隱私政策

1. 我們是誰及如何與我們聯絡

ONTHEBIAS, Inc.（「ONTHEBIAS」、「我們」）是一家德拉瓦州公司，於 onthebias.co 及 app.onthebias.co 營運 ONTHEBIAS 設計平台。就透過本服務蒐集的個人資料，我們為資料控管者，惟就下列 DPA 使我們成為您的處理者之情形則不在此限。如有隱私問題、資料主體請求或 DPA 請求，請寄電子郵件至 privacy@onthebias.co.

通訊地址： ONTHEBIAS, Inc., c/o Registered Agent, State of Delaware（完整註冊地址可向 privacy@onthebias.co 索取）。

2. 我們蒐集的內容

我們蒐集四類資料：

• 帳戶資訊 - 電子郵件、姓名、頭像、工作區名稱、電話（選填）、偏好語言，以及您訂閱時的帳單地址。於您註冊時或日後在應用程式內提供。
• 設計內容 - 專案、畫布狀態、OBIE 聊天訊息、生成樣稿、平面草圖、技術包、您上傳的品牌素材、素材庫收藏，以及您寄給供應商的詢價單與訊息。
• 使用遙測資料 - 頁面瀏覽、功能使用、錯誤追蹤、裝置／瀏覽器類型、IP 位址（寫入時截斷），以及行銷歸因 Cookie（詳見 Cookie 政策）。用以營運及改進產品。
• 商業資料 - 訂閱層級、點數餘額與歷史、已下訂單、已接受報價、發票及付款。付款卡號本身由 Stripe 處理，絕不觸及我們的伺服器。

我們不販售個人資料，亦不會為第三方自身的廣告或行銷目的而與其分享個人資料。

3. 我們如何使用

• 營運平台並提供您所註冊的功能。
• 透過 Stripe 處理付款，並將市集撥款導向供應商。
• 寄送交易性電子郵件（註冊確認、密碼重設、訂單更新、推薦通知）。未經明確選擇加入，我們不會向您的地址進行行銷宣傳。
• 透過彙整、去識別化的使用分析來改進產品。
• 偵測並防範詐欺、濫用、抓取、安全事件及違反條款之行為。
• 遵循我們的法律義務（稅務紀錄、制裁篩查、對合法請求的回應）。

4. 法律依據（GDPR／UK GDPR）

就位於歐盟、歐洲經濟區、英國及瑞士的使用者，我們依 Article 6 GDPR 所依據的法律依據為：

• 契約之履行 - 提供您所註冊的服務、處理付款，並履行您所下的訂單。
• 正當利益 - 保障服務安全、防範詐欺與濫用、瞭解彙整之產品使用情形，並傳達營運更新。我們會將此與您的權利加以權衡，您可隨時寄送電子郵件至 privacy@onthebias.co 表示反對。
• 同意 - 用於行銷電子郵件、非必要 Cookie（分析與廣告）、於歐盟／歐洲經濟區／英國／瑞士／巴西的 Meta 像素，以及任何未來的選擇加入 AI 訓練計畫。您可隨時撤回同意，且不影響撤回前處理的合法性。
• 法律義務 - 遵循稅務、會計、制裁及其他適用法律。

5. AI 訓練

您的設計內容不會用於訓練我們自有的任何模型，我們亦不允許我們的第三方 AI 供應商以您的內容訓練其模型。我們僅為當下履行您所請求的生成，依 AI 供應商（Anthropic、Google）的無訓練商業 API，將您的提示詞與上傳圖片傳送予其。我們日後或會提供另行的、以工作區為單位的選擇加入計畫，讓您同意將您的內容用於訓練 ONTHEBIAS 自有模型，以換取特定利益。任何此類計畫僅限選擇加入、得隨時撤回，並於同意時點清楚標示。

6. 次處理者

我們仰賴下列供應商來營運本服務。各供應商僅接收履行其任務所需的資料，且各供應商均受包含符合 GDPR 之資料保護條款的書面協議所約束。

• Supabase - 資料庫、驗證、檔案儲存（美國區域）
• Vercel - 主機代管、邊緣網路（全球）
• Stripe - 付款與市集撥款（美國）
• Anthropic、Google - AI 生成（僅提示詞／輸出，無訓練商業 API）
• Liveblocks - 即時畫布與留言（美國）
• Resend - 交易性電子郵件（美國）
• SerpAPI - 技術包 BOM 的圖片搜尋（美國）
• AWS S3 - 舊有素材庫資產儲存（us-east-2）
• Trigger.dev - 長時間生成的持久任務編排（美國）
• Sentry - 錯誤追蹤與效能監控（美國）
• Google Cloud Run - AI 生成的備援運算（美國）
• Meta - 廣告成效衡量，僅在您同意行銷的情況下進行；轉換事件於您的電子郵件經雜湊處理後傳送

7. 次處理者變更

上述清單截至本頁頂端的最後更新日期為最新。當我們新增處理個人資料的次處理者時，我們會更新此清單，並於變更生效前至少 30 天在應用程式內通知工作區管理員。若您反對新的次處理者且我們無法合理配合該反對，您可終止您的訂閱，並就任何未使用的預付期間取得按比例退款。

8. 國際資料傳輸

ONTHEBIAS 位於美國，且我們大部分的次處理者亦位於美國。當我們將個人資料自歐洲經濟區、英國或瑞士傳輸至美國或其他司法管轄區時，我們依歐盟執委會的標準契約條款（SCCs）、英國國際資料傳輸附錄，以及對應的瑞士文書，並於必要時輔以補充性技術與組織措施。適用於您與我們關係的 SCCs 副本，可寄送電子郵件至 privacy@onthebias.co 索取。

9. 保存

我們僅在為上述目的所需的期間內保存個人資料：

• 帳戶與設計內容 - 於您帳戶有效期間內保存。帳戶刪除後，我們會於 30 天內移除設計內容，惟備份除外（於標準備份輪替時清除，最長至 90 天）。
• 商業紀錄 - 發票、付款、訂單歷史及稅務紀錄，為履行會計與稅務義務，最長保存 10 年。
• 使用遙測資料與紀錄 - 最長 24 個月，其後予以彙整或刪除。
• 行銷同意紀錄 - 於您訂閱期間及您最後一次互動後 3 年內保存，俾我們得證明曾取得您的同意。
• 安全與詐欺防範紀錄 - 於保護服務所需的期間內保存，通常不超過 3 年。

10. 您的權利

視您居住地而定，您就您的個人資料享有下列部分或全部權利：

• 存取權 - 請求取得我們持有關於您之個人資料的副本。
• 更正權 - 更正不準確或不完整的個人資料。
• 刪除權 - 請求刪除（受法律保存義務之限制）。
• 限制權 - 請求我們就特定目的停止處理您的資料。
• 可攜權 - 以機器可讀格式取得您所提供資料的副本，或於技術可行時請求我們將其傳輸予另一控管者。
• 反對權 - 反對基於正當利益的處理，並隨時反對直接行銷。
• 撤回同意 - 就基於同意的處理，隨時撤回同意。
• 申訴 - 向您當地的資料保護主管機關提出申訴。於歐盟為您的國家監理機關；於英國為資訊委員辦公室（ico.org.uk）。

如欲行使任何權利，請寄送電子郵件至 privacy@onthebias.co，並提供足夠細節，俾我們得辨識您及您的請求。我們將於 30 天內回覆，就複雜請求得依 GDPR 所允許延長 60 天。除非請求顯無理由或過度，否則不收取費用。工作區管理員亦可直接自應用程式刪除個別專案＋畫布資料。

11. Cookie

我們使用一個工作階段 Cookie 進行驗證，以及一個小型偏好 Cookie 來記住您使用中的工作區。我們亦載入 Meta（Facebook／Instagram）像素以衡量我們的廣告，並在您的電子郵件先經雜湊處理後，將轉換事件（註冊、訂閱）傳送給 Meta。此功能預設為開啟，您可隨時透過「管理 Cookie」連結選擇退出；於歐盟、歐洲經濟區、英國、瑞士及巴西，我們僅在您選擇加入後才載入。詳見我們的 Cookie 政策 以取得完整清單。

12. 兒童

本服務並非針對 16 歲以下兒童，且我們不會在知情的情況下蒐集 13 歲以下（或於適用數位同意年齡為 16 歲之司法管轄區為 16 歲以下）兒童的個人資訊。若您認為有兒童向我們提供了個人資料，請寄電子郵件至 privacy@onthebias.co，我們將予以刪除。

13. 美國各州隱私權（加州及其他）

若您是加州居民，您依《加州消費者隱私法》（經 CPRA 修正）享有相關權利，包括知悉、刪除、更正個人資訊，以及選擇退出個人資訊之出售或分享的權利。我們不出售或分享 CCPA 所定義之個人資訊。維吉尼亞州、科羅拉多州、康乃狄克州、猶他州、德州、奧勒岡州、蒙大拿州，以及其他設有全面性隱私法之美國各州的隱私法，亦提供類似權利。如欲行使該等權利，請寄電子郵件至 privacy@onthebias.co。

14. 歐盟代表

ONTHEBIAS 目前尚未依 Art. 27 GDPR 於歐盟指定代表。歐盟使用者得將所有資料保護請求與申訴逕寄 privacy@onthebias.co，並向其國家監理機關提出。我們正在洽聘一位 Art. 27 代表，一經完成即將於此處列出該代表。

15. 安全

我們採用業界標準的技術與組織措施來保護個人資料，包括傳輸中加密（TLS 1.2 或更高版本）、資料庫與檔案儲存的靜態加密、角色型存取控制、使用者資料的列層級安全、稽核紀錄，以及定期弱點掃描。沒有任何系統是完全安全的。若我們得知影響您個人資料的資安事件，我們將依法通知您及適用的監理機關。

16. 變更

我們得更新本政策。重大變更將於生效前至少 30 天於應用程式內公告並以電子郵件通知有效帳戶，惟法律要求較短期間者除外。變更生效後繼續使用，即表示您接受更新後的政策。先前版本可向 privacy@onthebias.co 索取。