隱私權政策

本政策說明 Nia 處理哪些資料、為了什麼目的、依據什麼法律基礎、保留多久，以及你能對這些資料做什麼。內容涵蓋 iPhone App 和本網站。若想看用白話文寫成、附具體例子的版本，請參閱你的資料會怎麼樣。

一、資料控管者是誰

資料處理的控管者是Nia，一家設立於西班牙的服務提供者，負責 iPhone App「Nia」。

如果對本政策或你的資料有任何疑問，聯絡信箱是：hola@niapersonal.com。我們會在收到後最多一個月內回覆，如果案件複雜，可再延長兩個月，並會在第一個月內通知你。

我們沒有指派資料保護長，因為本項資料處理不符合《歐盟一般資料保護規則》（GDPR）第 37 條所規定的任何情形：既沒有大規模、經常性且系統性地監控個人，也沒有大規模處理特殊類別資料。

二、先看摘要，再看細節

Nia 的大部分工作都在 iPhone 上完成。下表區分了絕不會離開裝置的資料，以及會傳送到伺服器的資料。文件的其餘部分會逐項說明。

三、處理哪些資料、為了什麼目的，以及依據什麼基礎

3.1　帳號資料，以及訪客帳號

你可以不提供任何資料就開始使用 Nia。訪客帳號使用 Firebase 的匿名功能：這是一個真實的帳號，有一組識別碼，你的對話、記憶和使用量都歸檔在這個識別碼底下，但不會附帶電子郵件、姓名或任何其他身分資訊。相對的代價，App 裡也寫得很清楚：沒有人能從另一支手機重新登入這個帳號，移除 App 就會結束它。這也是為什麼訪客帳號無法購買訂閱。

如果你之後用 Apple、Google 或電子郵件建立身分，這個身分會加到你原本的帳號上，識別碼不變，不會另外建立第二個帳號：你以訪客身分做過的事都還在。唯一的例外，是這組登入資訊已經屬於另一個帳號，這種情況下會登入原本那個既有帳號，訪客帳號則會變成孤兒帳號並被刪除。

要以具名身分使用 Nia，需要一個帳號。我們會保存一組使用者識別碼，以及你登入方式所對應的電子郵件地址：Apple、Google，或電子郵件加密碼。如果你使用「使用 Apple 登入」並選擇隱藏電子郵件，Nia 收到的只會是 Apple 產生的轉寄位址，絕不會是你真正的信箱。密碼（如果有的話）由 Firebase Authentication 用自己的加密方式保管：任何時候都不會以明文儲存，資料控管者也無法存取。

目的：驗證你的身分、維持登入狀態，以及把你的對話和訂閱與帳號連結。法律基礎：履行合約。

3.2　個人檔案資料

你可以自行選擇加上姓名、所在城市、偏好語言，以及一張參考照片，讓自己出現在 Nia 生成的影像裡。這些全部都是自願提供的，隨時可以在 App 裡刪除。

目的：個人化回覆內容，而照片則是用來生成畫面裡有你的影像。法律基礎：同意，你可以透過刪除資料來撤回同意。

3.3　你對話的內容

你要求的內容和 Nia 回覆的文字，會連同你的帳號一起保存，方便你之後查看。聽寫和喚醒詞的語音不會被錄下、不會被儲存，也不會被傳送：辨識是在裝置上完成的，離開 iPhone 的只有轉成文字的逐字稿。群組語音對講和會議的分辨說話者功能是例外，會在各自的段落說明。

這段文字會送給模型供應商用來生成回覆，同時送出的還有 Nia 對你的記憶、本地時間，以及在動作需要時，四捨五入後的位置。

目的：回覆你的要求，並保留歷史紀錄。法律基礎：履行合約。

3.4　附件檔案

你附加在訊息裡的檔案，只會為了回覆那一輪對話而送給模型供應商。不會被保留：對話儲存之前，內容會被替換成一行說明是什麼類型檔案的文字。上限是每則訊息四個檔案，每個檔案八百萬位元組（8 MB）。

目的：回覆那項具體的要求。法律基礎：履行合約。

3.5　記憶

在有記憶功能的方案裡，你明確要求 Nia 記住的內容會以可讀的文字儲存，因為語意搜尋是直接對這段文字本身計算的：加密過的記憶找不到，也就派不上用場。你可以在記憶畫面裡查看、搜尋、編輯和刪除每一則記憶，或是一次全部刪除。

當 Nia 偵測到你要存下的內容看起來像密碼、PIN 碼或存取金鑰時，什麼都不會儲存，並用兩個按鈕詢問你要怎麼處理。你的選擇會被保存下來，也能在「設定」裡更改。

目的：記住你要求記住的事。法律基礎：同意，你可以透過刪除記憶或關閉這項功能來撤回。

3.6　文件

你自願加入的文件，會送到模型供應商的索引服務，讓 Nia 能在回答時引用是哪個檔案的哪一頁。上限是每個帳號十份文件、二十百萬位元組（20 MB）。當你自己刪除，或刪除帳號時，這些文件就會被刪除。

目的：針對你自己的文件回答問題。法律基礎：同意。

3.7　位置

當一項動作需要時，像是搜尋附近地點、計算交通時間，或建立抵達某個地點時觸發的提醒事項，位置會透過 iOS 的服務在裝置上使用。送到伺服器的位置會四捨五入到大約一公里，這個精確度足以提供背景資訊，但不足以知道你確切在哪裡。

「一律允許」的定位權限，只有在你第一次建立需要依賴地點的提醒事項或例行工作時才會詢問，絕不會在註冊時詢問。

目的：執行需要依賴地點的動作。法律基礎：同意。

3.8　訂閱與付款

訂閱是透過你的 Apple 帳號訂立的。付款完全由 Apple 處理：Nia 看不到、收不到，也不會儲存你的銀行資料、信用卡或帳單地址。我們處理的是你的訂閱狀態、已訂閱的方案和續訂日期，這些資訊透過 Apple 和 RevenueCat 傳來，用來啟用你付費取得的功能。

目的：提供你所訂方案的存取權限，並套用其使用上限。法律基礎：履行合約。

3.9　診斷與使用資料

本 App 內建了 Google 的 Firebase Crashlytics 和 Firebase Analytics。

• Crashlytics 會在 App 意外關閉時收集當機報告：發生問題的程式碼位置、裝置型號、iOS 版本、App 版本，以及 Crashlytics 自己產生的一組安裝識別碼。它也會保存當機前最後幾項技術事件的紀錄。不包含你對話的文字內容、聯絡人姓名，或任何動作的內容。
• Analytics 只記錄四種產品事件，就只有這四種：一輪對話開始了，以及是透過什麼方式開始的；一個工具被執行了，以及結果如何；一輪對話失敗了，以及是什麼錯誤代碼；還有一筆購買完成了，以及是哪個方案。傳送的參數是固定的標籤和次數統計。你寫的文字、姓名，或你內容的任何識別碼，絕不會被傳送。

這些資料不會用於廣告，不會和其他 App 或網站的資料交叉比對，也不會被出售。系統的廣告識別碼（IDFA）在任何情況下都不會被收集。

目的：偵測並修正錯誤，並了解哪些功能被使用，以決定要改善什麼。法律基礎：出於維護服務穩定並持續改善的正當利益，並已與你的權利進行衡量：這些資料是最小化的，光靠它們無法識別出你是誰，也不會用來建立你的側寫。

3.10　通知

如果你同意接收通知，我們會保存 Apple 為這個安裝所配發的權杖，以便透過 Firebase Cloud Messaging 和 Apple 的通知服務送達通知。用來通知你一件委託的結果、一項例行工作，或群組裡的活動。當你撤銷權限，或刪除帳號時，這組權杖就會被刪除。

目的：送達你要求的通知。法律基礎：同意。

3.11　群組

如果你建立或加入一個群組，伺服器會保存這個群組、它的成員、每個人在裡面發布的內容，以及誰回應了什麼，以便分發給其他成員。你的聯絡資訊不會參與其中：邀請某個人靠的是一組一次性代碼，Nia 會把它寫進 WhatsApp 或訊息裡，聯絡人的資訊是在你的手機上找出來的。

群組裡沒有端對端加密，群組畫面上也寫著這件事。之所以沒有，是因為伺服器必須分發內容、在被檢舉時進行審核，並執行被要求的事。請把群組當成它真正的樣子看待：一個與你邀請的人共享的空間。

目的：提供群組功能。法律基礎：履行合約，你發布的內容則依據同意。

3.14　群組語音對講

當你開啟群組語音對講並按住說話時，你的聲音確實會離開你的 iPhone：它會以加密方式傳輸到我們的伺服器，再由伺服器分發給那個群組裡已經開啟自己收聽功能的人。這個第一版沒有端對端加密，我們把話說清楚：伺服器會讓音訊經過記憶體，才能分發出去。

如果沒有人自己開啟收聽功能，就不會有人聽到你，而且收聽是有結束時間的一輪，沒有人能替你開啟。開啟功能時，會在你第一次傳送前徵求你的同意，並記錄日期。

一則語音訊息會在伺服器的記憶體裡留存大約三十秒，這段時間剛好足夠讓睡著的人收到，也讓騰不出手的人能回頭聽一次，之後就會消失。沒有歷史紀錄，也不會永久保存。如果有人檢舉一則訊息，我們就會保留該錄音三十天，以便在 App Store 規則要求的二十四小時內審查並處理這個檢舉。這是唯一的例外，而且不會因為被檢舉的人刪除帳號而一併刪除：一筆因為有人投訴而存在的紀錄，不能由被投訴的人自己刪掉。

我們絕不會用聲音辨識你的身分。我們知道是誰在說話，是因為對方已經登入，而不是因為我們分析了他的聲音：這裡沒有生物特徵資料的處理。

目的：提供群組語音對講功能，並審核被檢舉的內容。法律基礎：履行合約和你的同意；至於被檢舉的錄音，則是基於處理濫用檢舉並遵守商店規則的正當利益。

3.12　你連接的第三方帳號

如果你連接了 Google 帳號，Nia 會收到一組存取權杖，附帶你授予的具體權限，並只用來讀取或寫入被要求的動作所需要的內容：讀取和寄送 Gmail 郵件、讀寫 Google Calendar、搜尋 Google Drive。這組權杖會加密存放在伺服器上，不會與任何人分享，並在你取消連接該帳號或刪除自己的帳號時銷毀。每一項權限都是分開授予的，你也可以在 Google 帳號的安全設定裡個別撤銷。

目的：執行你對這些服務提出的要求。法律基礎：同意。

3.13　絕不會離開 iPhone 的資料

以下資料只會透過 iOS 的框架在裝置上處理，Nia 的伺服器在任何時候都無法存取這些資料：

• 你的聯絡資訊。在手機上讀取，用來找出你要打給誰或傳訊息給誰。不會上傳到任何伺服器，就算轉成代碼或摘要也不會。
• 你行事曆和提醒事項的內容，除了你要求建立或查詢的特定事件之外；如果你連接了 Google Calendar，則由該服務負責回應。
• 你的照片。只有在你要求編輯時，Nia 才會讀取最後一張照片或你指定的那張，並把它生成的內容存進「Nia」相簿。
• 你的 Apple Health 資料。
• 你會議的語音。逐字稿是在裝置上完成的。唯一的例外是分辨說話者功能，它確實會把語音送到伺服器，但這項功能需要另外徵求同意，你也可以拒絕。
• 你掃描的收據照片。商家、日期、總金額和明細，都是用 Vision 框架在裝置上擷取的。
• 聽寫和喚醒詞的語音。群組語音對講是例外，有自己獨立的段落，也就是 3.14。
• Nia Studio 的遮罩，也就是把人物或物件從背景分離出來的去背結果。
• 你的精確位置。

四、系統權限，一項一項來

Nia 不會在註冊時要求權限。每一項權限都是在動作第一次需要時才會詢問，並附上說明，而且都能隨時在 iOS 的「設定」裡撤銷。如果你撤銷了某一項，App 會用剩下的權限繼續運作，並告訴你哪個具體的動作已經無法完成。

五、健康資料

健康資料屬於特殊類別的個人資料（GDPR 第 9 條），會受到另外的處理方式：

• 只會在裝置上讀取和寫入，透過 HealthKit，並依據你在健康 App 裡逐項授予的明確同意。
• 絕不會傳送到 Nia 的伺服器，也不會傳給任何第三方。回覆裡可能出現的，只有你要求聽到的那個具體數字。
• 絕不會用於廣告、行銷、建立側寫或資料探勘，也不會出售或轉讓給資料仲介。
• 不會儲存在 iCloud 或任何雲端儲存服務裡。
• Nia 不是醫療產品，也無法取代專業人士的判斷。

六、資料處理的法律基礎

• 履行合約（GDPR 第 6.1(b) 條）：回應你的要求、保留你的對話、套用你方案的使用上限，以及提供你訂閱的服務。
• 同意（第 6.1(a) 條）：系統權限、連接第三方帳號、記憶、文件和個人檔案。這些都是需要時才逐一詢問，並可以隨時撤回，且不影響先前處理行為的合法性。
• 明確同意（第 9.2(a) 條）：適用於健康資料。
• 正當利益（第 6.1(f) 條）：服務安全性、防止濫用與詐騙、修正錯誤，以及理解整體使用狀況。每一種情況都已經與你的權利進行過衡量，並選擇了最小化的資料。
• 法律義務（第 6.1(c) 條）：依適用法規保留帳務紀錄。

我們不會做出會對你產生法律效力，或以類似重大方式影響你的自動化決策，符合 GDPR 第 22 條的意義。

七、資料會分享給誰

Nia 仰賴以下這些資料處理者，每一個都簽有合約，要求他們只能依照我們的指示處理資料：

Nia 不會出售你的資料、不會為了廣告目的轉讓資料、不會與資料仲介分享資料，也不會用來訓練人工智慧模型。除了上面列出的資料處理者之外，你的資料只會在主管機關依法要求時，才會被提供給第三方。

八、跨國資料傳輸

上述供應商可能會在歐洲經濟區以外處理資料，主要是在美國。這種情況下，資料傳輸依據歐盟執委會核准的標準合約條款，如果供應商已通過認證，還會依據歐盟與美國之間的資料隱私架構，並輔以安全性段落所描述的技術補充措施。你可以寫信到 hola@niapersonal.com 索取這些保障措施的副本。

九、保留多久

刪除帳號時，伺服器上的上述所有內容都會被刪除，除了法律義務要求保留的部分、與你身分無關聯的當機報告，以及被檢舉、還在三十天保留期限內的語音對講錄音。這項例外是為了讓我們能處理檢舉，而且群組成員無法存取這筆錄音。

十、你的權利

你可以隨時行使查閱、更正、刪除、限制處理、反對和可攜等權利，也可以撤回你給過的同意。其中兩項就在 App 裡，不用寫信給任何人，也不用等待：

• 可攜權和查閱權：在「設定」的「帳號」裡，「匯出我的資料」會產生一個機器可讀格式的檔案，裡面有你的對話、記憶、例行工作和技能。
• 刪除權：在「設定」的「帳號」裡，「刪除帳號」會刪除伺服器上的資料並登出。刪除是永久性的，不需要事先核准。

至於其他權利，或如果你希望以書面方式行使，請寫信到 hola@niapersonal.com，並說明你要行使的是哪一項權利。如果對提出請求的人是誰有合理疑慮，我們可能會要求你提供身分證明。

如果你認為資料處理方式不符合規定，可以向西班牙資料保護局（aepd.es，地址 calle Jorge Juan 6, 28001 Madrid）提出申訴，或向你居住國的資料保護主管機關申訴。

十一、未成年人

Nia 的服務對象不包括十四歲以下的未成年人，我們也不會刻意收集這個年齡以下的個人資料。根據西班牙第 3/2018 號組織法，十四歲是未成年人自己同意即可生效的年齡門檻。如果我們發現一個十四歲以下未成年人的帳號，會連同其資料一併刪除。如果你是家長或監護人，並認為受你照顧的未成年人建立了帳號，請寫信到 hola@niapersonal.com，我們會直接處理，不需要其他手續。

十二、安全性

依照 GDPR 第 32 條的規定，我們採取的技術與組織措施如下：

• 傳輸中加密：App、伺服器和供應商之間的所有通訊，都透過帶有 TLS 的 HTTPS 傳輸。App 不接受未加密的連線。
• 靜態加密：雲端供應商的儲存系統會對磁碟上的資料加密。
• 執行檔內沒有任何憑證：App 裡不含任何人工智慧供應商的金鑰。整個系統只有伺服器保管這些金鑰，這代表就算把執行檔取出來分析，也存取不到任何東西。
• 完整性檢查：每一個送到伺服器的請求，都會附上一份 App Check 憑證，因此不是來自真正 App 的請求會被拒絕。
• 存取控制：每個請求都需要一組有效的登入權杖，資料庫規則也禁止一個帳號讀取或寫入另一個帳號的資料。
• 資料最小化：位置在離開裝置前就會四捨五入，附件不會被永久保留，使用事件也不帶有內容。
• 裝置隔離：能在 iPhone 上完成的事，就在 iPhone 上完成，這是所有安全措施裡最有效的一項。

沒有任何系統是絕對安全的。如果發生對你的權利和自由構成風險的安全漏洞，我們會依照 GDPR 第 33 條的規定，在七十二小時內通知西班牙資料保護局；如果風險屬於高風險，也會依照第 34 條的規定，在不無故拖延的情況下通知你。

十三、人工智慧

Nia 運作在 Google 代管的一個大型語言模型之上。有三件事值得說清楚：

• 你在跟一套自動化系統對話，不是跟真人對話。App 的介面裡也會標示這一點。
• 模型可能會出錯。在確認它做的事沒問題之前，請先檢查，尤其是有後續影響的決定：已寄出的郵件、涉及其他人的事件、健康資料或支出。iOS 不允許 App 完成的動作，記錄在iOS 不允許的事裡，Nia 也會直接說明，不會假裝動作已經完成。
• 你的資料不會用來訓練模型。我們自己的模型不會，供應商的模型也不會。你傳送的內容，只會為了回應那項請求而被處理，僅此而已。

Nia 生成的影像和影片，都是人工智慧系統建立的合成內容。如果你要發布或分享，法規要求的話，標示這是合成內容的責任在你身上。

十四、廣告與追蹤

Nia 不顯示廣告、不進行 Apple 透明度框架定義下的追蹤，也不內建任何廣告聯播網，或任何用於廣告目的的第三方測量工具。

• 不會收集裝置的廣告識別碼（IDFA），因此 App 不會顯示系統的追蹤授權請求。
• 你的資料不會與其他公司的 App 或網站資料合併。
• 你的資料不會被出售、出租，或轉讓給資料仲介。
• 本 App 附帶的隱私權清單，將 NSPrivacyTracking 宣告為 false，也沒有宣告任何追蹤網域。

十五、本網站

本網站是靜態的，以檔案形式提供服務：不使用 cookie，不內建分析工具，不載入第三方字型或資源，也不會對造訪者建立側寫。它在你瀏覽器裡儲存的唯一東西，是你選擇的淺色或深色模式這項本機偏好設定，這項設定不會傳送到任何地方，清除網站資料時就會消失。託管服務供應商會在自己的技術紀錄裡記錄請求，目的是為了維運和保護服務。

十六、App Store 的隱私權標籤

Apple 會在 App 頁面旁公布一份資料處理摘要。下表列出這份標籤所宣告的內容，與本政策說明內容之間的對應關係，方便你確認兩者內容一致。

十七、與其他文件的關係

本政策與另外兩份文件並存：使用條款說明服務內容、方案和訂閱條件；使用授權則規範使用本 App 的權利。如果對個人資料處理的規定有所牴觸，以本政策為準。

十八、本政策的變更

如果有重大變更，標題處的日期會更新，並會在變更生效前於 App 內通知你。當變更影響到依據你同意而進行的處理時，我們會再次徵求你的同意。如果有人來信索取舊版本，我們會寄到 hola@niapersonal.com 提供。