生效日期：2026年10月20日
dido(以下稱「本服務」)重視使用者之個人資料,並依下列方式蒐集與利用。 拍照、去背與製作卡片在裝置上處理。允許位置權限後,建立新卡片時會依 目前位置取得區域名稱與附近甜點店候選,並將座標及所選店家資訊用於個人 甜點地圖。登入後,這些位置資訊也會與卡片、圖片及寵物紀錄一起自動同步 到只有本人帳號可存取的非公開備份。位置資訊不會傳送至假名化統計或商業 分析。照片的 EXIF 等內嵌中繼資料會移除,但像素中可見的招牌、地址、 地標及自由輸入的地點線索仍可能進入非公開備份。
未登入時,拍攝或選取之原始照片、去背影像、包含座標、區域名稱、 店家候選、所選店名與地點 ID 的卡片、筆記與寵物狀態儲存於裝置。 登入後,這些卡片位置資訊、卡片本文、重新編碼的場景圖／去背圖／ 背面圖／朋友去背圖,以及寵物名稱、成長、餵食與獎勵帳本會自動備份 及同步至本人帳號之非公開儲存空間,亦可於設定中手動執行。支援影像會 將方向套用至像素,移除 EXIF、GPS 等內嵌中繼資料後重新編碼為 PNG。 但不會抹除像素中可見的招牌、地址或地標,這些內容與品項名稱、備註中 直接填寫的店名、地址等地點線索仍可能進入非公開備份。無法安全解碼的 原始容器不會上傳。App 只會清理拍照後由 App 擁有的暫存快取, 不會刪除從相簿選取的原始圖片。未登入時不會將照片、卡片或寵物狀態上傳。
用於重複提醒的 sourceHash 是所選原始位元組的 SHA-256,
只會隨卡片保存於裝置,不會寫入帳號備份。遠端圖片物件名稱使用無中繼
資料 PNG 位元組的 SHA-256 內容雜湊。此值與
sourceHash 不同,是確定性的內容位址,不保證為隨機或
匿名識別碼。
目前發行版不會再隔離或刪除現有卡片的一般位置欄位;但先前停用版本 已移入卡片內部本機專用隔離區的值不會自動還原或重新使用,並會隨該 卡片或帳號刪除。舊版依地點保存的造訪鍵放在另一個本機 造訪帳本隔離區;刪除單張卡片不會清除該帳本,只有退出會員或完全清除 本機資料時才清除。兩者未經另行法律審查及使用者明確選擇都不會再次使用。
not_applicable、revoked 或
manual_required 結果,不會儲存 Apple code、token、
nonce 或 subject。非公開備份包含卡片本文及座標、區域名稱、店家候選、
所選店名、地點 ID,重新編碼的場景圖／去背圖／背面圖／朋友去背圖,
以及寵物名稱、成長、餵食與獎勵帳本。目前不會將位置或新事件用於以
UID 為基礎的分析。購買或回復時,商店收據不附帶帳號資訊,
傳送至 Supabase 購買驗證函式進行匿名驗證;iOS 收據會轉交 Apple
驗證。為提供服務,本服務將處理作業委託予下列業者:Kakao(登入,以及韓國或 國家不明地區的周邊店家候選搜尋)、Supabase, Inc.(美國業者;帳號、 本人專用的非公開備份、Kakao 搜尋代理、AI 命名建議中繼、購買收據驗證 及刪除確實仍存在的歷史原始事件)、Google(透過 Gemini 3.5 Flash-Lite 付費版提供選用 AI 命名建議)、Apple(登入、自有地點資料涵蓋範圍外的海外 iOS MapKit 地點搜尋、 iOS 收據驗證,以及刪除 Apple 連結帳號時的一次性 code 交換與權杖 撤銷)、OpenStreetMap Foundation(英國;韓國以外市場的甜點地圖背景圖磚)。 地圖圖磚由裝置直接向圖磚伺服器請求,因此會傳送 IP 位址與可見區域的座標, 這是為了繪製使用者開啟的地圖所進行的處理。韓國市場使用 Kakao Map, 沒有此路徑。Kakao 候選搜尋會直接或經由本服務代理傳送半徑 250 公尺搜尋 所需的目前座標;代理不會附加登入帳號工作階段。作業系統的位置及反向 地理編碼功能用於取得區域名稱與國家代碼。位置結果只保存在本人卡片與 非公開備份中,不傳送至假名事件或商業分析,也不會呼叫事件用的 Google Play Integrity 或 Apple App Attest。AI 命名建議僅在確認已年滿 14 歲 並開啟後,才會透過 API 金鑰只保存在伺服器的 Supabase 中繼函式,向 Google 傳送去背照片的縮小版。依付費契約,Google 不會使用這些資料訓練 模型;關閉後不會傳送照片。AI 變體圖片不會產生。假名事件的主要儲存與處理區域為大韓民國(首爾, ap-northeast-2)。接收方為 Supabase, Inc.(美國),移轉項目為 上述第 2 節的假名事件項目,移轉目的為資料庫代管與技術支援過程中 的存取,移轉方式為透過管理控制台與支援管道的存取,移轉時間為 需要支援時,保存期間如下述第 4 節。除此範圍的支援存取外,不進行其他 境外移轉。Supabase, Inc. 為美國業者,營運與支援過程中可能於境外處理資料。各業者僅於委託範圍內 處理資訊。 日本、台灣、香港與新加坡的周邊地點搜尋會將目前座標傳送至Supabase伺服器，查詢預先匯入的Overture Maps地點資料；此查詢不會將座標傳送給Overture Maps。Google登入可能提供電子郵件、姓名與個人頭像。Android購買權杖可能經由Supabase驗證伺服器傳送至Google Play以確認購買狀態，不附加額外的帳號識別資料，也不在本服務資料庫保存權杖。
周邊店家候選所需的目前座標會依上述地區劃分，傳送至Kakao Local API、Supabase自有地點搜尋伺服器或Apple MapKit。這是為執行使用者要求的 地點搜尋所進行的處理,與本人帳號的非公開備份也彼此獨立。除此以外, 目前外部資料集、接收方契約及向合作方傳送的路徑均為關閉,不會向合作 咖啡店或品牌提供位置、地區趨勢或人口區間,也不會建立新的內部審核信號。 未來如要開始內部分析或第三方提供,須另行取得新的同意 revision、接收方／目的／保存期間契約, 並完成法律、個人資料、安全、品質、商店、實機審查及資料庫核准程序。 不會追溯使用既有選擇、卡片、隔離值或舊版備份。
下列期間為目前伺服器實作的最長上限。若處理目的已達成、收到合法的 撤回、刪除或停止處理要求、退出會員,或法令要求更短期間,將優先刪除 或停止處理。
| 類別 | 保存期間及刪除標準 |
|---|---|
| 裝置內資料及帳號非公開備份 | 裝置內資料保存至使用者自行刪除,帳號備份保存至退出會員。卡片的 座標、區域名稱、店家候選、所選店名與地點 ID 也會隨卡片保存; 登入後會同步到本人帳號的非公開備份。刪除卡片時,該卡片的位置資訊 與地圖圖釘也會從裝置刪除,並反映於下一次非公開備份更新。先前停用 版本已隔離在卡片內部的位置值不會自動還原,並會隨該卡片或帳號刪除。 獨立造訪帳本隔離值不會 隨單張卡片刪除,只於退出會員或完全清除本機資料時清除。舊版遠端 備份不會由一般同步讀取、刪除或遷移,但退出會員會刪除該 UID 下 目前與舊格式的全部備份。在導入支援多裝置安全的伺服器世代 CAS 與寬限期 GC 前,卡片刪除或替換後不再由 manifest 引用的內容定址 遠端圖片物件也可能在非公開儲存中保留至退出會員。 |
| 既有選擇提供之原始事件、事件接收收據及已完成之完整性要求 | 已同意使用者的假名原始事件,以及舊版依法蒐集的既有資料, 適用最長 12 個月。依伺服器接收時間、事件時間及 卡片體驗日／建立日界線每日刪除。若 12 個月刪除作業未在 36 小時內成功,將停止蒐集新的原始事件。 |
| 完整性驗證暫時狀態 | 到期且未處理之 challenge／要求於到期後 1 日界線、已處理 challenge 於處理後 7 日界線、已停用 App Attest 金鑰於停用後 30 日界線每日刪除。長期未使用之有效金鑰及已完成要求於最長 12 個月界線刪除。 |
| 秘密金鑰 HMAC 配額儲存區 | 自時間區間開始起最長 2 日。每日刪除,且原始 IP 位址不會 儲存於配額資料庫。 |
| 撤回及刪除處理 intent | 保存至各 intent 所設定的到期時間,並於到期時每日刪除。 處理中的安裝 UUID 及所有權驗證值雜湊於完成時移除。 |
| 防止刪除後重建／重送之紀錄 | 與原始事件分開,於相關蒐集及刪除機制運作期間保存;機制終止 或法律、營運依據消滅時刪除。如下所述,不含原文、位置、品項或 評分。 |
| 未來經另行核准後實際對外提供之審核報告 | 目前提供件數為 0。僅於未來開始提供時,依提供前核准之各接收者 契約期間保存,最長不超過 365 日。期間結束時記錄接收者的刪除 確認;在尚未確認期間,停止新的對外提供。 |
舊版依法蒐集的原始事件確實仍存在時,撤回或退出會員的刪除要求會在 驗證所有權後提出,並於網路可用時重試, 待伺服器完成處理後完成刪除。為在原始事件期限屆滿後仍可驗證撤回並 防止延遲或重送,隨機安裝 UUID 及刪除權杖的單向雜湊會與原始事件分開。 登出、撤回同意或退出會員完成時,會移除帳號連結並轉為防止重送紀錄。 為防止退出會員後以快取驗證資料重建非公開備份,並區分處理中與完成 狀態,亦會分開保存隨機帳號 UUID 的單向雜湊、刪除開始時間及驗證 帳號刪除完成時間。為在未收到退出會員處理回應時仍可確認完成狀態, 另行保存使用者裝置建立的隨機刪除要求 UUID、秘密值的單向雜湊、 刪除前清理驗證時間及完成時間。處理中使用的帳號 UUID 雜湊會在刪除 帳號的同一交易中移除,因此完成紀錄不保留帳號識別碼。這些紀錄不含 原始事件、原始帳號 UUID、位置、品項或評分,也不作分析使用。若相應的 歷史彙整確實仍存在,撤回或刪除完成後不再反映該事件;此類彙整不保證為 匿名資料。電子檔案將以無法復原之方式刪除;如有紙本,則以碎紙或 焚燒方式銷毀。
使用者得要求查閱、更正或刪除本人個人資料、停止處理及撤回同意。 位置權限可隨時在作業系統設定中拒絕或撤回;拒絕後仍可建立不含位置的 卡片並使用核心功能。若仍有過去的假名化紀錄或人口統計選擇,可於 App 設定中分別撤回, 或執行退出會員。目前版本不會取得新的伺服器蒐集同意或開始傳送。 無法使用 App 時,可寄送電子郵件至下列信箱,說明要求類型、可確認目標 帳號或安裝的最低限度資料及希望採取的措施。本服務會依要求,以登入 工作階段、帳號電子郵件持有驗證或安裝所有權驗證權杖等最低限度資料 確認本人身分,不會一開始就要求居民登錄號碼或完整身分證件影本。 如確有必要追加確認,將先說明理由及所需項目,且確認資料僅用於處理 權利要求。
代理人可透過電子郵件提交可在必要範圍內確認使用者已簽署委任意願、 代理人及使用者身分的資料,代為提出要求。本服務會依相關法令所定期間 與程序通知處理結果。若因其他法令之保存義務、可能侵害他人權利等 原因限制全部或部分要求,將告知理由及提出異議之方式。在確認更正或 刪除期間,會於必要範圍內限制該資料之利用與提供。
撤回假名化紀錄同意後,不再建立新事件。該安裝的伺服器原始事件仍存在 時,撤回會透過所有權驗證權杖要求刪除,並在 網路可用時重試,待伺服器完成處理後刪除。人口統計值也只在依法蒐集的 歷史原始事件中確實仍存在時依相同程序移除。退出會員時,若帳號所屬的 歷史原始事件確實仍存在則刪除該事件,並刪除伺服器帳號及該 UID 下 目前與舊格式的全部非公開備份;裝置上剩餘紀錄除已購資產外也會刪除, 此時亦清除單張卡片刪除未清除的獨立造訪帳本隔離值。Apple 連結帳號會先以新取得的一次性驗證嘗試撤銷權杖。 即使未成功或無可用 code/token,dido 退出會員及伺服器／裝置資料刪除 仍會繼續;完成後會提示使用者於 Apple 設定或 account.apple.com 手動解除連結。AI 命名建議可隨時於設定中關閉;關閉後不會再為名稱建議 傳送新照片。
本服務不以未滿 14 歲之兒童為服務對象。AI 命名建議只有在使用者確認 已年滿 14 歲並自行開啟後才能使用;未滿 14 歲或拒絕、關閉時不會傳送 照片。假名化紀錄的伺服器蒐集同樣僅在確認已年滿 14 歲並另行同意時 才會進行。AI 變體圖片產生仍為關閉狀態。無須 確認年齡也可使用去背、卡片等裝置內核心功能。目前不提供法定代理人 同意確認程序。
個人資料保護負責人 — 姓名:鄭然雨(Jeong Yeonwoo)/ 職稱:代表人/所屬:마캣(macat)/聯絡方式: macat.universe@gmail.com。 本服務為獨資事業,由代表人直接統籌個人資料保護業務。關於個人資料 處理之詢問、申訴與權利救濟,請透過上述聯絡方式提出,受理後將儘速回覆。本政策可能隨 服務改善而變更;變更時將於應用程式內公告。
台灣使用者依台灣《個人資料保護法》所享有之當事人權利(查詢或請求 閱覽、請求製給複製本、請求補充或更正、請求停止蒐集、處理或利用、 請求刪除),請透過上述聯絡方式提出行使,本服務將依法辦理。
※ 本文件為透過公開網址提供的完整隱私權政策。App 內的政策
副本亦就蒐集、保存、撤回與刪除提供實質相同的內容。
本文件為韓文版之譯本,如有歧義,以韓文版為準。