隱私權政策

我們收集的資訊

我們遵循資料最小化原則：只收集本應用程式所需要的資料。本應用程式不含任何廣告 SDK、廣告識別碼、跨應用程式追蹤或行銷分析，我們也絕不會建立您或您孩子的剖析檔。本應用程式顯示推廣內容時，該內容由我們提供、明確標示為推廣內容、對同一語言與國家的每位使用者都相同，且絕不會使用您的資料或您孩子的資料來選擇。

您的帳號資訊：您的電子郵件地址與密碼，或透過 Apple 或 Google 登入（在此情況下我們會取得您的電子郵件地址與基本的帳號識別碼）；選填的顯示名稱（我們鼓勵使用化名）；以及語言、主題、容量單位與時間格式等應用程式偏好設定。

由您輸入的孩子資訊：暱稱（請勿輸入全名）、出生日期，以及選填的預產期。頭像是系統產生的彩色圖形 - 本應用程式不會收集孩子的照片。

由您輸入的活動日記：附時間戳記的紀錄，例如餵奶（親餵、瓶餵 - 含左右邊、時長與奶量）、睡眠（開始、結束、時長）與換尿布（類型、時間），以及每個項目由哪位照顧者記錄。

照顧者共享：當您邀請其他照顧者時，我們會收集受邀者的電子郵件地址，以及您指派的角色與權限等級，並代您向對方寄送邀請郵件。

推播通知：在您登入期間，我們會為您的每一台裝置儲存一組推播裝置權杖 - 在 Android 上為 Firebase Cloud Messaging（FCM）註冊權杖，在 iOS 上為 Apple Push Notification service（APNs）權杖 - 連同平台資訊與每次安裝隨機產生的裝置識別碼，以便傳送服務通知，例如照顧者加入或離開某個孩子個人檔案時。若您啟用選用的 Live Activity 功能，我們會額外儲存更新該功能所需的 APNs Live Activity 權杖；關閉此功能即會將其刪除。

訂閱資訊：若您購買訂閱，付款由 Apple 或 Google 處理。我們僅透過 RevenueCat 取得訂閱狀態（方案、有效／已過期、平台） - 我們絕不會取得您的付款卡片資料。

營運本服務所絕對必要的技術資料：認證權杖、由我們的代管服務提供者保存的伺服器請求日誌，以及寄送給您的交易類電子郵件的日誌。我們不會對您進行剖析，也不會儲存您的位置 - 本應用程式不會要求 GPS、通訊錄或相機的存取權。

我們如何使用您的資訊

我們使用您的資訊來提供服務 - 您的帳號、儲存項目，以及在您的裝置與受邀照顧者之間同步（Art. 6(1)(b) GDPR，履行契約）。您孩子的資料 - 包括睡眠與餵食等健康相關紀錄 - 則是基於您身為父母或法定監護人的明確同意而處理（Art. 6(1)(a) 及 Art. 9(2)(a) GDPR）。

我們只寄送交易類電子郵件：登入連結、密碼重設、電子郵件驗證、照顧者邀請，以及照顧者加入或離開時的通知（Art. 6(1)(b) GDPR）。我們不會寄送行銷郵件。

當您邀請照顧者時，我們會處理受邀者的電子郵件地址以送出邀請，其依據是我們與您在促成共同照顧上的正當利益（Art. 6(1)(f) GDPR）。邀請郵件中會連結至本隱私權政策。

服務推播通知 - 例如照顧者加入或離開某個孩子個人檔案時 - 是提供共同照顧服務的一部分（Art. 6(1)(b) GDPR）；您可以在裝置的系統設定中關閉通知。選用的 Live Activity 更新則是基於您的同意，傳送到您與受邀照顧者的裝置上（Art. 6(1)(a) GDPR），並可隨時在「設定」中停用。

本應用程式顯示非個人化推廣內容時 - 無論是我們自己的產品，或是其他公司的產品 - 我們的依據是我們在資助與推廣本服務上的正當利益（Art. 6(1)(f) GDPR）。這類內容對同一語言與國家的所有使用者都相同，且不會使用您的資料或您孩子的資料來選擇。

我們也會為了訂閱驗證（Art. 6(1)(b)）、安全性、濫用防範與服務穩定性（Art. 6(1)(f)，正當利益），以及為了遵守購買紀錄等法定義務（Art. 6(1)(c)）而處理資料。

推播通知

推播通知分為兩種。服務通知會告知您家庭帳號的相關動態 - 例如照顧者加入或離開了某個孩子個人檔案。選用的 Live Activity 功能則會額外將進行中的工作階段（例如睡眠計時器）同步顯示在您的鎖定畫面上，以及您已邀請的照顧者的裝置上；只有在您開啟這項功能時，本應用程式才會要求通知權限，而您也可以隨時在「設定」中再次關閉它。

通知內容只包含顯示所需的資訊。Live Activity 更新會帶有您孩子的暱稱、活動類型（例如睡眠開始或結束）及其開始時間；服務通知則帶有事件類型與相關的顯示名稱（例如加入的照顧者與孩子的暱稱）。通知內容絕不會包含餵奶量、日記細節、備註或您的電子郵件地址。

傳送會使用平台的推播服務：在 iOS 上，通知會直接送往 Apple 的 Push Notification service（APNs）；在 Android 上，通知則透過 Google 的 Firebase Cloud Messaging（FCM）傳送，這表示通知內容會經過 Google 的伺服器。這也是我們建議使用暱稱、而非您孩子全名的另一個理由。

在您登入期間，您的每一台裝置都會將其推播權杖儲存在我們這裡（Android 上為 FCM，iOS 上為 APNs）；啟用 Live Activity 會額外加入更新該功能所需的權杖。Live Activity 權杖會在您停用此功能時刪除；某台裝置的所有權杖會在您於該裝置登出時刪除；任何權杖則會在 Apple 或 Google 回報其無效時，或在本應用程式 60 天未更新該權杖後刪除。

資料的儲存與安全

您的紀錄會儲存在您裝置的本機上（因此本應用程式可以離線運作），並同步至我們的雲端後端，該後端由 Supabase 代管於歐盟境內（法蘭克福）。資料庫層級的資料列層級安全性（Row Level Security）確保每位使用者只能存取自己的資料，以及已獲授權存取的孩子。

我們以傳輸中加密（TLS）與靜態加密（AES-256）、資料庫層級的資料列層級安全性、有速率限制且以權杖為基礎的照顧者邀請，以及資料最小化來保護您的資料。沒有任何傳輸或儲存方式是 100% 安全的，我們也無法保證絕對的安全。您有責任妥善保管自己的登入憑證，並自行決定要與誰共享孩子的資料。

若發生影響個人資料的安全事件，我們會在有此要求時於 72 小時內通知監管機關，並在您的資料可能受到影響時以電子郵件通知您。

共享您的資訊

我們不會出售、出租或交易個人資訊，也絕不會為了行銷目的而共享這些資訊。

我們會與您邀請的照顧者共享資料：他們可以依照您設定的權限等級（檢視者／編輯者）看到所共享孩子的個人檔案與活動紀錄，而您可以隨時撤銷其存取權。

我們會使用服務提供者（處理者），他們代表我們營運服務的一部分，並且只依照我們的指示處理資料：Supabase（資料庫、認證、檔案儲存與後端函式；歐盟，法蘭克福）、Resend（交易類電子郵件的發送；美國，依標準契約條款）、由 Vercom S.A. 營運的 EmailLabs（交易類電子郵件的備援發送；歐盟，波蘭）、Cloudflare（雲端基礎設施服務，包括交易類電子郵件的備援發送；美國，依標準契約條款）、RevenueCat（訂閱驗證；美國，依標準契約條款）、Apple 與 Google（應用程式散布、登入、付款；平台標準條款）、Apple APNs（向 iOS 裝置傳送推播通知與 Live Activity 更新），以及 Google Firebase Cloud Messaging（向 Android 裝置傳送推播通知；美國，依標準契約條款）。

當提供者在歐洲經濟區以外處理資料時，我們會依賴適當的保護措施，特別是歐盟執委會的標準契約條款。

廣告商與推廣合作夥伴不會收到任何資料。本應用程式顯示推廣內容時，我們不會向所推廣的公司傳送任何個人資料，也不會在本應用程式中嵌入他們的追蹤程式碼或評估像素。若您點按連結前往他們的網站，您就離開了 BabyLedger，該網站適用他們自己的隱私權政策。該連結不會攜帶任何關於您或您孩子的資訊。

我們也可能在法律要求時揭露資訊 - 為遵守法定義務、法院命令或主管機關的合法要求，或為保護我們或我們使用者的權利與安全 - 以及在合併、收購或資產出售等業務移轉時揭露資訊，此時本隱私權政策將繼續適用。

我們的網站

本隱私權政策同時涵蓋我們的網站 babyledger.app。該網站透過 Cloudflare 提供服務，由 Cloudflare 負責代管、內容傳遞與攻擊防護；為此，Cloudflare 會代表我們處理訪客的 IP 位址與技術性請求日誌（Art. 6(1)(f) GDPR，我們在提供並保護本網站上的正當利益；美國，依標準契約條款）。

網站本身不使用任何分析或追蹤工具，也不會設定自己的 Cookie；Cloudflare 可能會設定絕對必要的安全性 Cookie（例如機器人防護）。

刪除帳號

您可以隨時自行刪除您的 BabyLedger 帳號以及與其連結的資料 - 不需要提出申請，也沒有等待期間。在 BabyLedger 應用程式中，開啟「設定」→「刪除帳號」，閱讀摘要後確認即可。我們會將一組 6 位數驗證碼寄送到您的帳號電子郵件地址；輸入該驗證碼即會立即且不可回復地刪除帳號。無論您以哪一種方式登入 - 電子郵件與密碼、Apple 或 Google - 這都同樣適用。

若您已無法存取應用程式，請從與您帳號連結的電子郵件地址寄信至 hello@babyledger.app，主旨寫「Delete my account」（刪除我的帳號）。我們會驗證該要求來自帳號持有人，並依 GDPR 的要求在 30 天內完成刪除。

立即刪除的內容：您的個人檔案（電子郵件地址、顯示名稱、偏好設定與同意紀錄）、您所擁有的每一份孩子個人檔案連同該名孩子完整的活動日記、您的照顧者連結與尚未處理的邀請、您的推播裝置權杖，以及我們儲存的您的訂閱狀態。

刪除後仍保留的內容：您為其他照顧者所擁有的孩子個人檔案記錄的項目會留在該家庭，但其中對您的參照會被清除，因此這些項目不再與您的帳號連結。我們也會保留匿名化的刪除標記（紀錄 ID 與時間），使刪除能傳達到每一台已同步的裝置；保留加密的資料庫備份最多 7 天，直到其輪替汰換；保留伺服器日誌最多 90 天；保留交易類電子郵件日誌 12 個月；並依稅務與會計法規的要求保留購買紀錄。BabyLedger 不會儲存任何照片或上傳的檔案。

刪除帳號並不會取消付費訂閱：請在您的 App Store 或 Google Play 帳號設定中取消。Apple、Google 與 RevenueCat 會依其各自的政策保留他們自己的交易紀錄。

資料保存

只要您的帳號存在，我們就會保留您的帳號與活動日記。這包括您的完整歷史：在免費版中，早於可見歷史範圍的項目會被方案限制隱藏，但不會被刪除 - 它們仍然儲存著，若您升級至 Plus 就會再次顯示。當您刪除帳號時，您的個人檔案、孩子及其所有紀錄都會立即抹除（連鎖刪除）；備份副本會在我們提供者的標準週期內輪替汰換（最多 7 天）。您在本應用程式中刪除的項目，可以在 30 天的復原期間內還原，之後其內容就會被永久抹除；系統只會保留匿名化的刪除標記（紀錄 ID 與刪除時間），使刪除能可靠地傳達到每一台已同步的照顧者裝置。

對於已有 24 個月未登入且沒有有效訂閱的帳號，我們可能會將其（連同所有資料）刪除。在任何這類刪除之前，我們會以電子郵件至少警告您兩次；只要再次登入，就足以保留您的帳號。

照顧者邀請會在建立後 7 天失效。Live Activity 推播權杖會在您停用此功能時刪除，某台裝置的所有權杖會在您於該裝置登出時刪除，任何權杖則會在平台回報其無效時，或在本應用程式 60 天未更新該權杖後刪除。伺服器日誌最多保留 90 天。交易類電子郵件日誌保留 12 個月。購買紀錄則依稅務與會計法規的要求保留。

您的權利

依 GDPR，您有權存取自己的資料並享有資料可攜權（Plus 訂閱者可以直接在本應用程式中匯出自己的紀錄；任何人，包括免費版使用者，都可以透過下方的電子郵件地址免費索取自己的資料副本）、更正權（在本應用程式中編輯您的個人檔案、孩子與項目）、刪除權（「設定」→「刪除帳號」：立即、不可回復的連鎖刪除，並以電子郵件驗證碼確認）、限制處理權與反對權（例如撤銷其他照顧者的存取權，或在「設定」中停用推播通知，這會刪除本裝置的推播權杖），以及隨時撤回同意的權利，且不影響先前處理的合法性。

您也可以向您的資料保護監管機關提出申訴 - 在波蘭為個人資料保護局局長（PUODO），ul. Stawki 2, 00-193 華沙，uodo.gov.pl。若某項權利無法在本應用程式中行使，請透過下方的電子郵件地址與我們聯絡。

孩子的隱私

本應用程式的對象是成年照顧者。我們不會為孩子建立帳號，也不會在知情的情況下直接向孩子收集個人資訊。所有孩子的資料都由父母或法定監護人輸入，並以其同意為依據（Art. 8 GDPR），且僅用於為該家庭提供本應用程式的功能。我們強烈建議為您的孩子使用暱稱，而非全名。若您認為有孩子直接向我們提供了個人資訊，請與我們聯絡，我們會將其刪除。本應用程式中的任何推廣內容都是針對成年照顧者，且絕不會使用孩子的資料來選擇。

本政策的變更

我們可能會不時更新本隱私權政策。重大變更我們會以電子郵件寄至與您帳號連結的地址，或透過應用程式內的公告宣布，並發布在標頭處註明更新日期的新版本。在變更生效後繼續使用本應用程式，即構成接受。若您不同意某項變更，您可以刪除帳號並停止使用本應用程式。

與我們聯絡

隱私相關事宜請聯絡：Taqo Łukasz Jach，Kołłątaja 1A，46-203 Kluczbork，波蘭，加值稅識別號碼（VAT ID／NIP）：PL7511625650。電子郵件：hello@babyledger.app - 請在信件中註明「Attention: Privacy Policy」（注意：隱私權政策）。