退款、稅務與資料可攜
本文件定下收費之後的三項義務在 AquaLog 怎樣履行（#1505，ADR-015）。條款與私隱政策（#1512、#1490）的對應章節引用這裡，不各自改寫；救援相關的句子一律引用救援措辭，本文件只標出它們出現的位置。
先講一件決定全文語氣的事：營運方手上只有密文。 這令其中兩項義務的履行方式，與一般線上服務不同——不是做得比較少，而是由不同的一方去做。
一、退款
| 項目 | 規則 |
|---|---|
| 首次購買 | 14 日內無條件全額退款（ADR-015） |
| 之後的續訂 | 依付款供應商 Paddle 的退款政策處理 |
| 怎樣申請 | 寄電郵到支援信箱，或經 Paddle 寄出的收據連結。不需要說明理由 |
| 誰執行 | 營運方在 Paddle 後台退款並即時取消訂閱；Paddle 送出 subscription.canceled，工作區在下一個請求回到免費方案（見付款第四節） |
| 拒付 | 由 Paddle 處理，結果與退款相同 |
退款之後，資料會發生什麼
| 會發生的 | 不會發生的 |
|---|---|
| 共享魚缸回到免費額度：超出免費額度的新內容暫存在裝置上，騰出空間後再上傳 | 伺服器上的密文不會被刪除——任何一筆都不會 |
| 成員、裝置超過免費上限時，不能再邀請新成員或加入新裝置 | 已加入的成員與裝置不會被移除 |
| 每部裝置上的明文不會被碰到——它從來不歸我們管 |
「退款不刪資料」沒有期限，理由與欠費相同：營運方刪掉的，可能是使用者最後一份副本，而因為是密文，營運方連自己刪了什麼都不知道（ADR-015）。
二、稅務與發票
Paddle 是法律上的賣方（merchant of record）。 它計算、代收、申報銷售稅與增值稅，並開立發票與收據。
| 個資 | 誰收集 | 我們存不存 |
|---|---|---|
| 電郵（寄收據用） | Paddle，在它的付款頁 | 不存。D1 沒有欄位可放（資料分級「帳務紀錄」） |
| 國家／地區、部分地區的郵遞區號 | Paddle，計稅所需 | 不存 |
| 卡號或其他付款資料 | Paddle | 不存，也從未經過我們的伺服器 |
| 公司名稱、稅號（選填） | Paddle，只有要開公司發票時 | 不存 |
伺服器只存 Paddle 的不透明識別碼（customer id、subscription id）與訂閱狀態，並以每個工作區隨機的 billing_ref 與 Paddle 對應；Paddle 看不到工作區識別碼。這是 ADR-015 的帳務身分隔離：付款的人可以被找到，但他的帳務身分不會變成他的內容身分。 客服以付款電郵查工作區時，電郵當下向 Paddle 查詢，不寫入任何地方（營運後台第七節）。
三、資料可攜：由 App 完成
給監理機構的說明
一般線上服務的可攜義務，是「應使用者要求，由營運方匯出其資料」。AquaLog 的營運方做不到這一點，原因不是政策而是設計：
- 使用者的紀錄與相片，在離開他的裝置之前就以只有他的裝置持有的金鑰加密（ADR-011、ADR-016）。
- 伺服器保存的同步副本是密文。營運方沒有金鑰，無法把它轉成可讀的資料；交出密文，對使用者沒有任何用處。
- 所以，可攜由使用者自己的 App 完成：App 在裝置上直接匯出完整資料，不需要連網，也不需要營運方參與。
營運方因此承擔的義務是：確保 App 一直有一個可用、完整、格式公開的匯出功能。 格式見匯出格式：一個 ZIP 檔，內含全部紀錄（JSON）與全部相片原檔，任何能解 ZIP、讀 JSON 的軟體都能打開；另有給試算表用的 CSV。文件中的欄位清單由測試對照程式碼，格式改了而文件沒改，建置會失敗。
營運方能交出的，只有它手上有的：密文、時間、大小、裝置與工作區中繼資料、帳務狀態（ADR-016 第 5 項）。應要求時照實提供，並說明這些不是使用者內容的可讀副本。
四、「刪除我的帳戶」與「刪除我的資料」是兩件事
AquaLog 沒有帳號與密碼。所謂「帳戶」，在這裡是兩樣分開的東西：
| 使用者說 | 實際是什麼 | 怎樣做 |
|---|---|---|
| 「取消訂閱」 | Paddle 的訂閱 | 方案頁 →「管理訂閱」（擁有者）。共享魚缸回到免費方案，資料不動 |
| 「刪除我的付款資料」 | Paddle 的客戶紀錄 | 向 Paddle 提出（它是那份資料的控制者）。我們這邊只剩不透明識別碼，會在工作區刪除時一併刪除 |
| 「刪除這部裝置上的資料」 | 裝置上的 IndexedDB | 設定 → 備份、還原與資料管理 →「危險區」→「清除全部資料並重新開始」。只影響這一部裝置 |
| 「刪除伺服器上的全部資料」 | 共享魚缸的密文、金鑰信封、成員與裝置、帳務紀錄 | 只有擁有者，只能從 App 發起：同步設定 →「刪除伺服器上的全部資料」產生一個 7 日內有效的確認碼，連同工作區短碼寄到支援信箱；營運方輸入確認碼才會執行，並寄回一份刪除回執。有效的訂閱在刪除時即時取消。營運方不會在其他情況下刪除——欠費、退款、停權都不是理由（ADR-015、ADR-024） |
刪除之前要先說的一件事
使用者要求刪除伺服器上的全部資料，照辦——然後他的裝置掉了。 伺服器上已經沒有密文，救援碼也就沒有東西可以解開。
所以 App 在產生刪除確認碼之前，先顯示救援措辭第三節的 recovery.delete.serverCopy，一字不改；src/i18n/recoveryWording.test.ts 核對它與定稿逐字相同。
刪除密文刪不掉任何裝置上的明文。條款要寫明：「我們會刪除的」是伺服器上的副本；「仍然在你手上的」是每一部裝置上的資料與你匯出的備份。
五、與其他文件的關係
- 條款與私隱政策（#1512、#1490）引用本文件第一、二、三節的規則與第四節的表，不另寫一套。
- 救援相關的句子只引用救援措辭。
- 付款的技術路徑見付款；帳務紀錄的分級見資料分級。