隱私權政策
熱量君 CaloKun（iOS 與 Android 版）
生效日期：2026 年 10 月 30 日
簡單說：
- 你的身體資料、飲食記錄、體重記錄、生理期記錄，以及從「Apple 健康」或「Health Connect」讀到的運動、體重、經期資料，只存在你的手機裡，不會上傳到我們的伺服器。
- 只有在你使用「AI 拍照辨識」時，餐點照片和你輸入的餐點名稱才會送出，交給 Google Gemini 估算熱量；我們不保存照片。餐點名稱、AI 的估算結果和你最後存下的數字會保存下來，用來改善辨識準確度（可在設定關閉）。
- App 會記錄你用了哪些功能（例如拍照辨識、記錄方式、訂閱頁），用來改善 App；不包含體重、飲食內容、經期、照片。可在「設定 → 提供使用資料」關閉。
- 不需要註冊帳號，也不賣你的資料。
- 免費版會顯示 Google AdMob 廣告；只有在你同意時才會用廣告識別碼顯示個人化廣告。Pro 會員完全沒有廣告。
一、我們處理哪些資料、存在哪裡
| 資料 | 用途 | 存放位置 |
|---|
| 性別、年齡、身高、體重、工作型態、運動類型、目標與目標體重 | 計算每日熱量與營養目標 | 只在你的手機 |
| 飲食記錄、體重記錄、運動記錄、自訂食物、餐點照片 | 顯示你的記錄與進度 | 只在你的手機 |
| Apple 健康的體能訓練資料（僅 iOS，需你同意） | 把運動消耗的熱量加回每日額度 | 只在你的手機（詳見第二節） |
| Apple 健康（iOS）或 Health Connect（Android）的體重、體脂率資料（需你同意） | 自動更新你的體重、體脂記錄與進度 | 只在你的手機（詳見第二節） |
| 生理期記錄（你自己記的，或在你同意後從 Apple 健康／Health Connect 讀到的經期；只有開啟生理期功能才有） | 預測下次經期、在月曆和體重圖上標出經期、經前與經期的小提示、你選擇開啟的提醒 | 只在你的手機（詳見第二節） |
| AI 辨識時送出的餐點照片、餐點名稱 | 估算熱量與營養 | 經我們的伺服器轉給 Google Gemini 分析；照片分析完不保存 |
| AI 辨識記錄：餐點名稱與選項、AI 的估算結果（菜名、份量、營養）、你最後存下的數字、是否有修改、匿名裝置識別碼、App 版本（不含照片） | 檢查 AI 準不準、改善辨識與食物資料庫 | 我們的伺服器（Cloudflare），最多保存 2 年；可在設定關閉（詳見第四節） |
| 使用資料：用了哪些功能、何時打開 App、訂閱頁的瀏覽與購買結果、匿名裝置識別碼、App 版本、系統版本、目標類型（不含體重、飲食內容、經期、照片） | 了解大家怎麼使用 App、改善功能 | PostHog（美國），最多保存 1 年；可在設定關閉（詳見第七節） |
| 匿名裝置識別碼 | 計算 AI 使用次數、確認訂閱狀態 | 我們的伺服器、RevenueCat |
| 帳號（只有你選擇用 Apple 或 Google 登入才有）：登入方式、Apple／Google 給的使用者編號與 Email、登入的裝置識別碼、登入送的次數、訂閱到期時間 | 讓登入送的次數和 Pro 在你換手機、重裝 App 後還在 | 我們的伺服器（Cloudflare），保存到你刪除帳號為止（詳見第五節之一） |
| 廣告識別碼（IDFA，需你在 iPhone 的追蹤詢問中允許）、裝置與網路資訊、廣告互動（僅免費版） | 顯示廣告、計算廣告成效、防止廣告詐欺 | Google AdMob（詳見第八節） |
| 「回報找不到的食物」內容（食物名稱、品牌、備註） | 補充食物資料庫 | 我們的伺服器，保存 180 天 |
二、Apple 健康（HealthKit）與 Health Connect 資料
iOS 版讀取「Apple 健康」，Android 版讀取「Health Connect」。兩者都只讀不寫。
什麼時候會讀取：只有在你到 App 的「設定 → 同步 Apple 健康」（Android：「設定 → 同步 Health Connect」）主動開啟，並在手機跳出的授權畫面中允許後，才會讀取。預設是關閉的。開啟後，每次打開 App、從背景切回 App，或你在「進度」頁按「更新」時，會讀取一次。
經期資料另外詢問：只有在你到「設定 → 生理期」開啟生理期功能、選擇「從 Apple 健康帶入」（Android：「從 Health Connect 帶入」），並在授權畫面中允許「月經／經期」後，才會讀取。沒有開啟的人，App 不會詢問、也不會讀取經期資料。
讀取哪些資料：
- 「健身」App、Apple Watch 或其他 App 記錄到 Apple 健康的體能訓練：運動種類（例如跑步、游泳）、日期、運動時間長度。
- 每次體能訓練消耗的活動能量（大卡）。
- 以上運動資料僅 iOS 版讀取，每次同步只讀取最近 14 天。
- 體重、體脂率（iOS 與 Android）：體脂計等 App（例如 OMRON connect、TANITA、小米、Withings）同步到 Apple 健康或 Health Connect 的數值、測量日期，以及寫入這筆資料的 App 名稱。每次同步讀取最近 90 天，每天只保留最後一次的數值。
- 經期（iOS 與 Android，需另外開啟）：有月經的日期、經血量（少／中／多），以及寫入這筆資料的 App 名稱。每次同步讀取最近 365 天。
我們不會讀取心率、睡眠、步數、BMI、排卵、性行為、懷孕、病歷等其他健康資料（BMI 由 App 用你的身高和體重自己計算），也不會寫入任何資料到 Apple 健康或 Health Connect。
用來做什麼：運動資料只用來把運動消耗的熱量加回你當天的熱量額度（加回一半、全部或不加回，由你在 App 中選擇），並在記錄頁顯示你的運動項目。體重、體脂率只用來更新你在 App 裡的體重記錄、目前體重、BMI 與進度圖表（同一天你手動輸入的會優先）。經期只用來預測下次經期、在月曆與體重圖上標示，以及顯示經前、經期的小提示（同一段時間你手動輸入的會優先）；不會用來改變你的每日熱量目標，也不會計算排卵日或安全期。
不會做的事：
- 健康資料只存在你的手機裡，不會上傳到我們的伺服器，也不會傳給 Google Gemini、RevenueCat 或任何第三方。
- 不會用於廣告、行銷、使用者分析或資料探勘，不會出售或出租。
- 不會存到 iCloud 雲端硬碟或其他雲端服務。（如果你開啟了 iPhone 本身的 iCloud 備份，整支手機的備份可能會包含本 App 的資料，這部分由 Apple 加密處理，我們無法讀取。）
怎麼停止或刪除：
- 在 App 的「設定 → 同步 Apple 健康」（Android：「同步 Health Connect」）關閉，App 就不會再讀取，已從 Apple 健康匯入的運動記錄也會一起從 App 刪除（你手動輸入的運動不受影響）。已帶入的體重、體脂記錄會保留在 App 裡當作你的體重歷史，你可以在「記錄體重」的歷史記錄中逐筆刪除。
- 在「設定 → 生理期」關閉「從 Apple 健康帶入」（Android：「從 Health Connect 帶入」），已帶入的經期記錄會從 App 刪除；按「刪除所有生理期記錄」會刪掉 App 裡全部的生理期記錄。Apple 健康或 Health Connect 裡的資料不會被動到。
- 也可以到 iPhone 的「設定 → 健康 → 資料取用與裝置 → 熱量君」，或 Android 的「設定 → Health Connect → App 權限 → 熱量君」關閉所有權限。
- 也可以用 App 的「設定 → 清除所有資料」，或直接刪除 App，刪除手機裡的全部資料。
三、身體資料與飲食記錄
你在新手引導和設定中輸入的性別、年齡、身高、體重、活動量與目標，以及每天的飲食、體重、運動記錄和餐點照片，都只存在你的手機裡，用來計算每日目標和顯示記錄。我們的伺服器沒有這些資料，也看不到。
四、AI 拍照辨識
使用 AI 拍照辨識時，會送出：
- 你拍攝或選擇的餐點照片（會先縮小）
- 你輸入的餐點名稱與選項（例如甜度、大小）
- 匿名裝置識別碼（只用來計算使用次數）
這些資料會先送到我們的伺服器（架設在 Cloudflare），再轉給 Google 的 Gemini API 分析，結果傳回你的手機。我們不保存照片。
為了檢查 AI 估得準不準、改善辨識，伺服器會保存這次的辨識記錄：你輸入的餐點名稱與選項、AI 估算的菜名、份量與營養、你最後存下的數字（或沒有存）、是否有修改、匿名裝置識別碼、App 版本、花了多久。辨識記錄不含照片，也不含你的身體資料或其他飲食記錄，最多保存 2 年後自動刪除。你可以在「設定 → 提供使用資料」關閉，關閉後新的辨識不會再被記錄。
Google 處理這些資料時適用 Gemini API 服務條款 與 Google 隱私權政策。我們使用付費版 Gemini API，依 Google 條款，送出的內容不會被用來訓練 Google 的 AI 模型。
送出的資料不包含你的身體資料、健康資料或飲食記錄。
五、裝置識別碼與訂閱
- App 第一次開啟時會產生一組隨機的識別碼，不包含你的姓名、Email、電話或手機序號，用來計算 AI 使用次數和確認你是否為 Pro 會員。
- 訂閱付款由 Apple App Store 或 Google Play 處理，我們拿不到你的付款資訊。
- 我們使用 RevenueCat 管理訂閱狀態，RevenueCat 會收到上述識別碼和購買記錄，適用 RevenueCat 隱私權政策。
五之一、帳號登入（選填）
不登入也能使用熱量君的所有功能。如果你選擇用 Apple 或 Google 登入：
- 我們會收到 Apple 或 Google 提供的使用者編號和 Email（用 Apple 登入並選擇「隱藏我的電子郵件」時，是 Apple 的轉寄信箱）。我們不會收到你的密碼。
- 伺服器會記下哪些裝置登入了你的帳號（最多 5 台）、登入送的次數還剩多少、帳號的訂閱到期時間，讓你換手機或重裝 App 後，登入同一個帳號就能繼續使用。
- 飲食、體重、身體資料、健康資料還是只存在你的手機，不會因為登入而上傳。
- 我們不會用這個 Email 寄行銷信，也不會提供給其他人。
- 你可以在「設定 → 帳號 → 刪除帳號」隨時刪除帳號，所有裝置會一起登出。用 Apple 登入的帳號，我們會同時通知 Apple 撤銷授權。為了避免重複領取，刪除後仍會保留「這個帳號（以無法還原的雜湊值）和這台裝置已經領過登入次數」的記錄。
Apple 登入適用 Apple 隱私權政策；Google 登入適用 Google 隱私權政策。
五之二、成就關卡
- 成就的進度在你的手機上計算。你按「領取」或轉轉盤時，App 會送出那一關的代號（例如「連續 7 天」「喝水 7 天」「達成目標體重」），伺服器記下領過哪幾關、送了幾次 AI 辨識和保護卡，避免重複領取。
- 為了確認「連續 N 天」和每週轉盤，伺服器會記下這台裝置哪幾天有打開 App（只有日期）。
- 不會送出體重、飲食、喝水量、熱量與營養數字；生理期不做成就。
- 這些記錄跟著匿名裝置識別碼（登入的話也記在帳號上）。為了避免重複領取，刪除帳號後「領過哪幾關」的記錄仍會保留，不含其他資料。
六、回報找不到的食物
如果你使用「回報找不到的食物」，你填寫的食物名稱、品牌、備註會連同裝置識別碼存在我們的伺服器，用來補充食物資料庫，180 天後自動刪除。請不要在備註中填寫個人資料。
七、使用分析
為了了解大家怎麼使用熱量君、哪裡需要改善，App 會把「做了什麼動作」送到 PostHog（美國的分析服務）。例如：打開 App、完成新手引導、按下拍照辨識與結果是否成功、用哪種方式記錄（拍照、搜尋資料庫、照營養標示填…）、搜尋資料庫找不到的字、看過訂閱頁與購買結果。
- 不會送出：體重、體脂率、喝水量、熱量與營養數字、生理期（任何生理期相關的動作都不送）、食物名稱、照片。唯一例外是「搜尋資料庫找不到」的搜尋字，用來補充食物資料庫。
- 識別方式：使用匿名裝置識別碼，不包含姓名、Email、電話；不使用廣告識別碼；不錄影、不自動擷取畫面或點擊。
- 一起送出的資訊：App 版本、系統版本、平台（iOS / Android）、免費或 Pro、你選的目標類型、工作型態、運動類型、語言地區。PostHog 不保存你的 IP 位址。
- 訂閱事件：RevenueCat 會把購買、續訂、取消等訂閱事件（不含付款資訊）送到 PostHog，用同一個匿名裝置識別碼。
- 保存與關閉：PostHog 最多保存 1 年。你可以在「設定 → 提供使用資料」關閉，關閉後不再傳送，手機裡還沒送出的也會丟掉。
PostHog 適用 PostHog 隱私權政策。
八、廣告（僅免費版）
免費版會顯示 Google AdMob 提供的廣告：畫面底部的橫幅、每記錄幾餐出現一次的全螢幕廣告，以及 AI 次數用完時你可以選擇觀看、換取多 1 次掃描的獎勵影片。Pro 會員不會看到任何廣告，App 也不會啟動廣告功能。
- 追蹤詢問：iOS 會跳出「是否允許追蹤」的詢問。你允許時，Google 會使用廣告識別碼（IDFA）顯示較相關的廣告；不允許時只會顯示非個人化廣告，App 其他功能完全不受影響。你可以隨時到 iPhone 的「設定 → 隱私權與安全性 → 追蹤」更改。
- 同意設定：在法規要求的地區（例如歐洲經濟區、英國），App 會先請你選擇是否同意廣告使用你的資料，之後可在 App 的「設定 → 廣告隱私選項」更改。
- Google 會收到的資料：廣告識別碼（若你允許）、IP 位址、裝置型號與系統版本、App 版本、廣告的顯示與點擊記錄等，用於顯示廣告、衡量成效與防止詐欺，適用 Google 如何使用合作夥伴網站或應用程式的資料 與 Google 隱私權政策。
- 獎勵影片：看完後，Google 會把匿名裝置識別碼和這次觀看的編號通知我們的伺服器，用來替你加上 1 次 AI 掃描，每天最多 1 次。
- 不會給廣告的資料：你的身體資料、健康資料、飲食記錄和餐點照片不會提供給 Google AdMob 或任何廣告商。
九、我們不做的事
- 不需要註冊帳號；登入是選填。不蒐集姓名、電話；只有你選擇登入時才會收到 Email（見第五節之一）。
- 不會把你的身體資料、健康資料或飲食記錄用於廣告。
- 不出售、不出租你的任何資料。
十、保存期限
- 手機裡的資料：直到你按「清除所有資料」或刪除 App。
- 餐點照片（伺服器）：分析完立即丟棄，不保存。
- AI 辨識記錄（餐點名稱、AI 估算結果、你存下的數字）：最多 2 年。
- 使用分析（PostHog）：最多 1 年。
- AI 使用次數：最多保存 14 天。
- 看廣告換到的額外次數與觀看編號：保存 2 天。
- 第一次使用的日期（和裝置識別碼一起）：持續保存，用來計算使用天數。
- 訂閱狀態：保存到訂閱到期為止。
- 食物回報：180 天。
- 帳號（只有登入才有）：保存到你刪除帳號為止；「已經領過登入次數」的記錄（帳號雜湊值、裝置識別碼）在刪除帳號後仍保留。
十一、你的權利
你可以隨時：
- 在 App 中修改或刪除自己的記錄，或用「設定 → 清除所有資料」一次刪除手機裡的全部資料。
- 關閉 Apple 健康、相機、相簿的權限（不影響其他功能的使用）。
- 在「設定 → 提供使用資料」關閉使用分析與 AI 辨識記錄。
- 在「設定 → 帳號」登出或刪除帳號。
- 寫信給我們，要求查詢或刪除伺服器上與你有關的資料（例如食物回報、AI 辨識記錄、使用分析）。
十二、兒童
熱量君不是為未滿 13 歲的兒童設計的，我們不會刻意蒐集兒童的資料。
十三、免責聲明
熱量與營養數值是 AI 與資料庫的估計值，僅供參考，不構成醫療或營養建議。如有特殊健康狀況，請先諮詢醫師或營養師。
十四、政策變更
如果本政策有重要變更，我們會更新本頁的生效日期。
十五、聯絡我們
對隱私有任何問題，請寄信到：calokunapp@gmail.com