隱私權政策 — re:plyte

控管者與聯絡方式

re:plyte，是 re:plyte 網站、應用程式與 API 的控管者。請將隱私權問題或請求寄至 privacy@replyte.com。

本政策涵蓋範圍

本政策涵蓋 replyte.com 與 re:plyte 行動服務。不包括 Apple、Google、Firebase、Twilio、Cloudflare、Stripe 或其他供應商依其自身告知獨立處理的資訊。re:plyte 不是緊急服務，其訊息、檢舉與支援管道不會為立即回覆而受到監看。

帳號、登入與裝置資料

依你的登入方式，我們處理 Apple、Google 或 Firebase 帳號識別碼，以及供應商提供的姓名、電子郵件或電話號碼。我們也處理你的個人檔案名稱與圖片、語言與隱私偏好、帳號角色、裝置與推播通知權杖、工作階段與安全紀錄，以及目前的使用者內容規範接受狀態。就 Sign in with Apple 而言，僅在刪除帳號時需要撤銷 re:plyte 存取才會保留加密的供應商憑證；一次性授權碼不會儲存。

車輛與使用者內容資料

車輛以核發國家與正規化車牌一併定址。我們處理已認領車輛、選填車輛細節、共同駕駛存取、已接受的聯絡原因、通知設定，以及 QR 或交接連結。認領可包含登記證明、契據、繼承文件、買賣契約或公司授權，用以審查對車輛的權限。這些文件可能含有姓名、住家或登記地址、車輛所有權與取得細節，以及售價。使用者內容可包括訊息、照片、語音備註、附加位置、道路廣播、更新、社群與旅行團體內容、個人檔案素材、反應、檢舉與封鎖。審核檢舉含有被檢舉項目與可用脈絡的有限快照。

位置與他人可見內容

當你要求附近結果時，當前位置與所選半徑會隨該次請求傳送，但查詢位置不會寫入資料庫。若你發布道路廣播，其座標會在廣播生命週期內儲存。刻意附加於訊息的位置會與該訊息一併儲存。其他使用者可見核發國家與車牌、聯絡原因以及你選擇分享的內容；他們不會從 re:plyte 取得你的私人登入資料或電話號碼。封鎖為私密並雙向執行。

網站與支援資料

若你要求可用性通知，Cloudflare KV 會儲存小寫電子郵件與提交日期。由請求 IP 衍生的加鹽截斷雜湊僅用於短時速率限制計數。網站沒有第三方廣告像素、行為分析指令或追蹤 Cookie。若你聯絡支援或隱私權，我們處理回覆所需的訊息與聯絡資料；請勿以電子郵件傳送密碼、一次性代碼、身分權杖或車輛認領文件。

目的與法律依據

我們在提供你所請求的服務並履行與你之間契約所需範圍內，處理帳號、車輛、訊息、位置與裝置資料。我們依與你的權利權衡後的正當利益，用以保全服務、防止詐欺與濫用、執行封鎖、審核檢舉、診斷故障、保護使用者並防禦法律主張。Google 提供的驗證、安裝、通知、傳輸與裝置端辨識元件，可為應用程式功能、服務分析與診斷處理有限的裝置、安裝、每次安裝識別碼、使用、延遲、影像格式／組態、事件與錯誤資訊；re:plyte 不將該資訊用於廣告或跨應用程式追蹤。相機影像與辨識出的車牌／條碼輸出在裝置上處理，辨識器不會將其傳送至 Google 或 re:plyte API；只有裝置端閘道選出的正規化車牌候選會送入既有的精確車牌與國家查詢。我們依你的同意處理可用性電子郵件，你可撤回該同意。裝置權限與選擇控制選用的位置、照片、麥克風與通知存取。當履行法律義務或確立、行使或防禦法律主張所必要時，我們會處理資訊。

供應商與其他接收者

目前服務使用 Hetzner 代管的運算與 PostgreSQL 儲存；Cloudflare 用於網站、DNS、電子郵件路由、邊緣安全、KV 與私有 R2 物件儲存；Apple 用於登入、App Store 發行、通知傳遞與系統提供的裝置端 Vision 辨識；Google 用於登入、Google Play 發行、Firebase 電話驗證、Firebase Cloud Messaging，以及上述有限指標的裝置端 ML Kit 辨識；Twilio 用於備用簡訊驗證路徑； Apple 與 Google 用於 Premium 訂閱計費；Stripe 用於依客製協議開立車隊發票。授權人員可在需要時審查車輛認領、支援請求與審核檢舉。供應商依相關服務及其條款擔任處理者或獨立控管者。我們不出售個人資料，也不為第三方定向廣告而分享。

國際傳輸

部分供應商可能在羅馬尼亞或歐洲經濟區以外處理資料。合法傳輸機制取決於供應商、服務與目的地。僅在具備適用機制（例如適足性決定或契約保障）時，我們才允許受歐盟規則限制的傳輸。你可以向我們詢問與你資料相關的保障資訊。供應商基礎設施與傳輸路徑可能變更，因此本政策不主張每項處理作業都留在單一國家。

特定保存期間

可用性名單電子郵件及其提交日期至多於一年後到期；匿名提交計數於一小時後到期。每次精確車牌查詢會將加鑰、不可逆的車牌摘要與帳號關聯於 24 小時濫用計數，並連同帳號識別碼寫入依大小輪替的安全紀錄；明文車牌不會入錄。電話驗證挑戰於 10 分鐘後到期，未完成的上傳於 24 小時後移除。更新恰好提供 24 小時，其媒體由排程的到期後清除移除。附近廣播存活 30 分鐘。除非更早移除，其座標排定再 30 分鐘後刪除；剩餘列與音訊排定於到期後 24 小時刪除。針對尚未認領的核發國家與車牌組合所保留的訊息於 30 天後刪除。車輛認領文件於決定後 30 天內刪除，並留下有限稽核殘餘。審核證據快照保存不超過 180 天；為課責可能留下不含內容的檢舉殘餘。輪替重新整理工作階段最長生命週期為 30 天。

作者或審核者撤回私人媒體

當作者撤回私人媒體，或審核者移除含有該媒體的內容時，re:plyte 立即停止授權對該媒體的新存取。暫存的儲存清理紀錄會保留原始儲存金鑰，直到儲存供應商完成必要刪除為止；該刪除於移除請求起 30 天當日或之後嘗試。若刪除無法完成，例如因儲存供應商或網路故障，金鑰會在重試期間保留；在刪除成功前沒有固定上限。另外，我們永久保存由儲存類別與金鑰衍生、具網域分隔的密碼學摘要，以防止同一物件再次被接受或取得新的存取授權。該摘要不含原始金鑰或帳號參照，但我們將其視為假名而非匿名，因為原始金鑰在他處可用時可重新計算。此撤回程序與帳號清除分開。

其他保存

一般帳號、車輛與對話資料在帳號與服務需要時保存，除非你刪除內容、關閉帳號或適用上方較短期間。有限的相對人、稽核、安全、審核或法律紀錄可在必要或允許時保留；部分會去識別，而上文所述永久私人媒體撤銷摘要為假名而非匿名。在 GDPR 允許或要求保存之處，我們不承諾刪除，並會依這些例外審查已驗證的請求。

刪除以 Apple、Google 或電話建立的 re:plyte 帳號

你可以在應用程式中排程刪除，或使用 replyte.com/delete-account。請求立即停用 re:plyte 存取並撤銷作用中工作階段；保留的 Sign in with Apple 授權也會在停用完成前撤銷。無論你以 Apple、Google 或電話號碼登入，皆適用同一段可逆的 30 天寬限期，該期間內登入可取消請求。寬限期後，排程清除會先嘗試適用的供應商端登入刪除與已儲存私人物件刪除，再進行本機抹除。僅在那些供應商作業成功後，才會刪除或去識別符合條件的帳號識別碼、私人列與所創作內容，封存已認領車輛並撤銷 QR 連結。若供應商刪除失敗，本機清除會延後並重試；符合條件的來源紀錄與儲存金鑰可保留至成功為止，失敗持續期間沒有固定上限。帳號清除本身不會建立上文所述的永久物件撤銷摘要。有限的相對人、稽核、安全或法律紀錄，以及 180 天期限內的審核證據，也可在必要或允許時保留。此程序刪除 re:plyte 帳號；不會刪除你的 Apple 或 Google 帳號。

備份與應用程式紀錄

PostgreSQL 備份每晚製作，以可讀封存檢查，並保存 14 天。因此自即時資料庫移除的資料可能留在受限備份中，直到該備份輪替出去；備份不用作即時使用者紀錄，還原資料仍受適用刪除程序拘束。結構化應用程式容器事件依大小而非固定天數保存：於 10 MB 輪替，且每個容器限三個檔案。原始 HTTP 請求目標與查詢字串不會寫入應用程式存取紀錄。敏感金鑰以及可辨識的電話、權杖、憑證與付款密鑰模式會在紀錄呈現前遮罩，但沒有任何安全控制是絕對的。

你的 GDPR 權利

在法律條件與例外下，你可以請求近用、更正、刪除、限制、可攜副本，或反對基於正當利益的處理。你可以撤回同意，而不影響先前合法處理。請使用應用程式內帳號控制、replyte.com/delete-account 或 privacy@replyte.com；我們可能需要驗證你的身分。我們通常在無不當延遲且一個月內回覆，並說明任何合法展延。你可以向 Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal（ANSPDCP）於 dataprotection.ro 申訴，或向其他主管監督機關申訴。

安全、必要揭露與變更

我們使用存取控制、私有物件儲存、傳輸中加密、受保護憑證、速率限制、資料最小化與排程保存控制。當法律、具拘束力的機關請求，或為保護權利與安全所必要時，我們可揭露最低必要資訊。沒有線上服務能保證絕對安全或傳遞。當服務、供應商或法律變更時，我們可更新本政策；頁面將顯示新的生效日期，並在法律要求時提供額外通知。