AquaLog 服務條款

本條款描述 AquaLog 實際怎樣運作，以及我們做得到、做不到、與選擇不做的事。它與架構文件、救援措辭、退款、稅務與資料可攜一致；三者與本條款有任何不一致，以較嚴格的一方為準，並修正較寬鬆的一方。標示為引用的句子與 App 內的文字逐字相同，由 src/i18n/termsConsistency.test.ts 核對。

1. 服務是什麼

AquaLog 是記錄魚缸的 App。它在你的裝置上運作，不需要帳號，也不需要連網。選擇開啟「共享魚缸」之後，你的紀錄與相片會在離開裝置之前加密，經我們的伺服器在你授權的裝置之間同步。

2. 你的資料在哪裡

• 你的裝置上：全部紀錄、相片與設定的明文。那份資料由你掌控，我們碰不到。
• 我們的伺服器上（只在開啟共享魚缸時）：密文，以及同步所需的中繼資料。我們沒有解開密文的金鑰。伺服器看得到哪些中繼資料，見私隱政策。

3. 資料復原

救援碼遺失，而且沒有任何一部已授權裝置倖存時，資料任何人都救不回來，包括我們。只要還有一部已授權裝置，就救得回來。

付費方案不改變這一點：

付費不會改變這件事：遺失救援碼與全部裝置，資料就無法復原。我們也救不回來——我們從來沒有能力讀取它。

當你只剩一部裝置、而且沒有確認保存的救援碼時，App 會對你說：

這是你僅有的一份。再失去這部裝置，資料就無法復原。現在就產生救援碼。

救援碼是鑰匙，不是資料的副本。保管它是你的責任；App 會引導你確認保存，並在救回路徑減少時提醒你，但沒有任何人能在你遺失它之後替你重設。

4. 我們做不到的，與我們選擇不做的

這兩種「不」性質不同，我們分開寫。

做不到（由加密決定，任何人要求都改變不了）：

1. 讀取或顯示你的任何紀錄、相片的內容。
2. 在你遺失救援碼與全部裝置之後救回資料，或替你重設金鑰或救援碼。
3. 應任何要求交出你資料的明文。我們能交出的只有手上有的：密文、時間、大小、裝置與工作區中繼資料，以及帳務狀態。

選擇不做（技術上做得到，我們承諾不做；每一次例外都留下紀錄）：

1. 冒充你登入，或以你的身分寫入或撤銷裝置。
2. 改動共享魚缸成員的角色，或移除成員與裝置。
3. 未經擁有者在 App 內確認就刪除你的密文——欠費、退款、停權都不是理由。
4. 以付款電郵登入、驗證身分或救援資料。
5. 修改或刪除營運動作的紀錄。

營運方後台只看得到帳務、用量與計數，看不到任何紀錄或相片，也看不到裝置名稱。

5. 共享魚缸的成員與分享

• 任何成員，不論角色，都看得到整個共享魚缸的紀錄。
• 撤銷或降權之後，他不能再收到新的紀錄，也不能再改動；但他已經下載到手的資料，我們收不回來。
• 代養交接以連結送出，內容在連結本身，不經我們的伺服器。送出去的交接，任何人在任何時候都收不回。按下分享之前，App 會講明這一點。

6. 付費方案

• 付費方案以共享魚缸為單位，由擁有者購買。Paddle 是法律上的賣方，負責收款、稅務與發票。
• 付費買到的是伺服器上的容量：紀錄與相片的空間、成員與裝置的數量、AI 解說的次數。它不買到救援（第 3 節）。
• 首次購買 14 日內，無條件全額退款。退款或取消後，共享魚缸回到免費額度，伺服器上的資料一筆都不會刪除。
• 付款失敗時，VIP 保留 30 日，期間 Paddle 會重試扣款；之後回到免費額度，資料一筆都不會刪除。
• 超出免費額度時，新的內容會先留在裝置上，騰出空間或升級後再上傳；已有的資料照常保留、照常下載。
• 詳細規則見退款、稅務與資料可攜。

7. 刪除

• 這部裝置上的資料：在 App 內清除，只影響那一部裝置。
• 伺服器上的全部資料：只有擁有者，只能從 App 發起，並輸入確認碼。刪除之前，App 會先顯示：

刪除之後，伺服器上就沒有這個共享魚缸的副本。之後再失去全部裝置，資料就無法復原。我們也救不回來——我們從來沒有能力讀取它。

我們會刪除的，是伺服器上的副本；仍然在你手上的，是每一部裝置上的資料與你匯出的檔案。

8. 資料可攜

因為我們手上只有密文，你的資料由 App 直接匯出：完整備份是一個 ZIP 檔，內含全部紀錄（JSON）與全部相片原檔，格式公開，見匯出格式。我們的責任是讓這個匯出功能一直可用、完整。

9. 條款的變更

條款改動時，App 內會顯示改動的條文與生效日期。任何改動都不會讓第 3、4 節的承諾變得比現在寬鬆而不事先告知；而第 4 節「做不到」的三項，是加密的性質，不是條款能改的事。

10. 聯絡

支援信箱寫在 App 的「設定」內。我們回覆每一封信，但請記得第 3 節：我們看不到你的資料，也救不回遺失救援碼與全部裝置的資料。