「Lokavi Home」App 隱私權政策
版本 2.2.1——於 2026 年 11 月 9 日公布。本版本僅就透過 App 中「檢舉」按鈕檢舉 AI 生成內容的部分修改版本 2.2（第 2 節——新增一列、第 5d 節——新增一段、第 6 節——保存期間）。其餘內容不變。版本 2.2.1 自公布之日起生效。
營運商聯絡資料已於 2026 年 11 月 7 日更新（文字性修改——其餘內容不變）。
1. 誰負責你的資料
「Lokavi Home」App（以下簡稱「App」）由 Sebastian Jabłoński spółka komandytowa 提供，其登記地址位於華沙，ul. Bonifraterska 17, 00-203 Warszawa，登記於波蘭國家法院登記處（KRS）企業登記簿，登記號碼 0000855880，稅籍編號（NIP）5252833038，統計編號（REGON）386820681（以下簡稱「營運商」）。個人資料相關事宜聯絡方式：privacy@lokavi.pl。
本 App 用於組織私人家庭中的工作：為家庭工作人員規劃任務、紀錄簿、報告、聊天、餐點及「立即」請求。App 中的每個家庭都有一位管理員（建立該家庭的人）。對於家庭管理員為超出純粹個人或家庭活動之目的而輸入 App 的家庭工作人員及其他人員資料，依 GDPR 之定義，資料控管者為家庭管理員，營運商則以資料處理者身分，依據委託處理契約（服務條款附件 2）代其處理該等資料。家庭管理員僅為個人或家庭目的使用 App 時，營運商對該等資料適用相同的原則與保護措施。營運商於下列範圍內為資料控管者：帳號資料（電子郵件地址、密碼、登入紀錄）、安全與紀錄、餘額、訂閱方案與付款、行銷（第 5a 節）、內容檢舉（第 5d 節），以及購物代理、從照片或口述讀取清單，以及為購物清單項目選擇商店（第 5b 節）。
2. 處理哪些資料
| 資料 | 來源 | 目的 |
|---|---|---|
| 電子郵件地址、密碼（僅以雜湊值儲存）、Apple／Google 帳號識別碼、名字（若你提供；Google 通常為姓名）及 Google 個人資料相片網址（會儲存，但不使用）——若有使用（第 2a 節） | 由使用者於建立帳號時提供，或於使用者同意登入後由 Apple 或 Google 傳送 | 登入、找回密碼、與家庭建立關聯 |
| 家庭中人員的電子郵件地址（選填欄位） | 由家庭管理員或協調員輸入（為工作人員、家庭成員及自己）；當某人透過「連結」按鈕連結帳號，而其資料中尚無電子郵件地址時，會在該處儲存其帳號已驗證的電子郵件地址（包括 Apple 的代理地址） | 辨識某個電子郵件、Apple 或 Google 帳號屬於該人員，並將兩者連結（第 2a 節） |
| 名字、在家庭中的角色與職務、PIN（僅以雜湊值儲存） | 由家庭管理員或使用者本人輸入 | 以 PIN 登入、分派任務 |
| 已登入裝置的工作階段：登入方式（PIN、QR 碼、電子郵件、Apple、Google）、裝置簡短描述（例如「iPad · App」）、最後使用時間 | 登入時自動儲存 | 安全，以及讓管理員或該人員可檢視和中斷裝置連線；工作階段於登出、中斷裝置連線或解除帳號與人員的連結後刪除，未使用的工作階段於 120 天後失效並隨即刪除 |
| 家庭名稱與地址 | 由家庭管理員輸入 | 識別家庭、提供給工作人員之聲明的內容；地址——亦用於購物代理（選擇配送方式、搜尋商品優惠時的城市；第 5b 節） |
| 任務、執行狀態、時間、班表、紀錄簿（購物、故障、洗衣、物品）、每日報告、「立即」請求、公告、餐點 | 由家庭使用者輸入 | 組織家庭中的工作 |
| 在 App 中拍攝的照片（任務成果、查核請求、紀錄簿、聊天） | 由使用者拍攝，僅於使用者自行操作時拍攝 | 工作品質查核及回報事項的記錄——依在 App 中接受的告知事項 |
| 聊天及群組中的訊息 | 由使用者輸入 | 家庭內的溝通 |
| 推播通知權杖、裝置型號、作業系統 | 使用者的裝置，於使用者同意接收通知後 | 傳送通知 |
| 登入日期與時間、IP 位址、技術事件紀錄 | 自動 | 安全、偵測濫用、排除錯誤 |
| 給購物代理的委託（購物清單、金額上限、家庭對代理提問的回覆、商店畫面截圖）、供 AI 讀取的清單照片或口述文字 | 由家庭使用者輸入；選用功能，預設為關閉 | 依管理員指示完成購物、讀取清單（第 5b 節） |
| AI 模型供應商的自有 API 金鑰（僅在裝置上加密；以明文顯示的只有供應商名稱及最後 4 個字元）、其驗證狀態 | 若家庭管理員選擇使用自有金鑰，由其輸入 | 代理使用家庭在模型供應商處的帳號運作（第 5b 節） |
| 代理餘額及交易紀錄：儲值（金額、日期、Stripe 付款識別碼、儲值人）、執行費用（模型、權杖數量、金額）及其退還、入門禮、付款退款、營運商調整；獲贈入門禮之帳號的識別碼 | 自動，來自 Stripe 的付款確認及代理的工作結果 | 代理工作的結算、會計與稅務、確保入門禮僅發放一次（第 5c 節） |
| 付款人及付款資料（姓名或名稱、電子郵件地址、帳單地址所在國家、稅籍編號（NIP）——若有提供、付款方式） | 由付款人於 Stripe 付款頁面提供 | 受理付款、確認付款是否可受理（帳單地址所在國家是否位於歐盟、稅號種類）、VAT 結算——包括其他歐盟國家消費者付款的彙整表、應要求開立發票（第 5c 及 5h 節） |
| AI 訂閱方案：Stripe 客戶及訂閱識別碼、方案、狀態、計費週期、訂閱方案的付款與發票、額度內的用量 | 自動，來自 Stripe 的確認及代理的工作結果 | 履行訂閱方案契約、會計與稅務（第 5c 節） |
| 付款前作出的聲明（接受服務條款及其版本、要求在解約期限屆滿前開始提供服務；內容版本、人員、時間、付款識別碼） | 由家庭擁有者在付款視窗中作出 | 證明契約的成立與結算、以電子郵件確認（第 5c 節） |
| 解除合約聲明（姓名、電子郵件地址、契約、提出的日期與時間） | 由家庭擁有者在「解除合約」視窗中，或以電子郵件或書面提供 | 受理解除、確認及退款（第 5c 節） |
| 內容檢舉及申訴（檢舉人資料、檢舉內容、決定及其理由） | 由檢舉人或使用者以電子郵件提供 | 處理檢舉及申訴（第 5d 節） |
| 家庭擁有者的電子郵件地址 | 家庭擁有者的帳號 | 關於代理餘額的交易電子郵件（歡迎、餘額不足、餘額用盡、結算規則變更） |
| 關於行銷同意的決定（同意的內容與版本、日期、來源、瀏覽器、帳號電子郵件地址） | 由使用者在 App 中或帳號頁面上表示 | 記錄行銷同意並得以證明 |
| 家庭掃描影格（室內影像，不含有人或文件的影格）、房間示意模型、上傳的家庭平面圖、物品裁切圖、物品名稱、位置與數量、口述位置內容的文字、掃描者與掃描時間、掃描費用 | 由使用者以手機相機拍攝或口述；選用功能，由家庭管理員開啟 | 家中物品登錄及「什麼東西放在哪裡」的搜尋（第 5i 節） |
| 在 App 中對 AI 內容的檢舉（「檢舉」）：家庭、檢舉的帳號與人員、被檢舉內容的類型與識別碼（不含內容副本）、原因、最多 500 字元的說明、狀態 | 由使用者透過 AI 內容旁的「檢舉」按鈕提供 | 查核 AI 內容並改善 AI 功能的運作、遵守應用程式商店的規則（第 5d 節） |
本 App 不會取得位置資訊，不會讀取手機中的聯絡人或檔案，也不會在使用者未操作的情況下開啟相機。App 只會向已表示同意的人員顯示和傳送優惠及行銷資訊，而為挑選優惠所進行的剖析僅在取得同意後進行（第 5a 節）。App 不儲存支付卡資料——購物代理使用管理員商店帳號中已儲存的付款方式，代理餘額儲值及 AI 訂閱方案則由 Stripe 處理（卡片或 BLIK 資料僅在 Stripe 付款頁面輸入）。
2a. 透過 Apple 和 Google 登入
你可以透過「透過 Apple 登入」或「透過 Google 登入」登入 App（Android App 中僅限 Google）。這是取代密碼的便利選項——是否使用由你自行決定，以 PIN、QR 碼或電子郵件地址加密碼登入仍可正常使用。
- 會收到哪些資料。登入後，Apple 或 Google 會向 App 傳送：帳號識別碼（由供應商指派的固定識別碼）、電子郵件地址以及該地址是否已驗證的資訊（Apple——也包括是否為代理地址），以及名字（若你提供；Google 通常為姓名），App 會在首次登入時儲存。Google 另外會傳送個人資料相片網址；該網址會與帳號資料一併儲存，但 App 不會使用或顯示。透過 Apple 登入時，你可以隱藏真實的電子郵件地址；此時 Apple 會傳送代理地址（通常形式為 …@privaterelay.appleid.com），寄到該地址的郵件可由 Apple 轉寄到你的信箱。App 不會要求存取你 Apple 或 Google 帳號中的郵件、聯絡人、行事曆或檔案。
- 密碼。App 絕不會取得 Apple 或 Google 帳號的密碼——你只會在供應商處輸入密碼。
- 目的。這些資料用於讓你登入 App，以及將帳號與你在家庭中的人員資料連結。家庭管理員或協調員可在人員資料中輸入其電子郵件地址；若 Apple 或 Google 驗證的地址與之相同，帳號會自動與該人員連結。你也可以自行連結帳號：以 PIN 或 QR 碼登入後選擇「連結」，然後透過 Apple 或 Google 登入；若你的人員資料中尚無電子郵件地址，App 會在該處儲存此帳號已驗證的地址（包括 Apple 的代理地址）。
- 法律依據。履行使用 App 的契約（GDPR 第 6 條第 1 項 (b) 款）——與其他帳號資料相同（第 3 節）。這些資料的控管者為營運商；家庭管理員或協調員在人員資料中輸入的電子郵件地址，依第 1 節所述方式處理。
- Apple 和 Google 為獨立的資料控管者。在登入時，Apple 和 Google 並非代表營運商行事：它們提供自己的登入服務，並依其各自的隱私權政策（Apple、Google），自行決定為此所需資料的處理目的與方式。供應商可能會知道你正在登入「Lokavi Home」App。
- 如何解除登入連結。Apple、Google 或電子郵件帳號可在 App 中與家庭中的人員解除連結：由家庭管理員（設定 → 人員）、協調員（針對工作人員與家庭成員）或該人員本人（更多 → 我的帳號 →「解除帳號連結」）操作。只有已設定 PIN 的人員才能解除帳號連結——以免有人失去進入家庭的權限。解除連結後，該人員以此帳號登入的工作階段會被刪除，以 PIN 和 QR 碼登入則仍可使用。此外，你隨時可以在 Apple 帳號（透過 Apple 登入）或 Google 帳號（已連結的第三方應用程式）的設定中撤銷 App 的存取權。在供應商處撤銷存取權並不會刪除 App 中的帳號。帳號連同已儲存的 Apple／Google 識別碼及電子郵件地址，可依第 7 節（刪除帳號）所述方式刪除；刪除帳號也會清除你在家庭中人員資料所儲存的電子郵件地址，而人員項目本身則適用第 6 節的保存規則。
3. 法律依據
- 履行使用 App 的契約（GDPR 第 6 條第 1 項 (b) 款）——帳號、登入、App 功能；
- 營運商的正當利益（GDPR 第 6 條第 1 項 (f) 款）——安全、防止濫用、技術統計；
- 就家庭工作人員的資料而言——家庭管理員在工作人員於 App 中接受的告知事項中指明的依據（履行契約、家庭管理員的正當利益）；
- 同意（GDPR 第 6 條第 1 項 (a) 款）——推播通知；同意可在手機設定中撤回；
- 履行與家庭管理員訂立的 AI 服務契約（GDPR 第 6 條第 1 項 (b) 款）——在購物代理、讀取清單及選擇商店的範圍內，將資料傳送給 AI 模型供應商及商品優惠搜尋引擎（第 5b 節）；對於資料可能出現在商店畫面截圖或清單照片上的其他人員（例如收件人、家庭成員）——營運商及家庭管理員在執行購物委託方面的正當利益（GDPR 第 6 條第 1 項 (f) 款）；
- 翻譯在家庭中輸入的內容（第 5e 節）——對使用 App 的人員為履行使用 App 的契約（GDPR 第 6 條第 1 項 (b) 款），對沒有帳號的內容作者及內容中提及的人員，則為營運商及家庭成員在讓使用不同語言的人能夠彼此溝通方面的正當利益（GDPR 第 6 條第 1 項 (f) 款）；就以家庭管理員為控管者的工作人員及其他人員資料（第 1 節）——為家庭管理員指明的依據，營運商依其指示行事；
- 履行契約（GDPR 第 6 條第 1 項 (b) 款）——代理餘額、儲值、AI 訂閱方案、執行費用及其退還、解除合約及付款退款、關於餘額的交易電子郵件、付款及解除合約的確認；
- 營運商的法定義務（GDPR 第 6 條第 1 項 (c) 款）——依稅法及會計法規保存付款文件、發票及銷售紀錄，確認契約成立及受理解除合約（波蘭《消費者權利法》），處理內容檢舉及申訴（《數位服務法》）；
- 營運商的正當利益（GDPR 第 6 條第 1 項 (f) 款）——記錄已發放的入門禮（使每個帳號只能獲得一次入門禮）、保存付款前作出的聲明作為證據，以及確立與主張與付款相關的請求權；
- 營運商及合作夥伴產品與服務的行銷、為挑選優惠所進行的剖析及將資料提供給合作夥伴——同意（GDPR 第 6 條第 1 項 (a) 款），每項目的及每種聯絡管道分別取得；
- 家庭管理員的同意（GDPR 第 6 條第 1 項 (a) 款）——家庭掃描，即將室內影像傳送給 AI 模型（第 5i 節）；同意可隨時依第 5i 節所述方式撤回。
- AI 虛擬管家（第 5j 節）——就以家庭管理員為控管者的工作人員及其他人員資料（第 1 節）——為家庭管理員指明的依據（履行據以提供工作的契約，或其在組織家庭工作方面的正當利益），營運商依其指示行事；就家庭管理員的資料——履行使用 App 的契約（GDPR 第 6 條第 1 項 (b) 款）。
4. 資料接收者
| 實體 | 角色 | 所在地 |
|---|---|---|
| Supabase Inc. | 資料庫、登入、照片儲存 | 位於歐盟的伺服器（愛爾蘭） |
| GitHub Inc. (GitHub Pages) | App 檔案代管（網頁版） | 美國——標準契約條款 |
| Resend Inc. | 寄送確認及重設密碼電子郵件、關於代理餘額的交易電子郵件，以及付款與解除合約的確認（寄件人 agent@send.lokavi.pl）——會收到收件人電子郵件地址、家庭名稱、餘額、付款或解除合約資料及 App 連結 | 位於歐盟的伺服器 |
| Stripe Payments Europe, Limited | 代理餘額儲值及 AI 訂閱方案的支付服務商（卡片、BLIK、Link）；亦以獨立控管者身分，依其自身的隱私權政策（stripe.com/pl/privacy）處理付款人及付款資料 | 愛爾蘭（歐盟）；傳輸至位於美國的 Stripe, Inc.——適足性認定（DPF）／標準契約條款 |
| Apple Inc. / Google LLC | 傳遞推播通知；此外，在透過 Apple 或 Google 登入時（若有使用），以獨立控管者身分提供其自身的登入服務（第 2a 節） | 美國——標準契約條款／適足性認定（DPF） |
| Anthropic PBC | 購物代理、讀取清單及選擇商店的 AI 模型：在「我們的權杖」計費方式下及讀取清單時——作為營運商的資料處理者；使用家庭自有 API 金鑰時，若家庭選擇此供應商——依家庭與供應商之間契約的條件（第 5b 節）；為購物清單項目選擇商店（項目名稱與數量、家庭的商店及購物偏好）——一律作為營運商的資料處理者，使用營運商的帳號，即使在使用自有 API 金鑰的家庭中，以及該家庭的代理使用其他供應商（OpenAI 或 xAI）時亦同（第 5b 節）；翻譯在家庭中輸入的內容（若已開啟，第 5e 節）——作為營運商的資料處理者，就以家庭管理員為控管者的資料而言——作為複委託處理者；家庭掃描（若已開啟，第 5i 節）——作為營運商的資料處理者，就以家庭管理員為控管者的資料而言——作為複委託處理者；AI 虛擬管家（若家庭管理員開啟，第 5j 節）——使用營運商的帳號，即使在使用自有 API 金鑰的家庭中亦同，作為營運商的資料處理者，就以家庭管理員為控管者的資料而言——作為複委託處理者 | 美國——標準契約條款（GDPR 第 46 條第 2 項 (c) 款） |
| OpenAI (OpenAI OpCo, LLC) 及 xAI (X.AI LLC) | 購物代理的 AI 模型，僅在使用家庭自有 API 金鑰且家庭選擇此供應商時；資料依家庭與供應商訂立之契約的條件傳送給供應商（第 5b 節） | 美國——依家庭與供應商之間的契約（標準契約條款或適足性認定——EU-US Data Privacy Framework） |
| OVHcloud（OVH 集團） | 購物代理伺服器：開啟商店的瀏覽器、購物期間的畫面截圖、在執行期間解密商店密碼及 API 金鑰（第 5b 節） | 波蘭（華沙），歐盟 |
| SerpApi, LLC | 代理搜尋與比較優惠時使用的商品優惠搜尋引擎（Google Shopping）——會收到所搜尋商品的名稱及家庭所在城市，不含個人資料（第 5b 節） | 美國——所傳送的資訊（商品名稱及城市）無法識別個人，因此不屬於個人資料 |
如需標準契約條款的副本，可寫信向營運商索取。資料不會被出售。除本節所列接收者外，營運商僅向 Lokavi Home 的合作夥伴提供資料，且僅限已同意將資料提供給合作夥伴之人員的資料（第 5a 節），並以該同意的範圍為限：名字、電子郵件地址，以及——若有提供——電話號碼。若法律有所要求，資料可能會揭露給有權機關。
5. 家庭中誰能看到資料
家庭管理員及具有管理員權限的人員可看到其家庭的所有資料。協調員可看到任務、班表、紀錄簿及報告。工作人員可看到自己的任務、紀錄簿、聊天，以及與其工作相關的內容。家庭成員可看到餐點、物品、購物、「立即」請求及聊天。一個家庭的資料不會被其他家庭看到。
5a. 行銷與同意
行銷同意是自願的、彼此獨立的，且不是建立帳號或使用 App 的條件。營運商就下列每項目的及聯絡管道分別請求同意。
- Lokavi Home 優惠——傳送有關 Lokavi Home 產品與服務的資訊，特別是清潔、烹飪及司機服務。
- 合作夥伴優惠——介紹 Lokavi Home 合作夥伴在下列類別中的優惠：電力與天然氣、保險、居家服務、購物與商品、設備維修、寵物照顧、季節性與節慶用品、帳單、公用事業與訂閱，且不會將你的資料提供給他們。
- 將資料提供給合作夥伴——將你的名字、電子郵件地址，以及若你提供的電話號碼，提供給上述類別中經挑選的合作夥伴，讓他們能向你介紹其優惠；此時合作夥伴即成為這些資料的獨立控管者。
- 依你的家庭挑選優惠——剖析，即根據家庭資料挑選優惠（說明如下）。
- 電子郵件管道——透過電子郵件地址接收商業及行銷資訊。
- 簡訊與電話管道——透過簡訊及電話，以你提供的號碼進行行銷聯繫。
- 通知管道——透過手機上的 App 通知接收商業及行銷資訊。
剖析。若你同意挑選優惠，營運商會根據下列資料為你的家庭挑選優惠：家庭成員人數、是否有兒童及其年齡區間、寵物、家庭空間大小，以及 App 功能的使用情形。剖析不會使用健康資料、工作人員資料、照片、聊天或每日計畫。剖析僅用於挑選優惠，不會對你產生法律效果。
為挑選優惠之目的，營運商依家庭管理員的同意，為上述家庭特徵的控管者；在其他範圍內，家庭輸入有關其成員與工作人員的資料，由營運商代家庭管理員處理。
5b. 購物代理與 AI 模型（包括讀取清單及選擇商店）
購物代理、從照片或口述讀取購物清單，以及為購物清單項目選擇商店，都是以人工智慧（AI）模型為基礎的選用功能；其回應可能包含錯誤。代理在營運商的伺服器上運作。這些功能所處理資料的控管者為營運商。
哪些資料會傳送給 AI 模型。購物清單及委託的項目（名稱、數量、備註、金額上限）、家庭使用者對代理提問的回覆、家庭地址（若管理員已輸入——用於選擇配送方式及確認運費）、購物期間的商店畫面截圖（其中可能顯示例如配送地址、收件人姓名及訂單紀錄），以及讀取清單時——紙條照片或口述文字。語音辨識由手機系統或瀏覽器（例如 Apple、Google）依其規則執行；App 只會收到文字。搜尋與比較優惠時，代理會將所搜尋商品的名稱及家庭所在城市傳送給商品優惠搜尋引擎 SerpApi。
目的。執行委託：挑選商品、比較優惠、下訂單、將照片或文字轉換為清單項目、指定代理應在哪家商店搜尋某項目。營運商不會將這些資料用於行銷、剖析或訓練模型。購物清單可能間接透露健康資訊（例如藥品）；營運商不會從中推論此類資訊。
模型供應商。以餘額或訂閱方案計費時（「我們的權杖」），以及讀取清單和選擇商店時，App 一律使用營運商帳號下的 Anthropic PBC（美國）模型——Anthropic 作為資料處理者，受營運商委託處理資料。使用家庭自有 API 金鑰時，代理會使用家庭在管理員從營運商提供之供應商中所選供應商處的帳號：Anthropic PBC、OpenAI 或 xAI（均位於美國）——資料依家庭與該供應商訂立之契約的條件傳送給供應商。選擇商店不會使用家庭的金鑰（說明如下）。
選擇商店。在已開啟購物代理、且家庭管理員已給予本節末尾所述許可的家庭中，項目加入購物清單後，App 會決定代理應在家庭的哪家商店中搜尋該項目。App 會先檢查為家庭擁有者儲存、並在其各家庭間共用的先前商店選擇（商店更正及購物紀錄）——不使用 AI 模型。若無此類選擇，則會將項目名稱與數量（依清單上輸入的內容）、家庭的商店名稱及家庭的購物偏好傳送給 AI 模型；模型會回傳該項目的商店及類別。選擇商店一律使用營運商帳號下的 Anthropic PBC（美國）模型——Anthropic 作為資料處理者，受營運商委託處理資料——即使家庭已為代理提供自有 API 金鑰，且該家庭的代理使用 OpenAI 或 xAI 時亦同；此時不會使用家庭的金鑰，項目名稱也不會傳送給家庭所選擇的供應商。我們會在項目上儲存所決定的商店，並標示該商店是由 AI 模型指定，另外分別儲存每次模型回應的模型、商店、類別、信心度、時間及費用（不含項目名稱）；項目名稱不會寫入紀錄。手動選擇的商店或由商品連結得出的商店一律優先。
商店密碼及 API 金鑰。商店帳號的登入名稱與密碼，以及模型供應商的自有 API 金鑰，會在管理員的手機上以其代理的金鑰加密；資料庫中只有密文（API 金鑰另有供應商名稱及最後 4 個字元）。它們僅在代理伺服器上、自動且於代理工作期間解密；在此期間，營運商在技術上可以存取它們。密碼及金鑰不會傳送給 AI 模型（API 金鑰僅作為登入憑證傳送給其供應商），也不會寫入紀錄、結果、通知、電子郵件或畫面截圖中。
保存。代理畫面截圖——30 天；清單照片及口述文字——讀取後不會儲存或記錄；委託及執行結果——於家庭存續期間。
App 中的許可。首次使用前，家庭管理員須在 App 中確認已閱讀本規則，並允許將資料傳送給模型供應商（我們會儲存文字版本、人員及時間）。處理的依據是契約（第 3 節），而非同意。許可可隨時以寫信給營運商的方式撤回——屆時代理、讀取清單及由 AI 模型選擇商店將停止運作。在 App 中關閉代理（代理分頁）會暫停代理接受新的委託。
5c. 代理餘額與付款
餘額與紀錄。每個家庭都有一位付款人——即擁有帳號的家庭擁有者之一（服務條款第 6 節第 3 點）。營運商為付款人維護代理餘額（由其付費的各家庭共用）及交易紀錄（儲值、AI 用量費用連同家庭名稱、模型及權杖數量、入門禮、調整、退款）。付款人可看到其付費之所有家庭的餘額及費用紀錄。家庭的其他擁有者及協調員可看到自己家庭的費用，而餘額金額則僅在餘額只涉及一個家庭時才可看到。更換付款人後，原付款人保留其付款期間的費用紀錄；對於已無存取權之家庭的費用，會顯示為「其他家庭」，不附說明。由付款人以外的其他擁有者儲值的家庭餘額，仍為該家庭的獨立餘額，該家庭的所有擁有者均可看到。處理依據為履行契約（GDPR 第 6 條第 1 項 (b) 款）。已發放入門禮的紀錄包含家庭擁有者的帳號識別碼——以確保每個帳號只能獲得一次入門禮。
付款。儲值及訂購 AI 訂閱方案均在 Stripe 付款頁面進行，且僅限 App 的網頁版。我們受理帳單地址位於波蘭或其他歐盟國家之消費者的付款，以及具有波蘭稅籍編號（NIP）且帳單地址位於波蘭之企業的付款：營運商會檢查帳單地址所在國家及稅號種類，帳單地址位於歐盟以外或稅號並非波蘭 NIP 的付款，會自動全額退還。對於來自其他歐盟國家之消費者的付款，營運商另會記錄帳單地址所在國家、金額、日期及 Stripe 付款識別碼（第 5h 節）。Stripe Payments Europe, Limited（愛爾蘭）為執行付款而處理付款人資料（包括姓名或名稱、電子郵件地址、卡片或 BLIK 資料、稅籍編號（NIP）——若付款人有提供），並以獨立控管者身分，為 Stripe 隱私權政策所述的自身目的（例如防範詐欺、法定義務）處理這些資料。營運商會從 Stripe 收到付款確認（識別碼、金額、幣別、狀態），並可在 Stripe 管理介面中存取開立發票及退款所需的付款人資料；營運商不會收到完整的卡片資料。
關於餘額的電子郵件。擁有電子郵件地址的家庭擁有者會收到關於代理餘額的交易電子郵件（歡迎、餘額不足、餘額用盡、結算規則變更），由 Resend Inc. 從 agent@send.lokavi.pl 寄出。這些不是行銷電子郵件，無需行銷同意。寄出後，電子郵件地址會從寄送佇列中刪除；僅保留已向該家庭寄出此類電子郵件的紀錄（以免重複寄送）。
AI 訂閱方案。就訂閱方案而言，營運商處理 Stripe 客戶及訂閱識別碼、方案、狀態、計費週期、訂閱方案的付款與發票，以及額度內的用量——目的在於履行契約（GDPR 第 6 條第 1 項 (b) 款）及履行稅務義務（GDPR 第 6 條第 1 項 (c) 款）。
付款前的聲明。每次付款前，家庭擁有者須勾選接受服務條款，以及要求在解約期限屆滿前開始提供服務。我們會儲存其內容（版本）、服務條款版本、人員、時間及付款識別碼——以證明契約的成立與結算（GDPR 第 6 條第 1 項 (b)、(c) 及 (f) 款）——並在付款確認電子郵件中寄送這些聲明。
解除合約。透過「解除合約」按鈕提出的聲明包含在視窗中填寫的姓名及電子郵件地址、契約及提出時間。我們會寄送確認至該地址，營運商也會收到通知，以便在 Stripe 管理介面中辦理退款。
5d. 內容檢舉及申訴
對被認為違法之內容的檢舉，以及對營運商決定的申訴（服務條款第 4a 節），我們以電子郵件受理。我們處理檢舉人的資料（姓名或名稱、電子郵件地址——除非檢舉涉及針對未成年人的妨害性自主及妨害風化犯罪）、檢舉內容、所指出的內容、決定及其理由——目的在於處理檢舉或申訴，以及履行《數位服務法》規定的義務（GDPR 第 6 條第 1 項 (c) 款）。對於顯示有危及他人生命或安全之犯罪的資訊，營運商會通報執法機關。
在 App 中檢舉 AI 內容。由 AI 功能（購物代理、AI 虛擬管家、選擇商店、家庭掃描、「為你推薦」／優惠）生成的內容，你可以透過「檢舉」按鈕進行檢舉，並提供原因及簡短說明（最多 500 字元——請勿包含他人資料）。我們會儲存家庭、檢舉的帳號與人員、內容的類型與識別碼（不含內容副本）、原因、說明、檢舉的時間與狀態。檢舉用於查核 AI 內容、改善 AI 功能的運作，以及遵守應用程式商店（Apple、Google）的規則——依據為營運商的正當利益（GDPR 第 6 條第 1 項 (f) 款）——你可以提出異議（第 7 節）。此檢舉不能取代上述對違法內容的檢舉。只有營運商能看到檢舉；每個帳號每天可提出的檢舉數量有限制。
5e. AI 翻譯
App 文字。波蘭語以外語言的 App 介面文字、系統訊息及文件，已事先使用 Anthropic PBC 的 AI 模型翻譯。此翻譯過程不會使用任何使用者資料。
使用者輸入的內容。當營運商提供在家庭中輸入之內容（例如聊天訊息、任務與故障說明、餐點、操作說明；不包括購物清單）的翻譯功能時，文字及目標語言將會傳送給 Anthropic PBC 的 AI 模型（美國，標準契約條款），且僅用於向以其他語言使用 App 的家庭成員顯示翻譯。翻譯會儲存在原文旁，標示為 AI 翻譯，可顯示原文，並與原文一併刪除。Anthropic 作為受營運商委託的資料處理者，而就以家庭管理員為控管者的工作人員及其他人員資料（第 1 節）而言——作為複委託處理者；營運商會在開啟此功能至少 14 天前，以電子郵件通知家庭管理員（服務條款附件 2）。法律依據請見第 3 節。家庭管理員可以為整個家庭關閉內容翻譯。任何人均可向家庭管理員或營運商，對翻譯其內容提出異議（第 7 節）。供應商不會將這些資料用於訓練模型，營運商也不會將翻譯的內容用於其他目的，特別是不會從中推論健康資訊。
5f. 其他國家的購物代理
在商店要求必須從該國境內地址連線的國家，購物代理可透過中介服務供應商（位於商店所在國家的中介伺服器）連線至商店。該供應商會將代理瀏覽器的流量轉送至商店，包括商店頁面上可見的資料（例如配送地址、購物車內容），並作為受營運商委託的資料處理者。營運商會在該國啟用代理前，於本政策中公布供應商名稱。
5g. 將資料傳輸至歐洲經濟區以外
App 的資料儲存在歐盟（愛爾蘭），歐盟以外的使用者亦同。資料僅會傳輸給第 4 節所列、位於歐洲經濟區（EEA）以外的接收者，並以該節所列的依據為之：歐盟執委會認定具有適足保護水準的決定（包括 EU–US Data Privacy Framework，若接收者已獲該框架認證），或歐盟執委會核准的標準契約條款。EEA 以外的使用者依相同規則使用 App——其資料在歐盟境內處理。
5h. 付款稅務
對於來自其他歐盟國家之消費者的付款，在此類銷售的總額未超過 VAT 法規所定門檻（每年 10 000 歐元）前，營運商以波蘭 VAT 結算。為此，營運商依法定義務（GDPR 第 6 條第 1 項 (c) 款）維護此類付款的彙整表（帳單地址所在國家、金額、日期、Stripe 付款識別碼），並與其他付款資料以相同方式保存（第 6 節）。在超過門檻或於歐盟以外開放付款時，營運商可使用 Stripe Tax 服務計算付款的稅額（例如依付款人所在國家計算的 VAT）：Stripe 會收到付款人的國家及帳單地址，以及——若有提供——稅籍編號（NIP）或 VAT 號碼，以決定適用的稅率並製作稅務文件。
5i. 家庭掃描與物品登錄
家庭掃描是「物品」模組中的選用功能，預設為關閉。家庭管理員須自行開啟此功能，並同意將室內影像傳送給 AI 模型（我們會儲存同意的版本、人員及日期）；未取得此同意，掃描功能無法運作。掃描也需要第 5b 節所述使用 AI 模型的同意。
誰可以掃描。管理員及家庭成員可以掃描。家庭工作人員（工作人員、協調員、廚師）僅在管理員允許或委派其掃描特定位置時才能掃描。首次掃描前，App 會提醒畫面中不要有人或攤開的文件。
哪些資料會傳送給 AI 模型。掃描期間，手機會從相機畫面中挑選清晰且彼此不同的影格（或使用者拍攝的照片），連同掃描位置中已登錄的位置及物品名稱，一併傳送給 Anthropic PBC（美國）的模型。口述時，會將在位置卡片上口述或輸入的文字傳送給模型。模型會回傳辨識出的物品及家具清單。掃描影格也會用來建立房間示意模型：牆面輪廓、門、窗及家具位置。上傳的家庭平面圖會送交 Anthropic 的模型辨識，以讀取其中的房間。這些資料僅用於辨識家中的物品及位置；模型供應商作為受營運商委託的資料處理者處理這些資料，且不會將其用於訓練模型。掃描一律使用營運商在供應商處的帳號，即使在已為購物代理提供自有 API 金鑰的家庭中亦同。
我們儲存哪些資料。辨識出的物品會進入「待檢視」清單，須經管理員或執行掃描的人員核准後，才會成為登錄資料的一部分。我們儲存：物品名稱、位置、數量、類別、顯示物品的小型影像裁切圖、掃描者與掃描時間的資訊，以及掃描費用。只有在模型未於影格中辨識出人員或含有資料的文件時，我們才會儲存掃描影格；含有人或文件的影格完全不會儲存（僅在辨識期間處理）。我們不會建立含有人員或文件的裁切圖。平面圖會無限期保存，直到你刪除（「刪除平面圖」）。
誰能看到。家庭管理員及執行掃描的人員可看到掃描影格。物品及其裁切圖可由能看到物品所在位置的人員看到；標示為貴重的物品及標示為私人的位置，家庭工作人員無法看到。
計費。掃描的計費方式與代理工作相同（第 5c 節）：從代理餘額或家庭的訂閱方案額度中扣除；在已為代理提供自有 API 金鑰的家庭中，掃描免費。掃描前，App 會顯示預估費用，掃描期間則會顯示計數器。掃描費用自 1.8 版服務條款生效之日（2026 年 12 月 6 日）起適用；在此之前，掃描免費。
撤回同意。同意可隨時撤回——在 App 中關閉掃描（物品 → 掃描設定）或寄送電子郵件給營運商；撤回不影響撤回前處理的合法性。已核准的物品會保留在登錄資料中，直到管理員或家庭成員將其刪除。
5j. AI 虛擬管家
AI 虛擬管家（「Lokavi AI」）是以人工智慧（AI）模型為基礎的選用功能，預設為關閉。由具有擁有者角色的家庭管理員在閱讀資訊說明卡後開啟（我們會儲存說明卡版本、人員及時間）。管家處理回報流程中的事項：提醒任務、將任務轉交給當班人員、調整期限、依執行人員提供的原因結案、傳訊息給工作人員，以及將事項轉交給管理員；購買請求僅依管理員的規則核准。管家不會評核工作人員，也不會就其工作條件作出決定。其訊息及動作可能包含錯誤。
哪些資料會傳送給 AI 模型。僅限單一家庭處理當前事項所需的資料：未結回報事項的標題、類型與期限、執行人員的名字、其語言及最近 7 天內對該事項的回應、略過任務的原因、是否有照片的資訊（不含照片本身）、今日班表（誰在何種職務、於哪些時段當班）、最近 48 小時內工作人員與 AI 管家對話串中最多 10 則最新訊息、等待核准的購買請求及購買規則、管理員給管家的指示、管理員的時區及語言。不會傳送：家庭地址、電話號碼、電子郵件地址、餘額、照片、聲明、其他聊天對話或其他家庭的資料。
模型供應商。營運商帳號下的 Anthropic PBC（美國）——即使在使用自有 API 金鑰的家庭中亦同。就以家庭管理員為控管者的工作人員及其他人員資料而言，Anthropic 作為複委託處理者，營運商則依服務條款附件 2 作為資料處理者；傳輸至美國係依據標準契約條款（第 5g 節）。營運商不會將這些資料用於行銷、剖析或訓練模型。
工作人員。AI 管家在第一次傳訊息給某人時，會表明自己是人工智慧，並告知家庭擁有者可以看到對話內容；其訊息會標示「Lokavi AI」。開啟管家前，家庭管理員須告知工作人員此功能——App 提供現成的說明，由工作人員確認。工作人員可就任何事項直接寫信給家庭管理員，並可向家庭管理員或營運商，對由 AI 管家處理其事項提出異議（第 7 節）。
紀錄。AI 管家的每項動作（動作類型、事項、結果、給管理員的簡短說明）及每次執行（時間、模型、權杖數量、費用）都會記錄下來，家庭管理員可在 App 及每週報告中查看。技術紀錄不包含訊息內容或任務標題。
關閉。家庭管理員可隨時以一個按鈕關閉 AI 管家；自此之後，管家不會執行任何動作，家庭資料也不再傳送給模型。
6. 資料保存多久
- 查核請求的照片——30 天後自動刪除；其他照片——90 天後刪除（家庭管理員可縮短這些期間）；
- 任務、紀錄簿、報告、聊天——於家庭存在於 App 期間，以及人員從家庭中移除後最多 12 個月；
- 帳號——直到使用者將其刪除；刪除帳號後，帳號資料會在 30 天內刪除，家庭中的項目（例如已勾選完成的任務）則保留但不再與帳號關聯，家庭中人員資料所儲存的電子郵件地址會被清除；
- 已登入裝置的工作階段——於登出、中斷裝置連線或解除帳號與人員的連結後刪除；120 天未使用的工作階段會失效並自動刪除；
- 技術紀錄——最多 12 個月；
- 代理餘額紀錄、訂閱方案及付款資料——自稅款繳納期限屆滿之日曆年度結束起算 5 年（波蘭《稅務通則》（Ordynacja podatkowa）第 70 條第 1 項及第 86 條第 1 項、《VAT 法》第 112 條），即使在刪除家庭或帳號後亦同——屆時不再與家庭及人員關聯；不屬於會計憑證的執行細節——至請求權時效屆滿為止；
- 付款前作出的聲明及解除合約聲明——至契約請求權時效屆滿為止，即使在刪除家庭或人員後亦同；
- 代理畫面截圖——30 天；委託及執行結果——於家庭存續期間；清單照片及口述文字——不予保存；
- 先前的商店選擇（簡化的項目名稱、商店及類別，為家庭擁有者帳號儲存，並在其各家庭間共用）——直到擁有者帳號刪除為止（與帳號一併刪除），若該帳號不再連結至任何家庭中的任何人員——最遲於次日刪除；選擇商店時的模型回應（模型、商店、類別、信心度、時間、費用；不含項目名稱）——於家庭存續期間；
- 內容檢舉及申訴——至與該決定相關之請求權時效屆滿為止；
- 已發放入門禮的紀錄（帳號識別碼）——即使在刪除家庭及帳號後亦保留，僅用於避免再次發放入門禮；
- 已寄出之餘額電子郵件的紀錄（家庭、類型、日期；不含地址）——於家庭存續期間；
- 模型供應商的自有 API 金鑰（密文）——直到家庭管理員將其刪除或變更，或家庭被刪除為止；
- 行銷同意決定的紀錄——直到撤回同意為止，其後作為證據保存至請求權時效屆滿，即使在刪除帳號後亦同（為 30 天內刪除帳號資料之例外）；
- 家庭掃描影格——30 天後自動刪除；含有人或文件的影格不會儲存；
- 房間示意模型（輪廓、門、窗、家具位置）——直到房間被變更或刪除為止；
- 上傳的家庭平面圖——無限期保存，直到你刪除（「刪除平面圖」）；
- 物品登錄資料及裁切圖——直到管理員或家庭成員刪除該物品為止，最長為家庭存在於 App 期間；在「待檢視」中被拒絕的項目會標示為停用（以免同一次掃描再次新增），並與家庭一併刪除；
- AI 虛擬管家的訊息及工作人員的回覆——與聊天相同（於家庭存在於 App 期間，以及人員從家庭中移除後最多 12 個月）；AI 管家的動作及執行紀錄——於家庭存在於 App 期間。
- AI 內容檢舉——未處理的檢舉最遲於 3 個月後結案，已結案的檢舉於結案後 12 個月刪除；在此之前若家庭被刪除，則一併刪除。
7. 使用者的權利
每個人都有權存取、更正、刪除其資料，限制處理、資料可攜，對以正當利益為依據的處理提出異議，以及向波蘭個人資料保護局局長（Prezes Urzędu Ochrony Danych Osobowych，ul. Stawki 2, 00-193 Warszawa）提出申訴。關於在特定家庭中輸入的資料，該家庭的管理員能最快提供協助；你也可以寫信給營運商。
同意可隨時撤回，且撤回與表示同意同樣容易：更多 → 行銷同意、帳號頁面，或寄送電子郵件給營運商；撤回不影響先前處理的合法性。每個人都有權對剖析提出異議。
刪除帳號：在登入頁面（首頁）登入後——「刪除帳號」（在 App 中：更多 → 我的帳號 →「帳號（Apple／Google／電子郵件）：同意事項與刪除帳號」），或寄送電子郵件給營運商。家庭管理員可以在設定 → 人員中停用人員，並在設定 → 家庭中刪除整個家庭。
8. 兒童
只有成年人可以建立電子郵件／Apple／Google 帳號。兒童（家庭成員）的個人資料由身為家庭管理員的父母或監護人建立；此類個人資料不需要帳號或電子郵件地址，且完全由父母控管。兒童以 PIN 或一次性 QR 碼登入，該 QR 碼由管理員或協調員在兒童自己的裝置上顯示。將個人資料與 Apple 或 Google 帳號連結的功能專供成年人使用（Apple 和 Google 不向未達供應商規定年齡的人提供此登入方式），因此管理員不應輸入兒童的電子郵件地址。
9. 安全
連線均經加密（HTTPS）。密碼及 PIN 僅以加密雜湊值儲存。資料庫中的資料存取受到資料庫層級之家庭間隔離的限制。PIN 輸入錯誤 5 次後，帳號會暫時鎖定。購物代理及讀取清單在 App 中標示為人工智慧（AI）系統：代理的訊息、提問及通知均標有「AI 代理」標籤。
10. 變更
營運商會在 App 中通知本政策的重大變更。最新版本隨時可在本頁網址取得。代理餘額、訂閱方案及付款的規則載於服務條款。
11. 語言版本
本政策提供多種語言版本。原文為波蘭語版本；其他語言版本為使用 AI 工具準備的翻譯。如果各版本內容不同，營運商適用對資料當事人較有利的版本。GDPR 所賦予的權利範圍不因語言版本而有所不同。