隱私政策
01我們是誰
LeWell 由位於泰國曼谷的 LEWELL Co., Ltd.（“LeWell”或“我們”）營運。對於由我們決定處理方式和目的的個人資料，我們是資料控制者。如有隱私問題或請求，請聯繫 privacy@lewell.app。
LeWell 僅供年滿18歲的人士使用。我們不會明知而為未滿18歲的人士建立或保留帳戶。如果此前尚未確認年齡，我們會要求提供出生日期，之後才能完成帳戶建立或繼續使用帳戶。
本政策涵蓋通過現有功能處理的資訊，以及從 LeWell 早期版本保留的記錄。
02我們處理的資訊
候補名單記錄： 我們保留先前透過網站候補名單提交的電子郵件地址和註冊來源資訊。
帳戶和法律記錄： 我們收集您的電子郵件地址、使用者名稱；如果您使用密碼，則收集密碼雜湊值；如果您使用社交登入，則收集 Google 或 Apple 提供的識別碼。我們絕不會收到您的 Google 或 Apple 密碼。Apple 可能提供私密轉送信箱。為檢查年齡資格，您必須提供出生日期。我們記錄您接受的法律文件版本及接受時間，以及您對可選使用資料和裝置健康連接的選擇，以及從早期版本保留的任何權限歷史記錄。建立、保護帳戶或核實帳戶使用資格所需的資訊，是使用帳戶的必要條件；您可以拒絕回答可選的個人資料問題，也可以拒絕使用情況分析。
訪客入門草稿： 在您建立或登入帳戶之前，裝置會儲存恢復入門流程所需的目標、可選個人資料回答、計量單位、學習安排、提醒選擇和進度。草稿在連續七天未更新後過期，並在應用程式下次讀取時或成功完成入門流程後刪除。草稿絕不包含登入憑據或權杖。在獲得同意之前，我們不會記錄或暫存訪客的分析互動資料。草稿回答僅在成功建立帳戶或登入、接受現行條款、知悉本政策並決定繼續後上傳。
個人資料和個性化： 我們處理目標及已保存的學習主題、學習和提醒偏好、計量單位、時區、入門流程版本和進度，以及優惠狀態。我們使用這些資訊恢復您的使用體驗並推薦學習內容。這些推薦不會對您作出具有法律影響或類似重大影響的決定。我們也會將您選擇的應用程式語言儲存在您的帳戶中，用於顯示介面、提供相應語言的通知，以及準備可用下載。
我們保存您首次完成入門流程時設定的初始目標，以及此後目標變更的歷史記錄，包括變更時間和來源。獲接受的課程、測驗、練習和挑戰完成記錄會記錄相關內容、完成時間、當地日期、時區，以及相關目標、主題和精通課程（Masteries）。應用程式版本、平臺和可用的發布識別碼幫助我們區分不同使用體驗。這些第一方記錄用於進度追蹤、個性化，以及對已完成和重複進行的行動作彙總報告；它們並不能證明健康益處。
健康與身心健康資訊： 您會提供出生日期，也可以在入門流程中自願提供生理性別和體重、營養或日常安排資訊，以及在練習回答中提供健康或情緒相關細節。早期版本也曾允許情緒打卡、步數日誌、活動日誌，以及靜息心率、心率變異性、血糖、血脂和睡眠等健康讀值。這些資訊可能屬於敏感個人資料。
我們將您自願提供的可選身體資料回答和健康資訊用於相關的個人化指導 在這些功能可用時。情緒打卡、步數記錄、健康指標頁面和裝置健康同步在目前 MVP 中無法使用。這項變更不會刪除早期版本建立的記錄；保留的記錄依本政策中的保留和刪除條款處理。如需詢問帳戶中保留的資料，請聯繫 privacy@lewell.app。略過可選問題不會刪除購買記錄或學習進度。
早期版本曾使用情緒打卡、步數日誌和活動記錄計算第一方 Insights，包括每日和每週平均值、趨勢，以及打卡與活動之間的關聯。這些面向使用者的情緒、步數和健康指標功能在目前 MVP 中無法使用。我們不會使用這些記錄對您作出具有法律影響或類似重大影響的決定。
早期版本在支援的平台上可於取得單獨裝置權限後，從 Apple Health 或 Health Connect 讀取步數、活動能量、運動分鐘數、靜息心率、心率變異性和睡眠時數。存取方式僅限唯讀；LeWell 不會向這些服務寫入資料。目前 MVP 不會要求裝置健康權限，也不會從 Apple Health 或 Health Connect 讀取新資料，即使您先前已在裝置設定中授予權限。這項功能變更不會刪除已複製到您 LeWell 帳戶的讀值或歷史權限記錄；這些記錄仍受本政策約束。
學習路徑記錄： 我們儲存您選擇的路徑和內容版本、重點、進度和活動時間、計畫、可選的實用性評分，以及後續選擇。我們還保留可用的入口來源或活動推廣背景，以及防止重複更新所需的識別碼。這些記錄用於支援您的學習路徑，並隨帳戶一同刪除。它們並不能證明健康益處。
離線學習和已儲存的提交： 為便於您在服務中斷時繼續學習，我們會在裝置上儲存帳戶專屬副本，包括上次成功載入的個人資料、Journey、進度、已知存取狀態和可用學習內容。應用程式會自動以您選擇的語言準備可用文字課程、測驗和練習。我們不保證離線音訊可用：帳戶專屬裝置快取中已有的音訊可能在存取期限內離線播放；快取中沒有的音訊需要連線。副本可能包含您選擇的目標、測驗選項、完成識別碼和已有的個人化預設目標，但不包含私人自由文字回答或個人化 AI 回饋。
未完成的私密練習草稿與已提交的內容分開儲存。活動完成記錄和已提交的測驗答案可持久儲存在裝置上，供伺服器稍後核驗。私密練習答案只有在您明確選擇「提交」時才會進入此佇列。佇列可能包含您的答案，包括您選擇提交的敏感反思內容、活動和內容版本、時間證據、唯一請求識別碼，以及重試或複核狀態。服務恢復後，LeWell 可在該帳戶通過登入、年齡和現行法律相關資格檢查後，使用同一帳戶傳送已儲存的提交內容。如果活動需要 AI 回饋，該處理隨後可能會將您提交的回答傳送至下文所述的提供商。未完成的草稿不會自動提交，離線使用也不會在您的裝置上產生個人化 AI 回饋。您可透過已儲存進度的管理功能重試、檢視或移除已儲存的提交內容。移除本機副本無法撤回伺服器或 AI 提供商已收到的請求。
學習和社交活動： 我們處理課程和練習進度、測驗答案和分數、經驗值（XP）、金幣、寶石、連續天數、挑戰、關注、連接、回應，以及提供服務所需的其他操作。
當您查看他人的個人資料時，我們會暫時記錄雙方的內部帳戶 ID 和當地日期，以生成匿名的每日瀏覽次數和通知。我們目前不會向被瀏覽的帳戶顯示瀏覽者身分，也不會向 PostHog 傳送瀏覽者與個人資料的配對資訊或被瀏覽者的使用者名稱。
練習回答和 AI 回饋： 當您依據條款請求 AI 回饋時，我們會處理您的回答，包括您選擇包含的健康或情緒資訊，並將其與相關練習說明一同傳送至 Anthropic 的商用版 Claude API。我們不會附加您的帳戶 ID 或電子郵件地址，但回答本身可能包含能夠識別您身分的資訊。您可以選擇不提交回答並使用其他學習功能。AI 回饋根據活動要求評估回答；它不是醫學評估。請避免包含他人的資訊或您不希望為此目的處理的細節。Anthropic 預設不會使用商用 API 的輸入或輸出訓練其模型。按照其標準保留規則，Anthropic 可保留輸入和輸出最長30天，並可能因安全、防止濫用或法律義務而保留更長時間。構成您 LeWell 歷史記錄的回答，例如承諾和打卡內容，會保留在您的帳戶中直至刪除。
可選練習回饋： 完成練習後，您可以評價它是否有幫助。我們將所選評分及其時間與該次完成的練習一同保存在您的帳戶中，直至刪除。這類回饋是可選的，不依賴“分享使用資料”設定，且不會傳送給 AI 提供商或 PostHog。跳過不會影響進度或獎勵。
可選產品分析： 如果您選擇啟用“分享使用資料”，PostHog 會收到關於入門流程、功能使用、計畫參與、使用時間、購買、試用和留存的部分事件。PostHog 僅在您完成身分驗證且您的選擇已記錄後啟動。我們使用內部帳戶 ID 標識分析資料，並可能附加級別、Premium 狀態，以及帳戶是否具有舊版目錄存取權限或需要啟用訂閱等概括性產品屬性。傳送已獲同意的事件時，PostHog 使用請求的 IP 地址推導大致位置屬性，例如國家和地區。這是由網路資訊推導的位置，不是 GPS 或裝置精確位置；我們僅將其用於彙總產品分析，不用於廣告。我們不會向 PostHog 傳送您的電子郵件、使用者名稱、原始出生日期、性別、身高、體重、練習文字、自建日常計畫名稱、自選提醒時間或健康讀值。PostHog 資料託管在歐盟。如果您拒絕，裝置不會傳送任何 PostHog 產品分析資料。您可以隨時在設定中更改此選擇。
在您作出同一可選使用資料選擇後，我們還會儲存與帳戶關聯的第一方記錄，包括實際展示的推薦、其內容、排序、原因和目標背景，以及明確作出的選擇、忽略或更改。明確選中的推薦可能與已完成的練習關聯。可選實用性評分會與已完成的行動關聯；它們不是醫學評估。我們記錄觀察到的前景工作階段及日期、工作階段識別碼、應用程式／平臺／發布版本和入門流程版本，以及同意後觀察到的可用推廣活動／來源標籤和引薦網站主機名。為進行這類衡量，我們不會收集完整歸因 URL、私密查詢參數、廣告識別碼或同意前的訪客活動。在選擇啟用後，部分推薦、完成和實用性背景也可能傳送至 PostHog。拒絕或撤回使用資料同意會停止新的可選收集，包括這些第一方記錄，而不會妨礙正常使用 LeWell。
我們另行保留提供和了解服務所必需的第一方營運記錄，例如帳戶和入門流程完成情況、目標歷史、獲接受的學習和行動完成記錄、購買、權益、訂閱生命週期、通知投遞，以及觀察到已驗證身分的應用程式請求的當地日歷日期。營運活動日期用於彙總留存報告，與可選的前景工作階段觀察記錄不同。這些記錄不是廣告分析。
崩潰診斷： Sentry 會收到崩潰和技術診斷資訊，其中可能包括裝置型號、作業系統版本、應用程式版本、網路背景，以及錯誤涉及的程式碼路徑。Sentry 用於安全和可靠性，不依賴可選的“分享使用資料”設定。我們會遮蔽已知敏感欄位，不會有意包含練習文字或健康回答值。
存取資格： 我們保留帳戶的存取政策版本、適用情況下所選免費主題的識別碼，以及購買和權益記錄，以落實您的存取權利。
購買： Apple 或 Google 處理行動版付款，RevenueCat 驗證收據和權益。我們收到產品和交易識別碼、商店、權益狀態、試用狀態、續訂、取消、到期和轉換資訊。我們不會收到付款卡或銀行帳戶詳情。
營運帳務記錄還包括與帳戶關聯的提供商事件和交易參考編號、時間戳及其來源、優惠碼、商店環境、取消原因、貨幣、購買和退款金額、稅費、傭金，以及可獲得的預估收入。這些記錄用於對帳和財務報告，不依賴可選使用資料同意。缺漏的退款金額仍視為未知，預估收入不能證明銀行結算已完成。
通知和電子郵件： 我們處理裝置推送權杖、通知偏好、自選提醒時間、投遞記錄，以及驗證、密碼重置、帳戶通知和您請求的通信所需的郵件投遞資訊。如果您啟用個人日常計畫提醒，該計畫文字會用於通知訊息中，並可能根據通知設定顯示在裝置鎖定畫面上。 為顯示應用程式圖示上的徽章，我們也會儲存與帳戶關聯的資訊，用於判斷哪些通知會計入徽章，以及哪些通知已從徽章中清除。清除徽章不會將通知標記為已讀。
愛心恢復提醒使用受影響活動的識別碼和類型、受阻時間和狀態檢查時間，以及預計恢復時間。觀察到恢復、傳送提醒或放棄提醒時，會清除待處理提醒資料。這類處理與可選產品分析分開進行。
回饋和支援： 如果您在應用程式中提交產品回饋，我們會將類別和訊息與您的帳戶一同儲存。我們還儲存提交前向您展示的有限技術背景：應用程式版本、平臺，以及不含查詢參數的應用程式頁面路徑。您可以選擇是否允許 LeWell 就該回饋聯繫您。我們不會將訊息文字傳送至 PostHog。
04我們為何處理資訊
我們處理資訊，以建立和保護帳戶、提供請求的學習和社交功能、保存進度、個人化目標和練習、投遞通知、處理購買、審閱產品回饋、提供支援、防止詐欺、診斷故障並遵守法律。可選產品分析需要您選擇啟用。您提供的可選身體資料和健康資訊用於上述及條款中所述的相關目的。目前 MVP 不存取裝置健康服務。
根據您的所在地和相關活動，我們的法律依據是履行與您的契約、您的同意、遵守法律義務，或我們營運和保護 LeWell 的合法利益。當我們依據合法利益進行處理時，會權衡這些利益與您的權利。您可以隨時撤回同意，且不影響撤回前合法進行的處理。
05共用和服務提供商
我們不出售個人資料。我們僅為所述目的使用以下提供商：
- Anthropic： 您請求的 AI 回饋。隱私政策
- PostHog： 在歐盟託管的可選產品分析。隱私政策
- Sentry： 崩潰和診斷報告。隱私政策
- Render： 應用程式和資料庫託管。隱私政策
- Cloudflare： DNS、行銷網站託管、郵件路由，以及預先製作的練習音訊的託管與傳遞。隱私政策
- Resend： 事務性電子郵件。隱私政策
- Google： 登入、Android 推送投遞和 Google Play 付款。隱私政策
- Apple： 登入、iOS 推送投遞和 App Store 付款。隱私政策
- RevenueCat： 收據、購買、訂閱和權益管理。隱私政策
提供商可能依據其契約保護措施及適用的傳輸保障措施，在泰國境外處理資訊，包括歐盟、美國或英國。我們也可能在法律要求、保護權利和安全，或企業交易的情況下披露資訊，並在需要時提供適當保密保護和通知。
06安全
我們使用 HTTPS、加鹽密碼雜湊、短期存取權杖、受限資料庫存取、經過身分驗證的購買 Webhook、欄位遮蔽及其他合理保障措施。在網頁端，更新權杖使用設定 HttpOnly 屬性的 Cookie。原生應用程式將更新權杖儲存在由應用程式控制的本機儲存和原生偏好設定中，以使工作階段在重啟後保持。離線副本和已提交答案保存在應用程式或網站儲存空間中；此功能不為其提供端對端加密。其保護也取決於您的裝置、作業系統和瀏覽器。沒有任何儲存或傳輸方式是絕對安全的。
尚未提交的私人練習草稿同樣受上述儲存和加密限制：它們儲存在瀏覽器或 WebView 的本機儲存空間，不會鏡像至安全的原生儲存空間。
07保留和刪除
- 驗證工作階段和已撤銷舊權杖的雜湊： 與帳戶關聯的工作階段和權杖截止記錄會在帳戶成功刪除時移除；到期或撤銷本身不會自動刪除工作階段資料列。已撤銷舊更新權杖的雜湊不關聯帳戶。其到期日會限制權杖檢查，但不會刪除雜湊；目前尚未為這些雜湊設定自動刪除期限。
- 訪客入門草稿： 連續七天未更新後過期，在下次讀取或成功完成入門流程時刪除
- 臨時個人資料瀏覽記錄： 通常不超過三天，之後通過滾動清理刪除
- 有效帳戶的個人資料、健康、學習、社交和產品回饋資料： 帳戶有效期間保留，除非提前刪除
- 第一方目標歷史、完成證據，以及可選推薦、前景工作階段和實用性記錄： 帳戶有效期間保留；撤回同意後停止可選收集，刪除帳戶時移除現有記錄
- 裝置上的學習副本、未完成的進度位置和已儲存的提交內容： 適用第3節中各類別的期限和控制方式。同步確認儲存後，會移除本機佇列中的提交內容及其私密酬載；這不會刪除伺服器上已接受的歷史記錄
- 伺服器提交回執和連續天數記錄： 我們將與帳戶關聯的請求識別碼、根據您提交的請求產生的雜湊值、活動參照、狀態和有限的運作結果保留至帳戶刪除，以防重複請求重複計入進度或獎勵。回執不包含回答文字和個人化 AI 回饋。連續天數邊界記錄會將當地日期、適用時區、上次活動時間戳、伺服器計數器和護盾狀態保留至帳戶刪除，而不保留回答文字。
- 可選 PostHog 分析： 依據專案保留設定，最長24個月，除非提前擦除
- Sentry 診斷： 依據專案保留設定，最長90天
- 日常應用程式和安全日誌： 通常最長30天，僅在安全或法律事項尚未結束時延長
- Anthropic 商用 API 輸入和輸出： 依據 Anthropic 標準保留規則，通常最長30天，但受所述安全和法律例外約束
- 交易、同意、防詐欺、稅務和法律記錄： 僅保留至適用義務或時效期間要求的期限，可能長達七年
- 服務備份： 保留至託管備份週期覆蓋，存取受限且僅用於恢復
您可以在設定中刪除帳戶，或在帳戶刪除頁面請求刪除。在刪除本機帳戶之前，LeWell 會在適用時請求刪除與帳戶關聯的 PostHog 和 RevenueCat 客戶資料。提供商的處理可能非同步完成。伺服器帳戶刪除成功後，應用程式會嘗試移除用於刪除操作的裝置上屬於該帳戶的瀏覽器和原生離線記錄，包括下載檔案、已提交答案、草稿、計時器、進度位置和已儲存的登入狀態。裝置清理失敗時，仍可使用第3節所述的本機標記重試。我們不會透過猜測歸屬來刪除屬於其他帳戶的記錄或無法確定擁有者的舊版本機記錄。這不會遠端清除其他裝置；其他裝置上的本機副本可保留至執行適用的清理、清除網站／應用程式資料或解除安裝。僅登出不會清除已儲存的離線內容。清除應用程式或網站資料、解除安裝、作業系統回收儲存空間或遺失裝置，可能永久刪除尚未傳至伺服器的內容。
刪除 LeWell 帳戶不會取消由 Apple 或 Google 管理的訂閱。請通過相關商店另行管理或取消訂閱；取消訂閱不是請求刪除帳戶的條件。Apple、Google 及法律要求保留的交易記錄可能根據其政策或法律繼續保留。我們可能在法律要求、解決未決爭議或防止詐欺所必需的狹窄範圍內保留記錄，且不會將保留資料用於無關目的。
08您的權利
根據您的居住地，包括依據泰國《個人資料保護法》及歐盟或英國 GDPR，您可能享有存取、更正、刪除、限制處理、提出異議、獲取可攜帶副本、撤回同意，以及向資料保護機構投訴的權利。
使用應用程式內現有控制功能更新資訊、更改有關使用資料的可選選擇，或刪除帳戶。目前的 MVP 不提供管理健康讀值或裝置健康服務連線的應用程式內控制功能。請在裝置設定中撤銷早期版本授予的裝置健康服務存取權。如需申請保留的健康讀值或歷史權限記錄，請聯絡 privacy@lewell.app。您可以在設定中更改使用資料的可選選擇，也可以透過行銷電子郵件中的取消訂閱連結退訂。對於應用程式內無法辦理的其他請求，請聯絡 privacy@lewell.app；我們可能需要核實您的身分。撤回不會召回已傳送的 AI 請求，也不會影響撤回前依法進行的處理。
09國際和地區權利
您居住地的強制性隱私和消費者權利繼續適用。如有地區隱私問題，或希望了解適用的國際傳輸保障措施，請聯繫 privacy@lewell.app。
10變更
我們可能隨著 LeWell 的變化更新本政策。我們會更改上述日期，並在發生重大變更時通過應用程式內或電子郵件通知。法律要求重新獲得同意時，我們會在開始新的處理前提出請求。
11聯繫方式
- 電子郵件：privacy@lewell.app
- 資料控制者：LEWELL Co., Ltd., Bangkok, Thailand