私隱
私隱政策
本譯本僅為方便閱讀而提供。如本譯本與英文版本有任何歧異，概以英文版本為準，惟你居住地的強制性法律規定中文版本具效力者除外。
開始之前
- Soyo 會將你的對話、心情紀錄、記憶及個人資料保存在你的 iPhone 上。如已開啟 iCloud，亦會保存在你的私人 iCloud。我們不會在我們的伺服器上保留副本。
- 經你同意後，Soyo 會傳送你近期的訊息、你的個人資料及近期感受的摘要、與你所說內容相關的記憶、你最新的一張相片，以及（如你允許）簡短的健康及天氣描述。這些資料會經我們在 Cloudflare 上運行的伺服器，傳送至位於美國的 Google Gemini 模型。Google 會將這些資料保留最長 55 日，以檢查濫用情況。
- 我們不會出售你的資料，亦不會展示廣告。我們及我們的 AI 供應商均不會使用你的對話訓練 AI 模型。
- Soyo 是 AI，供 18 歲或以上的成年人使用。分享甚麼由你決定。你可在「設定」中撤回同意及刪除你的資料。
關於我們
本政策適用於 Soyo App 及 heysoyo.com。Soyo 由 Soyo 的提供者提供（下稱「我們」）。App Store 會將我們列為銷售者。本政策所述的個人資料，由我們決定 Soyo 使用該等資料的目的及方式，因此我們是該等個人資料的控制者，在香港即《個人資料（私隱）條例》所指的資料使用者。在日本，我們是處理該等個人資料的業務經營者；在韓國，我們是個人資料控制者。
Soyo 是供 18 歲或以上成年人使用的 AI 陪伴者。有關私隱的查詢及要求，請電郵至 hello@heysoyo.com。我們會應要求提供郵寄地址。
如我們在歐盟或英國提供 Soyo，將在此列明我們的代表。
我們並未委任保障資料主任。如法律有所規定，我們將會委任。
你的裝置及 iCloud
Soyo 會在你的 iPhone 上儲存以下資料：
- 你的對話；
- 你的對話名稱（由 iPhone 上的模型命名）；
- 你分享的相片，以及 App 從相片中讀取的內容；
- 你在「今日的一句話」中的提問及回答；
- 你的心情紀錄：你分享了五種心情（喜悅、平靜、難過、擔心或生氣）中的哪一種，以及分享的時間；
- 你的記憶（請參閱Soyo 記得的事）；
- 與回覆一併顯示的求助卡片；
- 你的個人資料、同意紀錄及設定。
你的個人資料可包括你的名字及年齡範圍、你來到 Soyo 的原因、你的日常生活，以及你心中掛念的話題；亦可包括你近幾星期的感受、你的睡眠、支持你的人，以及對你有幫助的事；此外，還可包括一段你以自己的話寫下的文字、你的回覆風格、提醒時間及你的頭像。
小工具。App 會將你最近 40 日的心情紀錄製成一份小型副本，存放在你 iPhone 上一個只有 Soyo 及其小工具才能讀取的空間（App Group）。「美好時刻」小工具會使用這份副本，顯示你這個月的美好時刻。這份副本不會傳送至 iCloud 或我們的伺服器。小工具可放在你的主畫面或鎖定畫面上，其他人亦可看到。
iCloud。如你的裝置已為 Soyo 開啟 iCloud，Soyo 亦會將這些資料保存在你私人 iCloud 資料庫中屬於 Soyo 的部分。此安排與你是否使用「使用 Apple 登入」無關。這讓 Soyo 可在新裝置上，或在你重新安裝 App 後，取回你的資料；在取回任何資料前，App 會先詢問你。如 iCloud 已關閉、無法使用或空間已滿，資料只會保留在你的裝置上；在此情況下，近期的更改可能不會同步至 iCloud。
iCloud 由 Apple 按其與你之間的條款營運。我們對你的私人 iCloud 資料庫並無管理存取權限，亦無法瀏覽其內容。App 只會在你的裝置上為提供服務而讀取該資料庫；例如，App 會讀取你的對話，以傳送訊息取得回覆。
加密。Soyo 儲存在 iCloud 的文字會以加密欄位存放，包括你的對話及其名稱、App 從相片中讀取的內容、求助卡片、「今日的一句話」、心情紀錄、記憶及你的個人資料。你的裝置會使用你 iCloud 鑰匙圈中的密鑰為這些欄位加密。這些密鑰受到何種保護，由 Apple 決定；你的 iCloud 設定（例如「進階資料保護」）會改變有關保護。Apple 在其 iCloud 資料保安概覽中有相關說明。
須知事項。刪除 App 並不會刪除 iCloud 上的副本。如你為 Soyo 關閉 iCloud 或登出 iCloud，iOS 可能會從此裝置移除 Soyo 的副本，但 iCloud 上的副本會保留。你的 iPhone 可能會將 Soyo 的資料納入裝置備份。
密碼。選用的密碼可在共用裝置上鎖住 Soyo，但不會為你的資料加密。Soyo 絕不會儲存你的密碼，只會將其經加鹽處理的慢速雜湊值（PBKDF2）作為一個項目，儲存在你的 iCloud 鑰匙圈中。Apple 會為 iCloud 鑰匙圈進行端對端加密。Soyo 亦會在 iCloud 鍵值儲存空間保留兩個小標記：一個顯示你在 iCloud 中有 Soyo 資料，另一個顯示密碼鎖已開啟。iCloud 鍵值儲存空間並非端對端加密。Face ID 或 Touch ID 須在每部裝置上分別開啟；有關功能由 iOS 處理，Soyo 絕不會收到生物特徵資料。
你的裝置會設定每日提醒，以及在你需要時，於免費試用結束前提醒你。這些提醒都留在你的裝置上。
撰寫回覆時傳送的資料
Soyo 只會在你給予同意後，才將資料傳送至我們的伺服器（請參閱你的同意）。當 Soyo 在我們的伺服器上撰寫回覆時，App 會傳送：
- 當前對話中你的訊息及 Soyo 的回覆（伺服器只會使用最近的部分）；
- 你的回覆語言，以及你 iPhone 的語言及地區設定；
- 你的個人資料摘要，以及你最近兩星期心情紀錄的摘要；
- 與你最新所說內容相關的記憶（請參閱Soyo 記得的事）；
- 如你允許，來自 Apple「健康」的簡短描述及有關天氣的簡短描述（請參閱健康、天氣及語音）；
- 你最新一則訊息所附的相片，以及你的裝置為較早前的相片所製作的描述（請參閱相片）；
- App 在這段對話中偵測到的最高安全級別。
我們的伺服器在 Cloudflare Workers 上運行。伺服器會經 Cloudflare AI Gateway 或直接將請求傳送至 Google 的 Gemini API，亦會檢查你最新的訊息有否危機跡象；在此檢查完成前，你不會收到任何回覆（請參閱安全檢查）。如 Gemini 沒有回應，Cloudflare Workers AI 上的模型可能會撰寫回覆。該模型在 Cloudflare 上運行，不會有任何資料傳送至開發該模型的公司。
就「今日的一句話」而言，App 會傳送你所寫的問題（如有）及你的語言設定。伺服器會以同樣方式檢查該問題有否危機跡象。
我們的伺服器不會儲存你的訊息、個人資料、記憶或相片，亦不會記錄其內容。我們為每個請求關閉 AI Gateway 的日誌記錄。
Google 會處理每個請求以傳回回覆。Google 以付費服務形式向我們提供 Gemini API；根據其條款，Google 不得使用你的提示及回覆改善其產品。Google 會將提示、隨提示傳送的資料及回覆保留最長 55 日，以偵測濫用及違反其政策的行為；在此期間，獲授權的 Google 員工可為此目的審閱這些內容。Google 在其 Gemini API 使用政策中有相關說明。Cloudflare 不會使用 Workers AI 的內容訓練模型（請參閱 Cloudflare Workers AI 資料使用說明）。我們不會使用你的對話訓練 AI 模型。
在你未同意時，或我們的伺服器無法回應時，如你的 iPhone 具備裝置端模型，Soyo 會用它來寫回覆，這時不會傳送任何內容至我們的伺服器。Soyo 亦會用這個模型為你的對話命名，以及根據你這個月的心情紀錄寫下一張簡短的小紙條。這項工作不會使用我們的伺服器。這張每月小紙條只會留在你的 iPhone 上。
Soyo 記得的事
Soyo 可從你的對話中保留簡短的記憶，讓你無須重複解釋。記憶的內容可以是你生活中的人、正在發生的事、你的期望、你希望 Soyo 如何與你說話、曾對你有幫助的事，或一個重要的日子。如你曾經談及，記憶亦可能包含敏感資料，例如你的健康、感受或人際關係。
記憶如何產生。每隔幾輪對話，以及在你離開對話或 App 時，App 會將兩項內容傳送至我們的伺服器：對話中最近的部分，以及 App 已保存的記憶。最近的部分最多為 40 則訊息，只包括文字，絕不包括相片。伺服器會要求 Gemini 提出最多五項更改建議，並會刪除任何關於自殺或自我傷害的建議，以及任何看似長串數字的內容，例如卡號、電話號碼或證件號碼。伺服器不會保留任何內容，並會將建議傳回 App；App 在儲存前會再次檢查。Soyo 絕不會覆寫你親自編輯過的記憶。
記憶如何使用。每次由伺服器回覆時，App 會將與你最新所說內容最相關的記憶，作為背景資料傳送至我們的伺服器及 Gemini，篇幅最多只有數百字。有關 Google 如何處理這些記憶，請參閱撰寫回覆時傳送的資料。
記憶存放位置。存放在你的裝置上；如已開啟 iCloud，亦會以加密欄位存放在你的私人 iCloud（請參閱你的裝置及 iCloud）。我們不會保留副本。
由你控制。除非你將記憶功能關閉，否則該功能會保持開啟。在「設定 › 記憶」中，你可查看、編輯、釘選或刪除每則記憶；你可使用「全部忘記」刪除所有記憶，亦可關閉記憶功能。記憶功能關閉時，Soyo 不會產生新的記憶，亦不會隨你的訊息傳送已儲存的記憶。當你撤回同意時，Soyo 不會將任何資料傳送至我們的伺服器，因此記憶功能不會學到任何內容。當你刪除一則記憶時，Soyo 會即時移除其文字；一個不含文字的小標記會保留最長 60 日，讓你的其他裝置亦刪除該則記憶。刪除對話不會刪除從該對話產生的記憶；「全部忘記」不會刪除你的對話；「刪除資料 › 所有資料」及「刪除帳戶」則會將兩者一併刪除。
你的同意
在 Soyo 將任何資料傳送至我們的伺服器前，App 會請你作出三項同意：
- 你已年滿 18 歲，並接受使用條款及本私隱政策。
- Soyo 可使用你所分享的內容（包括你的感受及健康狀況）回覆你，並記住對你重要的事。
- 你所分享的內容會經我們在 Cloudflare 上運行的伺服器，傳送至位於美國的 Google Gemini 模型，以撰寫回覆、記憶及朗讀回覆。這些內容包括你的訊息、個人資料摘要、記憶、健康及天氣描述、相片，以及你要求朗讀的回覆文字。
Soyo 會在你的個人資料中，記錄你接受了哪個版本的同意事項及接受的時間。
未經你同意，Soyo 不會將你所寫或分享的任何內容傳送至我們的伺服器。Soyo 仍可在你的 iPhone 上運作：如你的 iPhone 設有模型，回覆及「今日的一句話」會由 iPhone 上的模型產生；朗讀會使用 iPhone 本身的聲音；記憶功能不會學到任何內容。如你在同意前寫下顯示可能身處危機的文字，Soyo 會在你的 iPhone 上顯示一則固定訊息及求助熱線，不會傳送任何資料。
你可隨時在「設定 › 私隱 › 同意」中撤回同意，Soyo 便會停止上述所有傳送。撤回同意並不影響撤回前已進行的處理，亦不會刪除你的資料（請參閱保存及刪除）。Google 可將已收到的請求保留最長 55 日。
Apple「健康」、位置、通知、相機及麥克風均為獨立的選用權限。你可在 iPhone 的「設定」中逐一關閉，Soyo 其後便會停止使用該項權限。
相片
當你附上相片時，App 會將該則訊息所附的最新相片傳送至我們的伺服器及 Gemini。App 會先製作一份較小的 JPEG 副本，當中不包含原檔案的元數據（例如 GPS 座標）。App 亦可能以文字形式傳送以下資料：相片的拍攝時間、拍攝地點所在的城鎮或城市、相機型號，以及該相片是螢幕截圖、自拍照，還是剛以相機拍攝的相片。App 亦可能傳送你的 iPhone 從相片中讀取的內容：相片中看似出現的物件、其中的任何文字，以及相片中有多少張臉孔。App 絕不會傳送相中人物的身分。對話中較早前的相片只會以上述描述的形式傳送。
為找出城鎮或城市，App 會讀取相片中儲存的位置；如相片是你在 Soyo 內用相機拍攝，而你已允許存取位置，則會使用你 iPhone 的當前位置。App 其後會向 Apple 的地圖服務查詢地點名稱。Apple 按其本身的私隱政策接收這些座標；我們的伺服器絕不會收到這些座標。
相片會與你的對話一併儲存在你的裝置上；如已開啟 iCloud，亦會儲存在你的私人 iCloud。未經他人許可，請勿分享他人的相片或其個人資料。
健康、天氣及語音
這些功能均屬選用。你可在 iPhone 的「設定」及 Soyo 中控制這些功能。
- Apple「健康」：如你連接 Apple「健康」，Soyo 可讀取你的睡眠、心率變異度、靜止心率、步數、靜觀分鐘數及「心理狀態」，並可將你的心情紀錄以「心理狀態」寫入 Apple「健康」，每項紀錄均附有一個標籤，例如開心、平靜、難過、擔心或生氣。Soyo 會在你的 iPhone 上，將你的讀數與你自己近日的狀況作比較；數值絕不會離開你的 iPhone。在「健康」存取權限開啟期間，簡短的比較描述（例如「比平時睡得少」）會隨你的訊息傳送至我們的伺服器及 Gemini。這些描述屬健康資料，只會在你給予同意後才傳送。如要停止傳送，請在「健康」App 或 iPhone 的「設定」中關閉 Soyo 的存取權限，或撤回你的同意。我們的伺服器不會儲存這些描述。Soyo 只會將今天最新的「心理狀態」紀錄（來自任何 App）及比較描述，用於在首頁建議一種心情；這項建議只會留在你的 iPhone 上。只有在你選擇一種心情並傳送訊息後，Soyo 才會儲存該心情。Soyo 不會將「健康」資料用於廣告或市場推廣，亦不會診斷任何病症。
- 位置及天氣：如你開啟「附近的天氣」並允許存取位置，你的 iPhone 會取得你的大概位置（精確度約 1 公里），並傳送至 Apple WeatherKit 以取得當前天氣。只有數個字的描述（例如「微雨，清涼」）會隨你的訊息傳送至我們的伺服器及 Gemini。你的裝置會將這些描述保留一小時。
- 語音輸入：語音辨識在你的 iPhone 上運行。App 不會將你的錄音傳送至我們的伺服器；轉換所得的文字會與輸入的訊息一樣處理。
- 朗讀：iPhone 本身的聲音會在裝置上朗讀回覆。「自然的聲音」屬 Soyo Pro 的功能。這些聲音會將 Soyo 回覆的文字（而非你的訊息）經我們的伺服器傳送至 Google 的語音模型；有關請求會經已關閉日誌記錄的 Cloudflare AI Gateway，或直接傳送至 Google。聲音由 AI 生成。App 會播放音訊，並可能在你的裝置上保留一份副本（最多約 40 MB）。我們的伺服器不會保留音訊。未經你同意，Soyo 只會使用 iPhone 本身的聲音。
安全檢查
為保障你的安全，我們的伺服器會檢查每個請求中最新的訊息，找出自殺或自我傷害、暴力、虐待及醫療緊急情況的跡象，亦會找出試圖更改 Soyo 規則的行為，以及撰寫者可能未滿 18 歲的跡象。檢查會使用一份詞彙清單，以及一個在 Cloudflare Workers AI 上運行的 AI 分類器。
檢查結果決定 Soyo 如何回應：一般回覆、簡短而審慎的回覆，或附有求助熱線的固定訊息；結果亦決定會否顯示求助卡片。我們的伺服器不會儲存檢查結果，我們亦不會將其用於任何其他用途。除非你向我們傳送診斷紀錄（請參閱支援訊息），否則其他人不會看到該結果。求助卡片可能會與對話一併儲存在你的裝置上及 iCloud。
Cloudflare 會告知我們的伺服器請求來自哪個國家或地區。我們只會使用此資料顯示你所在地的緊急電話號碼，以及在我們沒有適用於你 iPhone 地區的求助熱線時，選擇要顯示的求助熱線。我們不會儲存此資料。
在你給予同意前，App 會在你的 iPhone 上檢查危機詞彙。如發現危機詞彙，App 會在你的 iPhone 上顯示一則固定訊息及當地的求助熱線，不會傳送任何資料。
沒有任何人監察你的對話。Soyo 絕不會代你聯絡緊急服務或任何其他人。這些檢查不會作出對你產生法律效力或類似重大影響的決定。對於被用作濫用服務的 Soyo ID，我們可予以封鎖；為此，我們會在伺服器上為該 ID 保留封鎖標記。完整流程請參閱Soyo 如何回應危機。
帳戶、服務及購買紀錄
App 會在請求中使用一個隨機的 Soyo ID 及一個已簽署的裝置權杖。該 ID 儲存於你裝置的「鑰匙圈」及你的個人資料中，並非你的姓名或電郵地址。新安裝的 App 會取得新的 ID，除非你從 iCloud 取回你的資料。「使用 Apple 登入」會將 Apple 身分權杖傳送至我們的伺服器；伺服器會加以驗證，並儲存你專屬於 Soyo 的 Apple 用戶識別碼與你的 Soyo ID 之間的連結。我們不會儲存你的 Apple 電郵地址。Apple 可能會向 App 提供你的名字，以用於你的個人資料。登出 Soyo 不會移除此連結；刪除帳戶則會將其移除。
Cloudflare 會處理網絡及營運資料（例如 IP 地址及請求資料），以提供服務、找出錯誤及限制濫用。Cloudflare 會將技術性的請求紀錄保留最長 7 日，以運作及保護服務。這些紀錄包含時間、路徑、狀態、錯誤，以及你的 IP 地址等請求詳情，但不包含你訊息的內容。我們的伺服器亦會限制一部裝置傳送請求的頻率，以及一個 IP 地址登記新裝置的頻率。
App Store 的付款由 Apple 處理。RevenueCat 負責處理你的 Soyo Pro 狀態，並會收到你的 Soyo ID、購買及訂閱紀錄，以及來自其 SDK 的技術資料，例如 App 及裝置的詳情和你的 IP 地址。我們不會將對話、個人資料文字或相片傳送至 RevenueCat，亦不會收到你的付款卡資料。請參閱 RevenueCat 的私隱資訊。
支援訊息及本網站
如你以電郵聯絡我們，我們會收到你的電郵地址及你所寫的內容。在 App 中，「設定 › 意見回饋 › 報告問題」會開啟一封電郵，當中附加 App 版本、裝置型號、iOS 版本、語言、地區，以及你是否擁有 Soyo Pro。如你使用 Apple 的「郵件」App，該電郵亦會附上最近 5 日的診斷紀錄。你在傳送前會看到整封電郵。診斷紀錄記錄 App 執行了甚麼操作，例如執行時間、錯誤代碼及回覆的安全級別，絕不會記錄你所寫或所說的內容。除非我們有需要，否則請勿附上對話內容或健康詳情；如你附上這些內容，我們只會用以回覆你。這些訊息由一間電郵服務供應商代我們處理（請參閱服務供應商）。我們會保留支援電郵直至你的要求獲得解決；其後，只會在跟進或履行法律責任所需的期間內保留。
本網站為靜態網站，並無分析 SDK、廣告追蹤器、第三方字型或遠端指令碼。我們不會設定作追蹤用途的 Cookie。Cloudflare 會處理基本的請求資料，以提供及保護本網站。當你開啟外部連結或傳送電郵時，相關供應商的私隱措施即告適用。
我們不會出售個人資料，亦不會為針對性廣告而分享個人資料。我們不會在 Soyo 內展示廣告。
服務供應商
我們只會與下列供應商分享個人資料，並只限於本政策所述的目的。我們與他們訂立的合約規定，他們對個人資料的保護最少須達到本政策的水平。我們不會出售個人資料。只有在法律規定或為保護某人的生命時，我們才會向其他人披露個人資料。
| 供應商 | 為 Soyo 提供的服務 | 資料 | 所在地 | 條款 |
|---|---|---|---|---|
| Cloudflare, Inc. | 運行我們的伺服器及本網站；AI Gateway；Workers AI（安全檢查、後備回覆）；鍵值儲存空間；請求紀錄 | 每個請求在處理期間的內容；IP 地址；Soyo ID 及裝置權杖；「使用 Apple 登入」連結；封鎖標記；請求紀錄 | 美國；全球網絡 | 資料處理附錄 |
| Google LLC（Gemini API） | 回覆、記憶建議、「今日的一句話」、「自然的聲音」 | 每個請求的內容（請參閱撰寫回覆時傳送的資料） | 美國 | Gemini API 條款；資料處理條款 |
| RevenueCat, Inc. | Soyo Pro 狀態 | Soyo ID、購買及訂閱紀錄、App 及裝置詳情、IP 地址 | 美國 | 資料處理附錄 |
| Apple | iCloud、「使用 Apple 登入」、App Store 付款、WeatherKit、地點名稱、裝置端語音及模型 | 如本政策所述 | Apple 營運所在地 | Apple 與你之間的條款及私隱政策 |
此外，亦有一間電郵服務供應商處理我們的支援電郵，我們將在此列明其名稱。
當你開啟外部連結（例如求助熱線的網站）時，你的請求會傳送至該網站，並受該網站本身的政策規管。
跨境轉移及保安
我們的供應商位於美國，並在全球營運。當你使用 Soyo 時，你的資料會傳送至美國並在當地處理，亦可能在我們的供應商營運所在的其他國家或地區處理。這些國家或地區未必設有與你所在地同等的資料保障法律。
歐洲經濟區、英國及瑞士
如供應商已獲「歐盟－美國資料私隱框架」、其英國延伸安排或「瑞士－美國資料私隱框架」認證，向該供應商轉移資料即以該認證為依據；如未獲認證，則以供應商資料處理條款中的歐盟委員會標準合約條款（連同英國附加條款）為依據。Cloudflare 的資料處理附錄涵蓋上述兩者；RevenueCat 的資料處理附錄採用標準合約條款。你可向我們索取這些保障措施的副本。
日本
日本個人資料保護委員會（PPC）並未將美國認定為具備與日本同等制度的國家。PPC 已公布有關美國制度的資料。我們的供應商按照規定其須採取保安措施、履行保密責任及限制使用範圍的合約處理你的資料。你在 App 中同意將你的資料傳送至美國（你的同意中的第 3 項同意）。本政策向你提供有關該國家、其制度及上述措施的資料。
韓國
由於提供你所要求的服務有此需要，我們會按下表將個人資料轉移至境外。
| 接收者 | 國家 | 項目 | 轉移時間及方式 | 目的 | 保存期間 |
|---|---|---|---|---|---|
| Google LLC | 美國 | 訊息、個人資料摘要、記憶、心情紀錄、健康及天氣描述、最新的相片、供朗讀的回覆文字 | 每次提出回覆、記憶建議、「今日的一句話」或朗讀請求時，經加密連線轉移 | AI 處理 | 最長 55 日 |
| Cloudflare, Inc. | 美國（全球網絡） | 上述相同項目，以及 IP 地址及 Soyo ID | 每次請求時，經加密連線轉移 | 寄存、安全檢查、後備回覆 | 不會儲存；請求紀錄最長 7 日 |
| RevenueCat, Inc. | 美國 | Soyo ID、購買紀錄、裝置詳情 | App 啟動時及你購買時，經加密連線轉移 | Soyo Pro 狀態 | 在你的訂閱需要的期間內 |
你可拒絕將你的內容轉移至 Google 及 Cloudflare。如要拒絕，請勿給予同意，或在「設定 › 私隱 › 同意」中撤回同意。在此情況下，Soyo 將無法由伺服器撰寫回覆，只能在你的 iPhone 上運作。
保安
與我們伺服器之間的連線均經加密。你的裝置、Apple 帳戶及 iCloud 的保護，亦取決於你的裝置及 Apple 設定。沒有任何服務能夠保證絕對安全。
法律依據
本節適用於法律規定須具備法律依據的情況，例如在歐洲經濟區及英國。
| 目的 | 資料 | 法律依據 | 健康及其他敏感資料 |
|---|---|---|---|
| 撰寫回覆、「今日的一句話」及朗讀 | 訊息、個人資料摘要、心情紀錄、記憶、健康及天氣描述、相片 | 合約（第 6(1)(b) 條） | 你的明確同意（第 9(2)(a) 條） |
| 記住重要的事（記憶） | 部分對話內容、記憶 | 合約（第 6(1)(b) 條） | 你的明確同意（第 9(2)(a) 條） |
| 安全檢查及求助卡片 | 最新的訊息、請求來自的國家或地區 | 保護你及本服務的正當權益（第 6(1)(f) 條）；切身利益（第 6(1)(d) 條） | 你的明確同意（第 9(2)(a) 條） |
| Apple「健康」 | 上文所列的「健康」資料 | 同意（第 6(1)(a) 條） | 你的明確同意（第 9(2)(a) 條） |
| 天氣及相片地點名稱 | 大概位置、城鎮或城市 | 同意（第 6(1)(a) 條） | — |
| 裝置權杖、「使用 Apple 登入」連結、刪除帳戶 | Soyo ID、Apple 用戶識別碼 | 合約（第 6(1)(b) 條） | — |
| Soyo Pro | Soyo ID、購買紀錄 | 合約（第 6(1)(b) 條）；稅務及會計方面的法律責任（第 6(1)(c) 條） | — |
| 保安、防止濫用、請求紀錄、頻率限制、封鎖標記 | IP 地址、請求詳情、Soyo ID | 正當權益（第 6(1)(f) 條） | — |
| 支援 | 電郵地址、訊息、報告詳情 | 合約或正當權益（第 6(1)(b) 或 (f) 條） | 如你選擇提供，則為你的明確同意（第 9(2)(a) 條） |
| 本網站 | 請求資料 | 正當權益（第 6(1)(f) 條） | — |
我們的正當權益是維持 Soyo 的安全及可用性、防止濫用，以及保護可能身處危險的人士。你可反對以正當權益為依據的處理（請參閱你的權利）。法律並無規定你須向我們提供資料。由伺服器回覆需要你的同意；如無你的同意，Soyo 只能在你的 iPhone 上運作。選用權限絕非必要。
保存及刪除
資料保存期間
| 資料 | 存放位置 | 保存期間 |
|---|---|---|
| 對話、相片及相片描述、「今日的一句話」、心情紀錄、個人資料、同意紀錄、記憶、求助卡片 | 你的裝置；如已開啟 iCloud，亦包括你的私人 iCloud | 直至你刪除為止（請參閱各項控制會刪除的內容） |
| 供小工具使用的心情紀錄副本 | 你的裝置（App Group） | 只保存最近 40 日；每次有更改後，App 會重新寫入 |
| Soyo 為你每個月寫的小紙條 | 你的裝置 | 直至你刪除心情紀錄或刪除 App 為止 |
| 已刪除記憶的標記（ID 及日期，不含文字） | 你的裝置；iCloud | 最長 60 日 |
| 密碼雜湊值 | iCloud 鑰匙圈 | 直至你關閉密碼鎖或刪除帳戶為止 |
| 兩個標記（iCloud 中有 Soyo 資料、密碼鎖已開啟） | iCloud 鍵值儲存空間 | 直至你刪除帳戶為止 |
| Soyo ID | 你裝置的「鑰匙圈」；你的個人資料 | 直至你刪除帳戶為止，其後 App 會產生新的 ID。新安裝的 App 亦會產生新的 ID，除非你從 iCloud 取回你的資料。 |
| 請求內容 | 我們的伺服器 | 只在處理請求期間 |
| 請求內容 | Google（Gemini API） | 最長 55 日，以偵測濫用 |
| 請求內容 | Cloudflare Workers AI 及 AI Gateway | 不會儲存（日誌記錄已關閉） |
| 請求紀錄（不含訊息內容） | Cloudflare Workers Logs | 最長 7 日 |
| 你的 Apple 用戶識別碼與 Soyo ID 之間的連結 | Cloudflare 鍵值儲存空間 | 直至你刪除帳戶為止 |
| 封鎖標記 | Cloudflare 鍵值儲存空間 | 直至我們解除封鎖為止 |
| 訂閱紀錄 | RevenueCat；Apple | 在你訂閱期間，其後按稅務及會計法律規定的期間保存 |
| 支援電郵 | 我們的電郵服務供應商 | 直至你的要求獲得解決；其後只在跟進或履行法律責任所需的期間內保存 |
| 診斷紀錄 | 你的裝置 | 5 日（最多 8 MB） |
| 朗讀的回覆及天氣描述 | 你的裝置 | 朗讀的回覆保存至 iOS 將其清除為止（最多約 40 MB）；天氣描述保存一小時 |
各項控制會刪除的內容
| 你的操作 | 會刪除的內容 | 會保留的內容 |
|---|---|---|
| 刪除一段對話 | 在你所有已同步的裝置上，該段對話及其相片和求助卡片 | 從該對話產生的記憶；你的個人資料；心情紀錄；「今日的一句話」 |
| 設定 › 刪除資料 › 對話 | 在你所有已同步的裝置上，所有對話及其相片和求助卡片，以及所有「今日的一句話」的提問及回答 | 你的心情紀錄、記憶及個人資料 |
| 設定 › 刪除資料 › 心情 | 你所有已同步裝置上的所有心情紀錄；Soyo 寫入 Apple「健康」的「心理狀態」紀錄；Soyo 為你每個月寫的小紙條。小工具將不再顯示這些內容。 | 你的對話、記憶及個人資料；其他 App 寫入的「心理狀態」紀錄 |
| 設定 › 刪除資料 › 所有資料 | 「對話」及「心情」會刪除的所有內容，以及所有記憶 | 你的個人資料、密碼、Soyo ID、「使用 Apple 登入」連結及訂閱 |
| 設定 › 記憶：刪除一則記憶，或「全部忘記」 | 相關記憶的文字，即時刪除（不含文字的標記會保留最長 60 日） | 你的對話 |
| 關閉記憶功能，或撤回同意 | 不會刪除任何內容，只會停止傳送。 | 所有已儲存的內容 |
| 登出（如你使用「使用 Apple 登入」） | App 中的連結 | 你裝置上及 iCloud 中的所有內容；我們伺服器上的連結 |
| 刪除 App | 此裝置上的副本 | iCloud 上的副本、「鑰匙圈」項目、iCloud 標記，以及我們伺服器上的連結 |
| 為 Soyo 關閉 iCloud，或登出 iCloud | iOS 可能會移除此裝置上的副本 | iCloud 上的副本 |
| 設定 › 刪除帳戶 | 你所有已同步裝置上的對話、「今日的一句話」、心情紀錄、個人資料及記憶；密碼雜湊值；iCloud 標記；Soyo ID；我們伺服器上的「使用 Apple 登入」連結。如你使用「使用 Apple 登入」，我們亦會要求 Apple 撤銷 Soyo 的存取權限。 | 你的訂閱（請在你的 Apple 帳戶中取消）；Apple 及 RevenueCat 的購買紀錄；Google 保留最長 55 日的請求；保留最長 7 日的請求紀錄；封鎖標記；較早前的裝置備份；Apple「健康」中的「心理狀態」紀錄（請先使用「刪除資料 › 心情」刪除，或在「健康」App 中刪除）；支援電郵 |
如你使用「使用 Apple 登入」，「刪除帳戶」會要求你再次使用 Apple 登入，讓我們的伺服器能移除該連結。如刪除時某部裝置處於離線狀態或 iCloud 已關閉，iCloud 上的副本可能會保留。如要查核，請開啟 iPhone 的「設定 › [你的名稱] › iCloud › 管理帳戶儲存空間」。如 Soyo 列於其中，你可刪除其資料。
刪除 Soyo 資料並不會取消訂閱。取消方法載於支援頁面。你亦可在 Apple 帳戶設定中，停止透過 Apple 帳戶使用 Soyo。如要求我們刪除你的 RevenueCat 紀錄或支援電郵，請電郵至 hello@heysoyo.com。如法律有所規定，我們可保留部分紀錄。
你的權利及各地區資訊
你可在 App 中查看及編輯你的個人資料和記憶、刪除你的資料、控制權限，以及撤回同意。視乎你的居住地，你亦可能有權：
- 查閱、更正或刪除你的個人資料，或取得其副本；
- 反對或限制資料處理；
- 撤回同意；
- 拒絕出售、針對性廣告或個人特徵分析（我們並無進行上述任何一項）；
- 向資料保障機構投訴。
你大部分的資料存放在你的裝置及你的 iCloud，由你直接控制。我們只持有「使用 Apple 登入」連結、封鎖標記、支援電郵及訂閱紀錄。如要就這些資料行使你的權利，請電郵至 hello@heysoyo.com。我們可要求你確認有關要求確實由你提出，例如要求你從 App 內傳送要求。
我們會在以下期限內回覆：
- 歐洲經濟區及英國：一個月（如屬複雜要求，我們可延長兩個月）；
- 日本：不會延誤；
- 韓國：10 日；
- 香港：40 日；
- 台灣：視乎要求類別，15 日或 30 日；
- 美國各州：45 日。
我們不會因你行使權利而給予你差別待遇。在美國，你可就拒絕提出上訴：只須回覆我們的答覆，並註明「Appeal」（上訴）一詞。如我們駁回你的上訴，你可聯絡你所在州份的總檢察長。
歐洲經濟區及英國
你可向你居住或工作所在地的資料保障機構投訴，例如西班牙的 AEPD、意大利的 Garante、法國的 CNIL 及英國的 ICO。如我們在歐盟或英國提供 Soyo，將在關於我們一節列明我們的代表。
日本
- 業務經營者：Soyo 的提供者（即 App Store 上 Soyo 頁面所列的銷售者）。我們會應要求，毫不延誤地提供姓名及地址。
- 使用目的：提供回覆、記憶、「今日的一句話」及朗讀；保障人們的安全；管理你的帳戶及訂閱；回覆支援要求及解決問題；以及維持服務的保安。
- 要求：你可要求我們披露、更正、停止使用或刪除我們所持有關於你的個人資料，亦可要求我們披露向第三方提供資料的紀錄。請電郵至 hello@heysoyo.com。我們不會收取任何費用。
- 保安措施：本政策訂明我們處理個人資料的規則。只有營運者本人可存取存放個人資料的系統。連線均經加密。我們的伺服器不會儲存對話。我們的供應商按合約運作，並在美國處理資料（請參閱跨境轉移）。
- 投訴：hello@heysoyo.com。
韓國
- 個人資料保障負責人：Soyo 的營運者（hello@heysoyo.com）。
- 委託處理：Cloudflare（寄存、安全檢查）、Google（AI 處理）、RevenueCat（訂閱）及我們的電郵服務供應商（支援）。
- 境外轉移：請參閱跨境轉移中的表格。
- 向第三方提供：我們不會向第三方提供個人資料。
- 銷毀：資料的保存期間屆滿或你刪除資料時，我們會將其刪除。我們以電子方式刪除資料，使其無法還原。
- 補救途徑：你可聯絡個人資料糾紛調解委員會（1833-6972，kopico.go.kr）、KISA 個人資料侵害舉報中心（118，privacy.kisa.or.kr）、大檢察廳（1301）及韓國警察廳（182）。
台灣
收集者為 Soyo 的提供者（即 App Store 上 Soyo 頁面所列的銷售者）。本政策說明收集資料的目的及資料類別；保存及刪除列明保存期間。我們在台灣、美國及我們的供應商營運所在的地區使用這些資料；服務供應商列明接收者。我們以電子方式處理這些資料。台灣《個人資料保護法》第 3 條賦予你對你的資料享有的權利：你可要求查詢或閱覽、製給複製本、補充或更正、停止收集、處理或利用，或刪除你的資料。如你不提供資料或不給予同意，Soyo 將無法由伺服器撰寫回覆，只能在你的 iPhone 上運作。
香港
本政策列明資料的使用目的，以及資料可能移轉予的人士類別。提供資料屬自願性質，但由伺服器回覆需要這些資料。作為資料當事人，你可要求查閱及更正你的個人資料。請電郵至 hello@heysoyo.com。我們會在 40 日內回覆。
越南
在我們於越南提供 Soyo 之前，我們會以越南文公布越南法律所規定的通知。
只限成年人
Soyo 只供 18 歲或以上人士使用。陪伴型聊天機械人未必適合部分未成年人。App 會在你開始使用時詢問你的年齡範圍，未滿 18 歲人士無法繼續使用。在 Soyo 傳送任何資料前，App 亦會要求你確認你已年滿 18 歲。如我們的安全檢查顯示某人可能未滿 18 歲，Soyo 會令其回覆保持適合未成年人的內容，並避免涉及浪漫或性的內容，亦會鼓勵對方與其信任的成年人談談。
我們不會在知情的情況下收集未滿 18 歲人士的資料。由於對話儲存在用戶本身的裝置及 iCloud，我們無法看到對話內容。如你認為有未成年人正在使用 Soyo，請與我們聯絡。我們會刪除伺服器上就該裝置所持有的資料，並可封鎖該裝置。
變更
本政策如有變更，我們會更新本頁頂部的日期，並按法律規定將重要變更通知你。如某項變更需要你的同意，App 會在傳送任何資料前再次徵求你的同意。如有疑問，請電郵至 hello@heysoyo.com。