Pigu 隱私政策
第 1 條 簡介
Pigu（以下簡稱「本服務」）由 Pigu 經營（以下簡稱「本公司」）。
本服務透過比對使用者的生活移動路徑，協助曾經真實擦肩而過、且具契合條件的使用者進行緣分配對。本隱私政策說明本公司收集、使用、分享、保留您的個人資料之方式。
請您詳閱本政策。註冊本服務並勾選同意後，始得使用本服務。
第 2 條 我們收集哪些資料
2.1 您主動提供的資料
- 帳號資訊：第三方登入授權後取得之 email / 名稱 / 個人識別碼（Google / Apple / LINE）
- 手機門號：限台灣 +886 號碼（用於真人驗證 + 限制重複註冊，不公開）
- 個人資料：暱稱、生日、性別、生理性別、性傾向、主要城市、身高、體重、顏值 PR、最高學歷、目前狀態、興趣、社團、自我介紹、星座、照片
- 可選提供之資料：工作、年收入區間、資產區間、才藝、聽歌風格、人格分析、想找的關係、就讀 / 畢業學校、科系、補充欄位
- 配對偏好：想配對的生理性別、年紀範圍、身高範圍、BMI 範圍、契合度權重設定
- 破冰問題：您自寫的 1–3 個開場問題
2.2 系統自動收集的資料
- 精準位置與移動路徑（本服務核心，詳見第 3 條）：經您明確授權後，本服務會收集您裝置的精準地理座標（經緯度，精度可達數公尺）及移動狀態（步行 / 騎車 / 車輛等推斷）。當您授權「永遠允許」位置權限並開啟背景記錄後，即使您未開啟 App，系統仍會在您移動時記錄路徑——這是「走路就能累積緣分」玩法的運作方式。
- 使用行為：登入時間、掃描次數、配對紀錄、訊息發送時間
- 裝置資訊：機型、OS 版本、App 版本、裝置識別碼（廣告 ID）、電量狀態（用於調節定位取樣頻率）
- 網路資訊：IP 位址、約略地理位置（國家 / 城市，用於異地登入提醒）
第 3 條 精準位置與路徑日誌的特殊處理（請特別注意）
💬 白話版：Pigu 會精準記錄你走過的路——但這條路只有你自己看得到。 其他人（包含跟你配對成功的人）永遠只會知道「某個時段、在某類地點附近，曾和你擦肩」。 原始 GPS 點 7 天自動刪除；你的「路徑日誌」保留多久由你自己決定，而且隨時可以逐日刪除或一鍵全部刪除。
3.1 我們蒐集什麼精度的資料
經您授權後，本服務會蒐集您裝置回報的精準地理座標（經緯度，含精度、速度與時間戳），包含 App 未開啟時的背景記錄。我們不會將座標「先模糊再儲存」——因為畫出只有您看得到的足跡地圖、以及判定 100 公尺內的真實擦肩，都需要原始精度。
3.2 背景記錄如何運作（您選擇的玩法）
背景記錄是您主動開啟的功能：
- 您先授權「使用 App 期間」位置權限（此時僅前景記錄）
- 您在 App 內開啟「背景記錄」開關，並依系統引導授權「永遠允許」
- 開啟後，系統在您移動時自動記錄路徑（靜止時自動暫停以節省電量）；關閉開關或撤回權限，記錄立即停止
3.3 資料流與保留
[ 您的手機 ] 裝置端加密暫存 → 加密傳輸（TLS）
↓
[ 原始路徑點 raw_location_points ]（靜態加密 + 最小權限存取）
├─ 擦肩比對：與其他使用者的點比對「距離 ≤100 公尺且時間差 ≤30 分鐘」→ 只產生「擦肩事件」（模糊化：僅記區域格 + 日期）
├─ 您的路徑日誌：壓縮為每日路徑（僅您本人可見）
└─ **7 天後自動且不可回復地刪除**
↓
[ 路徑日誌 ]（僅您本人可見）— 保留期**由您設定**：7 天 / 30 天 / 90 天 / 無限期（預設無限期，帳號存續期間）
[ 模糊區域足跡 ]（約 174m 六角格）— 保留 90 天，供配對統計3.4 誰看得到您的位置資訊（最重要的分界線）
| 對象 | 看得到什麼 | 永遠看不到什麼 |
|---|---|---|
| 您本人 | 完整精準路徑地圖（路徑日誌） | — |
| 其他使用者（含配對成功的對方） | 「模糊時段 + 模糊地點類型」（例：「傍晚 · 咖啡店附近曾擦肩」） | ❌ 精準座標 ❌ 路徑軌跡 ❌ 精確時間點 ❌ 連續多日行蹤 |
| 本公司客服 / 後台人員 | 模糊區域統計 | ❌ 任何人的原始路徑點（後台系統不存在此查詢功能） |
配對成功不會解鎖行蹤。此設計目的是保障所有使用者（不分性別）的人身安全，防止任何人透過本服務推斷他人的詳細行蹤。
3.5 您的路徑日誌，您作主
- 保留期自選：設定 → 隱私 → 路徑日誌保留期（7 天 / 30 天 / 90 天 / 無限期）
- 忘記任一天：在路徑日誌選擇任一天 → 「忘記這天」→ 該日全部路徑資料（含原始點、模糊足跡、擦肩事件）立即刪除且不可回復（已成立的配對不受影響）
- 一鍵全部刪除：設定 → 隱私 → 刪除全部路徑日誌
- 路徑日誌開關：可關閉日誌功能——關閉後路徑僅短暫用於擦肩比對，不留存供回看
3.6 撤回與後果
您可隨時於裝置系統設定撤回位置權限；撤回後即停止蒐集，先前資料仍依第 3.3 條期限自動刪除。撤回後將無法使用軌跡記錄與擦肩配對功能，但您仍可繼續既有對話、管理帳號、匯出資料與刪除帳號。
第 4 條 我們如何使用這些資料
| 用途 | 說明 |
|---|---|
| 提供配對服務 | 比對真實擦肩（≤100m、≤30 分鐘）+ 計算契合度 + 顯示緣分卡片 |
| 您的足跡地圖 | 繪製僅您本人可見的精準路徑日誌 |
| 帳號管理 | 登入驗證、防止重複註冊、真人驗證 |
| 防詐騙防濫用 | 偵測異地登入、GPS 偽造、詐騙關鍵字、異常行為 |
| 改善產品 | 匿名化統計（KPI 分析、A/B 測試） |
| 客戶服務 | 處理檢舉、申訴、退款 |
| 法律要求 | 配合司法調查、監管要求 |
本公司不會用您的資料做的事：
- ❌ 不販售您的個人資料給第三方
- ❌ 不用您的位置資料做行為廣告投放
- ❌ 不向任何其他使用者（包含您的配對對象）揭露您的精準座標、路徑或精確擦肩時間
第 5 條 我們如何分享資料
5.1 與其他使用者分享
僅分享您主動公開的個人資料：
- 暱稱、年紀、性別、主要城市
- 必填屬性中您設為「公開」者
- 非必填屬性中您設為「公開」者（您可選擇 公開 / 私下 / 隱藏）
- 擦肩資訊：僅「模糊時段（清晨 / 上午 / 下午 / 傍晚 / 夜晚）+ 模糊地點類型」（不含精準座標、路徑、精確時間）
5.2 與服務供應商分享
| 供應商 | 用途 | 資料 |
|---|---|---|
| AWS（東京區） | 雲端基礎設施 | 全部加密儲存資料 |
| Google Cloud | 第三方登入 | OAuth 識別碼 |
| Apple | 第三方登入、iOS 推播 | OAuth、APNs token |
| LINE | 第三方登入 | OAuth 識別碼 |
| Twilio / AWS SNS | 簡訊 OTP | 手機門號 |
| AWS Rekognition | 自拍真人驗證 + NSFW 圖片偵測 | 照片 |
| Google Maps Platform | 地圖顯示 | 約略位置 |
| Stripe / Apple / Google IAP | 金流處理 | 訂閱資訊 |
5.3 法律要求
於下列情況本公司得依法分享您的資料：
- 司法機關依法要求
- 監管機關（NCC / 數發部）合法調查
- 防止重大犯罪 / 緊急危難
- 業務轉讓或併購（含關係企業）
第 6 條 資料保留期限
| 資料類型 | 保留期 |
|---|---|
| 帳號 / 個資（暱稱、生日、照片） | 帳號存續期間 → 刪除帳號立即清除 |
| 原始精準路徑點 | 7 天（自動且不可回復刪除）；備份副本亦適用相同期限 |
| 路徑日誌（僅本人可見） | 由您設定：7 / 30 / 90 天或無限期（預設無限期）；刪除帳號立即全清 |
| 模糊區域足跡（174m 六角格） | 90 天（自動刪除） |
| 擦肩事件（模糊化） | 30 天（自動刪除；已成立配對之紀錄隨配對留存） |
| 已交換訊息 | 對話有效期內保留；解除配對後 90 天刪除 |
| 配對歷史 | 帳號存續期間（匿名化保留供統計） |
| 檢舉紀錄 | 匿名化保留 7 年（風險比對用） |
| 交易紀錄 | 保留 7 年（商業會計法、稅法要求） |
| 登入 / 操作 log | 30 天 |
第 7 條 您的權利（個資法 §3）
您對自己的個人資料有以下權利：
| 權利 | 行使方式 |
|---|---|
| 查詢 / 閱覽 | App 內「設定 → 我的資料」；您的精準路徑可於「路徑日誌」隨時檢視 |
| 製給複製本（資料匯出） | App 內「設定 → 匯出我的資料」（30 天內提供） |
| 補充 / 更正 | App 內隨時編輯 |
| 停止蒐集 / 處理 / 利用 | 關閉背景記錄開關、關閉路徑日誌、撤回位置權限、暫停帳號 |
| 刪除（部分） | 「忘記任一天」逐日刪除；「刪除全部路徑日誌」一鍵全清 |
| 刪除（全部） | App 內「設定 → 刪除帳號」（個資立即清除） |
| 撤回同意 | 隨時可撤回，撤回不影響先前已合法處理的資料 |
第 8 條 安全措施
本公司採取以下措施保護您的資料：
- TLS 1.2+ 全站加密；路徑點於裝置端即加密暫存
- AWS RDS / S3 encryption at rest（KMS 管理金鑰）；原始路徑點資料表採最小權限存取控管，後台無查詢介面
- 手機門號 / Email 應用層 AES-256 加密
- 親密照片走 Signed URL（5 分鐘有效）
- AWS WAF + Rate Limit 防 OWASP Top 10
- GPS 偽造偵測（偽造資料不參與擦肩判定，防止惡意定位攻擊）
- 異地登入推播通知
- 重要操作（檢視路徑日誌、刪帳號）需重新驗證
- 月度 OWASP ZAP 弱點掃描 + 季度滲透測試
- 個資外洩 72 小時通報 SOP（含位置路徑外洩情境演練）
第 9 條 跨境傳輸
本公司資料儲存於 AWS ap-northeast-1（東京區）。
依個資法 §21，向國外傳輸個人資料須符合「主管機關公告之國家」或「相當保護程度」。日本受台灣個資保護法承認為「具相當保護程度」之國家，故本服務跨境傳輸符合法規要求。
第 10 條 兒童保護（兒少法 + 本公司 C-001 嚴格規範）
本服務僅限年滿 18 歲之自然人使用。
- ❌ 禁止 18 歲以下註冊（系統依生日推算，未滿 18 不允許註冊）
- ✅ 父母 / 監護人若發現未成年子女使用本服務 → 寄信至 support@movepigu.com 要求刪除
詳見《Pigu 兒少保護政策》（L3 文件）。
第 11 條 Cookie 與相似技術
本服務於行動 App 內使用：
- 本機儲存（Hive / SecureStorage）：JWT、Refresh Token、用戶設定、加密路徑點暫存佇列（上傳成功即清除）
- 裝置識別碼（IDFA / GAID）：用於防止重複註冊、行銷分析（您可在裝置設定關閉）
詳見《Pigu Cookie 政策》（L5 文件）。
第 12 條 政策變更
本公司得不時修訂本政策。每一版本均有版本編號，您同意的版本會被記錄。重大變更（例如蒐集範圍或保留期限之實質變更）將：
- 透過 App 內推播通知您
- 於 App 啟動時顯示新版政策全文，經您重新勾選同意後始適用新版蒐集方式
- 給您 30 天決定期；期間屆滿未同意者，新蒐集功能暫停，您仍可使用既有對話、匯出資料與刪除帳號
第 13 條 聯絡方式
| 方式 | 內容 |
|---|---|
| support@movepigu.com | |
| App 內客服 | 設定 → 客服與意見回饋 |
| 客服處理時間 | 重大檢舉 24 小時內回覆，一般詢問 3 天內回覆 |
| 個資保護專員 | （上線前指派） |
第 14 條 準據法與管轄
本政策依中華民國法律解釋與適用。 因本政策所生爭議，雙方合意以台灣台北地方法院為第一審管轄法院。