隱私權政策

1. 重點摘要

重點摘要：BYOK 代表你使用自己的供應商帳戶與 API 金鑰。我們不會出售你的資料、不會拿來投放廣告，也不會用你的內容訓練 Oriveo 自有的 AI 模型。只有在提供你所選功能而必要時，我們才會處理相關內容。

• API 金鑰：預設儲存在本機。在網頁版及其他經伺服器轉送的相容路徑中，金鑰可能會為了單次請求而被傳送，讓 Oriveo 轉給你選擇的供應商；我們不會把它存成帳戶紀錄。
• 對話與附件：預設儲存在你的裝置上。開啟雲端同步後，對話紀錄、訊息文字、模型輸出、可取得時的推理文字與附件中繼資料，會透過 Firebase Firestore 同步，並以可讀形式存放在那裡（非端對端加密）。附件檔案可能上傳至 Firebase Cloud Storage，以便跨裝置存取。
• 供應商連線方式：在許多 BYOK 流程中，原生 App 會直接連線到供應商。網頁版、Relay、Oriveo Free 及部分功能，可能會為了串流、相容性、額度或安全控管，經由 Oriveo 伺服器轉送請求。
• 備份：匯出的備份可能包含對話資料與附件，備份本身不加密。只有在你選擇包含 API 金鑰並設定密碼時，備份才會含有金鑰，而且金鑰會被加密。
• 我們不做的事：不出售個人資料、不用於精準廣告，也不用你的內容訓練 Oriveo 自有的模型。

2. 資料控管者與聯絡方式

就本隱私權政策而言，本服務的資料控管者為 Oriveo 團隊。

• 營運主體：Oriveo 團隊
• 登記地址／通訊地址：請寄信至 [email protected]，索取適用的營運主體與通訊資訊
• 隱私與個人資料保護聯絡信箱：[email protected]
• 一般客服信箱：[email protected]

如果你位於歐洲經濟區（EEA）、英國或瑞士，也可以就本服務處理你個人資料的相關事宜，聯絡我們或你所在地的資料保護主管機關。

3. 我們蒐集的資訊

我們只蒐集營運本服務及提供你所使用功能所需的資訊，主要類別如下：

• 帳戶資訊：透過 Firebase Authentication，我們會處理你的電子郵件地址、顯示名稱、大頭貼網址與登入方式（Google、Apple 或電子郵件一次性驗證碼）。我們不會儲存你的密碼；電子郵件驗證碼透過 Resend 寄送，通常在 10 分鐘內失效。
• 雲端同步資料（啟用時）：Firebase Firestore 會儲存並同步對話紀錄、訊息文字、模型輸出、可取得時的推理文字、時間戳記、資料夾、Skills 目錄資料、記憶（Memory）文字、偏好設定、使用統計、模型與供應商的中繼資料、附件中繼資料、圖片縮圖與儲存位置參照。
• 附件（同步或存取附件需要時）：圖片、PDF 及其他檔案可能會上傳到你在 Firebase Cloud Storage 中的帳戶空間，以支援多裝置存取；你可以隨時刪除。
• BYOK 轉送資料：為完成模型請求，提示詞、附件、所選模型、API 金鑰與回應會由你選擇的 AI 供應商處理。在網頁版、Relay 及部分相容路徑中，這些流量可能會經過 Oriveo 伺服器，作為暫時性的轉送步驟。
• Skill 知識庫檔案：你為 Skill 上傳知識庫檔案時，我們的後端可能會將檔案轉送至 OpenAI Vector Store 以啟用檢索；原始檔案與向量只會在你的帳戶範圍內使用。
• 技術與裝置資料：IP 位址、依 IP 推估的大略位置、裝置型號、作業系統版本、App 版本、語言與時區，用於防止濫用、速率限制、問題診斷與法規遵循。
• 錯誤與效能診斷：透過 Sentry，我們可能會收到未捕捉例外的堆疊追蹤、操作軌跡（breadcrumbs）、你目前的使用者識別碼（Firebase UID）與裝置指紋。這些紀錄可能與你的帳戶連結，並非完全匿名；你可以在「設定 → 隱私」中關閉診斷。
• Oriveo Free 營運紀錄：使用免費額度時，請求會經由 Oriveo 伺服器轉送給上游模型供應商。我們只保留額度計算、防止濫用、維持穩定、處理檢舉與稽核所需的最少紀錄。一般 Free 對話的訊息內容預設不會保存為聊天紀錄，但會在轉送過程中被處理。
• 管理後台安全資料：管理員登入時，我們可能使用 Cloudflare Turnstile 驗證是否為真人存取，並記錄相關的登入事件。

4. 我們不蒐集的資訊（BYOK 承諾）

在 BYOK 模式下，Oriveo 的設計是儘量少儲存資料，但依功能與平台不同，下列資料仍可能被處理：

• API 金鑰預設儲存在本機；在網頁版或經伺服器轉送的相容路徑中，金鑰可能只為完成所選供應商的請求而被傳送，且不會儲存為帳戶紀錄。
• 提示詞、對話上下文、附件與模型回應，會傳送給你選擇的 AI 供應商，讓模型產生回覆。
• 在網頁版、Relay、Oriveo Free 及部分相容或串流流程中，請求與回應可能會暫時經過 Oriveo 伺服器。
• 開啟雲端同步時，對話紀錄、訊息文字、模型輸出、可取得時的推理文字與附件中繼資料，會透過 Firebase Firestore 同步；附件檔案可能上傳至 Firebase Cloud Storage。
• 匯出或還原備份時，備份檔可能包含對話與附件。只有在你選擇包含 API 金鑰並以密碼保護時，備份才會含有 API 金鑰。

5. 資料用途與法律依據

我們只會為了下列目的處理個人資料，並在適用時依 GDPR、UK GDPR、CCPA/CPRA 及類似法規所要求的法律依據進行：

• 提供與維護服務（帳戶登入、雲端同步、多裝置存取）：為履行契約所必需。
• 診斷故障與改善產品（錯誤記錄、當機堆疊、彙總後的使用指標）：基於我們提升服務穩定性與品質的正當利益。
• 安全、防止濫用與額度控管（速率限制、CAPTCHA、異常登入偵測、Oriveo Free 額度稽核、防詐騙措施）：基於正當利益及／或法律義務。
• 營運 Oriveo Free（請求轉送、額度計算、檢舉處理）：為履行契約所必需。
• 回應法律要求（法院命令、主管機關要求、資料當事人請求）：為遵守法律義務。
• 與你聯繫服務異動、安全事件及其他重要通知：為履行契約所必需，或基於正當利益。

我們不會：

• 將你的個人資料出售或出租給第三方；
• 將你的個人資料用於精準廣告投放或建立廣告側寫；
• 用你的內容訓練 Oriveo 的 AI 模型。

6. 第三方服務與資料分享

為營運本服務，我們只會與下列受託處理者及服務提供者分享必要的資料：

• Google Firebase（Authentication／Firestore／Cloud Storage／Hosting）：帳戶資料、同步資料（啟用同步時包括對話紀錄與訊息內容）、附件中繼資料、附件檔案及網站託管資料。
• Sentry：錯誤與效能診斷。
• Resend：收件人電子郵件地址與一次性登入驗證碼。
• Cloudflare：網路中繼資料、IP 位址、安全控管，以及管理後台使用的 Turnstile。
• OpenAI：Skill 知識庫的 Vector Store 使用，以及在適用情況下經轉送的模型請求。
• 你選擇的 AI 供應商：提供 BYOK 或 Relay 模型呼叫所需的提示詞、附件、對話上下文、所選模型與回應。依平台與功能不同，請求可能由用戶端直接送出，也可能經由 Oriveo 的相容端點轉送。
• Oriveo Free 的上游供應商：在免費額度中產生回應所需的提示詞與對話上下文。
• Oriveo AI 的上游模型供應商：在付費託管服務 Oriveo AI 中產生回應所需的提示詞與對話上下文；這類請求會經由 Oriveo 伺服器轉送給上游模型供應商。

每一家服務提供者都有自己的隱私權政策與資料處理規則。你有責任自行查閱，包括在可行時設定退出訓練資料使用的選項。除上述情形及法律要求外，我們不會為了廣告目的出售、出租或轉讓你的個人資料。

7. 跨境資料傳輸

我們的雲端基礎設施（包括 Firebase、Sentry 與 Cloudflare）分布於多個地區。如果你所在的地區與部分基礎設施的所在地不同，你的個人資料可能會被傳輸到境外。

我們採用下列機制：

• 歐洲經濟區／英國／瑞士的使用者：採用歐盟執委會核准的標準契約條款（SCCs），並在必要時搭配補充保護措施。
• 其他地區的使用者：遵循當地適用的跨境傳輸規定。

如需進一步了解相關傳輸機制，請聯絡 [email protected]。

8. 資料保存期間與安全措施

保存期間：

• 帳戶資訊：在帳戶存續期間保存，刪除後最多再保留 30 天，以便處理誤刪後的復原；
• 雲端同步資料、已同步的訊息內容、附件中繼資料、附件檔案與知識庫檔案：保存至你刪除這些資料、停用或移除相關資料，或關閉帳戶為止，並受技術備份保存期間的影響；
• Oriveo Free 的額度、防止濫用與稽核紀錄：最多 180 天，除非基於安全、法律或爭議處理需要保存更久；
• 使用者提交的檢舉內容：最多 180 天，除非為解決爭議、執行條款或遵守法律而需要保存更久；
• Sentry 錯誤紀錄：最多 90 天；
• 管理後台登入紀錄：最多 12 個月；
• 一次性驗證碼：10 分鐘，或在驗證成功後立即失效；
• 依法必須保存的資料：依適用法律規定的期間保存。

安全措施：

• 傳輸加密：用戶端與伺服器之間的所有連線皆使用 TLS 1.2 或更高版本。
• 靜態加密：伺服器基礎設施採用靜態資料加密。匯出的備份檔在你設定密碼時，可以用 AES-256 加密其中包含的 API 金鑰。
• 裝置上的 API 金鑰保護：原生 App 使用 iOS 鑰匙圈（Keychain）／Android Keystore；網頁版使用受同源政策隔離的瀏覽器儲存空間。
• 存取控管：內部存取遵循最小權限原則，敏感操作皆留有稽核紀錄。
• 資料外洩通知：如個人資料事件可能對你造成高度風險，我們會儘量在 72 小時內以電子郵件或 App 內通知告知你，並在法律要求時通報相關主管機關。

9. 你的權利

依你適用的法律（包括 GDPR、UK GDPR、CCPA/CPRA 及類似法規），你對自己的個人資料可能享有下列權利：

• 查閱與取得副本：可從「設定 → 備份 → 匯出」將資料匯出成 ZIP 備份。備份本身不加密；只有你選擇一併匯出的 API 金鑰，會用你設定的密碼加密。
• 更正：可編輯的資訊，你可以自行在帳戶設定中修改；其他欄位請來信與我們聯絡。
• 刪除：可從「設定 → 帳戶 → 刪除帳戶」刪除與你帳戶相關的伺服器端資料；部分記錄可能會在適用的保存期間內保留。
• 資料可攜：以結構化、常用且機器可讀的格式匯出。
• 限制或反對處理：你可以隨時關閉診斷資料、關閉雲端同步，或停止使用帳戶。
• 撤回同意：以同意為依據的處理，你可以隨時撤回同意，但不影響撤回前處理的合法性。
• 自動化決策：我們不會僅憑自動化處理，對你作出具有法律效果或類似重大影響的決定；Oriveo Free 的額度計算屬於營運上的防濫用控管，並非側寫。如適用法律賦予你相關權利，你可以寄信至 [email protected] 行使。
• 申訴權：歐洲經濟區／英國的使用者可以向所在地的資料保護主管機關申訴；加州使用者可以向加州檢察總長申訴。
• 不出售、不分享個人資訊；不差別待遇（加州）：我們不會出售你的個人資訊，也不會為了 CCPA/CPRA 所定義的跨情境行為廣告而分享你的個人資訊。你行使上述任何權利，我們都不會因此給予你差別待遇。

回覆期限：收到可驗證的請求後，我們一般會在 30 天內回覆。在適用法律允許的範圍內，若請求較複雜或數量較多，我們可能延長期限，並會告知你延長的情形與理由。

10. Cookie 與本機儲存

Oriveo 官網與網頁版會使用下列儲存技術，且不會用於廣告投放或跨網站追蹤：

• 絕對必要：Firebase Auth 工作階段 Cookie、CSRF 防護憑證，以及管理後台（Admin）的 JWT Cookie。
• 功能性：主題、語言與版面偏好；對話草稿；以及存在瀏覽器 IndexedDB 或同類本機儲存空間中的模型資料快取。
• 安全性：管理後台使用的 Cloudflare Turnstile，以及 Cloudflare 的 DDoS 防護憑證。
• 使用分析：我們使用託管於歐盟（eu.i.posthog.com）的 PostHog，進行重視隱私的第一方產品分析。蒐集範圍僅限於你主動執行的操作，例如點擊按鈕；我們已關閉工作階段錄製、自動蒐集（autocapture）與問卷功能，PostHog 只會在你的瀏覽器中儲存一個匿名識別碼。這些分析絕不用於廣告或跨網站追蹤。你可以在瀏覽器設定中封鎖 Cookie 與本機儲存來選擇退出。

我們不使用第三方廣告 Cookie、跨網站追蹤像素或廣告技術腳本。你可以在瀏覽器設定中清除或封鎖 Cookie，但可能會影響登入狀態或部分功能。

11. 兒童隱私

本服務並非以未滿 13 歲的兒童為對象（若你所在司法管轄區規定的最低年齡更高，例如歐洲經濟區部分地區為 16 歲，則以該年齡為準）。未達適用年齡者，須經父母或法定代理人同意並在其監督下，才能使用本服務。

我們不會在知情的情況下蒐集未達法定年齡兒童的個人資料。如果你是父母或法定代理人，並認為你的孩子曾向我們提供個人資料，請聯絡 [email protected]，我們會在核實後儘速刪除相關資料。

12. 政策變更與聯絡方式

政策變更：我們可能會因產品、技術、營運或適用法律的變化，不定期更新本隱私權政策。如有重大變更，我們會在生效前透過 App 內通知、電子郵件或官網顯著位置告知你，並同步更新「最後更新」日期。修訂後的政策生效後，如果你繼續使用本服務，即表示你接受更新後的版本；如果你不同意，可以停止使用本服務並刪除帳戶。

聯絡方式：

• 隱私相關事務與資料當事人請求：[email protected]
• 一般產品支援：[email protected]
• 法律事務：[email protected]

我們會盡合理努力，在合理期間內回覆。

13. 資料庫（Library）連線與文件擷取

如果你連接 Notion 或 Google Drive / Google Docs，Oriveo 會以加密方式保存 OAuth 存取憑證，以便代表你存取這些來源。我們只會在你主動開始資料庫的搜尋、列出或讀取操作，或確認某個研究步驟時，才存取這些來源。你要求的文件內容只會在該次操作期間經由 Oriveo Server 轉送；我們不會預先建立索引、不會建立向量資料庫，也不會將文件內容保存為長期紀錄。文件內容只會在你發起或確認的研究流程中，傳送給你目前使用的模型。短期快取只用於執行資料庫操作，並會在到期或你中斷來源連線時清除。中斷連線或撤銷授權後，新的存取會立即停止，已保存的存取憑證與相關快取也會一併刪除。資料庫內容不會用於訓練、廣告或分析。

關於 Google Drive 與 Google Docs：接收文件內容的模型，是你自行選擇、並以你自己的 API 金鑰連接的第三方供應商，該供應商會依其自身條款處理這些文字。如果你改用 Oriveo 託管的模型（Oriveo AI 或 Oriveo Free），文件內容會經由 Oriveo 的託管模型服務，轉送給提供該模型的上游模型供應商，該上游供應商會依其自身條款處理這些文字。Oriveo 對透過 Google Workspace API 取得之資訊的使用，遵守 Google API Services User Data Policy（包括其中的 Limited Use 規定），我們不會使用這些資訊來開發、改進或訓練通用型 AI 或機器學習模型。