1. 適用範圍
本政策適用於蔬詢（英文名稱 vegisearch）的官方網站及蔬詢 App。第三方網站、商店或服務有各自的隱私政策，不受本政策控制。
2. 我們目前可能處理的資料
官方網站
Phase 0 官網是靜態網站，網站產品本身不設會員登入、行為追蹤分析、留言或資料庫表單。網站託管、DNS/CDN 或郵件傳遞服務仍可能為安全與傳輸需要處理 IP、時間、瀏覽器或請求等技術 metadata；這不應被理解為網站完全不會產生任何網路紀錄。若你點選 email 連結與我們聯絡，我們會收到你主動寄出的信件內容、寄件地址及信件系統為傳遞所必要的技術資訊。
蔬詢 App
- 相機權限（Camera）：僅用於即時辨識商品 EAN/UPC 條碼，不會儲存、錄製或向遠端伺服器傳送相機影像畫面。
- 本機資料儲存：訪客模式或未開啟同步時，飲食偏好與掃描歷史均完整保存於裝置端本機 SQLite（Drift）資料庫。
- 會員與登入資訊：使用 Google、Apple 登入或 Email 註冊時，我們會處理 Email、驗證狀態、顯示名稱與維持安全 Session 所需之雜湊識別碼；絕不索取 Gmail、Google Drive 等無關敏感權限。
- 明示同意（Opt-in）同步：只有在使用者於 App 內主動開啟同步意願後，飲食偏好（包含酒精偏好與結果提醒顯示設定）與掃描歷史才會加密傳輸至伺服器保存；登入本身不等於同意同步。這些偏好可能透露宗教、健康或生活習慣相關資訊，會與產品改善遙測分開處理。
不透過 App 收集包裝相片與相機串流：蔬詢以條碼資料庫查詢為核心，App 不提供相機拍照 OCR 或包裝影像上傳功能，亦不透過 App 收集或儲存使用者的商品包裝照片、相簿相片或相機串流。過去規劃之拍照 OCR 與未知商品 OCR intake 路線已全面廢止，現行服務不建立任何包裝相片或 OCR 候選資料。（受邀測試者自願透過測試發布平台提交包含問題截圖之回饋，依第 4 條處理，非由 App 自動收集。）
App 掃描與操作遙測（需明示同意）
App 的「協助改進蔬詢」開關預設關閉，且同時控制掃描統計與操作遙測。只有在你明確開啟後，App 才可能傳送經白名單限制的掃描命中／未命中、有效條碼、操作時間、效能或辨識率等資料。每筆 Layer 3 事件可能帶有 24 小時內輪替的 UUIDv4 工作階段識別碼；App 不將帳號 Token、Email、相機影像、飲食偏好或酒精偏好放入此遙測。條碼、時間與短期識別碼仍可能在特定情境與網路或服務端 metadata（例如 IP、請求時間與標頭）形成可連結資料，因此我們不宣稱此資料「零個資」或「完全匿名」。
你可以隨時關閉開關；關閉後 App 會停止後續上報並清除尚未送出的事件，但伺服器已接收的資料不會因裝置開關自動消失，仍依保存、刪除與存取控制政策處理。此開關與「同步偏好與掃描歷史」是兩項獨立同意。
3. 使用目的
- 提供商品查詢、個人化判定與帳號功能。
- 驗證身分、維護 session、安全稽核及防止濫用。
- 回覆客服、最新消息或帳號刪除等主動來信。
- 維護、除錯及改善商品資料品質與服務可靠性。
- 遵守適用法律、主管機關要求或處理爭議。
4. 第三方服務
官網託管與 DNS／CDN 使用 Cloudflare。Email 由網域郵件路由及實際信箱服務商傳遞。測試版本透過 Google Play 內部測試與 Apple TestFlight 發布；該等平台可能處理測試者裝置資料、當機診斷與回饋資料，並適用其各自條款與隱私政策。你透過該等平台提交的回饋內容（含文字與截圖）及當機診斷資訊，可能提供給我們；我們會依本政策於服務維護與改善之目的範圍內處理。該等平台就其平台服務之個人資料處理，各自為獨立之控管者。我們不會販售、出租或交換你的個人資料。Google 登入與 Apple 登入僅提供予受邀測試帳號，實際可用平台以開通通知為準；Apple 登入後端與雙平台程式已實作並於 2026-09-18 完成 host rollout，但仍屬邀請制驗證，真機與營運驗收尚待完成，並非對外公開服務。使用這些登入方式時，其資料處理由各服務條款及隱私政策共同規範。蔬詢不會要求 Gmail 或 Google Drive 等與登入無關的敏感權限。本服務不提供 OCR 功能，亦不委任外部影像 OCR 處理者。
5. 保存與刪除
我們只在提供服務、履行安全與法定義務所需期間保存資料。帳號刪除完成後，主要系統中的可識別會員資料原則上於 30 日內刪除或去識別化；加密備份中的殘留資料依輪替週期最長可能保留 90 日，除非依法需延長保存。
在已開啟的分析遙測中，Layer 3 操作事件最長保存 90 日，Layer 1 聚合掃描統計最長保存 365 日。主資料庫由每日的 vegisearch-auth-maintenance.timer 呼叫固定門檻的批次清理函式；清理後的到期資料檢查失敗時，維護工作會 fail-closed。這些分析資料不會因 App 內撤回開關自動刪除，仍依保存與刪除政策處理；standby 主機的維護 timer 保持停用。
安全稽核事件例外：登入、登出、token 撤銷、帳號狀態變更等安全事件寫入 append-only 稽核紀錄。現行維護工作在刪除過期或撤銷的 session 前，會先將稽核列的 session_id 設為 NULL 以解除 session 關聯，但目前沒有自動刪除這些稽核列的 purge 排程；它們只在安全事件處理、爭議與法定義務所需的最小範圍及必要期間保留。這些稽核紀錄不適用上段 Layer 3 的 90 日、Layer 1 的 365 日或帳號同步掃描列的 30 日期限。
你可以依帳號刪除說明提出請求。刪除帳號不一定能移除已去識別化、無法再連結到你的統計資料，或依法必須保留的稽核紀錄。
6. 資料安全
我們採取與目前風險相稱的技術與組織措施，包括 HTTPS、最小權限、密碼雜湊、opaque session、稽核與備份。但任何網路或儲存方式都無法保證零風險。
7. 你的選擇與權利
你可以要求查詢、更正或刪除我們持有的個人資料，也可以撤回尚未執行完成的非必要同意。部分請求可能需要先完成合理的身分驗證，以避免帳號遭他人操作。
8. 兒童與未成年人
蔬詢不是專門為兒童設計的服務。我們不會在明知的情況下主動蒐集未達適用法律要求年齡者的個人資料；若你認為有此情形，請與我們聯絡。
9. 政策更新
當功能、供應商或法律要求改變時，我們會更新本政策並標示日期；若有重大變更，會以合理方式提示。
10. 聯絡我們
隱私相關問題請寄至 support@vegisearch.com。請勿在信件中提供密碼、一次性驗證碼、access token 或完整付款資訊。