留燈(kinnotify)隱私權保護政策
第 1 條 前言與適用範圍
「留燈」(英文名 kinnotify,以下簡稱「本服務」)是一款協助使用者在緊急情境下通知預設親友的個人安全聯絡應用程式;對外定位為「家庭安全聯絡 / 個人安全監控」工具。本服務僅向中華民國境內居民提供,並適用中華民國法律(含個人資料保護法,以下簡稱「個資法」)。
本隱私權保護政策(以下簡稱「本政策」)說明本服務如何蒐集、處理、利用及保護您的個人資料,以及您依個資法享有之權利。當您註冊或使用本服務,即表示您已閱讀、瞭解並同意本政策之內容。若您不同意本政策之任何部分,請停止使用本服務。
本政策適用於本服務之 Android 應用程式、kinnotify.com 相關網頁(含帳號管理、緊急通知檢視頁、帳號刪除申請頁),以及為提供本服務所必要之後端系統。
第 2 條 蒐集者(資料控制者)
依個資法第 8 條,謹告知蒐集您個人資料之主體資訊:
| 項目 | 內容 |
|---|---|
| 蒐集者(營運主體) | 禾家網絡有限公司 |
| 統一編號 | 00145987 |
| 代表人 | 趙子毅 |
| 公司登記地址 | 新北市板橋區文化路二段285號21樓 |
| 隱私權聯絡窗口 | privacy@kinnotify.com |
本服務就您及您所提供之聯絡人個人資料,居於「蒐集者(資料控制者)」之地位;第三方雲端、簡訊與電子郵件服務商居於「委外處理者」之地位(詳第 7 條)。
第 3 條 我們蒐集哪些個人資料
本服務所蒐集之資料,均屬個資法第 2 條所稱之一般個人資料。各類別如下:
3.1 帳號與身分資料
- 暱稱、Safety ID(系統產生之公開識別碼,格式
SAFE-XXXX-XXXX)、訂閱狀態。 - 出生年月日(用於確認註冊資格;13–17 歲另留存法定代理人同意聲明紀錄,不蒐集法定代理人個資)。
- 通行碼(PIN)、家庭密語:僅以單向雜湊(bcrypt)儲存,本服務無法還原。
- 兩步驟驗證(TOTP)密鑰與備用碼:以 AES-256-GCM 加密儲存(此功能推出後始適用)。
3.2 緊急聯絡人資料
- 您所新增之緊急聯絡人的姓名稱呼、電話號碼、電子郵件、與您的關係、通知優先序與通知管道。
- 上述資料係由您提供。您新增聯絡人前,應確認已取得對方知悉並同意接收本服務通知(詳服務條款);本服務並於該聯絡人首次收到通知時為第二次告知。
- 就跨境聯絡人,另留存您勾選之跨境同意紀錄;聯絡人退訂時,留存退訂紀錄(含為維持「該通道全平台拒收」所必要之電話或信箱雜湊值,見第 6.1 條)。
- 就本服務對緊急聯絡人(非本服務使用者之第三人)之個資告知,以本服務常設公開之聯絡人告知頁(自
kinnotify.com首頁可達)為依個資法第 9 條完成告知之主要依據,該聯絡人首次收到通知時之告知為輔助;通知訊息所附連結一律指向kinnotify.com網域,聯絡人可由該址進入告知頁,瞭解其權利與拒絕繼續接收通知之方式。
3.3 位置資料
本服務之位置資料分層處理:
- 即時反向地理編碼:用於將座標轉為縣市名稱,僅於後端記憶體中短暫存在、不寫入資料庫,處理後立即清除(該反查機制推出前,本服務僅處理座標、不產生縣市名稱)。
- 心跳/電量紀錄:於戰備或監控情境下記錄之經緯度,採30 日滾動刪除(監控心跳上傳功能推出後始適用;戰備紀錄現行適用)。
- 打卡(check-in)紀錄:您每次打卡時記錄之經緯度,採30 日滾動刪除。
- 快照(戰備黑盒 / 緊急證據):於低電量戰備或 SOS 事件時擷取之位置/狀態快照。
位置呈現方式:基於安全情境考量,本服務在所有通道與介面僅以文字座標呈現位置(含縣市鄉鎮、概略精度、時間戳),不嵌入任何地圖、不提供地圖深層連結(deep link)、不整合第三方地圖服務。
3.4 裝置資料
- 裝置指紋雜湊值(由平台、機型、作業系統版本、App 版本、IP 概略縣市以 SHA-256 計算而得;不儲存原始識別字串)。
- 推播權杖(FCM token):用於傳送推播通知。
- 裝置金鑰:以公開金鑰之 SHA-256 雜湊作為新裝置識別與告警之索引鍵;驗證簽章所需之公開金鑰(屬非機密之公開資料)以原文儲存。
3.5 緊急事件與通知資料
- SOS 緊急事件紀錄、語音預錄訊息(非具法律效力之遺囑;該功能推出後始適用)、寄送予聯絡人之通知紀錄。
- 簡訊寄送紀錄之收件號碼僅以截斷雜湊儲存,不儲存明文號碼。
3.6 稽核紀錄
- 為帳號安全與事故調查之目的,本服務保留操作稽核紀錄(auditLogs),內含必要之識別欄位,並以服務帳號權限隔離讀取;不含您的位置或聯絡內容。
3.7 我們不蒐集、不追蹤
- 本服務 Phase 1 不使用 Firebase Analytics / Google Analytics 等行為分析工具,不使用廣告識別碼進行追蹤(per ADR-031)。
- 本服務不會將您的個人資料用於行銷廣告之目的,亦不會販售您的個人資料。
- 對未成年帳號之行銷通知預設關閉,且任何未來之行為分析或機器學習對未成年帳號永久不啟用。
第 4 條 蒐集目的
本服務基於下列特定目的蒐集、處理及利用您的個人資料:
1. 提供帳號註冊、登入、身分驗證與帳號管理。
2. 於您觸發 SOS 或符合監控條件時,向您指定之緊急聯絡人傳遞通知與必要資訊(含位置文字座標)。
3. 維護緊急聯絡人名單及其通知設定。
4. 確保服務安全(防止未授權存取、偵測異常裝置、防止濫用)。
5. 履行法令義務、處理當事人權利請求、回應緊急情況與事故調查。
6. 在您同意之範圍內,改善服務品質與穩定性。
第 5 條 分層同意與撤回(個資法第 8 條)
本服務採分層同意:各層同意於對應功能設定或啟用時分別徵求,可分項拒絕與撤回:
- 必要項(帳號核心、聯絡人保管、出生年月日、核心守護功能):為提供服務所必要,拒絕則無法使用對應服務。
- 可拒項(跨境簡訊中轉、境外聯絡人;語音預錄訊息、災害推播訂閱等功能推出後適用):您可選擇是否同意;拒絕僅影響該對應功能,不影響其他通道。
- 就跨境簡訊中轉:SMS 通道訊息於送達電信業者前必然經由位於美國之中繼主機暫態傳輸,故拒絕此層即無法使用 SMS 通知通道(FCM 推播與 Email 仍正常運作),而非「保留 SMS 但不經美國中繼」。
- 未成年法定代理人同意:未取得則無法完成註冊(詳第 12 條)。
您可於 App 內以對應功能之設定或移除方式撤回可拒層之同意;撤回不影響撤回前已依同意所為之處理。
第 6 條 個人資料之利用(期間、地區、對象、方式)
6.1 利用期間(資料保留期限)
本服務之資料保留期限係依個資需要與安全考量訂定之業者自主政策(個資法對個人安全 App 並無特定保留期之強制規定),如下表:
| 資料類別 | 保留期限 |
|---|---|
| 帳號核心資料、緊急聯絡人 | 帳號存續期間 |
| 心跳/電量紀錄(含經緯度) | 30 日滾動刪除 |
| 戰備黑盒快照 | 30 日(或被下一次戰備覆寫) |
| 緊急證據快照 | SOS 結案後 1 年 |
| SOS 緊急事件紀錄 | 3 年(對應民法請求權時效;非法定強制) |
| 打卡(check-in)紀錄 | 30 日滾動刪除 |
| 語音預錄訊息(功能推出後適用) | 帳號存續期間 / 由您刪除 |
| 稽核紀錄(auditLogs) | 5 年滾動,獨立於帳號狀態 |
| 系統運作日誌(Cloud Logging) | 30 日 |
| 資料庫時間點還原(PITR)交易紀錄 | 過去 7 日 |
| 每日全量備份 | 30 日滾動 |
| 法定代理人同意紀錄 | 帳號存續期間;同意紀錄自記錄時點起 5 年 |
| 全域退訂名單(分通道:電話雜湊擋簡訊/信箱雜湊擋郵件) | 至當事人解除為止(獨立於任何使用者帳號) |
期限屆至後,本服務將刪除或匿名化相應資料。帳號刪除之專屬流程見第 10 條。
6.2 利用地區
- 您的核心資料儲存於 Google Cloud(GCP)亞洲—台灣(asia-east1)區域。
- 為傳遞推播、電子郵件與簡訊通知,部分通知內容會經由境內外之委外處理者傳輸(詳第 7 條、第 11 條跨境傳輸)。
6.3 利用對象
- 本服務內部為提供服務所必要之系統與人員。
- 您指定之緊急聯絡人(僅於 SOS / 監控觸發時,接收您授權傳遞之通知與資訊;本服務對該聯絡人之個資告知依據詳第 3.2 條聯絡人告知頁)。
- 第三方委外處理者(詳第 7 條)。
- 依法令要求或為保護生命安全之必要,提供予主管機關或緊急救援單位。
6.4 利用方式
以電子化方式於前述目的與期間內處理、利用、傳輸及儲存,並採取第 8 條所述之安全保護措施。
第 7 條 第三方委外處理者(委外處理)
為提供本服務,我們委由下列第三方於本服務指示之範圍內處理特定資料:
| 處理者 | 角色 | 處理之資料 | 所在地 |
|---|---|---|---|
| Google LLC / Firebase(GCP) | 雲端儲存、運算、推播(FCM) | 全部個人資料(儲存於台灣區域) | 台灣(儲存);通知傳輸經 Google 全球網路 |
| Apple Inc.(APNs) | iOS 推播中繼(未來 iOS 版) | 推播酬載(事件識別碼等最小資訊) | 全球 |
| 三竹資訊股份有限公司(Mitake) | 簡訊發送 | 收件電話號碼、簡訊內容(可能含位置、稱呼) | 台灣 |
| Google Workspace(Gmail) | 電子郵件發送 | 收件電子郵件、郵件內容 | Google 全球 |
| DigitalOcean, LLC(簡訊中繼主機) | 簡訊訊號暫態中繼(轉送至三竹) | 簡訊內容與收件號碼於傳輸中短暫經過(不持久化儲存) | 美國(紐約) |
| Cloudflare(若採用) | DNS / CDN / 防火牆 | IP、瀏覽器資訊、網址 | 全球邊緣節點 |
| 中央氣象署(CWA) | 地震開放資料來源 | 不傳輸任何個人資料至 CWA(本服務僅取得資料) | 台灣 |
本服務要求上述處理者符合加密、保密與事故通報義務,並依各服務商之資料處理條款辦理。
7.1 處理者紀錄與您刪除權之限制
當本服務透過電信業者(三竹)或電子郵件服務商(Google Workspace)發送通知時,該等第三方處理者依其自身政策,可能保留派送紀錄達 90 天至 6 個月,此部分非本服務所能控制。當您刪除帳號時,本服務會刪除自身系統內之資料,但無法強制第三方處理者即時刪除其依法或依約保留之派送紀錄。
第 8 條 資料安全保護措施
本服務雖將全部資料定性為一般個人資料,仍對其採取高度保護措施:
- 靜態加密:資料庫全庫採用客戶自管金鑰(CMEK)加密;最高保護層級之資料(如語音預錄訊息、TOTP 密鑰、備用碼)另於應用層以 AES-256-GCM 加密;通行碼與家庭密語以 bcrypt 單向雜湊儲存。
- 傳輸加密:全程 TLS 加密,並於網站啟用 HSTS。
- 金鑰輪替:加密金鑰每 90 日自動輪替;疑似金鑰外洩時於 24 小時內緊急輪替。
- 存取控制:以最小權限服務帳號隔離資料存取;稽核紀錄僅限服務帳號讀取。
- 備份與還原:具備時間點還原(7 日)與每日全量備份(30 日);還原僅限災難復原情境,須經雙重以上之核可程序方得執行,且對單一使用者要求還原其已刪除資料者一律拒絕(尊重其刪除意願),所有還原動作均記錄於稽核紀錄。
惟須說明,無任何系統可保證絕對安全。
第 9 條 您的權利(個資法第 3 條、第 11 條)
就本服務保有之您的個人資料,您得行使下列權利:
| 權利 | 行使方式 | 回應時限 |
|---|---|---|
| 查詢、閱覽、製給複製本 | 來函 privacy@kinnotify.com 申請,並經您於 App 內確認(無法使用 App 時,另行人工核驗身分);匯出結果僅回寄至您的帳號註冊信箱 | 15 日內處理;必要時得延長 15 日(個資法第 13 條) |
| 補充或更正 | App 內修改,或來函請求 | 人工處理 30 日內 |
| 請求刪除(停止蒐集/處理/利用) | App 內帳號刪除流程(詳第 10 條) | 依第 10 條時程 |
關於刪除:本服務之刪除以「帳號整體退場」方式為之,不提供單筆資料之選擇性刪除(以維護緊急通知功能之完整性與安全)。
行使上述權利,或對本政策有任何疑問、申訴,請聯絡
privacy@kinnotify.com。
第 10 條 帳號刪除與資料消除
10.1 刪除流程
- 一般帳號(近 90 日無 SOS 事件):申請刪除後進入 7 日保留期,期滿由系統將主要資料實體刪除,並雙向解除與聯絡人之連結。
- 近期有 SOS 事件之帳號:系統將進入 30 日保留期;若涉報案或司法程序,本服務得依執法機關法令要求或內部法遵程序延長保留至司法結案後(法律保留,Legal Hold)。
10.2 保留期與悄悄返回
保留期內您可隨時取消刪除、恢復帳號,此過程不會通知任何聯絡人(尊重您悄悄離開、悄悄返回)。
10.3 App 外刪除入口(無須登入)
為符合應用程式商店規範,您亦可透過公開網頁 kinnotify.com/account-deletion 申請刪除(以電子郵件一次性驗證連結確認)。基於安全情境考量,該驗證信內容經去識別處理(不含「刪除/緊急/SOS」等字樣)。
10.4 完全消除時程
申請刪除後,各層資料(含備份、PITR)之完全消除最遲約於一般帳號 37 日內、SOS 帳號 60 日內完成(報案者另依司法時程)。稽核紀錄因安全與法遵需要,保留至 5 年。第三方處理者之派送紀錄限制見第 7.1 條。
第 11 條 跨境傳輸
您的核心資料儲存於台灣境內。惟下列情形涉及境外傳輸:
- 推播(FCM/APNs)、電子郵件(Google Workspace)經由服務商之全球網路傳輸。
- 簡訊(SMS)通知於送達電信業者前,必然經由位於美國之 DigitalOcean 中繼主機暫態傳輸(詳第 7 條);此為 SMS 通道之固有技術路徑。您可於分層同意中拒絕跨境簡訊中轉,惟拒絕即無法使用 SMS 通知通道(FCM 推播與 Email 不受影響,詳第 5 條),而非「保留 SMS 但不經美國中繼」。
- 境外聯絡人:若您設置台灣以外(例如
+852)之聯絡人,緊急通知(含簡訊)將跨境送達該聯絡人。本服務僅提供「設置境外聯絡人」之功能,不主動向境外個人提供服務,並於您設置時要求額外同意。
上述跨境傳輸中,推播與電子郵件為提供對應通道所必要;跨境簡訊中轉則為可拒之分層同意項(拒絕即無 SMS 通道,詳第 5 條)。使用本服務即表示您瞭解上述傳輸,各可拒層之同意與撤回依第 5 條辦理。
第 12 條 兒少個人資料
- 年齡政策:18 歲以上得一般使用;13–17 歲須已取得法定代理人同意,並於註冊時為此聲明(見下),方可註冊;未滿 13 歲不接受註冊。年齡以註冊時填寫之出生年月日採軟驗證(不要求上傳證件)。
- 13–17 歲註冊時,本服務要求使用者勾選「本人之法定代理人已知悉並同意本人使用本服務」之聲明,並留存該聲明紀錄(自記錄時點起保留 5 年供查證)。本服務不另行蒐集法定代理人之姓名或聯絡方式(資料最小化)。
- 法定代理人經驗證監護關係後,就未成年人之資料有查詢權,範圍以帳號基本資料(帳號存在、註冊日、年齡層別、同意聲明紀錄)為限;位置紀錄與緊急聯絡人名單等安全敏感資料,僅依法定程序(如司法機關依法調取)提供。查詢事件將於資料提供前於 App 內通知該未成年使用者本人(通知先於釋出);若該未成年曾就監護關係向本服務標記安全疑慮,本服務得暫緩或不予確認帳號之存在,並依法處理。惟基於安全保護考量,法定代理人不得單方逕行刪除未成年人之帳號;相關協助請聯絡
support@kinnotify.com。 - 未成年帳號之行銷通知預設關閉(見第 3.7 條)。
第 13 條 個人資料事故之通報
若發生個人資料遭竊取、洩漏、竄改或其他侵害之事故,本服務將依個資法第 12 條評估並處理,於查明後依下列原則通報:內部即時應變;對受影響當事人原則於 72 小時內以電子郵件及 App 內通知方式告知(內容含事件性質、受影響資料類別、可能影響、已採應變措施、您可採取之自保措施及聯絡窗口);涉主管機關者依規定期限通報;涉未成年人者,本服務將透過應用程式內顯著告示、電子郵件,並盡合理努力促使該未成年使用者轉知其法定代理人;或於法令及技術可行範圍內,採取其他適當之補救通知措施。
本條為事故應變之政策聲明;個案是否構成應通報之事故、通報範圍與義務,依個資法及主管機關規定認定,本服務不預設任何豁免。
第 14 條 Cookie 與同等技術
本服務之 Android 應用程式不使用瀏覽器 Cookie。kinnotify.com 相關網頁(靜態網頁 + Magic Link / 登入 / 帳號管理頁)不使用 Cookie、localStorage、sessionStorage 或任何用戶端持久儲存:登入工作階段僅存於記憶體(關閉分頁或重新整理即需重新登入),裝置上不留任何可供他人事後取得之權杖(對應安全威脅模型 spec §14.11.1);網頁亦不使用任何行為分析、廣告或跨站追蹤技術(per ADR-031;與第 3.7 條一致)。
因此本服務網頁不設置任何非必要 Cookie / 追蹤,無須 Cookie 同意機制(consent banner)。
第 15 條 政策修訂
本服務得因法令、技術或服務內容變動而修訂本政策。修訂時將更新「生效日」並以適當方式公告;重大變更將另行通知。修訂後您繼續使用本服務,視為同意修訂後之內容。
第 16 條 準據法與聯絡方式
- 準據法:本政策之解釋與適用,以中華民國法律為準據法。
- 隱私權窗口:
privacy@kinnotify.com - 一般客服:
support@kinnotify.com
附:本服務並非緊急服務之替代
本服務為家人輔助通知工具,不替代緊急服務。遇到立即危險時,請優先撥打:
- 110(警察)
- 119(消防、救護)
- 113(婦幼保護專線)
通知之送達採盡力(best-effort)方式,可能因網路、裝置、第三方服務或不可抗力而延遲或失敗,本服務不保證必達。