明鏡雲隱私權政策
版本 1.0（範本版）・生效日 2026-10-27・文件編號 PP-2026-10
本服務「明鏡雲」（mingjing.tw）由星瑜科技有限公司（籌備中）（以下稱「本公司」或「我們」）提供與營運。本政策說明本服務如何處理兩類個人資料：使用本服務的眼鏡行及其人員的帳號資料，以及眼鏡行的顧客的資料。
第 1 條 我們的角色
- 店家人員的帳號資料（負責人、店長、店員的 Email 等）：本公司是蒐集者，依本政策處理。
- 顧客的資料（姓名、電話、驗光處方等）：由店家蒐集並輸入本服務，本公司受店家委託代為保管與處理；依《個人資料保護法》第 4 條，本公司在委託範圍內視同店家，只依店家的指示與本服務的功能處理，不為自己的目的使用。
- 如果你是眼鏡行的顧客：你的資料由你去的眼鏡行管理。要查詢、更正、停止利用或刪除你的資料，請直接聯絡該眼鏡行；你也可以向本公司提出，本公司會轉給該眼鏡行處理，並在法律要求的範圍內協助。
第 2 條 適用範圍
- 本政策適用於明鏡雲的雲端版：網站（mingjing.tw）、門市後台、店家網站、LINE 官方帳號串接與相關服務。
- 地端安裝版安裝在店家自己的電腦，資料存放在該電腦，本公司無法存取，不在本政策的保管範圍內。
- 店家網站是店家對外的網頁，上面的內容由店家提供；網站訪客的個人資料（例如透過網站預約時填寫的姓名與電話）由店家蒐集，本公司受託保管。
第 3 條 我們處理哪些資料（店家人員）
| 資料 | 用途 |
|---|---|
| Email、密碼（只存加密雜湊，我們看不到原文） | 登入、忘記密碼、變更密碼的驗證碼 |
| 使用 Google 登入時：Google 帳號的 Email 與識別碼 | 登入。我們只請求 Email 與基本身分，不讀取其他 Google 資料 |
| 申請試用時填的店名、聯絡人、電話、縣市、統一編號（選填） | 審核申請、聯絡店家 |
| 所屬的店家與身分（負責人、店長、店員）、顯示名稱 | 決定你能看到與操作的範圍、在紀錄與成員清單顯示 |
| 登入紀錄（時間、裝置種類、來源網路的位址） | 帳號安全、讓負責人與店長知道成員的使用情形 |
| 操作紀錄（稽核紀錄，見第 8 條） | 安全、除錯、釐清爭議 |
| 方案與到期日、加購、銷售紀錄 | 提供服務與收費、與經銷商對帳 |
| 各功能最近使用的時間（以店家為單位，不含操作內容） | 了解功能使用情形、協助續約與客服 |
| 瀏覽器發生錯誤時的錯誤類型與位置（已過濾個資） | 修正程式問題 |
我們不在網站上使用廣告追蹤或第三方分析工具。
第 4 條 我們受託處理哪些資料（顧客）
- 店家可能輸入的顧客資料：姓名、電話、性別、出生日期、來源、備註；選填的 Email、LINE ID、住址；驗光處方與隱形眼鏡處方（度數、散光、軸度、瞳距、驗光日期、驗光人員等）；配鏡工單、收據、預約、購買紀錄；顧客照片與工單照片；顧客加入店家 LINE 官方帳號並綁定手機號碼後的 LINE 使用者識別碼。
- 這些資料只供店家的門市作業使用（例如配鏡、取件與回購提醒、顧客透過 LINE 查詢自己的度數）；本服務不會用它們寄送本公司的訊息或廣告；本公司不用於行銷分析、訓練模型或任何自己的目的；不出售、不提供給第三方（第 6 條的受託廠商除外）。
- 處方屬於健康相關資料，本公司以特種個人資料的標準對待（第 5 條）。由店家依法取得顧客同意或具備其他法定事由後蒐集；本公司不另行蒐集、不向顧客直接取得。
- 本服務在備註欄提醒店家：不要寫入負面評價或與配鏡無關的健康資訊。
第 5 條 資料存放在哪裡、如何保護
| 項目 | 說明 |
|---|---|
| 主機 | Render（Render Services, Inc.），資料中心位於新加坡；資料庫存放在該主機的持久磁碟 |
| 異地備份 | 每日把整個資料庫加密後上傳到 Cloudflare R2（Cloudflare, Inc.）。採用公開金鑰加密：主機上只有公開金鑰，解密的私鑰由本公司負責人離線保管，儲存廠商與主機都無法讀取內容。保留 30 天，並設有 28 天的防刪除保護。儲存地區設定為「自動」，由 Cloudflare 選擇鄰近的資料中心（亞太地區） |
| 照片與圖片 | 顧客照片與工單照片加密後存放在 Cloudflare R2；店家網站的圖片與 Logo 是公開的圖片，不加密。上傳前會去除照片裡的拍攝資訊（例如拍照地點） |
| 網路服務 | 網站經由 Cloudflare 提供網路連線與防護 |
| 傳輸加密 | 全程使用 HTTPS |
| 欄位加密 | 顧客的電話、出生日期、Email、LINE ID、住址、備註、驗光處方與隱形眼鏡資料在資料庫中逐筆加密（AES-256-GCM）；姓名保留明碼供搜尋。金鑰放在主機的環境變數，另有離線保管與定期更換 |
| 店家的金鑰 | 店家的 LINE 官方帳號金鑰與 Google 雲端硬碟授權，在資料庫中個別加密 |
| 密碼 | 以 bcrypt 雜湊保存，任何人都無法還原；新密碼至少 12 字且不能是常見的弱密碼 |
| 帳號安全 | 本公司管理人員與經銷商使用者登入須通過兩步驟驗證；變更密碼要輸入目前的密碼與驗證碼，成功後其他裝置登出並寄通知信 |
| 店內權限 | 店員預設只看得到自己負責的顧客；負責人可以設定；操作紀錄裡的顧客姓名只保留遮蔽後的形式 |
| 異常警報 | 短時間大量匯出、深夜進入門市後台、管理人員從新的網路登入等情形，立即通知本公司管理人員 |
跨境傳輸：上述主機與備份位於中華民國境外（新加坡與 Cloudflare 的亞太資料中心）。本公司以加密、權限控管與契約約束受託廠商；店家同意本政策時，同意顧客資料於上述地區存放與處理。
第 6 條 我們委託的第三方服務
| 服務 | 用途 | 會接觸到的資料 |
|---|---|---|
| Render | 主機與資料庫 | 全部資料（存放於其主機） |
| Cloudflare（含 R2） | 網路連線、加密的異地備份、照片與圖片存放 | 經過的網路流量；備份與顧客照片為加密檔，無法讀取內容；店家網站的公開圖片 |
| 以 Google 帳號登入；店家自行啟用的「Google 雲端硬碟自動備份」 | 登入：Email。備份：店家的門市資料存進店家自己的 Google 雲端硬碟，我們只請求存取本服務建立的檔案 | |
| LINE（LY Corporation） | 店家自行連結的 LINE 官方帳號：傳送通知、顧客查詢度數與配鏡紀錄、預約 | 傳給顧客的訊息內容（可能包含度數）、顧客的 LINE 使用者識別碼。LINE 官方帳號屬於店家 |
| Resend | 寄送忘記密碼、驗證碼、通知等系統信件 | 收件人 Email 與信件內容 |
| Anthropic | 店家網站的文字翻譯（店家自行啟用） | 只送出店家網站的文字，不送顧客資料 |
更換或新增受託廠商時，我們會更新本政策並通知店家。
第 7 條 誰看得到什麼
| 身分 | 看得到 | 看不到、不能做 |
|---|---|---|
| 負責人 | 自己店家的全部資料，包括顧客、處方、工單、報表；成員列表；操作紀錄、客服協助與存取紀錄 | 其他店家的資料；金鑰原文。負責人另外可以：下載 Excel 與備份檔、從備份檔還原、匯入資料、清空資料、Google 雲端硬碟備份、升降店長、轉移負責人、授權客服協助、以成員身分預覽 |
| 店長 | 門市日常作業的資料、報表（依負責人設定）、成員列表；可以修改門市資訊與收費項目、邀請與移除店員、管理驗光人員與 LINE 官方帳號 | 下載備份檔、從備份檔還原、匯入、清空資料、Google 雲端硬碟備份、授權客服協助、金鑰原文 |
| 店員 | 門市日常作業需要的資料：自己負責的顧客（負責人可以開放全店）、處方、工單、收據、預約、庫存 | 清空或還原資料、修改門市資訊與收費項目、下載備份檔、連結或變更 LINE 與 Google 備份、金鑰、報表、成員管理 |
| 經銷商 | 所負責店家的店名、門市資訊、方案、加購與到期日、成員 Email、身分與最後使用時間、功能開關、LINE 與 Google 備份「是否已連結」；經銷商使用者須通過兩步驟驗證 | 顧客、處方、驗光、工單、收據、預約內容、庫存明細、營業數字與報表、照片、備份檔、金鑰。由伺服器端阻擋；每次查看都留下紀錄。例外：負責人同意、且本公司已開放時，經銷商的管理員可以進入門市後台協助（第 9 條） |
| 本公司管理人員 | 店家層級的資料：店名、負責人與成員 Email、方案、銷售紀錄、狀態、功能開關、操作紀錄 | 管理後台本身不顯示顧客資料。要看到門市資料必須進入該店的門市後台（第 9 條） |
| 本公司工程人員 | 因維運、除錯、還原備份需要，可能接觸伺服器與資料庫 | 限於必要範圍，負保密義務，不複製、不另行保存 |
第 8 條 操作紀錄（稽核紀錄）
- 我們記錄重要的操作：登入、成員異動、方案變更、LINE 與備份的連結、匯出、匯入與復原、刪除、客服協助與進入門市後台的每一次進入、載入與修改。
- 紀錄不包含密碼、金鑰、處方、電話等敏感內容，只記「誰、什麼時候、做了什麼、對象的編號」；顧客姓名只保留遮蔽後的形式（例如林＊婷）。
- 保存期間 5 年，期間不能修改或刪除，期滿自動刪除。店家刪除帳號後，相關紀錄同樣保存到期滿，作為存取與刪除的證明。
- 負責人可以在門市後台「紀錄」查看自己店家的操作紀錄；店長看得到自己與所屬店員的；店員看得到自己的。
第 9 條 本公司與經銷商進入門市後台
進入門市後台的共同保護：必須通過兩步驟驗證；門市後台頂端固定顯示「誰正在檢視哪一家店」與「離開」；預設只能查看，要修改必須再確認一次並留下紀錄；一律不能修改密碼與兩步驟驗證、管理成員、連結或變更 LINE 與 Google 備份、看到金鑰、修改方案、刪除帳號、清空或還原資料、傳送 LINE 訊息給顧客、轉移負責人；每一次進入、離開、載入資料、修改、被擋下的操作都有紀錄，負責人可以在門市後台「設定 → 客服協助與存取紀錄」查看。
- 客服協助（負責人授權）：只有負責人能授權；範圍（只能查看／可以協助修改）與時間（30 分鐘到 4 小時）由負責人選擇，可以隨時結束；協助期間看得到該店的全部門市資料，包括處方；經負責人另外同意時，客服可以從管理後台下載該店的完整資料用於修復，處理完畢後刪除，最長 7 天；每次授權、進入、下載都有紀錄並通知負責人。
- 本公司管理人員直接進入：排除故障、修復資料、處理帳務或依法令要求時的方式；每次必須填寫原因、最長 1 小時、預設只能查看、全程記錄並寄 Email 通知負責人；深夜進入會觸發異常警報。這項方式預設關閉，目前只用於本公司的示範與測試店；開放前會更新本政策並通知店家。
- 經銷商進入：負責人同意「所屬經銷商的管理員可以進入門市後台協助」後才可能進入（記錄同意的時間、條款版本與負責人；條款內容變更時要重新同意；負責人可以隨時撤回）；只限經銷商的管理員；原因、時間、唯讀與紀錄同第 2 項；經銷商與本公司另訂保密約定。這項功能預設關閉。
第 10 條 保存期間
| 資料 | 保存期間 |
|---|---|
| 門市資料（含顧客、處方） | 服務期間持續保存；方案到期或帳號暫停期間保留不刪除；負責人申請刪除後 7 天冷靜期，期滿刪除 |
| 異地備份 | 30 天後自動刪除；因此資料刪除後，最長仍會在加密備份中保留 30 天 |
| 帳號資料 | 帳號存續期間；刪除店家時負責人的帳號去識別化（Email、密碼、名稱換掉） |
| 登入紀錄 | 1 年 |
| 操作紀錄 | 5 年（第 8 條） |
| 銷售與費用的紀錄 | 依商業會計法等法令保存 |
| 店家自己的 Google 雲端硬碟備份、下載的檔案 | 由店家自行管理，本公司無法刪除 |
店家依其他法令（例如驗光相關法規）對顧客資料有保存義務時，由店家負責在期限內自行保存或匯出。
第 11 條 匯出、匯入與刪除
- 匯出：負責人可以隨時在門市後台下載整家店的資料：Excel 檔（顧客、處方、隱形眼鏡、工單、預約、驗光收據、庫存；不含照片）與完整備份檔（含照片；下載時由負責人設定密碼，在瀏覽器裡加密，本公司不保存密碼）。下載前要再確認一次是本人，每天有次數上限，每次下載都會記錄並寄通知給負責人。下載後的檔案由店家自行保管。
- 匯入（資料搬家）：負責人可以從舊系統匯入顧客、處方、隱形眼鏡紀錄與庫存；匯入前本服務自動備份（加密，保留最近 3 份），7 天內可以復原；每次匯入、復原都有紀錄。匯入的顧客資料仍由店家負責依法蒐集。
- 刪除單筆資料：店家可以在門市後台刪除顧客與其他資料。
- 刪除帳號與整家店：負責人可以在門市後台申請（再次確認密碼並輸入店名）。申請後 7 天冷靜期，期間門市後台暫停使用、負責人可以撤回；期滿後資料從資料庫移除、照片檔案刪除、負責人的帳號去識別化；異地備份中的副本於 30 天內消失；操作紀錄保存 5 年。
- 顧客本人的刪除請求：顧客向本公司提出時，本公司確認身分（核對證件、電話回撥或請店家確認）並記錄處理單號後，刪除該位顧客的資料、處方、照片、預約與 LINE 綁定；工單與收據屬於店家的財務紀錄，保留但不再連到該位顧客；處理後通知店家。顧客也可以直接向店家提出。
第 12 條 你的權利
- 依《個人資料保護法》第 3 條，你可以就你的個人資料請求：查詢或閱覽、製給複製本、補充或更正、停止蒐集、處理或利用、刪除。
- 店家人員的帳號資料：請以客服信箱聯絡本公司。顧客的資料：請聯絡該眼鏡行，本公司協助處理。
- 本公司在收到請求後 15 日內回覆查詢或閱覽、製給複製本的請求；其他請求在 30 日內回覆。必要時得延長，並說明理由。
- 你可以拒絕提供個人資料，但可能因此無法申請、登入或使用本服務的部分功能。
第 13 條 資料外洩時的通知
發生個人資料被竊取、洩漏、竄改或其他侵害時，本公司會在查明後以 Email 或其他適當方式儘速通知受影響的店家，說明事實、已採取的措施與建議，並協助店家通知其顧客；法令要求通報主管機關時，依法辦理。
第 14 條 Cookie
本服務使用必要的 Cookie 維持登入狀態與安全（例如防止跨站請求）；不使用廣告或追蹤用的 Cookie。瀏覽器的本機儲存只用於畫面上的便利功能（例如最近查看的客戶編號），登出時清除。
第 15 條 政策的修改
本政策修改時，本公司會在網站公告，並在門市後台通知；重大變更（例如新增資料的用途或新的受託廠商）在生效前 30 天通知。修改後的政策自公告的生效日起適用。
第 16 條 聯絡本公司
- 服務提供者：星瑜科技有限公司（籌備中）
- 統一編號：【待填：公司核准設立後補】
- 登記地址：【待填：公司核准設立後補】
- 個人資料聯絡窗口：support@mingjing.tw
- LINE 官方帳號：@487rtmgv
本文件為範本，正式版本將於法律顧問審閱後更新。