📄 1. 關於本政策與 App 用途
本隱私權政策說明「社區長輩送餐與關懷 APP」（以下簡稱「本 App」）在您使用過程中如何收集、使用、儲存及保護您的個人資料。
本 App 供各社區機構的送餐／探視志工與工作人員使用，支援兩種服務模式：
- 長輩送餐：餐點配送到府，完成打卡確認與里程記錄
- 長輩探視：定期關懷訪視，填寫服務品質及福祉問卷
本 App 不對一般公眾開放註冊，帳號由各機構管理員核發。
✅ 本 App 在請求敏感權限（定位、相機）前，均會以對話框向您顯示清楚的用途說明，請求您的明確同意。
📊 2. 收集哪些資料
2-1 帳號與身分資訊
| 資料項目 | 說明 | 儲存位置 |
|---|---|---|
| 帳號（Email 格式） | 登入識別；使用者可選擇「記住帳號」，否則登出即清除 | 裝置 Preferences |
| 密碼 | 僅在使用者勾選「記住密碼」時才儲存 | iOS Keychain（SecureStorage 加密） |
| 姓名（顯示名稱） | 打卡紀錄、問卷識別與 Google 表單預填用 | 裝置 Preferences |
| 所屬單位 / 路線 | 機構內部組別與送餐／探視路線分配 | 裝置 Preferences |
| 機構代碼與名稱 | 多機構環境識別；亦會帶入機構自訂 Google 表單 | 裝置 Preferences |
2-2 GPS 位置資料 敏感資料
| 資料項目 | 說明 | 儲存位置 |
|---|---|---|
| 即時 GPS 座標（緯度／經度） | 每 5 秒上傳一次，供管理端網頁地圖即時顯示人員位置 | 機構雲端伺服器 |
| 今日行駛軌跡路徑點 | 完整路線 JSON，儲存於裝置沙盒；精度 > 40m（iOS）/ 30m（Android GPS）的點不記錄，過濾靜止飄移 | 裝置本機（每日午夜自動清除） |
| 今日總里程與碳排放估算 | 服務統計，以 0.21 kg CO₂/km 計算；每日午夜自動歸零 | 裝置 Preferences（每日午夜自動清除） |
| 打卡當下的 GPS 座標 | 記錄送餐到府或探視時的所在位置（以文字格式「緯度, 經度」儲存）；亦會預填至機構自訂 Google 表單 | 裝置本機 + 機構雲端伺服器 |
📍 iOS：請求「永遠允許」背景定位（Always Authorization）。首次使用時，App 會彈出說明對話框，告知背景收集目的後才請求授權。
📍 Android：以前景服務運作，通知欄常駐顯示「軌跡追蹤中 — 里程: X.XX km」，使用者隨時可感知追蹤狀態。首次啟動時顯示「醒目揭露」對話框後才請求授權。
📍 Android：以前景服務運作，通知欄常駐顯示「軌跡追蹤中 — 里程: X.XX km」，使用者隨時可感知追蹤狀態。首次啟動時顯示「醒目揭露」對話框後才請求授權。
2-3 打卡紀錄（送餐到府 ／ 關懷探視）
| 資料項目 | 說明 | 儲存位置 |
|---|---|---|
| 打卡時間戳記 | 到達長輩住所的確認時間 | 裝置本機 + 機構伺服器（自動） |
| 打卡位置座標 | 打卡當下的 GPS 座標（文字格式） | 裝置本機 + 機構伺服器（自動） |
| 任務類型 | 例如：送餐、關懷探視，由使用者勾選 | 裝置本機 + 機構伺服器（自動） |
| 對應長輩姓名 | 依打卡位置自動比對最近長輩（100 公尺內），無匹配則留空 | 裝置本機 + 機構伺服器（自動） |
| 執行人員姓名與帳號 | 與登入帳號相同 | 裝置本機 + 機構伺服器（自動） |
| 現場照片（選填） | 使用者主動拍照或選取相簿；手動點選「上傳」時轉 Base64 傳送至各社區機構自建的 Google Drive | 裝置 Photos 資料夾 + 各機構自建 Google Drive（手動） |
| 現場音訊（選填） | 使用者主動選取音訊檔案；手動點選「上傳」時轉 Base64 傳送至各社區機構自建的 Google Drive | 裝置 Audio 資料夾 + 各機構自建 Google Drive（手動） |
ℹ️ 打卡記錄以帳號 + 日期為索引，儲存於裝置本機（
checkin_history.json）。UI 介面僅顯示當日當帳號的紀錄，其他使用者無法看到彼此資料。打卡完成後立即靜默上傳基本資訊至機構伺服器（不含照片音訊）；照片音訊需使用者手動觸發上傳。
2-4 機構自訂 Google 表單（WebView 填寫）
本 App 內嵌三種 Google 表單（由機構管理員設定 URL），於 App 內 WebView 中呈現，填寫後直接送出至 Google 伺服器。App 會在載入前自動預填以下欄位：
| 表單類型 | App 預填的欄位 | 表單回應去向 |
|---|---|---|
| 送餐問卷 （機構自訂問卷） |
志工姓名、長輩姓名、打卡 GPS 座標 | Google 伺服器（Google Forms） → 各機構自建 Google Sheets 回應頁 由各社區機構管理員負責保管 |
| 探訪者問卷 （機構自訂探訪問卷） |
志工姓名、長輩姓名、打卡 GPS 座標、機構名稱 | |
| 長者福祉問卷 （WHO-5 / 社會連結 / UCLA 孤獨感） |
長輩姓名、長輩識別碼（姓名_緯度_經度）、機構名稱 |
⚠️ 福祉問卷送出後，App 會自動將分數摘要（長輩識別碼、機構名稱、志工帳號、WHO-5 / 社會連結 / UCLA 分數及建議文字）透過 HTTPS 推送至機構 n8n 伺服器，再由伺服器發送 LINE 通知給負責志工。此為自動執行，無需使用者再次確認。
2-5 長輩福祉評估分數（當日快取）
| 資料項目 | 說明 | 儲存位置 |
|---|---|---|
| WHO-5 幸福感分數 | 從機構 Google Sheets 讀取，以「日期 + 帳號 + 長輩識別碼（姓名_緯度_經度）」為鍵值暫存於裝置，供當日快速顯示；次日鍵值失效 | 裝置 Preferences（當日有效） |
| 社會連結分數 | ||
| UCLA 孤獨感分數 |
2-6 問卷探訪完成記錄
| 資料項目 | 說明 | 儲存位置 |
|---|---|---|
| 今日已填寫問卷的長輩識別碼清單 | 以「visitor_{日期}_{帳號}_{長輩識別碼}」為鍵值，記錄該帳號今日已對哪些長輩填寫過問卷，防止重複作業；次日失效 |
裝置 Preferences（當日有效） |
2-7 長輩基本資料（從機構伺服器讀取，唯讀） 長輩資料
為在地圖上標示長輩位置、自動比對打卡鄰近長輩，App 會從機構 Google Sheets 讀取以下長輩個人資料，僅供地圖顯示與服務比對，不重新上傳至其他伺服器：
| 資料項目 | 用途 |
|---|---|
| 姓名 | 打卡比對、地圖標示、問卷預填 |
| 電話 | 點擊地圖大頭針後彈出的資訊視窗顯示（供志工聯絡用） |
| 地址 | 點擊地圖大頭針後彈出的資訊視窗顯示 |
| GPS 座標（緯度、經度） | 地圖標點、打卡 50m 自動提示、遠近排序 |
| 路線 | 分組過濾顯示 |
⚠️ 長輩電話屬個人資料，由機構管理員負責管控 Google Sheets 存取權限；本 App 僅讀取顯示，不進行額外處理或傳輸。
2-8 本 App 請求的裝置權限
🍎 iOS
- 定位（永遠允許）：背景 GPS 追蹤
- 相機：拍攝打卡照片
- 相片（讀取）：選取相簿照片
🤖 Android
- 精確定位：GPS 打卡與路線
- 背景定位：螢幕關閉時持續追蹤
- 相機：拍攝打卡照片
- 通知（Android 13+）：前景服務常駐通知
- 儲存空間（Android 12 以下）：選取本機檔案
✅ 本 App 不會收集：NFC 標籤、裝置廣告識別碼（IDFA/GAID）、通訊錄、健康資料、財務資訊、瀏覽記錄。
🎯 3. 為什麼收集這些資料
| 收集目的 | 涉及資料 |
|---|---|
| 身分驗證與存取控制 確保只有機構授權人員可登入，並隔離各機構資料 |
帳號、密碼、姓名、機構資訊 |
| 服務路線即時監控 管理員透過網頁地圖確認送餐／探視人員位置，提升人員安全與任務可視性 |
即時 GPS 座標（每 5 秒） |
| 里程與環保績效統計 統計每日送餐或探視里程，估算碳排放，作為機構服務成效依據 |
今日行駛軌跡、里程、碳排放 |
| 送餐到府 ／ 探視打卡確認 留存服務時間、地點與任務的電子紀錄，供機構查核 |
打卡時間、座標、任務類型、長輩姓名、人員資訊 |
| 現場影像與音訊記錄（選填） 工作人員自願附上現場照片或音訊，補充服務憑證 |
照片、音訊檔案 |
| 服務品質與福祉評量（Google 表單） 透過機構自訂 Google 表單（WebView）收集送餐品質、探訪記錄及長者福祉評估，預填志工姓名、長輩姓名與打卡位置，減少手動輸入錯誤 |
志工姓名、長輩姓名、打卡 GPS 座標、機構名稱（預填至 Google Forms WebView）；使用者填寫並送出的問卷回應（由 Google 代為收集，存入各機構 Google Sheets 回應頁） |
| 長輩福祉評估 追蹤幸福感、社會連結與孤獨感，提供機構關懷參考 |
WHO-5、社會連結、UCLA 孤獨感分數 |
| 志工 LINE 即時通知 長者福祉問卷送出後，自動推送分數摘要與關懷建議至負責志工的 LINE 帳號 |
長輩識別碼、機構名稱、志工帳號、福祉分數與建議（送至機構 n8n 伺服器） |
| 防止問卷重複填寫 記錄今日已完成探訪問卷的長輩，避免同一帳號重複作業 |
探訪完成記錄（Preferences，當日有效） |
| 地圖服務與打卡比對 在地圖標示長輩位置，50 公尺內自動提示打卡，供志工路線規劃 |
長輩姓名、電話、地址、GPS 座標（唯讀，從機構 Google Sheets 讀取） |
🔒 4. 如何儲存、保護與清除
傳輸安全
所有與遠端伺服器的通訊均透過 HTTPS 加密傳輸。Google Sheets 透過 Google 服務帳號憑證（Service Account JSON）存取，憑證嵌入 App 內部資源，不對外公開。
裝置本機保護
- 密碼：儲存於 iOS Keychain（SecureStorage），作業系統層級加密，其他 App 無法讀取。
- 帳號與設定：以明文儲存於裝置 Preferences，僅限本 App 沙盒存取。
- 照片與音訊：儲存於 App 沙盒目錄（
AppDataDirectory/Photos/及AppDataDirectory/Audio/），其他 App 無法直接讀取。
自動登出與 GPS 停止機制
⏱️ 本 App 設有多重自動保護機制，確保資料不會在無人使用時持續累積。
| 觸發條件 | 執行動作 |
|---|---|
| 螢幕關閉（進入背景）超過 3 小時 | 自動停止背景 GPS 服務 → 清除帳號資料 → 跳回登入頁面 |
| App 恢復前景，且離開超過 3 小時 | 同上，強制登出並停止服務 |
| App 恢復前景，GPS 未追蹤中，且離開超過 5 分鐘 | 停止服務並強制登出 |
| Android：超過 90 分鐘未收到 GPS 信號 | 自動停止前景服務（CheckIdleTimeout），停止上傳即時位置 |
| Android：使用者從多工畫面滑掉 App | 立即停止前景服務（OnTaskRemoved），停止位置追蹤 |
各類資料的清除時機
-
🚪點選「登出」／自動登出時
- 清除：帳號、密碼（Keychain）、機構設定等所有 Preferences 登入資訊
- 清除：記憶體即時軌跡快取（LiveTrackCache），確保下一位使用者不會看到前一人的軌跡
- 停止：背景 GPS 服務（iOS iOSLocationService / Android BackgroundLocationService）
- 不清除：裝置上的 GPS 軌跡 JSON 檔、里程 Preferences、打卡歷史、照片、音訊（以帳號隔離，其他帳號無法存取）
-
🌙每日午夜跨日時（自動）
- 清除：今日 GPS 行駛軌跡 JSON（
track_path_{帳號}_today.json） - 清除：今日里程與碳排放數值（Preferences）
- 清除：記憶體軌跡快取；地圖頁軌跡線段歸零
- 不清除：打卡歷史 JSON、照片、音訊、問卷資料
- 清除：今日 GPS 行駛軌跡 JSON（
-
🗑️解除安裝本 App 時
- 清除：裝置上所有本機資料（軌跡、打卡歷史、照片、音訊、Preferences、Keychain）
-
🖥️伺服器端資料（不自動清除）
- 即時位置紀錄、打卡紀錄、照片音訊（Google Drive）、問卷（各機構 Google Sheets）
- 保留期限由各機構管理員決定；如需刪除請聯絡機構或開發者
資料保留期限摘要
| 資料類型 | 裝置端保留期限 |
|---|---|
| 帳號憑證 | 登出後立即清除 |
| 今日 GPS 軌跡 | 每日午夜自動清除 |
| 今日里程 / 碳排 | 每日午夜自動清除 |
| 福祉分數 / 探訪完成記錄 | 鍵值含日期，次日自動失效（舊鍵不再被讀取） |
| 打卡歷史（含照片路徑） | 解除安裝時清除；使用者可在打卡頁手動刪除單筆 |
| 照片 / 音訊（裝置） | 使用者手動刪除或解除安裝時清除 |
| 所有伺服器端資料 | 由各機構管理員決定 |
🤝 5. 是否分享給第三方
本 App 不會出售或轉讓您的個人資料給任何商業第三方。資料僅在以下情況傳送至外部服務：
| 服務提供方 | 傳送的資料 | 用途 |
|---|---|---|
| 機構自建 n8n 伺服器 im112elder.duckdns.org （打卡 Webhook） |
即時 GPS 座標（每 5 秒）、打卡時間 / 座標 / 任務 / 長輩姓名 / 人員資訊 | 送餐 / 探視路線即時監控、打卡紀錄接收與通知 |
| 機構自建 n8n 伺服器 im112elder.duckdns.org （福祉 LINE 通知 Webhook） |
長輩識別碼、機構名稱、志工姓名與帳號（Email）、福祉問卷送出時間、WHO-5 / 社會連結 / UCLA 分數、等級判斷與關懷建議文字 | 長者福祉問卷送出後，透過 n8n 自動推送 LINE 通知給負責志工（福祉問卷送出時自動執行） |
| Google Apps Script script.google.com |
打卡完整資料（含照片、音訊，Base64 格式） | 打卡資料歸檔至各社區機構自建的 Google Drive（使用者手動觸發；本 App 開發者無法存取各機構的 Drive 資料） |
| Google LLC Google Sheets API（服務帳號） |
從機構 Sheets 讀取長輩名單、福祉分數（唯讀查詢，不上傳個人資料） | 長輩名單與福祉分數讀取（唯讀）；問卷資料已改由 Google Forms WebView 收集，不再透過此 API 寫入 |
| Google LLC Google Forms（WebView） |
由 App 預填的志工姓名、長輩姓名、GPS 座標、機構名稱；使用者在 WebView 中填寫並送出的問卷回應 | 機構自訂送餐問卷、探訪者問卷、長者福祉問卷（三種）的填寫與收集；回應存入各機構自建 Google Sheets 回應頁 |
| OpenSheet opensheet.elk.sh |
查詢機構帳號列表、長輩關懷名單（本 App 唯讀查詢，不傳送個人資料至此服務） | 將 Google Sheets 資料轉為 JSON API 供 App 讀取（中介轉換服務） |
|
Apple Maps（iOS） MapKit / Apple Inc. Google Maps（Android） Google LLC |
地圖圖磚請求（透過 MAUI 原生地圖控制項；不主動傳送個人識別資訊） | 路線地圖顯示；地圖資料由各平台原生服務提供 |
⚖️ 6. 使用者權利
依據《個人資料保護法》及 Apple App Store 指引，您享有以下權利：
-
查詢權 可向所屬機構管理員要求查閱打卡紀錄、問卷回應等個人資料。
-
更正權 如資料有誤，請聯絡機構管理員或下方聯絡信箱申請更正。
-
刪除權（被遺忘權）與帳號刪除 各類資料清除時機如下：
- 點選「登出」：清除帳號憑證與記憶體快取；GPS 軌跡、打卡歷史、照片音訊不清除
- 每日午夜：自動清除當日 GPS 軌跡 JSON 與里程數值
- 解除安裝：清除裝置上所有本機資料
- 伺服器資料（打卡紀錄、問卷）：請聯絡機構管理員或本 App 開發者申請刪除
🔐 帳號刪除本 App 帳號由機構管理員建立，如需刪除帳號及所有相關伺服器資料，請以 Email 寄送「帳號刪除申請」至 ncnuim1201@gmail.com，並告知所屬機構名稱與帳號，本開發者將於 15 個工作日內完成刪除並回覆確認。
-
撤回同意（停止位置追蹤）
- iOS：設定 → 隱私權與安全性 → 定位服務 → 社區長輩送餐與關懷 APP → 改為「使用期間」或「永不」
- Android：設定 → 應用程式 → 社區長輩送餐與關懷 APP → 權限 → 位置 → 改為「僅使用期間」或「拒絕」
-
資料可攜權 如需取得個人打卡紀錄或問卷資料的電子檔，請聯絡機構管理員，可匯出 CSV 格式提供。
-
申訴管道 如認為個人資料遭不當處理，可向機構負責人或本 App 開發者提出申訴，亦可向 法務部個人資料保護委員會申訴。
👶 7. 未成年人保護
本 App 僅供機構授權之成年工作人員使用，不收集未成年人資料，亦不對未成年人開放帳號申請。
🔔 8. 政策異動通知
當本政策有重大變更時，我們將於 App 版本更新說明或機構公告中通知使用者，並更新本頁面底部的「最後更新日期」。建議定期瀏覽本頁面了解最新政策。
📬 9. 聯絡我們
如對本隱私權政策有任何疑問、欲行使上述權利，或需申請資料查詢／刪除，請透過以下方式聯絡：
📱 App 名稱：社區長輩送餐與關懷 APP
📧 聯絡信箱：ncnuim1201@gmail.com
🕐 回覆時效：收到來信後 7 個工作日內回覆
如屬機構資料管理問題（送餐／探視打卡紀錄、長輩名單、問卷資料），請同時告知所屬機構名稱，以便轉介正確管理員處理。