✦ 隱私政策 ✦

Low Battery Town（以下稱「本服務」或「我們」）非常重視您的個人資料及隱私權保護。 本政策依中華民國個人資料保護法（下稱「個資法」）及相關法令， 並參考歐盟一般資料保護規則（GDPR）之最佳實務制定。

本政策說明我們如何蒐集、處理、利用及保護您的個人資料， 以及您依法享有之權利。請您於使用本服務前詳細閱讀。

我們將於下列情形蒐集您的個人資料：

• 註冊及帳號管理： 電子郵件、顯示名稱、密碼（以 bcrypt 雜湊儲存，非明文）、帳號角色標籤、頭像（character key）。
• 使用本服務時自動產生： 專注時段（focus session）起訖時間、模式、任務標籤、是否完成； 配對（match）紀錄；排行榜分數；成就解鎖紀錄；筆記內容；商店購買紀錄。
• 即時聊天： 您於配對焦點房間中傳送或接收的聊天訊息（暫存於 Redis，依下方「保存期間」處理）。
• 裝置與技術資訊： IP 位址、瀏覽器類型與版本、作業系統、語言設定、操作時間戳記、伺服器日誌。
• 行銷與通知偏好： 您是否同意接收電子報、產品更新通知（marketing_opt_in）及同意條款之時間戳記（terms_accepted_at）與版本。

我們蒐集您的個人資料之目的及法律基礎如下：

• 提供本服務（個資法 §19 I-2 契約必要）： 註冊登入、專注計時、配對、排行榜、聊天等核心功能運作。
• 帳號安全（個資法 §19 I-2、§20 I-1）： 密碼重設、防止盜用、異常登入偵測、防止濫用、頻率限制（rate limiting）。
• 客服支援（個資法 §19 I-2）： 處理您的查詢、客訴及帳號變更請求。
• 法令遵循（個資法 §19 I-1）： 符合稅務、消保、洗錢防制等法令要求。
• 行銷及產品改善（您之同意，個資法 §19 I-5）： 僅於您勾選同意接收電子報後，始用於寄送產品更新與行銷資訊。 您得隨時於帳號設定取消此項同意。

我們將於前述蒐集目的所必要之範圍內利用您的個人資料。 利用之地區包括本服務伺服器所在地（目前為東京 ap-northeast-1）及您所在地。

利用之對象限於本服務及其受託處理之機構。 除取得您同意或法律另有規定外，我們不會將您的個人資料對外提供或出售。

於下列情形，我們可能對外提供您的個人資料：

• 委外處理：基礎設施與雲端服務商（如 AWS、Cloudflare），均簽署資料處理協議；
• 法令要求：依法院、檢察官、警察機關或其他主管機關依法所為之要求；
• 保護權利：為保護本服務、其他使用者或第三人之生命、身體、財產或權益所必要；
• 經您同意：經您事前明示同意之第三方提供。

• 帳號基本資料：自您註冊起，至您請求刪除或停用帳號後 30 日為止；
• 專注時段及成就：至您請求刪除或停用帳號後 30 日為止；
• 聊天訊息：自配對結束後 24 小時自動清除；
• 密碼重設令牌：1 小時後自動失效，使用後即作廢；
• 伺服器存取日誌：90 日；
• 依法令需保存者，依其規定保存期間。

依個資法第 3 條及 GDPR 規定，您就您的個人資料享有下列權利：

• 查詢或請求閱覽；
• 請求製給複製本；
• 請求補充或更正；
• 請求停止蒐集、處理或利用；
• 請求刪除；
• 撤回同意（特別是行銷通知）；
• 資料可攜權（請求以結構化、機器可讀之格式提供）。

您得透過帳號設定行使上述權利，或來信support@lowbatterytown.example提出申請。 我們將於 30 日內回覆。 您得免費為前項申請，但若您於 12 個月內重複申請相同事項，我們得收取必要成本。

若您不提供必要之個人資料，可能無法享有本服務之全部或部分功能。

本服務目前使用下列瀏覽器儲存機制：

• localStorage：儲存您的登入令牌（access / refresh token），以便維持登入狀態；
• session 識別：用於 WebSocket 連線維護。

我們目前不使用第三方廣告追蹤 Cookie。 若未來新增分析或行銷 Cookie，將於本頁面更新並徵求您的同意。

本服務之使用對象為 13 歲以上之自然人。 我們不會故意蒐集 13 歲以下兒童之個人資料。 若您發現您未滿 13 歲之子女已註冊本服務，請聯繫我們，我們將儘速刪除相關資料。

我們採取下列措施保護您的個人資料：

• 密碼採用 bcrypt 演算法雜湊儲存，不保存明文；
• 所有 API 流量透過 HTTPS（生產環境）加密傳輸；
• 密碼重設令牌僅儲存 SHA-256 雜湊值，且為一次性使用；
• 對登入、註冊、忘記密碼等敏感端點實施頻率限制（rate limiting）；
• 採用 CSP、X-Frame-Options、Referrer-Policy 等 HTTP 安全標頭；
• 定期執行安全更新與弱點掃描；
• 對員工與委外處理機構簽訂保密協議。

惟網路傳輸不能保證絕對安全。 若發生個資外洩事件，我們將於發現後 72 小時內通知主管機關及受影響之當事人。

本服務之伺服器位於東京（AWS ap-northeast-1），您的資料可能在台灣境外之伺服器處理。 我們將確保跨境傳輸所至之地區提供與本政策相當之資料保護水準。

我們得不定期更新本政策。 重大變更將於本頁面公告，並視情況以電子郵件通知您。 若您於修正後繼續使用本服務，視為您同意修正後之政策。

如您對本政策或您的個人資料處理有任何疑問，歡迎來信：support@lowbatterytown.example