私隱政策

這份政策管 Infoholder App Studio：這個網站、你用來登入的帳號、你在這裏做的專案，以及你從這裏發佈出去的網站。下面說到的個人資料，控制者是 HONG KONG WALLET COMPANY LIMITED。

它不管你做出來的那些網站。專案一旦發佈，網站就是你的：它向訪客收集甚麼由你決定，對那些訪客而言控制者是你，我們只是替你保管的服務方。第 8 節寫清楚了這件事在實際操作上是甚麼意思。

App Studio 是為專業與商業用途而做的。你要達到你所在地能夠訂立合約的年齡，而且不低於 16 歲。我們不會明知是未成年人還替他開戶，產品裏也沒有任何一處是衝着未成年人設計的。

• 帳號：姓名、電郵地址、經過雜湊處理的密碼，以及註冊與重設密碼時用的驗證碼。密碼本身不會以我們讀得出的形態存下來。
• 工作區：你在哪個工作區、是甚麼角色，以及你發出或接受的邀請。
• 你放進專案裏的東西：你寫的提示、AI 生成或你改過的檔案、你上載的圖片與三維模型、專案設定，以及這一切的版本紀錄。
• 專案密鑰：你為某個專案存的 API key 之類的值。它們寫入之前先加密，用的鑰匙與工作階段那把是分開的（見第 10 節）。
• 建置過程：與 AI 的對話、它提出的計劃、你批准或駁回了甚麼、建置與預覽日誌，以及保安檢查的結果。
• 發佈：哪些專案發佈了、對外的網址是甚麼，以及你綁定的自訂網域。
• 帳單：你的方案、用量，以及 Stripe 開出的帳單。卡號只到 Stripe，不經過我們的伺服器。
• 技術紀錄：IP 位址、瀏覽器標識、時間、要求了哪些路徑以及結果如何。這就是普通的伺服器日誌，用來排查故障和發現濫用。

這一節存在，是因為「沒有做某件事」在頁面上是看不見的。只列「我們會收集甚麼」的話，其餘的部分你只能靠猜。

• 這些頁面上沒有第三方統計，也沒有廣告 SDK。我們自己的產品指標是一組計數器：某個頁面被看了、某個按鈕被按了，數字加一。它不帶識別碼、不帶提示內容、不帶專案名稱、不帶網址。
• 不做跨網站追蹤，不建廣告檔案，不與數據經紀商往來。我們不出售個人資料，也不為廣告目的分享它。
• 不拿你的提示、程式碼與檔案訓練模型，也不讀它們來做功能。模型供應商那一側見第 5 節。
• 我們的員工不會去翻你的專案。能接觸生產資料的只有維持服務運作的那幾個人，用途限於排查某個具體故障或處理某個具體要求，而且有紀錄。

• 把產品跑起來：按你說的做出來、給你預覽、留版本、發佈網站、讓工作區能用。這是履行我們與你之間的合約。
• 保住帳號安全：驗證電郵地址、讓你登入、發現濫用、排查故障。
• 在你使用付費方案時計費，以及執行方案的上限。
• 發服務本身需要的訊息：驗證碼、邀請、收據，以及會影響到你的變更通知。
• 履行法定義務，例如按稅務與會計法規要求的年期保存帳目。

在需要說明合法性基礎的法域下，以上依據的是履行與你的合約、我們在「服務可用且不被濫用」上的正當利益，以及法定義務。以上沒有一項依賴你的同意，所以這裏沒有需要你撤回的東西 —— 除了那封你從來收不到的推廣郵件，因為我們不發。

叫它做東西，就意味着要把東西發給模型。你的提示、模型為了回答所需要的那部分專案內容、以及它正在修的那個錯誤，會傳給這個部署所設定的模型供應商。不發就用不了 AI，所以這件事值得擺在明處說，而不是埋在某個從句裏。

具體是哪幾家，取決於這個部署怎麼設定。登入之後在設定頁可以看到目前在用的模型。我們走的是它們面向企業的 API。各家會保留甚麼、保留多久，由各家自己的條款約束 —— 我們沒法替它們承諾，也不去替它們承諾。

我們能替自己說的是：不拿你的內容訓練任何模型，除了那個必須看到才能回答的供應商之外不轉給任何人，對話也不出你的專案。

這裏沒有 Cookie 同意視窗，因為沒有需要你同意的東西。我們設的每一個 Cookie 都是產品離了它就不能用的那種：

• 工作階段 Cookie，讓你保持登入。它是加密的，並且標了 HttpOnly —— 頁面上的指令碼讀不到它。
• 註冊與重設密碼過程中的一個短期 Cookie，記着這個流程走到哪一步了，重新整理一下不至於從頭再來。流程結束它就沒了。
• 你自己設的偏好，例如深淺色與語言。

它們都不會跟着你去別的網站。把它們停用的後果是你會被登出，除此之外這裏沒有別的東西依賴它們。

我們用到的服務商不多。每一家只拿到它那一環需要的東西，而且不得用於別處。

除此之外，只有在法律要求時才披露，而且只披露它要求的那部分。如果我們被強制要求交出你的資料，除非法律禁止告知，我們會通知你。如果這項業務被出售或合併，你的資料可能隨之轉移 —— 那之前會先告訴你，並且在你看到新的政策之前，這一份繼續有效。

已發佈的網站，任何拿到網址的人都打得開。我們不去收錄它，但它也不是私密的：網址被猜到或被轉發，誰拿着都能用。不要指望「只有幾個人知道網址」這件事本身能當存取控制。

綁定自己的網域時，我們會為它申請 TLS 憑證。憑證會被記進公開的憑證透明度日誌，於是這個網域對外可見 —— 憑證體系本來就是這樣運作的，我們關不掉它。

如果你的網站會向訪客收集甚麼 —— 一個聯絡表單、一次註冊、一筆訂單 —— 那些訪客是你的，不是我們的。收甚麼由你定，也由你向他們出具自己的私隱說明。我們作為受託方替你保管這些資料，按你的指示處理，你刪掉專案時一併刪除。

• 專案、檔案與對話紀錄：專案在，它們就在。刪除專案會先進回收筒，可以還原；從回收筒裏徹底移除是不可逆的。
• 帳號與工作區紀錄：帳號在，它們就在。
• 伺服器日誌：只留很短的一段時間，夠查清一次故障或一次保安事件，然後丟棄。
• 帳單紀錄：按稅務與會計法規要求的年期保存，這個年期可能比你的帳號還長。
• 備份：刪掉的資料可能在備份裏再存在一段時間，直到那份備份輪換掉。它不會被還原回線上，會隨備份一起過期。

• 傳輸走 TLS。工作階段 Cookie 是加密的，而且是 HttpOnly。
• 專案密鑰用 AES-256-GCM 封存，用的是一把專門的鑰匙，與工作階段那把分開 —— 這樣輪換其中一把不會毀掉另一把對應的資料。
• 建置與預覽跑在互相隔離的沙箱裏，一個專案做的事到不了另一個專案。
• 生成的程式碼在發佈前會過一遍自動保安檢查。它是助手，不是保證 —— 為甚麼你還是得自己看，見服務條款第 7 節。

沒有系統是攻不破的。萬一發生了影響你個人資料的保安事件，我們會在法律規定的時限內通知你與相應主管機關，並且說真的發生了甚麼，而不是說哪種說法更好聽。

視乎你所在地的法律，你可以要求我們提供一份你的資料副本、更正它、刪除它、限制或反對我們的某種使用，或者以可攜的格式轉交給別人。不管你所在地的法律有沒有賦予這些權利，你都可以向我們提 —— 我們不會先去核對你住在哪裏。

其中不少你自己就能做：改帳號資料、匯出或刪除一個專案、取消方案。其餘的寫信到第 14 節那個地址。我們在 30 天內答覆，不收費，也不會因為有人提了就把服務變差。

你也可以向當地的個人資料保護主管機關投訴。我們更希望你先找我們，但那是你的選擇，不是前提條件。

跑這套服務的伺服器，以及第 7 節裏那幾家服務商，可能不在你所在的國家或地區。也就是說你的資料會跨境。凡是法律要求為這種轉移提供保障措施的，我們與相應服務商之間依據的是標準合約條款或與之等效的機制。

政策一改，頂上的生效日期跟着改。如果改動對你有實質影響 —— 多了一類資料、多了一個用途、多了一個接收方 —— 我們會在它生效之前用電郵或在產品裏告訴你，而不是悄悄把這一頁改掉。

關於這份政策的問題，以及關於你的資料的要求，寄到：

服務提供方

HONG KONG WALLET COMPANY LIMITED

電郵

support@infoholder.io