家庭記帳 隱私權政策
最後更新：2026-10-31
1. 這份政策適用哪些服務
- 家庭記帳網頁版
https://bookkeeper-8nf.pages.dev（含「小小理財家」家長頁）。 - 家庭記帳 Android App（Google Play，套件名稱
com.denovortho.bookkeeper），與網頁版使用同一個帳本與伺服器。 - 小小理財家孩子頁
https://bookkeeper-api.tom-e31.workers.dev/k/<代號>（孩子用手錶或手機開的記帳頁）。
2. 誰負責你的資料
資料控制者：谷盺生物科技股份有限公司
聯絡方式：service@denovortho.com。查詢、閱覽或製給複製本的請求，我們會在 15 天內回覆；更正、補充、停止處理或刪除的請求，30 天內回覆。必要時依法延長一次，並以書面告訴你原因。
3. 我們蒐集哪些資料
| 類別 | 內容 | 誰輸入 | 存在哪 |
|---|---|---|---|
| 家庭與成員 | 家庭名稱、邀請碼、成員名稱／顏色／頭像字、PIN（只存加鹽雜湊，不存明碼） | 家長 | 伺服器資料庫 |
| 記帳資料 | 金額、幣別、分類與子分類、說明、日期時間、記錄者、付款方式、標籤、房產標記、定期交易規則 | 家庭成員 | 伺服器資料庫 |
| 小小理財家 | 孩子的顯示名稱、頭像、孩子記的收支、零用錢規則、存錢目標、徽章、每週檢視、對帳紀錄、孩子連結的 token（只存雜湊）與連結最後一次使用的時間（家長頁用來顯示孩子是否已開始使用） | 家長建立；孩子記帳 | 伺服器資料庫 |
| 推播 | 瀏覽器推播訂閱（推播端點、兩把加密金鑰）、對應成員 | 你開啟推播時 | 伺服器資料庫 |
| 登入防護 | 登入失敗次數與鎖定時間（以家庭或邀請碼為鍵）；建立家庭、購買綁定等操作以 IP 位址計次（IPv6 只記到 /64 網段），每次計數 1 小時有效 | 系統 | 伺服器資料庫；每日清除過期列 |
| 方案狀態 | 試用或方案、狀態、到期日；觀察期間記錄哪些功能在收費後會被擋下（以家庭為單位計次，目前不限制任何功能） | 系統 | 伺服器資料庫 |
| 使用統計 | 網頁版的頁面瀏覽等基本統計（Cloudflare Web Analytics）；Android App 不載入 | 自動 | Cloudflare |
| 你的裝置本機 | 登入權杖、家庭代號、備註歷史、上次分類、幣別偏好、離線開啟用的表單快取（分類、標籤、成員、付款方式）（瀏覽器或 App 的 localStorage）；離線記帳佇列（IndexedDB）；API 回應快取（網頁版的 Service Worker，最多 50 筆、24 小時）；孩子頁的連結 token（sessionStorage，分頁關閉即清） | 自動 | 只在你的裝置 |
建立家庭需要家庭名稱與 6 位數以上的 PIN，不提供就無法建立家庭；推播與小小理財家是選用功能，不開啟不影響記帳。
記帳不需要電子郵件；你寄信給我們時，我們會收到你的信箱，只用來回覆與處理你的請求。我們不蒐集：電話、定位、通訊錄、照片、裝置識別碼。沒有廣告、沒有廣告 SDK、沒有跨網站追蹤。
Cloudflare Web Analytics 的說明：「Cloudflare Web Analytics does not use any client-side state, such as cookies or localStorage, to collect usage metrics.」「We also don't "fingerprint" individuals via their IP address, User Agent string, or any other data」。
4. 我們怎麼用這些資料
- 提供記帳、家庭共用、報表、定期交易自動產生。
- 你開啟時才發送推播提醒。
- 小小理財家的經驗值、徽章、每週檢視。
- 判斷試用與方案狀態（目前只記錄，不限制功能）。
- 我們不販售、不交換、不用於廣告。
5. 資料存在哪裡、放多久
- 伺服器在 Cloudflare（Workers、D1 資料庫、Pages）。資料庫目前運行於 Cloudflare 的 APAC（亞太）區域。這是目前所在位置，不是資料駐留承諾；Cloudflare 可能依其營運調整。
- 帳本資料保存到你刪除為止（刪除方式見第 7 條）。
- 備份：Cloudflare D1 的時間點備份（Time Travel）永遠開啟，可回溯 7 天（Workers Free）或 30 天（Workers Paid），以 Cloudflare 當時方案為準。你刪除後，備份裡的副本在這段期限內仍存在，到期自動消失。
- 伺服器紀錄： 本服務的設定檔未啟用 Workers Logs 的持久儲存；若啟用，Cloudflare 保留 3 天（Free）或 7 天（Paid），以 Cloudflare 當時方案為準。Cloudflare 平台的請求紀錄會含完整網址。
- 你裝置上的本機資料：網頁版清除瀏覽器網站資料即可移除；Android App 在系統設定清除 App 儲存空間或解除安裝即可移除。登出會清除登入權杖；「切換家庭」會再清除家庭代號、上次分類、幣別偏好與表單快取。Android App 已關閉雲端備份；換新手機時，部分機型的裝置轉移仍可能把 App 資料一起搬到新手機。
6. 誰會接觸到你的資料（第三方）
會經手你資料的第三方：
- Cloudflare（主機、資料庫、網頁託管、使用統計）。
- 瀏覽器推播服務（Apple、Google、Mozilla、Microsoft 的推播伺服器）：你開啟推播時，負責把通知送到你的裝置；通知內容經過加密，推播服務只會用到傳送所需的訂閱位址。
- 匯率 API（open.er-api.com）：記外幣交易時由伺服器查詢，只送幣別代碼。
- jsDelivr（網頁版與 Android App 從這個 CDN 載入圖表程式庫 Chart.js；它會收到你的 IP 位址與瀏覽器資訊）。
政府機關或法院依法要求時，我們會依法提供。
7. 你的權利與怎麼操作
你可以依個人資料保護法，請求查詢或閱覽、製給複製本、補充或更正、停止蒐集處理或利用、刪除你的個人資料；請用第 2 條的聯絡方式申請。
- 查看與匯出：網頁版可匯出每月 CSV；Android App 目前還不能匯出，請改用網頁版，或用第 2 條的聯絡方式申請。
- 更正：交易、分類、付款方式、定期規則、家庭名稱、大人成員、孩子的零用錢規則可在 App 內直接修改；孩子的名稱、頭像與孩子記的收支，請用第 2 條的聯絡方式申請更正。
- 刪除整個家庭與全部資料：目前請用第 2 條的聯絡方式申請，我們會在 30 天內刪除伺服器上這個家庭的全部資料並回覆你；備份依第 5 條到期消失。App 內的一鍵刪除功能正在加入。
- 停用單一成員或孩子檔案：家長在 App 內停用。停用後原有記帳仍保留；要刪除，請用第 2 條的聯絡方式申請。
- 關閉推播：裝置系統設定或 App 設定頁。
- 撤回同意：刪除家庭即撤回全部同意。
- 法律依據：個人資料保護法。
8. 兒童的資料
- 帳號由家長建立並控制；孩子沒有自己的帳號，只有家長產生的記帳連結。
- 孩子頁只蒐集孩子記下的收支（金額、分類、付款方式、備註）與遊戲化紀錄（經驗值、徽章、對帳），以及連結最後一次使用的時間（家長頁用來顯示孩子是否已開始使用）。
- 我們不向孩子蒐集電子郵件、電話、定位、照片。
- 家長可以隨時停用孩子的連結、調整孩子的零用錢規則；停用後孩子記過的收支仍保留，要刪除請用第 2 條的聯絡方式申請。
9. 安全
- PIN 以 PBKDF2 加鹽雜湊儲存；伺服器只存孩子連結 token 的 SHA-256 雜湊；全程 HTTPS。
- 每個家庭的資料以家庭代號分隔；跨家庭的檢查我們持續補強。
- 登入連續失敗會暫時鎖定（15 分鐘）。登入權杖 90 天到期，需重新輸入 PIN。
10. 政策變更
重大變更會在 App 內公告並更新本頁日期。