隱私權政策

第 1 條：資料處理目的

Donup 在必要範圍內處理資訊，以透過 Apple 或 Google 驗證會員身分、建立個人財務記錄並在不同裝置間同步、管理預算、定期支出及付款方式、提供 AI 輔助記帳與 DonWorry AI 財務助理，以及驗證 Donup Pro 使用權。

若這些目的有所變更，Donup 會透過 App 內通知或更新後的隱私權政策告知使用者。

第 2 條：處理的資訊

帳號與登入資訊：Supabase 使用者 ID、登入服務提供者（Apple 或 Google）、該提供者的唯一主體識別碼、電子郵件地址、姓名及該提供者允許提供的其他帳號資訊、已連結的登入方式，以及用於防止重複移轉相同 CloudKit 來源的雜湊識別碼。

使用者直接輸入的資訊：收入與支出記錄、金額、幣別與匯率資訊、日期、類別、付款方式、備註、定期支出、預算、資產與負債、設定及顯示偏好設定。

使用者自行選擇附加的資訊：收據或交易照片、擷取的圖片、文件、試算表，以及附件分析請求中包含的資訊。

DonWorry 對話記錄：問題、附件名稱與格式、回覆摘要、回覆區塊、圖表資料、相關問題及建立時間。

付款訊息候選項目：使用者透過 App 或自動化提供的來源文字、寄件者、商家、金額、交易時間及儲存狀態。

購買權益資訊：App Store 或 Google Play 商品 ID、購買類型、狀態、環境及時間戳記；交易、原始交易、訂單及帳號連結識別碼；驗證資料的雜湊值；以及伺服器重新驗證所需的加密 Google Play 購買權杖。

裝置與使用資訊：App 版本、作業系統版本、同步裝置 ID、IP 位址、請求與回應的時間及狀態、錯誤資訊、資料修改時間，以及用於 AI 請求限制的隨機或雜湊識別碼及請求狀態。

Donup 不會蒐集付款卡號、金融帳戶登入憑證、廣告識別碼、位置資料、聯絡人、健康資訊、韓國居民登錄號碼或其他政府核發的唯一識別碼。

第 3 條：保留與使用期間

同步至 Supabase 的個人財務資料、偏好設定、付款訊息候選項目、DonWorry 對話及附件，可能會保留至使用者刪除該項目或 Donup 帳號為止。刪除項目時，其內容會移除，但可能仍保留最基本的識別碼及刪除時間戳記，作為同步刪除標記，直到刪除帳號為止，以便其他裝置接收刪除資訊。

已刪除的個人財務記錄及其圖片的可復原副本，最多保留 30 天或最近 200 筆記錄，以先達到的限制為準。若使用者清除復原記錄或刪除帳號，則會提前移除。

既有的 CloudKit 資料可能會複製至已登入之 Donup 帳號的 Supabase 資料庫及私人檔案儲存空間。先前的 iCloud CloudKit 副本可能不會在移轉後自動刪除，且可能須透過 iCloud 儲存空間管理另行移除。

Donup 帳號刪除完成時，Donup 持有的 Supabase Auth 會員資料、同步資料、附件及購買權益驗證資料，會從運作中的系統刪除。使用者裝置上的本機副本或匯出檔案、Apple 或 Google 持有的原始購買記錄，以及移轉後留下的 CloudKit 副本，必須另行刪除。安全或災難復原備份中殘留的副本，會與一般服務隔離，並依備份輪替週期銷毀。

傳送至 OpenAI API 的 AI 請求與回應，在預設設定下可能作為濫用監控記錄保留最長 30 天。Cerebras 表示，其在提供回應後不保留 AI 推論的輸入與輸出，但服務運作記錄可能會在提供服務所需的期間內處理。

DonWorry 對話記錄可透過 App 內的對話歷史記錄刪除功能，或透過刪除 Donup 帳號來刪除。

第 4 條：向第三方揭露

Donup 不會出售或向第三方揭露個人資料，但經使用者同意，或法律要求或允許的情況除外。

外部服務提供者依 Donup 指示處理資訊以提供服務時，相關處理會於下方的「服務提供者」及「國外移轉」章節揭露。使用者直接使用 Apple 或 Google 帳號及商店時，亦適用各自的條款及隱私權政策。

第 5 條：服務提供者

Supabase, Inc.：會員身分驗證、各使用者的資料庫與私人檔案儲存空間、多裝置同步、帳號刪除、購買權益驗證及連結、AI 請求路由，以及請求限制處理。

OpenAI OpCo, LLC：依使用者請求分析文字、圖片、文件及試算表，並產生個人財務記錄草稿與 DonWorry 回覆。

Cerebras Systems Inc.：依使用者請求分析文字與圖片，並產生個人財務記錄草稿或資產草稿。

Apple Inc.：「使用 Apple 登入」身分驗證、App Store 付款、回復購買項目及交易驗證、移轉既有的 iCloud CloudKit 資料，以及語音辨識、相機存取及照片選取等作業系統功能。

Google LLC：Google 登入身分驗證，以及 Google Play 付款、回復購買項目及交易驗證。

第 6 條：國外移轉

Supabase, Inc.（[email protected]）：帳號與登入資訊、個人財務資料、偏好設定、DonWorry 對話、附件、購買權益資訊及技術資訊會移轉至新加坡。使用者建立帳號、登入、同步、上傳附件或請求伺服器功能時，會透過加密網路移轉。這些資訊會為身分驗證、資料庫、私人儲存空間、同步及伺服器功能而處理，直到使用者刪除項目或帳號為止。

OpenAI OpCo, LLC（[email protected]）：當使用者執行 AI 功能，或已啟用的自動建議在取得同意後請求分析時，輸入的文字、選取或擷取的圖片、文件或試算表、問題、必要的結構化個人財務脈絡資料、參考時間、時區及類別候選項目，會在傳輸至美國的過程中加密。這些資訊會用於產生分析，以及處理錯誤或濫用情況，並可能在預設設定下保留最長 30 天。

Cerebras Systems Inc.（[email protected]）：當使用者執行相應的 AI 分析功能時，輸入的文字或圖片、類別或資產候選項目、參考時間及時區，會在傳輸至美國的過程中加密。這些資訊會用於產生分析。Cerebras 表示，其在提供回應後不保留推論的輸入與輸出。

Apple Inc. 及 Google LLC：當使用者使用各自的登入、付款或回復購買項目功能時，帳號識別碼、使用者允許提供的電子郵件地址或姓名、身分驗證資訊及購買驗證資訊，可能會經加密傳輸至美國及各提供者營運所在的其他國家。各提供者會依其自身的保留政策，為其功能及履行法律義務而處理這些資訊。

向 Supabase 移轉資訊是提供 Donup 帳號與同步服務的必要條件。使用者可選擇不建立帳號或請求刪除帳號來拒絕移轉，但之後將無法使用 Donup 以帳號為基礎的功能。使用者可選擇不使用非必要的 AI 功能，以拒絕向 OpenAI 或 Cerebras 移轉資訊，並可繼續手動輸入資料。使用者可選擇其他登入方式，或不使用相關登入或付款功能，以拒絕向 Apple 或 Google 移轉資訊，但將無法使用相關的身分驗證、付款或舊有 CloudKit 移轉功能。

第 7 條：以帳號為基礎的同步與 CloudKit 移轉

資料依已登入 Donup 帳號的 Supabase 使用者 ID 區分，並透過資料列層級的存取政策，將讀取範圍限制為已驗證身分之使用者本人的資料。

登入同一 Donup 帳號的裝置，會透過資料列層級的變更歷程與修訂版本，同步新增、更新及刪除操作。發生變更衝突時，可能會參照伺服器最新確認的變更進行調整。

附加圖片會儲存在各使用者專屬的私人路徑下，其他 Donup 帳號無法存取。

初次移轉時，會讀取既有的 CloudKit 資料，並複製至已登入的 Donup 帳號。iCloud 使用者記錄名稱會在 App 與容器的範圍內進行雜湊處理，且僅用於防止同一來源移轉至多個 Donup 帳號；原始值不會傳送至 Donup 伺服器。移轉後，CloudKit 不再作為 Donup 持續同步的伺服器端原始資料來源。

若從帳號設定將 Apple 與 Google 登入方式手動連結至同一 Donup 帳號，即可在支援的各平台使用同一份資料及已驗證的購買權益。若未連結而分別登入，可能會建立各自獨立的帳號與資料。

第 8 條：使用者及法定監護人的權利

使用者可透過 App 提供的功能查閱、更正、刪除及匯出其個人財務資料，並可從帳號設定刪除 Donup 帳號及伺服器連結的資料。

刪除 Donup 帳號會移除 Supabase 會員資訊及 Donup 伺服器資料，但不會刪除使用者的 Apple 或 Google 帳號。移轉後留下的 CloudKit 副本，以及各裝置上的本機副本，可能須另行移除。

刪除帳號不會取消 App Store 或 Google Play 訂閱、清除商店的原始購買記錄，或發放退款。訂閱、購買及退款必須在原購買商店另行管理。

查閱、更正、刪除個人資料或限制其處理的請求，亦可透過聯絡電子郵件地址提出。

第 9 條：個人資料的銷毀

個人資料的處理目的已達成或保留期間屆滿時，會在無不當延遲的情況下銷毀。收到帳號刪除請求後，會依序刪除伺服器上的私人附件、各使用者的資料庫資料列及 Auth 會員資料；若任何必要階段失敗，Donup 不會回報刪除已完成。

電子檔案及資料庫記錄會以實務上無法復原的方式刪除。任何紙本文件均會碎紙或焚毀。僅含識別碼及刪除時間的同步刪除標記，會隨帳號刪除一併移除。

刪除 App 只會移除該裝置上的本機副本，不會刪除 Supabase 帳號資料。使用者必須使用 App 內的帳號刪除功能，才能刪除所有伺服器資料。

第 10 條：安全措施

Donup 透過 App 沙盒與本機 SwiftData、Supabase Auth、各使用者的資料列層級存取政策、私人 Storage 路徑，以及僅限伺服器端使用的購買驗證函式，限制資料存取範圍。

在合理可行的情況下，AI 分析請求與網路通訊會採用加密傳輸。

使用者有責任維護自身裝置的安全，包括裝置鎖定，以及作為登入方式連結的 Apple 或 Google 帳號。

第 11 條：兒童個人資料

Donup 的主要服務對象並非未滿 14 歲的兒童，且不會在明知為兒童個人資料的情況下，未經法定監護人同意即予蒐集。

有關兒童個人資料處理的請求，可透過聯絡電子郵件地址提出。

第 12 條：隱私權聯絡窗口與救濟管道

隱私權聯絡團隊：Donup 營運團隊

隱私權與服務洽詢：[email protected]

通訊銷售業登記號碼：2026-서울구로-0897

隱私權申訴亦可向個人資料侵害通報中心（Personal Information Infringement Report Center，118，privacy.kisa.or.kr）、個人資料爭議調解委員會（Personal Information Dispute Mediation Committee，1833-6972，kopico.go.kr），或韓國警察網路犯罪通報系統（Korean National Police Cybercrime Reporting System，ecrm.police.go.kr）提出。

第 13 條：自動化處理與 AI 分析

AI 功能會分析使用者輸入或選取的資訊，並建議標題、金額、日期、類別、資產資訊或 DonWorry 回覆。這些功能不會自動作成會產生法律效力，或使使用者權利發生類似重大變動的決定。

在將資料傳送至外部生成式 AI 之前，Donup 會說明接收者、資料、目的、保留情形及拒絕選項，並在登入條款之外另行徵求同意。同意狀態會在本裝置上依帳號分別記錄，且可透過 AI 功能說明，或「設定」中的「AI 資料使用」撤回同意。在取得同意前及撤回同意後，均會封鎖新的 AI 請求。允許後，已啟用的建議卡片可能會使用目前畫面的帳本資訊，自動請求建議。

相機、麥克風與語音辨識，以及通知權限皆為非必要權限，並會在使用對應功能時提出請求。照片存取僅限於在系統選取器中選取的項目。拒絕這些權限不會阻擋手動輸入或一般帳本功能。權限可在裝置設定中變更。

使用者可不使用 AI 而手動輸入資料。AI 記帳與 DonWorry 操作可能會自動儲存記錄；已儲存的結果可供檢視、編輯或刪除。匯入等具備確認畫面的功能，可在儲存前檢視或取消。已儲存的 DonWorry 對話及附件亦可另行刪除。

第 14 條：本政策的變更

本隱私權政策可能因法律、平台政策或服務功能的變更而更新。

重大變更將透過 App 更新、App 內通知或商店公告告知。