隱私權政策

三句話說明

Pattio 完全在你的裝置上運作，不需要帳號：如果你不建立帳號，任何地方都不會有我們保存的東西。如果你建立帳號，你同步的內容會以只有你的裝置才有的金鑰加密傳送，我們既沒有這把金鑰，也無法復原它。唯一的例外（我們把話說清楚，因為這很重要）是你刻意分享的內容：那些內容必須讓伺服器能夠讀取，受邀的人才能打開，因此我們也有可能讀到。而且就只有那些內容，別無其他：如果你只分享一個項目，伺服器只能讀取那個項目，以及它所在看板的名稱；看板的其餘部分（其他筆記、區域、塗鴉）仍然是加密的。如果你分享整個看板，那就是全部都能讀取。

App 裡沒有廣告、沒有追蹤器，也不會把資料賣給任何人，這一點不會改變。自 2026年8月起，App 確實有的是假名化的產品分析：只有幾個動作名稱（例如「已開啟 App」、「已新增投票類型的卡片」），不含你的任何文字、任何屬於「你」的識別碼，也沒有任何數字；資料存放在歐盟境內的伺服器，並且可以在「設定」▸「隱私權與安全性」▸「隱私」中用開關關閉（§3.7）。我們說「假名化」而不是「匿名」，是因為資料中會附帶這個安裝的隨機識別碼：它不是你的名字、不是你的電子郵件，也不是你的帳號，而且會在你關閉開關時刪除。除此之外，透過分享連結打開的網頁有它自己的造訪分析，只有在訪客同意時才會運作（§3.6），而本網站也有自己的分析（§3.11）。另外，如果你開啟了 Pattio 最新消息並允許通知，最新消息會以通知的方式送達：為此會儲存一個 Apple 推播權杖，它與你的帳號沒有任何關聯（§3.13）。

1. 誰是資料控管者

我們沒有設置資料保護長：本活動並不屬於歐盟《一般資料保護規則》（GDPR）第 37 條規定必須設置資料保護長的情形。

• 控管者：Joan Cama Ribot
• 營業名稱：Somia Digital
• 稅籍編號（NIF）：41531670H
• 地址：Carrer de Sant Joan, 16, 17200 Palafrugell (Girona)，西班牙
• 聯絡信箱：hola@somiadigital.com

2. 原則：本機優先

Pattio 是一款本機優先（local-first）的 App。看板、筆記、照片、繪圖，以及你放進去的一切，都儲存在你裝置上的資料庫裡。沒有帳號時，不會有任何一個位元組離開手機、送到我們的任何伺服器：雲端上沒有副本，沒有我們的識別碼，也沒有我們的檔案。

建立帳號是選擇性的，而且只有一個用途：在你的裝置之間同步，以及（如果你願意）分享看板。

3.1. 帳號

如果你用 Apple 登入，可以隱藏你的電子郵件：Apple 會給我們一個轉寄地址，我們看不到真正的地址。如果你用 Google 登入，驗證過程會由 Google 參與。App 會向 Apple 要求你的全名，但不會儲存在任何地方：它只使用身分權杖。

金鑰指紋是縮短過的加密雜湊值（截斷的 SHA-512）。它無法用來重建金鑰，也無法解密任何東西：只能用來比對。

你完成（或略過）歡迎流程時，你對「條款」的同意紀錄會儲存在你的裝置上，內容只有兩項：文件版本和時間點。沒有識別碼、沒有語言，也沒有任何個人資料。如果你有帳號，它會和其他內容一樣放在加密保險庫中傳送（也就是說我們無法讀取）；如果你沒有帳號，它就不會離開裝置。在這項功能推出之前就已安裝 Pattio 的人，不會有這筆紀錄，我們也不會替他們捏造一筆：沒有人看過的同意，不能算是證據。

• 電子郵件地址 — 識別你的身分並讓你登入（電子郵件驗證碼、Apple 或 Google）— 法律依據：履行契約，GDPR 第 6 條第 1 項 b 款 — 帳號存續期間。
• 使用者識別碼（UUID）— 將你的內容與你的帳號連結 — 第 6 條第 1 項 b 款 — 帳號存續期間。
• 金鑰指紋（key_check）— 在某台裝置帶著不屬於你的金鑰時提醒你 — 第 6 條第 1 項 b 款 — 帳號存續期間。
• 已同意的「條款」版本及時間 — 能夠說明你同意的是哪個版本的契約、在哪一天同意 — 第 6 條第 1 項 b 款（證明契約存在）— 帳號存續期間。

3.2. 「私人」看板的內容

這些內容以 XSalsa20-Poly1305（NaCl secretbox）進行端對端加密後傳送和儲存。金鑰在你的裝置上產生，存放在 iOS 鑰匙圈中，永遠不會傳到我們這裡。我們看到的只是一團無法讀取的位元組。

金鑰如何抵達你的第二台裝置，以及代價是什麼。為了讓你在 iPad 或 Mac 上登入同一個帳號時，不必手動抄寫任何東西，金鑰也會以可同步的鑰匙圈項目形式儲存（也就是 iCloud 鑰匙圈）：這樣它就會自行在同一個 Apple 帳號的裝置之間傳遞，由 Apple 進行端對端加密，永遠不會經過我們的伺服器。我們依然看不到它。

這樣做的代價，我們寫在這裡，而不是藏在註腳裡：它把你內容的安全性和你 Apple 帳號的安全性綁在一起——誰能進入某人的 iCloud 鑰匙圈，誰就拿到了能解密其看板的金鑰。這和鑰匙圈對待那個人所有密碼（包括網路銀行的密碼）的方式完全相同。復原碼依然存在，也依然是備用方案：適用於關閉 iCloud 鑰匙圈的人、更換 Apple 帳號的人，以及想要一把不依賴 Apple 的金鑰的人。

如果你同時弄丟了金鑰和復原碼，就沒有人能找回原本的內容——我們也不行。這是真正加密的代價，最好事前就知道，而不是事後才知道。

處理的資料：看板、區域、項目和筆畫的加密內容，以及加密檔案（照片、影片、掃描檔、繪圖、文件）— 目的：讓你在裝置之間同步 — 法律依據：GDPR 第 6 條第 1 項 b 款 — 期限：直到你刪除這些內容或刪除帳號為止。

即使內容已加密，我們仍然看得到的部分（如果要讓同步正常運作，這些是無法隱藏的）：

• 每一列屬於哪個資料表（項目、看板、區域……）；
• 該列的識別碼（在你裝置上產生的 UUID，本身沒有任何意義）；
• 建立、修改和刪除的時間戳記；
• 每個檔案的路徑和位元組大小，因為我們就是這樣計算你使用的空間，也是據此向你收費。
• 也就是說：我們可以知道你有 412 個項目，也知道你在某個星期二的十一點動過其中一個，但不知道裡面寫了什麼。

3.3. 你「分享」的內容

在這裡，端對端加密並不存在，這一點必須直說。要在沒有你金鑰的人的瀏覽器中打開的內容，必須以可讀取的形式送達，因此也會以可讀取的形式儲存在伺服器上。只要那些內容處於分享狀態，負責管理我們基礎架構的人就有可能讀取其內容和照片。當你停止分享時，它就會恢復加密傳送。

而「那些內容」就是你分享的東西，別無其他。分享有兩種範圍，兩種在你執行之前都會用文字清楚說明：如果你只分享單一項目，以明文送出的是那個項目、它的照片，以及它所在看板的名稱（連同表情符號和顏色）——因為收到的人所看到的頁面必須能說明它來自哪裡——看板的其餘部分仍然加密；如果你分享整個看板，那就是全部都以明文送出：所有筆記、區域、塗鴉、筆記本和照片。

實用的原則：如果某樣東西你不會放到伺服器上，就不要用連結分享它。

訪客會取得一個匿名工作階段：我們不要求任何電子郵件、任何帳號，也不要求任何其他資料，唯一的例外是他們自己輸入的名字。

究竟誰能看到訪客的名字。名字的用途是讓大家在投票中知道誰投了什麼，所以能看到它的，是其他能讀取同一內容的人，除此之外沒有別人。還有一點反方向的補充，同樣屬實：擁有者和有帳號的成員所投的票不會顯示名字，因為他們不在訪客名單上。頁面知道名字時就顯示名字，並且一律顯示票數，不會捏造一個「某人」。

• 你分享的內容及其檔案的「明文」內容 — 讓訪客能從瀏覽器打開 — 第 6 條第 1 項 b 款 — 直到你停止分享或刪除為止。
• 受邀者的電子郵件 — 在他們用該電子郵件登入時授予存取權 — 第 6 條第 1 項 b 款 — 直到你撤回邀請為止。
• 打開訪客連結的人所輸入的名字 — 讓其他人知道誰寫了什麼、誰投了票 — 第 6 條第 1 項 b 款 — 直到停止分享為止。
• 分享看板中的投票 — 計算票數 — 第 6 條第 1 項 b 款 — 同上。
• 連結權杖（token）— 不用帳號就能打開看板 — 第 6 條第 1 項 b 款 — 直到你撤銷為止。
• 如果分享的是整個看板，能看到訪客名字的是擁有該看板的人（擁有者、成員，以及該連結的其他訪客）。
• 如果分享的是單一項目，只能透過該項目看到名字，而且只限於在該項目中投過票的訪客：打開某個投票連結的人，拿不到該看板的訪客名單。
• 訪客的連結權杖絕不會被其他訪客看到。伺服器只提供其名字和投票識別碼，絕不提供該列的其他任何資料。

3.4. 購買

訂閱費用由 Apple 透過你的 App Store 帳號收取：我們永遠看不到你的信用卡、帳單姓名或地址。告訴我們「這個人有 Plus」的是 RevenueCat，一家訂閱中介服務商，我們只會傳給它你的使用者識別碼（其他一概不傳：沒有電子郵件，也沒有名字）。它的 SDK 會自行為其功能收集裝置的技術資料（例如 Apple 的廠商識別碼（IDFV）、機型和國家或地區）；這是由它負責，並寫在它自己的政策中。

• 使用者識別碼，以及購買和續訂紀錄 — 得知你使用哪個方案、可以使用多少空間 — 第 6 條第 1 項 b 款 — 帳號存續期間。

3.5. 裝置權限

Pattio 不會要求存取聯絡人、健康、藍牙或區域網路，也絕不會在背景使用位置。

你項目的提醒是「本機」的，而這代表一件具體的事。當你要求倒數計時、即將到來的活動或習慣提醒你時，Pattio 會請你手機的作業系統在某個時間叫你。這些提醒不會經過任何伺服器，也絕不會從外部傳送：我們永遠收不到你的任何提醒，也無從得知你是否收到或打開了提醒。鎖定畫面上顯示的是項目的標題，僅此而已，絕不會顯示卡片裡的內容。

Pattio 最新消息則是另一回事：它由我們從伺服器傳送，並透過 Apple 的通知服務送達。完整說明請見 §3.13。

Spotlight 索引只包含標題。為了讓你能從主畫面的搜尋找到看板或卡片，Pattio 會在 Spotlight 索引中留下看板的名稱、項目的標題、它的表情符號，以及打開它的位址。就這些：不包括筆記的內文、清單的各行、任何轉錄文字，也不包括任何縮圖。那個索引屬於你手機的作業系統：它存在於同一台裝置上，沒有人會同步它，我們也從不會收到其中任何內容。如果你解除安裝 App，它也會隨之消失。

App 鎖定由 iOS 負責，我們不會收到任何關於你的資料。如果你開啟鎖定（「設定」▸「隱私權與安全性」▸「鎖定」），Pattio 會請「系統」用 Face ID、Touch ID 或裝置密碼來辨識你。Pattio 永遠不會收到任何生物特徵資料（不會收到你的臉、你的指紋，也不會收到你的密碼）：它收到的只是「是」或「否」，不會儲存任何東西，也沒有任何東西離開手機。唯一會儲存的，是鎖定是否開啟，以及多久之後要再次詢問，這兩者都是這台裝置上的選擇，不會傳到任何地方。

而且鎖定可能會自行關閉，但只有一種情況。如果在 Pattio 鎖定開啟的狀態下，你移除了手機的解鎖密碼，這台裝置上就再也沒有任何鑰匙能打開它：這時 Pattio 仍會照常打開，以提示告訴你，並把該設定存為關閉。這是刻意的設計，我們寫在這裡，因為這是一項決定而不是錯誤——本機鎖定是擋在拿著手機的人面前的一道簾子，而不是把你擋在外面的保險箱：嚴格執行的話，會把你永遠鎖在自己的筆記之外，連用來關閉它的開關都碰不到。基於同樣的理由，如果無法讀取該設定，App 就會直接打開。

• 相機 — 當你拍照要放到看板上時 — 照片會放到看板上，和其他照片一樣。
• 圖庫 — 當你選擇照片或影片時 — 同上。
• 位置（僅限使用期間）— 只有當你按下「目前位置」時 — 座標由 Apple 轉換成地址。如果你把卡片存到同步的看板上，座標會加密儲存（如果看板正在分享，則為明文）。天氣絕不會要求這項權限：如果你已經允許，它會讀取最後儲存的位置點，並將其四捨五入（§3.10）。
• 麥克風和語音辨識 — 當你按下「錄音」，要在看板上放一則語音備忘錄或口述一份清單時 — 聲音會留在你的裝置上：轉錄由你自己的手機完成，不會傳給我們，也不會傳給 Apple。
• 行事曆和提醒事項 — 當你放上行程卡片時 — 在裝置上讀取，不會離開裝置。我們不會把任何內容上傳到任何地方。
• 通知 — 在你第一次開啟某個項目的提醒時，或在「設定」▸「提醒」中開啟「Pattio 最新消息」時；絕不會在啟動時要求 — 就提醒而言，沒有任何資料：提醒由你自己的裝置排程和送達；就最新消息而言，請見 §3.13 的說明。

3.6. 訪客網頁入口及其分析

本節「只」說明有人傳給你 Pattio 連結時所打開的網頁（app.pattio.app）。本節所描述的內容（Google Analytics、Cookie 和橫幅）在 App 內「不」存在，將來也不會存在。App 有它自己的產品分析，那是另一回事，使用另一家服務商，也有自己的開關：§3.7。

入口網站一定會儲存的東西，以及為什麼不徵求你的同意。當你打開連結時，瀏覽器會儲存一個匿名工作階段，讓你能進入看板。沒有它，就沒有頁面。這是提供你所要求的服務時絕對必要的儲存，因此《電子隱私指令》（ePrivacy Directive）第 5 條第 3 項免除了取得同意的要求。我們不會為了一個少了它連結就打不開的東西來徵求你的同意。

入口網站未經你同意「不會」做的事。如果入口網站設定了分析功能，它在進行任何量測之前，會先以一則通知詢問你，通知上有兩個一樣容易選的選項：接受和拒絕。在你回答之前，以及如果你拒絕，都不會從 Google 下載任何一個位元組，也不會儲存任何量測用的 Cookie。無論你接受或拒絕，頁面的外觀和功能都完全相同：沒有任何阻擋牆。

處理的資料：頁面造訪（三種頁面類型中的哪一種、由 IP 推估的大致國家或地區、瀏覽器和裝置類型）— 目的：了解有多少人打開分享連結 — 法律依據：GDPR 第 6 條第 1 項 a 款，即你的同意，且僅以此為依據 — 期限：依 Google Analytics 資源的設定。

「絕不」會傳送的東西，這才是重點：連結權杖（也就是看板的鑰匙）、任何看板或項目的識別碼、任何訪客名字，以及任何內容。傳送的路徑不是網址列上的路徑，而是三個固定字串之一（/convidat、/e 或 /），程式碼中寫死就是為了這個唯一的目的。也沒有任何自訂事件：只有一次造訪，僅此而已。

由誰處理。Google Ireland Limited／Google LLC 作為受託處理者，IP 會匿名化（Google Analytics 4 預設如此），Google 信號和廣告個人化功能皆已停用，並設定 Consent Mode v2，預設拒絕所有權限。傳輸到美國的資料以標準契約條款及歐盟－美國資料隱私框架（Data Privacy Framework）為依據（§4）。

你隨時可以改變主意。入口網站每一頁的底部都有「Cookie」，可以重新開啟這個詢問。你的選擇會在你自己的瀏覽器中記住十二個月，並記錄目的的版本：如果哪天目的有所改變，會重新詢問你，而不是沿用之前某個時候的「同意」。

而目前這項功能是關閉的。只要入口網站還沒有設定任何分析資源，就既沒有通知也沒有量測：頁面只會儲存第一段提到的匿名工作階段。

3.7. App 的產品分析

這是什麼。自 2026年8月起，App 會傳送少量假名化的使用量測，只有一個用途：了解哪些功能真正有人在用，並決定值得在哪裡投入心力。這不是廣告，不是追蹤，也和網頁入口的量測（§3.6）毫無關係：那是另一套系統，在另一個地方，回答另一個問題。

點一下就能關閉，而且你不會失去任何東西。開關位於「設定」▸「隱私權與安全性」▸「隱私」。它預設為開啟，而同一個畫面會列出 App 可以傳送的所有名稱的完整原文清單（直接從程式碼讀取，而不是手寫的）。關閉它不會移除 App 的任何功能。

「絕不」會傳送的東西，這才是重點：你的任何文字或內容（標題、筆記、照片、檔案、繪圖都不會）、任何看板、項目或分享連結的識別碼、任何名字或電子郵件地址、任何數字（不會有你有幾個看板、用了多少空間，也不會有任何座標），以及任何關於誰和誰分享的資訊。程式碼中有一個過濾器，以封閉清單列出可以離開裝置的東西，沒有任何路徑能繞過它，而且每次修改都有自動化測試加以檢查。

你裝置的資訊也不會傳送。量測服務預設會傳送螢幕尺寸、裝置型號和類型、作業系統及其版本、語言和時區。Pattio 會在這些資料離開裝置之前全部剔除，用的是同一個封閉清單過濾器。

假名化，這個詞很重要。不會傳送任何使用者識別碼，不會傳送你的電子郵件，也不會建立任何個人檔案。依 IP 判斷地理位置的功能已停用，工作階段錄製（session replay）也已停用：App 絕不會錄下畫面。不過，只要開關保持開啟，隨機的安裝識別碼就會維持不變，因此同一台裝置的量測可以彼此歸在一起。在 GDPR 的意義上，這不是匿名化，而是假名化，這也是法律依據為正當利益（第 6 條第 1 項 f 款）並附帶反對權的原因。

資料送往哪裡。送往 PostHog（EU Cloud，德國法蘭克福，歐盟），位址是 eu.i.posthog.com，作為受託處理者（§4）。而如果 App 沒有內建服務金鑰，就不會傳送任何東西：沒有服務金鑰而編譯出來的版本會保持「待命」，不會初始化任何東西，即使開關看起來是開啟的。

• 在 App 中執行的動作名稱，僅此而已：開啟 App、完成歡迎流程、開啟使用指南和建立看板，都不附帶其他資訊。有四個動作會附帶一個取自封閉清單的標籤：切換檢視（軟木板或格狀）、新增卡片（筆記、投票、照片……）、變更主題（淺色、深色或跟隨系統），以及開始或完成購買（Plus 或 Pro）— 目的：了解哪些功能有人在用，以決定我們的工作重點 — 法律依據：GDPR 第 6 條第 1 項 f 款，正當利益，附帶反對權，而反對權實際上就是「隱私」中的那個開關 — 期限：PostHog 專案所設定的事件保留期間。
• 傳送量測的 App 版本 — 了解訊號來自哪個版本 — 第 6 條第 1 項 f 款 — 期限同上。
• 這個安裝的隨機識別碼，由量測服務產生，不是你的名字、不是你的電子郵件，也不是你的帳號 — 讓同一台裝置的兩筆量測不會被算成兩個人 — 第 6 條第 1 項 f 款 — 期限同上，並會在你關閉開關時從裝置上刪除。

3.8. 我們「不」處理的資料

為了說清楚，也讓人打開程式碼就能驗證：

• 沒有任何追蹤你的分析。沒有 Firebase、Amplitude、Mixpanel、Segment，也沒有任何會在 App 之間或網路上跟蹤你的東西。整個專案中存在的量測只有：App 的產品分析（§3.7），假名化、附開關、以正當利益為依據；訪客入口網站的造訪分析（§3.6）；以及本網站的分析（§3.11）。後兩者只有在你同意時才會運作。
• 沒有自動錯誤報告。沒有 Sentry，也沒有 Crashlytics。
• 沒有第三方行銷通知，也沒有與個人綁定的權杖。Pattio 最新消息（§3.13）是唯一的遠端通知（由我們撰寫的一般性內容，絕不是第三方廣告，也絕不是個人化內容），而它的權杖無從得知屬於誰。你項目的提醒由你自己的手機排程和送達（§3.5）。
• 沒有廣告，也沒有廣告聯播網。
• 沒有追蹤。App 不會要求追蹤權限（ATT），因為它不需要：它不使用 IDFA 或任何廣告識別碼，也不會為了廣告目的將你的任何資料分享給第三方或任何資料仲介商。
• 沒有任何剖析，也沒有任何具法律效力的自動化決策（GDPR 第 22 條）。
• 不會將資料出售或轉讓給任何人。

3.9. 人工智慧：全部在你的裝置上

在這個版本中，沒有任何通往雲端的 AI 路徑處於啟用狀態。App 不會主動讀取照片、掃描檔或連結來建議你該產生什麼（即「智慧擷取」），App 內也沒有任何助理。這兩項功能已經寫好並經過測試，但沒有在任何地方顯示（沒有按鈕、沒有選項列、沒有指令），因此沒有任何東西能把文字傳送到任何 AI 伺服器。也因此，這個版本不會為此向你要求任何權限：沒有什麼需要允許的。等它們回歸的那一天，本節會在任何事情發生之前，重新完整說明。

Pattio 確實會做的事，全部都在你的手機「內」完成，共有三件：讀取你照片和掃描檔中的文字，讓你能用其中出現的字詞再找到它們（由 Apple 的文字辨識工具 Vision 在裝置上於背景執行）；依語意搜尋，使用 Apple 在裝置上的嵌入模型；以及口述筆記或清單，使用強制離線運作的 Apple 語音辨識。這三件事都不會有任何資料離開手機。

照片中的文字，詳細說明。讀取出來的文字會儲存在卡片內、你的加密保險庫中，因此和照片說明一樣屬於你的資料：它不會以文字形式顯示在任何畫面上（不在卡片上、不在 PDF 中，也不在分享看板的網頁上），App 唯一的用途就是讓你能搜尋它。如果你分享看板，它會隨卡片一起傳送，走的正是整張照片本來就會走的同一條路徑。

有一個細節最好完整說明：分享看板的摘要（訪客在頁面頂端看到的主題清單）是根據卡片中最常出現的字詞產生的，而從照片讀取出的字詞，和其他任何字詞一樣會被計算在內。這只有在你分享整個看板時才可能發生。

你可以在「設定」▸「隱私權與安全性」▸「讀取照片中的文字」關閉這項功能。關閉之後就不會再讀取任何照片；已經讀取的文字會留在各自的卡片中，要移除它就得刪除照片。

3.10. 天氣

Pattio 在兩個地方顯示天氣：主畫面小工具，以及你可以釘在軟木板上的「天氣」項目。兩者的運作方式相同，本節適用於兩者。

提供預報的是 Apple WeatherKit，也就是作業系統的服務。沒有其他服務商：當 WeatherKit 沒有回應時，不會改呼叫其他任何人，卡片會用文字說明。

離開裝置的資料：兩個四捨五入過的座標，僅此而已。在查詢任何資料之前，位置會四捨五入到小數點後一位（約 11 公里），足以猜中當地天氣，卻不足以說出你在哪裡。不會附帶任何識別碼、你的帳號或任何看板資料。查詢由 iOS 代表 App 執行，並受 Apple WeatherKit 的資料政策規範。

位置從哪裡來，以及我們為了取得它「不」會做什麼。「你所在地」的天氣會讀取系統已經儲存的最後一個位置點：它不會開啟 GPS、不會要求任何權限，也絕不會在背景使用位置。如果沒有授予位置權限，就不會查詢：卡片會加以說明，你可以選擇一個固定地點，而這是唯一會儲存在該列中的東西。

儲存的內容。天氣資料不會儲存任何東西，只有卡片內會保留最後一次讀取的副本（溫度、天氣狀況和時間），讓你匯出的 PDF 和訪客網頁能顯示一些內容。這些都不會傳送到我們的任何伺服器，預報的其餘部分只存在於記憶體中，一小時後就會失效。

3.11. 本網站：支援表單與分析

本節「只」說明 pattio.app，也就是介紹 Pattio 的網頁。這裡沒有使用者帳號，你看板的內容也永遠不會經過這裡。

如果你透過支援表單寫信給我們，你會留下電子郵件、訊息，以及你瀏覽時使用的語言；名字是選填的，可以留空。我們只會用這些資料回覆你，不作其他用途。法律依據是你的同意（GDPR 第 6 條第 1 項 a 款），你隨時可以寫信到 hola@somiadigital.com 撤回同意。表單由 Netlify 管理，也就是 §4 所列、負責託管本網站的受託處理者：訊息會留在它的控制台中，並以電子郵件轉寄給我們。我們會在處理詢問所需的期間內保存，最長不超過詢問結案後十二個月。

本網站也使用 Google Analytics 4，而且只有在你於 Cookie 通知中接受時才會使用。如果你沒有回答，或是拒絕，就不會載入 Google 的任何一個位元組。關於你的瀏覽器中會儲存什麼、以及如何變更你的選擇，詳見「Cookie 政策」(/zh-hant/cookies)。

3.12. App 的「想法與問題」信箱

你可以從 App 內（「設定」▸「關於」▸「想法與問題」）寫信告訴我們一個想法、一個錯誤、一項改進建議，或任何事情。不需要帳號。

傳送的內容：你寫的文字和你選擇的類型（想法、錯誤、改進、其他）；你的電子郵件，只有在你填寫時才會傳送；一張截圖，只有在你附加時才會傳送（由你從圖庫中選擇）；以及 App 版本、建置編號、平台和語言。不包含你軟木板上的任何東西：沒有看板、卡片、照片、帳號，也沒有任何識別碼。

資料送往哪裡。送往 Supabase 位於歐盟的一個伺服器函式，它會把訊息存進一個資料表；如果開啟了電子郵件通知，還會透過 Resend（Resend, Inc.，eu-west-1 區域，愛爾蘭，歐盟）寄一份副本給團隊。截圖不會存進資料表：它只會作為那封電子郵件的附件傳送。

IP 位址。為了防止濫用，我們會計算同一個來源一天內送來的訊息數量。我們不會儲存 IP，而是儲存一個混入當天日期的加密指紋：它無法還原、隔天就失效，也無法把不同日子的訊息串連起來。

當訊息無法經由伺服器傳送時，App 會打開你手機的郵件 App，並帶入已寫好的文字：這時由你自己用自己的地址寄出，而且不附截圖。

法律依據是改進 App 的正當利益（GDPR 第 6 條第 1 項 f 款）。電子郵件如果有填寫，只會用來回覆那則訊息，不作其他用途。

每則訊息最多保存 12 個月，如果事情提早結案則會更短。如果你希望我們提早刪除，請寫信到 hola@somiadigital.com。

• 訊息的文字和類型、電子郵件（如果有填寫）、截圖（如果有附加；只會隨 Resend 的電子郵件傳送）、App 的版本、建置編號、平台和語言，以及 IP 的每日指紋 — 閱讀你告訴我們的內容，如果有電子郵件，就回覆你 — 第 6 條第 1 項 f 款，正當利益 — 最多 12 個月，如果事情提早結案則會更短。

3.13. Pattio 最新消息

這是什麼。由我們撰寫、從伺服器傳送的一般性內容，例如版本更新和公告。絕不是第三方廣告，也絕不是個人化內容。你項目的提醒是另一回事，仍然是本機的（§3.5）。

如何送達。在 App 內，以最新消息面板的形式呈現：App 開啟時會向 Supabase 索取已發布的最新消息清單，過程中不會傳送任何屬於你的東西（Supabase 會看到 IP，任何請求都是如此），這些最新消息中的圖片也由 Supabase 提供。「已看過」的狀態只會儲存在你的裝置上。此外，如果你願意，也可以透過通知接收，由 Apple 推播通知服務（APNs）送達。

開關，以及何時要求權限。開關位於「設定」▸「提醒」▸「Pattio 最新消息」。它預設為開啟，但 App 絕不會在開啟時要求通知權限。如果你之前已經允許 Pattio 傳送通知（例如為了某個提醒），而且沒有關閉最新消息，App 會在開啟時登記權杖，不會再問你任何問題。如果你之前沒有允許，在你開啟「Pattio 最新消息」之前什麼都不會發生，而到那時，是由 iOS 來詢問你。關閉開關後，App 內的最新消息面板也不會出現。

我們儲存的內容。如果你開啟了最新消息並允許了通知，這台裝置會在我們的資料庫（Supabase）中儲存一個 Apple 推播權杖、這個安裝的隨機識別碼（由 App 產生，不是任何 Apple 識別碼）、語言、App 版本、平台（iOS）以及 APNs 環境（測試或正式）。僅此而已：不包括你的帳號、你的電子郵件、你在 Pattio 中的任何內容，也不包括你的 IP。

而且資料庫不允許把那個權杖和任何帳號連結起來：有一項限制強制使用者欄位保持空白，因此現在無法這麼做，未來的版本也不可能因為失誤而這麼做。這個資料表是封閉的：任何公開角色都無法直接讀取或寫入。

如何關閉，以及會刪除什麼。如果你關閉「Pattio 最新消息」，我們會從伺服器刪除權杖，並將該列標記為已關閉；App 不會再登記新的權杖。如果 Apple 表示某個權杖已經無效（例如因為 App 已被解除安裝），伺服器會自動停用它。已關閉的列（隨機識別碼、語言和版本，已不含權杖）會在該安裝存在期間保留。

法律依據是正當利益（GDPR 第 6 條第 1 項 f 款），附帶反對權，而反對權就是「Pattio 最新消息」開關，和產品分析的情況一樣（§3.7）。

• Apple 推播權杖（APNs）、這個安裝的隨機識別碼、語言、App 版本、平台和 APNs 環境 — 透過通知將 Pattio 最新消息送達給你 — 第 6 條第 1 項 f 款，正當利益，附帶反對權，也就是「Pattio 最新消息」開關 — 權杖保存到你關閉最新消息或 Apple 表示它已無效為止；已關閉的列（已不含權杖）在該安裝存在期間保留。

4. 還有誰會接觸到資料（受託處理者）

我們沒有自己的伺服器：我們租用別人的。所有服務商都簽有受託處理契約（GDPR 第 28 條）。

國際傳輸。RevenueCat、Apple 和 Google 位於美國。這些傳輸以歐盟執委會的標準契約條款為依據，並在適用時以歐盟－美國資料隱私框架（Data Privacy Framework）為依據。Netlify 也位於美國，這項傳輸的依據是納入其資料處理協議中的歐盟執委會標準契約條款。Resend 在歐盟境內的 eu-west-1 區域（愛爾蘭）處理資料。你可以寫信到 hola@somiadigital.com 向我們索取這些保障措施的副本。

• Supabase Inc. — 資料庫和身分驗證、Pattio 最新消息（§3.13），以及「想法與問題」信箱（§3.12）— eu-central-1（德國法蘭克福），位於歐盟境內。
• Cloudflare, Inc.（R2）— 儲存同步的檔案（如果看板是私人的，則為加密）— Cloudflare 網路；儲存桶位於西歐。
• Cloudflare, Inc.（更新 Worker）— 在 App 開啟時回應是否有新版本的程式碼（請見「會看到你 IP 的第三方」）— Cloudflare 網路。
• RevenueCat, Inc. — 訂閱狀態 — 美國。
• Apple Inc. — 收費、使用 Apple 登入、Pattio 最新消息的送達（APNs，§3.13）、地圖、歌曲搜尋和 Apple Music 歌曲資訊，以及天氣（WeatherKit，§3.10）— 美國／全球。
• Google LLC — 使用 Google 登入，僅限你選擇這個方式時；以及網頁的造訪分析，僅限你同意時（§3.6 和 §3.11）。這個版本中 Gemini 不參與任何處理：沒有任何通往雲端的 AI 路徑（§3.9）— 美國／全球。
• PostHog, Inc. — App 的產品分析，假名化，且僅在你未關閉時運作（§3.7）— EU Cloud，德國法蘭克福，歐盟（eu.i.posthog.com）。
• Netlify, Inc.（美國舊金山）— 本網站和訪客入口網站的託管，以及本網站的支援表單（§3.11）。
• Resend, Inc. — 以電子郵件將「想法與問題」信箱訊息的副本寄給團隊，如有截圖則一併附上（§3.12）— eu-west-1（愛爾蘭），位於歐盟境內。

會看到你 IP 的第三方（以及原因）

你的裝置會在五種情況下直接與我們以外的對象通訊。我們不會傳送任何屬於你的東西給他們；是你自己連過去的。

• 連結預覽。當你貼上一個網址（或從其他 App 分享一個網頁過來）時，Pattio 會直接從你的裝置去抓取它的標題和圖片。那個網站會看到你的 IP，就像你用瀏覽器造訪它一樣。（我們是刻意這樣做的：如果透過我們的伺服器轉手，就代表我們會看到你儲存的所有連結。）對於幾個知名平台（YouTube、Reddit、Spotify、Instagram、Facebook、TikTok、Pinterest），會向它們自己的嵌入服務索取資訊，而不是讀取頁面，封面圖片則會儲存在你的裝置上，因為它們的網址幾天內就會失效。
• 歌曲搜尋。你輸入的內容會送到 Apple 的 iTunes 搜尋。
• 貼上的 Apple Music 歌曲。當你貼上 Apple Music 連結時，你的手機會以歌曲的目錄識別碼向 Apple 的服務索取歌曲資訊，僅此而已：不附帶任何帳號，也不附帶任何工作階段。Apple 只會看到 IP。
• 地圖和地址。地圖以及座標到地址的轉換由 Apple 處理。
• App 更新。App 開啟時，會詢問 updates.pattio.app（一個 Cloudflare Worker）是否有新版本的 JavaScript 程式碼。它會傳送 App 版本、平台和頻道，不包含任何屬於你的資料；Cloudflare 會看到 IP。

5. 我們保存多久

• 帳號存續期間，你同步的內容都會保存。
• 你刪除的內容會移到垃圾桶（「最近刪除」），在那裡保留 30 天，之後會自動刪除。
• 如果訂閱到期或你取消訂閱，當天不會刪除任何東西：你會回到免費方案，所有內容都仍然可以讀取和下載，唯一被擋下的是在超出配額期間上傳更多內容。有 30 天的寬限期，期間會提醒你並寫明日期；寬限期過後，只會移除超出的部分（從最舊到最新），被移除的部分會在垃圾桶中再保留 30 天，在那段期間續訂仍可救回。到了第 60 天就無法挽回了。完整的時程和數字，詳見「條款與條件」(/zh-hant/terms) 的 §9。
• 刪除墓碑紀錄。當你刪除一個項目時，我們會保留它的列，標記為「已刪除」且不含內容，讓你的其他裝置知道那裡也必須讓它消失。這是同步機制，不是你的內容，會隨帳號一併消失。
• 清空垃圾桶會刪除伺服器上的檔案，而不只是這台裝置上的檔案。當你把項目從垃圾桶「永久」移除時，只屬於它的照片和檔案會立即在這台裝置上釋放，而它在雲端的副本也會在這台裝置完成同步後，立刻從儲存空間中刪除。做決定的是你的裝置，而不是我們，原因同樣是加密：我們無從得知你還在使用哪些檔案。同時屬於另一個你仍保留的項目的檔案則不會被刪除。
• 刪除帳號就會真正刪除一切：資料列、檔案、金鑰指紋和你的使用者資料。你可以自己在 App 內完成，而你裝置上的東西會留在裝置上。
• 備份。資料庫服務商會定期進行備份；已刪除的資料可能會留在備份中，直到備份過期（最長 30 天）。備份過期後，任何地方都不會再有它。
• 你透過本網站支援表單寄給我們的訊息，會在處理詢問所需的期間內保存，最長不超過詢問結案後十二個月（§3.11）。
• App「想法與問題」信箱中的訊息最多保存 12 個月，如果事情提早結案則會更短。如果你希望我們提早刪除，請寫信到 hola@somiadigital.com（§3.12）。
• Pattio 最新消息的推播權杖，會保存到你關閉「Pattio 最新消息」或 Apple 表示它已無效為止。已關閉的列（隨機識別碼、語言和版本，已不含權杖）會在該安裝存在期間保留（§3.13）。

6. 可攜性：永遠都在的按鈕

在「設定」▸「資料」▸「下載全部資料」中，有一個按鈕可以為你產生一個包含所有內容的 ZIP 檔：所有看板的 JSON，以及所有逐位元組保留的原始檔案。

這涵蓋了你的資料可攜權（GDPR 第 20 條），以及西班牙《消費者與使用者保護法》修訂綜合本（TRLGDCU）第 119 ter 條規定的義務，而且完全由你的裝置獨力完成：ZIP 檔不會經過我們的任何伺服器。

• 免費：免費方案也能用，訂閱過期也能用。
• 自助服務：不需要寫信給我們、不需要等待，也不需要取得許可。
• 機器可讀：JSON 和原始檔案，不需要 Pattio 也能開啟。

7. 你的權利

你有權存取、更正、刪除你的資料、限制其處理、對其處理提出反對，以及行使資料可攜權。如果某項處理是以你的同意為依據，你隨時可以撤回同意（撤回並不會讓先前已進行的處理變成違法）。

如要行使這些權利，請寫信到 hola@somiadigital.com。我們最遲會在一個月內回覆。我們可能會請你確認身分，僅此而已。

許多權利你都可以自己立即行使，不必寫信給任何人：匯出的 ZIP 檔（存取權和可攜權）、刪除項目（刪除權）、停止分享看板（反對權）、刪除帳號（完全刪除）、App 的「隱私」開關（反對產品分析，§3.7）、「設定」▸「提醒」中的「Pattio 最新消息」開關（反對以通知傳送最新消息，§3.13），以及 Cookie 管理按鈕（撤回或重新給予網頁分析的同意，§3.6 和 §3.11）。

一項誠實的限制：由於私人內容已加密，而我們沒有金鑰，我們無法提供你伺服器上內容的可讀副本，也無法從外部更正其中任何內容。能做到的是你的裝置，因為金鑰在它手上，這也是為什麼匯出由它來完成。

如果你認為我們做得不對，可以向西班牙資料保護局（AEPD）提出申訴（www.aepd.es，C/ Jorge Juan 6, 28001 Madrid）。如果你住在其他國家，也可以向你所在國家的監管機關提出申訴。如果你能先告訴我們，我們會很感激，但這不是必要的。

8. 安全性

沒有任何系統是萬無一失的。如果發生可能對你造成風險的安全事件，我們會在 GDPR 第 33 條規定的期限內通知你和 AEPD。

• 私人內容採端對端加密（NaCl secretbox，XSalsa20-Poly1305），金鑰存放在裝置的鑰匙圈中，絕不放在伺服器上。如果 iCloud 鑰匙圈已開啟，金鑰會透過 Apple 的傳輸機制在你的裝置之間傳遞，由 Apple 進行端對端加密（§3.2）。
• 所有傳輸皆使用 TLS。
• 資料庫採用資料列層級安全性（Row Level Security）：每一列都在資料庫本身檢查誰能讀取它，而不是只依賴用戶端守規矩。需要跨越訪客連結界限的查詢，會經過伺服器函式，只回傳必要的欄位，例如投票者的名字，但絕不包括其連結權杖。
• 檔案的憑證不在 App 內：簽發存取權限的是一個伺服器函式，它會先檢查你是否有權存取那個看板，而它產生的網址幾分鐘後就會失效。
• 訪客連結可以隨時撤銷。
• Pattio 最新消息的推播權杖存放在一個封閉的資料表中，任何公開角色都無法讀取或寫入：只有伺服器內負責傳送最新消息的函式會讀取它。而且資料庫不允許在它旁邊儲存任何身分資訊（§3.13）。
• App 內沒有任何廣告或錯誤報告 SDK：不存在的東西就不會外洩。App 傳送給第三方的唯一使用資料是 §3.7 的產品分析，它會經過一個封閉清單過濾器，不會讓文字、識別碼或數字外流。其他從裝置傳送給第三方的請求，列在「會看到你 IP 的第三方」中，我們也說明了每一項會帶什麼資料。

9. 未成年人

Pattio 並非以未滿 14 歲的人為對象，我們也不會刻意向他們收集資料。這是西班牙法律允許你自行同意處理你的資料的年齡（西班牙第 3/2018 號組織法（LOPDGDD）第 7 條），也與「條款與條件」所要求的年齡相同（§3）：兩份文件刻意寫著同一個數字。

如果我們發現在未取得親權人同意的情況下處理了未滿 14 歲者的資料，我們會將其刪除。如果你是家長或監護人，並認為發生了這種情況，請寫信到 hola@somiadigital.com。

10. 本政策的變更

如果我們變更了任何重要的內容，會更新上方的日期；如果變更屬於重大變更，會在生效前於 App 內告訴你。舊版本可以透過電子郵件索取。

本政策是告知，而不是要你接受：GDPR 不允許整批「接受隱私政策」。具體的選擇各自在自己的位置進行，而且隨時可以變更：網頁分析的同意（§3.6 和 §3.11）、對 App 產品分析的反對，也就是「隱私」開關（§3.7），以及對以通知傳送 Pattio 最新消息的反對，也就是「Pattio 最新消息」開關（§3.13）。需要接受的是「條款與條件」(/zh-hant/terms)，App 會儲存其版本和日期（§3.1）。