一、我們收集的資訊
1. 帳號資訊：您的登入方式與電子郵件地址。使用電子郵件加密碼登入時，我們會儲存您的電子郵件地址；使用 Apple 登入時，Apple 會向我們提供一個電子郵件地址（可能是隱藏郵件地址）。若服務商同時提供姓名，該姓名僅保留在驗證服務商持有的驗證記錄中，不會用作您在應用程式內的暱稱。您的暱稱由我們生成（例如「User482913」這樣的隨機名稱），您可以隨時修改。
2. 個人資料：您在應用內填寫的暱稱、性別與年齡，以及您的介面語言偏好，用於體質判定與個性化建議生成。
3. 問卷逐題作答明細：提交測評時上傳至伺服器，用於生成個性化調理建議，並與您的帳號關聯儲存。
4. 體質判定結果摘要（各體質轉化分與判定結論）：上傳至伺服器，與您的帳號關聯儲存。
5. 調理計劃內容：您生成調理計劃時，我們儲存生成的計劃文字（計劃名、每日主線、調理預期、個人注意事項，以及按類別分組的推薦任務與提示）、生成時使用的語言，以及其所依據的測評記錄。該內容一經生成即永久固定，不會被覆蓋或重新生成；即使解鎖被退款，已生成的內容仍可檢視。
6. 購買與退款記錄：您解鎖報告時，我們儲存 App Store 提供的交易標識以及解鎖狀態；若發生退款，我們儲存相應的退款記錄。這些記錄在您的帳號存續期間保留，用於判定報告是否仍處於解鎖狀態。
7. 回饋內容：您透過「意見回饋」主動提交的文字內容，僅用於改進產品，並與您的帳號連結儲存。
8. 服務端執行記錄：為保障服務安全執行，我們保留有限的技術記錄——來自 RevenueCat 的支付事件副本（含您的帳號標識與交易資訊，保留 90 天），以及以您的帳號標識為主鍵的限流計數（記錄生成計劃、匯出資料等操作的觸發時間，保留不超過 24 小時）。這些記錄用於防範欺詐、排查故障與防止濫用。
我們不收集您的精確位置、通訊錄、相簿或裝置指紋，不整合任何第三方統計、廣告或崩潰收集元件，也不使用廣告識別符號（IDFA）。我們的支付處理方 RevenueCat 會透過其 SDK 接收常規裝置與應用資訊，詳見第三節。
二、敏感個人資訊（單獨同意）
性別、年齡、問卷作答與體質判定結果屬於健康類敏感個人資訊。無論是否登入，在您明確同意雲端儲存與 AI 處理前，測評都只保留在裝置上。我們在首次上傳、付款頁面或生成請求前取得單獨同意（scope：health_data_processing），不會在登入或註冊時一併索取。您可隨時透過「我的 - 撤回隱私同意」撤回。撤回後停止上傳新測評和生成新建議；已上傳測評與已生成方案書保留至您刪除帳號。撤回不會登出；之後再次上傳或生成前會重新徵詢。
三、資訊的使用與共享
您的資訊用於提供體質測評與 AI 生成的個人化調理建議。我們僅向下列服務商提供實現相應目的所需的資訊。DeepSeek 的公開條款允許其保留輸入與輸出，並用於改進服務或模型，因此我們不承諾零保留或排除模型改進用途。
- Supabase（帳號、資料庫、Edge Functions）：用於帳號鑑權、資料儲存與服務端處理，託管於美國區域，已簽署符合 GDPR 的資料處理協議。
- DeepSeek（AI）：您請求調理建議時，透過加密傳輸接收性別、年齡、問卷作答與體質判定結果。我們不會附帶您的姓名、電子郵件地址、暱稱或 Welltao 帳號識別碼。DeepSeek 由杭州深度求索人工智慧基礎技術研究有限公司營運，並在中國大陸處理資料；依其公開條款，可能保留輸入與輸出並用於改進服務或模型。測評儲存至帳號或傳送給 DeepSeek 前，我們會取得您的單獨同意（scope
health_data_processing）。 - RevenueCat：校驗應用內購收據與解鎖狀態。我們以您的帳號標識作為其使用者標識，其 SDK 會接收常規裝置與應用資訊（裝置型號、作業系統版本、應用版本與廠商識別符號）。RevenueCat 位於美國。我們不接觸您的銀行卡資訊。
- Apple App Store：處理按報告單次解鎖的付款，並在您選擇評分時處理應用內評分。我們不接觸您的銀行卡號與支付帳戶資訊。
- GitHub Pages：託管本政策及我們的其他法務檔案。您開啟法務檔案時，檔案由 GitHub 的伺服器載入至您的系統瀏覽器，GitHub 可能接收您的 IP 地址、瀏覽器標識等技術資訊。
我們不出售任何個人資訊，不與廣告網路、資料中介或第三方分析機構共享您的資料。結果頁的「分享」功能由您主動觸發：包含測評結果摘要的圖片經系統分享面板僅傳遞給您選擇的目標（如資訊或社交應用），我們不經手該過程。
四、儲存與安全
您的登入工作階段由 Supabase Auth 管理，僅儲存於您的裝置。工作階段在您保持登入期間自動更新，在您退出登入、刪除帳號或長期未使用後失效。未提交的問卷作答草稿以加密形式僅儲存於您的裝置，不會上傳。草稿會在您提交測評、重新開始測評或刪除帳號時清除；僅退出登入時會保留，以便您重新登入後繼續作答。裝置上的報告清單快取與資料快照不含逐題作答，並會在您退出登入或刪除帳號時清除。已提交的問卷作答明細與體質判定結果儲存於 Supabase 基礎設施，傳輸採用 HTTPS 加密，儲存層設有存取控制。我們會保留您的個人資訊，直到您刪除帳號；帳號刪除後，全部資料將依第五節永久刪除。
五、您的權利
無論您身處何地，您均享有以下權利：
- 查閱我們持有的您的個人資料。
- 更正您的個人資料——暱稱、性別與年齡（「我的 - 編輯資料」）。已提交的測評會作為歷史記錄儲存，其作答不可修改；如需刪除，請按下方說明刪除帳號。
- 刪除帳號與全部關聯資料（「被遺忘權」）。
- 匯出您的資料（「資料可攜權」）。
- 隨時撤回同意，撤回不影響撤回前基於同意已合法進行的處理。
歐盟/英國使用者還可向當地資料保護機構投訴。加州使用者可行使上述權利，並要求瞭解跨語境行為廣告相關的資料共享情況（我們未進行任何此類共享）。
刪除帳號——「我的 - 刪除帳號」。刪除會立即生效且不可撤銷：沒有冷靜期，也沒有任何恢復途徑。由於該操作無法撤銷，我們會先請您重新登入一次（Apple 或密碼）以確認是您本人操作。刪除帳號將移除您的驗證記錄、個人資料、測評記錄與逐題作答、調理計劃及相關記錄、購買與退款記錄、回饋記錄，以及第 1.8 條所述的伺服器運作記錄。
匯出資料——「我的 - 匯出我的資料」。登入狀態下點選即返回完整的 JSON 檔案，包含您的帳號資料與登入方式、測評記錄與逐題作答、調理計劃、解鎖與退款狀態、回饋記錄，以及我們持有的相關付款事件。若任一部分無法完整彙整，整個匯出將失敗，不會返回不完整的檔案。匯出不含購買交易識別碼，完整收據請在您的 App Store 帳號中檢視。
如您希望我們就特定處理活動作出限制或提出反對，或提出其他任何請求，請來信 contact@welltao.top，我們將在 15 個工作日內免費回覆。
六、年齡限制
本應用面向成年人，不面向兒童。您需年滿 16 週歲方可進行體質測評並生成調理建議：應用在計分前會要求您填寫年齡，應用與服務端均會拒絕低於 16 週歲的年齡。未滿 16 週歲者請勿提交測評。
七、跨境傳輸
Supabase 與 RevenueCat 的傳輸適用其服務條款和資料處理協議中列明的保障。DeepSeek 在中國大陸處理 AI 輸入；我們目前以您的單獨同意作為該傳輸的依據，並明確告知：中國大陸未獲歐盟充分性認定，您可能無法獲得與歐盟/英國同等的資料保護與救濟。不提供同意時，測評保留在您的裝置上，不傳送給 DeepSeek。
八、政策更新
政策重大變更時，我們將以應用內彈窗等方式重新徵得您的同意；變更生效後您繼續使用本應用，即視為接受更新後的政策。
九、聯絡我們
隱私問題或投訴：contact@welltao.top，我們將在 15 個工作日內回覆。