How We Protect You

Core Commitments · 核心承諾

• Student personal records are private by default · 學生個人記錄預設僅本人可見。Teachers, administrators, and parents cannot access raw journal, mood, or food entries · 教師、管理員、家長均無法查閱原始日記、情緒或精神食糧內容。
• School administrators only see aggregate statistics for cohorts of 5 or more · 學校管理員僅能查閱五人以上群組的彙總統計，無法見到任何個人記錄。
• All administrator queries are automatically logged in an audit trail · 所有管理員查詢自動寫入審計日誌；schools may request an audit at any time · 學校可隨時申請審計報告。
• Data sovereignty · 數據主權：upon contract termination, schools may export all data with one click or request permanent deletion · 合約終止時，學校可一鍵匯出全部資料或要求永久刪除。
• Research datasets are de-identified after 6 months (all PII removed); IRB approval and student consent are required before any public release · 研究用資料集於六個月後自動去識別化（移除所有 PII），需經 IRB 審批及學生同意方可公開。

What We Collect · 我們收集的資料

• Account information · 帳戶資料: email, nickname, profile photo (optional) · 電郵、暱稱、個人頭像（選填）。
• Mental food data · 精神食糧資料: your fridge contents, assessment answers, food profiles, photos you voluntarily upload · 雪櫃內容、評估答案、食糧檔案、自願上載的相片。
• Daily journal entries · 每日記錄: mood, gratitude / setback / diary text, metadata from four mood input gestures · 心情、感恩/挫折/日記文字、四種情緒輸入的元數據。 Note: Voice Burn audio is never stored · 注意：Voice Burn 錄音絕不保存，30 秒後自動 burn，僅記錄能量分析數據。
• School affiliation · 學校關係: if you join a school, we record school_id, class_id, role · 若加入學校，將記錄 school_id、class_id、role。
• Usage telemetry · 使用統計: page views, deploy version. We do not use third-party tracking · 頁面瀏覽、部署版本。我們不使用第三方追蹤工具。

What We Never Do · 我們絕不做的事

• ❌ We never sell your data to any third party for marketing · 絕不出售您的資料予第三方作行銷用途。
• ❌ We never expose your personal records to teachers, parents, or school administrators · 絕不向教師、家長或學校管理員披露您的個人記錄。
• ❌ No facial recognition; we do not analyse voice content (only energy metrics) · 不進行面部識別；不分析語音內容（僅計算能量值）。
• ❌ We never use individual raw data for academic research without your specific consent · 絕不將個人原始資料用於學術研究（除非個別同意）。
• ❌ No cross-site tracking cookies · 不使用跨網站追蹤 Cookie。

Special Protection for Students and Minors · 學生及未成年人特別保障

• All users under 18 receive enhanced PDPO protection by default · 所有 18 歲以下用戶預設享有 PDPO 加強保護，including · 包括：
  • Parent portal disabled by default; requires student opt-in to enable · 家長入口預設關閉，須學生主動同意方可開放。
  • Invite codes expire within 1 year maximum and require manual renewal by school administrators · 邀請碼有效期最長一年，須由學校管理員手動續期。
  • School procurement requires a parental consent form template · 學校採購須附家長同意書範本。
• If parents need to query a specific student record (suspected risk), the following are required: student consent + admin audit-trail report + legal review (limited to crisis intervention) · 家長若需查詢個別學生記錄（懷疑有風險），須具備：學生同意 + 管理員提交審計報告 + 律師審核（僅限危機處理）。

Data Storage and Retention · 數據儲存及保存期

• All data stored on Supabase (Singapore region), with database row-level security enforced · 所有資料儲存於 Supabase（新加坡區），資料庫強制啟用 row-level security。
• Food photos stored in Supabase Storage; bucket RLS restricts you to modifying or deleting only your own sub-folder · 食糧相片儲於 Supabase Storage，bucket 設 RLS：僅可修改或刪除自己的 sub-folder。
• Account deletion: upon user request, all personal data deleted within 30 days; aggregate statistics will not include legacy data · 帳戶刪除：用戶要求後 30 日內刪除所有個人資料，彙總統計不包含舊資料。
• Contract termination: schools may choose to export or permanently delete all related data · 合約終止：學校可選擇匯出或永久刪除全部相關資料。

Third-Party Services · 第三方服務

• Supabase (database, auth, storage) — operated by Supabase Inc., hosted in Singapore · 由 Supabase Inc. 營運，主機位於新加坡。
• Vercel (hosting) — operated by Vercel Inc. · 由 Vercel Inc. 營運。
• Google OAuth (if you choose Google sign-in) — we receive only your email and name · 如使用 Google 登入，我們僅取得電郵及姓名。
• No other analytics or advertising trackers · 無其他分析或廣告追蹤工具。

Your Rights · 您的權利

• 📥 Export all your data at any time (CSV / JSON) · 隨時匯出您的全部資料。
• 🗑 Delete your journals, food entries, time capsules, or account at any time · 隨時刪除日記、食糧、時間囊或帳戶。
• 🔒 Opt out of academic research datasets at any time · 隨時退出學術研究資料集。
• 📝 Correct inaccurate data directly within the app · 於應用程式內直接修正錯誤資料。
• 📩 Request audit logs (which administrator queried your cohort and when) · 申請查閱審計日誌（哪位管理員何時查詢過您的群組）。

This policy may be updated. We will notify you by email of material changes. The last updated date is shown at the top of this page.
本政策可能更新。重大變動將以電郵通知。最後更新日期顯示於頁首。