重點

CardVault 只儲存一個家庭放進去的東西，不多也不少：帳號的電子郵件地址與密碼（只以雜湊形式保存）、收藏家的名字與表情符號、卡牌、願望清單、卡冊、牌組與主題收藏，以及掃描時拍下的照片。沒有廣告、沒有分析工具、沒有第三方追蹤程式。所有資料隨時都能從 app 裡匯出與刪除。

誰負責

本資料的控管者為 truck8.ai，地址 Pater Beckerstraat 21, 4731 AK Oudenbosch, 荷蘭，荷蘭商會登記編號 97413402。任何關於你資料的問題請寄到 hello@truck8ai.com；那也是資料保護負責人的信箱。

儲存的內容

帳號：一個電子郵件地址、只以雜湊形式保存的密碼、選擇的語言與設定，以及帳號所在的方案。

收藏家：每個檔案一個名字和一個表情符號。沒有電子郵件地址、沒有出生日期、沒有任何人的照片。

收藏：卡牌及其數量、狀況與版本，願望清單，卡冊與其頁面，牌組清單，主題收藏，徽章，你分享出去的連結，以及讓「復原」和價值紀錄得以運作的變更紀錄。

分享頁面：拿到你連結的人會看到收藏家的名字和表情符號，以及這個頁面講的卡牌——交換清單上是可以割愛的重複卡及其狀況和願望清單，附卡表上的價格；卡冊上是各個卡格裡的卡牌、系列卡冊裡空著的卡格，價格只有在連結的主人打開後才顯示。分享的願望清單上是收藏家的名字和表情符號、清單的名字以及清單上的卡牌，價格只有在連結的主人打開後才顯示；想要的卡牌上寫的備註不會離開 app。電子郵件地址、其他收藏家、收藏的價值都不會出現在分享頁面上；連結一關，頁面也就沒了。

掃描器：每張掃描卡牌的校正後照片，以及 app 從中判讀出的內容。

付款：金流服務商就訂閱或購買所送出的事件。其中絕不含卡號；app 從不會看到卡號。

伺服器：沒有記錄位址的存取紀錄。登入次數限制只在記憶體中依 IP 位址計算嘗試次數，十分鐘後便忘記；應用程式紀錄會記下每個請求的路徑、狀態與耗時，不含位址，並在每次發布新版本時丟棄。

掃描照片

一次掃描只保留卡牌本身經過裁切與校正的影像——不含桌面、不含房間、不含拿著卡的人。它存在是為了讓出錯的掃描能被理解與更正。夜間排程會刪除所有超過十四天的掃描照片。若某張照片是家庭用來教掃描器認一張卡的，或是被手動更正過，它會成為那張卡的參考影像，並保留到帳號被刪除為止。

我們為何可以儲存

這一切都是提供帳號持有人所要求之服務所必需：GDPR 第 6 條第 1 項 (b)，履行契約。沒有廣告，也沒有側寫。唯一以正當利益（第 6 條第 1 項 (f)）為依據的處理，就是維持服務運作與安全：上面說明的登入次數限制與應用程式紀錄。帳務紀錄之所以保存，是因為荷蘭稅法要求：第 6 條第 1 項 (c)，法律義務。

保存多久

直到帳號被刪除為止，有兩個例外：掃描照片如上所述在十四天後刪除，帳務紀錄則因稅法要求保存七年，並已切斷與帳號的連結。刪除帳號會一次刪掉其餘的一切——沒有等待期，也沒有存檔副本。伺服器備份保留十四天後輪替。

AI 功能，以及它們送出什麼

app 裡只有三件事會把資料送到 Anthropic PBC，其他都不會。

經過本地比對、系列符號與角落編號之後仍不確定的掃描：會送出卡牌校正後的照片，以便讀出名稱與編號。免費方案每天最多十次。

Family Plus 上用自己的話寫的主題收藏：你輸入的那句話。

Family Plus 牌組小幫手的「幫我組一副牌組」：牌組清單與它可以使用的卡牌名稱。

以上三者都不會帶上電子郵件地址、帳號名稱或檔案名稱。這些請求依 Anthropic 的商用 API 條款處理，不會用於模型訓練；CardVault 自己也不會用家庭的資料訓練任何東西。

還有誰會處理

歐盟境內的主機服務商：執行 app 的伺服器及其備份。

Stripe Payments Europe：在網頁上完成的付款與訂閱。

RevenueCat 與 Google：透過 Google Play 商店的購買。

Anthropic PBC：上述三種請求。

Resend：驗證信與密碼重設信。

以上皆為依資料處理合約行事的處理者，只會取得完成各自工作所需的部分。沒有其他接收方，也絕不會出售資料或交給廣告商。

你的權利

你隨時可以在設定 →「你的資料」看到並帶走全部：收藏與願望清單的 CSV、整個家庭的備份檔，或整個帳號的一份 JSON 檔。你可以在設定 →「帳號」→「刪除帳號」把一切刪除。

除此之外，你享有 GDPR 賦予的權利——查詢、更正、刪除、限制處理、可攜與反對——寫信到 hello@truck8ai.com 即可行使。若你認為資料處理有誤，也可以向荷蘭資料保護主管機關（Autoriteit Persoonsgegevens）提出申訴。

兒童

帳號持有人是成年人，代表整個家庭持有帳號。裡面的孩子是檔案，不是帳號：只有家庭選定的名字和表情符號，沒有電子郵件地址、沒有出生日期、沒有自己的登入方式，也沒有任何被聯絡到的途徑。沒有聊天、沒有動態，也不會和家庭以外的任何人有往來，因此無法透過這個 app 接觸到孩子。家長隨時可以更名或移除一個檔案。

Cookie 與追蹤

CardVault 不使用 cookie。瀏覽器的 localStorage 會保存登入狀態和你選的設定——語言、主題、價格來源——因為那正是讓你保持登入、讓 app 維持你離開時樣子的東西。不論在 app 或這個網站上，都沒有分析工具、沒有廣告聯播網、沒有指紋追蹤，也沒有第三方腳本。

移轉至歐盟境外

伺服器與其備份都在歐盟境內。有三家處理者位於美國：Anthropic PBC、Resend Inc. 與 RevenueCat Inc.；Google 也可能在當地處理 Play 的購買。這些移轉各自依據與該公司簽訂的資料處理合約中所載歐盟執行委員會的標準契約條款，或在該公司持有認證時，依據其依 EU-US Data Privacy Framework 取得的認證。送到它們那裡的，只有上面各段所說的內容：一張卡牌照片或一句輸入的文字、一個用來寄驗證信的電子郵件地址、一筆購買紀錄——絕不會是整份收藏。

本聲明的變更

若有重大變更，會在生效前以電子郵件通知帳號持有人，本頁上方的日期也會更新。具有拘束力的是英文原文；十種翻譯僅為方便閱讀。