AquaLog 私隱政策
本政策逐項列出我們的伺服器知道你什麼、為什麼、保留多久。它與服務條款、資料分級一致；有不一致時以較嚴格的一方為準。
1. 不開共享魚缸時
AquaLog 在你的裝置上運作。不開啟共享魚缸、不開啟提醒推播、不使用 AI 輔助時，沒有任何你的資料離開裝置。我們不使用第三方分析、廣告或追蹤器。
2. 我們看不到的
你的紀錄與相片的內容。開啟共享魚缸後，它們在離開裝置之前以只有你的裝置持有的金鑰加密；伺服器只保存密文，我們沒有解開它的金鑰（服務條款第 4 節）。裝置名稱存在伺服器上，但營運方後台不顯示它。
3. 伺服器上有什麼
| 功能 | 伺服器保存的 | 保留多久 |
|---|---|---|
| 共享魚缸 | 紀錄與相片的密文；同步所需的中繼資料（實體類型、識別碼、修訂號、裝置識別碼、時間、大小）；裝置與成員清單；救援信封（密文） | 到擁有者在 App 內刪除共享魚缸為止。已刪除的相片密文在所有裝置確認後 30 日清理 |
| 同步活動紀錄 | 每一次配對、加入、撤銷等動作的類別與時間（sync_audit_events），不含內容 | 到共享魚缸刪除為止 |
| 限流 | 以不可逆摘要表示的連線位址，與它在一個時間窗內的請求次數 | 24 小時 |
| 限流統計 | 每 15 分鐘、每類請求的計數，不含任何識別 | 90 日 |
| 付費 | Paddle 的不透明客戶與訂閱識別碼、訂閱狀態、本期結束日、欠費寬限期限、隨機的帳務參照；付款事件的類型、時間與處理結果 | 到共享魚缸刪除為止 |
| 營運動作紀錄 | 營運方的電郵、動作、工作區識別碼、前後的方案或額度數字、理由 | 永久，只能追加（服務條款第 4 節「不做」第 5 項） |
| 提醒推播 | 匿名安裝識別、推播訂閱、提醒類型、到期時間與狀態、不透明提醒識別。不含魚名、植物名、設備名、價錢、水質、備註或相片 | 見第 5 節 |
付款人的姓名、電郵、國家、地址與卡號不在我們的伺服器上——由 Paddle 收集與保存（退款、稅務與資料可攜第二節）。客服以付款電郵查詢時，電郵當下向 Paddle 查詢，不寫入任何地方。
4. 離開裝置的其他情況
- AI 分析解釋：只送出 App 已在本機算好的分析報告摘要，不送魚缸紀錄、相片或識別碼。
- AI 相片比對：送出兩張相片本體。這是相片唯一離開裝置的情況，而且必須由你逐次主動要求。
- 品種相片：只送出物種名稱，向公開圖庫查詢。
- 代養交接：內容在你分享出去的連結本身，不經我們的伺服器；送出之後，任何人在任何時候都收不回。
5. 伺服器眼中的你：逐項清單
App 的「設定 → 伺服器眼中的你」顯示同一份清單，並在旁邊標出你的實際數值。這份清單逐欄涵蓋伺服器上的每一個欄位；伺服器多存一欄而不在清單上，建置就會失敗。
伺服器看得到
- 有一個共享魚缸、它的方案與額度、建立與最後更新時間
- 每一次寫入的類型、識別碼、修訂號、大小與時間
- 有哪些裝置、裝置的名字（你自己取的），以及各自什麼時候同步
- 有幾位成員、各自的角色與加入時間（不含名字）
- 配對、加入、撤銷等動作的類別與時間
- 你的連線位址：只存不可逆的雜湊，用來限流，24 小時後刪除
- 若有訂閱：Paddle 的識別碼、訂閱狀態與期限（沒有姓名、電郵或卡號）
- 每個月用了幾次 AI 解說（不含問了什麼）
- 營運方對這個共享魚缸做過的每一個動作與理由
- 若開了提醒推播：提醒的類別與到期時間，以及送出結果
伺服器存著但讀不懂，或根本沒有
- 你的紀錄與相片：存的是密文，金鑰只在你的裝置
- 魚缸、魚、水草的名字，水質數字、價錢與備註
- 提醒的標題
- 你的救援碼與金鑰：伺服器只有密文信封、雜湊與公鑰
開啟「指派通知」會多看到
- 哪個通知安裝屬於這個共享魚缸，以及是哪位成員
指派通知預設關閉。開啟之後伺服器多知道的不是內容，是歸屬：我們看不到內容，我們知道哪些裝置會一起被叫醒。指派通知送出的推播不含工作區、成員、指派人或類別。關閉時，伺服器上的那一列被刪除，不是標記為停用。
保留期限
| 資料 | 保留多久 |
|---|---|
| 推播送出紀錄 | 30 日 |
| 限流用的連線位址雜湊 | 24 小時 |
| 限流統計 | 90 日 |
| 指派通知的關聯 | 到你關閉指派通知為止；關閉即刪除 |
| 提醒排程（類別與到期時間） | 送出、取消或放棄重試後，到期時間與最後變更都超過 30 日即刪除 |
| 已撤銷的通知安裝（連同推播訂閱與排程） | 撤銷後 30 日 |
| 其餘共享魚缸資料、帳務與營運紀錄 | 見第 3 節 |