隱私權政策

個人資料蒐集告知

蒐集者：RoadFare 服務營運者。個人資料與服務聯絡窗口為 ysl86294@gmail.com。

• 目的：提供帳號驗證、會員管理、跳錶、定位與行程記錄、收據與匯出、訂閱權益、可選擇的雲端同步、廣告與同意管理、客戶支援、資安及法令遵循。
• 資料類別：詳見「我們可能處理的資料」，包括帳號、聯絡方式、定位與行程、費率、訂閱權益、廣告同意及必要的技術安全資料。
• 期間、地區、對象與方式：依本政策「保存期間」「第三方服務與跨境處理」所述，以 App 本機處理或透過加密連線由 RoadFare、受委託服務提供者及依法有權機關，在提供服務所需地區以自動化方式處理。
• 你的權利：你可依法請求查詢或閱覽、製給複製本、補充或更正、停止蒐集／處理／利用及刪除；行使方式請見「你的選擇與權利」。
• 不提供的影響：帳號或必要驗證資料未提供時，正式版無法登入；定位權限未提供時，無法完整計算與記錄行程；雲端同步同意為選擇性，不同意仍可使用本機功能；廣告隱私選擇可能影響廣告類型，但不會封鎖基本跳錶功能。

iOS 版本資料處理

更新日期：2026 年 9 月 20 日。適用於 App Store 正式上架的 iOS／iPadOS 版本；功能差異以各版本實際提供的功能為準。

登入、會員與安全

iOS 版支援 Apple、Google 與 LINE 登入，透過 Firebase 處理帳號識別、登入供應商，以及供應商提供的必要名稱、Email、個人資料與識別資訊。登入與安全 SDK 亦可能處理其服務所需的帳號聯絡資料（包含供應商提供的電話資料）、裝置識別、概略位置及技術資料；這不表示 iOS 版提供電話登入或要求每位使用者輸入電話。Firebase App Check 使用 Apple 裝置驗證服務協助防止濫用。你主動點選「複製會員帳號」時，App 會將卡片顯示的帳號名稱寫入系統剪貼簿。

定位、地圖、搜尋與本機行程

使用行程功能時，App 會依定位權限處理位置、時間、距離、費率與車資。持續記錄行程時，iOS 可能在背景或螢幕鎖定時提供位置更新；你可在 App 暫停或結束行程，或在 iOS 設定調整定位權限。行程與費率預設保存在本機。iOS 1.1.0（Build 23）起提供下述自選雲端同步；較早版本仍使用本機儲存。

在線狀態與行程使用權

登入並在線使用時，App 會在狀態變更及約每十分鐘向服務回報在線狀態，並利用 Firebase Realtime Database 的連線狀態協助更新。這項回報不包含座標，也不提供是否正在跳錶的狀態。為避免同一會員同時在不同手機取得行程使用權，服務另保存行程使用權的雜湊識別與結束狀態；原始行程仍依本頁的本機及同步選擇處理。

iOS 自選雲端同步

在設定的「行程與費率同步」主動開啟後，已完成行程的精確位置軌跡、起訖地址、時間、距離、車資、當時費率、備註、收據及司機與車牌資料，以及費率方案、排序和目前選用方案，會透過加密連線傳送到 Firebase，供同一 RoadFare 帳號的 iPhone／iPad 同步。每個帳號的選擇分開保存，預設關閉；雲端同步需具有效 Premium 權益，並由你另外主動開啟；開啟同步本身不會建立訂閱或扣款。支援哪些裝置間的資料交換，依各裝置安裝版本提供的功能為準；遇到不相容或版本衝突時，應保留來源資料並依 App 提示核對。

行程進行中先存本機，結束後在 App 開啟時同步；連線失敗會保留本機資料並重試。相簿截圖與具有期限限制的 Google 道路補線快取不會上傳。關閉同步會停止後續傳輸，既有雲端資料仍保留；啟用同步時刪除行程或費率，刪除狀態會同步至其他裝置。註銷帳號時一併處理該帳號的雲端同步資料，依法或安全需要保留的資料依本頁保存期間辦理。不同意同步仍可使用本機功能。

地圖、目的地搜尋與道路缺口查詢仍會透過網路運作。搜尋文字與地點資訊會交給所選的 Apple 或 Google 服務；Google 地圖與搜尋 SDK 亦可能處理精確或概略位置、搜尋紀錄、裝置識別及使用資訊。符合道路缺口復原條件時，Google 路徑會透過 RoadFare 已驗證帳號的伺服器請求，傳送缺口兩端座標、經過時間及可用時的行進方向；Apple 路徑使用 Apple 地圖服務。這些查詢不等於上傳整份行程作雲端同步，也不作為廣告個人化用途。

Apple 訂閱

月、季、年 Apple 訂閱與恢復購買會將 Apple 簽署的交易資料交給 RoadFare 伺服器驗證。伺服器處理與帳號相關的商品、交易識別、測試或正式環境、權益、到期及續訂狀態，以顯示會員資訊並防止不同帳號重用同一訂閱。信用卡與 Apple 帳號付款資料由 Apple 的購買流程處理，RoadFare 不取得完整付款卡片資料。App Store 正式版訂閱會依購買確認畫面顯示的金額與週期收費並自動續訂。取消訂閱請使用 Apple 訂閱管理；刪除 RoadFare 帳號不等於取消 Apple 訂閱。

照片、SDK 診斷與廣告

啟用自動截圖並授予照片權限時，App 將行程截圖儲存至本機照片圖庫，不把該圖片作為 iOS 行程雲端同步內容。地圖、搜尋、登入與 Firebase SDK 可能依服務功能處理裝置及使用資訊、搜尋資訊、當機、效能和診斷資料，用於提供功能、服務分析及維護安全。

iOS 正式版的免費會員在行程結束並成功儲存後，可能於自然轉場顯示插頁廣告；有效 Premium 訂閱提供免廣告使用。廣告 SDK 可能依其功能處理裝置識別、使用資訊與診斷資料；相關資料用途與可用選擇依本頁廣告說明及 App 內隱私選項辦理。其他 SDK 提供地圖、搜尋、登入或安全功能所需的資料處理，仍如本節所述。

保存、刪除與第三方服務

本機行程、費率、偏好與匯出檔案的保存及刪除方式，依本頁「保存期間」及「你的選擇與權利」辦理。匯出至照片圖庫或其他 App 的檔案，須由你在該位置刪除。帳號、訂閱驗證及必要安全資料，依提供服務、防止濫用、爭議處理及法令所需期間保存；帳號及相關資料刪除方式請見 帳號與資料刪除說明。Apple 另依其政策保存交易紀錄。

iOS 使用 Apple 登入、StoreKit、地圖及裝置驗證服務、LINE Login，以及 Google Firebase、Google Sign-In、Google Maps／Places 等服務。這些服務可能在台灣以外的資料中心處理必要資料；各服務的實際地區與保存方式依服務設定及其隱私政策而定。本政策的聯絡窗口與個人資料權利亦適用於 iOS 使用者。

我們可能處理的資料

• 帳號資料：現行 Android 正式版提供 Google 與 LINE 登入，處理 Firebase 帳號識別碼、登入供應商，以及供應商提供的必要顯示名稱、Email 或個人圖片網址。為了顯示、支援與刪除既有帳號，歷史 Firebase 會員紀錄仍可能含有手機號碼或 Apple、手機、Email 等舊登入供應商識別；這不表示現行 Android App 提供這些登入按鈕。
• 預先建立會員資料：經本人或客服提供後，管理者可用 Google Email 預先建立限時登入綁定；伺服器保存 HMAC 識別、遮罩提示、選填姓名、處理原因、申請分級與期限，不建立邀請密碼。該帳號會立即計入後台會員數。LINE 會員會在首次完成 LINE 登入後自動建立，不需要預先新增。為了處理與刪除既有資料，後端仍可辨識歷史手機預先紀錄，但後台不再提供新建入口。
• 定位、行程與費率資料：授予背景定位後，RoadFare 在待命時只於裝置保留最近一次位置，讓行程開始時可立即顯示目前位置，不會累計距離、車資或軌跡。你主動開始行程後，RoadFare 才會處理定位精度、時間、距離、軌跡、起迄地址、費率設定、目前選用的費率方案 ID、選取時間與同步版本、車資明細與備註。行程截圖若啟用，只由產生截圖的裝置處理。
• 技術與安全資料：App 版本、請求時間、錯誤代碼、網路與裝置環境，以及 Firebase App Check／Google Play Integrity 驗證結果或權杖，用於連線、除錯、防止濫用及維護服務安全。
• 訂閱相關資料：訂閱狀態、產品識別、有效期、自動續訂及撤銷狀態，用於判斷功能存取資格與處理支援請求。伺服器會保存首次查證及狀態變更的時間軸，供授權管理者核對；查證時間不等於實際付款時間，開始保存前或未收到的歷史事件可能無法還原。付款資訊由相應的應用程式商店處理。
• 廣告與同意資料：免費版可能由 Google Mobile Ads／User Messaging Platform 處理廣告識別碼、IP 位址、裝置與 App 資訊、廣告互動、診斷資訊及廣告同意選擇。RoadFare 不會將行程位置、路線、地址、車資或收據內容提供給廣告服務作為廣告個人化資料。

資料使用目的

• 提供跳錶、導航、行程記錄、收據、統計，以及你另外啟用後的雲端同步功能。
• 保存你的費率方案、偏好設定與帳號專屬資料。
• 確認免費版或 Premium 權益、顯示或略過廣告，以及提供廣告隱私選擇。
• 維護服務安全、處理支援請求、偵測異常及改善產品品質。
• 在法律要求、爭議處理或保護使用者與服務權益所必要的範圍內履行義務。

背景定位與行程追蹤

當你授予「永遠允許」背景定位並接受 App 內明確告知後，即使尚未開始行程、你切換到其他 App、RoadFare 位於背景或螢幕鎖定，Android 系統允許時仍可能偶爾提供低耗電的被動位置更新。RoadFare 在待命階段只於裝置保留目前帳號最近一次位置，讓你開始行程時可較快在小地圖顯示目前位置；不記錄移動軌跡、不累計距離或車資，也不啟動前景定位服務或顯示持續通知。待命更新頻率由 Android 系統決定，並非持續追蹤。

只有你主動開始行程後，RoadFare 才會持續取得位置，以記錄路線、計算行駛距離與經過／等候時間，並依選用的費率方案計算車資。只有行程進行期間會啟動前景定位服務並顯示持續通知；你可回到 App 暫停或結束行程。暫停或結束後不會繼續新增行程位置點，仍具備背景定位授權時則恢復只保留最近一次位置的低耗電待命狀態。你也可以在 Android 系統設定撤回背景定位權限以停止待命定位；限制權限可能使背景或鎖屏時的行程記錄不完整。

行程位置預設只儲存在裝置。只有在會員已登入、帳號未遭停權或註銷、具有可信 Premium 權益，且你針對該帳號另外明確開啟雲端同步時，行程位置與相關資料才會依下節說明，以加密連線同步至 Firebase；關閉雲端同步或 Premium 權益失效時不會開始新的上傳。RoadFare 不會將定位資料用於廣告或廣告個人化。

免費版廣告與 Premium

使用 Google 或 LINE 完成驗證登入，且帳號未遭停權或註銷後，即為普通會員並可使用免費版，不需要先通過訂閱審閱；Android 正式版不提供手機、Apple 或訪客登入入口；iOS 正式版另支援 Apple 登入。免費版可能在 App 畫面顯示橫幅廣告；行程成功儲存後，每趟行程至多嘗試在自然轉場顯示一次插頁式廣告，開始或按下結束行程時不顯示插頁式廣告。若廣告尚未載入、載入失敗或無法顯示，RoadFare 會直接完成轉場，不會因廣告阻擋結束或儲存行程；從背景通知結束行程時不會顯示插頁式廣告。

會員分為普通會員、訂閱會員、測試員與內部員工。Google Play 訂閱商品為 roadfare_pro，使用月繳 monthly、季繳 quarterly 或年繳 yearly 基本方案；購買功能是否可用及實際價格仍以 App 與 Google Play 顯示為準。具有伺服器可信 Premium 權益的訂閱會員，或經系統擁有者核准為測試員／內部員工的會員，不顯示這些廣告，並可開啟單趟行程軌跡與完整明細、PDF／文字收據、CSV 匯出、自動結算截圖，以及另外選擇啟用 Premium 雲端同步。測試員不具有後台權限；只有經擁有者核准的內部員工可登入後台，且不得核准自己的會員分級或自行授予 Premium。RoadFare 會依適用地區透過 Google User Messaging Platform 請求或更新廣告同意；你也可以使用系統或 Google 提供的廣告隱私控制。

會員預先建立

管理者預先建立的 Google 帳號會立即計入後台會員數，登入綁定有效 7 天；本人以完全相符的 Google 帳號登入後會綁定 Firebase UID。LINE 會員在首次完成 LINE 登入後直接建立，不需要預先新增。歷史手機預先紀錄仍可由後端辨識、撤銷或依期限清除，但後台不再提供新建入口。登入成功即成為普通會員，不需要另行人工核准；尚未登入時只顯示「待首次登入」。若管理者同時申請測試員或內部員工分級，核准前仍沿用普通會員權限，只有系統擁有者完成本人驗證並核准後才會生效。訂閱會員則由可信 Google Play 訂閱狀態自動判定。領取或撤銷時會立即移除選填姓名、原因與遮罩提示；為防止舊請求重播，僅保留不含完整帳戶識別的冪等收據與安全墓碑，最長 14 天。刪帳身分 gate 僅保存 HMAC 與狀態版本，以防止舊邀請被新帳戶接手。未領取者可由管理者提早撤銷，逾期後由 Firestore TTL 清除；待核准分級的工作紀錄會在核准或駁回後刪除，管理操作稽核採固定欄位，只保存操作代碼、有限結果，以及以獨立密鑰產生的管理者／會員 HMAC 代碼，不保存搜尋內容、自由文字原因、原始 UID 或 Email。稽核保留期限設為 365 天，期滿後由非即時 Firestore TTL 刪除（通常可能再延後約 24 小時）。

雲端同步選擇

行程預設先儲存在裝置。只有在會員登入、帳號未遭停權或註銷、具有可信 Premium 權益，且你針對該帳號另外明確開啟雲端同步後，RoadFare 才會先從伺服器取得並合併帳號資料，成功後再以加密連線將需要上傳的行程（可能包含起訖地址、GPS 路線、車資、收據與司機資料）、費率方案，以及目前選用的方案 ID、選取時間與同步版本傳送到 Firebase；讀取或同步失敗後的有上限自動重試也屬於同一項選擇。每個帳號的選擇分開保存，未登入的訪客資料不會自動上傳。行程截圖檔與 Android 本機內容 URI 只保留在產生截圖的裝置，均不會上傳到 Firestore。

保存期間

• 本機行程、費率、偏好與匯出檔案會保留到你自行刪除、清除 App 資料或完成帳號註銷；匯出到相簿、下載資料夾或其他 App 的檔案須由你在該位置刪除。
• 雲端帳號、行程、費率及同步資料保留到你刪除個別資料、註銷帳號，或蒐集目的消失且無其他合法保存必要為止。
• 未領取的會員預建資料有效 7 天；邀請相關防重播收據與安全墓碑最長 14 天；刪帳流程的完成紀錄原則上保留 90 天，管理稽核紀錄原則上保留 365 天。設有到期時間的紀錄交由 Firestore TTL 清除，並非到期立即消失；尚未完成的刪帳作業須先完成必要清理。
• 防止舊 Google Play 交易再次授予已刪帳帳號權益的假名化代碼與刪除狀態，目前不設自動到期；不以此保存或還原完整行程、收據或登入憑證。其保存必要性須定期檢視，無繼續保存必要時刪除；假名化不表示一律不受個資權利保障。
• 因付款、資安、防詐、爭議處理或法令要求而必須保留的資料，僅在必要期間保存，期滿後刪除或去識別化；Google Play 等服務提供者另依其政策保存付款紀錄。

第三方服務與跨境處理

RoadFare 使用 LINE Login，以及 Google Firebase（Authentication、Firestore、Realtime Database、Functions、App Check、Remote Config）、Google Maps、Google Play Billing、Google Mobile Ads、Google User Messaging Platform 及 Google Play Integrity，以提供登入、雲端儲存、地圖、訂閱、廣告、同意管理與安全驗證。這些服務可能由各服務提供者或其受託者在台灣以外的資料中心處理必要資料；實際地區與保存方式依其服務設定及隱私政策而定。

我們不會出售你的個人資料，也不會把行程位置、路線、地址、車資或收據內容提供給廣告服務作為廣告個人化資料。僅會在提供你要求的服務、處理付款與權益、維護安全、遵守法令或取得你同意的必要範圍內提供資料。

帳號註銷與離線快取

帳號註銷經後端確認完成後，Android 版會清除該帳號的 App 私有資料。由於 Firestore Android SDK 不支援只清除單一 Firebase UID 的持久化快取，RoadFare 也會停止 Firestore 監聽並清除這台裝置上整個 App 的 Firestore 離線快取；這不會刪除其他 RoadFare 帳號的雲端資料，其他帳號下次登入時會重新取得必要資料。若快取清除無法確認成功，App 會維持資料封鎖並要求重試，不會顯示註銷完成。

會員確認刪帳並完成刪除後，不提供原帳號資料復原或人工救援。營運備份與刪帳防重播紀錄不作為會員反悔救回帳號的服務；任何系統還原都必須先確認已刪帳資料不會重新投入服務，無法確認時不得直接恢復舊資料供會員使用。

疑似安全異常先限制或停權並查證。調查與申訴只處理必要的事件時間、帳號狀態、交易或操作異常及聯絡內容，限制內部存取，不公開標示未經確認的違規指控。處置與申訴方式見使用條款；停權不妨礙提出個資或刪帳請求。

你的選擇與權利

• 你可以在裝置設定中調整定位與通知權限；限制權限可能使背景行程記錄或其他功能無法正常運作。
• 你可以在 App「設定 → 廣告隱私設定」查看或更新適用地區的 Google 廣告同意選擇。
• 你可以在 App 中檢視、修改或刪除部分行程、費率及偏好設定。
• 你可以依帳號與資料刪除說明提出帳號及相關資料的刪除申請。
• 尚未登入但希望取消預先建立紀錄者，可依本頁聯絡方式提出請求。
• 如需查詢、閱覽、更正或請求停止處理個人資料，請以電子郵件聯絡我們。

聯絡我們

如對本政策或個人資料處理有疑問，請寄信至 ysl86294@gmail.com，信件主旨可註明「RoadFare 隱私權政策諮詢」。

修訂版本：2026 年 9 月 15 日。RoadFare 可能因功能、法令或服務調整更新本政策；重大變更依事前通知及必要同意程序生效，不溯及適用於既有爭議。