BuddhaSide（一念寺）隱私政策

1. 適用範圍與產品邊界

本政策適用於「一念寺」iOS、Android 和同版本 Web 應用程式。目前 App 用於個人修持紀錄、離線經文閱讀、冥想、祈願和寺務意向留存，不代表任何寺院官方服務，也不承諾現實結果。

冥想、誦經、反思和修持統計旨在協助減壓、放鬆與保持專注，僅供文化學習和一般身心健康支援。BuddhaSide 並非醫療器材，不會診斷、治療、治癒或預防任何疾病，也不取代醫療或心理健康專業意見。如有醫療或心理健康疑慮，請諮詢合資格的醫療專業人員。

註冊和登入是可選功能。未登入時可以使用核心修持功能，相關紀錄預設儲存在目前裝置；iOS 使用者無需建立或登入 BuddhaSide 帳號即可購買、恢復和使用 Apple 訂閱。只有帳號雲端同步、雲端點燈等明確標示的帳號專屬功能需要登入。佛小寶只向年滿 18 歲、已登入並完成帳號層級的 18 歲或以上確認、實際存取地區位於當期支援地區，且符合下列任一會員條件的使用者開放：Apple App Store 或 Google Play 目前有效訂閱已由伺服器核驗並綁定到該帳號；或發佈者透過營運後台正式授予該帳號的贈送會員目前有效或為終身贈送，且未被撤銷。帳號內自行選擇的地區不單獨作為資格依據。一般免費帳號、僅有推薦獎勵天數或渠道活動獎勵天數的帳號、伺服器端試用或用戶端本機會員狀態均不符合佛小寶的會員條件。未滿足全部通用條件和至少一項會員條件時不可使用。回答可能有誤。發佈者已確認佛小寶目前綁定的 41 條知識資料已取得線下發佈授權，並僅在相應授權範圍內使用；引用或使用相關資料不代表任何作者、法師、宗教團體或寺院認可。

2. 本機處理的資料

當你主動使用相關功能時，App 可以在應用程式容器內儲存以下內容：

• 帳號資料、訂閱狀態和自動同步資料在裝置上的必要副本；
• 用於顯示的拜香、修持、私密祈願、代拜意向、居士等級與功德收支本機紀錄；登入後，其中適用的資料可與帳號同步；
• 佛小寶在目前每日計次週期內的問答正文與臨時會話識別碼；該紀錄按帳號隔離，只用於離開後返回查看；只有在伺服器臨時會話仍有效時才可繼續原脈絡，不隨帳號同步；
• 首頁禮敬選擇；個人新增的菩薩或寺廟、名稱，以及你主動拍攝或從相簿選擇並經本機裁切壓縮的相關照片；
• 你設定的每日修持提醒名稱、時間和啟停狀態；配對 Apple Watch 時，這些設定與念珠計數會透過 Apple 的 WatchConnectivity 在你的 iPhone 與 Apple Watch 之間同步；
• 介面狀態與完成時間等維持功能所需的本機設定。

核心 App 功能無需登入即可使用；未登入時，相關修持資料和首頁禮敬選擇儲存在目前裝置。你主動登入後，第 3 節列明的適用資料和首頁禮敬偏好會與帳號自動同步。首頁禮敬偏好包括 App 內建對象的內部目標識別碼（如適用），或選擇個人新增對象時表示「不含內建對象」的空值標記，以及修訂號和更新時間；這些資料僅用於同一帳號跨裝置還原選擇。個人新增的菩薩或寺廟、名稱、照片及其他個人素材有意限定為本機資料，不會由本 App 上傳到發佈者的雲端。帳號資料中的地區由你主動選擇，App 不會讀取 GPS 或推斷精確位置。為判斷佛小寶是否位於當期支援地區，網路邊緣還會根據請求網路位址得出兩位國家或地區代碼，並將簽名後的代碼交給帳號伺服器校驗；該代碼不是精確位置。這些地區資訊可能在商店資料安全揭露中作為大約位置資料。依據你的系統設定，應用程式容器資料也可能被 Apple 或裝置系統納入整機備份或轉移；此類系統服務由相應平台提供者控制。

3. 帳號與雲端處理

當你主動註冊或登入時，帳號伺服器會處理電子郵件、法名／暱稱、地區、電子郵件驗證狀態、帳號狀態、註冊與最近登入時間。你主動確認已年滿 18 歲時，伺服器還會儲存確認版本和確認時間，用於控制佛小寶存取；本 App 不會因此收集出生日期或身分證件。密碼僅用於產生不可逆的加鹽摘要，伺服器不儲存明文密碼；App 本機僅儲存可撤銷且有效期的階段令牌。

當符合上述條件的會員帳號主動使用佛小寶時，本輪問題、最近對話脈絡、伺服器角色指令、命中的候選知識摘要與生成結果會經發佈者的 Fo Agent 伺服器傳給 Google Gemini API。產品不顯示對話時長倒數，也沒有固定 3 分鐘對話上限。App 會按帳號隔離在本機保存目前每日計次週期內的問答正文與臨時會話識別碼，供你離開後返回查看；只有在伺服器臨時會話仍有效時才可繼續原脈絡。計次週期結束後在下一次 App 執行或開啟佛小寶時自動清除，且不隨帳號同步。發佈者的伺服器只在暫存記憶體中保留問答正文；連續 1 小時無活動後清理，每次成功傳回答案會重新起算這 1 小時，使用者主動結束時立即清理，不建立持久問答資料庫。服務會自動記錄不含問答正文的會話啟動、回答成功或安全降級、provider／模型／prompt／知識版本、檢索路由、候選 note 識別碼與數量、風險動作和收束輪次；只有你主動評價時，才另行記錄「有幫助」或「需改進」及所選原因。上述結構化服務紀錄不含自由文字。

選擇「透過 Apple 登入」或「透過 Google 登入」時，對應提供者會向 App 提供經簽署的身分令牌。伺服器會驗證令牌、受眾、有效期與隨機 nonce，並處理提供者使用者識別碼、經提供者驗證的電子郵件，以及你同意提供的暱稱；Apple 電子郵件可能是隱藏真實地址的私密轉送地址。伺服器儲存提供者與帳號的關聯，不會接收你的 Apple 或 Google 密碼。你也可以繼續使用電子郵件與密碼登入。

電子郵件驗證與找回密碼使用隨機、單次有效的安全連結。伺服器僅儲存連結令牌的 SHA-256 摘要：電子郵件驗證連結最長保留 24 小時，找回密碼連結最長保留 30 分鐘；使用、過期或重新傳送後不再有效。重設密碼會撤銷該帳號的舊登入階段。

登入後，App 會在你使用相關功能時自動同步帳號資料、訂閱版本、拜香資料、修持紀錄、祈願資料、代拜意向、居士等級與已獲得徽章，以及包含念珠／抄經計數和消耗紀錄的功德收支，無需另行點擊備份或同步。上述資料用於在你的裝置間復原和合併。登入後，首頁禮敬偏好也會同步：若你選擇 App 內建對象，伺服器儲存其內部目標識別碼、修訂號和更新時間；若你選擇個人新增對象，伺服器只儲存表示「不含內建對象」的空值標記、修訂號和更新時間。首頁禮敬偏好僅用於同一帳號跨裝置還原選擇；個人新增對象的名稱、照片或其他素材絕不上傳，繼續只儲存在目前裝置。未儲存的輸入草稿、密碼和商店憑證也不進入修持快照。並行更新採用修訂號檢測，並以紀錄識別碼、日期和不遞減計數合併，降低覆蓋另一裝置新紀錄的風險。

功德是 App 內的修持紀錄計量：每完成一顆念珠或抄經一個字各記錄 1 功德。成功儲存一次祈願時記錄消耗 108 功德；成功點亮一盞燈時記錄消耗 1000 功德。佛小寶每次成功傳回並通過伺服器結構校驗的回答消耗 108 功德；每個帳號每個 UTC 日最多成功問答 10 次。逾時、服務錯誤、無效回答或其他失敗不扣功德，也不佔成功次數。伺服器以操作 UUID 冪等記錄預留、成功扣減或釋放狀態；該持久帳本只包含帳號、操作識別碼、狀態、日期、金額和時間，不包含問題、回答或對話脈絡正文。祈願消耗由 App 在餘額足夠且祈願成功儲存後寫入固定類型和金額的紀錄，並隨修持快照自動同步；雲端只接受規定的收支類型和固定金額。點燈由伺服器依據雲端修持快照核驗可用功德，並在成功佔用燈位的同一交易中寫入 1000 功德消耗；點燈失敗或同一冪等請求重放不會重複扣除。功德僅用於本 App 的功能紀錄，不是貨幣、捐贈、寺院服務憑證或對現實功德的評價，不能兌換現金，也不承諾任何現實結果。

Apple 訂閱權益與使用者的 Apple ID 購買狀態關聯，不要求 BuddhaSide 帳號。你主動登入後，帳號專屬會員同步資訊和點燈紀錄可與帳號關聯。發佈者透過營運後台授予贈送會員時，伺服器會儲存贈送紀錄識別碼、獲贈帳號、會員方案、開始與到期時間或終身標記、目前狀態、贈送或終止原因，以及防止重複操作所需的請求與操作稽核欄位。這些資料僅用於授予、核驗、替換、到期或撤銷贈送會員，控制佛小寶等會員功能的存取，處理客服爭議，以及防止重複操作或濫用；贈送會員不會產生 Apple 或 Google 付款資料，並在帳號註銷時隨帳號關聯資料刪除。點燈燈池按你在帳號中選擇的國家或地區隔離，每個地區、每個道場提供 20 個同時有效燈位；更換地區後會進入新地區燈池。你填寫的點燈姓名和祈願正文只返回給紀錄所有者；同地區其他使用者只會看到固定的匿名稱謂「一位善信」，不會收到他人輸入的姓名或祈願正文。營運後台可查看帳號資料、訂閱、贈送會員、拜香、修持、祈願數量、代拜數量和等級的同步狀態與去識別彙總，但不讀取密碼、階段令牌、祈願正文、代拜正文、個人新增的菩薩或寺廟名稱、照片或其他個人素材。

為提供帳號、訂閱、雲端點燈和客服管理功能，並監測服務使用、安全和可靠性，發佈者可從帳號識別碼、訂閱狀態、應用程式內功能操作和必要技術識別碼產生第一方彙總營運指標。這些指標僅用於應用程式功能、帳號管理、欺詐防範、安全及彙總分析，不用於廣告、出售資料、跨應用程式追蹤或建立廣告畫像。營運後台不會將祈願正文用於分析。

當你領取、分享或在訂閱前使用推薦優惠碼時，伺服器會處理推薦活動與個人優惠碼、分享者和新訂閱者之間的推薦關係、優惠碼快照、兌換及資格狀態、所選國家或地區、商店驗單結果、雙方獎勵天數和有效期，以及退款、撤銷或疑似濫用觸發的人工複核狀態與必要稽核紀錄。這些資料僅用於核驗活動資格和成功人數、發放及維持會員獎勵、防止重複領取或互刷、處理爭議，以及財務核對和活動彙總；不用於廣告、出售資料或跨應用程式追蹤。

當你主動購買訂閱時，iOS App 使用 Apple StoreKit 2，Android App 使用 Google Play Billing 發起交易。iOS 不要求建立或登入 BuddhaSide 帳號；App 向 StoreKit 提交的是本機產生的隨機 UUID，不包含姓名、電子郵件或其他註冊資料。未登入時，App 直接依據 Apple 簽署且由 StoreKit 驗證的目前權益提供會員內容。你主動登入後，與目前帳號識別碼相符的 Apple 簽署交易及續訂 JWS 可交給 Core API，用於可選的帳號會員同步；伺服器不儲存原始 JWS，僅儲存其不可逆 SHA-256 摘要與必要的交易識別碼、商品、環境、購買／到期／撤銷時間和帳號關聯。無論是否登入，Apple 訂閱仍可透過 Apple ID 在 StoreKit 中購買、恢復和管理。Android App 會把 Google Play 返回的 purchase token 交給 Core API 驗單；伺服器使用 AES-256-GCM 加密儲存 token，並儲存不可逆 token 摘要、商品與方案、訂單、訂閱及確認狀態、起止時間、自動續訂、試用／測試標記和驗單時間。Google Play 的即時開發者通知（RTDN）用於在續訂、取消、退款或狀態變化後重新向 Google 查詢並更新權益。Apple 或 Google 處理商店帳號、付款方式、帳單、退款和訂閱交易；本應用程式不讀取或儲存你的銀行卡號、商店帳號密碼或完整付款資訊。

4. 系統權限

• 相機與相簿：僅在你新增個人菩薩（或寺廟）照片時使用。選擇「拍照」時 App 才會呼叫相機，選擇「從相簿選擇」時 App 才會呼叫系統相簿。照片在本機處理，不會由本 App 另存回系統相簿，也不會上傳給發佈者。
• 通知：僅在你新增或啟用「修持時間」時請求，用於在設定的每日時間顯示提醒並播放系統提示；Apple 可依據你的裝置與通知設定將提醒轉送到配對的 Apple Watch 並觸發腕上震動。
• 後台音訊：僅用於你主動開始的冥想、經文朗讀或禮佛音訊在鎖定畫面或切換到後台後繼續播放。
• 未使用的權限：目前版本不要求麥克風、精確定位、通訊錄、廣告追蹤或跨 App 追蹤權限。

你可以隨時在系統設定中撤回相機、相簿或通知權限；撤回後，相應的拍照、相簿選圖或每日提醒功能可能無法使用。

5. 網路存取與第三方服務

目前核心內容隨安裝套件提供，App 不整合廣告或第三方行為分析 SDK。註冊、登入、必要修持資料自動同步、會員權益和雲端點燈會存取發佈者設定的 Core API；Apple 或 Google 登入僅在你選擇時存取對應身分服務，並受其各自隱私政策約束。電子郵件驗證和找回密碼郵件由 Cloudflare Email Service 代為傳送，可能處理收件電子郵件、發件網域、郵件內容、傳送時間、投遞與退信狀態。第三方與郵件服務金鑰僅儲存在伺服器，不會進入 App。

佛小寶透過發佈者伺服器呼叫 Google Gemini API，由該第三方人工智慧服務處理本輪輸入、相關對話脈絡、命中的知識摘要和生成輸出。發佈者會依據所設定的服務層級、第三方適用條款和可用地區限定服務範圍，並關閉發佈者可控制的可選專案日誌與資料集共享。Google 仍可為安全與濫用監測處理並保留輸入、脈絡與輸出；被安全系統標記的內容可能由獲授權人員審核。請勿輸入姓名、聯絡方式、證件、病歷、財務帳號或其他可識別你或他人的隱私資料。

目前版本不部署簡訊登入或簡訊驗證碼。只有當你主動開啟寺院資料來源、地圖或搜尋等外部連結時，裝置才會存取相應外部網站或系統服務，對方可能依照其自身政策處理 IP 位址、裝置資訊或你提交的搜尋詞。

Apple App Store、Google Play、StoreKit、Play Billing、作業系統、整機備份和當機診斷等平台功能由相應平台獨立提供，不由本 App 控制。你可以透過 App 內「管理訂閱」或系統及商店帳號設定查看、變更或取消訂閱。

6. 保留、刪除與控制

佛小寶問答正文的本機副本按帳號隔離保留至目前每日計次週期結束，並在週期結束後的下一次 App 執行或開啟佛小寶時自動清除；該副本不隨帳號同步，登出、註銷帳號或清除本機紀錄時也會刪除。發佈者伺服器上的正文只存在於暫存記憶體中。產品不顯示對話時長倒數，也沒有固定 3 分鐘對話上限。伺服器連續 1 小時無活動後會清理正文；每次成功傳回答案會重新起算這 1 小時，使用者主動結束時立即清理；網路中斷後則在無活動期限屆滿時清理。此操作無法刪除 Google 為安全與濫用監測保留的資料。發佈者為佛小寶保存的不含正文結構化分析與評價紀錄最長保留 30 天；平台必要的無正文存取與錯誤日誌也按不超過 30 天設定。佛小寶功德帳本不包含問題、回答或對話脈絡正文，並隨帳號保留至帳號註銷時刪除。

• 本機修持、祈願與代拜紀錄會保留到你退出登入、在 App 內註銷帳號、在「我 → 設定&訂閱 → 隱私政策」中確認清除，或刪除 App；已登入帳號的雲端資料不會因「清除本機紀錄」自動刪除，並會在再次登入後按自動同步規則復原；
• 個人菩薩（或寺廟）照片可在「菩薩寺廟」中單獨刪除或替換；
• 首頁菩薩寺廟可以在「菩薩寺廟」中重新選擇；登入後，首頁禮敬偏好隨帳號儲存，其中只包含內建對象的內部目標識別碼（如適用）或「不含內建對象」的空值標記，以及修訂號和更新時間；個人新增對象的名稱、照片和其他素材仍只儲存在本機；
• 帳號會保留到你在「我 → 設定&訂閱 → 隱私政策」中二次確認註銷帳號；註銷會刪除帳號、Apple／Google 身分關聯、有效階段、已同步的修持資料、首頁禮敬同步偏好、會員權益關聯和該帳號的雲端點燈紀錄，並自動刪除本機修持、祈願與代拜紀錄；
• 帳號註銷後，推薦優惠碼、兌換和獎勵台帳中直接關聯該帳號的識別碼會被移除或設為空值。為保留另一參與方已取得的獎勵，並用於成功人數統計、財務核對、防止重複兌換或欺詐，以及處理退款、濫用和爭議，去識別化的優惠碼快照、活動、兌換、獎勵、人工複核和稽核紀錄可繼續保留；這些紀錄不用於行銷、恢復已註銷帳號的獎勵或重新關聯該帳號；
• 註銷應用程式帳號或刪除 App 不會自動取消商店訂閱；你需要在 Apple App Store 或 Google Play 的訂閱管理頁面單獨取消；
• 電子郵件驗證和找回密碼令牌會在使用、重新傳送或到期後失效，並隨帳號註銷一併刪除；
• 註銷會刪除 Google Play purchase token 密文、帳號關聯、商品／訂單／訂閱狀態和關聯 RTDN 紀錄。為防止已刪除帳號的購買 token 被重放、重新綁定或由延遲 RTDN 再次恢復，僅保留 purchase token 的不可逆 SHA-256 摘要、刪除時間、原因和清理期限；不會用於恢復權益或行銷。該摘要至少保留到註銷後 90 天，如訂閱到期時間更晚，則保留到到期後 60 天，兩者取較晚者，隨後清理；
• 註銷會移除 Apple 交易與 App 帳號的關聯和 App 帳號識別碼，但會保留去識別化的 Apple 交易防重放標記，包括交易識別碼、已簽署載荷的不可逆 SHA-256 摘要、商品、環境和購買／到期／撤銷／簽署狀態時間。原始 JWS 不保留。在該標記仍處於保留期內時，註銷後收到的已驗簽續訂、到期、退款或撤銷通知只會更新該標記，不會授予權益或重新關聯帳號。該標記保留到最近一次已驗簽簽署狀態時間與已記錄的購買、到期或撤銷時間中的最晚時間後 425 天，並由每月清理工作刪除；如適用法律要求更長保存，我們會按該要求處理。該標記不用於行銷或自動恢復權益；
• 註銷後仍有效的 Apple 訂閱不會自動關聯到新建 App 帳號。如準備繼續使用該訂閱，請在註銷前聯絡支援；註銷後也可聯絡支援申請人工核驗，但不保證能夠恢復關聯；
• 刪除 App 會移除其本機應用程式容器；系統備份中的副本按你的平台備份設定和平台政策處理。

退出登入或在 App 內註銷帳號時，本機修持、祈願與代拜紀錄會自動刪除；註銷還會刪除帳號中的首頁禮敬同步偏好，包括內部目標識別碼或空值標記、修訂號和更新時間。法名、地區、本機首頁禮敬選擇，以及個人新增對象的名稱、照片和其他素材會保留在目前裝置。

7. 安全與兒童隱私

App 對本機輸入實施長度、類型和容量限制；帳號服務使用加鹽密碼摘要、限流、電子郵件驗證、單次令牌、可撤銷階段和 HTTPS 傳輸。任何儲存與傳輸方式都無法保證絕對安全，請保護好裝置密碼、電子郵件和帳號密碼。

本 App 不以兒童為特定目標，也不會有意收集兒童的個人資料。除佛小寶外，監護人如允許未成年人使用其他功能，應共同審閱內容和系統權限。佛小寶明確只向年滿 18 歲的使用者開放；使用者必須在帳號中主動確認年齡資格，未滿 18 歲者不得使用。

8. 政策變更與聯絡

本應用程式的營運及發佈主體為 NOVASHOT SPORTS TECHNOLOGY LIMITED。功能或資料處理方式發生實質變化時，發佈主體會更新政策版本號和生效日期，並在必要時於 App 內提示。

如對隱私或資料控制有疑問，請傳送電子郵件至 support@buddhaside.com。發佈主體會在 Apple App Store 與 Google Play 商品頁持續提供本政策的公開 HTTPS 版本和有效支援入口。