隱私權政策

• 帳號：你的電子郵件和介面語言。登入不用密碼，信裡的一次性連結 15 分鐘內有效，我們只保存它的雜湊值。
• 孩子：你填寫的稱呼，以及選填的生日。用小名就可以。
• 畫作和錄音：畫作照片、不超過 10 秒的錄音、錄音轉成的文字，以及裝裱好的畫和輕輕動起來的版本。照片在上傳前就會在你的裝置上去掉位置和裝置資訊，伺服器收到後還會再清理一次。
• 家庭：你邀請的家人的電子郵件，以及每位家人是否接收週日來信。
• 付款：由 Stripe 處理，我們看不到也不保存信用卡號，只記下會員狀態、訂單和精裝繪本的收件地址。
• 提醒：開啟週日提醒時，瀏覽器提供的推播位址。

我們不蒐集位置和通訊錄，沒有廣告，不用任何第三方統計或追蹤工具，也絕不出售任何資訊。

• 裝裱畫作，把孩子的話轉成文字，編每個週日的有聲畫報和你家的繪本；
• 讓你登入，寄信和提醒給你和家人；
• 收款、退款，防止濫用。

除此之外不作他用。你家的畫作、錄音和文字，絕不用於訓練任何模型。

有些工作需要專門的服務商來完成。他們只拿到完成那一件事所需的內容，依約定不得留存，也不得另作他用：

• Rlab：模型閘道。為大多數家庭裝裱畫作、轉寫錄音，編寫並朗讀畫報。
• 小米 MiMo：位於中國大陸的模型服務。以簡體中文註冊的家庭，模型處理只交給它和下面的 MiniMax，除非你另外勾選同意把畫作交給中國大陸以外的圖像模型裝裱；其他家庭在 Rlab 無法使用時也會用到它。
• MiniMax：位於中國大陸的語音服務，朗讀粵語、日語、韓語和泰語的畫報。
• Stripe：處理付款。
• Cloudflare：寄送電子郵件、傳輸網路流量、存放加密備份。
• 瀏覽器的推播服務：只轉交加密後的提醒，看不到內容。

交給圖像模型的只有畫紙本身。編寫畫報時，孩子的名字會換成代號，模型看不到；朗讀時，旁白裡的稱呼會隨文字一起交給語音服務。

• 資料庫和檔案存放在我們位於香港的伺服器上，以簡體中文註冊的家庭分區存放。
• 畫作、錄音、文字和畫報音訊都先以 AES-256-GCM 加密，再寫入硬碟。
• 家裡的畫和錄音只能透過帶簽章的連結開啟，連結 10 到 15 分鐘後失效；畫報音訊的連結 3 小時後失效。
• 每天夜裡把加密後的資料備份到 Cloudflare R2。
• 分享給長輩的畫報連結帶簽章，不會被搜尋引擎收錄；建立者可以隨時一鍵全部收回。

• 畫作、文字和畫報：一直保存，直到你刪除它們或刪除帳號。
• 錄音：沒有勾選保留原聲的，轉成文字後立即刪除。
• 登入狀態保存 30 天；邀請 7 天內有效。
• 刪除畫作或帳號後，資料會立即從伺服器上刪除，備份裡的副本在 30 天內自動清除。
• 付款紀錄由 Stripe 依法律要求的期限保存。

我們只用兩個必要的 Cookie：一個記住你的登入狀態，一個記住你選的語言。沒有廣告或統計 Cookie。

• 查閱和匯出：在「家庭」頁可以把全部畫作、錄音、文字和畫報打包下載。
• 刪除：每一幅畫都可以單獨刪除，也可以刪除帳號。建立者刪除帳號會刪除整個家庭，以及其中全部的畫作、錄音和畫報；家人刪除帳號只刪除自己的帳號。
• 更正：孩子的稱呼或生日寫錯了，寫信告訴我們，我們會改好。
• 撤回同意：隨時可以撤回。刪除相應的畫或刪除帳號，我們就不再處理這些資訊。

你也有權向所在地的個人資料保護主管機關申訴。

孩子的畫和聲音只由家長或監護人上傳，上傳前需要你以監護人身分單獨同意。錄音不擷取聲紋，家裡的內容預設只有家人看得到。

對這份政策或你的資訊有任何疑問，請寫信到 …。政策有重要變更時，我們會事先寄信通知你。