隱私權政策

1. 適用範圍與營運者

本政策說明 Project Don（以下稱「我們」）提供 Don 網站與 App（以下稱「本服務」）時，蒐集、處理、利用與保護個人資料的方式。我們依中華民國《個人資料保護法》處理你的個人資料。使用本服務，表示你已經讀過並了解本政策。

2. 我們蒐集的資料

我們只蒐集提供本服務需要的資料：

• 你確認記帳的每一筆：商家、金額、日期、分類、誰付的、怎麼分
• 帳本每個月說好的數字，以及誰在哪一天說錢轉了、收到了或還沒收到；留言、你設的顯示名稱、邀請連結、動態（誰收回了送出的數字、重新打開了哪個月、說錢轉了、收到了或還沒收到，不含金額），以及每家店的分攤方式、每個店名改過一次就記住的分類
• 你自己宣告的帳戶（例如「玉山信用卡」）和對帳單上的收入與餘額——只有你自己看得到，除非你在設定頁選擇分享給帳本裡的其他人
• 卡費（丟了信用卡帳單才有）：從帳單讀到的發卡銀行、卡號的末四碼（只存這四碼，不存完整卡號）、結帳日、繳款截止日、本期應繳與最低應繳金額、有沒有辦自動扣繳，加上你選的帳戶名稱、要不要提醒、有沒有按「繳了」，以及這一份寄過哪一封提醒。只有你自己看得到，帳本裡的其他人看不到；用來在 App 裡提醒你、寄卡費提醒信（設定頁可以關）
• 辨識的結果：每一次辨識出來的內容（包括你沒勾、沒記進帳本的那幾筆，以及對帳單上的收入、餘額、遮罩過的帳號）存在辨識紀錄裡，只有上傳的人看得到。同一份 90 天內再傳一次就不用重新辨識、也不扣額度；90 天後自動刪掉，刪掉帳本時也一起刪
• 帳戶號碼：銀行帳戶存的是對帳單上印的樣子，多數銀行只印遮罩過的（例如 14153**0959*）；信用卡只存卡號末四碼
• 辨識的技術紀錄：每一次辨識記一列——哪本帳、時間、走哪一種讀法（拍照、PDF 文字、PDF 影像、一句話記等）、帳單上印的銀行名稱、頁數、一次傳了幾個檔、送給 AI 幾張圖、AI 的用量、花了多久、讀出幾筆。不含店名、金額、帳號，也不記是帳本裡的哪一個人；帳本成員讀得到自己那本帳的。另外每本帳每個月用了多少辨識額度、叫了幾次 AI 與用量記一個總數。用來算辨識額度、找出哪一種單據讀不好
• 開新帳本的時間：你每開一本新帳本，記下你的帳號與那個時間（不記是哪一本，也不記帳本裡的內容）。只用來限制一個帳號 30 天內能開幾本新帳本
• 一分鐘試玩（你開始了才有）：你選的題材、你替對方填的稱呼（可以不填）、傳出去的是哪一張邀請連結，以及開始、傳出、對方打開、說好的時間。那一筆與金額是虛擬的，不會存進帳本。那句邀請的話是你自己傳給對方的，我們不會替你聯絡任何人
• 辨識錯誤回報（你在辨識結果下面回報了才有）：哪一類的錯（店名、金額、日期、漏了、多了、其他）、走哪一種讀法、銀行名稱，和你寫的一句話（選填，最多 200 字），連同你的帳號與帳本；帳本成員讀得到自己那本帳的。不含辨識結果本身
• 登入帳號：登入由 Supabase 的登入服務處理，它保存 Google 提供的基本資料（email、名字、大頭貼的網址、Google 帳號的代號；大頭貼我們沒有用到）與登入的紀錄（登入時間、IP 位址、瀏覽器與裝置資訊），用來維持登入狀態；另外有你選的語言（提醒信照這個語言寄）。在「聯絡我們」送出的內容也跟著登入帳號存，並同時寄一份到營運者的信箱
• AI 同意：你在什麼時候、看哪一種語言的說明，同意讓 AI 讀收據與帳單（撤回時刪掉）
• 提醒信寄過哪幾封（避免重複寄）；轉錢與重新打開的通知是誰做的、要告訴誰、哪一種、哪個月、什麼時候（不含金額與信的內容；為了不連續重複寄）
• 使用統計：邀請連結被打開、登入、加入帳本、第一份帳單或收據、第一次鎖住一個月的數字（說好或完成這個月）這五件事發生的時間，以及是哪個帳號、哪本帳（邀請連結被打開只記是哪本帳的邀請，不記是誰打開的；邀請連結本身不存，只存雜湊過的代號）。只用來算每週的總數給營運者看，不含金額與店名

3. 我們不保存的資料

• 收據照片：送到我們的辨識伺服器讀出上面的字，照片本身不寫進我們的任何儲存空間。讀出來的字會留在那台伺服器的記憶體裡（最近 64 張、30 分鐘後不再使用；服務重啟就清空）。網路銀行、信用卡 App 的交易明細截圖不經過那台伺服器，直接交給 Claude 讀，圖一樣不寫進我們的任何儲存空間
• 對帳單 PDF 與它的密碼：解密在你的瀏覽器裡完成，密碼與原始檔案不會離開你的裝置。多數只送解密後的文字；讀不出字的頁面會在瀏覽器裡畫成圖送出去辨識，圖不存
• 少數銀行把中文（包括抬頭的姓名）印成小圖：那些小圖會比對一份全站共用的「圖→字」對照表，對照表裡只有圖樣與對應的字，不跟任何帳號或帳本連在一起

4. 為什麼使用

• 提供本服務：記帳、辨識收據與帳單、分攤、算出誰給誰、說好之後鎖住數字
• 寄提醒信、月報與通知，只寄給帳本裡的人；只跟你自己有關的（例如卡費提醒）只寄給你
• 讓服務正常而且安全地運作：辨識額度、擋住短時間內的大量請求、找出與修正錯誤
• 了解服務有沒有幫上忙：只看總數的使用統計（第 12 條）
• 回覆你在「聯絡我們」寫的內容
• 遵守法律義務，例如付費的帳務與稅務紀錄

我們不把你的資料拿去做廣告、不賣給任何人，也不拿來建立跟本服務無關的個人檔案

5. AI 辨識

拍收據、丟帳單、用一句話記的時候，我們會把內容交給 Anthropic 的 AI（Claude）讀出日期、店家、金額。第一次之前，App 會先說明並請你同意；不同意也能自己記帳。你可以隨時在「設定 › AI 怎麼讀你的帳單」撤回，撤回之後就不再送出，直到你再同意一次。

送出去的內容：收據照片先在我們的辨識伺服器讀出上面的字，把字交給 Claude 整理。這幾種情況會把整張照片交給 Claude 看：看起來是帳單或對帳單的照片（字讀得出來也一樣）、讀不出字、或讀出來的字整理不成一筆帳的照片，以及辨識伺服器連不上、太久沒回應或暫停的時候。網路銀行、信用卡 App 的交易明細截圖不經過辨識伺服器，整張直接交給 Claude 看。對帳單在你的裝置上解密，送出解密後的文字；讀不出字的頁面在你的裝置上畫成圖送出。一句話記送出的是那一句。PDF 的密碼與原始檔案不會送出。

Anthropic 依它的商用條款處理這些內容，不拿來訓練模型。保留多久依 Anthropic 自己的政策，見下面的連結。

• Anthropic 的商用條款（英文）
• Anthropic 保留資料多久（英文）

用說的記帳時，聲音由你的手機或瀏覽器內建的語音辨識轉成字，依那家廠商（例如 Apple、Google）的政策處理；我們不錄音、不收聲音，只收到轉好的字。

AI 讀出來的結果只是參考，記進帳本之前請自己核對一次。

6. 誰會處理你的資料

這些服務商的伺服器在臺灣以外（東京、美國等地），你的資料會傳到那裡處理。我們只交給它們完成那件工作需要的資料，它們依各自的條款保密。

7. 誰看得到

• 同一本帳的人看得到彼此記的每一筆與說好的數字——這就是共用一本帳的意思
• 邀請對方時，「加入前的紀錄也給對方看」可以不勾：不勾的話，你在對方加入之前記的帳、留言、說好的數字與上傳紀錄，對方看不到；之後記的、以及跟對方的錢有關的（對方付的、分攤有對方的），大家都看得到。店名清單與分攤設定是整本帳共用的設定：對方看得到店名、第一次出現的時間、分攤方式與記住的分類，看不到金額
• 拿著有效邀請連結的人，不用登入就看得到一個月的明細（這個月；月初還沒帳就是上個月。沒勾「加入前的紀錄也給對方看」的話，只看得到帳本名與成員）。邀請連結最多 7 天、用一次就失效、隨時可以撤銷，請只傳給你要邀請的人
• 除此之外，不是帳本成員的人看不到任何東西；資料庫層（Row Level Security）擋，不是只靠畫面

8. 保存多久

• 記帳、帳本與帳戶的資料：保存到你刪掉它、刪掉帳本，或刪除帳號為止
• 卡費：保存到你刪除帳號，或在設定頁把整本帳連同你的資料一起刪掉為止
• 辨識紀錄：90 天後自動刪除
• 辨識的技術紀錄與用量：跟著帳本保存，刪掉帳本時一起刪（刪除帳號但帳本還有其他人時會留著，裡面沒有你的身分）；辨識錯誤回報在你刪除帳號時刪掉
• 開新帳本的時間：滿 30 天後，在下一次每日清理時刪除（最長不到 31 天）；刪除帳號時一起刪
• 一分鐘試玩：你或對方按下結束時刪除；沒按的話，說好滿 24 小時或開始滿 7 天後，在下一次每日清理時刪除（最長不到 8 天）；整本帳被刪掉時一起刪
• 轉錢與重新打開的通知紀錄：滿 7 天後，在下一次每日清理時刪除（最長不到 8 天）；帳本被刪掉、或你刪除帳號時一起刪
• 辨識伺服器記憶體裡讀出來的字：最多 30 分鐘（最近 64 張），服務重啟就清空
• 交給 Anthropic 的內容：保留多久依 Anthropic 的政策（見第 5 條）
• 聯絡紀錄與提醒信紀錄：保存到你刪除帳號為止。「聯絡我們」寄到營運者信箱的那一份不會跟著帳號自動刪除，要刪請告訴我們
• 使用統計：帳本或帳號刪除之後只剩次數，不再連到任何人
• 資料庫備份：營運者手動把資料庫備份到自己的電腦，不公開，只在需要還原資料時使用。每次備份時刪掉 90 天以前的備份；你刪掉的資料不會從已有的備份裡立刻消失，要等那一份備份滿 90 天、下一次備份時一起刪掉

9. 你的權利

依《個人資料保護法》，你可以查詢、閱覽、請求製給複製本、補充或更正、請求停止蒐集處理利用，或請求刪除你的個人資料。在本服務裡可以直接做：

• 隨時把整本帳匯出成 CSV（下載）
• 在設定頁改你的名字、語言、帳戶與共享設定
• 撤回 AI 同意：「設定 › AI 怎麼讀你的帳單」
• 退出帳本：你就看不到這本帳，交易本身留給還在的人
• 你是最後一個成員時，在設定頁把整本帳連同每一筆、你的帳戶全部刪掉
• 刪除帳號：設定頁最下面的「刪除帳號」，或打開刪除帳號這一頁（不用寫信，按下去馬上刪好）
• 其他請求，到「聯絡我們」寫給我們：查詢、閱覽、製給複製本在 15 天內，更正、停止、刪除在 30 天內回覆（需要延長時會先告訴你原因）

行使這些權利，可能讓部分功能不能用（例如撤回 AI 同意之後，就不能自動辨識）

10. 刪除帳號時會發生什麼

刪除帳號會刪掉你的登入帳號、名字與語言設定、帳戶（收入與存款餘額）、卡費、辨識紀錄、辨識錯誤回報、帳單信箱、留言、提醒信紀錄、聯絡紀錄、開新帳本的時間與 AI 同意。自己一個人的帳本整本刪掉；跟別人共用的帳本，你會照退出的規則離開——一起記的帳與每個月說好的數字是其他成員的財務紀錄，會留給他們，上面看得到你的名字，你的 email 會拿掉。你開的邀請連結會作廢；使用統計只留次數；共用帳本的辨識技術紀錄跟著帳本留著（裡面沒有你的身分）。「聯絡我們」寄到營運者信箱的那一份與資料庫備份不會立刻跟著刪（見第 8 條）。

11. Cookie 與瀏覽器裡留的東西

登入狀態的 cookie、你選的語言與它有沒有存進帳號、深淺色與字體大小、上次打開的時間（「自上次」那一行用）、有人加入的動畫播過沒、進站畫面的開場動畫播過沒、小芽這次打開出場過沒、右下角「＋」按過幾次（只記到 3 次）與小芽上一次探頭提醒是哪一天、「一分鐘試玩」的入口關掉過沒，以及你按過「不是說好要轉的錢」的那幾筆（只記代號，最近 30 筆）。沒有廣告追蹤，沒有第三方分析。進站畫面只數每天被打開幾次、「用 Google 開始」被按了幾次（照畫面的語言分開數）：只有總數，不存 IP、不用 cookie，不知道是誰。

12. 使用統計

我們不用第三方分析工具，也沒有廣告追蹤。我們自己記的有三種：五件事發生的時間（邀請連結被打開、登入、加入帳本、第一份帳單或收據、第一次鎖住一個月的數字）；進站畫面每天被打開幾次；以及每一次辨識的技術紀錄與每本帳每個月的用量（不含店名與金額）。前兩種只用來看每週的總數與各步驟之間隔了多久，第三種用來算辨識額度、改善辨識。記了什麼見第 2 條的「使用統計」與「辨識的技術紀錄」兩項，以及第 11 條。

13. 資料安全

資料庫的每一張表都在資料庫層（Row Level Security）擋住不是帳本成員的人；連線全程加密（HTTPS）；正式環境的伺服器沒有可以繞過這些權限的最高權限金鑰；帳單信箱只收加密的 PDF；備份不公開。沒有任何系統能保證絕對安全；發生可能影響你個人資料的事故時，我們會依法通知你，並說明處理方式。

14. 未成年人

本服務是給成年人管理共同支出用的。未滿 18 歲的人，請在法定代理人同意下使用；我們不會有意蒐集未滿 13 歲兒童的個人資料，發現的話會刪除。

15. 政策的變更

功能或法律改變時，我們可能修改這份政策；最新版本放在這一頁，上面的日期跟著更新。重大變更（例如多一家處理資料的服務商、多蒐集一種資料）會先在 App 裡告訴你；跟 AI 有關的變更，會請你重新同意。

16. 聯絡方式

本服務的營運者是 Project Don。對這份政策或你的個人資料有任何問題，可以到聯絡我們寫給我們。