隱私權政策

生效日期：2026 年 2 月 12 日 · 最後更新：2026年11月9日

Invictus Logic LLC（以下稱「我們」）營運 Sito 行動應用程式（以下稱「Sito」或「本 App」）。本隱私權政策說明你使用本 App 時，我們如何蒐集、使用、儲存和保護你的資料。

使用 Sito，即表示你同意我們依本隱私權政策蒐集和使用資料。如果你不同意，請不要使用本 App。

1. 概述

Sito 是一款營養記錄應用程式，專為家長和法定監護人（以下稱「你」或「使用者」）設計，用來掌握和管理孩子每天的營養攝取。本 App 的使用對象，是年滿 18 歲、身為其在本 App 中輸入資料之孩子的家長或法定監護人的成年人。

地理範圍：本 App 透過 Apple App Store 和 Google Play，在這兩個商店上架的國家或地區提供；你的商店中的本 App 頁面會顯示你所在的國家或地區是否包括在內。如果你在未提供本 App 的國家或地區使用本 App，是出於你自己的決定，你也應自行負責遵守當地法律。本政策的任何內容，都不會限制你所在國家或地區的法律就你的個人資料賦予你的任何權利。

2. 我們蒐集的資料

2.1 帳號資料

你建立帳號時，我們會蒐集：

電子郵件地址
密碼（以業界標準方法雜湊處理；我們從不儲存、也無法取得你的明文密碼）
驗證資料，來自第三方登入服務供應商（Google 或 Apple），前提是你選擇使用這些服務登入，包括它們分享給我們的姓名，以及來自 Google 的個人資料相片連結

2.2 個人檔案資料

偏好的單位制（公制或英制）
你在初始設定時選擇的育兒擔憂和使用動機
你的時區，以及你為每日提醒選擇的時間
你最後一次使用本 App 的日期
你是從哪裡知道 Sito 的（如果你有告訴我們，例如從傳單或兒科醫師那裡知道）
本 App 的語言、你的國家或地區（你在本 App 中選擇的，否則就是手機的地區設定，或你的 App Store 或 Google Play 帳號所屬的國家或地區）、你的 App 商店所屬的國家或地區，以及你使用的手機系統和 App 版本

2.3 孩子的資料

對於你在本 App 中新增的每個孩子，我們會蒐集你提供的資料，包括：

基本資料：名字（用暱稱或名字縮寫也可以，見第 4.3 節）、性別和出生日期
身體測量：每次記錄的身高和體重（用來計算 BMI 和繪製生長曲線）
健康資料：活動量、過敏和健康狀況
營養偏好：你選擇要重點記錄的營養素，以及你自己更改的任何營養目標
目標和飲食概況：你為孩子設定的目標、你是否告訴過我們孩子挑食，以及我們根據孩子的身高和體重算出的 BMI 分類

2.4 餐點與營養資料

你記錄餐點時，我們會蒐集：

餐別、日期和時間
食物項目、份量和營養成分明細
你選擇拍攝或上傳的餐點照片，以及你掃描的營養標示照片。上傳現有照片時，本 App 會要求取用你的照片圖庫；本 App 只會讀取你選的那張照片。
你用自己的話描述、讓本 App 記錄的餐點（「AI 描述」），以及你為記錄的食物用自己的話輸入的份量
吃剩多少和份量的資訊
如果你在某一餐記下症狀，例如肚子痛，我們會把這則備註和這一餐一起保存，讓你能在報告中看到。只有你的帳號看得到，這則備註會隨著這一餐或你的帳號一起刪除。
你為孩子記錄的親餵、瓶餵和維生素劑量：時間，以及親餵的左右邊和分鐘數（如果你有輸入）；瓶中裝了什麼、裝了多少，以及配方奶（如果你有選擇）；孩子清單上的維生素，以及你標記為已給的日子。瓶餵或劑量也可能把它的營養素加到孩子當天的數值中。這些資料的保存和刪除方式與餐點相同。如果你開啟每日維生素提醒，提醒由手機本身顯示；我們只保存你選擇的時間。
每日營養摘要和過去的營養資料

2.5 AI 對話資料

你使用 Sito 的 AI 營養助理時，我們會蒐集你的對話訊息和助理的回覆，以及對話工作階段的中繼資料。為了提供個人化的回覆，AI 助理會在對話中讀取孩子的個人檔案資料、目前的營養攝取和最近的營養紀錄。

2.6 食譜與食物偏好

你建立的自訂食譜，包括食材和營養資訊
你標記為最愛的食物
你最常記錄的食物
每個孩子接受或拒絕了哪些食物（如果你有記錄的話）
你自己新增的食物，以及你在包裝食品上更改的數值（見第 2.8 節）
在「副食品」中，每個孩子的：你記錄的每一種副食品，包括日期和時間、份量、質地，以及孩子接受的情形；你在嘗試過敏原後記錄的反應及其症狀（例如蕁麻疹、腫脹或嘔吐）；孩子最愛的食物；孩子開始吃副食品的日期；以及你在第一口之前確認安全須知的時間

2.7 產品掃描

你掃描條碼、搜尋包裝食品，或從「掃描紀錄」重新打開某項產品時，我們會記錄這次查詢：條碼號碼、由我們的哪個資料來源回答、查詢是否成功、花了多少時間，以及查詢是來自相機、搜尋還是你的掃描歷史。這些紀錄會連結到你的帳號，讓我們能知道掃描功能在哪些地方沒能幫上家長，並加以修正。

你的掃描歷史本身（「掃描紀錄」）會和你的帳號一起保存，所以換新手機也還在，用你的邀請碼加入的另一半也看得到：每項產品的條碼、名稱和品牌、分數，以及你最後一次掃描的時間。你的手機會保留一份副本，讓清單在沒有網路時也能打開。你可以從清單中移除產品，整份清單會隨著你的帳號一起刪除。

2.8 提供產品資料

掃描到我們沒有的產品，或我們有但還無法評分的產品時，本 App 會讓你選擇拍下標示和包裝正面，好讓我們新增或補全這項產品。如果你選擇這麼做，我們會蒐集：

營養標示照片、成分表照片（如果你有拍），以及包裝正面照片（如果你選擇拍攝；這個步驟可以略過），存放在私人雲端儲存空間中以你的帳號識別碼命名的資料夾裡
產品的條碼、名稱、品牌，以及從標示上讀到的營養數值和成分表
你的帳號識別碼，記錄為提交者

你提供的產品資料是永久紀錄：在用到任何地方之前都會先經過檢查，而且一經提交，就無法在本 App 內編輯或撤回。第 4.4 節說明產品資料經過檢查後會怎麼處理，第 9 節說明你刪除資料時它會怎麼處理。

你為我們沒有的產品拍下維生素的營養標示或奶粉罐上的營養成分表時，也適用同樣的做法。本 App 會立即讀取這些數值，用於孩子的維生素清單或瓶餵。照片存放在同樣的私人儲存空間，只保存到我們的審核決定是否為所有家庭新增這項產品為止，之後就會刪除。如果新增了這項產品，它的名稱、品牌和數值會依第 4.4 節的說明加入共用資料庫。

你更改包裝食品的數值（「修改數值」）時，本 App 會為你的家庭使用你的數值。我們也會連同你的帳號識別碼保存一筆變更紀錄：這項產品、它原本的數值，以及你改成的數值。我們用這筆紀錄檢查這項產品的數值是否對所有家庭都有誤，如果有誤，就加以更正。這筆紀錄會隨著你的帳號一起刪除。

2.9 語音輸入

如果你用口述的方式輸入一餐或一道食譜，而不是打字，本 App 會要求取用麥克風，並把錄音傳送到你手機的語音服務（iOS 上是 Apple 的服務，Android 上是 Google 的服務）轉成文字。這表示音訊會離開你的裝置，傳送給 Apple 或 Google，並適用它們各自的隱私權政策。我們只會收到轉錄後的文字，也不會儲存錄音。

2.10 意見回饋與協助資料

如果你透過本 App 提交意見回饋，我們會蒐集意見類型和訊息內容、回覆用的電子郵件地址（如果你提供的不是帳號上的地址）、App 版本和裝置資訊。

2.11 裝置與技術資料

驗證權杖（安全地儲存在你的裝置上），以及為了離線功能和效能最佳化而快取的資料。

IP 位址。和任何連線到伺服器的 App 一樣，Sito 的伺服器會看到你的手機連線時使用的 IP 位址。接下來它會怎麼處理，值得說清楚。我們的主機代管供應商的請求紀錄會記下它，並保存最多 7 天。RevenueCat（第 4.1 節）也會把它和你的訂閱一起記錄，但從 2.0.7 版起，在第 5 節列出的國家和地區不會這樣做，除非當地的 iPhone 允許了追蹤；RevenueCat 還會把它傳下去：傳到我們自己的資料庫，包含在它傳給我們的購買紀錄中（第 9 節）；傳給 PostHog，包含在同樣的訂閱事件中；以及傳給 Meta，Meta 用它把購買和自己的廣告比對起來（第 5 節）。除了這些訂閱事件之外，我們的分析和當機回報服務供應商都設定為捨棄這個位址，而不是儲存它（第 4.1 節和第 5 節）。有人輸入另一半的邀請碼時，我們會儲存這個 IP 經單向打亂、無法還原的形式，以防有人猜測邀請碼，並在它存放滿一天後刪除（第 9 節說明這項清除作業何時執行）。

當機報告。本 App 當機或發生錯誤時，會傳送一份當機報告給 Sentry（第 4.1 節），讓我們找出並修正問題。報告描述的是這次失敗：出了什麼錯、發生在我們程式碼的哪裡，以及你的裝置型號、作業系統、App 版本，和你的語言與時區設定。報告不會連結到你的帳號，我們也已將 Sentry 設定為不儲存你的 IP 位址。

初始設定過程的錄影，僅限美國。在地區設定為美國的手機上，你設定本 App 時經過的畫面會被錄下，畫面上所有的文字和圖像都會被塗黑。第 5 節確切說明了錄影涵蓋的範圍。

我們不會蒐集 GPS 或任何其他位置資訊、你的聯絡人或你的瀏覽紀錄，本 App 也從不要求位置權限。本 App 使用的國家或地區，是你選擇的那一個，否則就是手機的地區設定，或你的 App Store 或 Google Play 帳號所屬的國家或地區；這些都不是讀取你所在位置得到的結果。

2.12 ChatGPT 中的 Sito

你也可以在 ChatGPT 中使用 Sito 的食物卡和 KidScore，不需要 Sito 帳號。你這麼做時，我們只使用回答所需的資料：你詢問的食物或包裝產品、條碼（如果你有提供）、孩子的月齡（如果你有提到），以及看起來你所在的國家或地區，讓我們能顯示英吋或公分，並為你所在地販售的產品排序。我們不會收到你的姓名、電子郵件地址或你的對話。ChatGPT 也會告訴我們你的大致位置，並傳來你的 ChatGPT 帳號和對話的匿名識別碼；這些資料我們只保留國家或地區。

我們會記錄使用了哪項工具、比對到什麼、年齡和國家或地區，不含任何能識別你的資訊，用來維持服務運作和統計使用情形。ChatGPT 如何處理你的對話，由 OpenAI 的隱私權政策規範。

3. 我們如何使用你的資料

我們使用蒐集到的資料來：

提供本 App 的核心功能：記錄孩子的營養、計算個人化的營養目標、產生每日摘要，以及顯示進度
支援 AI 功能：提供個人化的營養指引和餐點建議
計算健康指標：計算 BMI 和適合年齡的營養目標
改善本 App：分析本 App 的使用情形，也就是使用者開啟哪些畫面和功能、哪裡出了問題，其中包括當機報告，以及在地區設定為美國的手機上經過遮蔽的初始設定畫面錄影（見第 2.11 節和第 5 節）
建立產品資料庫：審核家長提供的標示照片和營養數值，並把這些產品加入每位使用者掃描時比對的共用資料庫（見第 4.4 節）
讓掃描功能保持可靠：用掃描查詢紀錄找出我們沒能回答的條碼，以及回答品質不佳的資料來源
與你聯絡：回覆你的意見回饋和協助請求
處理訂閱：管理你的訂閱狀態
衡量我們的廣告成效：了解哪些廣告活動把家長帶到 Sito，並讓 Meta 和 Google 使用第 5 節所述的資料，決定要把我們的廣告顯示給誰看

4. 我們如何分享你的資料

我們不會出售你的個人資料或孩子的資料。我們從不把健康、營養、餐點、照片或孩子的資料傳送給任何廣告聯播網或資料仲介商；任何廣告合作夥伴會收到的資料，只有下方第 5 節所說明的那些。我們只會在以下有限的情況下分享資料。

4.1 服務供應商

以下是從 Sito 接收資料的所有公司，以及每一家確切收到的內容：

Supabase：主機代管、資料庫、檔案儲存和身分驗證。接收你的帳號資料、孩子的個人檔案、餐點與營養資料、對話紀錄，以及餐點照片和營養標示照片。
Anthropic（Claude）：兩項用途。第一是本 App 的 AI 功能：分析餐點照片、解讀你用自己的話描述的餐點和份量、讀取營養標示、對話、餐點點子和每週報告。為了這些功能，它會收到餐點照片和營養標示照片、你提供的包裝正面照片（用於在照片顯示之前先行檢查，見第 4.4 節）、你用自己的話描述的餐點和份量、你的對話訊息，以及孩子的個人檔案相關資訊（見第 4.2 節和第 4.3 節）。第二是作為我們自己使用的 AI 助理，用來檢查本 App 的品質，並找出問題的原因。我們每週會用它檢視最近的餐點照片分析：照片、我們的 AI 辨識出的內容，以及你最後記錄的內容。有訂閱被取消時，我們也會檢視本 App 在那個帳號上的運作情形。每天早上，我們也會用它檢視前一天每個帳號使用本 App 的情形，好在家庭仍在使用本 App 時找出並修正問題；在這項每日檢視中，每個家庭都只以一組代碼呈現，不含姓名或電子郵件地址。我們也用它檢查家長提供的產品資料（第 2.8 節）：把標示照片和包裝正面照片與我們公布的營養數值相互比對。在這些檢視中，它可能會收到餐點照片和家長提供的產品照片（照片裡有時會有孩子）、你記錄的食物、孩子的名字、年齡和與問題相關的個人檔案細節、你使用本 App 的方式，以及帳號資料，例如你的電子郵件地址和訂閱狀態。
Google（Gemini API）：辨識餐點照片中的食物、把食物和我們的營養資料比對、檢查家長提供的產品資料（第 2.8 節和第 4.4 節），以及在你掃描的產品於我們的資料庫中沒有營養數值時，用 Google 搜尋在網路上查詢，這時它只會收到條碼、品牌、產品名稱和包裝大小；本 App 的其他 AI 功能，只有在 Claude 無法使用時才會用到它。為了相同的功能，它收到的資料和 Claude 相同。
OpenAI：同樣的 AI 功能，作為另一個替代供應商，也用於需要更強模型的分析。為了這些功能，它收到的資料和 Claude、Gemini 相同，但你為某項食物用自己的話輸入的份量除外，這些只會傳給 Claude 和 Gemini。
FatSecret Platform API：每份營養資料。接收食物搜尋字詞、條碼號碼和要搜尋哪個國家或地區的食物，此外什麼都不接收；不會傳送任何帳號、家長或孩子的資料。本 App 中食物與營養資料的使用，也受 fatsecret Platform API 使用條款規範。
Cloudflare：我們向 FatSecret 發出的請求所經過的網路。接收同樣的食物搜尋字詞、條碼號碼和國家或地區，此外什麼都不接收。
RevenueCat：訂閱管理和收據驗證。接收你的帳號識別碼、你的手機連線時使用的 IP 位址，以及裝置識別碼和廣告識別碼（包括 Meta 的 SDK 為這次安裝提供的識別碼），並把你的訂閱事件連同這些資料轉傳給 PostHog、Meta 和我們自己的伺服器（第 9 節）。本 App 2.0.7 之前的版本也把你的電子郵件地址提供給它；你第一次打開 2.0.7 或更新的版本時，本 App 會把它移除。在 Android 上，它也會收到一次 Google Play 安裝來源資訊（install referrer）：本 App 安裝時所用連結上的活動標籤（也就是來自我們的哪個頁面、社群帳號或傳單），絕不包含搜尋字詞或任何關於你的資訊。從 2.0.8 版起，它也會收到你每個孩子的年齡層（例如 12 到 23 個月，或 4 到 7 歲）以及你新增的孩子人數，讓我們能決定要向你顯示哪些方案和優惠，並加以比較；絕不包含孩子的名字或出生日期，也不含其他關於你孩子的資料。不含營養資料。
PostHog：產品使用分析。接收開啟了哪些畫面、使用了哪些功能，以及你的裝置型號、作業系統、App 版本、螢幕尺寸和文字大小設定、本 App 的語言、你的國家或地區（第 2.2 節）和你的 App 商店所屬的國家或地區，以及你的註冊方式。它也會收到第 5 節列出的幾項資料：食物搜尋的字詞；在「副食品」中搜尋找不到食物，或你請我們新增某種食物時，孩子的月齡；你在「副食品」中選擇的食物種類；你用自己的話輸入的份量，以及它所對應的食物；初始設定畫面中的兩個答案（你從哪裡知道我們，以及你在初始設定小測驗中選擇的產品）；以及你在初始設定畫面和訂閱畫面上點了哪裡。它設定為捨棄你的手機傳給它的 IP 位址，所以不會由它推算出任何位置。透過上述的 RevenueCat 串接，它也會收到 RevenueCat 記錄的 IP 位址、你的廣告識別碼、你的安裝來自哪個廣告活動、你的訂閱狀態，以及（來自 2.0.7 之前版本的本 App）你的電子郵件地址，並把這些資料保存在你的 PostHog 個人檔案上。從 2.0.8 版起，這些資料也包括你每個孩子的年齡層，以及你新增的孩子人數。它絕不會收到孩子的名字、健康資料、對話內容或照片。在 Android 上，它也會在第一次啟動時，收到一次 RevenueCat 項下所說明的同一筆 Google Play 安裝來源資訊。在地區設定為美國的手機上，它還會收到初始設定畫面的錄影，範圍直到訂閱畫面（含訂閱畫面），畫面上的每個文字、數字、圖片和圖表在離開手機之前都會被塗黑。第 5 節有完整說明。
Sentry：當機和錯誤回報。本 App 當機或發生錯誤時接收一份報告：什麼失敗了、發生在我們程式碼的哪裡、在那之前最後點過的幾個項目的名稱（是我們程式碼為它們取的名稱，例如「Pressable」，絕不是上面寫的文字）、你的裝置型號、作業系統、App 版本、語言和時區設定，以及 Sentry 為這次安裝的本 App 產生的隨機識別碼。我們從不告訴 Sentry 你是誰，它不會儲存你的 IP 位址，也不會收到你的電子郵件地址、孩子的名字、健康資料或照片。錯誤訊息由我們的程式碼撰寫，用來描述失敗的情形；在少數情況下，錯誤訊息可能會引用出錯畫面上的一個小細節，例如某種食物的名稱。
Meta（Facebook）：衡量我們的 App 安裝廣告和訂閱廣告成效，並協助 Meta 決定要把我們的廣告顯示給誰看。接收我們傳給它的事件（註冊帳號、開始免費試用、訂閱和購買）、它的 SDK 在啟動時記錄的 App 安裝和 App 開啟事件，以及你裝置的廣告識別碼：在 iOS 上，只有在你於 Apple 的追蹤提示中允許時才會收到；在 Android 上則預設會收到。隨著開始免費試用、訂閱和購買事件，RevenueCat 也會把 Meta 的 SDK 為這次安裝提供的識別碼、你的帳號識別碼經打亂後的形式、App 版本和手機系統版本與語言等細節，以及它有記錄到的你的 IP 位址和裝置識別碼傳給 Meta，讓 Meta 能把它們和自己的廣告比對起來；在 iPhone 上，不論你在 Apple 的追蹤提示中怎麼回答，它都會傳送這些資料，而且就本 App 2.0.7 之前的版本而言，還會傳送經打亂（雜湊）處理的你的電子郵件地址。在第 5 節列出的國家和地區，從 2.0.7 版起，除非你在 iPhone 上允許追蹤，否則只有 Meta 的 SDK 的首次啟動事件可能傳給 Meta。絕不包含健康、營養、餐點、照片或孩子的資料。
Apple（Apple Ads）：衡量我們投放的 App Store 廣告成效。在 iOS 上，本 App 會在啟動時蒐集 Apple 的歸因權杖，並傳給 Apple 和 RevenueCat，藉此告訴我們一次安裝來自哪個廣告活動。它不會讓我們辨識出你個人的身分。
Expo：兩項用途。它負責傳送我們的推播通知，也提供 OTA 線上更新，讓我們不必在商店發布新版本就能修正本 App；檢查更新時，Expo 會得知你的 IP 位址、平台和 App 版本。
Apple（APNs）和 Google（FCM）：把推播通知傳送到你的裝置。接收通知文字和你裝置的推播權杖。提醒通知和每週報告通知可能包含孩子的名字，這個名字會顯示在你的鎖定畫面上。
Apple 和 Google 的語音服務：把你口述的餐點和食譜轉成文字，如第 2.9 節所述。接收錄音。
Loops：寄送我們的帳號、協助、意見回饋和優惠電子郵件。接收你的電子郵件地址，以及你的名字（如果 Apple 或 Google 有提供給我們）；你傳意見回饋給我們時，接收你的訊息以及 App 版本和裝置型號；訂閱確實失效時，接收訂閱已經結束這件事，好讓我們寄一份簡短問卷和回來使用的優惠（App Store 或 Google Play 帳號在日本、韓國或香港的，只寄問卷，不附優惠）；如果你在美國的 iPhone 上建立了帳號卻沒有開始訂閱，接收你沒有訂閱這件事，好讓我們寄一封電子郵件問你原因，並附上第一年的折扣。
Dynadot 和 Google（Gmail）代管我們的電子郵件。Dynadot 接收你寄到 berkay@sitonutri.com 的電子郵件，Gmail 接收我們留存的副本：你在本 App 中傳送的每則意見回饋訊息，以及你的電子郵件地址、App 版本和裝置型號。
Apple / Google：使用 Apple 或 Google 登入，以及所有帳單處理。接收你的電子郵件地址和驗證權杖。
Open Food Facts：我們的產品目錄所依據的開放產品資料庫。它不會收到任何關於你或孩子的資料。如果我們接受了你提供的產品，產品本身的事實資訊（條碼、名稱、品牌、營養數值）可能會依它的開放授權回饋發布到 Open Food Facts，且不會連結到你（見第 4.4 節）。
Google Analytics、Google Ads 和 Convex：網站分析和我們的 Google 廣告成效衡量，僅限於 sito.kids，如第 5 節所述。它們不會從本 App 收到任何資料。
Microsoft（Clarity）：了解訪客如何使用 sito.kids 上的首頁，以及嬰兒（Babies）、幼兒（Toddlers）和兒童（Kids）頁面，如第 5 節所述。它不會從本 App 收到任何資料。

這些公司大多以服務供應商的身分為我們工作，它們的條款限制它們只能為了向我們提供服務而使用這些資料。有些公司也會依它們自己的隱私權政策，把收到的資料用於自己的目的：Apple 和 Google 用於登入、帳單處理、App 商店和語音辨識（第 2.9 節），Meta 用於衡量我們的廣告以及決定要把廣告顯示給誰看（第 5 節），Google 用於我們網站上的 Google Ads，Microsoft 用於 Clarity（第 5 節）。

4.2 AI 資料處理

Sito 的 AI 功能在 Anthropic（Claude）、Google（Gemini）和 OpenAI 營運的模型上執行。傳送給它們的資料有兩種：

照片。你拍下一餐或掃描營養、維生素或配方奶標示時，那張照片會傳送給 Anthropic、Google 或 OpenAI，讓模型辨識食物或讀取標示。這些照片裡有時會有孩子。照片是為了這項分析而傳送的。另外，我們會定期借助 Anthropic 的 Claude 檢視部分最近的餐點照片，以及本 App 無法讀取的標示照片，以改善分析（見第 4.1 節）。
文字。你使用 AI 助理、要求餐點點子或收到每週報告時，你的訊息以及孩子的個人檔案和營養相關資訊，會傳送給同樣的供應商以產生回應（見第 4.3 節）。你用自己的話描述一餐時，這段描述、孩子的年齡和本 App 為你使用的國家或地區會傳送給同樣的供應商，讓模型推算出有哪些食物和份量。你為正在記錄的食物用自己的話輸入份量時（例如「切半的 3 塊」），這些字詞、食物的名稱和它的各種份量，以及孩子的年齡，會傳送給 Anthropic 的 Claude 或 Google 的 Gemini（見第 4.1 節），讓模型挑出相符的份量。

我們使用這些供應商的付費 API，其條款載明，透過這些 API 提交的資料不會用來訓練它們的模型。供應商仍可能依其當時有效的資料使用和保存政策，為了防止濫用、維護安全或遵守法律，在有限期間內保存資料。我們無法控制這些政策，而且這些政策可能會變更。

4.3 AI 功能中的孩子名字和個人檔案

為了讓 AI 的回答是針對你的孩子，而不是泛泛而談，我們會把與請求相關的個人檔案細節，傳送給 Anthropic、Google 或 OpenAI。依功能不同，可能包括年齡、性別、身高、體重、BMI、活動量、過敏、健康狀況、營養目標和最近的營養紀錄。本 App 的 AI 功能不會傳送孩子的名字：助理和餐點點子會說「你的孩子」，每週報告則用一個預留位置撰寫，在你看到之前由我們自己的伺服器換成名字。只有你自己寫出或說出名字時，例如在對話訊息或你用自己的話描述的一餐中，名字才會傳到這些供應商。分析餐點照片，或分析你用自己的話描述的一餐或份量時，會收到孩子的年齡，部分請求還會收到本 App 為你使用的國家或地區，其他一概不會收到；讀取營養標示時只會收到標示的照片，完全不含任何關於孩子的資料。

孩子的名字仍會出現在本 App 中和你鎖定畫面上的提醒裡（第 4.1 節），也可能在我們借助 Anthropic 的 Claude 進行的品質檢視中被看到（第 4.1 節）。如果你完全不想使用孩子的真實名字，新增或編輯孩子時，可以輸入暱稱或名字縮寫，而不是孩子的本名。本 App 的運作方式完全一樣，你看到的所有內容都會使用你輸入的名字。

4.4 你提供的資料會成為共用資料庫的一部分

Sito 掃描時比對的產品資料庫，是我們以公開的食品資料庫（主要是 Open Food Facts 和美國農業部（USDA）的 FoodData Central），加上家長提供的產品所建立的。我們的食物資料從哪裡來、附帶哪些授權，都列在我們的食物資料來源頁面上。

如果你提供了一項產品（第 2.8 節），而且我們核准了它，這項產品的條碼、名稱、品牌、營養數值和成分表就會成為這個共用資料庫的一部分，並顯示給每一位掃描同一件商品的其他 Sito 使用者。如果你也拍了包裝正面，那張照片可能會成為所有人看到的產品圖片。在顯示之前，會由自動檢查（Anthropic 的 Claude 或 Google 的 Gemini）確認照片裡只有包裝：只要照片中看得到人、孩子或你家裡的任何東西，就絕不會顯示給其他任何人。如果有手拿著包裝，我們可能會把照片裁切到只剩包裝：裁切後的圖片會以同樣的方式再檢查一次，而且只有裁切後的圖片可能被顯示，它的原始照片絕不會顯示。你的姓名、電子郵件地址和帳號識別碼絕不會和它一起顯示；這筆產品資料會顯示為來自 Sito 社群，而不是來自你。我們會在內部保留是誰提交的紀錄，以便追查有誤的資料並加以更正。

由於這些底層資料庫是以開放授權發布的，我們接受的產品資料也可能依這些授權再散布。我們的服務條款第 5 條，就是你為此授予我們的授權，提供資料之前，你應該先讀過。

4.5 與另一半共用存取權限

Sito 讓你產生一組六位數的邀請碼，讓另一位家長也能使用這個帳號。分享這組邀請碼之前，請先確實了解它的作用：它會讓對方以你的身分登入。沒有另外獨立、權限受限的另一半帳號。任何使用這組邀請碼的人，都能看到你看到的一切（每個孩子的個人檔案、過敏、健康狀況和身高體重、每一餐和每張照片、每段 AI 對話，以及你的訂閱），並且可以更改或刪除其中任何內容。

這組邀請碼只能使用一次，在你產生後 8 小時失效，而且產生新的邀請碼會讓舊的失效。我們會儲存邀請碼、產生時間和使用時間，以及任何嘗試輸入邀請碼的人的 IP 位址經單向打亂後的形式，讓任何人都無法用暴力破解的方式猜出邀請碼；第 9 節說明這些資料何時刪除。

你隨時都可以終止另一半的存取權限：「個人檔案」→「設定」→「登出其他裝置」會把你帳號上除了你手上這台以外的所有裝置都登出。這不會立即生效：另一支手機會保持登入，直到它已經持有的工作階段權杖到期為止，最多可能需要一小時。只有你自己的手機會顯示這個按鈕和兩個刪除按鈕（第 10.1 節）；用邀請碼加入的手機不會顯示。只把邀請碼分享給你願意告訴對方密碼的人。

5. 廣告與分析

從什麼時候開始。分析和廣告成效衡量會在你第一次開啟本 App 時開始，也就是在你建立帳號之前。在你註冊之前，這些紀錄會歸在一個匿名識別碼之下；你建立帳號時，這個識別碼會和帳號連結，所以你註冊前看過的畫面也會成為帳號紀錄的一部分。在 iPhone 上，Apple 的追蹤權限提示會在初始設定期間、你建立帳號之後出現。

PostHog：產品分析。我們用 PostHog 了解本 App 的使用情形：開啟了哪些畫面、使用了哪些功能，以及哪裡出了問題。這些紀錄絕不包含孩子的名字、身高體重、過敏、健康狀況、對話內容或照片。不過，紀錄包含的不只是畫面名稱，我們寧可直接說清楚，也不要讓你以為不是這樣。紀錄包含你在食物搜尋中輸入的字詞，讓我們看到家長在找什麼卻找不到；在「副食品」中搜尋找不到食物，或你請我們新增某種食物時，那次搜尋所針對的孩子的月齡；你在「副食品」中選擇的食物種類；以及你用自己的話輸入份量時，這些字詞、對應的食物、我們的 AI 選出的份量，以及你是保留它，還是把它改成了什麼，讓我們能檢查並改善份量的判讀方式。在初始設定畫面上，紀錄也包括你回答從哪裡知道我們的答案，以及你在初始設定小測驗中選擇的產品；在初始設定畫面和訂閱畫面上，紀錄還包括你點了畫面上的哪裡（一個位置，以及我們程式碼為這個按鈕取的名稱，絕不是按鈕上寫的文字）、每個畫面停留了多久，以及你捲動了多遠。PostHog 設定為在每個事件送達時就捨棄你的手機隨事件傳來的 IP 位址，所以不會由它推算出任何位置。2026 年 9 月 18 日以前產生的紀錄仍然同時帶有這個位址和位置。它也會記錄你的裝置型號和製造商、作業系統版本、App 版本、螢幕尺寸和文字大小設定、本 App 的語言、你的國家或地區（第 2.2 節）和你的 App 商店所屬的國家或地區，以及你是用電子郵件、Apple 還是 Google 註冊的。另外，我們的 RevenueCat 串接會把你的訂閱事件傳送給 PostHog，這些事件帶有你的電子郵件地址（來自 2.0.7 之前版本的本 App）、RevenueCat 從你的手機記錄到的 IP 位址、裝置識別碼和廣告識別碼、你是否允許追蹤、你的安裝來自哪個廣告活動、你的訂閱狀態，以及從 2.0.8 版起你每個孩子的年齡層和你新增的孩子人數；PostHog 會把這些資料保存在你在那裡的個人檔案上。

PostHog：初始設定過程的錄影，僅限美國。在地區設定為美國的手機上，PostHog 也會錄下你設定本 App 時經過的畫面，從第一個畫面直到訂閱畫面（含訂閱畫面），讓我們看到初始設定在哪些地方讓家長困惑。錄影離開你的手機之前，畫面上的每個文字、數字、圖片和系統視窗都會被塗黑，顯示孩子身高體重的圖表也一樣，所以錄影只會呈現每個畫面的版面配置和你點了哪裡。一進入本 App 本身，錄影就會停止；初始設定之後的任何內容都絕不會被錄下。錄影會保存 30 天，然後刪除。設定為其他任何國家或地區的手機都不會錄影。

Meta（Facebook）：廣告成效衡量。本 App 內建 Meta 的 SDK，用來衡量我們的廣告成效，Meta 也會用下列事件決定要把我們的廣告顯示給誰看。它會收到我們刻意傳給它的事件：來自本 App 的註冊帳號，以及來自 RevenueCat 伺服器的開始免費試用、訂閱和購買。它也會收到在我們關閉它的自動記錄功能之前，它自己的 SDK 在啟動時記錄的 App 安裝和 App 開啟事件。除此之外，它不會收到你一連串的活動紀錄。隨著開始免費試用、訂閱和購買事件，RevenueCat 會把 Meta 的 SDK 為這次安裝提供的識別碼、你的帳號識別碼經打亂後的形式、App 版本和手機系統版本與語言等細節，以及它有記錄到的你手機的 IP 位址和裝置識別碼傳給 Meta，讓 Meta 能把每個事件和它的廣告比對起來。在 iPhone 上，不論你在 Apple 的「App 追蹤透明度」提示中怎麼回答，都會這樣：即使你要求本 App 不要追蹤，RevenueCat 仍會把這些事件和細節傳給 Meta；這個提示決定的是 Meta 是否還會收到你裝置的廣告識別碼（IDFA），只有你允許追蹤時它才會收到。本 App 2.0.7 之前的版本也把你的電子郵件地址提供給 RevenueCat，在你打開 2.0.7 或更新的版本把它移除之前，不論你在提示中怎麼回答，RevenueCat 都會隨這些事件把它以打亂（雜湊）後的形式傳給 Meta。Android 沒有類似的提示，你的裝置提供的廣告 ID 會預設被蒐集；你可以在 Android 的隱私權設定中重設或限制它。

不執行這些作業的國家和地區：歐盟／歐洲經濟區、英國、瑞士、日本、韓國、台灣和香港。從 2.0.7 版起，如果你的手機設定為其中之一，Meta 的 SDK 不會讀取廣告 ID，本 App 也不會傳送它從其他手機傳送的額外安裝事件。如果你的手機或你的 App Store 或 Google Play 帳號在其中之一，本 App 不會為此蒐集裝置識別碼、不會傳送註冊帳號事件，也不會把你的訂閱連結到 Meta，所以 RevenueCat 不會把你的試用、訂閱和購買事件傳給 Meta。Meta 的 SDK 仍可能在第一次啟動時，在本 App 能把它關閉之前，記錄它自己的 App 安裝或 App 開啟事件。例外是你在 Apple 的提示中允許追蹤的 iPhone：這些事件和你的 IDFA 就會傳給 Meta。之後關閉追蹤，不會移除 RevenueCat 持有的 IDFA；寫電子郵件給我們，我們就會把它移除，這些事件也會停止。如果你在 2.0.7 版之前就已訂閱，RevenueCat 可能會繼續把你的續訂傳給 Meta，直到你打開 2.0.7 版，而且在 Android 上，還要等到我們移除舊的識別碼。

Apple Ads：安裝歸因。在 iOS 上，我們會在啟動時蒐集 Apple 的廣告歸因權杖，並分享給 Apple 和 RevenueCat，藉此知道一次安裝來自哪個 App Store 廣告活動。

我們的網站。sito.kids 使用 Google Analytics 和另一項分析服務 Convex，統計整體的網頁瀏覽量和流量來源。同一個 Google 代碼（Google tag）也會把造訪情形回報給 Google Ads，讓我們能衡量我們的 Google 廣告，Google 也能把訪客加入我們可能向其顯示廣告的目標對象；Google 依它自己的隱私權政策使用這些資料。對於英國、歐盟／歐洲經濟區（EU/EEA）和瑞士的訪客，Google Analytics 和 Google Ads 會以同意聲明模式（consent mode）執行，並將儲存和廣告個人化設為拒絕，所以不會為他們設定分析或廣告 Cookie；Google 仍會收到每次網頁瀏覽的無 Cookie 訊號，用於以模型推估的彙總衡量。你點一下我們的下載按鈕時，我們也會在自己的資料庫中記下這次點按：哪個按鈕和頁面、你是從哪個頁面來的、你的瀏覽器對自己的描述（它的使用者代理，user agent），以及在你點了我們的 Google 廣告之後，是哪一則廣告；這筆記錄不含 IP 位址。這只適用於網站，完全不涉及本 App。

我們四個網頁上的 Microsoft Clarity。為了了解首頁，以及嬰兒（Babies）、幼兒（Toddlers）和兒童（Kids）頁面哪裡不好用，我們在這四個頁面上使用 Microsoft Clarity，sito.kids 的其他地方都沒有使用。它會記錄造訪其中一個頁面的過程：觸控點按、滑鼠點按、捲動和滑鼠移動、畫面上顯示的內容，以及技術細節，例如你的瀏覽器、裝置類型，和由你的 IP 位址推算出的大概位置。我們看到的是熱圖，以及單次頁面造訪的重播。我們已將 Clarity 設定為對任何人都不使用 Cookie，所以每次頁面瀏覽都是單獨記錄的：我們無法把你的多次造訪串連起來，也無法在你再次造訪時認出你。在任何資料離開你的瀏覽器之前，Clarity 會隱藏表單中輸入的任何內容、下拉式清單中的選擇、數字和電子郵件地址。如果你的瀏覽器發出 Global Privacy Control（全球隱私控制）訊號，Clarity 就不會執行，你可以用這種方式選擇退出。Microsoft 會將錄影保存 30 天，熱圖和一小部分錄影樣本最多保存 9 個月，並依 Microsoft 隱私權聲明中的說明使用這些資料。Clarity 只在網站上執行，不會從本 App 收到任何資料。

我們不會把你的個人健康資料、孩子的營養資料、餐點或標示照片，或任何其他 App 內容，傳送給 Meta 或任何其他廣告聯播網。

6. 訂閱與付款

所有帳單與付款處理，完全由 Apple（App Store）或 Google（Google Play）負責。我們不會蒐集、處理或儲存任何付款資料。

7. 兒童隱私權

Sito 是為家長和法定監護人設計的，不是讓孩子自己單獨使用的。只有年滿 18 歲、且是所新增孩子的家長或法定監護人的人，才能建立帳號；註冊之前，你必須確認自己就是這樣的人。我們會連同你的帳號保存你確認的時間和你確認的文字版本，並在刪除帳號時一併刪除。Sito 不是以兒童為對象，我們也不會在知情的情況下向未滿 13 歲的兒童蒐集個人資料：Sito 中關於孩子的資料是由家長或監護人輸入的。如果我們得知有未滿 13 歲的兒童建立了帳號，我們會刪除這個帳號和其中的資料。如果你認為有兒童建立了帳號，寫電子郵件到 berkay@sitonutri.com 給我們。

8. 資料儲存與安全

你的資料儲存在 Supabase 提供、位於美國的安全伺服器上。我們用以下措施保護資料：

加密：密碼以業界標準方法雜湊處理；我們不會儲存明文密碼或可逆加密的密碼。資料以 HTTPS/TLS 加密傳輸。
資料列層級安全性：我們的資料庫強制執行資料列層級安全性政策，所以本 App 只會把你自己的資料和孩子的資料傳回給你已登入的帳號。
身分驗證：對我們資料庫的所有 API 請求，都必須有有效的驗證權杖。
餐點照片的儲存：餐點照片和附在一餐上的營養標示照片存放在私人雲端儲存空間。自 2026 年 10 月 20 日起，只有你已登入的帳號和我們自己能打開這些照片：本 App 透過為你的帳號建立的連結打開照片，這個連結會在 24 小時內失效。
提供產品資料的照片儲存：你透過提供產品資料的流程（第 2.8 節）提交的標示照片和包裝照片，已經存放在完全私人的儲存空間。這些照片無法透過連結打開，只有我們能讀取。唯一的例外，是已核准且通過第 4.4 節檢查的產品資料的包裝正面照片：它會和產品一起顯示。
帳號共用：資料列層級安全性能防止其他帳號存取你的資料，但無法防止已登入你本人帳號的人存取，而另一半的邀請碼建立的正是這種登入（見第 4.5 節）。

雖然我們採取了合理的措施，但沒有任何電子儲存或傳輸方式是 100% 安全的，我們無法保證絕對安全。

9. 資料保存

我們只在你提供資料的目的（為你和孩子運作 Sito）所需的期間內保存資料，之後就會刪除。我們不會為了任何其他目的無限期保存孩子的資料，也不會在你刪除之後繼續保存，但下列清單另有說明的除外。

帳號和家長個人檔案（電子郵件、單位偏好、你選擇的擔憂）：在你的帳號存在期間保存。
孩子的個人檔案、身高體重和營養目標：在你的帳號存在期間保存，或保存到你刪除這個孩子或你的資料為止。
餐點紀錄、營養紀錄、副食品紀錄、自訂食譜和食物偏好：在你的帳號存在期間保存，或保存到你刪除它們為止。
餐點照片和附在一餐上的標示照片：保存到你刪除你的資料或你的帳號為止。刪除單獨一餐不會把它的照片從我們的儲存空間中移除；你為一餐拍了照卻沒有儲存這一餐，照片也同樣會留在那裡，直到那時為止。
本 App 無法讀取的標示照片：最多保存 30 天，存放在私人雲端儲存空間中以你的帳號識別碼命名的資料夾裡，讓我們能查明讀取失敗的原因並加以改善；之後就會刪除。你刪除帳號時，它們會立即移除。
我們的 AI 最初讀到內容的紀錄，來源是餐點照片或你用自己的話描述的一餐（你的字詞、它找到的食物，以及我們比對到的食物）：和孩子的個人檔案一起保存，直到你刪除這個孩子、你的資料或你的帳號為止。刪除這一餐本身不會移除它。
你提供的產品資料：無限期保存；我們的刪除按鈕不會移除它們。產品資料一經提交，就會成為其他家長掃描時所依賴的共用產品資料庫的一部分，撤回它就會讓他們少了一項產品。你刪除帳號時，我們會清除提交者欄位，這筆資料就不再歸屬於你。確實還會留下一個痕跡，我們寧可直接說明，也不要讓你以為沒有：那些照片檔案（以及包裝正面照片的裁切圖，如果我們有裁切的話）存放在以你的帳號識別碼命名的資料夾中，而這個路徑寫在這筆資料的紀錄裡，所以即使清除了提交者欄位，識別碼仍會保留在檔案路徑中。如果你想把某一筆特定的產品資料和它的照片完全移除，寫電子郵件給我們，我們就會把它們移除。
產品掃描查詢紀錄（第 2.7 節）：在你的帳號存在期間保存。你刪除帳號時，我們會解除這些紀錄和你的連結，條碼查詢紀錄會在不帶你的識別碼的情況下保留，讓我們能繼續衡量掃描功能在哪裡失敗。我們正在為這些紀錄訂定固定的保存期限；在那之前，就把它們當作以這種已解除連結的形式無限期保存。
你對產品數值所做的變更（第 2.8 節）：和你的帳號一起保存，直到你刪除帳號為止；「刪除我的所有資料」不會清除它們。
另一半的邀請碼，以及嘗試輸入邀請碼時打亂後的 IP 位址：邀請碼在你產生後 8 小時失效，或在被使用或你產生新的邀請碼時立即失效。已使用或已過期的邀請碼，會在過期滿一小時後、下一次有人產生邀請碼時刪除；打亂後的位址會在滿一天後、下一次有人輸入邀請碼時刪除。這些清除作業是在那些時候執行，而不是定時執行，所以在使用較少的一週，一筆失效的資料可能會留存更久才被清除。你的邀請碼也會隨著你的帳號一起刪除。
掃描紀錄，也就是你的掃描歷史：和你的帳號一起保存，直到你從中移除某項產品或刪除你的帳號為止；「刪除我的所有資料」不會清除它。你手機上的副本會在你刪除本 App 時移除。
AI 對話和訊息：在你的帳號存在期間保存，或保存到你刪除你的資料為止。
推播通知權杖：在你的帳號存在期間保存；在你刪除帳號時移除，而且只有在那時才會移除。在手機上關閉通知或刪除本 App，會讓通知不再送達你，但這本身並不會移除我們持有的權杖。
意見回饋和協助訊息：你刪除你的資料或帳號時，會從本 App 的資料庫中移除；我們的客服電子郵件紀錄中可能仍留有副本。
RevenueCat 傳給我們的購買紀錄（方案、價格、商店、日期，以及 RevenueCat 附上的細節：你的 IP 位址、裝置識別碼和廣告識別碼、從 2.0.8 版起你孩子們的年齡層，以及來自 2.0.7 之前版本的本 App 的你的電子郵件地址）：在你的帳號存在期間保存。你刪除帳號時，能識別你的細節和你孩子們的年齡層會被移除，只留下購買事實，如下方「已刪除的帳號」一項所述。
我們的主機代管供應商的請求紀錄，其中包括你的手機連線時使用的 IP 位址：最多保存 7 天。
已刪除的帳號：刪除作業執行時，你的紀錄和照片會從我們的線上系統中清除：你在本 App 中刪除時會立即清除，以電子郵件提出請求時，則在我們處理後盡快清除。例外是上述的產品資料和掃描查詢紀錄（它們是解除和你的連結，而不是刪除），以及購買紀錄：你刪除帳號後，方案、價格、幣別、國家或地區和日期會為了我們的帳務處理而保留，但不含你的帳號識別碼、電子郵件地址或裝置細節。備份副本會在 30 天內輪替清除，除非法律要求我們將某些資料保存更久。
我們伺服器上快取的 FatSecret 營養資料：不超過 24 小時，以遵守 fatsecret Platform API 使用條款。
你裝置上快取的營養資料：儲存在本機供離線使用，刪除本 App 或清除它的快取時就會移除。
初始設定過程的錄影（第 5 節）：保存 30 天，然後刪除。
當機報告（第 2.11 節）：保存 30 天，然後刪除。
我們品質檢視的筆記（第 4.1 節）記下我們發現並修正了什麼，例如畫面、時間點、孩子的月齡和國家或地區，並且只用一組取自帳號識別碼的簡短代碼指稱這個家庭，絕不使用姓名或電子郵件地址。我們保留這些筆記，作為出了什麼問題、我們改了什麼的紀錄，它們不會隨著你的帳號一起刪除。
匿名的彙總紀錄，例如某項功能被使用或成功的次數：保存時與你或孩子沒有任何連結。
第 4.1 節所列供應商持有的資料：依各供應商自己的保存政策處理。你刪除帳號時，我們也會在其中三家採取行動，通常在一天內完成：我們會刪除你在 Loops 的聯絡人資料，並從你在 RevenueCat 的客戶紀錄和你在 PostHog 的個人檔案中移除能識別你的細節（例如你的電子郵件地址、IP 位址和裝置識別碼）和你孩子們的年齡層，連同你的初始設定錄影。它們持有的你的購買紀錄和本 App 使用情形紀錄會留在那裡，依它們自己的保存期間處理。Meta 依它自己的政策保留它收到的事件。

10. 你的權利與選擇

10.1 查閱、編輯和刪除你的資料

你隨時都可以直接在本 App 中查看和編輯你的個人檔案、孩子的個人檔案和你的餐點紀錄。本 App「個人檔案」畫面中的「設定」也提供兩種刪除選項。兩種都是永久的，無法復原。

「刪除我的所有資料」會移除你記錄的所有內容，但保留你的帳號，讓你能用同一組登入資訊和同一份訂閱重新開始。它會移除所有孩子的個人檔案（包括身高體重、過敏、健康狀況和營養目標）、所有餐點紀錄及其症狀備註、親餵、瓶餵、維生素清單和劑量、副食品紀錄、營養摘要、每週報告、餐點點子、你自己新增的食物、最愛和食物偏好、所有 AI 對話和訊息、所有自訂食譜、你的意見回饋訊息，以及所有餐點照片和附在一餐上的標示照片，並重設你的單位偏好、你選擇的擔憂和你的時區。你的登入資訊、電子郵件地址和訂閱會保留，另外幾項較小的內容也會保留：你的每日提醒時間、你告訴我們你是從哪裡知道 Sito 的答案、本 App 的語言和你的國家或地區、你確認自己是孩子的家長或監護人的紀錄（第 7 節）、你的掃描紀錄清單、你對產品數值所做的變更，以及讓帳號繼續運作的紀錄（你手機的通知權杖、試用結束提醒、使用上限，以及我們給你的任何免費使用權限）。

「刪除所有資料和帳號」會移除上述所有內容，然後刪除你的帳號本身。請求一旦送達我們的伺服器，清除作業就會在伺服器上完成，並在最後移除你的登入資訊，不論你的手機接下來發生什麼事；除非其他每一個步驟都成功，否則它會拒絕刪除登入資訊。如果你在請求送出前的幾秒內強制關閉本 App，可能有部分資料已經刪除，但帳號仍然存在：重新打開本 App 再點一次，或寫電子郵件給我們。你的訂閱由 Apple 或 Google 收費，刪除帳號並不會取消訂閱；要到你的 App Store 或 Google Play 帳號設定中取消。

兩個按鈕都不會移除的資料。你提供的產品（第 2.8 節）和你查詢過的條碼紀錄（第 2.7 節），基於第 9 節所說明的理由，兩個按鈕都不會刪除；第 9 節也列出了其他會留下的紀錄（不含你的識別碼的購買紀錄、我們品質檢視的筆記，以及我們的供應商保存的資料）。刪除帳號會從這兩者中清除你的識別碼，不過產品資料的照片檔案路徑中仍然含有它。如果想把某一筆特定的產品資料和它的照片從產品資料庫中移除，寫電子郵件給我們。

如果你無法打開本 App，可以依照我們刪除帳號頁面上的說明操作，或用你帳號上的電子郵件地址寫信到 berkay@sitonutri.com。你的資料刪除後，我們會以電子郵件確認。

10.2 電子郵件通訊

我們不會寄送未經請求的第三方行銷電子郵件。我們寄出的電子郵件僅限於帳號驗證、必要的帳號相關更新、為了協助我們改善本 App 而定期請你提供意見或邀請你參與使用者研究，以及偶爾提供的 Sito 本身的優惠，例如在你沒有開始訂閱時，或在你的訂閱結束後，提供第一年的折扣。我們不會把這些優惠寄給 App Store 或 Google Play 所屬國家或地區為日本、韓國或香港的帳號。所有非必要的通訊都會附上清楚、可正常運作的退訂連結，你也可以隨時選擇不再接收這些通訊。

11. 美國隱私權利

加州居民依《加州消費者隱私法》（CCPA）享有額外的權利，包括知情權、刪除權、選擇退出資料出售的權利（我們不出售資料），以及不受差別待遇的權利。如要行使這些權利，寫信到 berkay@sitonutri.com 與我們聯絡。我們的消費者健康資料隱私權政策（英文）說明了華盛頓州和內華達州的法律所要求的內容。

Do Not Track（不追蹤）。你的瀏覽器發出 Do Not Track 訊號時，我們的網站不會改變它的作法，但你的瀏覽器發出 Global Privacy Control（全球隱私控制）訊號時，Microsoft Clarity 不會執行（第 5 節）。你使用我們的網站或本 App 時，有另外兩家公司可以蒐集你在那裡的活動資訊，並長期把它和你在其他公司的網站和 App 上的活動連結起來：Google 透過我們網站上的 Google 代碼，Meta 透過本 App 和 RevenueCat 傳給它的事件（第 5 節）。

12. 國際使用者

本節補充你所在國家或地區的法律要求我們告知你的事項。本節的說明多於本政策其他部分時，以本節為準。

12.1 誰對你的資料負責

Invictus Logic LLC（1444 Rhode Island Ave NW APT 212, Washington, DC 20005-5421, United States）是本政策所述資料的資料控管者（data controller）。聯絡方式：berkay@sitonutri.com。在魁北克，個人資料保護負責人是創辦人 Berkay Yenilmez，地址同上。

12.2 我們可以處理你的資料的理由（合法依據）

履行我們與你之間的契約：運作本 App，包括你的帳號、孩子的個人檔案、餐點紀錄、營養目標、掃描功能、你使用的 AI 功能、你的訂閱，以及回覆你的意見回饋和協助請求。
你的明確同意：適用於你輸入的孩子健康相關資料（過敏、健康狀況、症狀和反應、身高體重、餐點和照片），我們用這些資料為你運作本 App，並在第 4.1 節所述的品質檢視中，用來檢查和改善本 App 的回答。你在初始設定一開始的同意畫面上表示同意，該畫面列出孩子的年齡、身高、體重、吃了什麼，以及你新增的過敏、健康狀況、症狀和餐點照片。在本 App 2.0.7 之前的版本上同意的帳號，看到的是較短的清單，包括年齡、身高、體重和食物，其餘部分則是透過選擇輸入這些資料表示同意。你可以隨時透過刪除這個孩子、你的資料或你的帳號（第 10 節）撤回同意。撤回同意不影響撤回之前已經發生的處理。
我們的正當利益：維護本 App 的安全和防止濫用（例如嘗試輸入另一半邀請碼時打亂後的位址，第 4.5 節）、了解本 App 的使用情形（第 5 節的產品分析和經過遮蔽的初始設定錄影，其中絕不包含孩子的健康資料）、找出並修正當機問題（第 2.11 節）和其他問題並改善本 App、以家長提供的產品和掃描紀錄建立並檢查共用產品資料庫（第 2.7 節、第 2.8 節和第 4.4 節）、偶爾以電子郵件寄送 Sito 本身的優惠給你（第 10.2 節；你可以用每封郵件中的退訂連結停止接收），以及了解我們的網站哪裡不好用（Microsoft Clarity，第 5 節）。你可以拒絕基於正當利益所進行的處理。
同意：適用於從 2.0.7 版起，Meta 從第 5 節列出的國家和地區的 iPhone 收到的資料：只有在你於 Apple 的提示中允許追蹤時，你的試用、訂閱和購買事件以及你的廣告識別碼才會傳給 Meta。如要撤回同意，在 iPhone 的設定中關閉追蹤，並寫電子郵件給我們。沒有這項同意時，以及在 Android 上，本 App 都不會把這些傳給 Meta，只有 Meta 的 SDK 的首次啟動事件除外（第 5 節）。
法定義務：在法律規定我們必須保存或揭露資料時。

12.3 孩子是資料的當事人

Sito 中的健康相關資料是關於你的孩子的，由你以孩子的家長或法定監護人的身分提供。我們依據你身為家長或監護人所給的同意處理這些資料，而且只用於第 3 節所列的目的。除了註冊時的監護人確認（第 7 節）之外，我們不會另外核實身分。

12.4 你的權利

如果你位於英國、歐盟／歐洲經濟區或瑞士，你有權查閱你的資料、要求更正、要求刪除、限制或拒絕對資料的處理、以可攜的格式取得資料、撤回同意，以及不受僅基於自動化處理、且對你產生法律效果或類似重大影響的決定所拘束（Sito 的分數和建議僅供參考，不會產生這類影響）。這些權利大多可以直接在本 App 中（第 10 節）或透過電子郵件行使；我們會在一個月內回覆。你也有權向資料保護主管機關提出申訴，例如英國的資訊專員辦公室（Information Commissioner's Office）、法國的 CNIL、瑞士的 Federal Data Protection and Information Commissioner（聯邦資料保護暨資訊專員），或你所在國家的主管機關；不過，我們會很感謝你先給我們協助的機會。

如果你位於加拿大，你享有 PIPEDA 規定的查閱權和更正權，在魁北克，也享有《私部門個人資料保護法》（Act respecting the protection of personal information in the private sector）規定的這些權利，並可以向加拿大隱私專員辦公室（Office of the Privacy Commissioner of Canada）或魁北克資訊近用委員會（Commission d'accès à l'information du Québec）提出申訴。如果你位於澳洲，則適用澳洲隱私原則（Australian Privacy Principles），你享有查閱權和更正權，並可以向澳洲資訊專員辦公室（Office of the Australian Information Commissioner）提出申訴；發生任何符合通報條件的資料外洩時，我們會依資料外洩通報制度（Notifiable Data Breaches scheme）的要求通知你和資訊專員。如果你位於紐西蘭，則適用《2020 年隱私法》（Privacy Act 2020），你享有查閱權和更正權，並可以向隱私專員辦公室（Office of the Privacy Commissioner）提出申訴。

12.5 你的資料儲存在哪裡、如何傳輸

我們的伺服器位於美國（第 8 節），第 4.1 節所列的供應商在美國或在它們自己所在的地區處理資料。英國、歐盟／歐洲經濟區或瑞士的人的資料離開這些地區時，我們依據的是為我們工作的公司的資料處理條款：這些條款納入了歐盟標準契約條款（Standard Contractual Clauses），並在必要時納入英國附錄（UK Addendum）或國際資料傳輸協議（International Data Transfer Agreement），同時搭配第 8 節的安全措施。Apple、Google、Meta 和 Microsoft 就它們用於自己目的的資料（第 4.1 節末尾），依它們自己的條款自行安排傳輸機制。你可以向我們索取這些保護措施的詳細資訊。

12.6 我們保存資料的期間

第 9 節的保存期間適用於所有地區。

12.7 日本

如果你位於日本，適用日本《個人情報保護法》（Act on the Protection of Personal Information）。處理你個人資料的業者是 Invictus Logic LLC，地址為 1444 Rhode Island Ave NW APT 212, Washington, DC 20005-5421, United States，代表人是創辦人 Berkay Yenilmez。他也是你提出疑問、申訴或請求時的聯絡人：請求告知我們持有的關於你或孩子的資料；更正、補充或刪除這些資料；停止使用這些資料或停止提供給他人；或出示我們向誰提供了什麼的紀錄。寫信到 berkay@sitonutri.com；我們會毫不遲延地回覆，也不收取任何費用。

我們只將你的資料用於第 3 節所列的目的。你記錄的孩子的過敏、健康狀況、症狀和反應，屬於需要特別注意的個人資料（要配慮個人情報），我們只有在你於初始設定一開始的同意畫面上表示同意後，才會取得這些資料。你的資料儲存在美國（第 8 節），並由第 4.1 節所列的公司處理，這些公司大多也在美國。美國沒有像日本那樣關於個人資料的聯邦一般性法律：當地的保護來自特定產業的法律、聯邦貿易委員會（Federal Trade Commission）對不公平或欺騙性行為採取的行動，以及部分州的法律，例如加州的法律。為我們工作的公司受資料處理條款拘束，這些條款要求它們只為了向我們提供服務而使用你的資料、確保資料安全，並管控它們自己的分包商。依日本上述法律，這些條款就是我們將你的資料提供給這些位於境外的公司時所依據的措施，我們也會查核這些條款持續獲得遵守。你可以向我們索取這些措施的詳細資訊。Apple、Google、Meta 和 Microsoft 也會依它們自己的政策，把收到的部分資料用於自己的目的（第 4.1 節末尾）；在日本，從 2.0.7 版起，只有在你允許追蹤的 iPhone 上，Meta 才會收到你的試用、訂閱和購買事件（第 5 節）。第 8 節說明我們如何確保你的資料安全。第 4.1 節和第 5 節列出本 App 把資料傳送給哪些公司、傳送什麼以及原因；這也是我們依日本《電氣通信事業法》（Telecommunications Business Act），就本 App 從你的手機傳送給其他公司的資料所做的告知。

12.8 韓國

如果你位於韓國，適用韓國《個人資料保護法》（Personal Information Protection Act），本節連同本政策其他部分，就是我們依該法提供的隱私權聲明。

我們處理什麼資料、為什麼處理：第 2 節所列的項目，用於第 3 節所列的目的。你記錄的孩子的過敏、健康狀況、症狀和反應屬於敏感資料，我們只為這些目的處理。你在初始設定一開始用一個專屬的勾選框表示同意，其中也載明處理目的包括本 App 的 AI 功能和改善本 App、我們保存這些資料的期間，以及你可以拒絕。
未滿 14 歲的孩子：他們的資料由你以法定代理人的身分輸入，你可以在本 App 中查看、更正和刪除全部資料（第 10 節）。
我們保存多久、如何銷毀：第 9 節所列的期間。期間屆滿，或你刪除某項內容時，我們會從資料庫中刪除紀錄，並從儲存空間中刪除檔案，使其無法復原；備份副本會在 30 天內輪替清除。
為我們處理資料的公司，以及境外傳輸：第 4.1 節所列的公司為我們處理你的資料，各自負責該節載明的工作。你的資料在你使用相關功能的當下，透過加密的網際網路連線傳送給它們，這些公司主要位於美國：Supabase（第 2 節所有內容的主機代管和儲存）；Anthropic、Google 和 OpenAI（AI 功能：照片、你的字詞和孩子的個人檔案細節，第 4.2 節）；RevenueCat（訂閱）；PostHog（產品分析）；Sentry（當機報告）；Expo（通知和更新）、Apple 和 Google（通知）；以及 Loops、Dynadot 和 Google（電子郵件）。各公司依自己的保存政策，在提供服務所需的期間內保存。如要就你的資料與它們聯絡：Supabase，privacy@supabase.com；Anthropic，privacy@anthropic.com；Google，它的隱私權表單；OpenAI，它的隱私權政策；RevenueCat，compliance@revenuecat.com；PostHog，privacy@posthog.com；Sentry，compliance@sentry.io；Expo，它的聯絡頁面；Apple，它的隱私權聯絡頁面；Loops，support@loops.so；Dynadot，它的網站。這項傳輸是提供本 App 所必需的。你可以透過不使用相關功能或刪除帳號（第 10 節）拒絕；沒有 Supabase，本 App 就無法運作。
提供給他方供其自行使用：Meta，位於美國：只有在你於 iPhone 上 Apple 的提示中允許追蹤時，它才會收到你的訂閱和購買事件，以及你手機的 IP 位址、裝置識別碼和廣告識別碼，用於衡量我們的廣告及決定要把廣告顯示給誰看，並依它自己的政策保存（第 5 節）。如要撤回，在 iPhone 的設定中關閉追蹤，並寫電子郵件給我們。否則本 App 不會把這些傳給它，不過它的 SDK 可能在第一次啟動時記錄 App 安裝或 App 開啟事件。Apple 和 Google 依它們自己的條款向你提供登入、帳單處理、App 商店和語音輸入，並收到這些服務所需的資料（第 2.9 節和第 4.1 節），Apple 也會告訴我們一次安裝來自它的哪個 App Store 廣告（第 5 節）。沒有其他公司會把從本 App 收到的資料用於自己的目的。
你的權利：你本人，以及你以孩子法定代理人的身分，都可以在本 App 中（第 10 節）或透過電子郵件，要求查閱你的資料、更正或刪除資料、停止處理，以及撤回同意。我們會在 10 天內回覆。
AI 與訓練：你輸入的內容會傳送給第 4.2 節所列的 AI 供應商，用來回答你，並在我們的品質檢視中用來檢查和改善本 App。這些供應商的付費 API 條款載明，這些內容不會用來訓練它們的模型，我們自己也不會用它訓練任何模型，所以你沒有需要拒絕的事項。
自動化決定：本 App 不會做出對你或孩子產生法律效果，或以其他方式對你的權利或義務有重大影響的完全自動化決定；分數和目標都是提供給你的資訊。
自動蒐集資料的工具：本 App 本身不使用 Cookie。它的分析、當機回報和廣告工具（第 5 節）會使用你手機上的識別碼。你可以在 iOS 上拒絕 Apple 的追蹤提示；在 Android 上，本 App 在韓國不會蒐集廣告 ID；如要拒絕產品分析，寫電子郵件給我們。
安全：第 8 節所列的措施。
隱私權負責人：創辦人 Berkay Yenilmez，berkay@sitonutri.com。你也可以向韓國個人資料保護委員會（Personal Information Protection Commission）提出申訴、請韓國個人資料紛爭調解委員會（Personal Information Dispute Mediation Committee）調解（www.kopico.go.kr），或向韓國網際網路振興院（Korea Internet & Security Agency）的 Privacy Infringement Report Center（個人資料侵害申報中心）檢舉（privacy.kisa.or.kr，電話 118）。
生成式 AI：依韓國《人工智慧基本法》（AI Basic Act）的要求，我們事先告知你：本 App 對餐點照片和標示的讀取、AI 描述和你用自己的話描述的份量、對話助理、餐點點子、每週報告，以及在我們的資料庫沒有數值時填入掃描產品的數值，都使用生成式 AI。它們產生的內容是由 AI 製作的，可能有誤（服務條款第 6 條和第 7 條）。

12.9 台灣

如果你位於台灣，適用《個人資料保護法》。Invictus Logic LLC（第 12.1 節）為第 3 節所列的目的蒐集你的個人資料；個人資料的類別見第 2 節。這些資料的利用期間見第 9 節，利用地區為美國和第 4.1 節所列公司的營運地；利用對象是我們和這些公司，利用方式為自動化和人工方式。你可以在本 App 中（第 10 節）或透過電子郵件，查詢或請求閱覽你的資料、請求製給複製本、請求補充或更正、請求停止蒐集、處理或利用，以及請求刪除。你可以選擇不提供某些資料，但這樣本 App 就無法執行需要這些資料的功能：例如沒有孩子的出生日期，就無法算出孩子的目標。

12.10 香港

如果你位於香港，適用《個人資料（私隱）條例》。向我們提供資料是自願的，但沒有電子郵件地址或登入方式，本 App 就無法開立帳號；沒有孩子的出生日期，也無法算出孩子的目標。我們將你的資料用於第 3 節所列的目的，而且只會轉移給第 4.1 節所列類別的公司。如果你的 App Store 或 Google Play 帳號在香港，我們不會將你的資料用於直接促銷。你有權要求查閱和改正你的資料。查閱或改正的要求可寄給 Invictus Logic LLC 創辦人 Berkay Yenilmez，地址見第 12.1 節，或寄到 berkay@sitonutri.com。

12.11 其他國家和地區

如果你位於提供本 App 的其他國家或地區，本政策其他部分適用於你，你所在國家或地區的法律賦予你的權利也同樣適用。你可以在本 App 中查看、更正和刪除你的資料（第 10 節），其他任何事項都可以寫信到 berkay@sitonutri.com；我們會在一個月內回覆。你的資料會傳送到我們伺服器所在的美國，以及第 4.1 節所列的公司。

13. 本隱私權政策的變更

我們可能會不時更新本隱私權政策。我們會把每個新版本連同日期發布在本頁。新版本立即適用於該日期之後註冊的人；對現有帳號而言，含有重大變更的版本在我們發布 30 天後生效。我們也可能透過本 App 或電子郵件告訴你。

14. 聯絡我們

Invictus Logic LLC
1444 Rhode Island Ave NW APT 212, Washington, DC 20005-5421, United States
電子郵件：berkay@sitonutri.com

15. 同意

使用 Sito，即表示你同意我們依本隱私權政策的說明，蒐集、使用和處理你的資料和孩子的資料。如果你所在國家或地區的法律要求特定的合法依據或特定形式的同意，使用本 App 並不構成該項同意：第 12 節說明我們依據的是什麼。如第 5 節所說明，該節所述的分析和廣告成效衡量，會在你第一次開啟本 App 時開始，也就是在你建立帳號之前；第 2.1 節至第 2.9 節中所有關於你和孩子的資料，都只有在你註冊之後才會傳到我們這裡：在那之前你輸入的孩子資料會留在你的手機上，直到你註冊為止。