隱私權政策 — Food Moments

本頁內容

Food Moments 根據照片和您自己的描述，估算您餐點的營養價值。它的設計初衷是讓您的資料始終屬於您：沒有廣告、沒有追蹤，也不需要姓名——您的帳號就只是您的電子郵件地址而已。您記錄的一切都儲存在這個帳號中，位於我們自己在歐盟境內的伺服器上，最近幾天的資料則保存在您的 iPhone 或 iPad 上；正因如此，新的裝置才能回復所有內容，同時還有兩個按鈕讓資料在實際上始終屬於您：一個下載全部資料，一個刪除全部資料。下文會精確說明哪些資料傳送到哪裡——而且全部都留在歐盟境內；AI 分析和聽寫都只會在您於 App 中同意後才開始，而且只有在您邀請我們時，我們才會查看您的餐點本身（§11）。

1. 負責單位

資料控管者為 Smart Backoffice Solutions B.V.，地址：Saal van Zwanenbergweg 11, 5026 RM Tilburg, Netherlands，已於荷蘭商會（KvK）登記，登記號碼為 90141482。聯絡方式：info@smart-backoffice.nl。

2. App 處理哪些資料，以及資料存放在哪裡

儲存在您的帳號中、位於我們在歐盟境內的伺服器上：

您的餐點照片、備註、更正和編輯紀錄
營養估算、模型自己對如何得出估算的說明，以及您的時間軸
您的營養檔案（出生年份、性別、體重、身高、活動量、熱量目標）
您每一天的每日目標——對於以「健康」為依據的日子，還包括計算該目標所依據的消耗能量數值（見下文）
您的時間軸背景照片（如果您選擇了自己的照片）
您標記為喜好項目的餐點照片和掃描的產品，讓它們在您再次使用時排在最前面
您的 App 設定：外觀、您的一天何時開始、您的活動資料是否來自「健康」，以及您喜歡的飲食方式——您為每日目標選擇的蛋白質、膳食纖維、蔬果、游離糖、脂肪和鹽的水準
您用自己的話告訴 App 的尺寸——您的餐盤有多寬、您的一片麵包有多重——保存這些資訊是為了讓 App 不必再猜一次
您的 iPhone 或 iPad 能夠測量的每張照片的尺寸測量結果（見下文），以及測量方式的技術細節——裝置追蹤的穩定程度、找到了哪個表面以及有多大把握；此外，自 2026年9月24日起，還包括畫面內幾百個點各自與相機的距離——這樣，即使您拍攝的東西是拿在手上而不是放在桌上，之後也能讀出它的大小。畫面以外的任何內容都不會保存
為合理使用而保存的每次分析和聽寫請求紀錄：發出時間、請求類型、由哪個 AI 模型回答、耗時多久、使用了多少資料和運算量、屬於哪一份餐點、是否成功，以及如果失敗，說明原因的簡短代碼（例如「逾時」）——絕不包含其內容（§3）
您是否開啟了「協助改善 Food Moments」以及開啟的時間（§11），以及您是否關閉了偶爾以電子郵件提問（§12）
您的訂閱，以 Apple 回報的資訊為準（見下文）
您最後一次以您的帳號使用 App 的日期，以便刪除已無人使用的帳號（§6）

這些儲存空間位於 Microsoft Azure 的西歐（West Europe）區域（§4）。您的 iPhone 或 iPad 會保留大約最近兩週的資料以便隨時顯示，當您往回捲動時再取得更早的日子；在新的裝置上登入即可回復所有內容。因此，刪除 App 已不再會刪除您的資料——刪除帳號才會，而且是在 App 中完整刪除（§6、§8）。

您的帳號刻意只包含最少的資訊：只有您的電子郵件地址，別無其他——沒有姓名，也沒有密碼。您以我們透過電子郵件寄給您的一次性六位數驗證碼登入；您登入的每台 iPhone 或 iPad 都有各自的工作階段，登出即結束該工作階段。帳號以及在其中儲存您餐點資料的法律依據：履行我們與您之間的契約（《一般資料保護規則》（GDPR）第 6 條第 1 項 (b) 款）——這種儲存*本身就是*服務——此外，由於餐點可能透露與您健康有關的資訊，還需要您的明確同意，您在建立帳號時即給予該同意（GDPR 第 9 條第 2 項 (a) 款）。刪除帳號即撤回該同意。

「健康」：如果您啟用「從『健康』取得活動資料」，App 會在這台 iPhone 或 iPad 上讀取您的靜息能量和活動能量，以設定當天的能量目標。這些讀數會留在「健康」中——絕不會傳送給 AI 模型，絕不用於廣告，App 也從不寫入「健康」。您的帳號儲存的是結果：每天的能量目標，以及計算該目標所依據的消耗能量總數，與您的每日目標一起保存，讓過去的某一天在新的裝置上仍保有其真實的目標。

您的訂閱。 訂閱透過 Apple 購買和付款（§4）。為了讓 App 知道您是否可以使用分析功能，我們會從 Apple 接收——透過 App 接收，以及在訂閱續訂、結束或退款時直接從 Apple 的伺服器接收——並與您的帳號一起儲存以下資訊：訂閱的交易編號、產品、是真實購買還是測試購買、目前週期何時結束、Apple 何時簽署這些資訊、是否已退款或撤銷、付款失敗時的任何寬限期、該週期是否為免費試用期，以及我們最後一次更新這些資訊的時間。我們不會收到任何付款資訊——沒有信用卡、沒有銀行帳戶、沒有帳單地址——也不會收到 Apple ID。法律依據：履行我們與您之間的契約（GDPR 第 6 條第 1 項 (b) 款）。這些資訊會隨您的帳號一起刪除；Apple 則依其自身條款保留其自己的購買紀錄。

您最後一次使用 App 的時間。 當您在登入狀態下 App 與我們的伺服器通訊時，伺服器會在您的帳號上記下當天的日期——每天最多一次。它不記錄您做了什麼。正是這一點讓我們能夠刪除連續 18 個月無人使用且沒有進行中訂閱的帳號（§6），而不是永久保留。法律依據：我們在不將資料保留超過其使用期間方面的正當利益（GDPR 第 6 條第 1 項 (f) 款）。

我們還營運一個閘道，每個分析和聽寫請求都會經過它，詳見 §3。它不保存您的任何餐點內容——照片、備註和錄音只是經過它，答覆一回來就消失。它確實保存的是您裝置的一個技術識別碼，以及為合理使用而保存的每次請求紀錄，兩者均於 §3 說明。

為餐點分析而傳送（僅在您同意後，見 §3）：

正在分析的這份餐點的照片
您對這份餐點的備註以及之後的任何更正
照片中找到的營養標示文字和條碼產品資訊
您最近兩週餐點的簡要資訊——最多 30 份，每份包括時間、標題以及各道菜及其份量和熱量——讓各天之間的份量保持一致；以及正在分析的這份餐點的日期、時間和語言
一次性地，對於您最近兩週內在 2026年9月19日之前分析過的每一份餐點：其標題以及各道菜及其份量、糖和重量的簡要資訊，讓 App 無需再次分析這份餐點，就能補上游離糖和蔬果資料
對於僅由掃描的產品組成的餐點：在掃描後片刻傳送這些產品的名稱、包裝規格以及產品資料庫中每 100 g 的數值，讓 App 補上產品資料庫很少列出的維生素和礦物質——不需要照片
一次性地，在 2026年9月29日的更新之後：您 iPhone 或 iPad 上的每一份餐點——大約最近兩週，以及您往回捲動後的更早日子——都會依此處所述再分析一次，使其也包含維生素和礦物質。您的裝置會把這些請求交給我們的閘道，閘道在 App 關閉期間執行它們——使用已儲存在您帳號中的照片——並將每個答覆只保留到您的裝置取回為止，隨後即刪除；刪除您的帳號會一併刪除等待中的請求和答覆
您告訴 App 的尺寸（見上文），讓份量是以您自己的餐盤而不是平均尺寸來衡量
每張照片的尺寸測量結果（如果您的 iPhone 或 iPad 能夠測量）：在食物所在的表面上，畫面橫向涵蓋多少公分、相機距離多遠、以什麼角度拿著，以及該表面上各個形狀的大小。您的裝置會在您取景時，自行根據您手部的細微移動計算這些資料——或者，如果您願意，根據觀景窗邀請您圍繞食物所做的小幅移動——在配備深度感測器的機型上也會使用該感測器。不會額外拍攝照片，畫面以外的任何內容都不會被建立地圖或保存；App 為畫面內各點保存的深度讀數已列在上文的儲存資料中。只要找到了表面，App 還會傳送該照片的一份副本，其中在該表面上畫有公分格線，並附上這項測量的可靠程度，讓模型可以從中讀取尺寸或將其擱置不用。您從圖庫中選擇的照片不帶測量結果；別人與您分享的餐點會保留其裝置所做的測量

在您聽寫備註時傳送（僅在您同意後，見 §3）：

您聽寫的錄音，用於轉錄成文字，同時附上目前已寫好的備註的最後幾句——無論是鍵入還是聽寫的——讓用詞和名稱保持一致。與餐點分析一樣，它在我們自己位於歐盟境內的 Azure 部署上處理（§3）

僅在有未完成內容時，保存在您的 iPhone 或 iPad 上：

您已開始但尚未分析的餐點——其照片、掃描的條碼和鍵入的備註——讓 App 在被關閉、當機或被系統終止時，拍攝畫面能在您離開的地方重新開啟；您已開始對某份餐點進行但尚未套用的更正也是如此。它會一直保留，直到您按下「分析」或「套用」（此時它成為您的餐點或您的更正，並依上文所述儲存在您的帳號中），或按下「取消」（此時它會被刪除）。當您登出或刪除帳號時，它也會被刪除；在您按下「分析」或「套用」之前，其中的任何內容都不會被傳送去分析
聽寫的錄音，從它完成的那一刻起——當您放開麥克風按鈕時，或在較長的備註期間大約每分鐘一次——直到其文字送達為止，通常只需一兩秒，之後即被刪除。如果暫時無法傳送（因為沒有網路或服務無法使用），它會在您的裝置上等待，並在連線恢復或您再次開啟 App 時自動傳送，您的備註會自動填入。當您取消它所屬的餐點或更正、登出或刪除帳號時，等待中的錄音也會被刪除；未經您的聽寫同意，它絕不會被傳送

兩者都保存在您 iPhone 或 iPad 上 App 的私有儲存空間中，受系統加密保護，並排除在裝置備份之外；兩者都不會上傳到您的帳號。

在您掃描條碼或照片中找到條碼時傳送：

條碼號碼，用於在公開的 Open Food Facts 資料庫中查詢（§4）。產品的名稱、包裝規格、營養數值和照片會傳回您的 iPhone 或 iPad 並保存在那裡；該照片絕不會上傳給我們，絕不會被傳送去分析，也絕不會隨您分享的餐點一起傳輸——您的裝置會從 Open Food Facts 取得自己的副本。法律依據：我們以產品本身印製的數值作為估算依據的正當利益（GDPR 第 6 條第 1 項 (f) 款）；只有在您同意餐點分析後才會進行查詢

在 App 當機、凍結或占用過多處理器或儲存資源時自動傳送：

來自 Apple 自己的裝置端當機偵測（MetricKit）的技術診斷報告——發生了哪種故障、涉及 App 的哪個部分、您的 iPhone 或 iPad 機型和 iOS 或 iPadOS 版本，以及 App 版本，讓我們能找出並修正問題。它不包含您的任何照片、備註或您鍵入的任何內容，並且是與這台裝置上的安裝而非您的帳號一起儲存。法律依據：我們在 App 正常運作方面的正當利益（GDPR 第 6 條第 1 項 (f) 款）。

為改善 App 而查看——僅限技術細節，絕不涉及您吃了什麼：

為了找出 App 在哪裡出錯，以及某項改動是否修正了問題，我們會查看它運作方式的技術細節，這些細節本來就與您的餐點一起保存，或保存在我們的閘道上：對於每張照片，您的 iPhone 或 iPad 是否能夠測量以及測量得多好（測量品質、無法測量的原因、距離和角度、裝置追蹤的穩定程度，以及它找到的各個表面是否彼此吻合）；照片的來源——相機、您的圖庫或先前的餐點；對於每次分析，由哪個 AI 模型回答、耗時多久、需要幾輪、攜帶了多少資料、是否成功，以及如果失敗，原因是什麼；以及上述當機報告。我們查看這些資訊時不涉及您的照片、備註、更正、餐點名稱或營養數值，並且只以不會指向您個人的總數進行報告（「相機能夠測量 44% 的照片」）。為此不會蒐集任何新資料：這些細節本來就存在，用於本節所述的目的。法律依據：我們在 App 正常運作並持續改善方面的正當利益（GDPR 第 6 條第 1 項 (f) 款）。您可以隨時寫信至 §1 中的地址提出拒絕；之後我們就會將您的帳號排除在外。

由您分享，從您的 iPhone 或 iPad 直接傳送到另一台裝置（不經過我們）：

當您與一起用餐的人分享這份餐點時，這份餐點——其照片及照片的尺寸測量結果、您的備註、估算、其編輯紀錄和模型的說明——會透過 AirDrop、「訊息」或您選擇的任何 App，從您的裝置直接傳送給您選擇的接收者。它不會經過我們的伺服器：我們永遠看不到它，也不保留任何副本。別人與您分享的餐點會出現在您的時間軸中，然後像您自己拍攝的餐點一樣儲存在您的帳號中。

3. AI 餐點分析——您的同意

為了計算估算值，App 會將上述資料傳送給在位於歐盟境內的 Microsoft Azure 伺服器上執行、由我們自己部署的 AI 模型（OpenAI GPT）。App 傳送的內容用於計算您的營養估算——並且僅在您開啟了「協助改善 Food Moments」的情況下，依 §11 所述用於改善 App。這些內容不會用於訓練 AI 模型。您的帳號不包含姓名，AI 模型也看不到帳號的任何資訊：送到模型的是這份餐點，而不是您是誰。

每個請求都會先經過我們自己的閘道。 這是我們在歐盟境內的 Microsoft Azure 上營運的一台小型伺服器。它的存在是為了讓 AI 服務的憑證不必放在 App 裡——否則任何人都可以從下載的檔案中取出這些憑證，並在我們的帳戶上產生費用。閘道會確認請求確實來自真正的 Apple 裝置上未經修改的 Food Moments 副本——使用 Apple 的 App Attest——並且屬於一個已登入的帳號，讓合理使用的上限是按帳號而非按裝置計算，然後再將請求轉送出去。對於分析請求，它會從您帳號的儲存空間中取出您的照片放入請求；除此之外，它不會讀取您傳送的內容，也不保留任何副本。為了合理使用和成本控管，它會按帳號為每個請求記錄一行：時間、類型、哪個模型、耗時多久、使用了多少資料和運算量、涉及哪一份餐點、是否成功——如果失敗，則記錄說明原因的簡短代碼（例如「逾時」），絕不記錄錯誤訊息或內容。您的照片、備註和錄音絕不會出現在這些紀錄或其日誌中，這些紀錄會隨您的帳號一起刪除。

為了進行這項檢查，您的 iPhone 或 iPad 會建立一把永遠不會離開裝置的加密金鑰，閘道則會儲存這把金鑰的識別碼，以及一個防止被攔截的請求遭到重送的計數器。這個識別碼是 App 的這次安裝所產生的隨機值：不包含姓名、電子郵件地址或裝置序號。在您登入期間，我們的紀錄會將它與您帳號的工作階段相關聯，因此我們將其視為個人資料。它在 App 第一次與我們的伺服器通訊時——也就是您登入時——建立，刪除 App 後它便失去作用。這一項技術紀錄的法律依據：我們保護服務免遭濫用的正當利益（GDPR 第 6 條第 1 項 (f) 款）。

App 會在第一次分析之前徵求您的明確同意（法律依據：GDPR 第 6 條第 1 項 (a) 款，以及 GDPR 第 9 條第 2 項 (a) 款，因為餐點可能透露與您健康有關的資訊）。您可以隨時撤回同意，位置在「設定」→「隱私權」；之後分析功能會保持關閉，直到您再次同意，App 的其他部分仍可正常使用。

聽寫有其單獨的同意。語音備註由我們自己在歐盟境內的 Microsoft Azure 部署上的語音模型轉錄成文字——North Europe（愛爾蘭）的 Azure Speech，以及僅用於 1.2 之前 App 版本的 Sweden Central 的 Azure OpenAI——因此聽寫錄音也在歐盟境內處理。（在 2026年10月1日之前，聽寫在全球部署上執行，錄音可能在歐盟以外處理；現在已不再如此。）App 會在您第一次聽寫之前徵求同意（同樣依據 GDPR 第 6 條第 1 項 (a) 款），您可以在同一位置撤回該同意；之後聽寫會保持關閉，您隨時可以改為鍵入備註。

餐點照片和備註可能會附帶透露與您有關的事——某種飲食方式、過敏、禁食習慣。為了盡量減少這種情況，我們只傳送正在分析的這份餐點，將結果保存在只有您能存取的您自己的帳號中，並且不在我們的閘道上儲存任何此類內容。

4. 服務提供者

Microsoft Ireland Operations Ltd.（Azure）提供基礎設施，並作為我們的處理者，依 Microsoft 的《資料保護增補條款》（Data Protection Addendum）處理分析請求和聽寫錄音。這包括 AI 部署、§3 所述的閘道——該閘道在西歐（West Europe）的 Azure Functions 上執行，其裝置識別碼和 §2 中的當機診斷則儲存在同一區域的 Azure Table Storage 中——以及您帳號背後的儲存空間（§2）：您的餐點、照片和個人檔案存放在西歐的 Azure 儲存空間中，位於歐盟境內。我們寄送的電子郵件——驗證碼、匯出連結以及 §12 所述的其他郵件——透過 Azure Communication Services 寄送，其資料位置設定在歐盟境內，寄件地址為 noreply@smart-backoffice.nl。餐點分析在 Azure 的 EU Data Zone（歐盟資料區）中執行，聽寫在 North Europe（愛爾蘭）的 Azure Speech 上執行（1.2 之前的 App 版本在 Sweden Central 的 Azure OpenAI 上執行），因此照片、備註、更正和聽寫錄音都在歐盟境內處理。Microsoft 的濫用監控會在處理時自動檢查請求，但不會儲存請求；只有被標記為可能涉及濫用的請求，才可能依 Microsoft 公布的標準程序被暫時儲存以供審查——對於歐盟部署，儲存和審查都在歐盟境內進行——之後即被刪除。Microsoft 不會使用您的資料訓練模型。
Open Food Facts（一家法國非營利組織）只會收到所掃描條碼的數字，以傳回公開的產品資訊，之後您的 iPhone 或 iPad 會從他們那裡取得該產品的照片。與任何網際網路請求一樣，他們的伺服器在技術上會看到您的 IP 位址。他們的產品資料依 Open Database License 發布，照片依 Creative Commons Attribution-ShareAlike 3.0 發布；App 在顯示這些內容時會註明其貢獻者。
Apple 發行本 App 並銷售訂閱：付款、續訂、取消和退款由 Apple 負責，Apple 作為獨立的控管者依其自身條款行事。Apple 會告知我們 §2 列出的訂閱詳細資訊，讓 App 知道您是否可以使用分析功能。當您在 App 中訂閱時，該筆購買會帶有您帳號的隨機識別碼，讓 Apple 之後關於這筆購買的訊息能與您的帳號配對；其中不包含姓名和電子郵件地址，Apple 也不會得知您餐點的任何資訊。標示讀取和條碼偵測完全在您的 iPhone 或 iPad 上使用 Apple 的裝置端框架執行——這些功能不會有任何資料離開裝置。

我們不與任何其他人分享資料。我們不出售資料。App 中沒有任何數據分析或廣告 SDK。本政策涵蓋本 App；網站 smart-backoffice.nl 有其自己的隱私權聲明，並且只有在您接受其 Cookie 橫幅後才會使用 Google Analytics。

5. 國際傳輸

餐點分析固定在 Azure 的 EU Data Zone（歐盟資料區）中，聽寫固定在歐盟境內的 Azure 區域（North Europe 和 Sweden Central）中；兩者都在歐盟境內處理。它們經過的閘道（§3）、您帳號背後的儲存空間（§2）以及寄送我們電子郵件的服務（§4）也都在歐盟境內執行，因此它們都不會增加任何傳輸：App 傳送的任何內容都不會離開歐盟。（在 2026年10月1日之前，聽寫錄音可能依 Microsoft 的標準契約條款在歐洲經濟區（EEA）以外處理；之後聽寫已移至歐盟。）

若 Microsoft 作為一家全球性公司，在例外情況下可能在 EEA 以外處理支援或遙測資料，則 Microsoft 的 EU Data Boundary（歐盟資料邊界）承諾以及同樣的標準契約條款將作為保障措施適用。

6. 保存期間

您帳號的資料會一直保留，直到您將其刪除——這正是帳號的意義所在。單一餐點可以透過滑動刪除，我們伺服器上和裝置上的都會刪除；「設定」→「帳號」→「刪除帳號」會一次清除我們持有的一切——餐點、照片、個人檔案、工作階段以及任何仍在等待中的匯出檔案。刪除 App 已不再會刪除任何內容：再次登入，一切都會回來；當您希望資料消失時，請刪除帳號。

無人使用的帳號不會永久保留。 如果一個帳號已有 18 個月未被使用——未以該帳號開啟 App，也沒有任何同步——我們會刪除它及其中的所有內容。有進行中訂閱的帳號——處於免費試用期、已付費，或處於付款失敗後的寬限期內——絕不會因未使用而被刪除。 刪除前 30 天，我們會寄電子郵件到該地址告知，並說明如何先下載全部資料；只要以該帳號開啟 App 一次，就足以保留帳號。訂閱結束本身不會刪除任何內容：您仍然可以查看您的餐點、下載它們，並隨時回來。

您的訂閱詳細資訊（§2）與您的帳號一起保存，並隨帳號一起刪除——包括帳號因未使用而被刪除的情況。訂閱本身會在 Apple 那裡持續有效，直到您在 Apple 帳號中取消為止。

帳號周邊的一切都是短期的。驗證碼只能使用一次，大約十分鐘後就會過期。「下載我的所有資料」產生的 zip 檔案會在產生幾天後從我們的伺服器上刪除（其下載連結在 24 小時後失效），而且與任何已刪除的檔案一樣，之後最多 35 天內仍可從我們的備份中回復。您為分析或聽寫傳送的任何內容都不會儲存在我們的閘道上——轉送之後即消失——Microsoft 的暫時保留情況見 §4。

在您的 iPhone 或 iPad 上，未完成的餐點或更正，以及仍在等待文字的聽寫錄音，只會依 §2 所述的期間保存：直到您完成或取消它，或直到其文字送達為止——而且絕不會超過登出或刪除帳號的時刻。

§3 所述的裝置識別碼會被保留，因為請求就是以它為依據進行檢查；某次安裝停止使用服務時，它目前還不會被自動刪除，因此我們會應要求將其刪除——請寫信至 §1 中的地址，並註明您希望移除您的裝置註冊。當您登出或刪除帳號時，它與您帳號的關聯即告結束。它不會告訴我們任何關於您吃什麼的資訊。

§3 中的合理使用紀錄——每個請求一行，以及每週和每月的計數——與您的帳號一起保存，並隨帳號一起刪除。

當機診斷（§2）保留 90 天，然後自動刪除——足以發現並修正問題，而不是永久紀錄。

電子郵件傳遞紀錄。 對於我們寄出的每封電子郵件，我們的電子郵件服務（§4）會記錄地址、時間，以及該郵件是已送達、被退回還是被接收端伺服器攔下。我們將此紀錄保留 90 天——讓驗證碼沒有送達時我們能查明原因——之後自動刪除。其中不包含驗證碼、連結或郵件的其他內容。

協助改善 Food Moments（§11）不會增加其自己的儲存：您的餐點仍留在您的帳號中。為比較而製作的工作副本會在比較完成後刪除，無論如何都會在您關閉該設定後 30 天內刪除。

我們會保留備份。 您的帳號是您餐點唯一的完整副本——您的 iPhone 或 iPad 只保留最近幾天的資料——因此我們會為其備份。照片和檔案可以回復到過去 30 天內的任一時刻，帳號的其餘部分則每晚寫入一個標有日期的檔案，同樣保留 30 天。已刪除的檔案——一張照片，或已超過保留期的夜間檔案——在永久消失之前，最多還可再回復 35 天。所有這些都與您的其他資料一起保存在歐盟境內，不用於任何其他用途。坦白說，這帶來一個後果：刪除帳號會立即清除我們在服務中持有的一切，但備份中的內容會隨著過期而逐步消失——照片大約在五週內，您帳號的夜間副本最遲在 66 天內——而不是在同一時刻消失。

7. 安全

所有傳送的資料都透過加密連線（TLS）離開您的裝置，在裝置上，您的資料則受系統內建的加密和您的裝置密碼保護。您帳號的資料現在也存放在我們的伺服器上，因此它在那裡是受到保護，而不是靠不存在來保護：它儲存在歐盟境內的 Microsoft Azure 上，並經過靜態加密；只能透過 App 本身存取，因為每個請求都必須證明——透過 Apple 的 App Attest（§3）——它來自未經修改的 Food Moments 副本，*而且*必須帶有您帳號的有效工作階段；工作階段按裝置區分，並在您登出時結束；伺服器只以雜湊值的形式儲存工作階段權杖，因此即使我們的紀錄副本遭竊，也無法用來冒充您登入。沒有可被竊取的密碼：驗證碼透過電子郵件寄送，只能使用一次，幾分鐘後即失效。

8. 您的權利

依據 GDPR，您享有查閱權、更正權、刪除權、限制處理權、資料可攜權和拒絕權，以及隨時撤回同意的權利，撤回不影響撤回前處理的合法性。App 的設計讓您可以直接行使這些權利，無需寫信給任何人：

查閱：App 會向您顯示您的餐點、個人檔案和設定，下文所述的下載內容包含所有這些資料，也包括 App 不顯示的內容，例如照片測量結果、您的訂閱詳細資訊以及您最後一次使用 App 的日期。至於其餘內容——§3 中的合理使用紀錄、當機報告、裝置識別碼——請寫信給我們，我們會寄給您一份副本。
更正：在 App 中更正任何一份餐點；在「設定」中變更您的個人檔案。
可攜性：「設定」→「帳號」→「下載我的所有資料」會讓伺服器打包所有內容——每張照片、一組可在任何電腦上瀏覽的網頁、一個試算表可讀取的表格，以及一個包含您帳號所持有一切內容的資料檔案，其中包括更正、個人檔案、設定和每日目標——並以電子郵件寄給您下載連結。
刪除：滑動刪除一份餐點，或透過「設定」→「帳號」→「刪除帳號」一次刪除所有內容。
撤回同意：分析和聽寫在「設定」→「隱私權」中撤回，「協助改善 Food Moments」則透過其自己的開關撤回（§11）。
拒絕：對於我們使用技術細節（§2），請寫信給我們；之後我們就會將您的帳號排除在外。對於我們偶爾以電子郵件提問（§12），請使用「設定」→「隱私權」中的開關。

如有其他事項或疑問，請聯絡 info@smart-backoffice.nl——我們會在一個月內答覆。您也有權向監管機關提出申訴；在荷蘭，監管機關為 Autoriteit Persoonsgegevens（荷蘭個人資料保護局，autoriteitpersoonsgegevens.nl），但您也可以聯絡您本國的監管機關。

9. 兒童

Food Moments 面向 16 歲及以上的使用者。如果有人填寫的出生年份表明其未滿 16 歲，帳戶將處於等待狀態：在家長或監護人寄送電子郵件至 info@smart-backoffice.nl 並經我們透過電子郵件確認其同意之前，不會進行任何分析，也不會新增餐點或照片。如果年份是誤填的，在「設定」中更正後帳戶將重新開放。在帳戶存續期間，我們保留該電子郵件作為同意的紀錄。家長或監護人可隨時透過電子郵件撤回同意，帳戶隨後將再次處於等待狀態。變更年份不會結束該等待狀態。匯出和刪除帳戶始終可用，App Store 訂閱將持續有效，直至在 Apple 帳戶中取消。未經該同意，除帳戶當時已有的內容外，我們不會在知情的情況下處理未滿 16 歲者的任何資料。如果您認為有兒童使用錯誤的年份建立了帳戶，請寫信至 §1 中的地址，我們將予以刪除。

10. 變更

如果 App 的資料流有所變更，本政策會在該變更上線之前更新，並註明上方的生效日期。

每項變更都會在支援頁面上公布。 小幅變更——措辭、文法、錯字、不改變您資料處理方式的釐清——只在那裡公布，不在其他地方公布。

對您的資料有重大影響的變更也會在 App 中公告，並且在其生效之前公告。而一項處理您所拍攝、書寫或說出內容的真正新的資料流——也就是分析和聽寫這一類資料流——需要的不只是公告：在您同意之前，它不會開始。有關 App 本身的新*技術*訊號，例如 §2 中的當機診斷，不會改變您的餐點或帳號的任何處理方式；它會被揭露，但不需要先取得同意，就像 §3 中的裝置識別碼已經採用的方式一樣。

11. 協助改善 Food Moments——僅在您開啟時

Food Moments 透過了解其估算在哪裡出錯而不斷改善，而盤中食物的份量正是最容易出錯的地方。在「設定」→「協助改善 Food Moments」下有一個開關，允許我們正是為此使用您的餐點。除非您將其開啟，否則它處於關閉狀態。

開啟後您允許的內容。 我們——也就是 Smart Backoffice Solutions B.V. 中製作 Food Moments 的人員，而非其他任何人——可以查看您帳號中的餐點：照片、您的備註和更正、估算及其編輯紀錄，以及隨照片附帶的尺寸測量結果。我們僅將其用於一個目的：找出 App 的估算在哪裡出錯以及原因，並檢查對 App 的改動是否能讓估算更準確。為了檢查某項改動，我們可能會使用改良後的指示，在分析您餐點的同一個位於歐盟境內的 Microsoft Azure 部署（§4）上再分析一次某份餐點；其答覆會與原始答覆進行比較，絕不會變更您時間軸中的這份餐點。餐點可能透露與您健康有關的資訊——某種飲食方式、過敏、您吃多少——因此這需要您的明確同意（GDPR 第 9 條第 2 項 (a) 款和第 6 條第 1 項 (a) 款）。這個開關就是這項同意：其標籤說明了您同意的內容，開啟即表示同意，App 會顯示您同意的日期。

它絕不允許的內容。 您的餐點不會用於訓練 AI 模型，無論是我們的還是任何其他人的。它們不會與任何人分享、不會被出售、不會被公開發布，也不會用於廣告。我們得到的認識會以不指向您個人的一般性結論和總數形式保存（「首次估算平均偏差 15%」）。沒有人會因此聯絡您。

您的餐點保存在哪裡。 與以前一樣，保存在您的帳號中，位於歐盟境內。當比較需要工作副本——一張照片及其舊估算和新估算——該副本只保存在我們自己的加密電腦上，僅在比較進行期間保存，之後即刪除。

將其關閉。 您可以隨時在同一位置將其關閉，就像開啟它一樣容易；您的其他裝置會在幾分鐘內跟著變更。從那時起，我們不再查看您的餐點，並會立即刪除其任何工作副本，最遲在 30 天內刪除。撤回不會撤銷撤回之前已進行的處理（GDPR 第 7 條第 3 項），不再指向您個人的一般性結論也會保留。無論開啟或關閉，App 中的其他內容都不會改變。刪除您的帳號也會將其關閉，以另一個帳號登入時，它從關閉狀態開始。

12. 我們寄送的電子郵件

我們只會寫信到您用來登入的電子郵件地址，而且只出於兩類原因。

屬於服務一部分的電子郵件： 您的驗證碼、您下載內容的連結、無人使用的帳號被刪除前 30 天的通知（§6）、我們必須告知您的本政策或條款的變更，以及服務的終止。法律依據：履行我們與您之間的契約（GDPR 第 6 條第 1 項 (b) 款）。

偶爾的提問。 除此之外，我們很少寫信——只在有重要事項時，或是徵詢您的意見：哪些對您有用、哪些沒用、您希望有什麼。我們不寄送廣告，也不寄送電子報。法律依據：我們聽取 Food Moments 使用者意見的正當利益（GDPR 第 6 條第 1 項 (f) 款）。您可以隨時透過「設定」→「隱私權」→「偶爾以電子郵件提問」提出拒絕（GDPR 第 21 條）：關閉後，我們就不會再寄任何提問給您。除非您將其關閉，否則它處於開啟狀態；它會隨您的帳號同步到您的其他裝置，而且每封此類電子郵件的結尾都會用一句話說明在哪裡關閉它。是否回覆始終由您決定。

13. 與大學合作的研究

我們可能會與大學和研究機構合作，進行有關營養和本 App 的研究或實地實驗。只有在您對某項特定研究給予了單獨的知情同意後，您的資料才會用於該研究。 在您做出決定之前，您會被告知由誰進行研究、研究涉及哪些內容、會使用您的哪些資料、使用多久，以及如何退出。每項研究在開始之前都會經過倫理委員會的審查。參與始終出於自願；您可以隨時退出，無需說明理由，也不會受到任何不利影響，而且您的同意會針對每項研究分別記錄。如果您不同意，您就永遠不會參與，您的任何資料都不會用於該研究。 這與*協助改善 Food Moments*（§11）是分開的：開啟該功能不會讓您參與研究，同意參與研究也不會開啟該功能。