PRIVACY
隱私權政策
最後更新：2026 年 10 月 1 日
1. 處理的個人資料項目
Android 封閉測試申請：我們透過 Google 表單接收您在邀請頁面填寫的 Google Play 帳戶電子郵件，只用於審核申請、加入測試名單及提供參與說明。新申請通知會寄至 adminppip@gmail.com。撤回申請或測試結束時，我們會刪除該回覆。申請不會建立 App 帳戶。
帳號
- Apple: 處理Apple提供的登入識別碼，以及在有提供時的電子郵件與姓名。姓名用於可修改的顯示名稱初始值。「隱藏我的電子郵件」會提供轉送位址而非真實位址。我們不蒐集密碼。
- Apple 更新權杖：登入時把 Apple 給的代碼換成權杖，保留一列。 只用於刪除帳號時向 Apple 撤回 (revoke)，這樣 ppip 才不會留在 使用者的 Apple ID 設定裡。這個項目連使用者本人也無法查詢，帳號消失時 也會一起消失。在 Android 上以 Apple 登入時，我們不會取得這個權杖。
- Google（Android）：Google 提供的帳號識別碼與電子郵件地址，以及 Google 一併傳來的姓名與個人資料相片位址，會儲存在驗證伺服器（Supabase Auth）的登入紀錄中。app 不會把這個姓名與相片用於顯示名稱或聽筒。我們只 要求基本登入資訊（openid、電子郵件、個人資料），不保存密碼與 Google 的 存取權杖。
- 驗證存取紀錄：Supabase Auth 在驗證過程中留下的 IP 位址與存取 時間。只用於確認錯誤與防止不當使用，保存期間請見第 3 項的表格。
個人檔案
- 呼叫器號碼：以
01開頭的十位數號碼，以及最後選定 該號碼的時間。這是只在 app 裡使用的號碼，營運者不會蒐集使用者的 電話號碼。 - ID（英文小寫、數字、底線 3～20 字）、顯示名稱（30 字以內）與最後變更 時間、語言設定、時區。
- 自己的 ppip 送達時響起的前置音類型、是否接受以號碼而來的朋友 邀請。
- 硬幣：傳送呼叫器訊息時使用的 app 內數量，以及最後領取每日份的 日期與時間。為了判斷每日一次的發放，app 會一併傳送裝置上的今天 日期。
- 問候：ppip+ 使用者預先錄好的一段短語音。朋友聽得到。
聽筒與裝飾
- 聽筒的形狀與顏色、裝飾（貼紙、文字貼紙）的種類與位置、聽筒拿起的狀態 與其到期時間、安靜時段的設定。
- 裝飾所用的照片：貼在聽筒上的 1 張照片。裁切與去背的處理 都在裝置內完成，非公開的儲存空間只會上傳這樣做出來的圖。app 不會 存取整個照片圖庫，只取得使用者挑選的照片。這張圖朋友看得到。
- 衣櫃：儲存起來的聽筒裝飾組合（名稱、形狀、顏色、照片路徑、裝飾 資訊）。
往來的訊號
- 語音：最長 5 秒（ppip+ 為 30 秒）的錄音檔、長度、寄件者與 收件者、傳送時間，若是回覆則有一欄指向原訊號的參照。麥克風只在傳送語音 時使用。
- 呼叫器訊息：在公共電話畫面按下號碼所傳出的數字訊號。會一併留下 傳出的數字，以及把一次通話綁在一起的識別碼。
- 暗號（圖鑑）：替數字賦予意思的清單。有只有自己用的，也有和朋友 一起做的；一起做的那些會在與該位朋友斷開時一併刪除。
- 傳遞判定：該訊號是立刻響起還是進了語音信箱、進去的原因，以及 響起的時間。原因不會顯示給寄件者。
關係、群組與設定
- 朋友關係、往來的朋友邀請（來自邀請碼、QR 碼或號碼）、邀請碼與其到期 時間。
- 群組：群組名稱、以
02開頭的群組號碼、建立者、成員 清單與加入時間、邀請以及成員對邀請的同意紀錄。傳到群組的訊號，會依收件 人數留下相同列數的紀錄。 - 個別朋友的設定：是否立刻響起、是否在鎖定畫面自動播放、每日上限、該人 的聽筒在自己牆上的位置。
- 封鎖清單、檢舉紀錄（檢舉對象、四種事由中的一種、500 字以內的說明、 相關訊號）。
- 呼叫上限紀錄：為了防止號碼掃描與檢舉洗版，會以使用者為單位， 短暫計算部分功能最近的呼叫次數。
通知、專注模式與付款
- 推播：iPhone 為裝置識別碼、APNs 權杖、平台 (iOS)、建置環境。 Android 為裝置識別碼、Firebase Cloud Messaging (FCM) 註冊權杖、app 識別碼。登出時會先 解除該裝置的註冊。
- ALWAYS：開啟讓語音越過靜音開關發聲的功能後，會另外註冊一組該 功能專用的短效權杖。關閉功能或權杖到期時，該列就會刪除。在 Android 上，ALWAYS 設定只儲存在 裝置上，不會另外註冊權杖。
- 通知權限：在裝置上關閉 ppip 通知時，會有「無法接收通知」這一個 值上傳到伺服器。
- 專注模式：app 不會偷偷讀取專注模式。只有在使用者自行到設定 › 專注模式 › 篩選條件中加入 ppip 的情況下，專注模式開啟與關閉時才會把 開／關這一個值上傳到伺服器。在 Android 上，是否開啟「零打擾」只在 裝置內確認，不會傳送到伺服器。
- ppip+: 處理Apple驗證的交易及原始交易識別碼、商品、購買／到期／退款時間、Apple提供的價格與幣別、正式／測試環境及帳號關聯識別碼。交易歷史與訂閱權限分開管理，用於核對續訂、退款及保存必要紀錄。不接收信用卡資料或Apple帳號密碼。在 Android 上透過 Google Play 訂閱時，伺服器會向 Google 查詢並確認購買權杖，之後不保存權杖原文，只記錄其雜湊值、商品、到期時間及是否為測試購買。為了辨別該購買是否屬於此帳號，會將帳號識別碼的雜湊值附在購買上一併傳送給 Google。不接收付款方式資料或 Google 帳戶密碼。
- Android 裝置權限：向使用者要求的權限只有麥克風（錄製語音）與 通知（Android 13 以上）。相片只接收使用者在系統相片挑選器中選取的那一張， 因此不要求相片或儲存空間權限。權限可以隨時在裝置設定中關閉。
只留在裝置上的資料
下列資料不會傳送到伺服器，只儲存在使用者的裝置上：壁紙選擇、語音音量、 ALWAYS 設定、在練習模式中製作的內容、是否已看過導覽，以及最近收到語音的 暫存副本。
處理鍵帽設計與位置、朋友間每週及累計點擊數、防重複識別碼與里程碑通知紀錄。檢舉包含檢舉人及對象識別碼、原因、說明、訊號識別碼、處理狀態、措施、結案時間及必要保存依據。亦管理個資權利請求及刪除工作的處理結果。
2. 處理目的
- 建立帳號、登入與帳號管理
- 發放呼叫器號碼、尋找朋友、朋友邀請與接受、發出邀請連結
- 語音與呼叫器訊息的傳遞與播放、語音信箱的保存
- 建立群組與管理成員、傳遞傳到群組的訊號
- 依收件者設定的規則（安靜時段、每日上限、是否立刻響起、專注模式、通知 權限）判定要響起還是放進語音信箱
- 傳送推播通知
- 聽筒的裝飾與牆的顯示
- 受理封鎖與檢舉，防止號碼掃描與洗版等不當使用
- 確認 ppip+ 訂閱並提供其功能
- 回覆詢問、確認錯誤、改善功能
- 核對交易及退款、保存法定紀錄、審查檢舉與異議，以及監控刪除失敗
3. 保存及利用期間
| 資料 | 期間 |
|---|---|
| 語音、呼叫器訊息及音訊檔 | 傳送後24小時；任一方為ppip+則為30天。群組依使用條款第8條，期滿後由清理工作刪除。 |
| 朋友間紀錄 | 解除好友或封鎖時移除關係及訊號存取並刪除相關紀錄。檔案本體由清理工作刪除。 |
| 問候語、個人檔案、設定、好友關係、封鎖、Apple更新權杖 | 至變更、刪除或刪除帳號為止；交易與檢舉例外如下。 |
| 邀請碼 | 發行後7天。 |
| 群組與成員 | 群組存續期間。離開群組或刪除帳號時刪除本人成員紀錄。 |
| 無引用的語音及照片 | 無引用滿24小時後執行清理。刪除失敗會重試並監控。 |
| app資料庫的驗證紀錄 | 每小時清理已超過90天的紀錄。刪除帳號時刪除以帳號ID或電子郵件連結的紀錄。可能包含IP、時間、驗證動作及帳號識別資訊。 |
| 檢舉及處理紀錄 | 未結案：收件後90天。一般檢舉：結案後30天。依法須保留的消費者申訴／爭議紀錄：結案後3年。進行中的法律程序等所需紀錄會記載依據、至少每90天重新檢視，依據消失即刪除。刪除帳號不會一併消除進行中的檢舉。 |
| ppip+交易歷史 | 正式購買、供應、取消紀錄，從適用該紀錄的購買、供應結束或退款時間中最晚者起保存5年。測試交易依同樣基準保存90天。刪除app帳號後，必要交易及帳號關聯識別碼分開保存。Apple自有紀錄依其政策處理。Google Play訂閱確認紀錄（購買權杖雜湊值、商品、到期時間）保存至刪除帳號為止；Google自有紀錄依其政策處理。 |
| 鍵帽 | 設定至刪除或刪除帳號；關係統計與里程碑至解除好友或刪除帳號。防重複紀錄於14天後清理，裝置別通知佇列／結果於事件7天後清理。 |
| 呼叫限制及營運檢查 | 於各功能的短期統計區間使用。刪除帳號時清理帳號呼叫限制；不含個資本文的清理數量與最新狀態用於營運檢查。 |
| 刪除履行確認紀錄 | 僅保存已刪除帳號識別碼及刪除時間90天，用於確認刪除及備份還原後重新套用。 |
須保存的交易及檢舉紀錄與一般app資料分開控管存取，僅用於保存目的。期滿後每小時刪除，失敗會重試。Supabase另行產生的平台營運／安全日誌及備份依其契約與設定管理，與上述app資料庫清理不同。
4. 提供給第三人
ppip 不販售個人資料，也不會為了廣告目的提供給第三人。只有在下列情況下 資料才會流動。
- 給朋友：自己的 ID、顯示名稱、聽筒形狀與裝飾、照片，以及自己傳出 的語音與呼叫器訊息，都會送到對方那裡被看見、被聽見。只會送給互為朋友 的人。
- 給同一群組的成員：傳到群組的訊號與寄件者的名字，會送給該房間的 成員。進入房間的條件是成為建立房間者的朋友，因此成員彼此之間可能 不是朋友。
- 給以號碼收到邀請的人：以自己的號碼提出連結邀請時，對方的朋友 邀請清單會顯示自己的 ID 與顯示名稱。對撥號的一方，系統一律回覆相同的 答案，讓人無法分辨對方是否使用該號碼、是否關閉了邀請，或是否 封鎖了自己。
- Apple (APNs)：為了發送通知，寄件者的名字與通知文字，以及一組 只能在短時間內下載該語音檔的暫時位址，會傳給 Apple。語音檔本身不會放在 通知裡。
- Google (Firebase Cloud Messaging)：為了把通知送到 Android 裝置， 寄件者的名字與通知文字、用來區分訊號的識別碼，以及一組只能在短時間內下載 該語音檔的暫時位址，會傳給 Google。語音檔本身不會放在通知裡。
- 依法令的要求：有依據法令的合法請求時。
5. 處理委託與跨境傳輸
帳號、音訊、照片及檢舉本文儲存在韓國首爾區域。不將檢舉本文或使用者ID傳送至Discord或Slack。使用Supabase驗證／儲存及Apple（iPhone）與Google（Android）的登入／通知／付款服務，相關流程可能涉及境外存取或移轉。履約必要的委託處理／儲存依韓國個人資料保護法第28條之8第1項第3款公開；需另行同意的移轉不會在未取得同意時進行。可透過第10項聯絡方式詢問或拒絕；受限功能依該項移轉的必要範圍說明。
| 處理者 | 聯絡方式 | 國家／地區 | 項目與目的 | 時點與方式 | 保管期間 |
|---|---|---|---|---|---|
| Supabase, Inc. | privacy@supabase.io | 大韓民國（首爾區域）。但 Supabase, Inc. 為美國法人，可能在故障處理與技術支援過程中自境外存取。 | 第1項所列個人資料（驗證、資料庫與檔案儲存、檢舉處理及交易紀錄保存） | 使用服務時以加密連線 (HTTPS) | 本政策第 3 項的期間 |
| Apple Inc. | apple.com/legal/privacy/contact | 美國及該業者的全球處理據點 | 登入識別碼與電子郵件 (Sign in with Apple)、刪除帳號時回收權杖、寄件者名字與通知文字及語音暫時位址（APNs 通知傳送）、付款與收據資訊 (App Store、ppip+)、app 發布資訊 | 登入、發生通知、付款、退出會員時以加密連線 | 依使用者帳號與 Apple 的政策 |
| Google LLC | policies.google.com/privacy · firebase.google.com/support/privacy | 美國及該業者的全球處理據點 | 登入識別碼、電子郵件、姓名與個人資料相片位址 (Google 登入)、FCM 註冊權杖、寄件者名字、通知文字、訊號識別碼與語音暫時位址（Firebase Cloud Messaging 通知傳送）、購買權杖、帳號識別碼雜湊值與訂閱狀態 (Google Play 付款、ppip+)、app 發布資訊 | 登入、發生通知、付款時以加密連線 | 依使用者帳號與 Google 的政策 |
6. 使用者的權利與行使方式
- 查看與修改：顯示名稱、聽筒、裝飾、照片可以直接在 app 裡變更； 安靜時段、前置音、問候、語音音量、壁紙、是否允許以號碼而來的邀請，則在 朋友頁齒輪 → 設定中變更。顯示名稱僅可依所定週期變更。ID 與呼叫器 號碼是朋友用來找到自己的把手，因此無法變更。
- 關閉以號碼而來的邀請：在設定中關閉 REQUESTS 後，就不會 再有以號碼而來的連結邀請，只能透過邀請碼與 QR 碼增加朋友。
- 解除朋友、封鎖與檢舉：在朋友頁點開那個人，這些選項都在最下面。 解除後，兩人之間往來的內容也會一併刪除。封鎖後無法透過 ID、號碼、邀請 中的任何一種重新接上；要解除封鎖，請到朋友頁最下面的已封鎖的號碼 操作。
- 關閉通知：可以在裝置設定中關閉 ppip 通知，或針對個別朋友設定為 不立刻響起。
- 退出會員與刪除：朋友頁齒輪 → 設定 → 刪除帳號。必須親自 輸入 ID 才能繼續。語音、照片、問候檔案、往來的訊號、朋友關係與邀請、 群組成員紀錄、邀請、封鎖、已登錄的裝置、聽筒、個人檔案、呼叫器號碼、 Apple 更新權杖，連同帳號都會刪除，也會向 Apple 要求解除登入連結。 無法復原。ppip+ 訂閱綁在付款時使用的 Apple 帳戶或 Google 帳戶上， 營運者無法取消；若在訂閱中，刪除前會先開啟 Apple 的訂閱管理畫面（Android 則為 Google Play 的訂閱管理畫面）。以 Google 登入的帳號，以及在 Android 上以 Apple 登入而沒有更新權杖的帳號，ppip 無法代為解除登入連結，如有需要 可自行在 Google 帳戶或 Apple ID 設定中解除。
- 其他查閱、更正、刪除、停止處理的請求，可以寄到下面第 10 項的 聯絡方式。
刪除帳號後，第3項交易及檢舉紀錄僅在所列目的與期間內保留。檔案本體刪除依第8項辦理。
7. 未滿 14 歲的兒童
ppip 不接受未滿 14 歲兒童註冊，也不蒐集未滿 14 歲兒童的個人資料。 僅滿 14 歲以上者可以註冊。一旦確認未滿 14 歲的兒童已註冊，將立即刪除該 帳號與資料。
法定代理人可透過下面第 10 項的聯絡方式，要求確認並刪除兒童的帳號。
8. 刪除程序
保存期間屆滿或目的達成後會即時辦理刪除。帳號／關係刪除與檔案本體刪除分階段處理，佇列中的刪除失敗會重試。一般app資料與另行保存的交易／檢舉紀錄分開處理，使用無法復原的方法刪除。備份還原後，須先核對及重新套用刪除請求，才能用於服務。備份不供日常查閱或服務使用。
9. 安全性確保措施
- 我們不接收密碼，因此也不會儲存。驗證由「透過 Apple 登入」、Google 登入 與 Supabase Auth 負責。
- 資料庫以逐列的存取控制，限制成只能讀取自己與朋友的資料。
- 訊號紀錄與語音檔的位置不會直接暴露給 app，只能透過既定的程序 存取。
- Apple 更新權杖連使用者本人也無法查詢，只有執行帳號刪除的伺服器 會讀取。
- 語音、照片、問候檔案放在非公開的儲存空間，只能透過短效的簽章 位址下載。
- 通知不會夾帶語音檔，只傳遞暫時位址。
- 號碼查詢與檢舉設有呼叫次數上限。
- 付款權限只依 Apple 確認過的收據，或伺服器向 Google Play 查詢確認過的購買 記錄，且只以伺服器的管理權限 讀寫。
- 所有通訊都以 HTTPS 加密。
- 不使用供個人化廣告的廣告識別碼或追蹤Cookie。驗證、安全及服務運作所需的自動產生紀錄說明於第1及第3項。
10. 個人資料保護聯絡方式／負責人
個資權利請求依法律期限處理。查閱請求原則上於收件後10天內處理；依法限制或延後時，會說明原因及異議方式。
需要就個人資料侵害提出申訴或諮詢時，可以洽詢韓國網際網路振興院 (KISA) 個人資料侵害申訴中心 (privacy.kisa.or.kr，韓國境內直撥 118)、個人資料糾紛 調解委員會 (kopico.go.kr，1833-6972) 等單位。
11. 各地區的補充告知
以下依您的居住地，在上述內容之外一併適用。若有牴觸，以本節為準。
歐洲經濟區(EEA)與英國
就 GDPR 與英國 GDPR 而言，控管者(controller) 為 Hyunii LAB，聯絡方式 同第10節。
處理的法律依據
| 建立帳號、登入與帳號管理 | 履行契約(第6條第1項(b)) |
| 傳送與播放訊號、群組、語音信箱、推播通知 | 履行契約(b) |
| 確認 ppip+ 訂閱並提供其功能 | 履行契約(b) |
| 受理與審查封鎖和檢舉、防止濫用、限制呼叫次數 | 正當利益(f) — 保護使用者與服務安全 |
| 使用麥克風、顯示通知、ALWAYS | 同意(a) — 以裝置權限取得，可隨時撤回 |
| 保存交易紀錄與檢舉處理紀錄 | 法律義務(c) |
| 調查錯誤與改善功能 | 正當利益(f) |
您的權利 — 查閱(第15條)、更正(第16條)、刪除(第17條)、限制處理 (第18條)、可攜性(第20條)、反對(第21條)與撤回同意(第7條第3項)。請求請寄至 第10節的聯絡方式。本服務不進行產生法律效果的自動化決策，也不進行剖析 (第22條)。
監管機關 — 您可向居住地或工作地的監管機關提出申訴(第77條)。法國為 CNIL (cnil.fr)，英國為 ICO (ico.org.uk)。
跨境傳輸 — 帳號、語音與照片儲存於大韓民國首爾區域。歐盟執委會已於 2021年12月17日通過對大韓民國的適足性認定，因此自 EEA 傳輸至韓國毋須 標準契約條款或其他個別保護措施。登入、通知與付款相關資訊會交給 Apple 或 Google， 並依各業者自身的傳輸機制辦理。
巴西
依 LGPD，我們的處理依據為履行契約(第7條 V)、同意(I)、遵守法律義務(II)與 正當利益(IX)；各項處理對應的依據如上表。
您的權利(第18條) — 確認是否有處理、查閱、更正、匿名化、封鎖或刪除、 可攜性、撤回同意，以及第三方分享的資訊。
負責人(encarregado)與請求管道同第10節的聯絡方式。監管機關為 ANPD (gov.br/anpd)。
墨西哥
本文件同時作為 LFPDPPP 所稱的隱私權通知(aviso de privacidad)。 責任人(responsable) 為 Hyunii LAB，聯絡方式同第10節。處理的項目見 第1節，目的見第2節。我們不會為提供服務所不需要的目的(如廣告或行銷)處理 個人資料。
ARCO 權利 — 查閱(Acceso)、更正(Rectificación)、取消(Cancelación)與 反對(Oposición)可透過第10節的聯絡方式行使。撤回同意亦同。
本通知的變更會以服務內公告及更新本文件的方式告知。您有權向管轄的監管機關 提出申訴。