CardPin 隱私政策
最後更新：2026 年 10 月 26 日|版本：2026-10
本政策說明 CardPin（以下稱「本服務」）收集哪些個人資料、為什麼收集、保留多久，以及您可以怎麼處理這些資料。
先說三件最重要的事
- 您張貼的卡片是完全公開的。照片、文字與拍攝地點，任何使用者都看得到。
- 我們不記錄您的移動軌跡。伺服器只保存您建立卡片那一刻的位置，並與該張卡片綁定；瀏覽附近卡片時用到的位置只用於當次查詢，不保存。背景提醒在您走近有卡片的地點時，把當下位置送到伺服器查詢一次，伺服器不儲存、也不寫入日誌。為了防止假定位，伺服器只在記憶體保留同一次登入的最近一筆位置，不寫入資料庫或日誌。
- 您可以隨時刪除帳號與全部內容。方式見帳號刪除說明。
我們收集什麼
下表列出本服務收集或衍生的每一類個人資料。這份清單與各項功能的規格逐項對應，任何新增或移除都會同步更新本表。
| 類別 | 包含的內容 | 目的 | 保留期限 |
|---|---|---|---|
| 帳號資料 | 電子郵件地址、密碼雜湊（使用第三方登入者可能沒有密碼）、使用者名稱、信箱驗證狀態、條款同意的時間與版本、年齡確認、第三方身分連結（Apple / Google 提供的使用者識別碼） | 建立與驗證您的身分、登入、寄送與帳號相關的信件 | 至您刪除帳號為止 |
| 登入工作階段 | 每次登入的建立時間、最後使用時間、裝置概述（平台與 APP 版本）、失效時間 | 維持登入狀態、讓您檢視與登出其他裝置 | 最長 90 天；登出或刪除帳號即失效並移除 |
| 已刪除帳號的 Email 雜湊 | 電子郵件地址的單向雜湊值（無法還原成原本的信箱）與到期時間 | 在短期內阻擋以同一信箱重新註冊，避免規避停權 | 帳號刪除後 30 天；若刪除時仍在停權中，保留至停權結束（永久停權為 30 天） |
| 卡片照片與文字 | 以 APP 內建相機拍攝的照片（含您選用的濾鏡效果）與選填的一段文字 | 組成卡片並公開顯示在地圖上 | 至卡片被收回、刪除或帳號刪除；移除後 24 小時內從所有儲存位置永久刪除 |
| 卡片的拍攝座標與時間 | 拍照當下的經緯度、精度與時間；由座標衍生的國家代碼 | 把卡片標記在地圖上、判斷互動範圍、個人頁面的國旗統計 | 隨卡片；卡片刪除即一併刪除 |
| 互動紀錄 | 點閱紀錄（誰、哪張卡片、首次時間）、愛心、收藏（與您自訂的分類名稱）、隱藏偏好 | 計算點閱數與愛心數（一人一次）、您的收藏清單、不再顯示您隱藏的卡片 | 至取消該互動、卡片移除或帳號刪除；收藏的分類名稱至您刪除該分類或帳號刪除。愛心名單不對其他使用者揭露，收藏與分類只有您自己看得到 |
| 檢舉 | 檢舉者、被檢舉的卡片、原因分類、選填的說明文字、時間 | 內容安全審核 | 審核完成後 90 天。您刪除帳號時，檢舉會去識別化（保留原因與卡片，移除檢舉者身分） |
| 審核與停權紀錄 | 審核者、對象、處置動作、原因、備註、摘要；停權的分級、期限與原因；卡片的隱藏原因 | 治理稽核與申訴的依據 | 處置紀錄保留 1 年（自處置時起算）；停權明細於解除後 1 年刪除，帳號刪除時一併刪除。這些紀錄無法自行刪除，因為它們是稽核證據；帳號刪除後對象會以識別碼取代 |
| APP 內告知 | 通知您某項處置的訊息內容與時間 | 讓被處置者知道發生了什麼事以及如何申訴 | 90 天；刪除帳號即移除 |
| 共同張貼 | 共同張貼會話與邀請（被標記者、狀態、回應時間、取消者）、卡片參與者與角色、派對名單與延長紀錄、撤銷申請（申請者、選填原因、各人回應） | 確認流程、公開卡片的共同署名、全員同意的刪除流程 | 參與關係隨卡片；取消的會話於到期後 10 分鐘內清除；撤銷申請於結束後 30 天內刪除 |
| 背景提醒的觸發判斷 | 位置事件當下的座標（僅用於單次查詢）、裝置端的通知紀錄與提醒偏好 | 判斷您是否走近有卡片的地點，以便發出「附近有卡片」的提醒 | 座標不保留：伺服器不儲存、不寫入日誌，裝置也不寫入檔案。裝置上的通知紀錄保留 7 天，用於避免重複提醒；關閉提醒、登出或移除 APP 即清除 |
| 好友搜尋輸入的文字 | 您在好友頁搜尋欄或標記同伴時輸入、送到伺服器查詢的使用者名稱開頭（3 至 20 個字）；只在您已載入的好友中比對時不會送出 | 找出您要加好友或標記的使用者 | 不保留：只用於當次查詢，伺服器不儲存、不寫入日誌，手機也不保存 |
| 語言偏好 | 您選擇的介面語言（繁體中文 / English / 跟隨系統）與每個請求附帶的呈現語系 | 以正確的語言顯示介面與寄送電子郵件 | 隨帳號保存，帳號刪除時一併刪除；請求附帶的語系不另行儲存，也不用於分析 |
| 分享連結 | 您為某張卡片產生的連結識別碼、對應的卡片、產生者（您）與產生時間。識別碼不可預測，不含卡片內容、座標或任何使用者資料 | 讓連結對應到卡片、限制產生連結的頻率。連結只告訴收件者卡片在哪裡，內容仍要到現場才看得到；卡片的建立者不會知道誰分享了它 | 隨卡片；卡片被收回、刪除或下架即失效。您刪除帳號時會移除產生者欄位，但連結仍指向該卡片（卡片屬於建立者）；若您就是建立者，卡片隨帳號刪除，連結一併失效 |
| 計畫項目 | 擁有者（您）、您加入計畫的卡片、加入時間與完成時間；您排的順序、為項目選的符號（數字或 emoji）；您建立的子計畫（名稱、emoji、建立時間）與每個項目所屬的子計畫。只保存卡片的參照，不另存卡片內容的副本，也不記錄您的位置 | 顯示您想去揭曉的卡片清單與地圖上的計畫標記，並依您的順序、符號與子計畫整理。計畫與子計畫只有您自己看得到，卡片的建立者不會知道誰把它加入計畫 | 直到您從清單移除該項目或刪除帳號；子計畫保留到您刪除它或刪除帳號（刪除帳號時一併刪除）。手機上的計畫快取在登出或切換帳號時清除 |
| 個人頁面資料 | 您自行填寫的名稱、簡介、最多三個連結與最多五個標籤。我們只保存您輸入的網址，不追蹤點擊 | 呈現您的公開個人頁面。這些內容所有登入的使用者都看得到，可被檢舉並由審核者清除 | 直到您在編輯頁清空或刪除帳號 |
| 大頭貼 | 您以拍照或從相簿選擇、裁成正方形的一張照片，縮到 512 × 512 像素。上傳前會移除拍攝位置等全部中繼資料，伺服器也會拒收含中繼資料的檔案；不保存原始照片 | 顯示在您的個人頁面，以及他人在現場開啟您的卡片時建立者名稱旁。上傳前 APP 會告知大頭貼對所有使用者公開 | 直到您更換、移除或刪除帳號；舊的圖檔在 24 小時內實際刪除 |
| 使用者名稱修改紀錄 | 您改掉的舊使用者名稱與修改時間 | 每 30 天只能改一次；舊名稱保留 30 天，期間只有您能改回，避免他人冒用 | 30 天，到期自動清除 |
| 個人頁面檢舉 | 檢舉者、被檢舉的帳號、原因與選填說明、審核結果 | 讓審核者處理不當的個人頁面內容；檢舉者的身分不會透露給被檢舉者 | 與卡片檢舉相同；您刪除帳號時，您送出的檢舉會移除您的身分，對您的檢舉則一併刪除 |
| 完整性驗證結果 | 這次登入的裝置與 APP 是否通過平台的完整性驗證、未通過的原因類別、驗證時間 | 只有正版 APP 在未改機的裝置上才能張貼、開卡、共同張貼與檢舉；審核時參考 | 隨該次登入；登出或登入過期即刪除 |
| 未通過驗證的嘗試與位置異常計數 | 帳號、被擋下的動作與時間；不含任何座標 | 讓審核者看到濫用的跡象（只顯示次數，不自動處分） | 未通過驗證的嘗試 7 天、位置異常 24 小時，到期自動刪除；刪除帳號時一併刪除 |
| 最近一筆位置（僅記憶體） | 同一次登入最近一次帶位置請求的座標、誤差與時間 | 判斷同一登入是否在不可能的時間內「瞬間移動」（例如以假定位開卡） | 每次登入只有一筆，新的覆蓋舊的；只存在伺服器記憶體，不寫入資料庫或日誌；登出、過期或伺服器重新啟動即消失 |
| 已知裝置 | 平台，以及 APP 安裝時自行產生的隨機識別經不可逆雜湊後的值（不是手機的硬體識別碼，重新安裝即改變） | 在新裝置登入時寄通知信給您 | 隨帳號；1 年未在該裝置登入即自動刪除；「登出所有裝置」或刪除帳號時清除 |
| 當機回報 | APP 版本、平台、裝置型號（例如「Pixel 7」，不是裝置識別碼）、作業系統版本、當機時的畫面名稱、錯誤內容與發生時間；送出前會遮掉位置、Email 與登入憑證 | 找出並修正 APP 的錯誤 | 90 天後自動刪除；不含帳號、位置或照片，無法對應到您本人，因此刪除帳號不影響這些紀錄 |
| 好友關係與邀請 | 好友邀請的雙方、送出時間與狀態；成為好友的雙方與時間；分享給好友的卡片、分享者、接收者與時間 | 顯示好友數與好友名單，讓好友不必到附近就看得到彼此卡片的位置（不含內容），並提供新卡片通知與分享給好友 | 邀請保留到對方接受或您收回；好友關係保留到任一方解除或刪除帳號；分享紀錄保留到卡片刪除或接收者從計畫移除。您可以隨時收回邀請、解除好友或刪除帳號 |
| 好友通知設定 | 是否接收每位好友的新卡片通知，以及好友新卡片通知的總開關 | 決定是否在 APP 內告知您好友發佈了新卡片（不使用系統推播） | 隨好友關係；解除好友或刪除帳號時刪除；您可以隨時在好友名單或設定中關閉 |
| 共同張貼群組 | 共同張貼發佈後自動為您建立的群組：您自訂的群組名稱、群組成員（其他帳號）、建立時間與最後使用時間 | 下次標記同伴時一次帶入整組成員；群組只有您看得到，成員不會收到任何通知 | 保留到您刪除群組或刪除帳號；成員刪除帳號時自動從群組移除。您可以隨時改名、移除成員或刪除群組 |
| 封鎖名單 | 您封鎖的使用者與封鎖時間 | 讓您不再看到被封鎖者的內容，並阻止雙方互相標記、加入派對、送好友邀請與分享 | 保留到您解除封鎖或任一方刪除帳號；只有您看得到，對方不會被通知，審核者也看不到；您可以在「設定 → 帳號 → 已封鎖的使用者」隨時解除封鎖 |
| 同意紀錄的歷史 | 您每一次同意服務條款、隱私政策與社群規範的版本與時間（不只最新一次） | 證明您同意過哪一版文件；版本更新後判斷是否需要在 APP 內重新同意 | 帳號存續期間；刪除帳號時一併刪除 |
| 誤判回報 | 只在您按下「我覺得這是誤判」時保存：您的帳號、被擋下的欄位、您輸入的原文、APP 語系、時間，以及當下命中的詞 | 讓管理員檢查字詞過濾是否誤判並修正詞庫；我們不會個別回覆，也不會因此放行該次內容 | 處理後 90 天刪除；刪除帳號時一併刪除 |
| 檢舉的處理結果告知 | 您檢舉的卡片或個人頁面在結案時的結果（已移除違規內容、未發現違反社群規範或卡片已被移除）與時間；不含對方帳號受到的處分 | 讓檢舉者知道檢舉已在 24 小時內處理 | 90 天；刪除帳號即移除 |
| 審核值班名單 | 擔任審核者的帳號與值班時段（只涉及審核團隊，不涉及一般使用者） | 檢舉等待接近 24 小時時寄提醒信給當班審核者 | 至管理員移除；班次結束 30 天後自動刪除 |
文字過濾
為了防止令人反感的文字被公開，卡片小語、顯示名稱、使用者名稱、簡介、標籤、連結與撤銷申請原因在送出時，由伺服器比對字詞清單（詞庫不在 APP 裡，也不公開）。詳細規則見社群規範。
- 被擋下的文字不保存。伺服器只記錄統計（哪個欄位、擋下或送審、詞的分類與語系、時間），不記錄原文，也不記錄是哪個帳號；這些統計保留 1 年。
- 可能不當、但照常公開的文字，會連同命中的片段建立一筆審核項目，與檢舉相同方式處理與保存。
- 只有在您按下「我覺得這是誤判」時，我們才會保存那段原文（見上表「誤判回報」）。
我們不收集什麼
- 您的連續移動軌跡或位置歷史
- 姓名、電話號碼、生日、性別、身分證字號等註冊時未要求的欄位
- 您的通訊錄、簡訊或其他 APP 的資料；相簿只在您選擇「從相簿選擇」大頭貼時開啟，只上傳您選的那一張
- 廣告識別碼；本服務沒有廣告，也沒有第三方廣告或追蹤工具（地圖服務供應商的匿名使用統計見下一節）
- 裝置的完整區域設定清單、鍵盤語言
- 分享連結的開啟次數，以及誰把連結分享給誰；連結的引導網頁不寫入任何紀錄
- 您搜尋使用者時輸入的文字：只用於當次查詢，查完即丟棄，不儲存、不寫入日誌（見上表「好友搜尋輸入的文字」）
我們把資料交給誰
為了提供服務，下列第三方會處理部分資料。它們只能在提供該項服務所需的範圍內使用這些資料。
| 對象 | 用途 | 接觸到的資料 |
|---|---|---|
| 地圖服務供應商（Mapbox） | 顯示地圖圖磚；改善地圖、路線與交通資料的匿名使用統計 | 您檢視地圖時的視野範圍；地圖元件預設另外送出去識別化的位置與使用資料給供應商（不與您的帳號連結、不用於廣告），可在地圖角落的 ⓘ 按鈕中關閉（由供應商依其自身政策處理） |
| 物件儲存服務 | 存放與傳送卡片照片與大頭貼 | 卡片照片與大頭貼 |
| 電子郵件寄送服務 | 寄送驗證信、密碼重設信與帳號通知 | 您的電子郵件地址與信件內容 |
| 網路傳輸與防護服務（Cloudflare） | 代理所有連線、防護攻擊、快取官網靜態內容 | 您的 IP 位址、請求的網址與連線中繼資料，由供應商依其自身政策保留有限期間後刪除；我們無法從該服務取得逐筆紀錄 |
| Apple、Google | 裝置與 APP 的完整性驗證 | 您張貼、開卡、共同張貼、檢舉或登入時，APP 向平台取得的完整性證明（由平台依其自身政策處理裝置資訊）；我們只收到是否通過與原因類別 |
| Apple、Google | 第三方登入 | 僅在您選擇以其帳號登入時，由其提供給我們一組使用者識別碼與（視您的設定）電子郵件 |
除上述情形外，我們不會出售、出租或以其他方式把您的個人資料提供給第三方。若因法律要求而必須揭露，我們會在法律允許的範圍內事先通知您。
跨境傳輸
我們使用的雲端服務可能把資料儲存或處理於臺灣以外的地區。我們選擇供應商時會確認其具備合理的資料保護措施。
資料安全
- 所有 APP 與伺服器之間的連線都經過加密傳輸。
- 密碼以單向雜湊儲存，我們無法讀取您的原始密碼。
- 身分驗證與授權都在伺服器端強制執行。
- 存取正式環境資料的權限僅限於維運所需的最小範圍。
您的權利
- 查閱與更正：您可以在 APP 的設定中檢視與修改帳號資料。
- 刪除：您可以隨時刪除單一卡片，或刪除整個帳號。詳見帳號刪除說明。
- 撤回同意：您可以在系統設定中隨時撤回相機、位置或通知權限；撤回後相關功能將無法使用。
- 提出疑問：對本政策或您的資料有任何疑問，請寄至 support@cardpin.net。
兒童
本服務不提供給未滿 13 歲的使用者。若我們得知已從未滿 13 歲者收集個人資料，會盡快刪除該帳號與其內容。若您是家長或監護人並認為您的孩子在未經同意下使用本服務，請與我們聯絡。
政策變更
本政策與服務條款、社群規範共用一個版本號。重大變更（新增個人資料的類別或用途）會更新版本號，並請您在 APP 內重新同意；錯字或聯絡資訊的修正只更新本頁的最後更新日期。