隱私權政策

一、適用範圍

本政策適用於 Hank GEO 公開網站，以及登入後的成長工作台（以下合稱「本服務」）。本服務是提供給餐飲品牌的多租戶軟體服務：每一個品牌（租戶）的資料彼此隔離，品牌成員只能存取自己品牌的資料。

本服務的使用者是品牌的經營者與工作人員，不是一般消費者。本服務不向消費者蒐集資料，也不要求品牌把顧客名單匯入本服務。

二、我們蒐集哪些資料

本服務實際儲存的資料如下：

• 帳號資料：電子信箱、顯示名稱、所屬品牌與角色權限、帳號啟用狀態。密碼一律以單向雜湊儲存，系統無法還原成原始密碼。
• 品牌與店點資料：品牌名稱、方案與狀態、店點名稱、行政區、地址、電話、官網、營業時間、地圖座標（緯度與經度），以及您自行填入的 Google 商家地標識別碼（Place ID）；這些欄位的修改紀錄（改前、改後與操作人）會留在稽核紀錄。
• 營運資料：在地關鍵字、內容草稿與各版本、審核與退件紀錄、發布或手動發布紀錄、任務、導入進度、客戶健康分數、成效快照與提醒。
• 問題回報資料：您在站內回報問題時填寫的功能別、標題、問題描述與問題案例，以及您上傳的截圖影像；另包含我們處理該問題時記錄的分類說明、處理結果與內部工單編號。截圖存放於本服務的物件儲存，不提供任何可直接開啟的公開連結，每一次讀取都會重新驗證權限。
• 外部平台連接憑證：當您主動連接 Google 商家檔案、Facebook 或 Instagram 時，儲存該次授權取得的憑證與外部帳號顯示名稱。憑證加密／遮罩後存放，介面與 API 回應一律只回遮罩值。
• 外部平台資料：連接 Google 商家檔案後同步取得的商家檔案資料與成效數字，以及內容發布到外部平台後由平台回傳的貼文編號。逐項說明見第五節。
• 操作稽核紀錄：誰、在什麼時間、對哪一筆資料做了什麼動作。這是多租戶服務追查誤操作與越權存取的必要紀錄。
• 伺服器存取紀錄：來源 IP、時間、請求路徑與回應狀態，用於維運與資安。授權標頭與 Cookie 欄位在寫入紀錄前已遮蔽。

本服務沒有公開註冊功能，帳號一律由平台管理員建立；我們不會為了行銷目的向外部購買或交換個人資料。

三、我們如何使用這些資料

• 提供並維持本服務的功能：登入與權限控管、店點與關鍵字管理、內容產生與審核、成效整理、任務與提醒。
• 確保租戶隔離與帳號安全：所有品牌資料的查詢都以登入憑證中的租戶身分過濾，不接受由瀏覽器端指定要看哪一個品牌。
• 維運與故障排除：透過伺服器紀錄與稽核紀錄追查錯誤、異常存取與資料不一致。
• 依約定提供顧問服務：由取得授權的顧問角色檢視該品牌的成效與待辦，並提出建議。
• 協助問題確認：平台管理員為了協助確認您回報或我們發現的問題，可以在稽核下以唯讀方式、用您品牌某一位成員的身分檢視畫面與資料。每次都必須寫明原因、最長 30 分鐘；期間不能修改任何資料，也不能下載匯出檔。開始、結束與被擋下的操作都會留下稽核紀錄，您的品牌管理員可以在「店點與成員」頁看到每一次檢視的時間、檢視人、以誰的身分與原因。

我們不會把您的營運資料用於與提供本服務無關的用途。我們自己不會拿您的資料訓練任何 AI 模型，也不會為了訓練模型而把您的資料提供給任何第三方——這一段承諾沒有例外，也不因下段而減損。

我們能承諾的是我們自己的行為。資料若依第四節所述送往外部 AI 供應商，在供應商端保存多久、是否可能被用於改善其模型，取決於我們與該供應商之間的資料處理條款；該條款尚未定案，我們因此不在本節代替供應商作出承諾，也不臆測其保存政策。目前的實際狀態、以及要在什麼條件下才會有資料送出，一律載於第四節。

四、AI 內容生成會用到什麼

當您在平台中產生內容草稿時，送進生成流程的資料只有：品牌名稱、主題、發布通路、語氣設定、您建立的關鍵字，以及品類與商圈的語境描述，加上該內容模板的指令文字。帳號個資、密碼、稽核紀錄與外部平台憑證都不會被送出。

生成方式取決於平台的 AI 供應商設定：未設定外部供應商金鑰時，草稿由平台內建的模擬產生器產出，介面會標示為「模擬內容」，過程中沒有任何資料離開本服務。若平台管理員設定了外部 AI 供應商，上述欄位會傳送至該供應商的介面以取得草稿。

本服務實際使用的外部 AI 供應商為 OpenAI，且已於 2026 年 8 月 25 日啟用。供應商是平台管理員在後台的一項設定，可以被變更——本服務並未在程式層限制只能使用 OpenAI，後台若填入其他供應商的金鑰，系統就會改用該供應商（是否要加上這道限制，見下方待確認事項）。OpenAI 為我國境外的服務供應商，因此前述送出的欄位即屬個人資料的國際傳輸（跨境傳輸），且自啟用日起已實際發生。若日後實際使用的供應商改變，我們會依第十二節同步更新本節並具名列出。

另需揭露一項機制：內容生成內建雙模型交叉驗證。2026 年 8 月 30 日起，這項功能的定義是「由兩家不同品牌的 AI 供應商各自產出一次，再比對兩份內容」，因此只有在後台同時填入兩家供應商金鑰時才會啟用；啟用時，前述欄位會同時送往兩家供應商。只填一家（或都沒填）時這項功能停用，不會有第二次送出。

目前的實際狀態（2026 年 8 月 30 日查核）：平台已填入 OpenAI 金鑰（設定時間 2026 年 8 月 25 日），未填入其他供應商的金鑰。因此自該日起產生的草稿是由 OpenAI 實際產出的，前述欄位已實際送出。雙模型交叉驗證目前停用（只有一家供應商），所以沒有發生第二次送出，也沒有任何資料送往第二家供應商。該日之前產生的舊草稿仍為內建模擬產生器的產物，介面上標示為「模擬內容」。每一篇草稿是真實產出或模擬產出，介面上都會分別標示，以該篇的標示為準。

無論哪一種方式，AI 只產生草稿；是否採用、如何修改、是否發布，一律由您的團隊審核後決定。

另有第二項用途：站內問題回報的 AI 初判，已於 2026 年 8 月 30 日啟用。您送出問題單後，系統會把下列欄位送往同一家外部 AI 供應商，用來產生一份初步分類建議：問題標題、問題描述自由文字、問題案例、問題所在功能、優先級，以及附件的張數。

截圖影像本身不會送往 AI 供應商——只會告知有幾張，影像不出本服務。這是刻意的限制：平台管理員角色本來就能跨品牌檢視，截圖有可能拍到其他品牌的畫面，在下方「問題回報的送出範圍」一項定案之前，我們不送出影像。

AI 產生的是建議，不是結論：它不會變更問題單的分類，也不會關閉問題單，必須由處理人員自行判斷後採用。若平台未設定 AI 供應商金鑰或供應商呼叫失敗，系統會退回內建的規則式初判，並在畫面與工單內文上標示為「模擬初判」。

另有第三項用途：AI 行銷影片製作。您在「貼文與內容」的「影片」分頁送出影片需求後，系統分兩段處理，兩段送出的對象不同，請分別了解：

第一段是分鏡腳本，送往與上述相同的外部 AI 供應商（目前為 OpenAI），送出的欄位是：品牌名稱、您填寫的影片想法、投放通路、語氣、影片長度，以及品類與商圈的語境描述。若您沒有上傳素材，系統會再以同一家供應商產生一張分鏡畫面（送出的是該幕的英文畫面描述，不含您的任何照片）。

分鏡編輯（有聲多鏡影片）另有兩項資料會送往同一家 AI 供應商（目前為 OpenAI），請一併了解：一是每一鏡的旁白文字，送往其語音合成服務產生 AI 中文配音，配音檔存回本服務；二是參考圖：分鏡勾選「引用劇本素材」時，被引用的素材照片（可能包含您上傳的人物照片）會連同英文畫面描述送往其圖像編輯服務，合成該鏡的首幀。因此第二項的人物照片也會傳到境外的 OpenAI，屬個人資料的國際傳輸；前一段「不含您的任何照片」只適用於沒有引用素材的情形。若講者的配音選用「Higgsfield・MiniMax」（2026 年 10 月起可選），該講者影片每一鏡的旁白文字（以及試聽聲線用的固定台詞）改為送往 Higgsfield，再由其轉交 MiniMax 的語音合成服務產生 AI 中文配音，不送往 OpenAI；配音檔同樣存回本服務，成品照舊標示「AI 配音」。Higgsfield 與 MiniMax 均為我國境外的服務供應商，旁白文字若含個人資料，即屬個人資料的國際傳輸。

影片講者（2026 年 10 月 18 日起）：您可以在「講者形象」建立一位固定的影片講者，講者鏡頭的首幀固定使用講者的定裝照，並送往 Higgsfield 產生影片。AI 虛擬講者是 AI 生成的虛構人物，不使用任何真人肖像；產生定裝照時送往 OpenAI 生圖的是英文形象描述與姿勢說明，生成其他角度時會把同一位虛擬講者的主要定裝照當參考圖一併送出。講者預設不開口，旁白為 AI 語音；若您在分鏡選擇讓講者「開口講話」（數位人對嘴），該鏡的 AI 配音與您指定的背景、商品照片（您上傳的店內或商品照片）會一併送往 Higgsfield，由其產生講者對嘴講話的影片（選「Wan 2.7」路線又指定背景或商品時，會先把人物與這些照片送往 OpenAI 生圖合成一張首幀），成品全程標示「AI 生成影像・AI 配音」。用到 AI 虛擬講者的影片，系統建立發布草稿時會在說明文字附上 AI 揭露。若您選擇真人講者並上傳本人照片，該照片與人物素材相同，會當首幀送往境外的 Higgsfield，上傳前必須確認已取得本人同意（後端硬性限制）；系統不提供以 AI 生成真人照片。平台未設定 OpenAI 生圖時，系統只在本服務內產生模擬示意圖，不會送出任何資料。

第二段是影片輸出，由影片供應商 Higgsfield（Higgsfield AI）執行。這一段送出的內容是：一張首幀影像與英文畫面／運鏡提示詞。首幀影像可能是您上傳的素材照片（包含人物照片），也可能是前一段由 AI 產生的畫面。Higgsfield 為我國境外的服務供應商，因此上傳的人物影像屬於個人資料的國際傳輸（跨境傳輸）。

因此，上傳人物素材前，畫面會要求您確認已取得照片中人物的使用同意，系統會記錄這項確認的時間與操作者。未確認者無法送出——這是後端的硬性限制，不是只在畫面上提醒。若平台未設定 Higgsfield 金鑰，影片功能只會產出腳本與分鏡圖，不會輸出影片，也不會有任何影像送往 Higgsfield；系統不會以任何方式產生「模擬影片」。

影片產出後，系統會立即將成品下載並保存於本服務的儲存空間，供您線上播放與下載。供應商端的產出檔案依其服務條款會保留一段時間（官方說明為至少 7 天），該段期間屬供應商的處理範圍。

五、外部平台連接

本服務可與 Google 商家檔案、Facebook 粉絲專頁與 Instagram 商業帳號連接。連接一律由您在自己的後台主動發起，並在該平台的授權畫面上同意；您可以隨時在平台中中斷連接，我們也會一併刪除所存放的憑證。

取得的授權僅用於本服務已說明的用途：讀取您商家檔案的公開資訊以進行健檢、以及在您核准後代為發布內容。我們不會用這些授權去存取與本服務無關的資料。

以下逐項列出本服務向 Google 與 Meta 要求的授權範圍（scope／權限）、每一項的用途、取得或寫入的資料、存放位置與保存期限。清單依 2026 年 10 月 18 日的系統實際設定整理：標示「目前已要求」的是現在連接時就會出現在授權畫面上的項目；標示「改版後才會要求」的是通路授權改版或對應功能上線後才會加入的項目，在那之前不會向您要求。

（一）Google 商家檔案

另有一項不需要您授權的查詢：您在店點資料填入 Google 地標識別碼（Place ID）時，平台以本服務自己的金鑰向 Google 地點服務（Places API）查詢該識別碼是否存在，只取回地點名稱，不會用到您的 Google 帳號。

Google 資料的保存期限：

• 存取權杖與更新權杖：保存到您中斷連接為止，中斷時立即刪除；品牌帳戶刪除時一併刪除。您在 Google 帳戶的「第三方存取權」撤銷本服務後，權杖即失效。
• 商家檔案快照、成效數字與同步紀錄：目前保存到該店點或品牌帳戶被刪除為止；中斷連接不會刪除這些紀錄，系統也沒有自動刪除機制。
• 貼文發布紀錄（含 Google 回傳的貼文識別碼）：與其他發布紀錄相同，保存到品牌帳戶刪除為止。

（二）Facebook 粉絲專頁與 Instagram 專業帳號

Facebook 與 Instagram 的連接都經由 Meta 的授權畫面完成，授權時您可以選擇要開放哪些粉專與帳號。

Meta 資料的保存期限：

• 使用者權杖與粉專權杖：保存到您中斷連接為止，中斷時立即刪除；品牌帳戶刪除時一併刪除。
• 粉專與 Instagram 帳號的 ID 與名稱：中斷連接時清除。
• 發布紀錄中的貼文編號：保存到品牌帳戶刪除為止。
• 已經發布到 Facebook 或 Instagram 上的貼文，存在於 Meta 的平台上，由您在該平台管理；本服務不會替您刪除。

從 Facebook 移除本服務並要求刪除資料、或以其他方式申請刪除的步驟，以及每一種方式會刪除哪些資料，請見資料刪除說明。

（三）Google API 有限使用（Limited Use）聲明

本服務使用及移轉從 Google API 取得的資訊時，會遵守 Google API 服務使用者資料政策（Google API Services User Data Policy），包括其中的「有限使用」規定。具體來說：

• 只用來提供或改善您在本服務中看得到的功能：商家檔案健檢、成效追蹤，以及在您的團隊核准後代為發布貼文。
• 不會移轉給第三方，除非是提供上述功能所必需、為了資訊安全（例如調查濫用）、為了遵守法令，或在公司合併、收購或資產出售時並事先通知您。
• 不會用於廣告，包括個人化廣告、再行銷廣告與興趣導向廣告。
• 不會出售，也不會提供給資料仲介或資訊轉售商；不會用來評估信用或作為放款依據。
• 不會讓人員閱讀這些資料，除非事先取得您的同意、為了資訊安全、為了遵守法令，或資料已經彙總且只用於內部營運。
• 不會用來開發、改善或訓練通用的人工智慧或機器學習模型。目前來自 Google 的資料不會送往任何外部 AI 供應商；第四節列出的、送往 AI 供應商的欄位，不包含任何來自 Google 的資料。

Google 要求的英文聲明原文：

Hank GEO's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

六、Cookie 與瀏覽器儲存

本服務只使用一個登入用的 Cookie，沒有安裝任何第三方分析、廣告或行為追蹤工具。

登入後，瀏覽器會保存兩項資料：您的登入憑證，以 HttpOnly 的 Cookie 保存（網頁上的程式讀不到它，只會在向本服務送出請求時自動附上），最長保存 8 小時；以及您的顯示名稱與角色，保存在 localStorage，用來在重新整理頁面後維持畫面上的登入狀態。登出即清除；您也可以自行清除瀏覽器資料。這兩項資料保存在您的裝置上，不會被其他使用者讀取。

七、資料保存與刪除

品牌資料在服務期間持續保存，以維持成效紀錄與內容版本的連續性。當品牌帳戶被刪除時，該品牌底下的店點、關鍵字、內容草稿與版本、發布紀錄、任務、健康分數、成效快照與外部平台連接會一併刪除。

稽核紀錄在對應的品牌或使用者被刪除後仍會保留，但其中的品牌與操作者欄位會被清除為空值，只留下動作本身與時間，以維持稽核軌跡的完整而不再指向特定個人。

經由外部平台連接取得的資料，保存期限逐項列在第五節；如何申請刪除，見資料刪除說明。

八、我們如何保護資料

• 對外連線只有單一閘道入口，正式網域啟用 HTTPS 加密傳輸；資料庫不對外開放連接埠。
• 密碼以單向雜湊儲存；外部平台憑證加密／遮罩後存放，介面與 API 一律只顯示遮罩值。
• 權限採角色分級，且預設拒絕：未明確授權的操作一律不允許。
• 所有品牌資料查詢以登入憑證中的租戶身分過濾，避免跨品牌讀取。
• 寫入類操作留存稽核紀錄；伺服器紀錄在寫入前遮蔽授權標頭。

我們會持續改善安全措施，但沒有任何系統能保證絕對安全。若發生影響您資料的安全事件，我們會依確認後的通報流程通知受影響的品牌。

九、資料分享與委外

我們不販售您的資料。資料只在下列情況離開本服務：您主動連接的外部平台（見第五節）、平台管理員設定的 AI 供應商（見第四節）、我們自行維運的內部工單系統（見下段），以及法律要求或司法機關依法定程序調取時。

我們處理問題回報時，會將問題單的內容登錄於內部工單系統，以便追蹤修正進度。該工單系統是由我們自行維運的 Redmine 實例，軟體與其中的資料由我們自己管理；至於該實例所在的主機環境（自有機房、租用的虛擬主機或雲端）尚未確認，見下方待確認事項。對應專案設定為非公開，未登入者無法讀取其中的議題內容。

自 2026 年 8 月 30 日起，這項登錄由系統自動進行，不再是處理人員手動抄錄。您送出問題單後，系統會自動在該工單系統建立一則議題，內容包含：問題標題、問題描述、問題案例、問題所在功能、優先級、回報時間、回報人姓名與所屬品牌、站內問題單編號，以及第四節所述的 AI 初判全文。您上傳的截圖也會一併上傳為該議題的附件——這一點與第四節的 AI 供應商不同：截圖不會送往 AI 供應商，但會進入我們自己維運的工單系統。

這項傳送是單向的：系統只負責建立議題，不會把工單系統的內容回寫到本服務。

十、您的權利與行使方式

您可以要求查詢或閱覽、請求製給複製本、請求補充或更正、請求停止蒐集處理利用，以及請求刪除您的個人資料。

多數操作可以直接在平台中完成：帳號資料由您的品牌管理員在成員管理中維護；店點、關鍵字與內容資料由具備權限的成員自行編輯或刪除；外部平台連接可隨時中斷。

若您是透過 Facebook 授權本服務，也可以直接在 Facebook 上移除本服務並要求刪除資料，步驟見資料刪除說明。

十一、未成年人

本服務是提供給企業與品牌經營者的工作工具，不以未成年人為對象，也不會主動向未成年人蒐集個人資料。

十二、本政策的修訂

當本服務的功能、資料處理方式或委外對象改變時，我們會同步更新本政策，並更新頁面上的版本與生效日期。涉及重大變更時，會另行通知使用中的品牌。