隱私權政策

生效及最後更新：2026 年 10 月 21 日

本隱私權政策說明 Hangzhou Origin Gravigation Technology Co., Ltd（以下簡稱「營運方」）如何為 Erase app and web services、雲端處理 API 與支援頁面處理資訊。如有隱私權問題或請求，請發送郵件至 support@erasephoto.com。

1. Erase 處理的資訊

• 帳號與身份資訊：用於匿名帳號的 Supabase 使用者 UUID、匿名狀態、認證會話；如有設定，還包括顯示名稱、大頭貼、語言與 Pro 權益狀態。
• 使用者媒體與編輯輸入：照片、影片、影像尺寸與媒體類型，畫筆或套索軌跡、遮色片、選中區域和工具參數。本機「美化」和「加入水印」在裝置上完成；雲端工具會把必要媒體與編輯輸入發送至 Erase API 及對應 AI 處理商。
• 工作與結果：工作 UUID、帳號 UUID、工作類型、狀態、時間戳、處理商請求 ID、次數成本、錯誤或取消狀態、產生影像或影片、縮圖與私有儲存引用。返回 App 的結果連結是 1 小時後失效的簽名 URL。
• 購買與獎勵：Apple 與 Superwall 提供的商品和權益 ID，購買、續費、取消、到期、復原、交易與原始交易 ID；次數帳本；激勵廣告事件 UUID、廣告位 ID、發放來源與時間戳。
• 推送與裝置資訊：Expo 推送 token、平台、token 更新時間與歸一化後的語言偏好；診斷資訊附帶的 App 發佈版本中繼資料；Cloudflare 為傳輸與保護請求可能處理的 IP 地址、User-Agent 等網路資訊。為限制激勵廣告 fail-open 濫用，Erase 會在限流計數器中短期儲存 Cloudflare 可信客戶端 IP 的 SHA-256 指紋，而不儲存原始 IP。為執行每日獎勵廣告上限，App 會傳送裝置應用程式供應商識別碼（iOS）或 Android ID 的 SHA-256 雜湊；Erase 只在每日計數器中儲存該值與客戶端 IP 的加鹽雜湊，不儲存原始識別碼或 IP。
• 本地資料：認證會話、語言和偏好、次數/訂閱快取、每個已儲存編輯上下文最多 5 張歷史影像、繼續編輯所需的原圖/結果複本，以及臨時導出或下載檔案。它們會保留在裝置上，直到 App 或帳號資料被清理、操作系統清除臨時快取，或你刪除帳號。

2. 使用目的

我們使用這些資訊來認證使用者、執行所請求的編輯、建立並私密交付結果、展示作品、執行輸入/限流/次數/權益規則、處理取消與恰好一次退款、復原購買並同步訂閱狀態、發送所請求的完成通知、發放激勵廣告次數、防範欺詐/重播/濫用、診斷故障、響應支援和隱私權請求，以及遵守法律。

3. 處理商與資料去向

• Cloudflare 托管公開網站與 Worker API，轉發請求並提供網路和安全控制。
• Supabase 提供認證、Postgres 資料庫，以及存放帳號結果與縮圖的私有 uploads 儲存桶。
• PostHog 為產品與收入分析接收 seo:<uuid> 形式的假名化落地頁訪客 ID、落地頁路徑、$pageview 事件，以及歸因後的付費筆數與金額。
• FAL 為雲端檢測、移除物體/水印、移除背景、高畫質化、去 AI 化影像編輯及影片處理接收媒體，並在需要時接收遮色片或編輯指令。對於去 AI 化，Erase 會把原圖直接發送給 FAL，由 GPT Image 2 執行編輯。
• Erase GPU 伺服器（為 Erase 運行的伺服器）為雲端檢測、移除物體/水印、移除背景及高畫質化接收媒體，並在需要時接收遮色片或編輯指令，處理後將結果傳回 Erase API。
• OpenAI 在結果交付前接收每張雲端產生影像結果的縮小副本，用於自動安全檢查（色情內容與兒童安全訊號）。Erase 不會隨之傳送任何帳號識別資訊。根據 OpenAI 的 API 條款，這些資料不會用於訓練其模型。
• OpenRouter 僅在呼叫可選的 OpenRouter 文本產生 API 時接收文本提示詞及相關文本請求資料。去 AI 化不使用 OpenRouter，Erase 不會把源圖發送給 OpenRouter。
• Superwall 接收 Erase 帳號 UUID、付費牆 placement/上下文，以及購買或權益事件，用於展示付費牆、復原購買和同步 Pro 狀態。
• Apple 與 StoreKit 處理 App Store 購買、訂閱管理、復原與退款申請。營運方不會收到完整的支付卡資訊。
• Google AdMob 提供激勵廣告並處理廣告/裝置信號及廣告互動。為完成服務端獎勵驗證，Erase 會把一次性、不透明的獎勵會話 UUID 同時作為 user_id 與 custom_data 發送給 Google，不會發送穩定的 Supabase 帳號 UUID。Google 回傳廣告位數字後綴、獎勵值、回調時間、交易 ID、不透明會話值、簽名與驗簽 key ID；Erase 再由會話映射到帳號，校驗簽名和精確會話綁定，並紀錄交易/會話結果以防重複發放。只有在兩個條件同時成立時，Erase 才會向 AdMob 請求個性化廣告：Google 的同意流程允許個性化廣告，且在 上你在 App Tracking Transparency 彈窗中允許了跟蹤。其餘任何情況（包括尚未作答）都請求非個性化廣告。在 上，ATT 彈窗出現在首次激勵廣告播放前而非啓動時，之後每次播放廣告前都會重新讀取你的目前選擇；在適用 Google 同意流程的地區，其表單會先於 ATT 出現。
• Expo Push Service 接收推送 token 與通知承載資料，用於發送工作完成通知。

Sentry 診斷：Sentry 已啓用用於故障診斷。它會接收崩潰、錯誤、性能追蹤、僅標識組件名和源檔案且不含輸入內容的觸摸麵包屑，以及可能包含商品 ID 和錯誤資訊的購買流程麵包屑。服務端錯誤事件可能包含匿名 Supabase 使用者 UUID、請求路由和 Cloudflare cf-ray 請求 ID；行動裝置 Sentry 事件也會與同一個匿名 Supabase 使用者 UUID 關聯，並標記為匿名使用者分群。我們僅將這些資訊用於診斷可靠性及購買後權益未到賬等故障，不用於產品分析。

4. 出售、廣告與跟蹤選擇

我們不會出售使用者媒體或個人資訊，也不會用使用者媒體建立廣告畫像。激勵廣告是可選路徑：你可以使用初始次數、觀看一條激勵廣告增加 1 次，或購買 Pro。拒絕 ATT 權限不會移除核心編輯功能；Apple 與 AdMob 仍可能在無需跟蹤授權的範圍內處理有限的裝置、網路、防欺詐與情境廣告資訊。你可在 設定中更改跟蹤權限。

5. 保留期限

• 請求體、遮色片與軌跡：營運方在內存中處理，不會在請求結束後把它們作為獨立資料庫紀錄持久儲存。 例外：如果某次處理最終失敗，我們會將該次請求的輸入圖片和遮色片保留最多 7 天，僅用於排查故障和改進服務，到期後自動刪除；這些內容不會用於其他目的，也不會提供給處理該請求所必需的服務方之外的第三方。各處理商僅可能按自身服務條款保留其實際收到的請求資料：FAL 可能收到雲端編輯媒體；OpenRouter 只接收適用的可選文本產生請求資料，不接收去 AI 化原圖。
• 成功作品、產生媒體、縮圖與工作紀錄：儲存在私有 Supabase 儲存與帳號資料庫中，直至你刪除 Erase 帳號。Erase 不是永久備份，請保留原圖與導出複本。
• 簽名結果 URL：1 小時後失效；底層私有檔案會保留至帳號刪除。
• 提交前取消意圖：10 分鐘後清除。非影片影像工作處理超過 15 分鐘會失敗並退款；影片工作對賬在 1 小時處理截止時間後停止。
• 限流計數器：fail-open IP 哈希 scope 與請求計數屬於短期運維紀錄，由共享的過期限流清理刪除；這些紀錄不儲存原始 IP。
• 帳號、次數、訂閱、激勵廣告事件與推送 token：在 Erase 帳號存在期間保留。推送服務報告 token 已失效時會將其刪除。
• 帳號刪除復原狀態：僅在自動清理尚未完成時保留。調度工作會重試清理，並在私有檔案已刪除且 Supabase 身份確認不存在後刪除復原紀錄。
• Webhook 完整性紀錄：帳號刪除時會清空帳號標識與處理商承載資料；為防止重複處理及證明系統完整性，可能保留處理商事件 ID、事件類型、處理狀態、時間戳與錯誤狀態。
• Apple 購買紀錄與處理商複本：由 Apple 或相應處理商依據其法律義務和保留政策獨立保留。
• 因兒童安全被標記的結果：如果某個結果被標記為可能涉及對未成年人的性剝削，我們可能會在履行法定通報和保存義務所需的期間內保留該結果及相關帳號紀錄，即使帳號已刪除。

6. 安全與私有存取

雲端 API 需要 Supabase bearer token；工作按帳號 UUID 隔離；結果檔案存放在私有儲存桶，並透過短期簽名 URL 交付；服務密鑰只儲存在服務端。任何儲存或傳輸方式都不可能絕對安全，請勿上傳你無權發送給上述處理商的媒體。

7. 刪除與隱私權請求

在 Erase 設定中選擇「刪除帳號」，可刪除 Supabase 身份、帳號資料、作品與結果檔案、工作/次數/訂閱複本/激勵廣告紀錄、推送 token，以及該裝置上的編輯上下文；清理失敗會自動重試。刪除 Erase 不會取消 Apple 訂閱、刪除 Apple 交易歷史或發起 Apple 退款，請另行在 App Store 中管理。

你也可以發送郵件至 support@erasephoto.com，在適用時請求存取、更正、刪除、限制、反對或可攜帶複本。只需提供查找請求所必需的帳號電子郵件或匿名帳號 UUID；請勿發送使用者媒體、密碼或支付憑據。處理前我們可能需要核驗你對帳號的控制權。

8. 跨境處理、兒童與政策變更

上述處理商可能在你所在國家或地區之外處理資訊，相應傳輸適用其合同與法律保障。Erase 不面向低於其所在地可獨立同意資料處理最低年齡的兒童。如你認為兒童在沒有有效授權的情況下提交了資料，請聯繫我們。

因產品、處理商、保留規則或法律變化，我們可能更新本政策。重大變化會在此發佈新的生效日期，並在適當時透過 App 告知。

9. 聯繫方式

營運方：Hangzhou Origin Gravigation Technology Co., Ltd
電子郵件：support@erasephoto.com
支援：Erase 支援

使用電子郵件、Apple 或 Google 登入時，Erase 與 Supabase 處理已驗證身分、電子郵件（含 Apple 轉寄地址）、供應商識別碼及工作階段，以綁定帳號和同步網頁與 App 權益。啟用 AppSumo 時，Erase 與 AppSumo 交換授權憑證，保留授權識別碼、等級、狀態及最少事件紀錄，以驗證、綁定和撤回權益。刪除 Erase 帳號會清除有效授權綁定；最少授權和事件紀錄保留用於防詐騙及驗證後復原，不保留已刪除帳號身分。登入身分與授權憑證不會傳送至廣告分析。