隱私政策

1. 營運者與聯絡方式

拾讀由 HSIHSUN HO（HoMade Works）開發與營運。隱私、資料權利及客服聯絡信箱：brad.ho.2026@gmail.com。

2. 我們處理的資料

處理範圍依你使用的功能而定。帳號、配對與 Wi-Fi 雲端同步資料在你選擇用 Apple 登入後處理。購買與恢復訂閱不需登入拾讀，詳見 2.4 節；裝置上的「我的書庫」、你寫的內容與檔案傳送服務另見 2.1 節。

• 帳號與識別資料：Apple 使用者識別碼、登入狀態、工作階段與更新憑證；憑證保存在裝置 Keychain。
• 使用者內容：書籍識別碼、書名、作者、畫線、你在閱讀器上寫的心得及來源修改時間。
• 產品使用資料：收藏、封存、回顧排除、今日拾讀來源、同步游標、配對狀態、批次與固定錯誤碼；以及閱讀器每次 Wi-Fi 同步結束後回報的結果：同步元件版本、開始時間與耗時、是否完成、筆記新增／更新／刪除／略過的數量與固定代碼，不含書名或筆記文字。
• 購買資料：Apple 提供的訂閱交易識別碼、產品、權益狀態與到期時間。拾讀不取得完整付款卡資料。
• 裝置與連線資料：裝置識別碼、作業系統資訊、IP、請求時間，以及通知、小工具與提醒設定。

拾讀不要求 Kobo 帳號密碼；同步日誌不設計為保存筆記原文。

2.1 裝置上的書庫、你在拾讀寫的內容與 iCloud

拾讀把接線直接讀取、網頁匯出、助手匯出檔與 Wi-Fi 同步的筆記都保存在同一個「我的書庫」，位於 App 的裝置空間。接線直接讀取與匯出網頁只讀取閱讀器的書名、作者、文字畫線、心得與封面快取，不改動閱讀器，網頁版的處理全部在你的瀏覽器內完成、不上傳。電腦助手先建立私人資料庫備份，在本機副本檢查資料完整性，再取用書名、作者、文字畫線與心得來產生筆記匯出檔；匯出內容不包含 Kobo 帳號表。匯出資料使用不可直接讀出原始序號的來源雜湊，含型號與韌體，不含帳號憑證或書籍全文。.leaftrove 匯入包另包含可取得的書籍封面；純文字 JSON 不含封面。助手會在本機讀取閱讀器的封面快取，或為取得封面而讀取 EPUB／KEPUB 內相關檔案，不匯出書籍全文。電腦原始備份可能包含私人資料，請自行保護，不要寄送完整備份。

在 iPad 或 USB-C iPhone 上設定 Wi-Fi 無線更新時，拾讀會先把閱讀器的系統資料（含閱讀資料庫）備份到 App 的裝置空間，不上傳；再把選單元件、拾讀同步程式與一張配對授權寫入閱讀器。為建立授權，App 會把閱讀器型號、韌體與無法還原序號的閱讀器識別碼，連同你的拾讀帳號送到拾讀伺服器。授權只能使用一次，未在有效期限內使用會自動失效。

你在拾讀寫的「我的心得」保存在這台裝置的加密保險庫，金鑰存放在裝置 Keychain；保險庫不納入裝置備份，草稿只留在這台裝置。標籤、我的分類、最近搜尋、匯入結果紀錄與上次讀取的閱讀器位置也保存在 App 的裝置空間；最近搜尋只留在這台裝置。心得、標籤與分類只存在拾讀，不會寫回閱讀器，也不會上傳拾讀雲端。

匯入後的內容與偏好保存在 App 裝置空間，不會自動上傳拾讀雲端。訂閱者開啟 iCloud 同步時，書庫、收藏、封面、已完成的心得、標籤與分類會存放在你自己的 iCloud 私有容器，用來在你的 iPhone 與 iPad 之間同步，由你的 Apple 帳號與 iCloud 的保護機制保管，拾讀的伺服器讀不到。關閉 iCloud 同步不會刪除任何裝置上的筆記。

「心得備份」會產生一個未加密的檔案，包含心得、草稿、原筆記來源與保留版本，不含登入憑證；存放位置由你決定，請自行妥善保管。你可自行透過「檔案」或分享服務傳送匯出檔與備份檔；所選服務適用其本身的政策。開啟小工具或提醒時，iOS 系統會保存顯示所需的摘錄與路由。App 內使用回饋的處理方式見 2.3 節；拾讀不會自動蒐集筆記或傳送診斷。

2.2 電腦助手相容性回報（選填）

Mac／Windows 助手可在你檢視並同意後分享裝置辨識、USB 匯出、安裝步驟與閱讀器檢查結果。回報包含機型代碼、韌體、助手版本、電腦平台、操作時間、固定結果分類與回報識別碼，不包含書籍、筆記、帳號、原始序號或任意錯誤日誌。用於區分重複回報的閱讀器識別碼，由該電腦保存的隨機金鑰計算；同一台閱讀器在不同電腦可能視為不同來源。這是去識別資料，不保證完全匿名。

不分享不影響匯出或設定，不會在背景自動補傳。服務以 HTTPS 接收回報，IP 用於暫時的請求限流，不寫入相容性回報表。回報保存 90 天，期滿由排程清理；災難復原歷史依下述保存條件處理。回報用於相容性統計，不會自動授予裝置安裝資格，也不會合併到雲端帳號書庫。

2.3 App 內使用回饋與匿名步驟計數

使用回饋：你在 App 內主動送出回饋時，我們會收到你輸入的內容、選擇的回饋類型、你選填的閱讀器型號與韌體，以及拾讀版本、iOS 版本與裝置類型（iPhone／iPad）。回饋不帶帳號、登入憑證、裝置識別碼、序號、書名或筆記；請不要在內容中填入不想提供的個人資料。聯絡方式為選填，只有你自己填寫時才會保存，用於回覆你，並於 180 天後自動清除；回饋內容於 400 天後刪除。

匿名步驟計數：「協助改善拾讀」預設開啟，可隨時在設定關閉。開啟時，App 只傳送固定清單中的步驟名稱（例如「完成匯入」）、固定的結果分類、平台與拾讀版本，每個步驟每次安裝最多傳送一次。伺服器只保存每日加總，不保存帳號、裝置或廣告識別碼、書名或筆記，無法對應到個人；每日加總於 400 天後刪除，用於避免重複計數的隨機批次編號於 3 天後刪除。

這兩項傳送都不使用登入狀態或 Cookie。Cloudflare 在處理連線時會暫時使用 IP 位址做流量限制，拾讀不把 IP 位址寫入回饋或計數資料。

2.4 訂閱購買與選用雲端連結

購買、恢復與使用本機訂閱功能不需建立拾讀帳號。App Store 處理付款；拾讀透過 Apple 驗證的交易確認產品、有效期間、退款及撤銷狀態。只有選用拾讀個人 Wi-Fi 雲端服務時，才需要登入並連結帳號。

未登入購買前，拾讀伺服器會產生隨機購買憑證識別碼及連結密鑰；伺服器只保存識別碼、密鑰雜湊與建立時間，不因此建立使用者帳號，也不要求姓名或電子郵件。完整密鑰保存在系統 Keychain；若你已啟用 iCloud 鑰匙圈，Apple 可在你的裝置間同步這些憑證。它們不放入書庫、心得備份、匯出檔或診斷紀錄。

你之後主動選擇連結 Wi-Fi 雲端時，App 才將拾讀帳號、購買憑證及 Apple 簽署的交易送交伺服器驗證。已綁定其他帳號的訂閱不會因恢復購買而自動移轉；缺少連結憑證不影響 Apple 確認的本機訂閱權益。

尚未連結帳號的最小購買憑證紀錄沒有固定年限的自動到期：伺服器無法只靠發出憑證，分辨取消購買與已付款但尚未選擇連結雲端。保留這些無姓名、電子郵件或閱讀內容的識別碼與雜湊，是為了日後自願連結及防止重複歸屬；不保存完整密鑰或交易原文。已連結的紀錄依帳號刪除流程處理；如需行使資料權利，請依第 6 節聯絡我們。Apple 自身的付款與交易紀錄適用 Apple 的政策。

3. 使用目的

資料用於建立與恢復帳號、配對 Kobo、同步你授權的書目與筆記、在裝置間更新內容、提供搜尋／回顧／收藏／心得／標籤與分類／匯出、顯示最近一次同步結果、維持訂閱權益、傳送你主動開啟的提醒、處理帳號刪除，以及維護安全與排查故障。

4. 第三方服務與資料傳輸

• Apple：Sign in with Apple、App Store 訂閱、通知及系統服務；訂閱者開啟同步時另使用 iCloud。
• Cloudflare：Workers 與 D1 用於雲端帳號、配對、同步及訂閱驗證；Pages 用於網站託管。接線直接讀取、網頁匯出與助手匯出檔匯入都不使用拾讀雲端保存筆記。
• Kobo 圖片服務：有封面識別碼時，App 直接向 cdn.kobo.com 請求圖片；不傳送筆記文字、收藏狀態或 Apple 憑證。

這些服務可能在你所在地以外處理一般網路資料。拾讀不把筆記交給廣告服務，也不跨 App 或網站追蹤你。

5. 保存與安全

書庫保存在 App 私有空間，我的心得保存在加密保險庫，小工具摘錄保存在 App 與小工具共用的裝置空間，登入憑證保存在 Keychain。雲端書目、筆記、偏好、同步批次與變更內容不會因閒置或訂閱到期自動刪除；可透過帳號刪除或明確刪除封存來源處理，亦可能依法律要求較早刪除。每台閱讀器只保留最近一次同步結果，並隨帳號刪除一併移除。解除 Kobo 連結只會封存來源，內容仍計入雲端容量；30 天保護期不是自動刪除倒數。你可在「資料與儲存空間」明確永久刪除封存來源的可查詢書目、筆記、偏好及相關變更內容，必要的最小技術紀錄仍依各自期限保存。

已過期、撤銷或已確認的配對流程記錄，在配對到期滿 30 天後由排程分批清理，不會因此撤銷仍有效的裝置同步授權。帳號刪除完成後，無閱讀內容的收據（請求識別碼、收據雜湊、狀態與時間）在滿 30 天後由排程清理；防止舊登入重建資料的雜湊屏障約保留 24 小時。處理中所需的帳號識別與加密 Apple 授權，保留至撤銷完成。Cloudflare D1 的災難復原歷史依方案可能暫留 7 或 30 天，並非 App 刪除操作可立即移除的資料。你自行保存的匯出檔、心得備份檔、電腦原始備份及系統備份，需在各自保存位置管理。

拾讀使用 HTTPS、裝置 Keychain、系統資料保護與權限隔離。沒有任何網路服務能保證絕對安全；發現可能影響你的事件時，我們會依適用法律採取處理與通知。

6. 你的選擇與權利

你可以關閉提醒與小工具、關閉 iCloud 同步、匯出 Markdown／JSON、刪除心得、移除標籤與分類，以及清除最近搜尋；用 Apple 登入後另可登出、解除 Kobo 連結、刪除封存來源及刪除帳號。登出會清除此裝置上該帳號的雲端快取與憑證；已同步的雲端內容與 Kobo 連結保留。雲端帳號刪除處理該帳號的雲端內容與授權；其他登入裝置於下次連線驗證後清理該帳號資料，離線裝置不會立即被遠端清除。這兩項操作不會刪除這台裝置上的「我的書庫」、Kobo 原始內容或已匯出檔案，也不會取消 Apple 訂閱。

移除 App 會刪除這台裝置上的書庫與心得保險庫；若沒有開啟 iCloud 同步，也沒有另存心得備份，心得將無法復原。裝置資料清理與重裝注意事項見帳號刪除說明。

如需查閱、更正、刪除、限制或取得資料副本，請寄信至上述信箱。我們會先合理驗證身分，並依適用法律回覆。你也可以向所在地的資料保護或消費者主管機關提出申訴。

7. 兒童、變更與適用範圍

拾讀不是以兒童為主要對象，也不明知收集未達所在地數位同意年齡者的資料。政策有重大變更時，會更新生效日，並在 App 或網站提供適當通知。若不同地區的強制法律提供更多權利，該等權利不受本政策限制。本政策有中文與英文版本，內容如有出入，以中文版本為準。

透過官網提交問題排查資訊時，聯絡方式、裝置資訊與問題內容的處理方式另見網站表單與聯絡資料說明。