隱私政策

tabi-canvas（以下稱「本服務」）為一個人開發中的對話式日本自由行規劃系統，由 Allen Hsieh 維運，營運主體 NocturneTabi。本政策說明在你使用本服務時，我們會收集哪些個人資料、如何使用、如何保護、以及你享有的權利。

• 帳號資料：email 位址、密碼經 Supabase Auth 加鹽雜湊後儲存（不留明文）。若使用 Google 登入，僅取得 Google profile 的 user id + email。
• 行程偏好：onboarding 的回答（Q0-Q7）— 是否老手、目的、地區、日期、人數、是否有小孩/長輩、交通、預算、主題、節奏。
• 健康、飲食、無障礙等敏感資料（特種個資）：你可選填是否有孕婦同行、飲食限制（含過敏原、宗教飲食如 清真/不吃豬肉、麩質）、以及每位同行者的無障礙需求（輪椅 / 視覺 / 聽覺）。這些屬個人資料保護法第 6 條特種個資或可推論宗教信仰，僅在你於 Q3 明確勾選同意後才蒐集與處理（詳見第 5 節）。不填不影響基本使用。
• 自由文字：Q1「其他原因」與「興趣地點」（各 ≤200 字）、行程名稱、行程備註、Wiki 問答的提問（≤500 字）、意見回饋（≤2000 字）。部分內容會 sanitize 後送往 AI 處理者（見第 4 節）。
• 產品操作紀錄：你看了哪題、按了哪個按鈕、有沒有按「為什麼問這題」，以及送出意見回饋時一併記錄的瀏覽器 user-agent 字串（onboarding_events，90 天內自動清除）。
• 行程地點座標：你的行程中各景點（POI）的經緯度（由 AI 產生並經 Mapbox 地理編碼）。
• LLM 用量計數：每日呼叫次數、預估成本（不含原文，只含 metadata，35 天保留）。
• 速率限制計數：你的 IP 位址僅用於 Upstash 速率限制（無關聯到帳號、短期即失效）。

我們不收集你的裝置即時定位（GPS）、聯絡人、相機 / 相簿存取；但會記錄你查詢或標記的興趣地點座標，且在你使用地圖時透過 Mapbox（見第 4 節）取得概略 IP 位置。除第 4 節所列的 Vercel Analytics / Speed Insights（用於匿名的效能與流量統計）外，我們不使用廣告追蹤 SDK，也不販售或交換你的資料。

• 提供旅遊規劃服務本身（將你的偏好轉成行程建議）
• 顯示「為什麼問這題」的 AI 解釋（使用 Anthropic Claude Haiku）
• 產生符合你需求的行程（含經你明確同意後的健康 / 飲食 / 無障礙需求，用於避開不合適的景點與餐飲）
• 匿名化漏斗分析（onboarding_events 統計，僅 per-user 維度，無跨用戶連結）
• 濫用偵測 + 速率限制（IP-based，本服務不販售或交換）

本服務本身不會將你的資料轉售或交換。為提供服務，我們依賴下列第三方供應商；其中部分位於美國，你的資料會離開亞太區、傳輸至美國處理（依個資法第 21 條與你的同意為跨境傳輸之依據）：

• Supabase（資料庫 + 認證）：部署於東京 region （asia-northeast）。Supabase 政策： supabase.com/privacy。
• Anthropic（美國，Claude 模型）：當你使用 AI 解釋功能及每次產生行程建議時，我們會將你的偏好摘要傳輸至 Anthropic API，其中可能包含經你同意的孕婦同行、飲食限制（含清真、過敏原）、無障礙需求、是否有孩童/長者同行，以及你填寫的自由文字（行程備註、興趣地點等）。Anthropic 政策： anthropic.com/legal/privacy。
• Voyage AI（美國，向量檢索）：當你向 Wiki 提問、或系統需檢索相關內容時，你的問題逐字會傳至 Voyage AI 轉成向量。
• Mapbox（美國，地圖）：顯示地圖與地點查詢時，你的瀏覽器會直接連線 Mapbox，Mapbox 因此可取得你的 IP 位址與所查詢的地點。
• Vercel（美國，hosting + Analytics）：服務 hosting，以及匿名的 Web Vitals（Speed Insights）與流量統計（Vercel Analytics）。Vercel 政策： vercel.com/legal/privacy-policy。
• Google（OAuth）：僅在你選擇 Google 登入時取得最小範圍的 profile（user id + email）。
• Upstash（Redis 速率限制）：僅儲存 IP-based 計數，不含使用者內容。

我們透過商用 API 使用 Anthropic 與 Voyage；依各供應商當時的商用 API 條款，你的內容不會被用於訓練其模型（以供應商當時政策為準）。我們與上述處理者間依其標準資料處理條款處理你的資料。

為產生符合你需求的建議，本服務會處理你選填的健康（孕婦、過敏、麩質）、可推論宗教（清真 / 不吃豬肉）、與無障礙（輪椅 / 視覺 / 聽覺）資料。這些屬個資法第 6 條特種個資 / GDPR Art.9 特種類別。

• 明確同意才處理：這些欄位在 Q3 有一個獨立、預設未勾選的同意選項。未勾選時，這些資料不會被送往 Anthropic / Voyage 等美國處理者，相關需求專屬的建議也不會產生（基本服務仍可使用）。
• 跨境傳輸：勾選同意即表示你同意這些資料為產生建議而傳輸至美國（Anthropic / Voyage）。法律依據為你的明確同意（個資法第 21 條 / GDPR Art.49(1)(a)）。
• 可隨時撤回：你可在 Q3 取消勾選、或來信 [email protected] 撤回同意；撤回後我們停止相關處理（可能導致需求專屬的 AI 建議無法使用）。

• 帳號（auth.users）：直到你刪除為止。
• 行程 / onboarding state / 行程備註：隨行程保留，帳號或行程刪除即一併刪除。
• 訪客（匿名）資料：匿名訪客若連續 30 天無行程活動，系統會自動刪除其帳號與所有關聯資料（pg_cron）。
• onboarding_events（產品操作紀錄）：90 天，pg_cron 自動清除。
• daily_llm_counters（用量計數）：35 天，pg_cron 自動清除。
• LLM 快取（in-memory LRU）：每 instance 生命週期（分鐘級）。

依個人資料保護法第 11 條，特定目的消失後或保留期間屆滿，相關資料會自動刪除或封存。

依個資法第 3 條 + GDPR Articles 15-22，你有權：

• 查詢 / 取得個人資料副本：於 /account 頁面點「下載 JSON」即可一鍵匯出你的所有個人資料（帳號 / 行程 / 偏好 / 備註 / 操作紀錄）。
• 更正錯誤資料（直接於 /account 頁面更換 email；其他資料如需更正請來信）
• 刪除帳號：/account 頁面有「永久刪除」按鈕。系統會即時 cascade 刪除你所有資料（trips / 偏好 / 行程 / 備註 / 操作紀錄 / 計數共 12 張資料表，由自動化測試涵蓋）。
• 撤回特種個資處理之同意（見第 5 節，或來信）
• 反對處理 / 限制處理（請來信）
• 資料攜出（同上「下載 JSON」）

• 傳輸層：HTTPS（Let's Encrypt 憑證，由 Vercel 自動 provision）
• 密碼：Supabase Auth 使用業界標準雜湊（不可逆）
• 授權：Postgres Row Level Security 確保你只能讀寫自己的資料
• 速率限制：登入 + LLM 端點均有 IP-based 速率限制
• 安全 headers：CSP / HSTS / X-Frame-Options 等防 XSS / clickjacking
• 資料外洩通知：若發生影響你個資的安全事件，我們將於查明後盡速（GDPR 適用時 72 小時內）以 email 通知你，說明事件範圍、可能影響與建議的因應措施（個資法第 12 條）。

本服務僅使用必要 cookies（登入 session、語系偏好）。Vercel Analytics / Speed Insights 採無 cookie（cookieless）方式收集匿名統計。我們不使用追蹤或廣告 cookies。

本服務之最低使用年齡為 13 歲；歐盟用戶須年滿 16 歲（或所在會員國法定數位同意年齡，介於 13–16 歲）。13 歲以上未滿 18 歲之限制行為能力人，須事先取得法定代理人同意始得使用。若發現未滿 13 歲兒童註冊，將立即刪除其帳號；家長若認為孩子已註冊，請來信通知。

AI 行程建議為自動化生成、僅供參考，不對你產生法律上的拘束力；你可隨時忽略或來信要求人工協助。

本政策有重大變更時（例：新增第三方服務、新增收集類型），會於變更生效前 30 天，以站內公告 + email 通知所有現存用戶。

隱私問題、資料權利請求、安全漏洞回報：
Email：[email protected]
營運主體：NocturneTabi（負責人 Allen Hsieh）