MiSu 隱私政策

本政策適用於薩摩創意有限公司(以下稱「我們」)提供的 App「MiSu」(iOS 版與 Android 版,以下稱「本服務」),說明我們蒐集哪些資料、放在哪裡、怎麼用,以及你的權利。兩個版本的做法相同,少數平台差異會在該段落標明。

一、資料放在哪

二、存在你手機上的資料

• 記事、行程、人名、地點、對話紀錄:存在 App 內的資料庫(SQLite),只在你的手機上,每個登入帳號各有一份(換帳號登入看到的是那個帳號自己的資料)。刪除 App 即一併刪除。
• 語音:在手機上轉成文字,錄音不上傳、不存檔。Android 版指定只用手機上的辨識;手機沒有可用的離線辨識時,它會直接告訴你不能用,不會改送雲端。
• 截圖與照片:圖片存在手機;文字辨識在手機上完成,需要雲端判讀時送出的是辨識出的文字,不是圖片。一次可以丟好幾張(最多 4 張),送出的一樣只有每張圖辨識出來的文字。
• 用意思找:判斷「哪幾筆記錄跟你問的話意思接近」的模型放在 App 裡,在你的手機上跑,這一段不連網、不送任何內容出去。
• 提醒通知:由手機本機排程,不經推播伺服器。若日後改用推播,會先更新本政策。
• 地點提醒(你說「這裡是公司」「到公司提醒我…」時才會用到):取得位置、存下地點座標、判斷你到了或離開,全部在手機上完成。座標不上傳、不進雲端 AI 判讀、也不進加密備份。需要你在手機設定允許位置權限(iPhone 選「一律」、Android 選「一律允許」才能在 App 沒開時提醒;Android 另需開啟「Google 定位精確度」);不用這個功能就不會取得位置。可在 App 設定頁刪除存下的地點。
• 手機行事曆(你在設定頁打開「顯示手機行事曆的行程」時才會用到,預設關閉):讀取你手機上既有的行程,顯示在早報與本週面板,全部在手機上完成。這些行程不會存進 MiSu、不會送到雲端 AI、不會進加密備份或匯出檔,也不會寫進對話紀錄;MiSu 也不會修改或刪除你的行事曆。需要你允許行事曆權限;不用這個功能就不會讀取行事曆。
• 自訂秘書頭像(特助方案;你從相簿挑了一張照片時才會用到):照片透過系統的照片挑選器取得,MiSu 不要求相簿權限,看不到你相簿裡其他照片。存檔前會在手機上裁成正方形、縮小,並移除拍攝地點、機型、拍攝時間等夾帶資訊,原圖不保留。這張照片只存在你的手機上:不會上傳、不會送到雲端 AI、不會進加密備份或匯出檔,也排除在手機的系統備份之外,換手機時不會跟著過去(會自動改用內建頭像)。刪除帳號時會一併刪除。
• 沒有網路時:iPhone 版改用內建的 Apple 裝置端模型判讀,資料不經過我們;Android 版沒有裝置端模型,判讀需要連線,沒網路時它會明講這則沒有判讀成功。
• 加密備份的復原碼:存在手機的系統加密保管區(iPhone 是 iCloud 鑰匙圈;Android 是系統金鑰庫 Android Keystore,不跟整機備份走)。

若你開啟 iCloud 備份、Google 的裝置備份或電腦備份,手機上的 App 資料可能依你在該平台的設定一併備份,該備份由 Apple / Google 處理,不經過我們。

三、雲端 AI 判讀

簡單指令(例如查行程、取消、延後)在手機上處理。手機規則接不住的訊息,才送雲端判讀:

• 送出內容:你送出的那一則訊息,加上判讀所需的最少脈絡——當下時間、相關行程摘要、最近幾句對話、你認識的人名、截圖辨識出的文字。
• 傳送路徑:手機 → 我們的伺服器(saomin.tw 代理)→ Anthropic 的 Claude API。全程加密傳輸(HTTPS)。
• 我們的伺服器不儲存訊息內容,只記錄你的帳號識別、使用次數、token 量(AI 計算用量的單位)、花費與時間,用於計算 AI 額度與防止濫用。
• 查網路(NT$199 方案):你要查的問題同樣經我們的伺服器送 Anthropic,由 Anthropic 代為上網搜尋並整理答案;伺服器不儲存問題與答案。
• 讀記錄回答問題(例如「他電話幾號」「看牙齒那個約是哪天」):手機先自己挑出相關的幾筆記錄,整理成文字後送雲端請模型照著回答。送出的包含那幾筆記錄的內容(可能含人名、聯絡資料、當初截圖辨識出來的文字)與你的通訊錄備忘;不送圖片;伺服器不儲存問題、記錄與答案。
• 週日一封信(NT$199 方案):手機先整理出這週的數字與事項短標題(可能含人名),經我們的伺服器送 Anthropic 寫成一封信;伺服器不儲存內容,信存在你的手機。
• Anthropic 的處理:Anthropic 依其商業 API 條款處理送入的資料;依其公開說明,商業 API 資料預設不用於訓練模型,但可能為安全與濫用偵測保留一段期間。實際做法以 Anthropic 隱私政策為準。Anthropic 位於美國,資料會傳送至境外處理。
• AI 額度用完時:iPhone 版改用手機裝置端模型,不送雲端;Android 版沒有裝置端模型,額度用完就要等下個月或升級方案。

四、帳號

本服務以 Sign in with Apple、Google 登入或 Email 驗證碼建立帳號。用 Apple / Google 登入時,我們的伺服器直接向 Apple / Google 驗證你的身分憑證,不經其他第三方驗證服務。

Email 登入(輸入信箱 → 收一封 6 位數驗證碼 → 輸入):

• 驗證碼由我們的伺服器產生並寄出,10 分鐘後失效;用過、過期或輸錯太多次就刪除。
• 等待驗證期間,伺服器存的是信箱的雜湊值與驗證碼的雜湊值,不是信箱原文與驗證碼本身。
• 驗證成功後,該信箱會存進你的帳號資料(用來寄復原碼、客服聯絡)。同一個已驗證過的信箱視為同一個帳號:之後用 Apple 或 Google 登入、而該帳號的信箱相同時,會接回原本那個帳號,不會變成兩個。
• 為防止濫用,伺服器會記錄「某個信箱的雜湊值在什麼時間被寄過信」,約 2 天後自動刪除。
• 寄信由 Resend 代送(見第八節)。

我們存的帳號資料:

• 登入方式(Apple 或 Google)
• Apple / Google 提供的使用者識別碼
• Email(選擇 Apple「隱藏我的電子郵件」時,我們只拿到 Apple 的轉寄地址)
• 名字(若 Apple / Google 有提供)
• 你在 App 內設定的稱呼
• 訂閱方案、試用到期日
• 帳號建立時間、最後使用時間

登入憑證有效 90 天;伺服器只存它的雜湊值(一種單向轉換,無法從存下的值反推出原本的憑證)。

用途:辨識你、綁定訂閱、計算 AI 額度、找回加密備份、客服聯絡。不用於廣告,不販售。

五、訂閱與付款

• 試用:第一次登入起 30 天不用訂閱就能用。伺服器只記一個試用到期日,不需要你提供付款資料。
• 訂閱透過 App Store(iOS)或 Google Play(Android)購買,付款由 Apple / Google 處理,我們拿不到你的卡號或付款資訊。
• 我們從 Apple / Google 取得訂閱狀態(交易識別碼、方案、到期時間),用於開通對應功能與 AI 額度。

六、加密備份

• 端對端加密:資料在你的手機上先加密再上傳,解密金鑰(復原碼)只在你手上:存在手機的系統加密保管區(iPhone 是 iCloud 鑰匙圈,由 Apple 端對端加密同步;Android 是系統金鑰庫,不跟整機備份走)、你收到的那封信,以及你自己抄下的紀錄。我們的伺服器只看得到備份的大小、時間與金鑰指紋(用來比對復原碼對不對,無法反推出金鑰),無法讀取備份內容。
• 復原碼怎麼來的:第一次登入時由你的手機產生,接著交給我們的伺服器寄一封信到你的帳號信箱。伺服器只在寄那一封信的當下經手,不儲存、不寫進紀錄檔;之後你在設定頁按「重寄」也是同一個做法(每天有次數上限)。這表示:你的信箱若被他人存取,備份就有風險——這是為了讓你換手機時還原得了所做的取捨。
• 換手機 / 重裝:新裝置登入同一個帳號後,輸入那組復原碼才能還原雲端備份。Android 的金鑰庫不跟整機備份走,所以重裝後一定會問你要那組碼。
• 帳號只用來找到你的備份。
• 備份內容是文字記事、提醒與秘書設定;照片只留在你的手機,不在備份裡。
• 金鑰遺失時,我們無法替你還原備份。

七、他人的個人資料

你記下的人名、截圖或照片可能包含他人的個人資料。請在取得必要同意、合法的範圍內使用。這些內容存在你的手機;需要雲端判讀時,送出的是文字,處理方式同第三節。

八、第三方服務

• Anthropic(Claude API)— 雲端 AI 判讀、查網路、週日一封信。
• Apple — Sign in with Apple、App Store 訂閱付款、iPhone 的裝置端模型。
• Google — Google 登入;Android 版的 Google Play 訂閱付款。
• Resend(Resend, Inc.,美國)— 代寄 Email 登入的驗證碼與加密備份的復原碼。寄送時會提供你的信箱與信件內容給 Resend;依其公開說明會保留寄送紀錄一段期間。實際做法以 Resend 隱私政策為準。
• 伺服器位於本公司管理的雲端環境(Google Cloud Platform)。

App 內沒有廣告 SDK 或第三方行為分析 SDK,也不做跨 App 追蹤。若你在 iPhone 設定或 Google Play 設定中同意與開發者分享分析資料,Apple / Google 會提供去識別化的當機報告。

九、伺服器紀錄與安全

• 伺服器會記錄連線的 IP 位址、裝置代理字串、時間與請求路徑,用於維運、資安防護與防濫用,保存約 14 天後自動刪除。
• 以存取控制、加密傳輸(HTTPS)、憑證雜湊保護資料。
• 紀錄檔不含訊息內容、截圖文字、信箱原文、驗證碼或復原碼。

十、保存期間

• 手機本機資料:由你保管,刪除 App 即刪除;在 App 內刪除帳號時,也會刪除這支手機上該帳號的資料。登出不會刪除,再登入即恢復。
• 帳號資料、使用量紀錄:保存到你刪除帳號為止。
• 加密備份:保存到你刪除帳號或在 App 內刪除備份為止;訂閱結束後保留 90 天(期間可以下載還原、不再新增),期滿自動刪除。
• Email 登入的驗證碼:10 分鐘,用過或輸錯太多次即刪除。
• 寄信次數紀錄(只有信箱雜湊值與時間,防濫用用):約 2 天。
• 伺服器連線紀錄:約 14 天。
• 帳務紀錄:付款由 Apple / Google 處理,我們不經手付款資料。刪除帳號時,立即刪除 Email 與登入識別碼,只保留無法辨識個人的用量與營收統計;Apple / Google 提供的營收報表依稅法規定期限保存。

十一、你的權利

依個人資料保護法,你可以請求查詢或閱覽、製給複製本、補充或更正、停止蒐集處理利用,以及刪除你的個人資料。請來信 hello@satsumacreative.tw,我們會在合理期間內處理並回覆。刪除帳號的步驟見刪除帳號說明。

十二、兒童

未滿 13 歲不得使用本服務。未成年人應經法定代理人同意後使用。

十三、政策變更

本政策更新時,會在本頁公告並更新生效日;重大變更會在 App 內提示。

十四、聯絡我們

薩摩創意有限公司
電子郵件:hello@satsumacreative.tw