隱私政策

tabi-canvas（以下稱「本服務」）為一個人開發中的對話式日本自由行規劃系統，由 Allen Hsieh 維運，營運主體 NocturneTabi。本政策說明在你使用本服務時，我們會收集哪些個人資料、如何使用、如何保護、以及你享有的權利。

• 帳號資料：email 位址、密碼經 Supabase Auth 加鹽雜湊後儲存（不留明文）。若使用 Google 登入，僅取得 Google profile 的 user id + email。
• 行程偏好：onboarding 8 題的回答（Q0-Q7）— 主題、日期、人數、交通、預算、強度、節奏。
• 自由文字：Q1「其他原因」最長 200 字（會經 sanitize 後送往 LLM）。
• 產品操作紀錄：你看了哪題、按了哪個按鈕、有沒有按「為什麼問這題」（onboarding_events，90 天內自動清除）。
• LLM 用量計數：每日呼叫次數、預估成本（不含原文，只含 metadata，35 天保留）。
• 速率限制計數：你的 IP 位址僅用於 Upstash 速率限制（無關聯到帳號）。

我們不收集位置、聯絡人、相機/相簿存取、瀏覽歷史以外的任何資料；不使用第三方廣告 / 分析 SDK 追蹤你。

• 提供旅遊規劃服務本身（將你的偏好轉成行程建議）
• 顯示「為什麼問這題」的 AI 解釋（使用 Anthropic Claude Haiku）
• 匿名化漏斗分析（onboarding_events 統計，僅 per-user 維度，無跨用戶連結）
• 濫用偵測 + 速率限制（IP-based，本服務不販售或交換）

本服務本身不會將你的資料轉售或交換。為提供服務，我們依賴下列第三方供應商：

• Supabase（Database + Auth）：東京 region；資料不離開 Asia/Pacific 區。Supabase 自身的隱私政策見 supabase.com/privacy。
• Anthropic（Claude Haiku 4.5）：當你按「為什麼問這題」時，我們會送出你的結構化偏好答案（不含 email / user_id）+ Q1 自由文字（已 sanitize）給 Anthropic API 做解釋生成。Anthropic 政策： anthropic.com/legal/privacy。
• Vercel（hosting + Speed Insights）：服務 hosting 與 Web Vitals 收集（匿名）。Vercel 政策： vercel.com/legal/privacy-policy。
• Google（OAuth provider）：僅在你選擇 Google 登入時取得最小範圍的 profile。
• Upstash（Redis 速率限制）：僅儲存 IP-based 計數，不含使用者內容。

• 帳號（auth.users）：直到你刪除為止。
• 行程 / onboarding state：直到你刪除為止。
• onboarding_events（產品操作紀錄）：90 天，pg_cron 自動清除。
• daily_llm_counters（用量計數）：35 天，pg_cron 自動清除。
• LLM 快取（in-memory LRU）：每 instance 生命週期（分鐘級）。

依個人資料保護法第 11 條，特定目的消失後或保留期間屆滿，相關資料會自動刪除或封存。

依個資法第 3 條 + GDPR Articles 15-22，你有權：

• 查詢 / 取得個人資料副本（CSV / JSON 匯出 — pre-launch TODO，公開上線後 30 日內提供）
• 更正錯誤資料（直接於 /account 頁面更換 email；其他資料如需更正請來信）
• 刪除帳號：/account 頁面有「永久刪除」按鈕。系統會即時 cascade 刪除你所有 trips / 偏好 / 操作紀錄 / 計數（已通過 integration test 驗證）。
• 反對處理（請來信）
• 限制處理（請來信）
• 資料攜出（CSV / JSON 匯出，同上 pre-launch TODO）

• 傳輸層：HTTPS（Let's Encrypt 憑證，由 Vercel 自動 provision）
• 密碼：Supabase Auth 使用業界標準雜湊（不可逆）
• 授權：Postgres Row Level Security 確保你只能讀寫自己的資料
• 速率限制：登入 + LLM 端點均有 IP-based 速率限制
• 安全 headers：CSP / HSTS / X-Frame-Options 等防 XSS / clickjacking

本服務僅使用必要 cookies（登入 session、語系偏好）。不使用追蹤或廣告 cookies，因此不需要 cookie consent banner。

本服務不針對 13 歲以下兒童設計。若發現有 13 歲以下兒童註冊，將立即刪除其帳號。家長若認為孩子已註冊，請來信通知。

本政策有重大變更時（例：新增第三方服務、新增收集類型），會於變更生效前 30 天，以站內公告 + email 通知所有現存用戶。

隱私問題、資料權利請求、安全漏洞回報：
Email：[email protected]
營運主體：NocturneTabi（負責人 Allen Hsieh）