隱私權政策

營運方與適用範圍

Nibomo 託管服務由 SAMO DANNI EOOD 營運，公司登記編號為 207395566，加值稅登記編號為 BG207395566，登記地址為 bulv. Maritza 154, entrance D, floor 6 #14, 4018, Plovdiv, Bulgaria。Nibomo 由 Kirill Markin 建立。

本政策適用於我們營運的託管網站、應用程式、API 和 MCP 服務。自行架設的服務由各自的營運方管理，該營運方也須對該服務的隱私權措施負責。

年齡限制

託管服務供年滿 13 歲的人使用。如果您所在地的法律對使用線上服務或同意資料處理設有較高的最低年齡，應以該年齡為準。未滿 18 歲者須取得父母一方或法定監護人的許可。

我們處理的資料

我們會依您使用託管服務的方式，處理下列資料。

• 帳號與身分驗證資料，包括電子郵件地址、內部使用者識別碼、登入紀錄及驗證權杖。
• 學習與工作區資料，包括閃卡、牌組、設定、工作區成員資格、複習紀錄及同步中繼資料。
• 您上傳或建立的檔案與媒體，包括圖片及暫存的上傳資料。
• 選用 AI 功能的相關資料，包括提示詞、聊天紀錄、閃卡或工作區的相關內容、請求所附的檔案與圖片、口述音訊、逐字稿、模型回覆及工具活動。
• 支援與意見回饋資料，包括訊息、您提供的聯絡電子郵件地址、應用程式版本、平台、語言與地區設定，以及相關狀態資訊。
• 營運與安全資料，包括請求識別碼、時間戳記、IP 位址、使用者代理字串、路由、回應狀態、應用程式版本、裝置或平台詳細資料，以及經過資料刪減或遮蔽的錯誤診斷資料。
• 下方「分析與 Cookie」和「產品分析」兩節所述的網站及應用程式使用資料。

建立託管服務帳號及登入時，必須提供電子郵件地址。我們需要該地址才能提供電子郵件驗證及帳號同步服務。未登入帳號時，仍可能使用部分訪客功能或本機功能。如果我們的伺服器將瀏覽器標記為可能由自動化軟體操作，託管網頁版應用程式在為該瀏覽器建立新的訪客工作階段前，會先顯示 Cloudflare Turnstile 驗證，通過後才會建立工作階段。觸發標記的原因包括請求來自雲端託管網路、瀏覽器聲稱的版本與實際瀏覽器不符、瀏覽器版本遠落後於目前版本、使用者代理字串屬於自動化軟體、伺服器無法判斷請求來自哪個網路、同一天（UTC）內，已為聲稱使用相同舊版本的瀏覽器在未執行驗證的情況下建立至少 10 個訪客工作階段，或過去一小時內已為聲稱使用相同瀏覽器及版本的瀏覽器建立或嘗試建立至少 6 個訪客工作階段。Cloudflare 會透過驗證取得您的 IP 位址及瀏覽器和裝置的特徵，並代表我們處理這些資料以執行驗證。Cloudflare 自行處理資料的方式載於其隱私權政策及 Turnstile 隱私權增補條款。接著，我們的伺服器會將驗證權杖及已知的 IP 位址傳送給 Cloudflare，以確認驗證結果。Cloudflare 會回傳是否通過以及詳細結果，包括動作、主機名稱和可能出現的錯誤代碼。伺服器會依據這些資訊接受或拒絕驗證。伺服器會在後端應用程式日誌記錄每次結果，包括需要驗證、通過、失敗或略過。只有我們自己的自動化發布測試可以略過驗證。這些紀錄不屬於產品分析事件。日誌會記錄觸發標記的訊號、請求來源 IP 位址所屬的網路營運商識別碼、瀏覽器聲稱及回報的主版本、用於比對的目前主版本，以及請求識別碼。驗證失敗時，也會記錄原因及 Cloudflare 回傳的詳細結果。這些紀錄依「保留與刪除」一節所述的 CloudWatch 應用程式日誌規則保留。伺服器也會在資料庫中記錄每一次是否建立新訪客工作階段的決定，包括未執行驗證便建立工作階段的情況。每筆紀錄包含結果、觸發標記的訊號（如有）、網路營運商識別碼、瀏覽器名稱、瀏覽器聲稱及回報的主版本，以及用於比對的目前主版本。驗證失敗時另記錄原因及 Cloudflare 的錯誤代碼，建立訪客工作階段時則另存該訪客帳號的關聯。這些紀錄沒有固定的保留期限，用於評估驗證成效、偵測某一瀏覽器版本在短時間內建立大量訪客工作階段的情形，並將疑似由自動化軟體建立的訪客工作階段排除在產品使用統計之外。刪除帳號時，我們會以隨機值取代這些紀錄與您帳號的關聯，並清除網路營運商識別碼及瀏覽器版本。我們基於防止訪客帳號遭自動化濫用的正當利益進行上述處理。未遭標記的瀏覽器不會從 Cloudflare 載入任何內容。

處理目的與法律依據

我們在提供託管服務及履行與您訂立的契約所需的範圍內，處理帳號、工作區、複習、檔案及您要求使用 AI 功能時涉及的資料。我們也會處理支援請求，以便回覆您並提供您要求的協助。

我們基於瞭解服務使用情形、防止濫用、維護服務安全及排除故障等正當利益，處理有限的分析、安全、診斷及服務改善資料。我們會衡量這些利益與您的權利，並在可行時盡量減少或遮蔽診斷資料。我們也可能在履行法定義務，或提出或行使法律主張，或進行法律抗辯所需的範圍內處理資料。適用法律要求特定活動須取得同意時，我們會以同意為處理依據，您可隨時撤回同意。

我們不會出售您的個人資料，也不會利用這些資料投放鎖定特定對象的廣告。

Apple 購買與訂閱

App Store 購買款項由 Apple 處理。我們不會透過 Apple 的帳務系統取得您的付款卡或銀行資料。我們會接收並儲存購買紀錄，包括交易及產品識別碼、用來將購買項目與您的帳號關聯的應用程式帳號權杖、訂閱及試用狀態、續訂及退款資訊，以及相關日期。

我們使用這些紀錄來驗證購買、提供及恢復付費功能的使用權、處理支援請求、核對交易、保存會計紀錄及分析產品使用情形。即使您在應用程式中關閉產品分析，伺服器端仍會保留帳務紀錄。

Google Play 購買與訂閱

Google Play 購買款項由 Google 處理。我們不會透過 Google 的帳務系統取得您的付款卡或銀行資料。我們會接收並儲存購買紀錄，包括交易及產品識別碼、購買權杖、用來將購買項目與您的帳號關聯的不透明帳號識別碼、訂閱及試用狀態、續訂及退款資訊，以及相關日期。

我們使用這些紀錄來驗證購買、提供及恢復付費功能的使用權、處理支援請求、核對交易、保存會計紀錄及分析產品使用情形。即使您在應用程式中關閉產品分析，伺服器端仍會保留帳務紀錄，其中包括由伺服器記錄的帳務事件。

Stripe 購買與帳務電子郵件

網頁版訂閱款項由 Stripe 處理。Stripe 會在其託管的結帳與帳務頁面上收集您提供的電子郵件地址、姓名、帳單地址或所在地，以及付款資料。我們會與 Stripe 交換不透明的 Nibomo 帳號參照值，以及結帳、客戶與訂閱識別碼。我們收到的帳務紀錄及通知可能包含聯絡與帳務資料、金額、幣別、稅務資訊、試用與訂閱狀態、付款、退款與爭議資訊，以及相關日期。我們不會儲存完整卡號或付款卡安全碼。

我們使用這些資料履行訂閱契約、驗證並提供付費功能的使用權、管理帳務及寄送服務電子郵件。我們也會基於會計、對帳、法定義務或法律主張保留相關紀錄。帳務紀錄及由伺服器記錄的帳務事件不受產品分析開關影響。Stripe 自行處理資料的方式載於其隱私權政策。

針對透過 Stripe Managed Payments 完成的新購買，Stripe/Link 會寄送必要的付款收據、帳單、退款通知及部分訂閱通知，包括試用開始確認。其資料處理方式載於 Link 的隱私權政策。

我們透過 Resend 寄送 Nibomo 七天試用期結束前的提醒，以及透過原有 Stripe 流程處理的付款及退款收據。Resend 會取得 Stripe 客戶的帳務電子郵件地址及郵件內容，其中包括相關金額及幣別、試用結束日（如適用），以及帳務管理連結或收據連結。我們會保留寄送狀態及識別碼，以便管理重試並避免重複寄送。

分析與 Cookie

在支援此功能的情況下，價格頁面可依據請求的 IP 位址建議國家，您也可以手動更改。這項功能僅在 Nibomo 網站與網頁版應用程式共用的功能性 Cookie 中記住您選擇的國家，最長保留一年。這項偏好與分析功能各自獨立，也不會變更您的語言設定。基礎設施的日誌記錄方式另見本政策其他章節。

行銷網站使用 Vercel Web Analytics 來統計頁面瀏覽及部分網站點擊事件。該服務不使用分析 Cookie，網站則會設定下方所述的自有分析 Cookie。對於頁面瀏覽，Vercel 可能收到事件時間、頁面網址及經過篩選的查詢參數、參照來源（referrer）、概略位置、瀏覽器、作業系統及裝置類型。我們自訂的點擊事件只包含有限的屬性，例如語言與地區設定、平台、連結位置或互動類型。我們不會刻意在這些事件中加入姓名、電子郵件地址、閃卡內容或帳號識別碼。Vercel 會彙整資料，不會將個別資料點與個人或 IP 位址關聯，並會在 24 小時後捨棄其每日訪客雜湊值。瀏覽器若發出 Global Privacy Control（全球隱私控制）訊號，網站不會向 Vercel Web Analytics 傳送任何資料。

網站也會另外將事件傳送到我們自己的產品分析收集系統。每當您開啟頁面時，網站會傳送一筆頁面瀏覽事件。每個頁面最多傳送一筆頁面閱讀事件，條件是頁面已顯示至少 10 秒，且您曾在頁面上捲動、移動游標、點擊、觸碰螢幕或按鍵。點擊前往網頁版應用程式、應用程式商店或安裝目錄牌組的連結時，會傳送點擊事件。網站也會傳送您在公開牌組目錄中的搜尋、篩選、排序、換頁及開啟牌組等操作、點擊站外連結、複製代理程式端點、語言建議橫幅的顯示及您的回覆，以及下方所述的 Cookie 選擇和收集開關事件。依事件類型，這些事件可能包含頁面類型、目錄牌組頁面及安裝連結的公開套件版本識別碼、連結位置、點擊進入網頁版應用程式是為了登入、註冊還是開啟應用程式、您是在橫幅還是在本頁的分析控制項中做出 Cookie 選擇、橫幅建議的語言、頁面介面語言、瀏覽器回報的裝置語言、依使用者代理字串及用戶端提示回報的瀏覽器主版本、來源類別、裝置類別，以及瀏覽器具有下方所述的 analytics_visitor 識別碼時的該識別碼。頁面瀏覽事件還包含瀏覽器的時區、瀏覽器是否回報正由自動化軟體控制、螢幕寬度所在的區間、來源網站的主機名稱，以及您進入網站時網址中的 utm_source、utm_medium、utm_campaign、utm_content 及 utm_term 參數。來源網站的主機名稱依已知的搜尋、社群及 AI 助理網站清單回報，清單以外的網站一律記為 other。網址參數按原樣記錄，每項最多 500 個字元。頁面瀏覽事件也包含瀏覽器回報的圖形算繪器名稱、處理器核心數、完整的偏好語言清單、視窗內外尺寸及外掛程式數量。目錄搜尋、篩選、排序或換頁事件會記錄您看到的結果數量和所做的選擇，包括篩選動作（新增、選取、移除或清除）、該篩選的類別及操作後選取的篩選條件數量、排序方式，或頁碼及總頁數。從目錄開啟牌組的事件會記錄牌組的公開識別碼及您在頁面上從哪個位置開啟，不會記錄結果數量。目錄搜尋事件也會記錄您輸入的文字長度。僅在正規化後的文字不超過 64 個字元，且只包含字母、可與字母組合的符號、數字、空格及連字號時，才會一併回報文字本身。其他查詢只回報長度，且不會為符合上限而截短文字。伺服器會依各事件的來源 IP 位址推得兩字母國家代碼及該位址所屬網路營運商的識別碼（自治系統編號），並隨事件儲存。伺服器不會儲存該位址，也不會針對下方所述完全不帶識別碼的事件推得這兩項資料。我們將這兩項資料與瀏覽器版本、時區、自動化回報、螢幕寬度區間和上述瀏覽器回報的數值一併用來辨識自動化流量，並透過頁面閱讀事件瞭解頁面是否有人閱讀。只要本政策所述的目的仍有需要，這些資料就會隨事件保留。瀏覽器若發出 Global Privacy Control 訊號，網站不會請求訪客識別碼，也不會顯示同意橫幅。上述事件仍會在不帶該識別碼的情況下傳送到我們自己的收集系統，除了完全不帶識別碼的事件外，都會取得下方所述的每日識別碼。我們不會讀取 Do Not Track 設定。

託管網頁版應用程式會使用 otp_session、session、refresh 及 logged_in 等絕對必要的 Cookie，以完成身分驗證、維持工作階段、延續存取權及顯示登入狀態。停用這些 Cookie 後，瀏覽器將無法完成登入流程。

行銷網站和託管網頁版應用程式共用一個第一方分析 Cookie，即 analytics_visitor。這個 Cookie 會保存隨機產生的訪客識別碼，可由我們自己的指令碼在瀏覽器中讀取，並於 13 個月後到期。我們用它辨識前後多次造訪是否來自同一瀏覽器，以便在事件中辨認再次造訪的訪客。這個 Cookie 並非必要。此選擇只決定您的瀏覽器是否帶有該識別碼。網站是否收集任何資料由下方所述的另一個開關決定。在歐盟、歐洲經濟區及英國等需要取得同意的地區，我們只會在您同意後設定該 Cookie。網站會透過橫幅詢問您的選擇。在您回覆前，網站不會請求訪客識別碼，也不會將該識別碼附加到任何傳送的資料中。網站仍會在不帶該識別碼的情況下傳送上述事件，除了完全不帶識別碼的事件外，都會取得下一段所述的每日識別碼。在無須取得同意的地區，我們會直接設定該 Cookie。您可隨時透過本頁的分析控制項或網頁版應用程式的設定停用這個 Cookie。我們隨即會從您的瀏覽器清除該 Cookie 並停止使用。您的選擇會儲存在瀏覽器中，以免再次詢問。瀏覽器若發出 Global Privacy Control 訊號，我們會清除該 Cookie，並一併清除先前同意使用該 Cookie 的選擇。如果之後關閉該訊號，網站會將此瀏覽器視為新的瀏覽器。在需要取得同意的地區，網站會透過橫幅詢問，在無須取得同意的地區則會直接設定 Cookie。先前拒絕使用 Cookie 的選擇仍會保留並繼續適用。我們也會在橫幅顯示時記錄一筆事件，在您回覆時另記一筆。回覆事件會註明您是在橫幅還是在本頁提供相同選項的分析控制項中作答。顯示橫幅和拒絕的事件完全不帶識別碼，同意的事件則帶有您剛允許使用的識別碼。只要本政策所述的目的仍有需要，這些事件就會保留。

如果傳到收集系統的事件不帶 analytics_visitor 識別碼，例如您拒絕使用 Cookie、尚未回覆或已停用 Cookie，伺服器會將請求的 IP 位址、瀏覽器的使用者代理字串與每日更換的隨機值結合，產生暫時識別碼。隨機值以 UTC 為準，每天結束時即刪除。我們的分析系統不會儲存 IP 位址本身。此識別碼僅用於關聯同一天來自相同瀏覽器及 IP 位址的事件。我們從不將它儲存在瀏覽器中，也不會將它與 analytics_visitor 識別碼或任何帳號關聯，或附加到您的同意選擇紀錄中。當天的隨機值刪除後，就無法重新計算此識別碼。我們基於「處理目的與法律依據」一節所述的正當利益，使用此識別碼瞭解訪客如何使用網站。發出 Global Privacy Control 訊號的瀏覽器一律不會帶有 analytics_visitor 識別碼，其事件與其他沒有該 Cookie 的瀏覽器一樣，會取得這個每日識別碼。完全不帶識別碼的事件也不會取得每日識別碼或國家代碼，包括顯示同意橫幅、拒絕使用 Cookie，以及關閉或重新開啟本網站的資料收集。這些事件不帶 analytics_visitor 識別碼、每日識別碼或國家代碼，只記錄發生的動作，以及您在哪裡做出 Cookie 選擇（如適用）。

本頁的分析控制項提供關閉本網站資料收集的開關，以及上述分析 Cookie 的同意選項。您回覆橫幅後，資料收集開啟時，您也可以在此控制項中調整 Cookie 選擇。重新開啟收集時，控制項會再次提供該選項。瀏覽器若發出 Global Privacy Control 訊號，控制項只提供收集開關。我們不會向該瀏覽器提供任何分析 Cookie，因此無須提供 Cookie 選項。關閉收集時，網站會傳送最後一筆事件，只記錄收集已關閉。重新開啟時，網站會傳送對應的事件。兩者都不帶訪客識別碼、每日識別碼或國家代碼。關閉期間，網站不會將任何其他關於您此次造訪的事件傳送到我們的收集系統或 Vercel Web Analytics，也不會請求訪客識別碼。由於收集系統不會再收到其他事件，也就不會產生每日識別碼。基於「處理目的與法律依據」一節所述的正當利益，資料收集預設為開啟，您可以自行關閉。本網站沒有帳號，因此您的選擇只會儲存在做出選擇的瀏覽器中，也只在該瀏覽器生效。託管網頁版應用程式有自己的設定，iOS 和 Android 應用程式則自引入此設定的版本起提供。相關說明請見「產品分析」一節。

產品分析

託管網頁版、iOS 及 Android 應用程式會向我們傳送產品使用事件。這些事件會傳送至我們自己的基礎設施並儲存在自己的資料庫中。我們不會為這些事件使用第三方分析服務。

這些事件記錄畫面、複習工作階段的時間長度和計數，以及操作成功或失敗的情況。事件可能包含安裝及工作階段識別碼，並在適用時包含工作區及帳號識別碼。這些應用程式事件不含自由輸入的文字、閃卡或牌組內容，也不含您的電子郵件地址。

用戶端版本若支援此功能，會在每筆事件發生當下記錄介面語言。若須將事件排入離線佇列，也會先記錄語言再排入。裝置語言與介面語言分開記錄，兩者可能不同。安裝紀錄會保存用戶端提供的目前技術資訊，包括平台、應用程式版本、作業系統版本、裝置語言及時區。為維持相容性，個別事件也會保留部分技術資訊。較舊的用戶端或事件可能缺少介面語言。我們不會根據裝置語言或時區推測缺少的值。

為了分析使用者分布，我們會根據 API Gateway 從應用程式直接發出且符合條件的請求中收到的 IP 位址，推估連線來源國家。我們只在應用程式連線時取樣，以個別安裝為單位，每個 UTC 日最多取樣一次。我們使用存放於自有 AWS 基礎設施的 MaxMind GeoLite Country 資料庫查詢該位址。該位址只在處理請求時於記憶體中使用，不會存入產品分析系統，也不會傳送給 MaxMind。依我們的設定，API Gateway 存取日誌不含原始 IP 位址。網路基礎設施仍會處理 IP 位址以處理請求。國家資訊僅供概略參考，可能無法判定，也可能受 VPN 影響，無法用來確定居住地、國籍或精確位置。經由伺服器轉送的請求、AI 用戶端請求及網站事件請求都不會提供安裝的連線來源國家。另有一類事件會在不帶帳號憑證的情況下送達收集系統，包括上述網站事件、託管網頁版應用程式在登出狀態下送出的事件，以及登入服務的事件。伺服器收到這類事件時，會依請求來源位址推得兩字母國家代碼及網路營運商識別碼。該位址可能是轉送伺服器的位址。如果請求回報瀏覽器主版本，伺服器也會記錄傳送事件的瀏覽器主版本。這些資料會隨事件儲存，來源位址則不會儲存。對於完全不帶識別碼的事件，伺服器不會推得上述任何一項資料。託管網頁版、iOS 和 Android 應用程式為訪客帳號或已登入的帳號傳送事件時，也會依批次請求的來源位址，以相同方式推得兩字母國家代碼及網路營運商識別碼。託管網頁版應用程式的事件還會包含瀏覽器主版本。由於該國家代碼取自傳送該批次的請求，離線排入佇列的事件所帶的是上傳時的國家代碼。上述安裝的國家取樣仍按原方式進行，且不會套用到先前的離線事件。每次開啟託管網頁版應用程式時，該應用程式也會回報瀏覽器是否自稱正由自動化軟體控制、螢幕寬度所在的區間，以及瀏覽器回報的圖形算繪器名稱、處理器核心數、完整的偏好語言清單、視窗內外尺寸及外掛程式數量。基於「處理目的與法律依據」一節所述的正當利益，我們將這些資料與國家代碼、網路營運商識別碼及瀏覽器版本一併用來辨識自動化流量。下方所述的產品分析設定可停止收集這些資料及其他所有產品使用事件。只要本政策所述的目的仍有需要，這些資料就會隨事件保留。

連線來源國家的歷史紀錄由不連續的觀測結果組成。若取樣得到的國家未變，就延長現有期間，若有變動，就開始新的期間。期間的起訖日期無法證明兩次觀測之間每天都有活動，或持續位於同一國家。意見回饋另行記錄首次接受提交時的連線來源國家，與離線草稿的建立時間無關。

本產品含有由 MaxMind 建立的 GeoLite 資料，可向 MaxMind 取得。

是否使用分析 Cookie 及是否開啟產品分析是兩個各自獨立的選擇，任何一項都不會依另一項決定。拒絕上述分析 Cookie 或之後撤回同意，只會停用共用的訪客識別碼。系統仍會收集事件，您登入時，這些事件仍會與您的帳號關聯。

產品分析有自己的設定，可關閉這項資料收集。關閉期間，應用程式不會記錄或傳送任何產品使用事件。若 API 仍收到已關閉收集的帳號或訪客工作階段傳來的批次事件，便會捨棄該批次。基於「處理目的與法律依據」一節所述的正當利益，我們預設開啟這項設定，並允許您自行關閉。我們不會要求您同意這項收集，拒絕分析 Cookie 的人仍會預設開啟產品分析。這項設定只適用於應用程式回報的產品使用事件。錯誤及當機回報，以及我們在伺服器端記錄的服務運作情況，都不在此設定的適用範圍內。

託管網頁版應用程式的設定中有這個選項。您的選擇會保存在該瀏覽器中，登入期間也會保存在您的帳號中。即使帳號開啟了產品分析，也不會重新開啟已關閉產品分析的瀏覽器。iOS 和 Android 應用程式會將您的選擇記錄在裝置上。一旦有帳號或訪客工作階段可供儲存，也會將選擇儲存到該帳號或工作階段，並持續重試直到儲存成功。裝置會依本機記錄的選擇決定是否傳送產品使用事件，因此在別處記錄的選擇無法重新啟動此裝置的收集。iOS 和 Android 應用程式自引入這項功能的版本起，會在應用程式設定中顯示此選項。沒有此選項的已發布版本會繼續傳送事件。如果 API 仍收到已關閉這項設定的帳號或訪客工作階段所傳來的批次，就會捨棄。API 必須透過儲存了您選擇的帳號或訪客工作階段才能捨棄批次。如果安裝的應用程式兩者皆無，會依裝置上記錄的選擇停止傳送。行銷網站有自己的開關，詳見「分析與 Cookie」一節，且只在做出選擇的瀏覽器生效。

關閉設定只會停止日後的收集。產品分析事件只能新增，已記錄的事件不會因此刪除。刪除帳號時，我們會刪除關聯的安裝紀錄，並依「保留與刪除」一節所述，對保留的事件進行匿名化處理。

託管 AI 與外部 AI 用戶端

OpenAI 是我們為託管聊天、轉錄與圖片生成等功能設定的 AI 服務供應商。當您選擇使用這些功能時，我們會將執行所需的請求資料傳送給 OpenAI。這些資料可能包括您的提示詞、相關的聊天及工作區內容、附件或圖片、口述音訊，以及經假名化處理的安全識別碼。託管文字請求使用 store: false，以停用為了日後擷取而儲存回覆物件的功能。由於這些請求也使用提示詞快取，OpenAI 最多可能保留加密的快取應用程式狀態 24 小時。依照 OpenAI 目前的 API 資料控制措施，適用的濫用監控日誌最多可能保留 30 天，而 OpenAI 說明，其轉錄端點不會保留濫用監控內容或應用程式狀態。除非帳號持有人明確選擇同意，否則 OpenAI 不會使用 API 資料訓練其模型。

自 2026 年 10 月 12 日部署移除 Langfuse Cloud 的版本起，我們不再向 Langfuse Cloud 傳送新資料。既有追蹤紀錄仍依每晚執行的刪除程序在 30 天後到期。移除功能時並未立即刪除這些紀錄。Langfuse 追蹤紀錄可能包含提示詞、模型回覆、工具活動、使用者、工作區及工作階段識別碼，以及營運中繼資料。實作中會遮蔽電子郵件地址及看似含有機密資訊的欄位。自訂轉錄追蹤紀錄不含原始音訊位元組或附件資料。這些歷史追蹤紀錄曾用於除錯及服務品質分析。

傳送給 OpenAI 的工作區相關內容可能包含閃卡、複習紀錄及工具結果。傳送的圖片可能包含您選取的照片。OpenAI 的資料保留期限受其法律與安全例外規定約束，包括保留遭標記的圖片以供審查。

支援依版本管理 AI 同意的 Apple 平台應用程式，會在與 OpenAI 分享資料前徵求您的同意。您可以在設定中撤回資料分享同意，停止從該安裝發出新的 AI 請求。已送出的請求可能會繼續執行至完成。即使產品分析已關閉，我們仍會分別記錄同意及撤回同意，作為法律存證。紀錄內容包括顯示的確切文字、版本和語言、不可變更的事件識別碼和遞增的決定序號、原先通過身分驗證的操作者識別碼、目前歸屬的帳號或訪客身分識別碼、安裝識別碼、應用程式版本、組建編號和平台，以及操作時間和伺服器接收時間。撤回同意後，只要帳號或訪客身分仍存在，這些紀錄就會保留。刪除帳號或訪客身分時，會一併刪除這些紀錄，包括已移轉的訪客同意與撤回紀錄。

我們的管理員可讀取自有資料庫中儲存的託管 AI 聊天內容，包括您的提示詞、模型回覆及建議的聊天提示詞，以分析 AI 功能的使用情形並加以改善。只有營運方的管理員可以存取這些內容。

當您透過遠端 MCP 服務或 Agent API 將 Nibomo 連接到外部 AI 用戶端時，您要求該用戶端擷取的資料，也會由該用戶端及其 AI 或模型供應商處理。這項獨立的處理由用戶端營運方控制，並受其服務條款及隱私權政策約束。

資料處理者與接收方

我們的託管服務使用下列類別的服務供應商。

• Amazon Web Services（AWS）提供託管、Cognito 身分驗證、Postgres、檔案儲存、備份和營運日誌服務。
• Apple 處理 App Store 付款、購買驗證及訂閱通知。
• Google 處理 Google Play 付款、購買驗證及訂閱通知。
• Stripe/Link 處理網頁版訂閱付款、帳務管理、稅額計算及付款通知。
• Resend 寄送身分驗證及帳務相關的交易型電子郵件。
• OpenAI 處理選用的託管 AI 請求。
• Sentry 在相關託管服務或應用程式組建版本中啟用時，用於回報經過資料刪減或遮蔽的錯誤及診斷資訊。
• Vercel 提供行銷網站及其不使用 Cookie 的 Web Analytics 服務。
• Cloudflare 提供 DNS 和網域管理，以及託管網頁版應用程式為疑似由自動化軟體操作的瀏覽器建立訪客工作階段前所顯示的 Turnstile 驗證。目前 Nibomo 的 DNS 紀錄僅提供 DNS 解析，因此託管網站及應用程式的 HTTP 流量不會經過 Cloudflare 代理。

我們要求代表我們處理資料的服務供應商，依本政策及適用法律，對與其分享的使用者資料提供同等程度的保護。OpenAI 的服務協議納入其資料處理增補條款，該增補條款要求限制處理範圍、遵守保密義務、採取安全措施，並為跨境傳輸提供保障。

我們也可能依服務的協作功能，向共用工作區的其他成員揭露資料，或向您授權的外部用戶端、負有保密義務的專業顧問，或依法須揭露時向公權力機關提供資料。

跨境資料傳輸

主要的託管應用程式在 AWS 的歐盟基礎設施上運作。Resend 電子郵件及 Sentry 資料所設定的區域也位於歐洲。部分服務供應商，包括 OpenAI、Vercel 及 Cloudflare，可能在您所在國家或歐洲經濟區以外處理資料。依法須採取保障措施時，我們會對這類傳輸採用適用的適足性認定、資料處理協議、標準契約條款或同等的保障措施。

保留與刪除

• 在您的帳號或相關共用工作區仍處於使用狀態期間，我們會保留帳號及託管工作區資料。刪除帳號時，我們會從線上資料庫移除您目前的帳號資料、憑證、成員資格，以及只有您一名成員的工作區。若工作區仍有其他成員，這些成員仍可使用該工作區的內容。
• 刪除帳號後，Apple 帳務歷史仍會為會計、對帳及法律主張而保留。我們會以經假名化處理的值取代內部使用者識別碼，並清除已儲存且可歸屬於該帳號的 Apple 通知內容。仍會保留必要的購買識別碼，以及用來關聯帳號的 Apple 識別碼。Apple 仍可將這些識別碼與您連結，因此並未完全匿名化。刪除 Nibomo 帳號不會取消 Apple 訂閱。請透過 Apple 管理或取消訂閱。
• 刪除帳號後，Google 帳務歷史仍會為會計、對帳及法律主張而保留。我們會以經假名化處理的值取代內部使用者識別碼，並清除已儲存且可歸屬於該帳號的 Google 通知內容。仍會保留必要的購買權杖，以及用來關聯帳號的識別碼。Google 仍可將這些資料與您連結，因此並未完全匿名化。刪除 Nibomo 帳號不會取消 Google Play 訂閱。請透過 Google Play 管理或取消訂閱。
• 刪除帳號後，Stripe 帳務歷史仍會為會計、對帳及法律主張而保留。我們會保留 Stripe 通知的原始和解碼內容，以供帳務核對。刪除帳號時，我們會清除已儲存且可歸屬於該帳號的通知內容，並以經假名化處理的值取代內部使用者識別碼。必要的客戶、訂閱、交易、試用及用於避免重複寄送電子郵件的紀錄仍會保留。Stripe 仍可將其識別碼與您連結，因此並未完全匿名化。在刪除帳號前，我們會確認未來的 Nibomo Stripe 續訂已取消。如果無法完成這項確認，帳號就不會刪除。
• 對於尚待寄送的帳務電子郵件，我們可能會將收件人資料及郵件內容保留在資料庫中，直到 Resend 接受該郵件、寄送作業停止，或帳號遭刪除為止。Resend 接受郵件或寄送作業停止時，我們會清除這些私人資料。刪除帳號時也會清除已儲存的 Resend 郵件識別碼。其餘寄送紀錄用於避免重複寄送。上述清除作業不會刪除 Stripe 或 Resend 已持有的副本，這些副本仍適用各供應商的保留規則。
• 刪除帳號後，產品分析事件仍會保留。對於與您的帳號或其關聯訪客身分連結的事件，我們會以隨機值取代帳號識別碼、移除身分關聯，並清除安裝、工作階段、工作區、請求、裝置型號、作業系統、裝置語言、介面語言、時區、國家、網路營運商、瀏覽器版本、圖形算繪器、處理器核心數、偏好語言清單、視窗尺寸及外掛程式數量等欄位。我們會刪除關聯的安裝紀錄及其國家歷史紀錄。這些措施會移除識別資訊，但無法保證保留的事件在任何情況下都能維持匿名。
• 刪除帳號也會使您用來刪除帳號的瀏覽器中的 analytics_visitor Cookie 到期，並重設該瀏覽器的分析工作階段識別碼。如果您的分析選擇允許，該瀏覽器之後會以新的匿名訪客身分繼續運作，並使用與舊識別碼無關的新識別碼。這項處理僅適用於該瀏覽器，無法清除其他瀏覽器或裝置上的副本。如果瀏覽器封鎖寫入，或在寫入前關閉，舊識別碼會保留至自行到期。已收集的事件也不會因此改變。未登入期間記錄且從未與您帳號關聯的事件會保留原有識別碼。上述移除身分關聯的措施可防止該識別碼再被用來查回您的身分。
• 某段連線來源國家紀錄的最後一次觀測距今超過 90 天時，該段紀錄便不再納入使用者分布查詢。每日清理程序會刪除這些紀錄，實際刪除可能要等到清理程序成功執行才會完成。國家未變動的期間可能始於 90 天以前，但不代表有每日位置紀錄。首次判定的連線來源國家會另外保留在安裝紀錄中，直到該紀錄遭刪除。
• 意見回饋的連線來源國家會隨回饋紀錄保留，並在帳號刪除流程中隨該紀錄一併刪除。國家歷史紀錄的 90 天規則不適用於意見回饋。
• 只要仍在使用的工作區內容需要某個媒體檔案，我們就會保留該檔案。媒體不再被參照後，會由儲存空間清理程序刪除。未完成的暫時上傳會在 7 天後到期。
• RDS 資料庫的自動備份保留 7 天，另有每天執行的 AWS Backup 方案，備份保留 35 天。已從線上服務刪除的紀錄可能仍留在加密的復原備份中，直至這些備份到期。備份僅用於災難復原。
• API Gateway 存取日誌在 7 天後到期。其他 CloudWatch 應用程式日誌目前未設定自動到期，會保留至手動刪除為止。我們僅將這些日誌用於營運、安全及除錯。若為保障適用的資料保護權利而須刪除相關紀錄，我們會依要求刪除。
• 目前的 Sentry Developer 方案可查閱過去 30 天的事件。依目前的標準服務設定，Resend 會保留已寄送郵件的資料 30 天。
• OpenAI 的資料保留方式請見「託管 AI 與外部 AI 用戶端」一節。Langfuse Cloud 會在 30 天後刪除 AI 追蹤紀錄。供應商依本專案的存取期限，每晚永久刪除超過期限的追蹤紀錄。為履行有效的刪除請求，我們會在必要時刪除可識別身分的追蹤紀錄。
• 支援往來資料及法律或安全事項所需的紀錄，只會保留至相關目的所需的期限。Vercel 的訪客雜湊值在 24 小時後到期，彙總網站統計資料則依 Vercel 專案設定保留。

刪除帳號後，已存在於排程備份或服務供應商日誌中的副本不會立即移除。這些副本會依上述期限到期或刪除。法律要求保留更長時間時，應依法保留。

您的權利

視適用於您的法律而定，您可以要求我們讓您查閱個人資料、更正或刪除資料、限制資料的使用，或提供可供移轉的資料副本。您也可以反對基於正當利益的資料處理，並可在資料處理以同意為依據時撤回同意。這些權利可能在法律允許的範圍內受到限制，例如為履行法定義務或保障他人權利而必須保留資料時。

您可以在網頁版、iOS 或 Android 應用程式中刪除託管服務帳號。若有其他請求，請透過下方的地址與我們聯絡。我們可能需要驗證您的身分才能處理完畢。

您可向居住地、工作地，或您認為侵害發生地的資料保護機關提出申訴。在保加利亞，主管機關為個人資料保護委員會。

安全與開放原始碼

我們採用存取控制、傳輸加密、AWS 加密儲存，並在診斷系統中盡量減少或遮蔽資料。任何服務都無法保證絕對安全。

您可以透過公開原始碼查閱有文件說明的資料處理流程，以及已提交至儲存庫的設定。僅憑公開的原始碼，無法證明託管服務目前的設定或運作方式。

聯絡我們

如有隱私權問題或欲行使您的權利，請來信至 kirill+flashcards@kirill-markin.com，或使用支援頁面。

語言

本隱私權政策以多種語言發布。譯文與英文版本有出入時，以英文版本為準。