隱私政策

最後更新：2026-09-28

Pencil（以下簡稱「本服務」）重視您的個人資料保護。本政策依《個人資料保護法》（以下簡稱「個資法」）及相關法規訂定，說明本服務如何蒐集、處理及利用您的個人資料。

一、資料控管者身分

本服務「Pencil」由 Pencil 團隊營運（以下簡稱「我們」）。若您對本政策有任何疑問，請聯絡 support@pencilnow.app。

一之一、店家與平台的角色

本服務為多租戶平台。當您向特定店家（Studio）預約時，該店家為其顧客個人資料之蒐集者（資料控制者），由該店家決定蒐集與利用顧客個人資料之特定目的；Pencil 則係受該店家委託，於提供本服務所必要之範圍內處理顧客個人資料（受託處理者）。依個資法，Pencil 於受託蒐集、處理或利用個人資料之範圍內，視同委託機關適用本法；前述角色分工不排除 Pencil 依法應負之責任。

Pencil 為自身目的處理之資料（例如跨店家適用之電子郵件停寄名單、平台資訊安全管理），其範圍與依據見本政策一之二；顧客使用本服務之規則，另見《顧客使用須知》。

店家於其後台所能查看之顧客個人資料，限於完成與管理預約及商品訂單所必要之範圍，具體包括：

顧客姓名
電話號碼
電子郵件地址
生日、性別（由該店家視其需要選擇是否蒐集；屬一般個人資料）
預約紀錄（服務項目、時段、預約狀態）
商品訂單資料：顧客於店家頁面下單商品時所填之姓名、電子郵件、電話、訂單備註，以及所訂購之商品品項、數量與下單當下之價格
出席紀錄（含未出席〔no-show〕註記）
熟客標記：店家可將顧客標記為「熟客」或取消（用於該店家決定是否免收定金）；系統亦會依您於該店家最近十二個月之預約紀錄自動判定，該判定不另行保存
顧客識別（2026-09 起）：您於店家預約頁自行預約時，有填寫電子郵件即以電子郵件辨識是否為該店家既有顧客；未填寫電子郵件時，以您於同一店家留下的電話與姓名辨識，僅在唯一相符時接回既有顧客資料，不會自動合併不同資料，亦不會以此改寫該店家保存的既有聯絡資料（電話比對僅存數字化後的比對鍵）
個別預約之聯絡資料快照：每筆預約另保存您該次填寫的姓名、電話與電子郵件；該筆預約之通知依該次填寫寄送。店家得於後台修正該筆預約的通知信箱（不回寫顧客資料），或在向您確認後將該次填寫的電子郵件補入顧客資料
人工聯絡紀錄：未提供電子郵件、亦無可用之 LINE 通知管道的預約，店家以您留下的電話聯絡，並得記錄「已人工聯絡」之時間
優惠通知接收紀錄（同意僅由您自行表示，包括於預約完成頁勾選、於加入店家 LINE 官方帳號並完成綁定時一併同意、點擊預約通知信中的同意連結，或透過店家傳送予您之通知設定連結〔該連結由店家於後台產生後傳送予您本人，有效 72 小時，僅供完成 LINE 綁定與設定優惠通知之用，不含您的預約內容，亦不得用於取消預約或更換既有之 LINE 綁定。尚未綁定 LINE 者，於該頁完成綁定時一併自行選擇；已綁定 LINE 者，該頁面只能關閉、不能開啟——要開啟，須於該頁取得一次性確認碼（10 分鐘內有效、只對應您本人），再自您已綁定之 LINE 帳號將帶有確認碼之「接收優惠通知」訊息傳送至該店家官方帳號，始完成同意〕）：您選擇以電子郵件或 LINE 接收該店家優惠通知之意願、勾選當下之電子郵件地址、來源頁面、時間與您當時看到的告知版本（以 LINE 確認者，時間為該訊息之傳送時間）；您退訂或拒絕之紀錄（含來源與記錄時間，包括您於該店家 LINE 官方帳號對話中傳送「取消優惠通知」停止接收 LINE 優惠通知，包括您向店家表示拒絕所有優惠通知後，由店家代為記錄；店家只能停止通知，不能代您恢復同意）；以及本服務之郵件服務商回報該地址退信或您將優惠信標示為垃圾信之紀錄（此類抑制紀錄以電子郵件地址為單位，該地址於本服務所有店家之優惠信一併停寄，且日後於任何店家皆無法再就該地址表示同意接收；各店家僅看得到「已停寄」而非您對哪家店所為之動作。您如改以其他電子郵件地址預約，仍可就新地址自行選擇是否接收）。店家不能替您勾選；沒有紀錄不代表拒絕，店家仍得自行複製優惠訊息以其自有方式傳送給您。本服務不提供優惠通知對話內容的讀取功能；您傳送至店家 LINE 官方帳號之訊息，本服務僅自動辨識綁定碼、「接收優惠通知」（含確認碼）與「取消優惠通知」三種固定內容並據以處理，其他訊息內容不處理、不保存；店家可另行記錄您向其表達的拒收意願及下述優惠券作廢處理說明
優惠券紀錄（僅於店家對您發出優惠時）：優惠金額、適用服務、有效期限、店家自訂之招呼語、傳送管道與送出結果（LINE 已接受、電子郵件已寄出或失敗），店家取得供複製之優惠訊息的時間（不代表已傳送或您已收到），以及後續是否核銷、核銷於哪一筆預約、核銷前後之實收金額；作廢原因、店家填寫之處理說明，以及店家記錄「已向您說明」的時間與操作者。作廢處理說明僅供該店家管理使用，不隨優惠通知傳送；店家應僅記錄處理優惠券爭議所需之資訊。本服務不經手金流：優惠券僅為店家對您之承諾紀錄，核銷僅係變更該筆預約於店家後台之實收金額數字，本平台不代收、不代付、不持有任何款項
店家自行記載之備註：包含就顧客所為之內部備註、就個別預約所為之服務紀錄（例如當次施作內容或注意事項），以及店家為個別預約所記之改期理由；三者均僅該店家可見，顧客端不顯示，亦不隨任何通知（電子郵件、LINE 推播）或行事曆同步對外傳送
顧客 LINE 識別碼與 LINE 顯示名稱（僅於您主動完成「用 LINE 接收預約通知」綁定時蒐集，用於透過該店家之 LINE 官方帳號發送預約通知；您於 LINE 封鎖該店家官方帳號時，本服務即刪除您於該店家之 LINE 識別碼與顯示名稱並停止發送；您先前同意以 LINE 接收該店家優惠通知者，該同意一併視為撤回，日後重新綁定時須重新表示同意，電子郵件之意願不受影響）

前述顧客資料得由您於公開預約頁自行填寫，亦得由店家於後台代為建立或後補（例如店家先以顧客姓名建立預約紀錄，待實際接觸時再補登電話或電子郵件）。

店家並得於後台將其店內之逐月預約紀錄匯出為報表檔案（CSV），供其帳務核對與營運統計之用。匯出內容以帳務所必要者為限：預約日期與時間、顧客姓名、服務項目、服務人員、原價與實收金額、預約狀態及預約編號，不含顧客之電話號碼、電子郵件地址、生日、性別，亦不含店家自行記載之內部備註或個別預約之服務紀錄。店家就匯出後之檔案為個資法上之蒐集者（資料控制者），應自行妥善保管並依法利用。

當您就特定店家所蒐集之個人資料行使個資法所定之權利（查詢、閱覽、複製、補充、更正、停止蒐集／處理／利用或刪除等）時，因該等資料之蒐集目的由店家決定，本服務將轉知該店家或協助處理您的請求；至於本服務自身作為資料控制者所蒐集之資料（例如帳號登入、Session、系統運作紀錄），則由本服務直接處理。前述各項權利之行使，均可透過 support@pencilnow.app 提出。

一之二、Pencil 為自身目的處理之資料

除受店家委託處理之資料外，Pencil 就下列資料為個人資料保護法所稱之蒐集者，自行負責：

（一）電子郵件停寄名單

資料：正規化後之電子郵件地址、停寄原因（退信或垃圾信申訴）及時間；不含姓名、電話或預約內容。
來源：本服務之電子郵件寄送服務商回報之退信與申訴事件。
目的：確保本服務不再對無法投遞或收件人已申訴之地址寄送優惠信，此名單適用於所有使用本服務之店家；店家只看得到「已停寄」，看不到名單內容。
依據：蒐集與處理僅為停止對您寄送，對您的權益無侵害；將店家原為優惠通知目的所蒐集之地址用於跨店家停寄，係有利於您的權益。
保存：於停寄目的存續期間保存，不隨單一店家刪除顧客或帳號而移除。
權利：您可寫信至 support@pencilnow.app 請求查詢或刪除。刪除停寄紀錄不代表您重新同意接收優惠信：各店家對您的接收紀錄仍維持原狀，店家須再取得您的同意才能寄送。

（二）平台資訊安全管理

依資料來源與用途分別處理：

Pencil 直接取得之技術紀錄：您使用本服務時，Pencil 為提供服務、限制頻率與防止濫用，處理必要之技術紀錄（例如 IP 位址、請求時間與次數）。頻率限制紀錄只存於伺服器記憶體，最長保存 24 小時，伺服器重新啟動即清除；惟 Pencil Pass 之驗證碼申請紀錄存於資料庫（不含 IP 位址），其內容與保存期間見本節（四）。依據：與您之契約或類似契約關係；未形成該等關係之瀏覽者，其短暫、僅用於限制頻率之處理，對其權益無侵害。
為店家提供服務所必要之處理：客服、除錯、錯誤追蹤與備份，屬受店家委託之處理，依服務條款三之一辦理。
平台資安事件調查：發生跨店家之濫用或資安事件時，Pencil 為調查與防止擴大，於必要範圍內處理相關技術紀錄。調查如須使用店家所蒐集之資料，以維護本服務安全所必要者為限；超出受託目的時，僅於防止他人權益之重大危害等法律允許之情形下為之。
限制：僅平台指定之管理帳號得存取；僅於前述目的之必要範圍內查閱，並記錄查閱事由。

（三）統計

Pencil 之平台營運統計，只使用店家數、預約數等不需逐一辨識顧客之彙總數字，不以顧客為單位進行分析。各店家後台顯示之回頭客等數字，係 Pencil 受店家委託，為該店家之顧客管理而計算，依服務條款三之一辦理。網站流量統計另見第六之二節。

（四）Pencil Pass 帳號

Pencil Pass 為本服務提供予顧客之帳號，目前只提供受邀之測試者使用。此帳號不屬於任何單一店家；各店家所蒐集之顧客資料，仍依一之一辦理。

資料：您的電子郵件地址；密碼（以不可還原之雜湊值〔scrypt〕保存，不保存原文）；電子郵件驗證完成之時間、密碼設定之時間、帳號建立與最後異動之時間；密碼連續輸入錯誤之次數與密碼登入暫停之到期時間；同意紀錄（您建立帳號時勾選同意之時間、當時《Pencil Pass 使用規則》之版本與內容雜湊值，及當時本政策之「最後更新」日期）；登入紀錄（每一次登入之憑證雜湊值〔不保存憑證原文〕、建立時間、最近使用時間、到期時間，及於該次登入確認密碼時連續輸入錯誤之次數與暫停之到期時間）；申請刪除之時間與預定刪除之時間；以及帳號之內部識別碼與版本序號。上開資料不含姓名、電話、生日與 IP 位址；限制頻率所用之 IP 位址依本節（二）第 1 點處理。
驗證碼申請紀錄：帳號於您完成電子郵件驗證、勾選同意並設定密碼後始建立。於此之前及其後，您申請驗證碼時，本服務就每一筆受理之申請保存一筆紀錄（因超過申請次數或頻率上限而未受理者，不另留紀錄），內容為您的電子郵件地址經金鑰雜湊後之比對值（不保存電子郵件地址原文）、驗證碼之雜湊值（不保存驗證碼原文）、申請所用瀏覽器之識別值之雜湊值、申請之用途、申請、決定寄送、驗證、使用與到期之時間、輸入錯誤之次數，及（已登入時）帳號之內部識別碼。不論該電子郵件地址是否已有帳號、是否為受邀之地址，受理之申請均會留存此紀錄，用於核對驗證碼及限制申請次數。
來源：由您自行輸入；各項時間、次數與雜湊值由系統於您操作時產生。
目的：供您登入與使用 Pencil Pass、確認操作者為帳號之持有人、維護帳號安全（包括限制驗證碼申請與密碼嘗試之次數），以及向您寄送驗證碼與帳號安全通知。目前寄送之信件為驗證碼信、密碼已變更通知與帳號預定刪除通知三種。
同意：建立帳號時，您須勾選同意《Pencil Pass 使用規則》與本政策，始得建立帳號；本服務留存該同意紀錄如第 1 點。
保存：帳號資料保存至您刪除帳號為止。登入紀錄於連續 90 天未使用或自建立起滿 365 天時失效（最近使用時間至多每 24 小時記錄一次，故前者可能提早至多 24 小時），失效後由每日執行一次之排程清除；您登出、登出其他所有裝置、更改密碼或申請刪除帳號時，相應之登入紀錄隨即刪除，同一帳號之有效登入逾上限時，最久未使用之一筆亦同。驗證碼申請紀錄於建立滿 48 小時後，由每日執行一次之排程清除，故正常情形下保存不超過 72 小時；帳號經清除時，該帳號及同一電子郵件地址之申請紀錄一併刪除（清除當時進行中之重新建立帳號申請除外）。前述排程如未能如期執行，清除順延至下一次執行。
刪除帳號：您得於 Pencil Pass 內自行申請刪除帳號（申請前須再次確認為您本人），其程序與期間如下：
1. 申請完成時，該帳號於所有裝置之登入立即失效。
2. 自申請時起 7 天內，您得以同一電子郵件地址登入並取消刪除；登入本身不會取消刪除。
3. 7 天期滿時起，該帳號即無法登入、無法取消；同一電子郵件地址得重新建立全新之帳號，與原帳號無關聯。
4. 帳號資料於期滿後 24 小時內清除；其備份副本依第四節之備份汰除規則，最遲 30 天內汰除。
5. 所刪除者為 Pencil Pass 帳號本身。您於各店家留下之預約紀錄與顧客資料由各該店家保存，不因刪除 Pencil Pass 帳號而刪除；如欲刪除，請向該店家或本政策之聯絡窗口提出。
清除後，本服務另保存刪除紀錄，內容為該帳號之內部識別碼、版本序號，及申請、取消與刪除之事件時間，不含電子郵件地址，存放於本服務資料庫及第六節所列之雲端檔案儲存服務；其用途為自備份還原資料時，使已刪除之帳號不致復原。此刪除紀錄目前未設定自動清除之期限。
權利：您得於 Pencil Pass 內自行刪除帳號；查詢、閱覽、製給複製本、補充、更正、停止蒐集、處理或利用等其他請求，請寫信至 support@pencilnow.app。本服務目前未提供自行更改帳號電子郵件地址之功能。

Pencil Pass 帳號之申請驗證碼、建立帳號、登入、登出、重新確認身分、變更密碼，及申請與取消刪除等事件，另記錄於本服務主機之執行記錄，內容為事件種類、結果、帳號之內部識別碼與時間，不含電子郵件地址與 IP 位址；其保存期間依主機代管服務之記錄保留設定。上開帳號資料存放於第六節所列雲端主機代管服務上之資料庫；帳號資料包含於每日備份，登入紀錄與驗證碼申請紀錄不包含於備份。

（五）Pencil Pass 會員卡、當面確認、訊息與新訊息通知

您使用 Pencil Pass 之下列功能時，本服務為自身目的處理下列資料；各店家於其店內保有之顧客資料，仍依一之一辦理。

會員卡：資料為您的帳號與店家之對應（哪些店家在您的卡夾）、取得方式、卡夾之排序、建立與最近異動之時間、目前是否移除及移除之時間，以及您自行填寫之顯示名稱（可留空）。來源：由您操作產生。取得方式有二：店家提供之領卡連結或 QR Code（打開後須登入始取得）；或店家已開啟 Pencil Pass，且您曾於該店之預約流程自行留下與帳號相同之電子郵件、該店之顧客資料中以此電子郵件可唯一對應一筆時，於您登入或打開卡夾時自動建立該店之卡（店家自行填入相同電子郵件者不會自動建立）。兩種方式都只建立卡，不將您的帳號與該店之顧客資料連結。取得會員卡後，店家即可於其後台之待確認名單與訊息頁看到您的顯示名稱與電子郵件，無須先完成確認或傳送訊息。目的：讓您於卡夾看到店家、前往該店之預約頁，以及與店家傳送訊息（第 3 點）。移除之卡不會自動回來，其紀錄保留至您刪除帳號為止；店家關閉 Pencil Pass 時，該店之卡標示為暫停，資料保留。
當面確認：店家欲將您的帳號與其店內之顧客資料連結時，須由您本人到店，於該卡按「顯示確認碼」、由店家當面輸入。資料分三類。其一，確認碼：六位數字，以金鑰雜湊保存，不保存原文，及其產生、到期與用掉之時間；確認碼自產生起 10 分鐘內有效，再產生一組、移除卡或完成連結時作廢，紀錄保留至您刪除帳號為止。其二，連結紀錄：帳號、店家、該店之顧客資料、確認方式、確認之時間與店家操作者之內部識別碼；保存至您刪除帳號、該店家刪除該顧客資料或取消連結為止。其三，店家端之嘗試紀錄：輸入錯誤（含過期與無法辨識）、鎖定、完成連結與取消連結之紀錄，各含時間與店家操作者之內部識別碼，記錄於該店之顧客資料下，用於限制嘗試次數（同一筆顧客資料於 15 分鐘內累計輸入錯誤達上限時暫停，整家店亦有上限）；此類紀錄不隨您刪除 Pencil Pass 帳號而刪除，保存至該店家刪除該顧客資料或其帳號為止，目前未設定自動清除之期限，並包含於每日備份。目的：確認操作者為該顧客本人後，始於卡上顯示該店之資料。確認之後，您於卡上看得到該店為您保存之下一筆預約（時間與服務項目）、儲值餘額與未使用之優惠券數量，該等資料由該店家保存；確認之前只看得到店家名稱。店家得取消連結。
訊息與圖片：資料為您與店家於 Pencil Pass 對話中傳送之文字（每則有字數上限）與圖片、每則之順序與時間、雙方各自讀到第幾則（用於顯示已讀與未讀數）、正在輸入之訊號（數秒後不再顯示；最後一次訊號之到期時間仍保留於對話紀錄中）、店家封鎖您傳送訊息之時間，以及檢舉紀錄（檢舉方、檢舉方填寫之理由與時間）。圖片於上傳時由本服務重新編碼、縮小並移除檔案內之附加資訊（例如拍攝位置、機型）後保存於本服務之資料庫，原始檔不保存；圖片只於該對話之兩方檢視時由本服務傳送，不產生可公開存取之網址。來源：您與該店家。目的：供您與店家就預約事宜聯絡；同一家店只有一條對話，與該店之卡相連。誰看得到：該店家後台之操作者；本服務之人員不主動檢視對話內容，僅於處理檢舉、排除故障或依法律要求時檢視。限制：短時間內大量傳送時會暫時拒絕；店家封鎖後您不能再傳送，店家仍可檢視與傳送；您移除該店之卡後亦不能傳送，加回後恢復。保存：對話、圖片、封鎖與檢舉紀錄保存至您刪除帳號或該店家刪除其帳號為止，目前未設定其他自動清除之期限；您申請刪除帳號後之寬限期內，店家仍可檢視對話但雙方皆不能再傳送，帳號清除時對話與圖片一併清除。上開資料包含於本服務之每日備份，依第四節之備份汰除規則最遲 30 天內汰除。檢舉目前以人工處理，尚無線上處理之流程。
新訊息通知（您自行開啟時）：資料為您於該裝置開啟通知時，該裝置之瀏覽器向推播服務（依裝置而定為 Apple、Google、Mozilla 或 Microsoft）取得之推播位址與加密金鑰、該瀏覽器送出之使用者代理字串（含瀏覽器與作業系統之名稱與版本，最多保存兩百字）、建立時間與最後一次送出通知之時間；一次登入對應一筆，與該次登入綁定。目的：店家傳送訊息給您時通知您。做法：店家送出後本服務先等候 8 秒，您已讀到該則時不送；通知顯示之內容僅為店家名稱與一句固定之提示文字，不含訊息內容；同一對話之通知互相取代，推播服務最長保留 1 小時，逾時不補送。傳送經由上述推播服務，該等服務位於境外；本服務傳給該服務的是推播位址、以您裝置之金鑰加密後之通知內容（店家名稱、固定之提示文字、打開通知後前往之對話的網址，及用以取代舊通知之識別值），以及推播協定所需之保留時間等資料；不傳送您的電子郵件與訊息內容。保存與刪除：您得隨時於「我的」關閉；關閉、該裝置登出、刪除帳號，或推播服務回報該訂閱失效時，本服務即刪除該筆紀錄；您於某一裝置執行「登出其他所有裝置」或更改密碼時，其他裝置之訂閱一併刪除，該裝置之訂閱保留。訂閱紀錄不包含於備份。

二、蒐集目的

為提供 1 對 1 預約管理服務、完成使用者註冊與登入、建立並維持預約紀錄、處理顧客於店家頁面所送出之商品訂單並據以通知店家、寄送或推播店家預約及商品訂單即時通知（含寄送交易性通知信〔登入連結、預約確認、商品訂單確認、需付定金之預約逾時未付或逾時自動取消時寄予店家之通知（內容含顧客姓名、服務、預約時間、定金金額與預約編號），以及店家使用儲值功能並選擇以電子郵件或 LINE 傳送時之餘額查詢連結通知〕，以及店家綁定 LINE 時之 LINE 推播通知，暨向為顧客提供服務之指定服務人員推播其所負責預約之即時通知〔內容含顧客姓名、電話、預約備註，及顧客回報定金時所提供之轉出帳號末五碼〕，暨顧客自願完成綁定時透過該店家之 LINE 官方帳號向顧客本人發送其預約通知〔預約確認、前一日提醒、改期、內容更新、未能成立等〕，暨店家於後台對指定顧客發出之優惠通知〔由店家逐一挑選對象、非系統自動群發；僅於您自行表示同意後（於預約完成頁勾選、於加入店家 LINE 官方帳號並完成綁定時一併同意、點擊預約通知信中的同意連結，或透過店家傳送予您之通知設定連結、自您已綁定之 LINE 帳號傳送確認訊息），店家才得經本服務以電子郵件或 LINE 對您發送；每封優惠信附退訂連結並帶標準退訂標頭，LINE 優惠通知可於該店家 LINE 官方帳號對話中傳送「取消優惠通知」停止，您可隨時停止接收該店家之優惠通知或拒絕該店家所有優惠通知，停止後即不再發送；未表示同意者，店家僅能自行複製訊息以其自有方式傳送；優惠信以與交易性通知信不同之專用寄件網域寄出；以上均不影響您繼續收到自身之預約確認與提醒等必要通知〕），向店家本人寄送服務引導或活化提醒信（例如於店家之預約頁已設定完成但尚無顧客透過連結預約時，提醒店家將其專屬預約頁分享出去以提升使用成效；此類信件僅寄予店家本人，內容為其自身店家資料，不含任何顧客個人資料），以及維護系統運作所需之合理範圍。商品訂單供顧客表達購買意向並由店家履約；商品有定金時，本服務另提供付款資訊展示、付款回報與對帳狀態紀錄，以通知店家核對款項，本服務不經手金流、不代收款項；訂單所填之聯絡資訊僅存為該筆訂單之快照，不併入顧客名單、不影響來店次數。就店家選擇蒐集之生日、性別，其目的為供該店家進行預約管理與服務安排之判斷。自 2026-09-18 起，店家並得依您的生日月份，挑選其生日優惠券之發送對象；該店家於 2026-09-18 前已留存之顧客資料，僅於您自行同意接收該店家優惠通知時，其中之生日始用於此一用途（店家合併重複之顧客資料時，以較早留存者為準）；您於該日（含）之後始留存於該店家之顧客資料（包括您以不同之聯絡方式預約而另行建立者），其生日得用於此一用途。已拒絕該店家所有優惠通知者不在其列。性別不用於行銷或推播優惠；除前述情形外，本服務不將生日、性別用於行銷、推播優惠或其他前述以外之用途。

特定目的代號依個資法施行細則及法務部公告之代號對應，包括「069 契約、類似契約或其他法律關係事務」、「090 消費者、客戶管理與服務」、「148 網路購物及其他電子商務服務」；就前述店家優惠通知，另包括「040 行銷（包含金控共同行銷業務）」，其範圍以您自行表示同意接收之該店家優惠通知為限，本服務不從事金控共同行銷，亦不以您的個人資料為其他店家或第三人行銷。

謹依個資法向您告知：本服務之資料控管者如第一節所載；蒐集之個人資料類別與目的如本節及第三節所述；個人資料利用之期間為服務存續期間及第四節所定之保存期間，利用地區為第六節所載各服務供應商所在地，利用對象為各該店家（資料控制者）及本服務委託之資料處理者，利用方式為前述目的範圍內之預約管理與系統運作所必要之處理。您就本服務蒐集之個人資料，得行使第五節所列之各項權利。其中生日、性別是否蒐集，取決於各店家於其預約頁之設定（mode-dependent）；店家未開啟者，本服務即不蒐集。若店家將某欄位設為必填而您選擇不提供，將無法於該店之公開預約頁完成自助預約；設為選填或未開啟者，不提供不影響預約之完成。

三、蒐集之個人資料類別

識別與聯絡資料：電子郵件地址、姓名、電話號碼（得由顧客自行提供，或由店家於後台代為建立／後補）
生日、性別（選用，由店家視其需要選擇是否蒐集）：屬一般個人資料，非個資法所定之特種個人資料。是否蒐集及為必填或選填，取決於各店家於其預約頁之設定；店家未開啟者，本服務即不蒐集
預約相關資料：服務項目、時段、預約備註、出席紀錄（含未出席〔no-show〕註記）
技術性資料：Cookie / Session 識別碼、IP 位址（用於速率限制與防濫用）
店家登入密碼（選用）：若店家設定登入密碼，本平台僅以單向雜湊（bcrypt）保存，永不儲存明文密碼，亦無法還原為原始密碼。此為本平台作為控制者所保管之帳號安全資料，與店家所蒐集之顧客資料性質不同。
店家登入電子郵件之對外顯示：店家透過本服務以電子郵件寄送優惠券或餘額查詢連結予其顧客時，該信件之回覆地址設為店家帳號之登入電子郵件，顧客回信將直接寄至該信箱，收信顧客因此可得知該電子郵件地址；本服務寄送之其他通知信，回覆地址為本服務客服信箱。
店家 LINE 綁定資料（選用）：若店家綁定 LINE 接收即時通知，本平台保存其 LINE 使用者識別碼（userId / OIDC sub）與 LINE 顯示名稱，作為推播通知之對象。此為店家自願提供之帳號功能資料。綁定後，設定頁可即時顯示店家自身之 LINE 大頭貼，僅供畫面辨識綁定帳號之用，由 LINE 即時提供、本平台目前不另行保存。
服務人員 LINE 綁定資料（選用，僅於店家啟用「服務人員」功能且該人員自行綁定 LINE 時）：若店家為其服務人員產生綁定連結，並由該服務人員本人透過該一次性連結自行完成 LINE 綁定（人員點擊連結並登入其 LINE 完成綁定，即為其同意之時點），本平台保存該人員之 LINE 使用者識別碼（userId / OIDC sub）、LINE 顯示名稱與綁定時間，作為向其推播通知之對象。利用目的僅限於：向該人員傳送其所負責預約之即時通知（新預約、取消、改期、改派，以及顧客定金回報）。人員解除綁定、店家將該人員停用或刪除、或該人員於 LINE 封鎖／取消追蹤本服務官方帳號時，本平台即停止使用並清除該人員之 LINE 使用者識別碼、顯示名稱與綁定時間。
定金相關資料（選用，僅於店家啟用定金且顧客送出該筆預約時）：顧客付款後自行回報之「轉出帳號末 5 碼」，以及顧客於下單時勾選同意取消／退款政策之證據（同意時間、所同意之政策版本、同意當下之 IP 位址，以及自本政策本次修訂起成立之預約，其同意當下所見之政策內容）。末 5 碼供店家與顧客間核對款項是否到帳，並於顧客回報定金後，經由 LINE 傳送予為顧客提供服務之指定人員以協助對帳；本平台僅處理前述對帳與同意佐證資料，不蒐集顧客完整銀行帳號或信用卡資料，亦不經手任何款項；同意時間／政策版本／政策內容／IP 則作為「下單前已完整揭露並取得同意」之紀錄，以保障雙方權益。
商品訂單資料（選用，僅於店家啟用商品頁且顧客送出訂單時）：顧客下單時填寫之姓名、電子郵件地址、電話（選填）與訂單備註，以及所訂購之商品品項、數量與下單當下之價格快照。前述聯絡資訊僅供店家聯繫顧客、確認並線下履約該筆訂單之用，並以確認信通知顧客。顧客送出訂單時，本服務以電子郵件通知店家，並於店家已綁定 LINE 時一併推播，通知包含訂單編號、商品品項、數量與價格、小計，以及顧客姓名、電話與訂單備註；顧客電子郵件地址僅列於電子郵件通知，不經 LINE 傳送。商品含定金時，另保存訂單建立時之定金金額、顧客回報已付時間與轉出帳號末五碼，以及店家標記收款之時間，供店家核對款項及管理訂單。首次回報時，本服務透過電子郵件或店家已綁定之 LINE 通知店家，通知包含商品摘要、訂單編號、定金金額、末五碼及回報時間；電子郵件另含顧客姓名與訂單建立時間。本平台不蒐集顧客完整銀行帳號或信用卡資料，不查驗銀行入帳，亦不經手或代收任何款項。訂單聯絡資訊僅存為該筆訂單之快照，不併入店家之顧客名單、不影響來店次數。
表單回覆（選用，僅於店家使用「表單」功能向您發出一次性填寫連結，且您填寫並送出時）：您於該表單所填之答案（依店家自訂之題目，例如簡答、單選、複選、確認聲明）與親筆簽名（筆跡座標與時間）、送出時間、所簽之表單版本，以及店家發出邀請時所指定之對象（顧客姓名快照、預約編號與時間、服務項目名稱）。表單為本服務內蒐集此類資料之指定功能：題目內容由店家自訂，店家為該等資料之個資法上蒐集者，並應自行向您告知蒐集目的與取得同意（通常置於表單開頭之說明）；本平台受店家委託處理，將答案與簽名以應用層加密保存（金鑰與資料分離保管），任何對答案內容的讀取（店家檢視、列印影本、平台依法調閱）均先寫入稽核紀錄。店家所自訂之題目若涉及病史、用藥、過敏、懷孕等資訊，可能涉及個資法所定之特種個人資料，依內容與法定定義判斷，店家應依法取得您之書面（含電子）同意；本平台不提供法律範本。表單回覆與其稽核紀錄不保存填寫者之 IP 位址。填寫連結為一次性、綁定該次邀請並有效期限，送出後即失效；填寫頁不載入流量分析工具。就簽名，本服務保存簽署過程與內容（筆跡與時間、所簽版本、邀請對象、送出時間、內容一致性校驗），供個案證據判斷，不對其法律效力作保證。
店家 Google 帳號識別資料（選用，僅於店家主動連結 Google 日曆時）：本平台保存該 Google 帳號之識別碼（OIDC sub）與電子郵件地址。識別碼用於判斷同一 Google 帳號是否另有其他工作室仍在使用本功能（據以決定解除連結時是否撤銷授權），電子郵件地址僅供設定頁顯示目前連結之帳號。授權憑證之保存與刪除詳第四節、第六節。
許願與問題回報（選用，僅於您主動送出時）：您於本服務「許願／回報」表單所填之內容與理由，以及您選填之聯絡方式（帳號代稱或電子郵件地址），供本服務理解需求、回覆您，並作為產品規劃之依據。本項由平台以控制者身分蒐集；您未填聯絡方式者即為匿名投稿。
店家（Studio Owner）所建立的店家資訊：名稱、地址、營業時段、服務項目、商品項目、logo 與商品圖片，以及店家自行上傳作為「分享空檔圖」背景的照片等
服務人員資料（選用，僅於店家啟用「服務人員」功能時）：店家為其服務人員（員工或合作者）建立之姓名、頭銜、自我介紹與大頭照，以及各人員之服務指派、收費與上班時間設定。該等資料由店家決定蒐集與利用之目的，店家為其個資法上之蒐集者，並應確保已向該人員完成告知並取得同意（詳服務條款第三條）；本平台受店家委託處理與展示。其中姓名、頭銜、自我介紹與大頭照會公開顯示於該店家之預約頁供顧客指定人員；顧客完成指定預約後，人員姓名將以快照形式併入該筆預約紀錄，並顯示於預約確認信、通知信與店家後台行程（人員改名或停用後，歷史預約仍保留當時姓名）。人員停用或刪除後，預約頁即不再顯示其資料；既有預約紀錄中之姓名快照隨該筆預約依第四節之保存期間保存
結帳與儲值紀錄（選用，僅於店家使用結帳或儲值金功能時）：店家為顧客記錄之收款與退款（金額、方式、實際發生日期，以及店家填寫之退款或作廢原因與登記之操作帳號）、店家就已取消或未到之預約將定金保留作補償之紀錄及其撤銷紀錄（金額、店家填寫之原因、操作帳號與時間）、帳單與折抵明細、儲值餘額（本金與贈送分列）與其異動。該等資料由店家決定蒐集與利用之目的，店家為其個資法上之蒐集者，本平台受店家委託處理與保存。本服務不經手金流、不代收代付、不持有任何資金；所有款項之收受與退還均由店家與顧客於線下自行處理，本服務僅記錄店家所登錄之結果，亦不代為計算依法應退之金額。若店家選擇以連結方式將餘額提供予顧客查詢，該連結之內容與性質詳第三節末段。

當您於公開預約頁自行送出預約時，須依店家設定提供電話或電子郵件地址至少一項（及店家要求時之生日、性別），以完成預約；有提供電子郵件者，本服務據以寄送相關通知（如預約確認、前一日提醒、改期、內容更新、未能成立，以及定金之付款說明、付款提醒、收款確認、退還登記與逾時取消通知）；店家於後台取消或刪除預約時，本服務不會通知您，由店家自行與您聯絡。未提供電子郵件、亦未綁定該店家 LINE 官方帳號者，本服務不寄送自動通知，預約是否成立與後續變動請以預約完成頁提供之管理連結查詢，或與店家聯絡。需支付定金之預約，送出時仍須提供電子郵件，以接收付款說明與提醒。就店家設為必填之欄位，若未提供，將無法於該頁完成自助預約；設為選填或未開啟之欄位，不提供不影響預約之完成。此外，店家亦得於後台代為建立顧客之預約紀錄，於此情形下得僅留存顧客姓名，並於實際接觸時再行後補電子郵件、電話、生日或性別；在電子郵件尚未留存前，本服務不會就該筆預約寄送確認或通知信。

當您於店家頁面送出商品訂單時，須提供姓名與電子郵件地址（電話為選填），以便店家聯繫、確認並線下履約該筆訂單，本服務並據以向您寄送訂單確認信；未提供必要資訊將無法完成下單。此為顧客向店家表達購買意向之紀錄；商品有定金時，另依前述方式處理付款回報與店家確認收款之紀錄。本服務不經手金流、不代收款項，商品之成交、實際收款與履約均由店家與顧客處理。

店家於顧客儲值後，得將一組唯讀的餘額查詢連結提供予該顧客（透過該店家之 LINE 官方帳號、電子郵件，或當面出示）。該連結上的隨機憑證僅代表「持有人取得了店家提供之連結」，不是身分驗證，故任何取得該連結者均可讀取其內容；該頁面顯示之範圍限於店名、店家為您登記之姓名（作為稱呼顯示）、目前餘額，以及最近 20 筆異動之日期、金額與類別（儲值／使用／退款／調整），不顯示服務名稱、卡片名稱、電話、電子郵件、備註或操作人員。該頁面不供搜尋引擎索引、不被快取，亦無任何可變更金額之操作。店家得隨時於後台停用或換發該連結，停用或換發後原連結即失效（誤傳時店家應立即停用或換發）。本服務代店家以 LINE 或電子郵件傳送該連結時，訊息內容為店名、傳送當時之餘額與連結，收件資訊為店家為您登記之 LINE 綁定或電子郵件。若您不希望以連結方式接收，請告知店家改以當面告知。

Cookie 用於維持登入狀態、必要的使用者偏好，以及各項功能運作所必要之短期狀態（Pencil Pass 所使用之 Cookie 見六之二），本服務不使用第三方廣告追蹤 Cookie。您可於瀏覽器設定中停用 Cookie，但可能影響登入功能與預約流程。

若您於公開預約頁勾選「將訂位人資訊儲存在此瀏覽器」，本服務會將您該次填寫的聯絡資訊（姓名、電話、電子郵件、生日、性別；不含預約備註）儲存於您自己裝置瀏覽器的本機儲存空間（localStorage），供您下次於同一瀏覽器預約時自動帶入，包括向不同店家預約；目前未設定自動到期時間，以省去重複填寫。此資料保存在您的裝置本機、不會因此功能而額外傳輸或保存於本服務；您可隨時取消該勾選，或清除瀏覽器資料，即可移除已儲存之內容。

另若您送出之預約需付定金而尚未完成回報，本服務會預設將該筆預約之預約編號、店家代稱及寫入時間存於您裝置瀏覽器的 localStorage，供您回到待付預約。附有寫入時間之資料於寫入後 30 天不再用於顯示待付入口；較早版本未附寫入時間之資料未套用此期限。停止顯示不等於已從裝置移除，本服務亦無法在您未開啟網站時主動清理裝置。您可清除瀏覽器資料移除；完成回報或預約不存在時，系統會在相關頁面處理時嘗試清除該筆暫存。所存資料不含姓名、電話或電子郵件，但預約編號可用於連結該筆預約資訊，請妥善保管裝置。

四、資料保存期間

預約紀錄於服務存續期間持續保存；商品訂單紀錄（含顧客聯絡快照與商品明細）比照預約紀錄，於服務存續期間保存，並於下列帳號刪除程序中一併刪除或匿名化。使用者來信（support@pencilnow.app）申請刪除帳號後，本服務將於 30 日內刪除或匿名化其 Studio 與相關預約及商品訂單資料；本服務終止，或服務條款終止或解除時，自終止日或終止、解除生效日起 30 日內亦同（詳服務條款三之一第七款）；惟依法律規定（例如商業會計法、稅捐稽徵法）須保存，或為因應法律程序、爭議處理或詐欺調查所必要者，於各該必要期間內不在此限。為維持服務之災難復原能力，資料庫每日備份快照（存放於第六節所列之雲端檔案儲存服務）保留 30 天，已刪除之資料其備份副本最遲於該期間內一併汰除。店家為「分享空檔圖」上傳之背景照片，於店家更換或移除該照片時，本服務即向該雲端檔案儲存服務發出刪除；如刪除當下該服務未能完成，該檔案可能仍留存於該服務，至店家帳號刪除時一併清除；惟其自該時起不再與任何店家、預約或顧客資料關聯，亦不再於本服務任何頁面顯示；未更換或移除者，保存供店家使用。店家帳號刪除時，其上傳之圖片（包括 Logo、分享背景、商品圖片與服務人員照片）於刪除程序中一併自雲端檔案儲存服務刪除。登入驗證 Session 依預設保存 30 天，過期後自動失效。IP 速率限制紀錄最多保存 24 小時。店家解除 LINE 綁定，或於 LINE 封鎖／取消追蹤本服務官方帳號時，本服務將停止使用並刪除其 LINE 使用者識別碼與顯示名稱；正常情況下將於系統完成解除綁定時即清除相關欄位，不另作保留。服務人員之 LINE 綁定資料亦同：於該人員解除綁定、遭店家停用或刪除、或於 LINE 封鎖／取消追蹤本服務官方帳號時，本服務即停止使用並清除該人員之 LINE 使用者識別碼、顯示名稱與綁定時間。顧客之 LINE 綁定資料亦同：於您在 LINE 封鎖或取消追蹤該店家之官方帳號時，本服務即停止對您發送並清除您於該店家之 LINE 使用者識別碼、顯示名稱與綁定時間；如同一 LINE 帳號在該店家名下對應多筆顧客紀錄（例如家庭共用），該等紀錄之上開欄位一併清除。店家解除 Google 日曆連結時，本服務將刪除所有已同步至其 Google 日曆之預約行程，並清除所保存之 Google 授權憑證（以加密形式保存之存取與更新權杖）與同步紀錄，不另作保留；移除作業於背景分批進行，僅為完成該作業之目的保留最小必要憑證，完成後即一併清除；並於同一 Google 帳號未另有其他工作室使用本功能時撤銷該授權（另有使用者則不予撤銷，以免影響該等工作室）。清空後之「Pencil 預約」日曆本身保留於店家帳號中由其自行處理（不再包含任何預約或顧客資料）。店家申請刪除帳號時，若當時仍為連結狀態，本服務於刪除程序中一併刪除該日曆與相關同步紀錄；如因 Google 授權已失效等原因無法自遠端刪除，該日曆仍保留於店家自己的 Google 帳號中，店家可自行刪除或聯絡本服務協助處理。先前已解除連結者，原日曆由店家自行處理。

回訪聯絡紀錄、不再接收回訪訊息之意願，以及優惠券紀錄（含核銷金額），隨該顧客之資料保存；店家於後台刪除該顧客時一併刪除，店家申請刪除帳號時隨其他顧客資料於 30 日內刪除或匿名化。店家合併重複之顧客資料時，上開紀錄一併併入保留之顧客；其中「不再接收回訪訊息」之意願若任一方係由您本人要求，合併後一律保留為您本人要求。

結帳與儲值紀錄（收款、退款、定金保留作補償之紀錄、帳單、折抵、儲值餘額異動）屬店家之帳務憑據，於服務存續期間隨該店家之資料保存。店家刪除預約時，該預約之結帳、收款、退款與保留作補償之紀錄一併刪除，以儲值扣抵之金額退回顧客餘額，已使用之優惠券退回顧客；本服務另保存該次刪除之時間、操作者、所刪除之預約與紀錄識別碼、顧客識別碼及金額摘要（不含姓名），供爭議處理之用，並隨該店家之資料保存。已有上開紀錄之顧客，店家無法於後台直接刪除該筆顧客資料——刪除會使既有的收款與退款紀錄失去歸屬；店家如需停止往來，可改以取消預約或合併顧客處理。同一原因，店家合併重複顧客時，若被併入的一方留有帳務紀錄，該筆顧客資料將被封存而非刪除：其姓名保留於既有紀錄中，電子郵件、電話比對用之號碼與 LINE 綁定於合併時即予清除，且不再出現於店家之顧客名單、搜尋與行銷名單；其原始電話號碼欄位隨封存資料保留，且合併時該筆聯絡資料會抄錄至保留帳戶之內部備註，僅供店家對照歷史紀錄，不再用於比對、聯絡或行銷，其原有之餘額查詢連結同時失效。您仍得依第五節行使刪除等權利；本服務將轉知該店家或協助處理，於刪除將使帳務紀錄失去歸屬時，改以停止利用並清除可識別之聯絡資料方式處理，帳務金額本身依法律規定（例如商業會計法、稅捐稽徵法）之保存期間留存；惟店家自行刪除該筆預約時，前述紀錄即依前段一併刪除，本服務不代店家履行其法定之帳簿憑證保存義務。店家申請刪除帳號時，上開紀錄隨其他顧客資料於 30 日內刪除或匿名化；帳號終止或刪除後，店家與顧客均無法再於本服務查詢、扣抵或退款該等紀錄，店家應於終止前自行完成結算。

定金相關資料中，顧客回報之「轉出帳號末五碼」與「同意當下之 IP 位址」屬對帳與同意佐證所需之資料，於該筆預約後（以服務日為錨點）保存至多 90 天，不論該筆預約之最終結果（完成、取消、未到場、退款等），期滿一律由系統自動清除（將該等欄位清空為無）；商品訂單之定金回報「轉出帳號末五碼」同此辦理，以訂單成立日為錨點保存至多 90 天，期滿自動清除。預約定金之同意時間與所同意之政策版本，作為約定與同意過程之佐證，依預約紀錄之保存期間留存；商品定金金額、回報時間與店家標記收款之時間依商品訂單之保存期間留存。此等資料已納入錯誤追蹤之去識別化處理範圍，本服務並採取合理措施避免其出現在系統運作紀錄中。

表單回覆（答案、簽名與店家附註之密文）保存至店家刪除為止；店家一般刪除有 30 日復原期，復原期滿自正式資料庫清除，對應之邀請紀錄同時匿名化；備份副本依本節前述之備份保留期間汰除。店家刪除顧客時，該顧客之表單回覆預設保留並解除與該顧客之關聯（店家可另選同時刪除），供店家依其業務或法定保存需求留存，並由店家依本政策管理。商品訂單之聯絡資料以訂單快照保存，不隨刪除顧客名單而刪除。當事人如欲刪除前述資料，可向該店家或透過本政策聯絡窗口提出請求，將依請求範圍及法定保存事由處理。未經填寫之邀請自到期或撤銷起 90 日後匿名化。表單相關之稽核紀錄保存 2 年，期滿匿名化或轉為聚合計數。有效之法律保全期間、店家已下載之影本、依法交付之副本，不在前述清除範圍。本平台於法律保全或依法調閱期間，依適用法令、合法命令及必要之保密要求處理案件資訊；依法應告知、提供資料或協助行使權利者，仍依法辦理。

優惠通知同意與拒收紀錄隨該店家之顧客資料保存，刪除顧客時一併刪除；刪除紀錄本身不代表顧客重新同意行銷。郵件退信或垃圾信申訴所產生之停寄名單，由 Pencil 為自身目的保存，其資料、目的、依據、保存期間與權利行使詳本政策一之二（一）；此名單跨店家適用，不隨單一店家刪除顧客或帳號而移除。

LINE 通知處理紀錄另含店家、顧客及預約識別、LINE 識別碼之雜湊比對值、投遞狀態及必要錯誤資訊，部分通知另留原預約時間供變更通知使用。已送出紀錄自送出起、終止重試紀錄自最後更新起，超過 30 天由排程清除；尚在處理之紀錄保存供完成傳送或判定終止。短效 LINE 綁定碼紀錄自到期超過 24 小時後由排程清除，包含綁定對象識別及暫存優惠選擇。定金逾時自動取消之通知寄送紀錄，含店家及預約識別、收件對象類別（顧客或店家）、寄送狀態、嘗試次數及必要錯誤資訊，不含電子郵件地址；已寄出或無從寄送者自最後更新起超過 30 天、超過補寄期限而停止自動寄送者自最後更新起超過 180 天，由排程清除。解除綁定清除的是帳號／顧客資料上的原始 LINE 識別欄位，不代表上述處理紀錄同時清除。

本節所述主資料庫清除，不會撤回已寄送之電子郵件或 LINE 訊息，也不會自動刪除店家已下載、列印或自行保存的副本。備份依其汰除規則處理；第三方系統中的副本及紀錄，依其適用保存規則與各方依法應負之責任處理。店家仍應依法處理其所保有之顧客資料；當事人可透過本政策窗口提出權利請求。

系統運作紀錄（含錯誤堆疊與請求識別碼）於錯誤追蹤服務供應商端依其方案之預設保存期間保存。若法律另有規定保存年限（例如商業會計法、稅捐稽徵法），本服務依該規定保存相關資料至法定期間屆滿為止。

Pencil Pass 帳號（目前只提供受邀之測試者使用）：登入紀錄於連續約 90 天未使用或自建立起滿 365 天時失效，失效後由每日執行一次之排程清除；驗證碼申請紀錄於正常情形下保存不超過 72 小時；帳號資料保存至您刪除帳號為止。您申請刪除帳號後，自申請時起 7 天內得登入並取消；期滿時起該帳號即無法登入，帳號資料於期滿後 24 小時內清除。Pencil Pass 之帳號資料包含於本節前述之每日備份，登入紀錄與驗證碼申請紀錄不包含於備份；已刪除之帳號，其備份副本依前述備份保留期間，最遲 30 天內汰除。刪除後另行保存之刪除紀錄及各項之詳細內容，見一之二（四）。

Pencil Pass 之會員卡、當面確認之連結紀錄、對話與圖片、封鎖與檢舉紀錄，保存至您刪除帳號或相關店家刪除其帳號為止，目前未設定其他自動清除之期限；確認碼於產生起 10 分鐘後失效，失效或用掉之紀錄保留至帳號刪除；店家端之確認嘗試紀錄記錄於該店之顧客資料下，不隨您刪除帳號而刪除，保存至該店家刪除該顧客資料或其帳號為止。新訊息通知之訂閱紀錄於您關閉通知、該裝置登出或刪除帳號時刪除，不包含於備份；其餘上開資料包含於本節前述之每日備份。詳見一之二（五）。

五、您的權利

您就本服務蒐集之個人資料，得依個資法行使下列權利：

查詢或請求閱覽
請求製給複製本
請求補充或更正
請求停止蒐集、處理或利用
請求刪除

請以前述 support@pencilnow.app 信箱提出請求，我們將於合理時間內回覆處理。

Pencil Pass 帳號之刪除，您得於 Pencil Pass 內自行辦理，其程序與期間見一之二（四）；其餘請求仍請以前述信箱提出。

六、第三方服務（資料處理者）

與多數國際網路服務相同，Pencil 使用全球知名的雲端基礎設施提供穩定、安全的服務。您的資料主要儲存於日本東京的機房，所有傳輸均經 HTTPS 加密，並施行存取權限控管與多租戶資料隔離。

為維持服務運作，我們選擇具有適當資訊安全與隱私保護措施之服務供應商，將特定資料委外處理予下列國際服務：

電子郵件發送服務（Amazon Web Services, Inc. 之 Amazon SES，美國公司，寄送區域為日本東京）：用於寄送本服務之各類系統信件，包括登入連結、驗證碼、密碼重設連結、預約確認／改期／取消通知、預約提醒、店家端之新預約與每日摘要通知（含顧客姓名、電話等預約資訊）、定金回報通知、本服務對您意見回饋之回覆，以及您同意接收時店家對您發出之優惠通知信（與系統信件使用不同之專用寄件網域與獨立之寄送設定）；處理收件者 email 與信件內容，並接收該供應商就優惠通知信回報之退信與垃圾信申訴結果（經 Amazon SNS 回報，用於停止對該地址寄送優惠信，詳一之二（一））。本服務先前曾使用 Resend, Inc.（美國公司）寄送系統信件，現已改用 Amazon SES；改用前經其寄出之信件內容與投遞紀錄，依該供應商之保存政策存放於美國；Pencil Pass 之驗證碼信、密碼已變更通知與帳號預定刪除通知，亦經此服務寄送
推播服務（依您的裝置與瀏覽器而定：Apple Push Notification service〔Apple Inc.，美國公司〕、Firebase Cloud Messaging〔Google LLC，美國公司〕、Mozilla Push Service〔Mozilla Corporation，美國公司〕或 Windows Push Notification Services〔Microsoft Corporation，美國公司〕）：僅於您自行開啟 Pencil Pass 之新訊息通知時使用；本服務向該服務傳送推播位址、以您裝置之金鑰加密後之通知內容（店家名稱、固定之提示文字、打開後前往之對話的網址，及用以取代舊通知之識別值；不含訊息內容）及推播協定所需之保留時間等資料，不傳送您的電子郵件與訊息內容；該等服務位於境外。詳一之二（五）
雲端檔案儲存服務（Cloudflare R2，Cloudflare, Inc. 為美國公司）：用於儲存店家 logo、商品圖片、服務人員大頭照，以及店家上傳作為「分享空檔圖」背景的照片，並存放本服務資料庫之每日備份（含第三節所列之店家與顧客資料；存於不公開之私有儲存空間，依第四節之保留期間汰除）；資料透過該供應商之全球網路儲存
雲端主機代管服務（Zeabur 平台，主機位於日本東京）：用於部署應用、資料庫，以及自行架設之流量分析工具（詳六之二）；本服務之主要資料庫存放於該主機
Google Fonts（字型服務，Google LLC 為美國公司）：店家產生「分享空檔圖」時，本服務於伺服器端向該服務取得繪製所需之字型；為只取所需字元，請求中會包含該店家顯示名稱所用到的文字。此為店家自身之營業資料，不包含任何顧客個人資料；請求由本服務之伺服器發出，顧客與店家之瀏覽器不會因此連線至該服務。取得失敗時改用本服務自帶之字型。本服務頁面本身所用之字型為自行架設，不經由該服務
錯誤追蹤服務（Sentry，Functional Software, Inc. 為美國公司）：於系統發生例外時蒐集堆疊與請求識別碼；我們已採取合理措施避免可識別個人資料進入錯誤追蹤系統；資料處理位於美國
LINE（即時通知，由 LY Corporation 營運，日本公司）：當店家或其指定服務人員綁定 LINE 接收通知時，本服務透過 LINE Messaging API 將預約建立、取消、改期、改派或定金回報之通知內容（含預約編號、服務項目、時間，以及顧客姓名／電話、預約備註等預約資訊；定金回報另含顧客提供之轉出帳號末五碼）推播至店家或該指定服務人員的 LINE。另於顧客本人自願完成「用 LINE 接收預約通知」綁定時，本服務透過該店家自有之 LINE 官方帳號，向該顧客推播其本人之預約通知（預約確認、預約申請回執、前一日提醒、改期、內容更新、未能成立）；此一路徑所處理之資料為顧客之 LINE 使用者識別碼（推播對象）與通知卡內容（店家名稱、服務項目、預約時間、指定服務人員姓名、預約狀態頁連結），不含顧客之姓名、電話、電子郵件或預約備註。顧客另行同意以 LINE 接收該店家優惠通知者，店家對其發出之優惠券亦經同一官方帳號以卡片推播，內容為店家名稱、折抵金額、適用服務、有效期限、店家自訂之招呼語，以及該店家預約頁之連結。另於顧客送出商品訂單時，本服務向已綁定 LINE 之店家傳送訂單編號、店家名稱、商品品項、數量與價格、小計，以及顧客姓名、電話與訂單備註（不含顧客電子郵件地址）；於顧客首次回報商品訂單定金時，本服務向已綁定 LINE 之店家傳送訂單編號、店家名稱、商品摘要、定金金額、轉出帳號末五碼與回報時間，供店家對帳。上述資料傳輸並由 LINE 平台於日本處理
Google（日曆同步，Google LLC 為美國公司）：僅於店家主動連結其 Google 帳號時，本服務透過 Google Calendar API 在該店家自己的 Google 帳號中建立一本名為「Pencil 預約」之獨立日曆，並將該店之預約寫入為行程，使店家能於自己的日曆上檢視排程。寫入內容包含：顧客姓名、服務項目名稱與時長／金額、預約時間、預約編號、店家自身之營業地址、一則須登入始能檢視之後台連結，以及該筆預約之指定服務人員姓名（僅於店家啟用「服務人員」功能且該預約有指定人員時）。本服務不會傳送顧客之電話、電子郵件或預約備註至 Google。本服務僅能存取其自行建立之上述日曆，無法讀取或修改店家原有之任何日曆或行程。資料傳輸並由 Google 於美國等地處理。店家於後台解除連結時，本服務即停止同步，並刪除所有已同步至該日曆之預約行程及所保存之授權憑證；清空後之「Pencil 預約」日曆本身將保留於店家 Google 帳號中，由店家自行決定是否刪除；該日曆屆時不再包含任何預約或顧客資料，惟其名稱含店家自訂之工作室名稱。行程數量較多時，移除作業於背景分批進行；完成後本服務即撤銷該 Google 帳號對本服務之授權（惟若同一 Google 帳號另有其他工作室仍在使用本功能，為避免影響該等工作室，本服務不予撤銷，僅停止本工作室之同步）。若撤銷當下 Google 無法連線，店家仍可於 Google 帳號安全性設定自行移除本服務之存取權。
另於顧客端，預約完成頁與預約確認信提供一個「加入 Google 行事曆」連結，供您將該筆預約加入自己的行事曆。該連結僅於您自行點擊時才會將內容送往 Google，所帶內容為店家名稱與服務項目、預約時間、店家營業地址、預約編號、該筆預約之服務明細（項目、時長與金額），以及您本人用以管理／取消該筆預約之連結；不含您的姓名、電話、電子郵件或預約備註。您不點擊即不會有任何資料傳送至 Google。店家端之預約通知信亦提供同一功能之連結，該連結之標題含顧客姓名，同樣僅於店家自行點擊時才會送出。此與前述店家主動連結 Google 日曆之同步功能為兩件不同之事。（請注意：若您改為逕自在 Google 帳號的安全性設定中移除本服務之存取權，將立即中止本服務的一切存取，但不會自動刪除已同步之行程，該等行程需由您自行於 Google 日曆刪除。）

為提供本服務所必要之範圍內，本服務可能將個人資料跨境傳輸至上述各服務供應商所在地（如各項所列之日本、美國等地）進行處理。我們僅傳輸服務運作所必要之最小資料量，不將您的個人資料出售或出租予任何第三方廣告業者。

此外，本服務採取合理之技術與管理措施保護您的個人資料，包括傳輸加密（HTTPS）、存取權限控管與多租戶資料隔離；然網際網路環境無法提供絕對安全保證。本服務就違反個資法致個人資料遭竊取、洩漏、竄改或其他侵害者，依個資法負損害賠償責任，但能證明其無故意或過失者，不在此限。如發生前述事故，本服務將依個資法及主管機關相關規定，於查明後儘速以適當方式通知當事人，並說明已採取之因應措施；依法應向主管機關通報者，依適用之通報範圍、方式與期限辦理。法令另有通知期限規定者，從其規定。

本服務未主動向未滿 18 歲之個人蒐集個人資料。若您為未成年人，請於法定代理人同意下始得使用本服務；若我們發現未經同意蒐集之未成年人資料，將於合理時間內刪除。

六之一、個人資料之揭露與第三人共用

本服務不會出售、出租、交換或以其他方式向第三方提供您的個人資料以牟利。延續前條所述，我們不將您的個人資料出售或出租予任何第三方廣告業者；除為提供本服務所必要而委託處理者（即第六條所載之服務供應商），或下列情形外，本服務不會將您的個人資料揭露予第三人。

僅於下列情形，本服務始於必要範圍內揭露或提供您的個人資料：

經您事前同意（以書面或電子方式為之）
為履行委託處理之必要，於必要最小範圍內提供予本政策第六條所載之服務供應商（資料處理者）
法律明文規定，或主管機關、司法或警察機關依法定程序要求
為免除您或他人生命、身體、自由或財產上之急迫危險
為因應法律程序、爭議處理，或為辨識、聯絡、防範及調查詐欺、濫用或違反條款之情事所必要
經店家（資料控制者）主動選擇將其預約資料同步至其自有之第三方帳戶時，於該同步所必要之最小範圍內提供（現行為 Google 日曆同步，詳第六條）。此類同步由店家自行決定是否啟用，店家並應就其對顧客資料之利用負資料控制者之責任；本服務僅傳送排程所必要之欄位，且不包含顧客之電話、電子郵件與預約備註。

前述揭露均以達成各該目的所必要之最小範圍為限，並於目的消失後依本政策第四條停止利用或刪除。

六之二、Cookie 與分析工具

為了解整體造訪量與來源，本服務於公開頁面（首頁與店家預約頁）使用「自行架設（self-hosted）」之網站流量分析工具 Umami，統計資料存放於本服務自行架設之伺服器。該工具「不設置 Cookie」。每次造訪所記錄之項目為：頁面路徑（不含查詢字串；預約成立、取消等路徑因含一次性識別碼，一律以樣板化形式記錄，例如「/@店家代號/cancel/[token]」，不記錄該識別碼之實際內容）、來源網址（站內來源同樣以樣板化形式記錄；站外來源如社群平台或搜尋引擎則記錄其網址）、瀏覽器與裝置類型、語言、螢幕尺寸，以及依 IP 位址推估之概略地區。

就前述統計，本服務「不」設置 Cookie、「不」記錄您於預約表單中填寫之姓名、電話或電子郵件、「不」將流量統計與預約資料相互串接，亦「不」傳送至 Google Analytics 或任何第三方分析服務。

蒐集目的為彙整整體流量與來源統計，作為平台營運分析及服務改善之用。前述統計資料由本服務自行架設之伺服器保管，「不」傳送至 Google Analytics 或其他第三方分析服務。

Pencil Pass（目前只提供受邀之測試者使用）使用下列 Cookie。四者均由本服務之伺服器設定、網頁上的程式無法讀取其內容，屬提供該功能所必要者，不用於廣告或跨網站追蹤：

通行 Cookie：記錄此瀏覽器曾開啟受邀之連結，據以開放 Pencil Pass 之頁面；效期 400 天；內容為該連結所含憑證之雜湊值，不含您的個人資料。
登入 Cookie：維持 Pencil Pass 之登入狀態；效期 365 天，登入是否仍有效另依一之二（四）之登入紀錄判斷；內容為一組隨機憑證，不含您的個人資料。
驗證流程 Cookie：於您申請驗證碼至完成驗證或設定密碼期間，記錄進行中之步驟；效期 15 分鐘；內容為您輸入之電子郵件地址、申請之時間與用途，及一組隨機值。
提示 Cookie：供下一個頁面顯示一次操作結果之提示；效期 30 秒；內容為提示之代號，部分提示另含一個時間。

七、聯絡方式

就個資法相關請求與本政策之任何疑問，請寄送至 support@pencilnow.app。本服務將於合理期間內回覆；就查詢、閱覽或製給複製本請求，於受理後 15 日內作成准駁決定；就補充、更正、停止蒐集／處理／利用或刪除請求，於受理後 30 日內作成准駁決定。必要時得依法延長，延長期間分別不得逾 15 日及 30 日，並以書面通知請求人原因。准許之請求應依法執行，不以已作成決定為由延宕處理。就查詢、請求閱覽或製給複製本，本服務得依法酌收必要成本費用；本項收費不適用於補充、更正、停止蒐集／處理／利用或刪除之請求。

附則、政策修訂

本政策之修訂將於本頁公告並更新「最後更新」日期；涉及個人資料使用目的之重大變更時，將於本頁以明顯方式標示，並依法完成必要之告知及取得適用之合法依據。

本政策可能隨法規或服務調整而更新，請定期查閱。本頁依《個人資料保護法》及相關法規撰寫。