隱私權政策
最後更新日期：2026 年 4 月
1. 我們是誰
PMC Baltic FZ-LLC（LICENCE NO: 45001684）（以下稱 「我們」）是負責您個人資料的資料控制者。
地址： SFFO0507 Compass Building, Al Shohada Road, AL Hamra Industrial Zone-FZ, Ras Al Khaimah, United Arab Emirates
電子郵件： hello@carnivdiet.com
2. 我們蒐集的資料
我們會蒐集下方資料清單表中所述的個人資料。這包括您直接提供的資訊，例如電子郵件地址與測驗回答；您使用我們服務時產生的資訊，例如行為分眾、漏斗事件及計畫進度；以及付款處理相關資訊，例如付款識別碼及訂單紀錄。
| 類別 | 欄位 | 目的 | 法律依據 | 保存期間 |
|---|---|---|---|---|
| 電子郵件地址 | 提供個人化測驗結果、建立帳戶、交易性電子郵件 | 同意，GDPR 第 6(1)(a) 條 | 有效帳戶：帳戶存續期間；未完成流程的工作階段：90 天 | |
| 健康相關測驗回答 | quiz_answers, JSONB | 產生個人化健康／身心健康建議 | 明確同意，GDPR 第 9(2)(a) 條，特殊類別資料 | 有效帳戶：帳戶存續期間；未完成流程的工作階段：90 天 |
| 行為分眾 | result_segment | 依測驗結果調整產品建議 | 正當利益，GDPR 第 6(1)(f) 條，或同意 | 有效帳戶：帳戶存續期間；未完成流程的工作階段：90 天 |
| 付款識別碼 | stripe_customer_id, default_payment_method, stripe_payment_intent_id | 處理付款、啟用一鍵加購、處理退款 | 履行契約，GDPR 第 6(1)(b) 條 | 7 年，稅務／會計義務 |
| 訂單紀錄 | amount_cents, currency, status, product_name | 履行購買、提供訂單收據、處理爭議 | 契約，GDPR 第 6(1)(b) 條，加上法律義務，GDPR 第 6(1)(c) 條 | 7 年，稅務／會計義務 |
| 計畫進度 | day_number, completion_status, language | 追蹤使用者的飲食計畫進度、恢復存取權，並驗證完成情況 | 履行契約，GDPR 第 6(1)(b) 條 | 帳戶存續期間 |
| OTP 登入嘗試 | email, ip_address, success, attempted_at | 安全監控、防止暴力破解 | 正當利益，GDPR 第 6(1)(f) 條，安全性 | 30 天 |
| 漏斗行為事件 | event_type, step_number, metadata | 分析、轉換率最佳化、流失偵測 | 同意，GDPR 第 6(1)(a) 條 | 未購買工作階段：90 天；已購買工作階段：2 年 |
| 權益資格 | product_slug, access_level, granted_at, expires_at | 授予並驗證已購買數位產品的存取權 | 履行契約，GDPR 第 6(1)(b) 條 | 帳戶存續期間 |
3. 處理目的
我們會基於以下目的處理您的個人資料：
測驗個人化： 根據您的回答產生量身打造的健康／身心健康建議
帳戶管理： 建立並維護您的使用者帳戶，以及追蹤您的產品權益資格
付款處理： 處理購買、管理訂閱，並處理退款或爭議
服務交付： 提供已購買數位內容的存取權，並追蹤您的計畫進度
分析與最佳化： 在取得您同意的情況下，了解使用者如何與我們的漏斗互動、找出流失點，並提升轉換率
再行銷： 在取得您同意的情況下，向未完成購買的使用者顯示相關廣告
安全性： 偵測並防止詐欺性登入嘗試及未經授權的存取
4. 處理的法律依據
我們依據 GDPR 第 6(1) 條下列法律依據處理資料：
同意，GDPR 第 6(1)(a) 條： 用於電子郵件蒐集、分析追蹤、行銷通訊及漏斗行為事件。您可以隨時撤回同意。
明確同意，GDPR 第 9(2)(a) 條： 用於處理健康相關測驗回答，即特殊類別資料。此同意會在測驗開始前另行取得。
履行契約，GDPR 第 6(1)(b) 條： 用於付款處理、訂單履行、帳戶管理、權益交付及計畫進度追蹤。
法律義務，GDPR 第 6(1)(c) 條： 用於依稅務及會計法律要求保存訂單及付款紀錄。
正當利益，GDPR 第 6(1)(f) 條： 用於安全監控、OTP 嘗試紀錄、詐欺防範，以及在不需要同意的情況下進行行為分眾。
5. 資料接收者
我們會與下方第三方處理者表中列出的第三方服務供應商分享您的個人資料。每個供應商均依資料處理協議（Data Processing Agreement, DPA）作為資料處理者，並僅依我們的指示處理資料。
我們不會將您的個人資料出售給任何第三方。
| 服務 | 角色 | 分享的資料 | 所在地 | 傳輸機制 |
|---|---|---|---|---|
| PostHog | 處理者 | 工作階段 ID、識別時的電子郵件地址、事件名稱、頁面 URL | 歐盟，eu.i.posthog.com | 歐盟資料駐留 |
| Google Tag Manager / Google Ads | 處理者／控制者 | 雜湊電子郵件、SHA-256、工作階段 ID、事件名稱、中繼資料 | 美國，Google LLC | EU-US Data Privacy Framework + SCCs |
| Stripe | 處理者 | 電子郵件、代幣化付款卡資料、金額、客戶 ID、中繼資料 | 美國，Stripe Inc. | EU-US Data Privacy Framework + SCCs |
| Vercel Analytics | 處理者 | 頁面 URL、Web Vitals、推薦來源、使用者代理 | 美國，Vercel Inc. | EU-US Data Privacy Framework + SCCs |
| Vercel Speed Insights | 處理者 | 頁面載入指標、連線類型 | 美國，Vercel Inc. | EU-US Data Privacy Framework + SCCs |
| Supabase | 處理者 | 所有資料庫內容、工作階段、訂單、事件、進度、驗證資料 | 視專案區域而定 | 視專案區域而定 |
| Meta Pixel | 處理者 | 雜湊電子郵件、SHA-256、工作階段 ID、頁面瀏覽、購買事件 | 美國，Meta Platforms, Inc. | EU-US Data Privacy Framework + SCCs |
| ActiveCampaign | 處理者 | 電子郵件地址、潛在客戶中繼資料、標籤、測驗完成狀態 | 美國，ActiveCampaign, LLC | 標準契約條款，SCCs |
6. 國際資料傳輸
我們的部分處理者位於美國。我們透過以下機制確保國際傳輸受到充分保護：
EU-US Data Privacy Framework： Stripe、Google 及 Vercel 已通過 EU-US DPF 認證，為資料傳輸提供適足性基礎。
標準契約條款，SCCs： 在適用情況下，我們使用歐盟執行委員會的標準契約條款作為額外保障。
歐盟資料駐留： PostHog 於歐盟境內的 eu.i.posthog.com 處理分析資料，因此不會發生國際傳輸。
Supabase： 傳輸機制取決於設定的專案區域。如需了解所使用特定區域的詳細資訊，請與我們聯絡。
7. 資料保存
我們僅會在本政策所述目的所需期間內保存您的個人資料。具體保存期間列於上方資料清單表。摘要如下：
未完成的測驗工作階段，未購買： 90 天，之後自動刪除
已購買工作階段及帳戶資料： 您的帳戶關係存續期間
訂單及付款紀錄： 7 年，稅務／會計法律義務
漏斗行為事件，未購買： 90 天
漏斗行為事件，已購買： 2 年
OTP 登入嘗試： 30 天
權益資格： 帳戶存續期間
8. 您依 GDPR 享有的權利
根據一般資料保護規則，您就您的個人資料享有以下權利：
查閱權，GDPR 第 15 條： 取得我們所持有關於您的個人資料副本
更正權，GDPR 第 16 條： 更正不正確或不完整的個人資料
刪除權，GDPR 第 17 條： 要求刪除您的個人資料，即「被遺忘權」
限制處理權，GDPR 第 18 條： 在特定情況下限制處理您的資料
資料可攜權，GDPR 第 20 條： 以結構化、機器可讀格式接收您的資料
反對權，GDPR 第 21 條： 反對基於正當利益或用於直接行銷的處理
撤回同意權，GDPR 第 7(3) 條： 隨時撤回您已給予的任何同意，且不影響撤回前基於同意所進行處理的合法性
提出申訴權，GDPR 第 77 條： 向您所在國家的資料保護主管機關提出申訴
9. 如何行使您的權利
若要行使上述任何權利，請透過 hello@carnivdiet.com 與我們聯絡。您也可以透過郵寄方式寄至 SFFO0507 Compass Building, Al Shohada Road, AL Hamra Industrial Zone-FZ, Ras Al Khaimah, United Arab Emirates 聯絡我們。
我們將在 30 天 內回覆您的請求。若您的請求較為複雜，或我們收到大量請求，我們可能會將此期間再延長 60 天，並會通知您任何此類延長。
在處理您的請求前，我們可能會要求您驗證身分，以確保您個人資料的安全。
行使您的權利不收取費用。然而，若請求明顯無根據或過度，我們可能會收取合理費用，或拒絕對該請求採取行動。
10. 監管機關
若您認為我們對您個人資料的處理違反 GDPR，您有權向監管機關提出申訴。您可以向您居住國、工作所在地，或涉嫌侵害發生地的資料保護機關提出申訴。
PMC Baltic FZ-LLC（LICENCE NO: 45001684）的主要監管機關為 United Arab Emirates Data Protection Authority。
11. 資料提供要求
提供您的個人資料部分屬於必要要求，部分屬於自願提供：
電子郵件地址： 為接收您的個人化測驗結果所必需。若未提供，我們無法向您提供建議。
測驗回答： 為產生您的個人化建議所必需。若未提供，服務將無法運作。
付款資料： 為購買產品所必需。此資料由 Stripe 處理；我們不會儲存您的完整卡片資料。
分析資料： 自願提供。您可以拒絕分析 Cookie，服務仍可完整運作。
行銷同意： 自願提供。即使您未選擇接收行銷通訊，仍可使用本服務。
12. 自動化決策與剖析
我們的測驗會使用自動化處理，根據您的回答產生個人化建議。這構成 GDPR 第 4(4) 條所稱的剖析。
運作方式： 我們會分析您的測驗回答，以判定行為分眾，例如飲食目標、身心健康偏好、營養習慣或生活型態相關需求。此分眾會用於推薦特定產品，並調整您在結果頁及優惠頁所看到的內容。
此自動化處理不會對您產生法律效力，亦不會以類似方式對您造成重大影響。該建議不會限制您存取任何服務，也不會就您的法律權利作出決定。
您有權取得人工介入、表達您的觀點，並透過 hello@carnivdiet.com 聯絡我們以對該建議提出異議。
相關政策
Cookie 政策，本服務所使用 Cookie 及本機儲存的詳細資訊
服務條款，規範服務使用的條款
聯絡我們，如何就隱私相關詢問與我們聯繫