一、非公務機關名稱與 V2 零知識雙層防禦架構

本服務由 PayWith 營運團隊（以下簡稱「本團隊」）提供。本服務核心奠基於密碼學之「端到端純客戶端零知識架構（Zero-Knowledge Client-Side Architecture）」，技術特徵包含：

• 本機端密鑰派生與認證加密：您於裝置端設定之 6 位數交易 PIN 碼，結合本機專屬隨機鹽值（Client Salt），透過高達 600,000 次反覆疊代之 PBKDF2（符合 NIST SP 800-132 標準） 與 RFC 5869 HKDF 金鑰派生函數，於本機直接衍生加密金鑰，並以 AES-256-GCM 業界最高標準認證加密演算法 即時封裝。
• 伺服器端確定性高熵防禦（Server-Side Pepper）：伺服器端配置環境隔離之主胡椒金鑰，採確定性 HMAC 運算，MySQL 資料庫絕不儲存任何明文金鑰或明文密碼。即使遭遇極端資料庫洩漏風險，外部攻擊者亦無法透過離線 GPU 字典攻擊破解使用者密碼。
• 動態防重放簽名（Anti-Replay & Dynamic Proof）：所有與伺服器之認證互動均採用 60 秒時效窗口、一次性 Nonce 及 HMAC-SHA256 動態數位簽名。本服務伺服器完全不持有、不傳輸亦無法取得使用者的交易密碼明文、原始私鑰或票券明文內容。
• 即時連線動態授權安全防護（Real-Time Online Security Verification）：為徹底杜絕裝置遺失或失竊時遭受離線暴力破解與字典攻擊之資安威脅，本服務已全面移除離線登入與離線密鑰解封模組。所有錢包解鎖與登入操作均強制要求於連線狀態下，透過伺服器動態驗證防禦機制即時完成金鑰授權，落實最高規格之零信任（Zero-Trust）資安防禦。

二、個人資料之蒐集目的（法定特定目的項目）

依據法務部頒布之《個人資料保護法之特定目的及個人資料之類別》，本服務蒐集、處理及利用個人資料之法定特定目的包含：

• ○六七 信用卡、現金卡、轉帳卡或電子票證業務（提供使用者收納、整理、試算餘額、防呆警示及離線出示 Edenred 宜睿即享券之條碼與 QR Code）。
• ○九○ 消費者、客戶管理與服務（提供即享券折抵紀錄管理、備份還原、個人化顯示設定及用戶反饋支援）。
• 一三五 資（通）訊服務（提供漸進式 Web 應用程式 PWA 離線緩存、條碼圖形即時渲染與金庫加密存儲服務）。
• 一三六 資（通）訊與資料庫管理（使用者自選之 Google 雲端硬碟端到端加密備份、跨裝置遷移與系統資安防護）。
• 一三七 資通安全與管理（運用 Cloudflare Turnstile 智慧人機驗證與動態簽名校驗，防禦惡意自動化腳本、撞庫攻擊與分散式阻斷服務 DDoS）。
• ○四○ 行銷（提供公開旅遊即享券市集目錄檢索與合作夥伴特惠票券導購推薦，不進行跨站個資追蹤）。
• 一八一 其他經營合於營業登記項目或組織章程所定之業務。

三、個人資料之類別

本服務依據實際功能運作之必要性，於最小化範圍內處理下列類別之個人資料：

• Ｃ○○一 辨識個人者：使用者自訂之錢包名稱/個人暱稱；若自願啟用 Google 雲端硬碟備份時所授權之 Google 帳號電子郵件地址（Email，僅本機暫存授權，不傳輸至伺服器資料庫）。
• Ｃ○九三 財務交易（本機加密密文）：使用者主動匯入之電子即享券原始網址、卡片自訂名稱、品牌標誌、原始面額、折抵後剩餘金額、有效期限、兌換條碼編號與本機消費日誌。上述資訊於本機皆以 AES-256-GCM 密文落盤，伺服器無從窺探明文。
• Ｃ○三五 非直接識別之技術特徵與安全防護特徵：隨機生成之錢包匿名識別代碼（Wallet ID）、單向認證雜湊摘要（Auth Hash，由 PIN 與客戶端鹽值經過 100,000 次 PBKDF2 單向計算）、裝置憑證雜湊（Device Token Hash）、請求時間戳與隨機 Nonce。於觸發 Cloudflare Turnstile 安全驗證時，由系統自動處理之客戶端 IP 位址、HTTP 請求標頭與驗證評估權杖，僅供即時防禦惡意攻擊與連線頻率限制。
• 生物辨識資料絕對免責與保護宣告（Ｃ○一四）：當您啟用 Face ID / Touch ID / 指紋辨識快速解鎖時，所有生物特徵之比對驗證均在您個人行動裝置之硬體安全隔離區（Apple Secure Enclave 或 Android Keystore）內部獨立執行。本服務絕不接觸、不蒐集、不記錄、不上傳您的任何指紋、臉部特徵或生物特徵原始數據。

四、個人資料之利用期間、地區、對象及方式

五、當事人依個資法第三條得行使之法定權利及管道

依據個資法第 3 條規定及國際數位人權標準，您就本服務所儲存之個人資料得隨時行使下列權利：

• 查詢或請求閱覽：您可隨時於 PayWith 錢包介面中即時查閱您收納之所有即享券、卡片明細、面額、即時餘額及歷史折抵紀錄。
• 請求製給複製本（資料可攜權 Data Portability）：您可於系統設定中隨時使用「匯出備份檔案（JSON）」功能將完整金庫下載至個人裝置，或透過 Google 雲端硬碟進行端到端備份導出。
• 請求補充或更正：您可隨時編輯更正票券名稱、自訂備註說明及手動調整票券餘額數值。
• 請求停止蒐集、處理或利用：您可隨時停止匯入新票券，或於設定中隨時中斷 Google 雲端硬碟之授權連結。
• 請求刪除（被遺忘權 Right to Erasure）：您可於「系統設定 -> 資料重設」中點擊「清除所有資料並重設」，系統將立即徹底銷毀本機端儲存之所有加密金庫、私鑰、快取圖像與暫存紀錄，此操作具不可逆之永久物理刪除效力。

六、自由選擇是否提供個人資料及其影響

您可完全自由決定是否匯入電子即享券、是否啟用生物辨識解鎖，或是否授權 Google 雲端備份。若您選擇不提供特定即享券網址或不開啟雲端同步，僅無法使用該特定票券之收納管理或跨裝置同步功能，完全不影響本服務其他基礎離線工具功能之正常使用。

七、電子即享券無狀態解析代理與圖片中繼技術承諾

當您輸入 Edenred（宜睿智慧）電子即享券短網址進行解析時，系統僅透過無狀態伺服器中繼（Stateless Gateway）協助您的裝置發送必要之公開網頁請求，以取得票券公開展示所須之品牌圖示、面額與條碼數據。

相關數據於解析完成後立即加密回傳您的個人裝置，伺服器端不保留任何請求負載（No Request Payload）、不建立用戶個人存取日誌（No-Logs Policy），亦不儲存任何票券兌換碼明文。圖片中繼代理（Image Proxy）僅為避免 HTTPS 混雜內容與 CDN 防盜鏈限制之技術中繼，完全不留存使用者個人瀏覽畫像。

八、Trip.com 旅遊票券市集與分潤導購特別條款

本服務提供之「票券市集」功能，係串接第三方平台（包括 Trip.com 攜程）之公開即享券商品目錄與優惠即時比價服務：

• 完全匿名檢索：使用者於市集內之關鍵字搜尋、分類篩選與詳情瀏覽，均屬於公開目錄查詢，伺服器端僅執行匿名聚合之價格快取，絕不收集、不記錄亦不關聯使用者的個人錢包身分或搜尋歷史。
• 外部導購分潤機制：當您點擊市集內特定商品前往第三方平台購買時，系統僅透過跳轉網址附帶公開合作夥伴分潤代碼（Affiliate Partner ID），跳轉過程絕不傳遞任何使用者錢包資料、個人識別碼、PIN 碼或已有票券資產。您於第三方平台進行之交易、扣款與訂單履行，悉受該第三方平台之隱私權政策與服務條款規範。

九、跨裝置備份可攜性與設備隔離安全機制

為落實資料可攜權並防止設備憑證外洩，本服務在備份架構上採取專利級之「憑證動態剝離（Credential Stripping）」機制：

當您執行「匯出備份檔案」時，系統會自動將綁定於特定手機硬體之裝置密鑰（Device Secret）安全剝除，僅匯出純粹由您的交易 PIN 碼保護之加密資料封裝。當備份檔案還原至新裝置時，新裝置將重新生成全新本機憑證並向伺服器進行無感重綁定，確保您的備份檔案即便遺失在外部雲端，亦不會導致既有設備授權憑證遭到仿冒。

十、網站流量分析（GA4）與智慧人機安全防護（Cloudflare Turnstile）

十一、隱私權政策之修訂、公告與聯繫管道

本服務將因應中華民國最新法令增修、個人資料保護委員會指導原則及加密技術發展，持續檢討並修訂本隱私權政策。最新修訂版本將隨時發布於本網站。若您於政策修訂公告後繼續使用本服務，即視為您已充分閱讀、理解並同意受修訂後之隱私權政策約束。

若您對本隱私權政策、個人資料保護或法定權利行使有任何疑問或建議，歡迎透過本服務官方網站線上管道與維運團隊聯繫反饋。