好，都留在你的裝置上。
• 「我的保養櫃」產品。你輸入的產品名稱，加上你選擇的類別、在保養程序中的位置與香精標示。這些資料儲存在你的裝置上，並鏡射到你自己的 Supabase 帳號，讓保養櫃在重新安裝後仍然存在，也會出現在任何登入該帳號的裝置上。只有你能讀取它們；GlowKit 不會拿它們去比對任何條碼、零售商、價格或成分資料庫，不會傳送給 AI 服務供應商或廣告商，也絕不會把產品名稱當作分析數據的屬性。
• 選用的紫外線資訊。當你要求目前區域的資訊後，一個位置（或你輸入的城市）會被傳送到 Apple 的服務以完成該請求。GlowKit 不會快取原始座標，只會在本機保留回傳的地點名稱、紫外線快照、資料來源標註與到期時間約 90 分鐘。
• Glow Coach。你輸入的文字會先在裝置端檢查：任何讀起來像症狀、過敏反應或其他醫療問題的內容，都會在裝置端就被拒絕，絕不會被傳送出去。其他問題會照原文，連同該段對話最近幾則往來，透過 GlowKit 的 Worker 以不儲存（no-store）的方式傳送，並附上粗略的列舉／計數脈絡。當你詢問光澤度為什麼改變時，該請求還會包含你自己在大約過去三個月內已經揭曉的掃描結果——每一次的 GlowScore、計畫天數與日曆日期——好讓回答能引用你真實的判讀；另外兩個問題則不會包含這些。影像、掃描 ID、產品名稱與具體時刻都不會被包含在內。Glow Coach 可以針對你自己的計畫提出一項變更建議——某個保養步驟、某個提醒時間，或一筆「我的保養櫃」項目——但它絕不會自行執行：該建議會以卡片形式出現在對話中，只有在你點下「套用」時，才會在你的裝置上寫入。
• 產品互動分析數據。粗略的 App 事件，例如 v2 步驟 ID、計畫／基準流程狀態、選項有限的來源與計數分類、訂閱頁來源、購買或回復購買的結果分類、打卡與每週循環狀態，以及刪除資料的結果。這些事件不包含照片、個人檔案或打卡的答案內容、產品名稱、你輸入的 Coach 文字、原始 GlowScore、指標數值、掃描 ID、Supabase ID、Apple 身分、電子郵件、自由輸入的文字或廣告識別碼。
• 網站分析數據。來自 glowkit.org 的公開網頁瀏覽、概略地區、瀏覽器／裝置類別、來源網站資訊，以及不涉及隱私的 App Store 或產品頁點擊事件，透過同意模式下的 Google Analytics 收集。分析用 Cookie 預設維持拒絕；只有在你選擇「允許分析」時，網站才會寫入。這個代碼不會傳送照片、掃描結果、GlowScore、掃描 ID、帳號識別碼、電子郵件、客服文字或 App 識別碼。
• 診斷資料。當機、效能與錯誤資訊，用於維持本 App 的穩定，並區分測試／除錯流量與正式使用。
• 客服往來。如果你寄電子郵件給我們，我們會保留你的訊息與聯絡資料以便回覆。

2. 我們如何處理你的照片

GlowKit 有兩條掃描路徑：

• 免費的鎖定預覽。免費使用者可以完成一次引導式掃描。預覽在裝置上產生，並以鎖定結果的形式儲存在本機，直到你解鎖 Pro 為止。
• 完整的雲端分析。執行完整分析時，你選擇的照片會安全地傳送到 GlowKit 的雲端服務，並可能分享給 OpenRouter 與 OpenAI 作為 AI 視覺服務供應商，目的僅限於產生你的 GlowScore、五項可見指標、產品指南、保養程序與進度紀錄。
• 私密的帳號紀錄。對於完整的雲端分析，處理後的掃描照片可以私密地儲存在你 Supabase 帳號底下的 Cloudflare R2，讓進度得以同步。
• 選用的帳號復原。Apple Sign In 可以連結你的 Supabase 帳號，讓同步的紀錄能在重新安裝與不同裝置間跟著你的帳號走。

我們絕不販售你的照片、不會分享給廣告商，也不會用來訓練機器學習模型。已儲存的掃描照片僅限於你的裝置或帳號存取，並且可以透過本機或帳號的資料刪除流程刪除。

3. 臉部資料與 AI 服務供應商

GlowKit 不會收集 Face ID 範本、生物特徵識別碼、臉紋或身分驗證資料。GlowKit 唯一收集的臉部資料，是你為了掃描而選擇的自拍照或臉部照片，以及從該照片衍生出的美容性視覺指標，例如 GlowScore、清透度、保濕度、細緻度、膚色均勻度、光澤度、產品建議與保養程序建議。

我們使用這些臉部資料，僅為了提供你要求的掃描、改善掃描品質回饋、產生美容性且非醫療的結果、保存你私密的進度紀錄，以及在你連結 Apple Sign In 時支援帳號復原或同步。

對於完整的 Pro 雲端分析，你選擇的照片會傳送到 GlowKit 的 Cloudflare Worker，並可能分享給 OpenRouter 與 OpenAI 作為 AI 視覺服務供應商。它們會收到回傳美容性分析所需的影像與提示詞，並就此目的擔任服務供應商。OpenRouter 的請求已設定為優先採用有提供零資料保留（zero-data-retention）的路由。依照 OpenAI 的 API 條款，OpenAI API 的輸入與輸出預設不會用於訓練 OpenAI 的模型，並可能由 OpenAI 為了有限期間的濫用監控而保留。GlowKit 不授權任何 AI 服務供應商將掃描照片用於廣告或模型訓練。

已同步的掃描照片會私密地儲存在 Cloudflare R2；掃描的中繼資料與衍生結果則儲存在 Supabase。本機的掃描照片與結果會留在你的裝置上，直到你在 App 內刪除它們或移除本 App。雲端同步的照片、中繼資料與結果會一直保留，直到你要求刪除帳號資料為止。

4. 我們如何使用資訊

我們使用資訊只為了營運與改善 GlowKit，具體來說是為了：

• 執行掃描品質檢查，並產生你的鎖定掃描預覽或完整的 Pro 結果。
• 產生你的 GlowScore、五項指標細部拆解、產品指南，以及說得清楚的保養程序。
• 顯示你的進度趨勢、掃描紀錄與前後對比。
• 建立你的本機七天計畫、儲存一則可編輯的每日打卡、保留你的提醒選擇，並讓你手動維護的保養櫃在你自己的各台裝置上都能使用。
• 在你要求時，提供選用的紫外線資訊，以及範圍有限的 Pro 美容性 Coach 建議。
• 管理你的訂閱、免費試用與回復購買請求。
• 透過粗略的產品分析數據，了解啟用率、掃描穩定度、訂閱頁轉換與隱私控制項的使用情況。
• 透過同意模式下的網站分析，了解哪些公開網頁是有用的。
• 維持穩定性、防止濫用、區分除錯／測試流量，並修正問題。
• 回覆你的客服請求。

5. 分享與服務供應商

我們不會販售你的個人資訊。我們只與協助我們營運本 App 的服務供應商分享資料，而且僅在提供服務所必要的範圍內。這些可能包括：

• OpenRouter 與 OpenAI，可能為完整的 Pro 雲端掃描執行上述的 AI 視覺分析，並可能回應一則不儲存的 Glow Coach 請求，該請求包含範圍有限的意圖、粗略的脈絡，以及——僅限於光澤度那個問題——你自己在大約過去三個月內的掃描分數，連同其計畫天數與日曆日期。
• Supabase 與 Cloudflare，提供帳號同步、資料庫儲存、Worker 代管，以及私密的 R2 掃描照片儲存。
• Apple，處理付款、管理 App Store 訂閱、可能提供作業系統層級的診斷資訊，並完成選用的 WeatherKit／定位或城市地理編碼請求。
• RevenueCat，管理 Pro 權限、回復購買狀態與訂閱存取權。
• PostHog Cloud US，為粗略的 App 事件提供產品互動分析儀表板。
• Google Analytics，以同意模式為 glowkit.org 提供網站流量分析。廣告儲存、廣告使用者資料、廣告個人化與分析儲存預設皆為拒絕。
• 診斷服務供應商，協助我們了解當機、效能與錯誤。

這些服務供應商依合約義務保護你的資訊，並且只能將其用於他們提供給我們的服務。若法律要求，或為了保護權利與安全，我們也可能揭露資訊。

6. 資料保存期間

本機的掃描照片、掃描結果、保養程序、Glow Profile、七天計畫、打卡、提醒選擇與紀錄，會留在你的裝置上，直到你在 App 內刪除它們或移除本 App。「我的保養櫃」會同時保存在你的裝置與你的帳號底下，直到你刪除該產品、選擇「刪除所有資料」，或要求刪除帳號資料為止；被刪除的產品會留下一筆已清除名稱的移除標記，最多保留 60 天，好讓你其他的裝置停止顯示它。GlowKit 不會快取原始的紫外線座標；回傳的快照與地點名稱約在 90 分鐘後過期。Coach 對話會保存在你的裝置上，直到你刪除它們或選擇「刪除所有資料」，而且 GlowKit 不會在伺服器端保留任何對話；為了讓每個帳號的 Coach 請求限制能夠被落實，我們確實會在伺服器端保留每次請求的時間、其範圍有限的意圖類別，以及你帳號參照的單向雜湊值——絕不包含你的用字、回答內容或原始帳號 ID——而且只會用到大約一天的這類紀錄，較舊的項目就會被移除。雲端同步的掃描照片、掃描中繼資料與帳號紀錄，會一直可用，直到你要求刪除帳號資料為止。AI 服務供應商會處理掃描照片以回傳你要求的結果；GlowKit 不授權它們將掃描照片用於廣告或模型訓練。購買紀錄由 Apple 與 RevenueCat 依其政策保存。產品互動分析數據、網站分析數據、客服郵件與診斷資料，只會保存到達成上述目的所需的期間，之後便會刪除或彙總。

7. 你的選擇與權利

• 刪除你的資料。「設定」→「隱私與資料」→「刪除所有資料」會清除本機的掃描／照片與結果、保養程序的編輯與打卡、Glow Profile、計畫、每日打卡、「我的保養櫃」、GlowKit 的提醒排程與偏好、快取的紫外線資訊、App 偏好設定、免費預覽標記，以及匿名的分析／流程狀態。它也會刪除你保養櫃的雲端副本。它不會抹除 App Store 的購買紀錄，也不會取消訂閱。你可以聯絡我們要求刪除雲端帳號資料。
• 存取與更正。你可以要求取得我們持有的你的個人資訊副本，或要求更正。
• 網站分析的選擇。你可以允許分析 Cookie、以「僅必要」保持無 Cookie 的量測，或之後從網站上的「分析選擇」控制項變更決定。無論哪一種選擇，廣告儲存、廣告使用者資料與廣告個人化都維持拒絕。
• 撤回同意。你可以隨時停止掃描；沒有照片就不會進行新的分析。選用的定位與通知權限可以在 iOS 設定中撤回，不會因此擋住 GlowKit 其他獨立的功能。
• 地區性權利。依照你居住的地方（例如 GDPR 或 CCPA），你可能享有額外的權利，包括要求刪除或反對特定處理行為。

若要行使上述任何權利，請透過 turhan@teddyapplabs.com 與我們聯絡。

8. 安全性

我們採用業界標準的防護措施，包括傳輸過程中的加密，來保護你的資訊。沒有任何傳輸或儲存方式是百分之百安全的，因此我們也努力從一開始就限制我們所收集的資料。

9. 兒童

GlowKit 並非針對 13 歲以下（或你所在地區規定的最低年齡）的兒童。我們不會在知情的情況下收集兒童的個人資訊。如果你認為有兒童向我們提供了資訊，請與我們聯絡，以便我們移除。

10. 國際使用者

我們可能在你所在國家以外的國家處理與儲存資訊。在跨國傳輸資料時，我們會採取措施，確保資料獲得符合本政策與適用法律的適當保護水準。

11. 本政策的變更

我們可能不定期更新本隱私權政策。當我們做出重大變更時，會更新上方的「最後更新」日期，並在適當情況下於 App 內通知你。在更新後繼續使用 GlowKit，即代表你接受修訂後的政策。

12. 聯絡我們

對隱私有疑問嗎？請透過 turhan@teddyapplabs.com 與我們的團隊聯絡。若需要一般協助，請參閱我們的支援頁面。

Teddy App Labs · GlowKit（bundle ID com.teddyapplabs.glowkit）· glowkit.org