隱私政策

一、資料控管者身分

本服務「Pencil」由 Pencil 團隊營運（以下簡稱「我們」）。若您對本政策有任何疑問，請聯絡 support@pencilnow.app。

一之一、店家與平台的角色

本服務為多租戶平台。當您向特定店家（Studio）預約時，該店家為其顧客個人資料之蒐集者（資料控制者），由該店家決定蒐集與利用顧客個人資料之特定目的；Pencil 則係受該店家委託，於提供本服務所必要之範圍內處理顧客個人資料（受託處理者）。依個資法第 4 條，受託處理之 Pencil 於本服務範圍內視同委託機關（即該店家）之行為。

店家於其後台所能查看之顧客個人資料，限於完成與管理預約及商品訂單所必要之範圍，具體包括：

• 顧客姓名
• 電話號碼
• 電子郵件地址
• 生日、性別（由該店家視其需要選擇是否蒐集；屬一般個人資料）
• 預約紀錄（服務項目、時段、預約狀態）
• 商品訂單資料：顧客於店家頁面下單商品時所填之姓名、電子郵件、電話、訂單備註，以及所訂購之商品品項、數量與下單當下之價格
• 出席紀錄（含未出席〔no-show〕註記）
• 店家自行記載之備註（內部備註，僅該店家可見，顧客端不顯示）

前述顧客資料得由您於公開預約頁自行填寫，亦得由店家於後台代為建立或後補（例如店家先以顧客姓名建立預約紀錄，待實際接觸時再補登電話或電子郵件）。

店家並得於後台將其店內之逐月預約紀錄匯出為報表檔案（CSV），供其帳務核對與營運統計之用。匯出內容以帳務所必要者為限：預約日期與時間、顧客姓名、服務項目、服務人員、原價與實收金額、預約狀態及預約編號，不含顧客之電話號碼、電子郵件地址、生日、性別或內部備註。店家就匯出後之檔案為個資法上之蒐集者（資料控制者），應自行妥善保管並依法利用。

當您就特定店家所蒐集之個人資料行使個資法所定之權利（查詢、閱覽、複製、補充、更正、停止蒐集／處理／利用或刪除等）時，因該等資料之蒐集目的由店家決定，本服務將轉知該店家或協助處理您的請求；至於本服務自身作為資料控制者所蒐集之資料（例如帳號登入、Session、系統運作紀錄），則由本服務直接處理。前述各項權利之行使，均可透過 support@pencilnow.app 提出。

二、蒐集目的

為提供 1 對 1 預約管理服務、完成使用者註冊與登入、建立並維持預約紀錄、處理顧客於店家頁面所送出之商品訂單並據以通知店家、寄送或推播店家預約及商品訂單即時通知（含寄送交易性通知信〔登入連結、預約確認、商品訂單確認〕，以及店家綁定 LINE 時之 LINE 推播通知，暨向為顧客提供服務之指定服務人員推播其所負責預約之即時通知〔內容含顧客姓名、電話、預約備註，及顧客回報定金時所提供之轉出帳號末五碼〕），向店家本人寄送服務引導或活化提醒信（例如於店家之預約頁已設定完成但尚無顧客透過連結預約時，提醒店家將其專屬預約頁分享出去以提升使用成效；此類信件僅寄予店家本人，內容為其自身店家資料，不含任何顧客個人資料），以及維護系統運作所需之合理範圍。商品訂單僅為顧客向店家表達購買意向並由店家線下履約，本服務不經手金流、不代收款項；訂單所填之聯絡資訊僅存為該筆訂單之快照，不併入顧客名單、不影響來店次數或集點紀錄。就店家選擇蒐集之生日、性別，其目的為供該店家進行預約管理與服務安排之判斷；本服務不將其用於行銷、推播優惠或其他前述以外之用途。

特定目的代號依個資法施行細則及法務部公告之代號對應，包括「069 契約、類似契約或其他法律關係事務」、「090 消費者、客戶管理與服務」、「148 網路購物及其他電子商務服務」。

依個資法第 8 條，謹向您告知：本服務之資料控管者如第一節所載；蒐集之個人資料類別與目的如本節及第三節所述；個人資料利用之期間為服務存續期間及第四節所定之保存期間，利用地區為第六節所載各服務供應商所在地，利用對象為各該店家（資料控制者）及本服務委託之資料處理者，利用方式為前述目的範圍內之預約管理與系統運作所必要之處理。您就本服務蒐集之個人資料，得行使第五節所列之各項權利。其中生日、性別是否蒐集，取決於各店家於其預約頁之設定（mode-dependent）；店家未開啟者，本服務即不蒐集。若店家將某欄位設為必填而您選擇不提供，將無法於該店之公開預約頁完成自助預約；設為選填或未開啟者，不提供不影響預約之完成。

三、蒐集之個人資料類別

• 識別與聯絡資料：電子郵件地址、姓名、電話號碼（得由顧客自行提供，或由店家於後台代為建立／後補）
• 生日、性別（選用，由店家視其需要選擇是否蒐集）：屬一般個人資料，非個資法第 6 條之特種個人資料。是否蒐集及為必填或選填，取決於各店家於其預約頁之設定；店家未開啟者，本服務即不蒐集
• 預約相關資料：服務項目、時段、預約備註、出席紀錄（含未出席〔no-show〕註記）
• 技術性資料：Cookie / Session 識別碼、IP 位址（用於速率限制與防濫用）
• 站內聊天內容（僅於您使用 Pencil 行動應用程式的站內聊天時）：您與店家往來之文字訊息與照片， 用於提供聊天功能本身；封鎖、檢舉紀錄一併保存以供爭議處理。為處理爭議、安全事件或依法令要求， 平台得於必要範圍內存取聊天內容，且每次存取均留有稽核紀錄。
• 裝置推播識別碼（選用，僅於您使用 Pencil 行動應用程式並啟用推播通知時）：當您於 Pencil 行動應用程式啟用推播通知，本服務蒐集您裝置之推播識別碼（device push token），作為遞送預約及相關通知之用。此識別碼於您登出、刪除帳號、或裝置不再接收推播 （失效憑證）時即刪除。
• 行動應用程式帳號與跨店身分（選用，僅於您使用 Pencil 行動應用程式時）：您以電子郵件 登入 App 後，本服務建立 App 帳號（電子郵件、顯示名稱、登入 session），並依同一電子 郵件自動彙整您於各店家既有之顧客與預約紀錄（「登入即認領」），供您於 App 內檢視自己的跨店預約與已認領店家清單。此彙整僅作用於您本人之資料；各店家仍僅能 看見其自身店內之顧客紀錄，不會因此取得您於其他店家之任何資訊。店家於 後台更正顧客電子郵件時，原依該郵件建立之認領綁定即解除。
• 店家登入密碼（選用）：若店家設定登入密碼，本平台僅以單向雜湊（bcrypt）保存，永不儲存明文密碼，亦無法還原為原始密碼。此為本平台作為控制者所保管之帳號安全資料，與店家所蒐集之顧客資料性質不同。
• 店家 LINE 綁定資料（選用）：若店家綁定 LINE 接收即時通知，本平台保存其 LINE 使用者識別碼（userId / OIDC sub）與 LINE 顯示名稱，作為推播通知之對象。此為店家自願提供之帳號功能資料。綁定後，設定頁可即時顯示店家自身之 LINE 大頭貼，僅供畫面辨識綁定帳號之用，由 LINE 即時提供、本平台目前不另行保存。
• 服務人員 LINE 綁定資料（選用，僅於店家啟用「服務人員」功能且該人員自行綁定 LINE 時）：若店家為其服務人員產生綁定連結，並由該服務人員本人透過該一次性連結自行完成 LINE 綁定（人員點擊連結並登入其 LINE 完成綁定，即為其同意之時點），本平台保存該人員之 LINE 使用者識別碼（userId / OIDC sub）、LINE 顯示名稱與綁定時間，作為向其推播通知之對象。利用目的僅限於：向該人員傳送其所負責預約之即時通知（新預約、取消、改期、改派，以及顧客定金回報）。人員解除綁定、店家將該人員停用或刪除、或該人員於 LINE 封鎖／取消追蹤本服務官方帳號時，本平台即停止使用並清除該人員之 LINE 使用者識別碼、顯示名稱與綁定時間。
• 定金相關資料（選用，僅於店家啟用定金且顧客送出該筆預約時）：顧客付款後自行回報之「轉出帳號末 5 碼」，以及顧客於下單時勾選同意取消／退款政策之證據（同意時間、所同意之政策版本、同意當下之 IP 位址）。末 5 碼供店家與顧客間核對款項是否到帳，並於顧客回報定金後，經由 LINE 傳送予為顧客提供服務之指定人員以協助對帳；本平台不蒐集完整帳號、不蒐集任何金流或信用卡資料、亦不經手任何款項；同意時間／政策版本／IP 則作為「下單前已完整揭露並取得同意」之紀錄，以保障雙方權益。
• 商品訂單資料（選用，僅於店家啟用商品頁且顧客送出訂單時）：顧客下單時填寫之姓名、電子郵件地址、電話（選填）與訂單備註，以及所訂購之商品品項、數量與下單當下之價格快照。前述聯絡資訊僅供店家聯繫顧客、確認並線下履約該筆訂單之用，並以確認信通知顧客；本平台不經手金流、不蒐集付款或信用卡資料、亦不代收任何款項。訂單聯絡資訊僅存為該筆訂單之快照，不併入店家之顧客名單、不影響來店次數或集點紀錄。
• 店家（Studio Owner）所建立的店家資訊：名稱、地址、營業時段、服務項目、商品項目、logo 與商品圖片等
• 服務人員資料（選用，僅於店家啟用「服務人員」功能時）：店家為其服務人員（員工或合作者）建立之姓名、頭銜、自我介紹與大頭照，以及各人員之服務指派、收費與上班時間設定。該等資料由店家決定蒐集與利用之目的，店家為其個資法上之蒐集者，並應確保已向該人員完成告知並取得同意（詳服務條款第三條）；本平台受店家委託處理與展示。其中姓名、頭銜、自我介紹與大頭照會公開顯示於該店家之預約頁供顧客指定人員；顧客完成指定預約後，人員姓名將以快照形式併入該筆預約紀錄，並顯示於預約確認信、通知信與店家後台行程（人員改名或停用後，歷史預約仍保留當時姓名）。人員停用或刪除後，預約頁即不再顯示其資料；既有預約紀錄中之姓名快照隨該筆預約依第四節之保存期間保存

當您於公開預約頁自行送出預約時，須提供電子郵件地址（及店家要求時之電話、生日、性別），以完成預約並接收相關通知（如預約確認、變更或取消通知）；就店家設為必填之欄位，若未提供，將無法於該頁完成自助預約；設為選填或未開啟之欄位，不提供不影響預約之完成。此外，店家亦得於後台代為建立顧客之預約紀錄，於此情形下得僅留存顧客姓名，並於實際接觸時再行後補電子郵件、電話、生日或性別；在電子郵件尚未留存前，本服務不會就該筆預約寄送確認或通知信。

當您於店家頁面送出商品訂單時，須提供姓名與電子郵件地址（電話為選填），以便店家聯繫、確認並線下履約該筆訂單，本服務並據以向您寄送訂單確認信；未提供必要資訊將無法完成下單。此為顧客向店家表達購買意向之紀錄，本服務不經手金流、不代收款項，商品之成交、收款與履約均由店家與顧客於線下另行處理。

Cookie 僅用於維持登入狀態與必要的使用者偏好，本服務不使用第三方廣告追蹤 Cookie。您可於瀏覽器設定中停用 Cookie，但可能影響登入功能與預約流程。

若您於公開預約頁勾選「將訂位人資訊儲存在此瀏覽器」，本服務會將您該次填寫的聯絡資訊（姓名、電話、電子郵件、生日、性別；不含預約備註）儲存於您自己裝置瀏覽器的本機儲存空間（localStorage），僅供您下次於同一裝置預約時自動帶入，以省去重複填寫。此資料保存在您的裝置本機、不會因此功能而額外傳輸或保存於本服務；您可隨時取消該勾選，或清除瀏覽器資料，即可移除已儲存之內容。

四、資料保存期間

預約紀錄於服務存續期間持續保存；商品訂單紀錄（含顧客聯絡快照與商品明細）比照預約紀錄，於服務存續期間保存，並於下列帳號刪除程序中一併刪除或匿名化。使用者來信（support@pencilnow.app）申請刪除帳號後，本服務將於 30 日內刪除或匿名化其 Studio 與相關預約及商品訂單資料；惟依法律規定（例如商業會計法、稅捐稽徵法）須保存，或為因應法律程序、爭議處理或詐欺調查所必要者，於各該必要期間內不在此限。若您使用 Pencil 行動應用程式，亦可直接於 App 內「設定 → 刪除帳號」即時刪除您的 App 帳號：App 帳號、登入 session、裝置推播識別碼、跨店認領綁定，以及您的站內聊天紀錄（含照片檔案）將一併刪除；您於各店家之預約紀錄屬各該店家（資料控制者）依本節期間保存之營業紀錄，不因 App 帳號刪除而消滅，如需處理得依第五節向店家或本服務行使權利。為維持服務之災難復原能力，資料庫每日備份快照保留 30 天，已刪除之資料其備份副本最遲於該期間內一併汰除。登入驗證 Session 依預設保存 30 天，過期後自動失效。IP 速率限制紀錄最多保存 24 小時。店家解除 LINE 綁定，或於 LINE 封鎖／取消追蹤本服務官方帳號時，本服務將停止使用並刪除其 LINE 使用者識別碼與顯示名稱；正常情況下將於系統完成解除綁定時即清除相關欄位，不另作保留。服務人員之 LINE 綁定資料亦同：於該人員解除綁定、遭店家停用或刪除、或於 LINE 封鎖／取消追蹤本服務官方帳號時，本服務即停止使用並清除該人員之 LINE 使用者識別碼、顯示名稱與綁定時間。店家解除 Google 日曆連結時，本服務將刪除所有已同步至其 Google 日曆之預約行程，並清除所保存之 Google 授權憑證（以加密形式保存之存取與更新權杖）與同步紀錄，不另作保留；移除作業於背景分批進行，僅為完成該作業之目的保留最小必要憑證，完成後即一併清除；並於同一 Google 帳號未另有其他工作室使用本功能時撤銷該授權（另有使用者則不予撤銷，以免影響該等工作室）。清空後之「Pencil 預約」日曆本身保留於店家帳號中由其自行處理（不再包含任何預約或顧客資料）。店家申請刪除帳號時，若當時仍為連結狀態，本服務於刪除程序中一併刪除該日曆與相關同步紀錄；若店家先前已自行解除連結，該空日曆已不在本服務可觸及範圍，需由店家自行刪除。

定金相關資料中，顧客回報之「轉出帳號末五碼」與「同意當下之 IP 位址」屬對帳與同意佐證所需之資料，於該筆預約後（以服務日為錨點）保存至多 90 天，不論該筆預約之最終結果（完成、取消、未到場、退款等），期滿一律由系統自動清除（將該等欄位清空為無）；商品訂單之定金回報「轉出帳號末五碼」同此辦理，以訂單成立日為錨點保存至多 90 天，期滿自動清除。同意時間與所同意之政策版本，因屬契約成立之憑據，依預約紀錄之保存期間留存。此等資料亦已納入錯誤追蹤之去識別化處理，不會出現在系統運作紀錄中。

系統運作紀錄（含錯誤堆疊與請求識別碼）於 Sentry 端依其方案之預設保存期間保存。若法律另有規定保存年限（例如商業會計法、稅捐稽徵法），本服務依該規定保存相關資料至法定期間屆滿為止。

五、您的權利

依個資法第 3 條，您就本服務蒐集之個人資料，得行使下列權利：

• 查詢或請求閱覽
• 請求製給複製本
• 請求補充或更正
• 請求停止蒐集、處理或利用
• 請求刪除

請以前述 support@pencilnow.app 信箱提出請求，我們將於合理時間內回覆處理。

六、第三方服務（資料處理者）

與多數國際網路服務相同，Pencil 使用全球知名的雲端基礎設施提供穩定、安全的服務。您的資料主要儲存於日本東京的機房，所有傳輸均經 HTTPS 加密，並施行存取權限控管與多租戶資料隔離。

為維持服務運作，我們選擇具有適當資訊安全與隱私保護措施之服務供應商，將特定資料委外處理予下列國際服務：

• Resend（email 發送，美國公司）：用於寄送登入連結與預約確認信，處理收件者 email 與信件內容；寄送基礎設施位於日本東京
• Cloudflare R2（檔案儲存，Cloudflare 為美國公司）：用於儲存店家 logo、商品圖片、服務人員大頭照，以及您於 Pencil 行動應用程式站內聊天中傳送的照片；資料透過 Cloudflare 全球網路儲存
• Zeabur（主機代管）：用於部署應用與資料庫服務；資料主要儲存於日本東京機房
• Sentry（錯誤追蹤）：於系統發生例外時蒐集堆疊與請求識別碼；我們已採取合理措施避免可識別個人資料進入錯誤追蹤系統；資料處理位於美國
• Expo（推播通知遞送，Expo 由美國公司營運）：當您使用 Pencil 行動應用程式並啟用推播通知時，本服務透過 Expo Push Service 將通知遞送至您的裝置 （經 Apple APNs／Google FCM）；推播內容可能包含預約相關資訊。資料處理位於美國。
• LINE（即時通知，由 LY Corporation 營運，日本公司）：當店家或其指定服務人員綁定 LINE 接收通知時，本服務透過 LINE Messaging API 將預約建立、取消、改期、改派或定金回報之通知內容（含預約編號、服務項目、時間，以及顧客姓名／電話、預約備註等預約資訊；定金回報另含顧客提供之轉出帳號末五碼）推播至店家或該指定服務人員的 LINE；資料傳輸並由 LINE 平台於日本處理
• Google（日曆同步，Google LLC 為美國公司）：僅於店家主動連結其 Google 帳號時，本服務透過 Google Calendar API 在該店家自己的 Google 帳號中建立一本名為「Pencil 預約」之獨立日曆，並將該店之預約寫入為行程， 使店家能於自己的日曆上檢視排程。寫入內容包含：顧客姓名、服務項目名稱與時長／金額、預約時間、 預約編號、店家自身之營業地址、一則須登入始能檢視之後台連結， 以及該筆預約之指定服務人員姓名（僅於店家啟用「服務人員」功能且該預約有指定人員時）。 本服務不會傳送顧客之電話、電子郵件或預約備註至 Google。 本服務僅能存取其自行建立之上述日曆，無法讀取或修改店家原有之任何日曆或行程。 資料傳輸並由 Google 於美國等地處理。店家於後台解除連結時，本服務即停止同步， 並刪除所有已同步至該日曆之預約行程及所保存之授權憑證； 清空後之「Pencil 預約」日曆本身將保留於店家 Google 帳號中，由店家自行決定是否刪除； 該日曆屆時不再包含任何預約或顧客資料，惟其名稱含店家自訂之工作室名稱。 行程數量較多時，移除作業於背景分批進行；完成後本服務即撤銷該 Google 帳號對本服務之授權 （惟若同一 Google 帳號另有其他工作室仍在使用本功能，為避免影響該等工作室， 本服務不予撤銷，僅停止本工作室之同步）。 若撤銷當下 Google 無法連線，店家仍可於 Google 帳號安全性設定自行移除本服務之存取權。 （請注意：若您改為逕自在 Google 帳號的安全性設定中移除本服務之存取權， 將立即中止本服務的一切存取，但不會自動刪除已同步之行程， 該等行程需由您自行於 Google 日曆刪除。）

為提供本服務所必要之範圍內，本服務可能將個人資料跨境傳輸至上述各服務供應商所在地（如各項所列之日本、美國等地）進行處理。我們僅傳輸服務運作所必要之最小資料量，不將您的個人資料出售或出租予任何第三方廣告業者。

此外，本服務採取合理之技術與管理措施保護您的個人資料，包括傳輸加密（HTTPS）、存取權限控管與多租戶資料隔離；然網際網路環境無法提供絕對安全保證。本服務就違反個資法致個人資料遭竊取、洩漏、竄改或其他侵害者，依個資法第 29 條負損害賠償責任，但能證明其無故意或過失者，不在此限。如發生前述事故，本服務將依個資法第 12 條及主管機關相關規定，於查明後儘速以適當方式通知當事人並通報主管機關，並說明已採取之因應措施；法令另有通報期限規定者，從其規定。

本服務未主動向未滿 18 歲之個人蒐集個人資料。若您為未成年人，請於法定代理人同意下始得使用本服務；若我們發現未經同意蒐集之未成年人資料，將於合理時間內刪除。

六之一、個人資料之揭露與第三人共用

本服務不會出售、出租、交換或以其他方式向第三方提供您的個人資料以牟利。延續前條所述，我們不將您的個人資料出售或出租予任何第三方廣告業者；除為提供本服務所必要而委託處理者（即第六條所載之服務供應商），或下列情形外，本服務不會將您的個人資料揭露予第三人。

僅於下列情形，本服務始於必要範圍內揭露或提供您的個人資料：

• 經您事前同意（以書面或電子方式為之）
• 為履行委託處理之必要，於必要最小範圍內提供予本政策第六條所載之服務供應商（資料處理者）
• 法律明文規定，或主管機關、司法或警察機關依法定程序要求
• 為免除您或他人生命、身體、自由或財產上之急迫危險
• 為因應法律程序、爭議處理，或為辨識、聯絡、防範及調查詐欺、濫用或違反條款之情事所必要
• 經店家（資料控制者）主動選擇將其預約資料同步至其自有之第三方帳戶時， 於該同步所必要之最小範圍內提供（現行為 Google 日曆同步，詳第六條）。 此類同步由店家自行決定是否啟用，店家並應就其對顧客資料之利用負資料控制者之責任； 本服務僅傳送排程所必要之欄位，且不包含顧客之電話、電子郵件與預約備註。

前述揭露均以達成各該目的所必要之最小範圍為限，並於目的消失後依本政策第四條停止利用或刪除。

六之二、Cookie 與分析工具

為了解整體造訪量與來源，本服務於公開頁面（首頁與店家預約頁）使用「自行架設（self-hosted）」之網站流量分析工具 Umami。該工具「不設置 Cookie」、亦「不蒐集可識別個人身分之資料」，僅以匿名彙整方式統計造訪量與頁面瀏覽。

蒐集目的為彙整不可識別之整體流量與來源統計，作為平台營運分析及服務改善之用。前述統計資料由本服務自行架設之伺服器保管，「不」傳送至 Google Analytics 或其他第三方分析服務。

七、聯絡方式

就個資法相關請求與本政策之任何疑問，請寄送至 support@pencilnow.app。本服務將於合理期間內回覆，通常不超過 7 個工作日；並依個資法第 13 條，就查詢或請求閱覽之請求於 15 日內處理、就更正或刪除之請求於 30 日內處理，必要時得依法延長並通知當事人。依個資法第 3 條行使權利所生之必要成本，本服務得依法收取合理費用。

附則、政策修訂

本政策之修訂將於本頁公告並更新「最後更新」日期；若修訂涉及個人資料使用目的之重大變更，本服務將於本頁以明顯方式標示，建議您定期查閱本頁以瞭解最新內容。