私隱政策

當你以專業人士身分使用 BonHand，我們保存：

• 帳戶資料：姓名、電郵地址、使用者名稱、密碼（僅以雜湊值儲存），以及你註冊的通行密鑰或雙重驗證憑證。如你以 Google 登入，我們會從 Google 取得你的姓名、電郵地址及個人相片。
• 業務設定：時區、語言、貨幣、國家或地區、辦公時間、專業範疇、收費、地點，以及你所發布的公開頁面內容。
• 付款資料：你的方案、訂閱狀態、發票，以及你提供給 Stripe 的帳單姓名、地址及國家或地區。我們從不查看或儲存你的信用卡號碼。
• 你建立的內容：客戶記錄、預約、筆記、付款記錄、待辦事項，以及你上載的檔案。
• 技術資料：IP 位址、瀏覽器及裝置資料、日誌與錯誤記錄；如你啟用通知，還包括用以向你的瀏覽器推送訊息的訂閱識別資料。
• 你如何得知我們：你註冊前 30 日內首次及最近一次到訪時的推廣標籤、引薦網站及到達頁面，取自下文「Cookie」一節所述的來源 cookie。

這由你決定，而非由我們決定。實際上通常包括姓名、聯絡方式、預約記錄、已付及未付款項、你所寫的筆記，以及你附加的檔案。如你的服務對象包括兒童，亦可能包括由負責照顧兒童的成人所輸入的兒童資料。

我們不會購買客戶資料，不會從其他來源補充資料，亦不會閱讀你與客戶的訊息：BonHand 根本沒有接收來訊的功能。「一切由你輸入」的唯一例外，載於以下兩節。

如你啟用客戶專頁連結，客戶只能寫入以下六項，不能寫入其他任何資料：

• 自己專頁連結的密碼，他們亦可選擇不設定。
• 自己的個人相片，並可再次移除。
• 他們聲稱已作出的付款；在你確認之前，該記錄一直維持待處理狀態，不會改變任何數字。
• 他們希望專頁使用的語言。
• 他們的時區，讓你告知的時間正確無誤。
• 上載給你的檔案，但只限你已開啟客戶上載功能；此功能預設關閉。

瀏覽公開頁面無須提供任何資料。如訪客透過聯絡表格發送查詢，我們會收集他們輸入的姓名、聯絡方式及訊息內容，並轉交該頁面所屬的專業人士。

我們亦會處理發送者的 IP 位址及 Cloudflare Turnstile 驗證權杖，以阻擋自動化提交及執行速率限制。查詢是陌生人發出的訊息，並非客戶記錄：它不會進入任何人的時間軸，也不會影響任何結餘。

如你為客戶提供了電郵地址並啟用其專頁連結，當你發布的通告或與他分享的檔案在其專頁上顯示時，BonHand 會以電郵通知他。你可在設定中關閉此類電郵。

電郵只包含你所發布的通告內容及新檔案的數目，從不包含檔案名稱或檔案內容；只有在客戶已為專頁設定密碼時，電郵才會附上專頁連結。電郵經由我們的電郵服務供應商 Resend 發送，我們不會閱讀任何回覆。

每封電郵都附有取消訂閱連結。客戶使用後便不會再收到此類電郵。你可以看到客戶已取消訂閱，但只有客戶本人可以重新訂閱。

就我們作為控制者的資料而言：

• 提供服務，包括你的帳戶、資料及訂閱。依據：履行與你訂立的合約。
• 收取款項並保存相關記錄。依據：合約，以及稅務和會計記錄方面的法律責任。
• 維持服務安全，包括速率限制、防機械人、錯誤日誌及濫用調查。依據：我們在防止服務被濫用方面的合法利益。
• 支援及改進產品，使用彙總的使用情況及錯誤資料。依據：我們在維持產品正常運作方面的合法利益。
• 了解哪些推廣有效，按用戶得知我們的途徑統計註冊人數。依據：我們在把推廣開支用於能帶來實際使用者的渠道方面的合法利益。
• 發送服務電郵，例如驗證、重設密碼、付款問題及重大變更通知。依據：合約。這些並非推廣訊息，在帳戶開立期間不可關閉。
• 發送瀏覽器通知（如你啟用）。依據：你的同意，你可以隨時在瀏覽器或設定中撤回。

我們不會出售個人資料，不會與廣告商分享，亦不會用以建立用戶剖析或作出產生法律效果的自動化決定。

當你要求 BonHand 整理某位客戶的歷史摘要或草擬訊息時，該次請求所需的內容會傳送給 AI 服務供應商，當中可能包括客戶姓名、預約記錄，以及你為他們所寫的筆記。

實際運作如下：

• 請求在關閉留存的設定下傳送，供應商在回覆後不會保存請求內容，亦不會用以訓練模型。
• 主要供應商為 OpenAI；當其無法提供服務時，會自動改用 Anthropic。兩者均列於下方的次處理者名單。
• 這些功能由你決定是否使用。如你不使用，客戶的任何資料都不會傳送給 AI 服務供應商。
• 另外，我們會借助 Anthropic 的 Claude 整理你輸入的職業、專科及程度名稱，以保持共用建議清單整齊。這些名稱傳送時不附帶你的姓名或任何帳戶資料，亦不涉及任何客戶資料。

BonHand 本身設定六個 cookie。四個用於維持網站運作；第五個用於記住邀請，只有當你透過邀請連結進入時才會存在；第六個記住你如何得知我們。我們沒有廣告 cookie、沒有追蹤像素，也沒有第三方分析工具，所以你不會看到任何同意橫額。

• 工作階段 cookie，用以維持你的登入狀態。
• CSRF 權杖 cookie，防止其他網站以你的身分提交表單。
• 語言 cookie，記住你所選的語言。
• 登入狀態 cookie，只記錄此裝置上有帳戶已登入，讓首頁可直接帶你前往控制台，而非顯示宣傳頁。它不含姓名、帳戶編號或任何可識別你身分的資料，你登出後即會移除。
• 推薦 cookie，只有當你透過邀請連結進入時才會設定，包括部分專業人士公開頁面上的註冊連結。它會記住是誰邀請你，為期 30 日，以便你註冊時對方可獲得獎賞；此 cookie 只會在註冊時讀取一次，之後便會刪除。它屬第一方 cookie，不會與任何人分享，也不會用於追蹤你。
• 來源 cookie，在你瀏覽我們自己的網頁時設定（專業人士的公開頁面除外）。它記錄你首次如何得知我們，以及最近一次如何回來：你所點擊連結中的推廣標籤、引薦你的網站，以及你到達的頁面。此 cookie 由首次到訪起計保存 30 日，不含姓名、電郵地址或帳戶編號；如你註冊，只會讀取一次，之後便會刪除。它屬第一方 cookie，不會與任何人分享。

承載 BonHand 所有流量的網絡供應商 Cloudflare 亦可能設定一個名為 __cf_bm 的安全 cookie，用以分辨真人與自動化流量。此 cookie 在閒置 30 分鐘後失效，不會用於廣告或分析。

付款時會前往由 Stripe 寄存的頁面，Stripe 會按其自身的私隱政策在該處設定其 cookie。如我們日後加入分析工具，我們會選用不設定 cookie、亦不跨網站追蹤使用者的工具，並會在啟用前更新本節。

我們只與營運服務所必需的供應商分享個人資料，名單如下。每一方均受合約約束，只可將資料用於向我們提供的服務。在法律要求時，我們亦可能披露資料；如業務日後被出售或合併，資料可能轉移予收購方，我們會就此通知你。

BonHand 是全球服務，下列供應商亦在國際間營運，因此個人資料可能在你所在地以外的地方處理，包括美國及歐盟。

資料離開歐洲經濟區或英國時，會按相關供應商的情況，依據歐盟委員會的標準合約條款、英國附錄或充分性認定進行轉移。

在你的帳戶開立期間，我們會一直保留帳戶及其中的資料，因為這正是服務的用途。之後：

• 帳戶關閉後，資料會在 30 日內刪除，載有相關資料的加密備份會在其後 30 日內輪替失效。
• 免費帳戶如連續 12 個月無人登入，會以相同方式關閉並刪除。我們會在刪除前 30 日及 7 日以電郵通知你，只要在該日前登入，帳戶便會保留。付費帳戶不會因未有使用而被關閉。
• 部分資料會在帳戶關閉後保留。如你回答了可選填的「你為甚麼離開？」問題，我們會保留該回覆，但不會保留你的姓名或電郵。如你是經推薦加入，我們會保留推薦記錄，並以你電郵的單向雜湊值取代電郵地址，以便分辨重新註冊的電郵與新電郵。你公開頁面的連結名稱會保留 12 個月，以免他人接手你的客戶可能仍在使用的網址。帳戶關閉的記錄，以及我們職員曾對帳戶作出的任何更改記錄，會為問責而保留，但會移除你的姓名及電郵。帳戶關閉的記錄會保留你電郵的單向雜湊值，以便你聯絡我們時找到該記錄；你對「你為甚麼離開？」的回覆亦會與該記錄一併保留。
• 付款及稅務記錄保留七年，因為法律有此要求。
• 公開頁面的查詢會保留至專業人士自行刪除為止，並會隨帳戶一併移除。
• 客戶經客戶專頁傳送的檔案會自動刪除：影片在傳送 30 日後刪除，其他檔案在 365 日後刪除。專業人士亦可提早刪除。
• 保安及錯誤日誌最多保留 90 日。

你可以隨時刪除個別客戶記錄，但有一項例外是為了保障你自己的記錄：已記錄的預約不可修改或刪除，因為你對已發生事情的記錄必須可靠。

所有資料均透過加密連線傳輸。密碼以雜湊方式儲存，不會以可讀形式保存，信用卡資料更完全不會到達我們的伺服器。你可以為帳戶加設雙重驗證或通行密鑰，我們建議你這樣做。

生產環境資料的存取權限，只開放給營運及支援服務所必需的人員。客戶專頁連結是無法猜測的權杖，你可以撤銷，封存客戶時亦會自動撤銷。沒有系統是絕對安全的，如你懷疑出現問題，請立即通知我們。

就我們作為控制者的資料，你可以要求我們：

• 提供資料副本，或可攜式的匯出檔案。
• 更正不準確的資料。
• 刪除資料，但受上述保留期限規限。
• 限制或反對我們基於合法利益而作出的使用。
• 撤回你曾給予的同意，而不影響撤回前已完成的處理。

請電郵至 privacy@bonhand.com，我們會在 30 日內回覆。你亦可以向你所在地的資料保障機關投訴，或向監管我們的英國資訊專員辦公室（ICO）投訴。

關於你的記錄由你的專業人士輸入，由他們決定內容及保留多久。如要查閱、更正或刪除，請直接向該位專業人士提出。這是他們的決定，他們亦可以即時處理。

如果你無法聯絡他們，請電郵至 privacy@bonhand.com，我們會協助確認相關帳戶並轉達你的要求。未經對方指示，我們不能代其更改記錄。

BonHand 帳戶只供成年人使用，我們不會在知情下讓未滿 18 歲人士開立帳戶。專業人士可能會保存兒童的記錄，例如成人代兒童安排的預約。在這種情況下，該位專業人士是控制者，並須取得家長或監護人的同意。

如你認為 BonHand 內存有未經同意的兒童資料，請電郵至 privacy@bonhand.com。

本政策更新時，我們會更新頁首的日期。如變更對你的資料使用方式有重大影響，我們會在生效前以電郵或在應用程式內通知你。