隱私權政策

一、我們是誰

萬安居輔（以下簡稱「本 App」）由萬安智慧照顧平臺（以下簡稱「我們」）開發與營運， 為「萬安智慧照顧平臺」的行動應用程式，提供長者家屬與照護人員查閱生理數據、位置與安全告警之服務。

聯絡方式：winshareinc@gmail.com

二、我們蒐集哪些資料

• 帳號與聯絡資訊：手機號碼（用於登入驗證）、姓名、電子郵件（選填）。 上述三項於 App 內蒐集，並於首次啟動時以獨立同意頁取得您的明示同意； 您可隨時於 App 撤回同意（家屬：設定 → 法律與隱私 → 隱私權同意紀錄； 照護人員：帳號 → 功能 → 隱私權同意紀錄）。
• 緊急聯絡人資料（家屬填寫）：您新增之緊急聯絡人的姓名、關係、手機與電子郵件， 用於告警發生時依序通知；請於填寫前確認您已取得該聯絡人同意提供其個人資料。 本項於 App 內蒐集，並於首次啟動的同意頁一併聲明並取得您的明示同意。
• 健康與生理數據：心率、血壓、血氧、體溫、步數、睡眠等，由穿戴裝置經平臺同步。
• 位置資訊：（1）長者裝置的最後位置與時間戳，由穿戴裝置經平臺同步，用於電子圍籬與安全提醒； （2）照護人員巡查打卡當下的本機 GPS 座標——僅於您按下打卡時讀取一次， 用於驗證是否在案主住所範圍內，不做背景或持續追蹤； （3）電子圍籬位置設定（家屬填寫）：您新增或編輯電子圍籬時輸入或於地圖選取的中心經緯度與半徑 （即長者住所／常去地點位置），上傳後用於離開／進入圍籬判定與安全提醒。 第（2）、（3）項於 App 內蒐集，並於首次啟動的同意頁一併聲明並取得您的明示同意。
• 照片與相機：巡查紀錄照片與個人頭像，由您以相機拍攝或自相簿選取後主動上傳； 相機另用於掃描巡查點 QR Code 完成打卡，掃描畫面僅即時解碼、不會儲存或上傳。 本項於 App 內蒐集，並於首次啟動的同意頁一併聲明並取得您的明示同意。 App 不會在背景存取相機或相簿。
• 生物辨識（Face ID／指紋）：僅用於啟動時快速解鎖 App， 驗證全程由作業系統執行，App 只取得成功／失敗結果； 我們不會取得或儲存您的臉部或指紋特徵（該等生物特徵全程由作業系統保管）。 本項於 App 內蒐集，並於首次啟動的同意頁一併聲明並取得您的明示同意。
• 照護與巡查服務紀錄：您在告警處理／誤報說明／結案註記、巡查日誌與打卡備註中輸入的文字 （含電子圍籬暫停原因），隨紀錄上傳並與案主照護紀錄綁定。 本項於 App 內蒐集，並於首次啟動的同意頁一併聲明並取得您的明示同意。
• 裝置與推播識別碼：推播權杖（FCM token）、裝置型號／作業系統版本。

三、我們如何使用這些資料

• 提供照護核心功能：生理趨勢查閱、位置顯示、電子圍籬判定、安全告警推播。
• 帳號登入與身分驗證。
• 服務維運、問題排除與安全防護。

四、資料分享對象

• 萬安智慧照顧平臺（授權層級）：依授權層級（家屬、機構照護人員）存取對應長者資料， 同層級之間為數據孤島，不互相流通。
• 雲端基礎設施／推播／簡訊服務供應商：如 Google Firebase Cloud Messaging（推播通知）、 Firebase Authentication 與 Twilio Inc.（手機號碼簡訊驗證，依營運設定擇一遞送）， 僅在提供該等服務之必要範圍內處理資料。
• 法律要求：於法律要求時，配合主管機關依法提供。

國際傳輸（境外傳輸）

您的個人資料主要儲存與處理於中華民國境內之伺服器。惟下列情形涉及 境外傳輸：

• 推播通知：為將通知送達您的裝置，裝置推播識別碼與通知標題／內容摘要 會傳輸至 Google Firebase Cloud Messaging（由 Google LLC 於境外機房營運）。
• 手機號碼驗證：登入時的簡訊驗證依營運設定經由 Twilio Inc.（美國）或 Firebase Authentication（Google LLC）於境外遞送。經 Twilio 時，驗證碼由本平臺伺服器產生， 傳輸內容為您的手機號碼與一次性驗證碼；經 Firebase 時，驗證碼由 Firebase 產生並寄送， 傳輸內容為您的手機號碼。
• 地圖圖磚：地圖底圖由境外圖磚服務提供，傳輸內容僅為所需圖磚之區塊座標， 不包含長者身分或精確位置。

上述傳輸僅限提供對應功能所必要之最小範圍，不包含長者姓名、身分證號、 住址或生理數據明細。我們與服務供應商間依其資料處理條款約束其僅得依我方指示處理資料。

五、資料保存與安全

• 資料一律以加密方式傳輸（HTTPS／TLS 1.2 以上）。
• 保存期間：裝置上傳之原始事件紀錄保存 90 日後自動刪除； 照護所需之生理量測、定位與告警紀錄於服務關係存續期間及法令要求之期間內保存， 並於您依「六、您的權利」提出刪除請求後，除法令另有規定外予以刪除或去識別化。
• 我們採取合理之技術與組織措施，保護您的資料免於未經授權之存取、變更或洩漏。
• 資料外洩通知：如發生個人資料遭竊取、洩漏、竄改或其他侵害情事， 我們將於查證後依個人資料保護法規定以電話、電子郵件或書面通知當事人 及主管機關，並說明事實、已採取之因應措施與後續聯絡管道。

五之一、儲存於您裝置上的資料（App 端）

為維持登入狀態與接收告警通知，萬安居輔 App 會在您的行動裝置本機儲存下列項目。 這些項目於首次啟動的同意頁一併聲明並取得您的同意，同意範圍同時涵蓋「蒐集」與「儲存」：

• 登入權杖（access token，JWT）：用途為免除每次開啟 App 重新登入。 儲存於 iOS Keychain／Android EncryptedSharedPreferences（經 flutter_secure_storage 加密保管）。 保存至登出或移除 App 即刪除。
• 更新權杖（refresh token）：用途為在登入權杖過期時自動換發，避免頻繁重新驗證。 儲存位置同上；保存至登出、逾期或移除 App 即刪除，登出時另同步撤銷伺服器端紀錄。
• Firebase 帳號驗證 session：您經 Firebase 手機簡訊驗證或 Email 連結完成登入時 （經本平臺伺服器發送之簡訊驗證碼登入時不會產生此項）， Google Firebase 驗證元件會在本機保留一份驗證 session，內含帳號識別碼、 您的手機號碼或電子郵件，以及 Firebase 更新權杖；用途為在權杖過期時 免除重新收取簡訊／登入信。由 Firebase SDK 保管於 iOS Keychain／Android App 私有儲存空間；保存至登出、撤回同意或移除 App 即刪除。
• 待驗證電子郵件：您使用 Email 登入連結時，自寄出連結至完成登入之間， App 需暫存您輸入的電子郵件以比對信箱。以加密方式保管（iOS Keychain／Android EncryptedSharedPreferences），不以明文存放於偏好區； 保存至完成登入、登出、撤回同意或移除 App 即刪除。
• 使用者角色（家屬／照護人員）：用途為決定 App 啟動後顯示的功能範圍。 儲存位置同上；保存至登出或移除 App 即刪除。
• 生物辨識快速解鎖開關：僅為一個「是／否」的開關值，用途為決定啟動時是否要求 Face ID／指紋解鎖；我們不會儲存、也無法取得您的臉部或指紋特徵（該等生物特徵 全程由作業系統保管）。儲存位置同上；您關閉該功能後即不再用於解鎖， 本項於登出或移除 App 時刪除。
• 推播權杖（FCM token）：用途為讓伺服器能將安全告警送達本裝置。 儲存位置同上，並同步註冊於我們的伺服器； 登出時向伺服器註銷並刪除 App 保存的權杖副本； 作業系統／Firebase SDK 保管之推播識別碼最遲於撤回同意或移除 App 時刪除。
• 隱私權同意紀錄：包含您同意的政策版本與同意時間，用途為證明已取得同意， 並在政策改版時重新徵求同意。存放於 App 私有偏好區（App 專屬儲存空間，其他 App 無法讀取）； 撤回同意或移除 App 即刪除。
• 顯示偏好：深色模式、字級、語言等非個人識別之偏好設定，存放於 App 私有偏好區， 最遲於移除 App 時刪除。
• 離線通知確認佇列：您在離線時按下通知的「已處理」，App 會把該通知編號暫存於本機， 待恢復連線後自動重送。內容僅為後端產生之不透明通知識別碼， 不含姓名、生理數據或訊息內文；存放於 App 私有偏好區（其他 App 無法讀取）， 重送成功即移出佇列，最遲於移除 App 時刪除。
• 待上傳之照片暫存：您以相機拍攝或自相簿選取照片時，系統相片元件會在本機產生 一份供上傳用的複本，存放於 App 私有快取區（其他 App 無法讀取）； 上傳完成後 App 即主動刪除該複本，最遲於清除 App 快取或移除 App 時刪除。

拒絕與撤回同意

• 於首次啟動的同意頁選擇「不同意」時，App 不會進入登入流程、 不建立本機 session、不儲存上述任何項目， 亦不會初始化推播服務或產生推播權杖；畫面停留於說明頁，您可隨時關閉 App。 此時您將無法使用需登入之功能（生理數據查閱、位置與圍籬、告警通知等）。
• 已同意者可隨時於 App 撤回同意（家屬：設定 → 法律與隱私 → 隱私權同意紀錄； 照護人員：帳號 → 功能 → 隱私權同意紀錄）； 撤回後 App 會立即登出，刪除本機保存的登入權杖、更新權杖、Firebase 帳號驗證 session、 待驗證電子郵件、使用者角色、生物辨識快速解鎖開關與隱私權同意紀錄， 並向伺服器註銷推播權杖，回到同意頁。 五之一清單的最後三項（顯示偏好、離線通知確認佇列、待上傳之照片暫存） 不含任何個人識別資訊，未必於撤回當下一併清除， 其刪除時機以各該項所載為準（最遲於您清除 App 資料／快取或移除 App 時刪除）。
• 本政策改版時（「最後更新日期」變更），App 會重新徵求您的同意後才繼續使用。

六、您的權利

您可要求查詢、更正或刪除您的個人資料。請透過 winshareinc@gmail.com 或您的服務單位提出。 帳號刪除將一併移除或去識別化相關個人資料。

七、兒童隱私

本 App 非以兒童為對象，不會刻意蒐集兒童個人資料。

八、政策變更

本政策如有更新，將於本頁公告並更新「最後更新日期」。建議您不定期回訪本頁以了解最新內容。

九、聯絡我們

如對本政策有任何疑問，請聯絡：winshareinc@gmail.com。