問導遊 by GrainHour

隱私權政策

最後更新：2026 年 10 月 22 日

本次變更（2026 年 10 月 22 日）：Fermata 改名為 GrainHour，App 的英文名改為 WanderFella，聯絡信箱改為 support@grainhour.com（fermatalabs.co 的連結仍可使用）。為了新推出的問導遊 Pro（出國暢遊）和小費，新增第 13 點「購買與付款」，並配合更新第 1、7 點以及二、三、四、五各節。前一版日期為 2026 年 9 月 25 日。

本政策適用於 GrainHour（由 Ching-Han Lee 個人經營）開發的 iOS 應用程式「問導遊」（英文名 WanderFella），以下分別稱「我們」與「本 App」。我們的原則很簡單：只蒐集提供服務所必需的資訊，不販售您的個人資料。

本 App 包含多項功能：即時語音導覽、拍照讀牌與讀菜單（可分享電子菜單一起點餐）、雙向即時口譯、找廁所、借廁所、定位（走散時把位置分享給家人或導遊以便找人）、集合時間（跟團集合提醒）、導覽紀錄、每日免費次數用完時可以使用的加碼點數，問導遊 Pro（購買出國暢遊，可以自選開始時間、7 天或 30 天不限次數），以及可以留給我們的小費。不同功能會用到不同的資料與權限，以下逐項說明。

一、我們蒐集的資訊

1. 匿名識別碼

本 App 無需註冊。我們使用 Firebase 匿名驗證（Anonymous Authentication），不會要求、也不會取得您的姓名、電子郵件或任何聯絡資訊。Firebase 只會為您的安裝隨機產生一組匿名識別碼，我們用它來管理每日免費次數、保存您的加碼點數與出國暢遊、防止濫用，以及製作使用統計。本政策說資料「與您的匿名識別碼綁定」時，指的是與這組識別碼連結，而不是與您的姓名或真實身分連結。

2. 影像與語音（導覽與讀牌）

本 App 的核心功能是即時語音導覽：您拍攝的照片、長按錄影時的即時畫面、您從相簿挑選的照片、您說出的語音提問，以及您拍下要朗讀翻譯的招牌，會由您的裝置直接傳送至我們的第三方 AI 服務供應商（目前為 Google Gemini API）進行即時分析與語音回應。

• 導覽時的影像與語音不會儲存在我們的伺服器——我們的伺服器僅負責核發短效存取權杖，看不到、也不會經手您的照片或語音內容。例外是您主動送出的回饋回報（見第 9 點）與菜單（見第 4 點）。
• 影像與語音僅用於產生當下的回應，不用於廣告或行銷。
• 該供應商對資料的處理方式，受其自身的隱私權政策與 API 服務條款約束（目前適用 Google 隱私權政策）。
• 若您允許定位權限，導覽請求會附上您的 GPS 座標，讓解說更貼近您所在的地點。

3. 雙向即時口譯

翻譯功能會透過麥克風同時接收您與對方所說的話，即時口譯。

• 目前版本會把對話的聲音由您的裝置直接傳送至 OpenAI 的 API 進行即時口譯（部分較早的版本改用 Google Gemini API）。對話雙方的語音都會被處理。開始前，建議讓對方知道您正在使用即時口譯。
• 我們的伺服器只負責建立連線（連線資訊與使用的語言），並記錄這一段用了多久，以管理每日次數；語音不會傳到、也不會儲存在我們的伺服器。
• 為了在譯文旁加上實用的提示（例如把價格換算成您的幣別），那一句的原文與譯文、前一兩句，以及您所在的國家與幣別，會經由我們的伺服器送到 OpenAI。我們不保存這些文字，也要求 OpenAI 不要儲存（OpenAI 仍可能依其條款，為防止濫用而短期保留 API 資料）。
• OpenAI 對資料的處理方式，受 OpenAI 隱私權政策與其 API 資料承諾約束。
• 您的翻譯紀錄只存在您的手機上。

4. 菜單與一起點餐

• 當您拍下菜單（或從相簿挑選菜單照片）時，照片會上傳到我們的伺服器，由 Google Gemini API 處理成翻譯好的電子菜單。照片與電子菜單會儲存在我們的伺服器，並與您的匿名識別碼綁定，方便您再次打開。
• 若您分享菜單，拿到連結、6 位數短碼或 QR Code 的人都能查看並加點——包括沒有安裝 App、透過我們網頁參與的人。每個人輸入的顯示名稱與點的餐點，會和那份菜單一起儲存。為了在有人點餐時通知您，我們會儲存您裝置的推播代碼。
• 「幫我挑」：您輸入的偏好（例如過敏、不吃的食物）會經由我們的伺服器送到 Gemini 用來推薦菜色，不會儲存在我們的伺服器（只存在您的手機上）。
• 菜單會在建立 30 天後自動刪除（可以延長，最長為建立後 90 天）；您刪除資料時也會一併刪除。這指的是我們伺服器上用來分享與一起點餐的那一份；存在您手機上的菜單會一直留在您的手機，直到您自己刪除。

5. 找廁所與借廁所

• 找廁所：會把您目前的 GPS 座標，以及您的手機透過 Apple 地圖找到的附近店家（名稱、類別、品牌與位置），送到我們的伺服器，回傳附近的公廁與可能借得到廁所的地方（資料來自 OpenStreetMap 貢獻者、各地政府開放資料及其他公開來源）。座標僅用於該次查詢，不會與您的身分綁定。為了改進這個功能，我們會保留去識別化的使用紀錄——粗略的區域（約 1 公里）、顯示或點選了哪些地點，以及每天更換的代號——不與您的匿名識別碼綁定。
• 來自 Google 的資訊：地點卡片可能顯示來自 Google 地圖的資訊。這時您的裝置會直接把店名與周邊範圍送給 Google 查詢，Google 可能依 Google 隱私權政策蒐集裝置識別碼、位置等資訊。
• 廁所回報：當您回報某個地點借不借得到廁所時，回報會在不含您匿名識別碼的情況下儲存：地點（位置精確到約 10 公尺）、結果與時間。我們會用一組由您的識別碼單向推算出的代號，只用來避免同一天重複回報。回報會彙整起來，幫助其他人找廁所。回報可能讓您獲得加碼點數；點數會在幾個小時後才入帳，所以您的點數紀錄看不出是哪一筆回報換來的。
• 借廁所：由您的裝置就地透過 Apple 地圖查詢周邊店家，整批送到我們的伺服器比對「借廁所默契」資料庫後回傳指引；這些店家資料查完即用、不會儲存。借廁所溝通卡會透過麥克風接收店員的口頭回應、傳至 Gemini 協助理解，店員語音不會儲存。完成一次借廁所後，我們僅會保留一筆不含任何身分資訊的匿名統計（店家、結果與時間，座標粗略化到僅能辨識該店家）。

6. 查詢最新資訊

導覽過程中若需要查詢當前或最新資訊，AI 可能會用它自己寫的搜尋字串（而非您的原始對話）進行 Google 搜尋，再把查到的事實摘要融入導覽回答。

7. 使用紀錄與統計

• 每日使用次數：為了管理每日免費次數與合理使用上限、防止濫用，我們會記錄您每天使用各項功能的次數（儲存於 Google Firestore，與您的匿名識別碼綁定）。這些紀錄不包含您的照片或對話內容。
• 使用統計：為了了解各功能的使用情形與成本、訂出合理的上限，我們的伺服器會記錄使用了哪個功能、是在免費次數內還是用了點數、當時在國內還是國外、點數的獲得與使用、出國暢遊的購買、回復、開始與退款、口譯用了多久、評價、推薦碼結果、問卷填寫等事件。每筆紀錄與您的匿名識別碼綁定，並包含 App 版本、手機的地區設定與時區、您 App Store 帳號的國家，以及您所在的國家。所在的國家由您的手機依定位判斷，只送出國家代碼，不會送出精確位置。這些紀錄儲存在 Google Cloud（BigQuery，位於美國），最長保存 400 天。
• App 分析與當機回報：本 App 使用 Google Analytics for Firebase 與 Firebase Crashlytics。分析會記錄 App 內的操作事件（例如用了哪些畫面與按鈕），以您的匿名識別碼作為使用者 ID；當機回報用來修正錯誤。兩者都不包含您的照片、語音或對話內容。

8. 加碼點數、任務與推薦碼

• 您的點數餘額與紀錄（獲得與使用的點數、留給某個功能的點數，以及是否自動使用點數）會與您的匿名識別碼一起儲存。點數無法購買，也沒有現金價值。
• 任務：您可以透過填寫問卷（自由參加）、評價導覽或回報廁所來獲得點數。問卷答案（包括您輸入的簡短文字）會與您的匿名識別碼一起儲存；請不要在文字答案中填寫個人資料。
• 推薦碼：每個安裝都有一組推薦碼。當有人輸入您的推薦碼時，我們會記錄這兩個匿名帳號之間的關聯，用來發點數給你們雙方並防止濫用。同一個欄位也可以輸入親友碼，開通每天可用更多次的親友方案。
• 防止濫用：輸入推薦碼時，本 App 會使用 Apple 的 DeviceCheck，讓 Apple 替這支手機（僅限本 App）記住它是否已經用過推薦碼。我們不會取得裝置識別碼；刪除 App 後，Apple 仍會保留這項紀錄。推薦碼的使用紀錄即使在您刪除資料後，仍會為了防止濫用而保留。

9. 回饋回報與分享

• 當您主動為導覽評分（按讚或倒讚，可從清單選擇原因）時，該次導覽的照片與影像畫面、對話文字與位置會上傳給我們，用於改進服務品質。您的原始語音錄音不會被上傳——僅包含對話的文字紀錄。回饋回報與您的匿名識別碼綁定。若要收回評價，再點一次即可：那筆回報的照片、對話文字與位置會被刪除，因評價獲得的點數也會扣回。
• 當您在「設定 → 進階設定 → 意見回報」用說的回報意見時，手機會先把語音轉成文字，只把文字連同 App 版本、iOS 版本、手機型號與語言送給我們，並與您的匿名識別碼綁定。
• 當您按下「分享」製作分享卡時，該次導覽的對話文字會送到我們的伺服器即時產生金句，用後即拋、不予儲存。

10. 定位（走散時的位置分享）

「定位」讓您在走散時把位置分享給家人或導遊。我們只在您主動按下「分享我的位置」時才儲存位置資料，絕不在背景追蹤您。當您通報時，您的座標（以及在您選擇的情況下：人話地址、手機電量、一張或多張周遭照片、影片或錄音，以及自拍頭像）會儲存在一條隨機、不可猜的連結底下，讓拿到這條連結的人在地圖上看到您在哪。若您建立救援連結，您所選的聯絡方式（FaceTime、LINE 或電話）會與連結一起儲存，讓走散的人能聯絡到您。

這些資料是暫時的，且只與隨機連結綁定、不綁定您的身分：

• 走散救援連結：預設數小時、最長 48 小時後自動刪除；您關閉連結或離開時即清除。
• 導遊團追蹤連結：因跟團通常持續多日，保留期較長（預設約兩週、最長 45 天）；行程結束後封存，並於到期時刪除。

11. 集合時間（跟團集合提醒）

當您分享一個集合點或群組行程時，該集合地點的名稱、座標、集合時間與備註，會儲存在一條隨機連結（或一組 6 位數短碼）底下，供同行的人透過連結、短碼或 QR Code 訂閱、在地圖上查看，並在集合資訊變更時收到通知。當有人訂閱時，我們會儲存一個用於推播的裝置代碼與對方設定的顯示名稱。

• 這些資料會在您設定的期限（預設約一個月、最長 90 天）後自動刪除。
• 您個人建立但尚未分享的集合點只存在您的手機上，不會上傳。

12. 只存在您手機上的資料

• 導覽紀錄：您導覽時的照片、短片、對話文字與地點（包括座標）會存在您的手機上，方便您回顧，不會上傳給我們。其中的文字紀錄與小縮圖可能會包含在您的 iCloud 或裝置備份中；原尺寸的照片與影片不會。
• 存進相簿（選用）：開啟後，本 App 會把導覽的照片與影片存一份到您的相簿，只要求「加入照片」的權限。當您為導覽或菜單挑選照片時，系統的照片選擇器只會提供您選的那幾張，本 App 不會讀取相簿裡其他的照片。
• 您的設定、翻譯紀錄、「幫我挑」的偏好，以及看過哪些公告，也都只存在您的手機上。

13. 購買與付款

問導遊 Pro 讓您 7 天或 30 天不限次數使用，來自您購買的出國暢遊。您也可以留小費給我們，小費不會解鎖任何功能。這些都是自由選擇的（詳見使用條款）。

• 付款由 Apple 處理。出國暢遊與小費都透過 Apple 的 App 內購買付款，我們拿不到您的卡號或其他付款資料。
• 每一筆購買，我們會儲存交易編號、您買的是哪一種出國暢遊、購買時所用 App Store 帳號的國家、購買時間、您選的開始時間（以及之後的更改）、實際開始與到期的時間，以及 Apple 是否已經退款。這些資料與您的匿名識別碼綁定，不與您的姓名綁定；用途是提供出國暢遊、讓使用同一個 Apple ID 的其他 iPhone 能回復購買，以及處理退款。
• 購買時，本 App 會把一組由您的匿名識別碼推算出的代號交給 Apple；這組代號會隨購買紀錄回到我們這裡，讓我們能把這筆購買對應到您的安裝，例如在您來信詢問的時候。
• 在國內還是國外：我們會比對您所在的地方（手機依定位判斷出的國家代碼；沒有時，改用與手機時區相符的國家）和您的「家」（App Store 帳號的國家；讀不到時，改用手機的地區設定），判斷您是否在國外。這只用到國家代碼，不會用到您的精確位置。若您住在 App Store 帳號所屬國家以外的地方，可以來信請我們手動設定您的「家」；這項設定會與您的匿名識別碼一起儲存。
• 小費：每一筆小費，我們會儲存交易編號、哪一種小費、App Store 帳號的國家與時間，與您的匿名識別碼綁定，用來向 Apple 確認交易與處理退款。
• 與購買相關的操作（例如打開出國暢遊頁、購買、選擇或更改開始時間、回復購買、留小費、出國暢遊開始）會記進使用統計與 App 分析（見第 7 點）。
• 退款由 Apple 處理，您可以到 reportaproblem.apple.com 申請。Apple 退款後會通知我們，那張出國暢遊隨即失效。
• 即使您使用「刪除我的資料」，出國暢遊與小費的購買紀錄仍會保留，以免您付費買的出國暢遊消失（見「五、資料保存與刪除」）。

二、裝置權限

• 相機：用於拍攝您想了解的景物、菜單，或想朗讀翻譯的文字。未經您拍攝，App 不會擷取任何影像。
• 麥克風：用於接收您的語音提問與即時對話；在使用口譯或借廁所溝通卡時，也會接收對方或店員的語音。僅在相關功能使用時啟用。
• 定位：用於讓導覽貼近您所在的地點，提供找廁所、借廁所、集合時間與定位分享等功能，並判斷您所在的國家（只送出國家代碼），用於製作使用統計，以及判斷您是否在國外（出國暢遊）。採「使用 App 期間」權限，不會在背景持續追蹤。
• 語音辨識：用於在您的裝置上將語音轉為文字（即時字幕與語音回饋）。僅在本政策載明之處上傳轉換後的文字。
• 照片（僅加入）：只有在您開啟「存進相簿」時，用來把導覽的照片與影片存一份到您的相簿。
• 通知：用於定位（有人加入房間、留言，或救援連結即將到期的提醒）、集合時間（集合鬧鈴、集合點變更通知）與分享的菜單（有人點餐）。可隨時在 iOS 設定中關閉。

您可以隨時在 iOS「設定」中關閉上述權限，但相關功能將無法使用。

三、資訊的使用方式

我們僅將蒐集的資訊用於：

• 提供即時影像辨識、語音導覽、讀牌與讀菜單、一起點餐、口譯、找廁所、借廁所、走散找人與集合提醒等功能；
• 在您主動使用上述功能時，將必要的資料送至我們的伺服器與服務供應商以完成服務；
• 驗證請求、判斷您在國內或國外、管理每日免費次數與合理使用上限，並保存您的加碼點數；
• 提供出國暢遊、依您選的時間開始、回復購買、記錄小費，並處理 Apple 通知我們的退款；
• 維護服務安全、防止濫用（包括點數與推薦碼的濫用）；
• 了解各功能的使用情形與成本並改善服務（運用使用統計，以及您主動送出的回饋）；
• 在 App 內顯示公告，例如每日免費次數的調整。

我們不會販售、出租您的個人資料，不會將其用於廣告，也不會跨其他公司的 App 或網站追蹤您。

四、第三方服務

• Google Firebase（驗證、推播通知、App 分析、當機回報與 App 完整性檢查）—— Firebase 隱私權說明
• Google Cloud（我們的伺服器、資料庫與使用統計）—— Google 隱私權政策
• Google Gemini API（影像分析、語音導覽、讀牌與讀菜單、借廁所溝通卡，以及部分版本的翻譯）—— Google 隱私權政策
• OpenAI API（即時口譯與譯文提示）—— OpenAI 隱私權政策
• Google Maps Platform（廁所卡片上的地點資訊）—— Google 隱私權政策
• Apple（Apple 地圖：在您的手機上查詢附近店家；DeviceCheck：防止推薦碼被濫用；App Store：處理出國暢遊與小費的付款與退款）—— Apple 隱私權政策
• 公廁資料來源：OpenStreetMap 貢獻者、各地政府開放資料及其他公開來源（我們會在 App 內的「資料來源」處標示授權）。
• Cloudflare（代管我們的網站，包括分享菜單與救援連結的網頁）。

由於上述供應商在全球營運，您的資料可能於您所在國家或地區以外的伺服器處理（例如台灣與美國）。若我們更換或新增服務供應商，會在變更生效前更新本頁。

五、資料保存與刪除

• 每日使用次數、加碼點數與紀錄、問卷答案以及回饋回報，與您的匿名識別碼綁定，會在服務營運期間保存，直到您刪除資料為止；收回評價時，那筆回饋回報也會刪除。
• 菜單在建立 30 天後刪除（延長者最長 90 天），或在您刪除資料時刪除。存在您手機上的菜單會留到您自己刪除為止。
• 出國暢遊與小費的購買紀錄（見第 13 點）會在服務營運期間保存，讓您的出國暢遊持續有效、可以回復購買，也能處理退款。「刪除我的資料」不會刪除這些紀錄，因為那是您付費買的。
• 使用統計最長保存 400 天，之後自動刪除。App 分析依我們的 Google Analytics 保存設定保存。我們伺服器的技術紀錄（例如 IP 位址、時間與請求的網址——部分地圖請求的網址含座標）會保存約 30 天，用於資訊安全與除錯。
• 定位與集合時間的資料只與隨機連結綁定，並依上述期限自動刪除。
• 廁所回報與統計不與您的匿名識別碼綁定，會持續保存，讓大家看到的廁所資訊保持正確。
• 刪除我的資料：您可以隨時直接在 App 內刪除您的資料（設定 → 進階設定 → 刪除我的資料）。這會立即刪除您的回饋回報（含影像、對話文字與位置）、加碼點數與紀錄、問卷答案、您的推薦碼、您兌換過的親友碼與它開通的親友方案（名額會還回去，之後可以重新輸入同一組碼）、專屬額度設定、我們依您要求設定的「家」、您建立的菜單，以及只有您一人的定位房間（還有其他人在用的房間會依期限自行到期）。為了防止濫用，我們會保留：今日的使用次數（保留到今天結束）、您帳號的最低限度紀錄（例如首次使用時間、是否用過推薦碼、任務次數）以及推薦碼與親友碼的使用紀錄。出國暢遊與小費的紀錄也會保留，以免您付費買的權益消失。使用統計與 App 分析保存到期滿為止；匿名的廁所資料也會保留。您的匿名識別碼不會改變，所以可以繼續使用本 App。
• 您也可以來信要求查詢或刪除與您匿名識別碼綁定的資料；由於本 App 為匿名設計，除此之外我們通常無法辨識哪些資料屬於您。
• 刪除 App 不一定會移除匿名識別碼：iOS 可能把它保留在鑰匙圈中，在同一支手機重新安裝時可能會沿用。若要刪除與它綁定的資料，請使用「刪除我的資料」。

六、兒童隱私

本 App 並非以未滿 13 歲兒童為對象。若我們發現在未經家長同意的情況下蒐集了兒童的個人資訊，將會儘速刪除。

七、資料安全

所有網路傳輸均經過加密（HTTPS / WSS，口譯的即時語音也經過加密）。對 AI 服務的存取採用短效權杖機制，權杖具有使用次數與時效限制，以降低資料外洩風險。只有經授權的人員能透過內部工具查詢與匿名識別碼綁定的資料，且僅用於客服與防止濫用。

八、政策變更

我們可能不時更新本政策。重大變更時，會透過 App 內公告或本頁面通知您。更新後的政策自公布於本頁面時生效。

九、聯絡我們

若您對本政策或您的個人資料有任何疑問，歡迎來信：support@grainhour.com