Lulie 隱私權政策
生效日期： 2026年10月26日 最後更新： 2026年10月26日
1. 關於我們
Lulie（「本應用程式」）由 Bünyamin Mete（土耳其伊斯坦堡，「我們」）提供。對於本政策所述的個人資料，我們是資料控管者。
- 隱私權聯絡方式：[email protected]
- 歐盟代表（GDPR Art. 27）：未指定；您可以直接向下方的電子郵件地址提出請求
- 英國代表（UK GDPR Art. 27）：未指定；您可以直接向下方的電子郵件地址提出請求
- 資料保護長：未指定
土耳其使用者：本應用程式內的「設定 > 隱私權與法律資訊」中另行提供 KVKK 告知書（Aydınlatma Metni）。
2. 摘要
- 您可以以訪客身分使用本應用程式。 我們不會詢問您的姓名或電子郵件地址。使用 Apple（或在有提供時使用 Google）登入為選擇性功能。
- 您的臉部在您的手機上進行測量。 臉部特徵點在記憶體中計算，絕不會寫入磁碟或傳送到任何地方。
- 臉部照片保存在您的手機上，方便您逐週比較。您只要點一下即可刪除這些照片。
- 雲端功能為選擇性功能，且需要您的同意。 如果您在同意畫面上同意 AI 解讀，(a) 一張照片會傳送給 AI 服務供應商，用於分析您的臉部並產生預估圖；(b) 您的每週照片會以只有您的手機才能開啟的加密形式備份。如果您關閉 AI 解讀，或您無法使用此功能（例如您未滿 18 歲），任何照片都不會離開您的手機。
- 我們不販售您的資料，不顯示廣告，也不使用您的臉部來識別您的身分。 臉部資料絕不會進入分析資料。
3. 臉部資料
本節是我們關於臉部資料的公開告知及保存期限表，同時適用於《伊利諾州生物辨識資訊隱私法》（BIPA）、《德州生物辨識識別碼擷取或使用法》（CUBI）、GDPR Art. 9 及 KVKK Art. 6 的要求。即使以下處理僅在您的手機上進行，我們也將其全部視為受上述法律規範的處理。
3.1 裝置端測量（一律在您的手機上進行）
當您使用相機時，本應用程式會使用 Apple 的裝置端 Vision 框架在您的臉部找出特徵點。本應用程式會根據這些特徵點在您的手機上計算：
- 一個臉型類別（橢圓形、圓形、方形、心形或長形）及其信賴度；
- 四項臉部比例數值（例如臉長與臉寬的比例及下顎角度）；
- 照片的色彩與姿勢統計資料（例如膚色各通道的中位數、亮度直方圖、頭部角度）以及一個測量變化值。
特徵點座標本身僅存在於記憶體中，隨後即予捨棄。這些座標絕不會儲存到磁碟，絕不會備份，也絕不會透過網路傳送。
3.2 儲存在您手機上的照片
| 內容 | 位置 | 保存期間 |
|---|---|---|
| 每日前後對照照片 | 您手機上的應用程式儲存空間，受 iOS 資料保護功能保護；不包含在裝置備份中 | 7 天後自動刪除 |
| 每週比較照片（每週一張；第 0 週來自新手引導） | 您手機上的應用程式儲存空間，受 iOS 資料保護功能保護；包含在您的 iOS 裝置備份中 | 第 0 週至第 12 週的照片保留至您刪除為止。第 12 週之後，僅每四週保留一張；其餘照片會在下一週的照片儲存時自動刪除 |
| AI 預估圖（如已產生） | 與每週照片相同 | 直到您刪除臉部照片 |
| 傳送給 AI 的暫存副本（如您已同意） | 您手機上的暫存資料夾 | 請求結束時刪除，並於下次啟動應用程式時刪除 |
由於每週照片與預估圖屬於您的 iOS 裝置備份的一部分，因此也會出現在您為手機製作的任何 iCloud 或電腦備份中。這些備份由您與 Apple 在您的 Apple 帳號下控管，而非由我們控管。
3.3 加密雲端備份（僅在您同意時）
如果您在同意畫面上同意 AI 解讀（或之後在「設定」中開啟加密雲端備份），您的每週照片與預估圖會備份到我們的雲端儲存空間，讓您在更換手機時不會遺失。
- 每張照片在上傳前都會在您的手機上以 AES-256-GCM 加密。
- 加密金鑰在您的手機上產生，僅儲存在您的 iPhone 鑰匙圈中，以及（如您已開啟）您的 iCloud 鑰匙圈中。我們絕不會收到該金鑰。我們與我們的代管服務供應商都無法開啟您的照片。
- 在我們的伺服器上，我們僅儲存加密檔案、檔案大小、檢查碼及上傳時間，並與一個隨機裝置識別碼連結。
- 如果您遺失金鑰（例如 iCloud 鑰匙圈處於關閉狀態而您更換了手機），任何人（包括我們）都無法復原該備份。
- 當您手機上的某張每週照片被精簡或刪除時，其加密副本也會一併刪除。
- 關閉加密雲端備份會從我們的儲存空間刪除您所有的加密副本。您手機上的照片會保留。
備份儲存於 Cloudflare（R2 物件儲存）。請參閱第 7 節。
3.4 AI 臉部解讀與預估圖（僅在您同意時）
如果您同意 AI 解讀，以下內容會透過加密（TLS）連線，從您的手機經由我們的伺服器傳送給 AI 服務供應商：
| 請求 | 傳送的內容 |
|---|---|
| 新手引導中的解讀（一次；如您選擇「重新讀取我的臉」則再次進行） | 一張照片（長邊最多 1024 px，裁切至您的臉部，已移除位置與相機中繼資料）、您的臉型類別及信賴度、您通常側睡的一側 |
| 預估圖（每位使用者最多兩次） | 同一張照片、您的臉型類別、您選擇的最多三個臉部區域、一個光線品質值 |
| 每週比較 | 本週照片，以及在兩張照片品質皆良好時的上週照片；您的臉型類別、在您手機上計算出的測量方向，以及先前最多四週的結果 |
我們不會將您的姓名、電子郵件、目標或帳號識別碼傳送給 AI 服務供應商。我們的伺服器（一個 Cloudflare Worker）在記憶體中轉送請求，不會儲存照片，也不會記錄請求內文。
傳回的內容：
- 解讀結果僅限於一份固定的類別清單（例如臉部區域的「平衡」或「緊繃」，或每週比較中的「上升 / 持平 / 下降」）。不含自由文字。
- 預估圖是根據您的照片由 AI 產生的影像。本應用程式中將其標示為「依據你自己的照片，由 AI 產生。這是預估，不是承諾。」且僅在通過您手機上的品質檢查後才會顯示。
- AI 已受指示不得推斷您的年齡、種族、宗教、性傾向、性別認同或任何健康狀況，超出允許類別的輸出會被捨棄。
目前使用的 AI 服務供應商：Google LLC (Gemini API)（臉部解讀與每週比較）以及 Google LLC (Gemini API)（預估圖）。您的照片僅為向您提供結果而受處理。我們不儲存您的照片。 在付費 Gemini API 下，Google 不會使用這些內容訓練其模型，且可能僅為偵測濫用行為而在有限期間內（最長 55 天）保留請求。
3.5 與帳號連結的計畫檔案
如果您連結 Apple（或 Google）帳號，我們的伺服器上會儲存一份計畫檔案，讓您的計畫可以在新手機上繼續。其中包含：您的目標與所選臉部區域、您偏好的練習時間、您的臉型類別及信賴度、第 3.1 節所述的四項臉部比例數值、AI 解讀類別與每週比較結果、計畫進度以及您的同意選擇。其中不含照片，也不含特徵點座標。當您刪除帳號時，該檔案即會刪除。
3.6 我們絕不會對臉部資料做的事
- 我們不會販售、出租、交易您的臉部資料，也不會以其他方式從中獲利。
- 我們不會使用這些資料來識別或辨認您，也不會用來驗證您的身分。
- 我們不會將其用於廣告，也不會將其納入分析資料或當機報告。
- 除第 7 節所列依我們指示行事的服務供應商外，我們不會與任何人分享這些資料。
- 我們不會在行銷中使用您的照片。如果我們日後希望展示某位使用者的前後對照照片，我們會另行徵求許可，您可以隨時撤回該許可。
3.7 臉部資料的保存與銷毀期限表
| 資料 | 銷毀時間 |
|---|---|
| 特徵點座標 | 立即；從不儲存 |
| 每日前後對照照片 | 7 天後自動銷毀 |
| 每週照片與預估圖（手機上） | 當您點一下「刪除臉部照片」或「刪除全部資料」，或解除安裝本應用程式時（您自行製作的裝置備份仍由您控管） |
| 加密雲端副本 | 精簡時與手機上的副本一併刪除；當您關閉加密雲端備份、刪除臉部照片、刪除全部資料或刪除帳號時立即刪除 |
| 傳送給 AI 服務供應商的照片 | 我們的伺服器：不儲存。服務供應商：我們不儲存您的照片；在付費 Gemini API 下，Google 不會使用這些內容訓練其模型，且可能僅為偵測濫用行為而在有限期間內（最長 55 天）保留請求 |
| 臉型、比例數值、解讀結果（手機上） | 當您選擇「重新讀取我的臉」（取代）或「刪除全部資料」時 |
| 與帳號連結的計畫檔案（伺服器） | 當您刪除帳號時 |
3.8 您的同意及如何撤回
在使用相機之前，我們會在專屬畫面上徵求您的同意。如果您未滿 18 歲，則無法使用 AI 解讀與預估圖功能，解讀僅會在您的手機上進行。
您可以隨時在設定 > 臉部資料中撤回同意：關閉 AI 臉部解讀（停止所有 AI 請求）及/或加密雲端備份（刪除您的加密副本）。撤回同意不影響先前已進行的處理。
我們會保存您的同意選擇紀錄（同意的類型、文字版本、日期與時間、國家與語言，但不含臉部資料），作為同意的證明。請參閱第 9 節。
4. 我們處理的其他資料
| 資料 | 詳細說明 |
|---|---|
| 裝置識別碼 | 在您的手機上產生並儲存在您的鑰匙圈中的隨機 ID。用於連結您的同意紀錄、加密備份、購買紀錄及分析資料。「刪除全部資料」會以新的 ID 取代。 |
| 您的計畫與測量資料 | 目標、所選臉部區域、練習時間、睡姿側邊、咬緊牙關問題的回答、練習紀錄、測量摘要。僅儲存在您的手機上，除非您連結帳號（第 3.5 節）。 |
| 帳號 | 如果您使用 Apple 或 Google 登入，我們會儲存帳號識別碼的單向雜湊值與您所使用的登入服務供應商，以及與之連結的裝置 ID。我們不會要求或儲存您的姓名或電子郵件。 |
| 同意紀錄 | 請參閱第 3.8 節。 |
| 裝置完整性 | 用於確認請求來自正版應用程式的 Apple App Attest 金鑰；用於防止濫用的短期請求計數器（於 48 小時內失效）。 |
| 通知 | 如果您允許通知：您的推播權杖、國家、語言、時區、通知權限狀態、您的「優惠」與「最新消息」偏好、訂閱狀態與方案、練習時間偏好及具體時段、一個概略的練習次數區間、安裝週、最後活躍週以及應用程式版本。用於傳送提醒，以及（如您選擇接收）優惠訊息。絕不包含臉部資料。 |
| 購買 | 訂閱由 Apple 處理。RevenueCat 會收到與您的裝置 ID（或已連結時的帳號雜湊值）連結的購買收據與訂閱狀態。我們的伺服器會收到訂閱事件（事件類型、產品、價格及以美元計的預估淨收入、國家代碼、取消原因、環境、時間）。 |
| 分析 | 產品使用事件（例如已完成的畫面、嘗試的購買、功能使用情形）、裝置與應用程式版本，以及當機與效能診斷資料（Apple MetricKit），連同您的裝置 ID 傳送至位於美國的 PostHog。IP 位址收集與 GeoIP 已關閉。不進行工作階段錄製，不自動擷取點按。不含臉部資料、照片或自由文字。 |
| 廣告歸因 | 如果您是透過 Apple Search Ads 廣告活動安裝本應用程式，本應用程式會將 Apple 的 AdServices 權杖傳送至我們的伺服器，由伺服器向 Apple 查詢相應的廣告活動。我們在分析資料中僅保留廣告活動標籤與關鍵字標籤（以及國家）。我們不使用 App Tracking Transparency 框架，也不會在其他公司的應用程式或網站中追蹤您。 |
| 支援請求 | 如果您寄電子郵件給我們，我們會處理您的電子郵件地址與訊息內容以便回覆您。 |
5. 我們處理您資料的目的及法律依據
| 目的 | 資料 | 法律依據（GDPR / UK GDPR） | 法律依據（KVKK） |
|---|---|---|---|
| 裝置端測量、在手機上儲存照片 | 第 3.1、3.2 節 | 明示同意，Art. 9(2)(a) 及 Art. 6(1)(a) | 明示同意，Art. 6(2) |
| AI 臉部解讀與預估圖 | 第 3.4 節 | 明示同意，Art. 9(2)(a) 及 Art. 6(1)(a) | 明示同意，Art. 6(2)；跨境傳輸 Art. 9（參見第 8 節） |
| 加密雲端備份 | 第 3.3 節 | 明示同意，Art. 9(2)(a) 及 Art. 6(1)(a) | 明示同意，Art. 6(2) |
| 提供本應用程式、計畫、帳號、同步 | 第 3.5、4 節 | 履行契約，Art. 6(1)(b) | Art. 5(2)(c) |
| 訂閱與購買紀錄 | 第 4 節 | 履行契約，Art. 6(1)(b)；法律義務，Art. 6(1)(c) | Art. 5(2)(c)、5(2)(ç) |
| 提醒與續訂通知 | 第 4 節 | 履行契約，Art. 6(1)(b) | Art. 5(2)(c) |
| 優惠通知 | 第 4 節 | 同意，Art. 6(1)(a) | 明示同意，Art. 5(1) |
| 分析、診斷、歸因、防止濫用 | 第 4 節 | 正當利益，Art. 6(1)(f)（改善本應用程式並確保其安全） | 正當利益，Art. 5(2)(f) |
| 同意證明 | 同意紀錄 | 法律義務 / 正當利益，Art. 6(1)(c)、(f) | Art. 5(2)(e)、5(2)(f) |
6. 自動化處理與 AI 透明度
臉部解讀、每週比較與預估圖皆由 AI 產生。這些結果是用於保養習慣的估計，並非醫療建議，也不會對您產生法律效果或類似的重大影響。預估圖由 AI 產生並標示為此類影像；如服務供應商加入了不可見浮水印或內容憑證，預估圖會予以保留。本應用程式中的部分動作影片同樣由 AI 製作，並在發布前經過審查。「設定 > 關於 AI」中列出了我們使用的 AI 服務供應商。
7. 誰會收到您的資料（服務供應商）
我們使用以下服務供應商，他們依據契約代表我們處理資料：
| 服務供應商 | 角色 | 資料 | 所在地 |
|---|---|---|---|
| Cloudflare, Inc. | 伺服器（Workers）、鍵值儲存、資料庫、加密備份儲存（R2） | 裝置 ID、帳號雜湊值、同意紀錄、推播權杖與分群、訂閱事件、加密照片備份；用於 AI 請求的照片僅在記憶體中經過 | Cloudflare 全球網路 |
| Google LLC (Gemini API) | AI 臉部解讀與每週比較 | 第 3.4 節 | 美國 |
| Google LLC (Gemini API) | AI 預估圖 | 第 3.4 節 | 美國 |
| RevenueCat, Inc. | 訂閱管理 | 裝置 ID 或帳號雜湊值、購買收據、訂閱狀態、優惠偏好屬性 | 美國 |
| PostHog, Inc. (US Cloud) | 產品分析與診斷 | 裝置 ID、使用事件、診斷資料 | 美國 |
| Apple Inc. | 應用程式發行、付款、使用 Apple 登入、推播通知（APNs）、App Attest、AdServices 歸因 | 各項服務所需的資料 | 美國 |
| Google LLC | 使用 Google 登入（僅在有提供且您使用時） | 登入資訊交換；我們僅保留帳號 ID 的雜湊值 | 美國 |
如法律要求，或在本應用程式合併或出售時，我們也可能揭露資料；在後者情況下，本政策將繼續適用於您的資料。
8. 跨境傳輸
我們的服務供應商可能會在您所在國家以外（包括美國）處理資料。當來自歐洲經濟區、英國或瑞士的資料傳輸至未獲適足性認定的國家時，我們依據歐盟執委會的標準契約條款（以及英國附錄），或在服務供應商已取得認證時依據歐盟-美國資料隱私框架（EU-U.S. Data Privacy Framework）。對於土耳其使用者，跨境傳輸依據 KVKK 第 9 條，基於您的明示同意及服務供應商的標準契約條款進行。
9. 我們保存資料的期間
| 資料 | 保存期間 |
|---|---|
| 臉部資料 | 第 3.7 節 |
| 您手機上的計畫、測量資料、解讀結果 | 直到您刪除這些資料或刪除本應用程式 |
| 帳號紀錄（雜湊值、登入服務供應商、連結的裝置） | 直到您刪除帳號；已刪除的帳號項目於刪除 30 天後永久清除 |
| 帳號計畫檔案 | 直到您刪除帳號 |
| 同意紀錄 | 自最後一次變更起 3 年 |
| 推播權杖與分群 | 直到您刪除全部資料或刪除帳號，或自最後一次更新起 180 天 |
| 我們伺服器上的訂閱事件 | 13 個月 |
| 通知活動紀錄檔 | 90 天 |
| App Attest 金鑰 | 直到您刪除全部資料 |
| 防濫用計數器 | 最長 48 小時 |
| 分析資料（PostHog） | 最長 1 年 |
| RevenueCat 紀錄 | 於訂閱存續期間，以及其後法定保存義務所要求的期間 |
| 支援電子郵件 | 自最後一封訊息起 2 年 |
10. 您的權利與選擇
依您所在地區而定，您可能有權查閱、更正、刪除您的資料，限制或反對對您資料的處理，享有資料可攜權，撤回同意，以及向主管機關提出申訴。
在本應用程式中（設定）：
- 刪除臉部照片： 從您的手機與我們的雲端儲存空間刪除每週照片、每日照片與預估圖。您的測量紀錄與計畫會保留。
- 刪除全部資料： 在您的手機上重設本應用程式，刪除您的加密金鑰，並從我們的伺服器刪除您的加密備份、App Attest 金鑰、推播權杖與裝置連結；隨後會產生新的裝置 ID。
- 刪除帳號（如您已連結帳號）：從我們的伺服器刪除您的帳號連結、計畫檔案、加密備份以及所有已連結裝置的推播權杖。
- 匯出我的資料： 一個包含您的測量摘要、計畫、同意紀錄與臉部檔案的檔案，以及您的每週照片與預估圖。
- 刪除分析與購買紀錄： 開啟一封含有您裝置 ID、寄給我們的電子郵件。我們會在 30 天內刪除您在 PostHog 與 RevenueCat 中的紀錄。
- 您可以隨時開啟或關閉 AI 臉部解讀、加密雲端備份、通知與優惠訊息。
透過電子郵件： [email protected]。由於我們不知道您的姓名或電子郵件，我們可能會請您提供本應用程式中顯示的裝置 ID，以便找到您的資料。我們會在一個月內（GDPR）或 30 天內（KVKK）回覆。
請注意：購買與您的 Apple 帳號綁定。在本應用程式中刪除資料不會取消您的訂閱；請在您的 Apple 帳號設定中取消訂閱。
申訴： 您可以向當地的個人資料保護主管機關提出申訴。在土耳其：Kişisel Verileri Koruma Kurumu。在歐盟：您居住國的主管機關。在英國：Information Commissioner's Office。
11. 兒童
本應用程式的年齡分級為 13+，不適用於未滿 13 歲的兒童。依 Apple 年齡範圍訊號未滿 18 歲的使用者，或未確認自己已年滿 18 歲的使用者，無法使用 AI 臉部解讀與預估圖功能。如果您認為有未滿 13 歲的兒童使用了本應用程式，請與我們聯絡，我們將刪除我們持有的相關資料。
12. 安全性
您手機上的照片受 iOS 資料保護功能保護。雲端備份在上傳前已於您的手機上加密，我們不持有金鑰。所有網路傳輸皆使用 TLS。傳送至我們伺服器的請求會透過 Apple App Attest 進行驗證。AI 服務供應商的 API 金鑰保存在我們的伺服器上，而非應用程式中。我們的伺服器紀錄檔不含請求內文、照片或電子郵件地址。沒有任何系統是絕對安全的；如發生影響您資料的資安事件，我們將依法律規定通知您與相關主管機關。
13. 美國居民
- 伊利諾州、德州、華盛頓州及其他訂有生物辨識法律的州： 第 3 節是我們的書面政策與保存期限表。我們在蒐集任何臉部資料之前都會取得您的同意，且不會販售臉部資料或從中獲利。
- 加州及其他州的隱私權法律： 我們不會販售或「分享」（用於跨情境行為廣告）個人資料，也不會使用敏感個人資料來推斷您的特徵。
14. 我們的網站
我們的網站 lulie.app 不使用 Cookie 或本機儲存空間。
15. 本政策的變更
當我們變更本政策時，我們會更新「最後更新」日期。如果某項變更擴大了我們使用臉部資料的方式，我們會在套用該變更之前，於本應用程式中再次徵求您的同意。
16. 聯絡方式
Bünyamin Mete，土耳其伊斯坦堡，[email protected]