本頁內容
本政策說明 PadRemote AI 官網、行動 App、電腦端 Host、連線協調服務與帳號服務如何處理你的資料，以及你可以如何管理、刪除資料及聯絡我們。
1. 營運者與聯絡方式
PadRemote AI 由 牛奶股份有限公司（統一編號 53535550，以下稱「我們」）提供。隱私問題、資料查詢、更正或刪除請求，請寄至 Brian@sakilu.com。
本政策更新及生效日期：2026 年 10 月 14 日。適用於本官網、PadRemote AI App、Host，以及我們提供的協調、通知與帳號服務；你自行使用的 AI、Git 遠端與其他外部服務另依各服務商政策處理資料。
2. 處理目的與資料來源
我們為提供帳號登入、訂閱與使用權確認、遠端開發、配對連線、檔案與終端機操作、選用的語音和通知功能，以及維護安全、防止濫用、排除故障與回覆你的請求，處理下列資料。資料來自你輸入或選取的內容、你的裝置與 Host、你選用的登入服務與 App 商店，以及建立連線所需的網路資訊。
手機與平板 App 須登入 PadRemote AI 帳號才能連線（見第 4 節）；桌面版與網頁版 App 不需要帳號。目前產品與官網沒有廣告、廣告識別碼追蹤或出售個人資料的功能。資料處理依提供你所要求服務的必要性、你啟用選用功能時的選擇，以及適用法律允許或要求的範圍進行。
3. 專案、檔案與 AI 工具
專案路徑、檔案、Git 差異、終端機輸入輸出及附件，在 App 與你自己的 Host 之間透過加密 WebRTC 連線傳輸，優先直連。直連無法建立時，App 會自動改經協調服務的 TURN 中繼轉送；中繼只轉送端對端加密（DTLS）的資料，無法解密，也不保存這些專案內容。檔案、Git 儲存庫與 AI CLI 歷史仍可能保存在你的開發電腦。
你送出 AI 指令或讓 AI 讀取檔案時，電腦上已登入的 AI 工具會依其設定，把輸入、檔案或必要上下文交給所選供應商。供應商的保存、訓練用途及刪除方式取決於你的帳號、方案與該服務政策；加密直連不會阻止你選用的 AI 工具向其服務商傳送資料。
上傳的附件保存在專案的附件庫，直到你刪除。刪除附件庫中的檔案，不會自動刪除你另存、送交 AI 或備份的副本。終端機和 AI 程序使用開發電腦登入帳號的權限；專案檔案存取限制不等於 shell 沙箱。
4. 帳號、訂閱、配對與本機狀態
帳號與登入：帳號以 Email 識別，可用 Email 驗證碼、「使用 Apple 登入」（iOS）或「使用 Google 登入」登入。Email 與登入資料由 Amazon Cognito 保存，驗證碼信件經 Amazon SES 寄出。使用 Apple 或 Google 登入時，我們驗證該服務簽發的身分權杖，只取用其中已驗證的 Email 來對應帳號，不另外保存權杖；選擇 Apple「隱藏我的電子郵件」時，收到的是 Apple 的轉寄地址，會成為另一個帳號。App 在裝置的安全儲存保存登入狀態；使用 Apple 登入時也保存 Apple 提供的使用者識別碼，供刪除帳號時處理 Apple 授權。
裝置與連線許可：每個帳號最多登記 5 台手機／平板。帳號資料庫保存帳號的隨機識別碼、裝置公鑰、平台與裝置類型名稱，以及由裝置識別碼加上帳號專屬隨機值計算的雜湊值（不保存原始裝置識別碼），用於核發連線許可、限制裝置數量與防止濫用。每次連線前，App 向帳號服務取得短期連線許可，Host 以此確認帳號有使用權，並區隔不同帳號的終端機；許可紀錄包含帳號與裝置識別碼及核發時間，不含專案、檔案或終端機內容。
訂閱與購買：訂閱透過 App Store 或 Google Play 付款，我們不會取得你的付款卡號或商店帳號密碼。購買時，App 附上帳號專屬的隨機代號，讓商店交易能對應到帳號。商店確認購買後，我們向 Apple 或 Google 查證，並保存交易識別碼、方案、試用與自動續訂狀態、到期時間，以及退款、取消等商店事件，用來判斷使用權。我們也可能給予特定帳號免費使用權（例如商店審查或親友），並保存給予原因與期間。
協調與 STUN 服務會處理 Host 公鑰／連線代碼、來源 IP、網路候選位址與連線狀態，供配對、尋找直連路徑、限流與防止濫用。配對密碼由 Host 驗證，協調服務不取得明文密碼、Host 身份私鑰或你的 AI 登入憑證。QR code 含連線代碼，不含配對密碼。
若勾選記住連線，App 使用作業系統安全儲存保存 Host 位址及密碼；你可在連線頁忘記憑證。語言、工作空間狀態、編輯／提示草稿、常用指令與使用次數存於裝置本機。這些本機資料不會因忘記連線而全部刪除，也不會自動傳至協調服務。
5. 相機、錄音與語音辨識
相機權限用於掃描連線 QR code，掃描影像在裝置上處理，PadRemote AI 不保存或上傳該影像。你可以拒絕相機權限並手動輸入代碼。Android 掃碼使用 Google ML Kit；其 SDK 會向 Google 傳送安裝識別碼、裝置／App 資訊及效能、使用與錯誤診斷。iOS 掃碼使用 Apple Vision，不應把 Android 的 SDK 資料行為視為 iOS 的行為。詳見 Google ML Kit 資料揭露。
只有你在 App 按下麥克風開始語音輸入時才錄音；拒絕麥克風權限仍可使用文字輸入。語音輸入需要有效的 PadRemote AI 訂閱（含 7 天免費試用）。錄音在 App 內以應用層端對端加密，直接串流到我們自行營運、位於台灣台北的語音辨識伺服器，不經過你的 Host。傳輸途中會經過 Cloudflare 網路，Cloudflare 只看得到加密後的資料，無法解讀錄音內容。伺服器會確認你的帳號使用權，並處理連線所需的 IP 等網路資訊。
伺服器在記憶體中辨識並校正文字，辨識完成後立即刪除音訊：錄音不寫入磁碟、不保存，也不用於訓練模型。辨識文字回傳到你的裝置，伺服器不保留。文字會先顯示在 App 的「確認語音輸入」畫面，由你修改後選擇「只貼上」或「送出」；進入終端機後，就和你輸入的其他文字一樣，由電腦上的終端機與 AI 工具處理（見第 3 節）。
6. 通知與推播
完成通知預設關閉。你啟用通知且平台支援時，App 會取得 Apple APNs 或 Google FCM 推播 token，交給 Host 保存。前景通知在裝置本機顯示；背景推播由 Host 經協調服務轉交 Apple 或 Google。
背景推播包含裝置 token、通知標題、專案名稱、AI 工具名稱與專案代號，不含終端機完整輸出、檔案或指令。協調服務為遞送處理這些資料，不建立推播內容歷史庫。第三方推播服務仍依其政策處理資料。你可在 App 設定關閉通知；Host 撤銷連線或清除設定也會清除其保存的推播 token。敏感的專案名稱可能出現在系統通知，請自行管理鎖定畫面預覽。
7. 診斷、官網與下載
App 與 Host 的本機診斷記錄包含版本、時間、連線／程序事件、錯誤代碼及效能計數，供你排查問題；不以保存密碼、檔案內容或終端機全文為目的，也不自動上傳給我們。你可以查看、匯出或清除；若你將匯出檔寄給我們，該副本會用於處理你的支援請求。
問題回報與連線診斷回報只在你按下「送出」後才會傳送。內容包含你填寫的說明、你選取的截圖或檔案、選填的聯絡信箱、App 版本、平台與語言、連線診斷文字（IP 位址已遮蔽），以及（若保持勾選）本機診斷日誌；不含密碼與終端機內容。協調服務僅轉寄電子郵件給發行者、不保存，發行者只用於處理該則回報。
官網使用瀏覽器 localStorage 記住語言選擇，未加入第三方分析或廣告程式。清除本站儲存空間即可移除語言設定。網站與連線基礎設施仍可能處理 IP、請求時間、網址、瀏覽器／網路資訊及安全或錯誤記錄。
Host 更新查詢與安裝檔、App 斜線指令清單使用 GitHub。這些請求不需要傳送專案內容，但下載服務可見 IP 及一般 HTTP 標頭。
連線服務日誌實際記錄什麼？
正式機保留的是服務運作日誌，不是使用者操作或逐次配對歷史。2026 年 9 月 27 日查核目前保留的近期日誌，內容為：
- 協調程式：服務版本、啟動時的運作模式（例如僅直連），以及啟動或執行失敗的錯誤訊息。程式沒有逐筆寫入配對成功、Host 代碼或配對雙方的歷史紀錄。
- HTTPS／STUN 元件：日誌時間、訊息等級、服務元件、伺服器監聽位址／連接埠、支援的協定、STUN 能力提示，以及 HTTPS 憑證到期與更新排程。此次查核未見使用者 IP 或逐次配對紀錄；日誌中出現的 IPv4 為伺服器監聽設定
0.0.0.0。正式機未啟用逐筆 HTTP 存取日誌，但元件遇到異常時仍可能輸出網路錯誤診斷，不能把這次樣本解讀成任何情況都不會產生日誌。 - 不屬於日誌的暫存狀態：IP、Host 公鑰／代碼、配對與限流狀態會在記憶體中供建立連線使用；處理這些資訊不等於將它們全部寫入日誌或建立使用者資料庫。
這些日誌不記錄透過 P2P 傳輸的專案檔案、Git 內容、終端機指令／輸出或 AI 對話，無法用來還原你的工作內容。
8. 資料在哪裡保存、由誰刪除
下列憑證、診斷、專案與附件的保存期限，是你自己的 App 或 Host 的本機行為，不是我們伺服器保存的資料。我們的伺服器保存兩類資料：連線服務日誌，以及帳號與訂閱紀錄（見第 4 節）；兩者都不含你的專案、檔案、Git、終端機或 AI 對話內容。語音辨識伺服器只在記憶體中處理錄音，辨識後立即刪除，不保存錄音或辨識文字（見第 5 節）。若你另外寄信聯絡我們，我們也會收到你主動提供的信件內容；這不代表我們能存取你的裝置或專案。
- App／Host 本機診斷：各自以 7 天、10 MB 為清理上限，在程式執行時輪替；可手動清除。已匯出的副本需另行刪除。
- 本機憑證、偏好與草稿：保存至你使用相應清除功能或刪除相關裝置資料。安全儲存與系統備份的保存方式依平台而異，請先使用「忘記憑證」，不要只依賴解除安裝。
- 專案、附件與 AI 歷史：由你及所選 AI／備份服務管理；解除安裝 App 或撤銷配對不會自動刪除開發電腦上的內容。
- 協調服務：活躍連線與限流資料在記憶體中，隨斷線、逾時或服務重啟清除；這與基礎設施日誌不同。
- 正式機服務日誌：使用容量輪替，每個日誌檔上限 10 MB、最多 3 檔；達輪替上限時淘汰舊檔。這是容量限制，不是固定幾天刪除，也不代表有保存使用者的連線或工作歷史。
- 帳號與登入資料：Email 與登入資料保存在 Amazon Cognito，直到你刪除帳號。
- 刪除帳號：你可以在 App「設定」中刪除帳號。刪除後，App 隨即刪除 Cognito 中的 Email 與登入資料（若因網路中斷未完成，可寄信請我們刪除）；帳號資料庫中的帳號標記為已刪除，裝置撤銷並清除裝置名稱，免費使用權撤銷，登入身分的對應刪除，商店購買紀錄解除與該帳號的關聯，之後可在新帳號回復購買。之後再登入會建立新的帳號。
- 刪除帳號後保留的紀錄：不含 Email 的交易、帳務、連線許可與稽核紀錄，依帳務、稅務、防止詐欺及法定留存需要保存，不再需要時刪除或去識別化。刪除帳號不會取消 App Store 或 Google Play 的訂閱，請到商店取消。
- 你主動寄送的聯絡資料及其他基礎設施日誌：依維持服務、安全調查、問題處理及法定留存需要保存；不再需要時刪除或去識別化。不同基礎設施與服務商的日誌輪替、備份機制不同，本政策不承諾所有伺服器日誌均於相同固定天數內刪除。你可以聯絡我們查詢適用於你請求的資料類別及保存情況。
9. 接收對象與跨境處理
網站、協調服務與帳號服務使用 AWS；網站透過 CloudFront 分送，帳號、訂閱資料庫與登入服務位於 AWS 東京區域（ap-northeast-1）。語音辨識伺服器由我們自行營運，位於台灣台北；語音連線經 Cloudflare 網路轉送，Cloudflare 只能看到加密資料。依你使用的功能，資料亦可能由 Google（ML Kit／FCM／Google 登入／Google Play）、Apple（APNs／使用 Apple 登入／App Store）、GitHub、Cloudflare，以及你選擇的 AI 供應商處理。網路與服務商基礎設施可能位於你所在國家／地區以外；本機專案內容不會僅因使用 AWS 託管就自動上傳到 AWS。
我們僅為上述服務目的、處理你的請求，或在法律要求及保障服務安全所必要的範圍內提供資料，不將個人資料出售給廣告商。第三方各自的處理方式請參閱 AWS、Google、Apple、GitHub、Cloudflare 的隱私政策，以及你選用 AI 服務的政策。
10. 你的選擇與權利
你可拒絕相機或麥克風權限、停用通知、忘記連線憑證、在 Host 撤銷配對、管理附件，或清除本機診斷。拒絕非必要功能不影響其他可用功能；若不提供配對與網路連線所需資訊，則無法使用遠端連線服務。
就我們實際持有的連線日誌、帳號與訂閱紀錄，以及你主動寄來的聯絡資料，依適用法律，你可請求查詢或閱覽、取得複本、補充或更正、停止蒐集／處理／利用，以及刪除個人資料；基於同意的處理可撤回同意。請寄信至 Brian@sakilu.com，說明請求類型、帳號 Email、使用的平台與約略時間。我們會在必要範圍內確認身分並依適用法律處理；若有法定保留理由或資料不在我們控制範圍，會說明限制。
請勿寄送配對密碼、私鑰、AI 登入資訊或完整專案。僅存在你裝置／Host 的資料須由你在本機管理；第三方獨立持有的資料可能需向該服務商提出請求。你可以隨時在 App「設定」中自行刪除帳號（見第 8 節）；無法使用 App 時，也可以寄信請我們處理。
11. 安全、兒童與政策更新
我們使用加密傳輸、配對驗證及存取控制降低風險；你仍需保護裝置、Host 密碼、開發電腦帳號與 AI 憑證。任何網路或儲存系統均無法保證絕對安全。
本產品是開發工具，並非以兒童為對象。我們不保存使用者的年齡或兒童身分資料，也無法查看或代為刪除使用者裝置、Host 或 AI 服務中的內容。若隱私疑慮涉及我們持有的連線日誌、帳號與訂閱紀錄，或使用者主動寄給我們的聯絡資料，可透過上述信箱提出；我們僅能查核實際持有且可辨識的資料，並依適用法律處理。裝置與 Host 內的資料應由使用者或監護人在本機管理，第三方服務資料則需向該服務商提出請求。
功能、供應商或資料處理方式改變時，我們會更新本頁及日期；重大變更會透過官網或產品內適當方式通知，依法需要時另行取得同意。