隱私政策

1. 我們是誰及如何與我們聯絡

ONTHEBIAS ("we", "us") operates the ONTHEBIAS design platform at onthebias.co and app.onthebias.co. We are the data controller for personal data collected through the service, except where the DPA (below) makes us your processor. For privacy questions, data-subject requests, or DPA requests, email info@onthebias.co.

通訊地址： ONTHEBIAS - full registered address on request from info@onthebias.co.

2. 我們蒐集的內容

我們蒐集四類資料：

• 帳戶資訊 - 電子郵件、姓名、頭像、工作區名稱、電話（選填）、偏好語言，以及您訂閱時的帳單地址。於您註冊時或日後在應用程式內提供。
• 設計內容 - 系列、畫布狀態、OBIE 聊天訊息、生成樣稿、平面草圖、技術包、您上傳的品牌素材、素材庫收藏，以及您寄給供應商的詢價單與訊息。
• 使用遙測資料 - 頁面瀏覽、功能使用、錯誤追蹤、裝置／瀏覽器類型、IP 位址（寫入時截斷），以及行銷歸因 Cookie（詳見 Cookie 政策）。用以營運及改進產品。
• 商業資料 - 訂閱層級、點數餘額與歷史、已下訂單、已接受報價、發票及付款。付款卡號本身由 Stripe 處理，絕不觸及我們的伺服器。

我們不販售個人資料，亦不會為第三方自身的廣告或行銷目的而與其分享個人資料。

3. 我們如何使用

• 營運平台並提供您所註冊的功能。
• 透過 Stripe 處理付款，並將市集撥款導向供應商。
• 寄送交易性電子郵件（註冊確認、密碼重設、訂單更新、推薦通知）。未經明確選擇加入，我們不會向您的地址進行行銷宣傳。
• 透過彙整、去識別化的使用分析來改進產品。
• 偵測並防範詐欺、濫用、抓取、安全事件及違反條款之行為。
• 遵循我們的法律義務（稅務紀錄、制裁篩查、對合法請求的回應）。

4. 法律依據（GDPR／UK GDPR）

就位於歐盟、歐洲經濟區、英國及瑞士的使用者，我們依 Article 6 GDPR 所依據的法律依據為：

• 契約之履行 - 提供您所註冊的服務、處理付款，並履行您所下的訂單。
• 正當利益 - 保障服務安全、防範詐欺與濫用、瞭解彙整之產品使用情形，並傳達營運更新。我們會將此與您的權利加以權衡，您可隨時寄送電子郵件至 info@onthebias.co 表示反對。
• 同意 - 用於行銷電子郵件、非必要 Cookie（分析與廣告）、於歐盟／歐洲經濟區／英國／瑞士／巴西的 Meta 像素，以及任何未來的選擇加入 AI 訓練計畫。您可隨時撤回同意，且不影響撤回前處理的合法性。
• 法律義務 - 遵循稅務、會計、制裁及其他適用法律。

5. AI 訓練

您的設計內容不會用於訓練我們自有的任何模型，我們亦不允許我們的第三方 AI 供應商以您的內容訓練其模型。我們僅為當下履行您所請求的生成，依 AI 供應商（Anthropic、Google）的無訓練商業 API，將您的提示詞與上傳圖片傳送予其。我們日後或會提供另行的、以工作區為單位的選擇加入計畫，讓您同意將您的內容用於訓練 ONTHEBIAS 自有模型，以換取特定利益。任何此類計畫僅限選擇加入、得隨時撤回，並於同意時點清楚標示。

6. 次處理者

我們仰賴下列供應商來營運本服務。各供應商僅接收履行其任務所需的資料，且各供應商均受包含符合 GDPR 之資料保護條款的書面協議所約束。

• Supabase - 資料庫、驗證、檔案儲存（美國區域）
• Vercel - 主機代管、邊緣網路（全球）
• Stripe - 付款與市集撥款（美國）
• Anthropic、Google - AI 生成（僅提示詞／輸出，無訓練商業 API）
• Liveblocks - 即時畫布與留言（美國）
• Resend - 交易性電子郵件（美國）
• SerpAPI - 技術包 BOM 的圖片搜尋（美國）
• AWS S3 - 舊有素材庫資產儲存（us-east-2）
• Trigger.dev - 長時間生成的持久任務編排（美國）
• Sentry - 錯誤追蹤與效能監控（美國）
• Google Cloud Run - AI 生成的備援運算（美國）
• Meta - 廣告成效衡量，僅在您同意行銷的情況下進行；轉換事件於您的電子郵件經雜湊處理後傳送

7. 次處理者變更

上述清單截至本頁頂端的最後更新日期為最新。當我們新增處理個人資料的次處理者時，我們會更新此清單，並於變更生效前至少 30 天在應用程式內通知工作區管理員。若您反對新的次處理者且我們無法合理配合該反對，您可終止您的訂閱，並就任何未使用的預付期間取得按比例退款。

8. 國際資料傳輸

ONTHEBIAS 位於美國，且我們大部分的次處理者亦位於美國。當我們將個人資料自歐洲經濟區、英國或瑞士傳輸至美國或其他司法管轄區時，我們依歐盟執委會的標準契約條款（SCCs）、英國國際資料傳輸附錄，以及對應的瑞士文書，並於必要時輔以補充性技術與組織措施。適用於您與我們關係的 SCCs 副本，可寄送電子郵件至 info@onthebias.co 索取。

9. 保存

我們僅在為上述目的所需的期間內保存個人資料：

• 帳戶與設計內容 - 於您帳戶有效期間內保存。帳戶刪除後，我們會於 30 天內移除設計內容，惟備份除外（於標準備份輪替時清除，最長至 90 天）。
• 商業紀錄 - 發票、付款、訂單歷史及稅務紀錄，為履行會計與稅務義務，最長保存 10 年。
• 使用遙測資料與紀錄 - 最長 24 個月，其後予以彙整或刪除。
• 行銷同意紀錄 - 於您訂閱期間及您最後一次互動後 3 年內保存，俾我們得證明曾取得您的同意。
• 安全與詐欺防範紀錄 - 於保護服務所需的期間內保存，通常不超過 3 年。

10. 您的權利

視您居住地而定，您就您的個人資料享有下列部分或全部權利：

• 存取權 - 請求取得我們持有關於您之個人資料的副本。
• 更正權 - 更正不準確或不完整的個人資料。
• 刪除權 - 請求刪除（受法律保存義務之限制）。
• 限制權 - 請求我們就特定目的停止處理您的資料。
• 可攜權 - 以機器可讀格式取得您所提供資料的副本，或於技術可行時請求我們將其傳輸予另一控管者。
• 反對權 - 反對基於正當利益的處理，並隨時反對直接行銷。
• 撤回同意 - 就基於同意的處理，隨時撤回同意。
• 申訴 - 向您當地的資料保護主管機關提出申訴。於歐盟為您的國家監理機關；於英國為資訊委員辦公室（ico.org.uk）。

如欲行使任何權利，請寄送電子郵件至 info@onthebias.co，並提供足夠細節，俾我們得辨識您及您的請求。我們將於 30 天內回覆，就複雜請求得依 GDPR 所允許延長 60 天。除非請求顯無理由或過度，否則不收取費用。工作區管理員亦可直接自應用程式刪除個別系列＋畫布資料。

11. Cookie

我們使用一個工作階段 Cookie 進行驗證，以及一個小型偏好 Cookie 來記住您使用中的工作區。我們亦載入 Meta（Facebook／Instagram）像素以衡量我們的廣告，並在您的電子郵件先經雜湊處理後，將轉換事件（註冊、訂閱）傳送給 Meta。此功能預設為開啟，您可隨時透過「管理 Cookie」連結選擇退出；於歐盟、歐洲經濟區、英國、瑞士及巴西，我們僅在您選擇加入後才載入。詳見我們的 Cookie 政策 以取得完整清單。

12. 兒童

本服務並非針對 16 歲以下兒童，且我們不會在知情的情況下蒐集 13 歲以下（或於適用數位同意年齡為 16 歲之司法管轄區為 16 歲以下）兒童的個人資訊。若您認為有兒童向我們提供了個人資料，請寄電子郵件至 info@onthebias.co，我們將予以刪除。

13. 美國各州隱私權（加州及其他）

若您是加州居民，您依《加州消費者隱私法》（經 CPRA 修正）享有相關權利，包括知悉、刪除、更正個人資訊，以及選擇退出個人資訊之出售或分享的權利。我們不出售或分享 CCPA 所定義之個人資訊。維吉尼亞州、科羅拉多州、康乃狄克州、猶他州、德州、奧勒岡州、蒙大拿州，以及其他設有全面性隱私法之美國各州的隱私法，亦提供類似權利。如欲行使該等權利，請寄電子郵件至 info@onthebias.co。

14. 歐盟代表

ONTHEBIAS 目前尚未依 Art. 27 GDPR 於歐盟指定代表。歐盟使用者得將所有資料保護請求與申訴逕寄 info@onthebias.co，並向其國家監理機關提出。我們正在洽聘一位 Art. 27 代表，一經完成即將於此處列出該代表。

15. 安全

我們採用業界標準的技術與組織措施來保護個人資料，包括傳輸中加密（TLS 1.2 或更高版本）、資料庫與檔案儲存的靜態加密、角色型存取控制、使用者資料的列層級安全、稽核紀錄，以及定期弱點掃描。沒有任何系統是完全安全的。若我們得知影響您個人資料的資安事件，我們將依法通知您及適用的監理機關。

16. 變更

我們得更新本政策。重大變更將於生效前至少 30 天於應用程式內公告並以電子郵件通知有效帳戶，惟法律要求較短期間者除外。變更生效後繼續使用，即表示您接受更新後的政策。先前版本可向 info@onthebias.co 索取。