我們是誰
食後感（Plateknow）由 AI Joy Apps 製作。AI Joy Apps 是一間由創辦人獨立經營的工作室的營業名稱，也是本頁所述處理行為的資料控管者。這個 App 在 Google Play 上可能掛在創辦人個人的開發者名稱底下；無論掛的是哪個名字，AI Joy Apps 都是它背後的工作室，也是你的聯絡窗口。
隱私問題與個資請求請寄：hello@plateknow.com。信件由真人閱讀並回覆。若你位於歐洲經濟區或英國、正式請求需要通訊地址，請寄信索取，我們會提供。
本政策適用於 Android 版食後感（套件名稱 com.plateknow.app，Android 10 以上）。iPhone 版 App 與 plateknow.com 網站另有各自的政策，因為運作方式不同——例如 iPhone 版可以透過 iCloud 同步，而 Android 版完全沒有雲端同步。
重點摘要
- 沒有帳號。不用註冊、不用登入、不用 email，也沒有 Google 登入。App 從不問你是誰。
- 你的紀錄只存在你的手機上。餐點、估算、回報答案、備註與設定都放在 App 的私有儲存空間。食後感沒有雲端同步。
- 原始照片留在你的手機上。要做 AI 估算時，App 只送出一張白底的小尺寸食物去背圖；如果偵測到照片裡有人，就什麼都不送。
- Health Connect 資料留在你的手機上。它從不會被送到我們的伺服器。
- 產品分析與當機報告會送到 Mixpanel 與 Google Firebase。它們只帶固定的事件名稱、數字與標籤，從不包含你的食物、照片、備註、回報答案或 Health Connect 資料。
- 沒有廣告，也不取用廣告 ID。我們不販售資料。
| 資料 | 在你的手機上 | 會離開手機嗎？ |
|---|---|---|
| 原始照片 | 是 | 不會 |
| 食物去背圖（白底、512 像素 JPEG）與粗略提示 | 在你的手機上產生 | 只有在你要求 AI 估算時：送到我們在 Cloudflare 上的閘道服務，再由它透過 OpenRouter 轉給 AI 模型。我們的閘道服務不會儲存 |
| 紀錄：餐點、估算、回報答案、備註、身體資料、設定 | 是 | 不會——除非你開啟了 Android 備份，它可能包含在你自己 Google 帳號的備份裡（不含照片） |
| Health Connect 資料（讀取步數與體重；寫入營養） | 是 | 不會，絕不透過食後感離開 |
| 隨機安裝 ID | 是 | 送到我們的閘道服務（只以加鹽雜湊值保存）、RevenueCat、Mixpanel 與 Google Firebase |
| 產品分析事件（固定的事件名稱，加上數字、是／否或固定標籤） | 在你使用 App 時於手機上產生 | 連同隨機安裝 ID 送到 Mixpanel 與 Google Firebase Analytics |
| 當機報告 | App 當機時產生 | 連同隨機安裝 ID 送到 Google Firebase Crashlytics |
| Play Integrity 權杖 | 由 Google Play 在你的手機上產生 | 隨每一次估算請求送到我們的閘道服務，由它請 Google 驗證 |
| 購買 | App 內顯示訂閱狀態 | Google Play 帳款服務負責收款；RevenueCat 保存訂閱紀錄 |
| 你主動寄給我們的 email | — | 只有在你寄出時 |
我們處理的資料，逐項說明
隨機安裝 ID
App 第一次啟動時會產生一組隨機識別碼（UUID）。它不會跟你的姓名、email、電話號碼、Google 帳號或廣告 ID 連結，而且 App 不會讀取廣告 ID。它有三個用途：作為 RevenueCat 的顧客 ID，讓訂閱能被辨認；作為我們的閘道服務計算每日估算額度的依據；以及作為產品分析事件與當機報告的識別碼，讓同一個安裝的事件能放在一起看（見分析與當機報告）。重新安裝 App，或使用「刪除全部資料」，都會產生一組新的。
食物去背圖與估算提示
你要求估算時，處理先在你的手機上進行。App 用在裝置上執行的 Google ML Kit 主體分割找出食物，把它去背、放到白色背景上，並縮到 512 像素。如果裝置上的檢查偵測到照片裡有人，什麼都不會送出。
送出去的是那張去背 JPEG，加上幾項幫助估算的粗略提示：食物佔畫面多少、找到幾樣東西、餐別（例如「午餐」）、App 的語言、裝置的地區設定，以及容器類型（例如碗）。原始照片、你的備註、你的回報答案與 Health Connect 資料，從來不是請求的一部分。
請求會送到我們位於 plateknow.com/api/v1/food/estimate 的閘道服務（一個 Cloudflare Worker）。它透過 OpenRouter 把圖片轉給 AI 視覺模型，並回傳估算結果：菜名、熱量、碳水化合物、蛋白質與脂肪，有時還有膳食纖維、糖與鈉，以及一個信心程度。我們的閘道服務不會儲存這張圖片、不會記錄它，也不會寫進任何資料庫；它只在處理請求的期間存在於記憶體中。OpenRouter 與模型供應商會為了回覆這次請求而處理圖片，它們保存請求資料多久，依它們自己的條款決定（見資料處理者）。
「我吃了這個」或「只是好奇」。照片分析完成後，結果畫面會讓你選「我吃了這個」（預設選取）或「只是好奇」。選「只是好奇」會顯示營養估算，但不會存進你的紀錄、不會排程回報提問，而且照片與去背圖會在畫面關閉時捨棄。無論選哪一個，估算請求都完全相同——同一張去背圖送到我們的閘道服務與相同的資料處理者——也都會計入每日估算額度。
估算是選用的。自己手動記錄一餐，不會送出任何東西。
你的紀錄
餐點、估算與你的更正、回報答案、備註、選填的身體資料（體重、身高、年齡與活動量，由你自己輸入，用來計算每日參考值）以及設定，只存在你手機上 App 的私有儲存空間。我們沒有副本，也看不到。你隨時可以免費匯出成 CSV 與 JSON。
Android 備份。如果你開啟了 Android 備份，Android 可能會把紀錄的資料檔包含在你備份到 Google 帳號的裝置備份裡。照片不在備份範圍內。在有設定螢幕鎖定的手機上，這份備份會用你的螢幕鎖定 PIN 碼、圖案或密碼做端對端加密。我們讀不到它。你可以在手機的備份設定裡管理。
Health Connect
選用，在你連結之前都是關閉的。食後感會寫入你儲存的餐點營養、讀取今天的步數，以及讀取你最新的體重。這些資料留在你的手機上。詳情見下方Health Connect 一節，以及 Health Connect 說明頁。
Play Integrity
每一次估算請求都會附上一個 Play Integrity 權杖。它由 Google Play 在你的手機上產生，並綁定該次請求的雜湊值。我們的閘道服務會把權杖送給 Google，確認請求來自從 Google Play 安裝的正版食後感、而且在正常的 Android 裝置上執行。驗證結果（App 是否被辨認、裝置完整性標籤）只用於防止估算服務被濫用，並以雜湊後的安裝 ID 為鍵暫存最多 6 小時。產生權杖時，Google Play 會依 Google 自己的條款處理 App 與裝置的相關資訊。
購買
Premium 透過 Google Play 帳款服務購買。款項由 Google 收取；我們完全看不到你的卡號或 Google 帳號資料。RevenueCat 會收到與隨機安裝 ID 連結的購買紀錄（例如商品、購買權杖、日期與訂閱狀態），並告訴 App 你的 Premium 是否有效。
通知
回報提問由 Android 的 WorkManager 在你的手機上排程。沒有推播伺服器發送它們，而且通知內容從不寫出食物名稱。
你寄給我們的訊息
如果你寄 email 給我們——包括「回報這筆估算」，也就是 App 在你的郵件 App 裡備好、讓你先看過再寄的草稿——我們會收到你寄出的內容與你的 email 地址。我們只用它來回覆你、修正問題，保存期間也以此為限。
在裝置上執行的 Google ML Kit
食物去背由 Google ML Kit 在手機上完成，它透過 Google Play 服務提供。ML Kit 在裝置上處理圖片，不會把圖片送給 Google。和其他 Google Play 服務元件一樣，它可能會依 Google 的條款，傳送有限的效能與使用資訊給 Google——例如裝置型號、App 與功能版本、效能指標與錯誤代碼，以及一個為此目的使用的裝置識別碼。
分析與當機報告
App 會衡量產品是否運作正常——大家走到哪一頁引導畫面、是否打開相機並拍下照片、是否打開時間軸、何時出現付費牆，以及購買是否開始、完成、失敗或回復、某個回顧期間是否資料還不夠，以及回報提問是否在沒有回答的情況下結束。為此它使用 Mixpanel 與 Google Firebase Analytics，和食後感 iPhone 版相同；當機報告則使用 Google Firebase Crashlytics。
一個分析事件是封閉清單中的固定名稱，屬性只能是 0 到 999 的數字、是／否，或固定的一組標籤之一。沒有任何方法能把文字放進去。食物名稱、照片、備註、回報答案、營養數字或 Health Connect 資料都無處可放——不是因為我們決定不送，而是程式碼根本沒有任何地方能接收它。標籤包括顯示的是哪一頁引導畫面、你在引導中選的內建關注面向（例如「digestion」消化或「energy」精神）、付費牆從哪裡打開，以及方案是月繳還是年繳。每個事件也會標明來自 Google Play 版還是開發版。
事件會帶上隨機安裝 ID 與 Premium 是否有效。Google Firebase 也會記錄其 SDK 自動蒐集的標準資訊：App 執行個體識別碼、App 版本、Android 版本、裝置型號、語言、由網路連線推得的大略國家或地區，以及首次開啟與使用 App 的時間。Mixpanel 會附上類似的裝置與 App 資訊（例如裝置型號、Android 與 App 版本、螢幕尺寸）。當機報告包含當機當下 App 的技術狀態——堆疊追蹤、App 版本、裝置型號、Android 版本，以及記憶體與儲存空間狀態——並帶有安裝 ID。App 不蒐集廣告 ID：讀取它的權限已從 App 移除，廣告 ID 蒐集也已關閉。
分析與當機報告是維護 App 的一部分，App 內沒有關閉它們的設定，iPhone 版也是如此。「刪除全部資料」會為你的安裝重設它們（見刪除你的資料），你也可以請我們刪除已經送出的資料。
我們不蒐集的資料
我們不存取你的位置、麥克風、聯絡人、相簿或廣告 ID（分析服務只會由網路連線推得大略的國家或地區，如上所述）。匯入照片時使用 Android 系統的相片挑選器，App 只會拿到你選的那一張。
資料處理者
以下公司代表我們處理資料，而且只用於下列目的。它們都拿不到你的紀錄、原始照片或 Health Connect 資料。
| 處理者 | 收到什麼 | 為什麼 | 它的條款 |
|---|---|---|---|
| Cloudflare | 估算請求（去背圖、提示、安裝 ID、完整性權杖）以及網路連線本身，包括你的 IP 位址——我們的閘道服務不會儲存它 | 執行我們在 plateknow.com 的閘道服務 | cloudflare.com/privacypolicy |
| OpenRouter | 去背圖與估算請求。由我們的閘道服務送出而不是你的手機，所以它收不到你的 IP 位址 | 把請求轉給 AI 視覺模型 | openrouter.ai/privacy |
| AI 模型供應商（透過 OpenRouter 連接） | 去背圖與估算請求 | 產生估算結果 | 保存期間依該供應商透過 OpenRouter 適用的條款 |
| RevenueCat | 與隨機安裝 ID 連結的購買紀錄與訂閱狀態 | 記錄 Premium 是否有效 | revenuecat.com/privacy |
| Mixpanel | 產品分析事件（固定名稱、數字、是／否與固定標籤）、隨機安裝 ID、Premium 是否有效，以及 SDK 附上的裝置與 App 資訊 | 讓我們知道產品是否運作正常：引導在哪裡被放棄、相機與付費牆怎麼被使用 | mixpanel.com/legal/privacy-policy |
| Google Firebase Analytics | 同樣的產品分析事件與安裝 ID，加上其 SDK 蒐集的標準執行個體、裝置與大略位置資訊 | 同上；也和當機報告放在一起 | firebase.google.com/support/privacy |
| Google Firebase Crashlytics | 當機報告：堆疊追蹤、App 版本、裝置型號、Android 版本與記憶體狀態，並帶有安裝 ID | 找出並修正當機 | firebase.google.com/support/privacy |
| Google Play 帳款服務 | 你透過 Google 帳號進行的購買 | 收取 Premium 款項 | policies.google.com/privacy |
| Google Play Integrity API | 每一次估算請求附上的完整性權杖 | 確認是正版 App 與正常裝置，防止濫用 | policies.google.com/privacy |
| Google ML Kit（在裝置上） | 不收圖片。只有上述有限的效能與使用資訊 | 在你的手機上把食物去背 | policies.google.com/privacy |
這些供應商在美國及其他國家營運，所以資料可能在你居住國以外的地方處理。在法律要求的情況下，我們依賴這些供應商提供的保護措施，例如其資料處理條款中的標準契約條款。跨境的資料僅限於本頁描述的範圍。
食後感沒有廣告。我們不販售個人資料、不為廣告目的分享個人資料，也不跨 App 或網站追蹤你。
Health Connect
Health Connect（健康資料同步）是選用的，在你連結之前都保持關閉。連結後，食後感會使用三項權限，每一項都對應到 App 裡一個看得到的功能：
| 權限 | 存取方式 | 用途 |
|---|---|---|
| 營養 | 寫入 | 你儲存一餐之後，食後感會把那一餐估算的熱量、碳水化合物、蛋白質與脂肪（估算有的話，還有膳食纖維、糖與鈉）寫入 Health Connect。修正這一餐會更新同一筆紀錄；刪除這一餐則會移除它。 |
| 步數 | 讀取 | 今天的步數總計，顯示在「今天」畫面。 |
| 體重 | 讀取 | 你最近 30 天內最新的一筆體重，只在你於「我 → 你的身體」點「使用 Health Connect 最近的體重」時讀取，用來填入計算每日參考值的身體資料。 |
食後感只讀取今天的步數總計與你最新的體重。它不會要求讀取 Health Connect 過去資料（歷史紀錄）的權限，也不會要求在背景讀取 Health Connect 資料的權限。
- Health Connect 資料留在你的手機上：食後感從不把它送到我們的閘道服務或任何資料處理者。
- 它絕不會被販售、絕不會用於廣告，也絕不會用於信用或貸款決定。
- 它絕不會分享給第三方，也絕不會用來訓練 AI 模型。
你隨時可以在「我 → Health Connect」關閉「已連接」，或在 Health Connect 自己的設定裡撤銷食後感的權限。食後感已經寫入的紀錄會留在 Health Connect，直到你在那裡刪除。
Plateknow’s use of information received from Health Connect adheres to the Health Connect Permissions policy, including the Limited Use requirements.
（中文說明：食後感對從 Health Connect 取得之資訊的使用，遵守 Health Connect 權限政策，包括其中的「限制使用」規定。）
權限
| 權限 | 什麼時候詢問 | 做什麼用 |
|---|---|---|
| 相機 | 你打開相機時 | 拍下一餐。你也可以改用匯入照片或手動記錄。 |
| 通知 | 你儲存第一餐之後，絕不在啟動時 | 回報提問（「後來感覺如何？」），預設在餐後 2 小時與 6 小時，只在 10:00 到 22:00 之間，每天最多 3 則。通知從不寫出食物名稱。 |
| 網際網路 | 安裝時即授予 | 送出去背圖做估算，以及確認訂閱狀態。 |
| Health Connect：寫入營養、讀取步數、讀取體重 | 只有在你選擇連結 Health Connect 時 | 見Health Connect。 |
| Google Play 帳款服務 | 安裝時即授予 | 透過 Google Play 購買 Premium。 |
以上就是完整清單。食後感不要求也不存取位置、麥克風、聯絡人或相片與媒體儲存空間（匯入照片透過系統的相片挑選器），也不使用精確鬧鐘或前景服務。
資料保存多久
| 什麼 | 在哪裡 | 多久 |
|---|---|---|
| 原始照片、紀錄與設定 | 你的手機 | 直到你刪除、使用「刪除全部資料」，或解除安裝 App |
| 你分類刪除的項目 | 手機上的「最近刪除」 | 30 天，之後移除 |
| 食物去背圖 | 我們的閘道服務 | 不儲存——只在處理請求期間存在於記憶體中 |
| 食物去背圖 | OpenRouter 與模型供應商 | 依它們自己的條款 |
| 安裝 ID 的加鹽雜湊值，以及請求計數與暫存的訂閱等級 | 我們的閘道服務 | 48 小時內自動到期 |
| 防重送暫存 | 我們的閘道服務 | 10 分鐘 |
| Play Integrity 驗證結果 | 我們的閘道服務 | 最多 6 小時 |
| 原始 IP 位址 | 我們的閘道服務 | 不儲存 |
| 與安裝 ID 連結的購買紀錄 | RevenueCat | 在訂閱與我們的帳務紀錄需要的期間內保存，或直到你請我們刪除。Google Play 另有自己的訂單紀錄 |
| 與安裝 ID 連結的產品分析事件 | Google Firebase Analytics | 事件層級資料保存 2 個月、使用者層級資料保存 14 個月（有新的使用活動時重新起算），之後由 Google 刪除。由彙總數字產生的報表可能保存更久。可依請求刪除該安裝 ID 的資料 |
| 與安裝 ID 連結的產品分析事件 | Mixpanel | 依我們的帳戶設定與 Mixpanel 條款保存。事件不含任何內容，也不含能指出你是誰的資訊。可依請求刪除該安裝 ID 的資料 |
| 與安裝 ID 連結的當機報告 | Google Firebase Crashlytics | 最多 90 天，之後由 Google 刪除 |
| 你寄給我們的 email | 我們的信箱 | 在協助你所需的期間內 |
安全
- 所有網路傳輸都以 TLS（HTTPS）加密。
- 估算請求以 HMAC 簽章、附上 Play Integrity 證明，並會比對防重送暫存。
- AI 供應商的憑證只存在我們的伺服器上，從不會出現在 App 裡。
- 安裝 ID 在伺服器上只以加鹽雜湊值保存，也不儲存原始 IP 位址。
- 紀錄放在 App 的私有儲存空間，受 Android 的 App 沙箱與裝置儲存加密保護。
沒有任何系統是百分之百安全的。我們能誠實說出最有力的一句話是結構性的：真正值得被偷的東西，大多不在我們的伺服器上，因為它們從來沒有被送到那裡。
兒童
食後感的對象是年滿 13 歲的使用者，不以未滿 13 歲的兒童為對象。我們不會在知情的情況下蒐集未滿 13 歲者的個人資料。如果你認為有未滿 13 歲的兒童使用過這個 App，解除安裝就會移除手機上的一切；若有購買紀錄，也可以寫信到 hello@plateknow.com。
你的權利
在這個 App 裡，大部分權利是你自己就能行使的：你的紀錄在你的手機上，你可以免費匯出，也可以刪除。至於存放在手機以外的資料——會自行到期的雜湊計數、RevenueCat 的購買紀錄，以及與安裝 ID 連結的分析事件與當機報告——請寄信到 hello@plateknow.com，並附上「我 → 資料管理」裡顯示的安裝 ID。我們靠安裝 ID 找到紀錄，所以不需要其他身分證明。
歐洲經濟區與英國（GDPR 與 UK GDPR）
你可以要求存取、更正、刪除、限制處理或攜出你的個人資料，對處理表示反對，並隨時撤回同意。我們依據：契約履行——提供你要求的估算與你購買的訂閱；正當利益——防止濫用、計算免費額度、維護服務安全、了解哪些功能被使用並修正當機，並以分析事件無法容納文字、也不帶姓名、email 或廣告 ID 的設計加以衡平；同意——Health Connect、通知與相機等選用權限，你可以在 Android 設定裡撤回；以及法律義務——我們依法須保存的購買紀錄。你也可以向當地的個資保護主管機關提出申訴。
美國加州（CCPA/CPRA）
過去 12 個月內，我們為本頁所述目的蒐集了：識別碼（隨機安裝 ID）、商業資訊（購買紀錄）、網際網路或其他電子網路活動（App 內的產品分析事件）、裝置資訊與當機報告（包括分析服務蒐集的裝置資訊）與影像（食物去背圖，我們的閘道服務不會保存）。你可以要求知悉、刪除或更正個人資料。我們沒有販售或分享加州法律所定義的個人資料，也不會因為你行使權利而差別待遇。
台灣（個人資料保護法）
依個人資料保護法第 8 條告知：蒐集目的——提供估算服務、管理訂閱、防止濫用，以及產品分析與修正當機；資料類別——如本頁所述；利用期間——如保存期間表所列；利用地區——台灣，以及資料處理者營運所在的國家，包括美國；利用對象——上列資料處理者；利用方式——以自動化方式處理。依第 3 條，你可以請求查詢或閱覽、製給複製本、補充或更正、停止蒐集處理或利用，以及刪除。你可以選擇不提供資料：不使用 AI 估算或 Health Connect，App 的其他功能照樣可以使用。產品分析與當機報告無法在 App 內關閉；「刪除全部資料」會為你的安裝重設它們，你也可以請我們刪除已送出的資料。
韓國（個人資訊保護法）
為履行與你之間的契約而進行的境外移轉：移轉項目——食物去背圖與提示、雜湊後的安裝 ID 與完整性權杖、購買紀錄，以及帶有安裝 ID 與裝置資訊的產品分析事件與當機報告；移轉國家——美國及資料處理者營運所在的其他國家；時間與方式——在你要求估算或購買的當下，以及使用 App 期間（分析與當機報告），透過加密連線傳輸；接收者——Cloudflare、OpenRouter 與模型供應商、RevenueCat、Mixpanel 以及 Google（包括 Firebase）；目的與保存期間——如上方各表。你可以不使用 AI 估算或購買來拒絕這兩類移轉，手動記錄仍可使用。分析與當機報告無法在 App 內拒絕，但你可以請我們刪除。你可以請求閱覽、更正、刪除或停止處理。個人資訊保護負責人：AI Joy Apps，hello@plateknow.com。
刪除你的資料
- 手機上的一切：「我 → 資料管理 → 刪除全部資料」會立即清除每一個檔案與設定，並忘掉安裝 ID。它也會為這個安裝重設分析服務：Google Firebase 清除手機上的安裝 ID 與分析資料、尚未送出的當機報告會被捨棄，Mixpanel 也不再收到這個安裝的事件。無法復原。想留一份的話請先匯出。
- 部分紀錄：分類刪除的項目會移到手機上的「最近刪除」保留 30 天，之後移除。
- 解除安裝會移除 App 存在手機上的一切。它不會取消訂閱——請到 Google Play 取消。
- 伺服器端：雜湊計數會在 48 小時內自行到期（完整性驗證結果 6 小時內）。若要刪除 RevenueCat 的購買紀錄，或已經送出的分析事件與當機報告，請附上安裝 ID 寄信到 hello@plateknow.com，我們會在 30 天內完成。
沒有帳號，所以也沒有帳號需要刪除。逐步說明見 資料刪除說明頁。
不是醫療建議
食後感是飲食日記，不是醫療器材。它不診斷、治療、治癒或預防任何疾病，估算也帶有實際誤差。請見 健康免責聲明。
本政策的變更
最上方的日期就是最後一次修改的時間。任何會改變「什麼離開你的手機」的變動，都會在做出該變動的版本於 Google Play 上架之前寫在這裡；重大變更也會在 App 內告知。
聯絡我們
隱私問題、個資請求與其他任何事情：hello@plateknow.com。信會寄到 AI Joy Apps，由真人回覆。