🍜
港味 隱私政策
香港《個人資料（私隱）條例》（PDPO）合規版本
V14.1 第 9-10 章
本政策說明 港味（資料控制者：2 Good Bakery）如何依香港《個人資料（私隱）條例》（PDPO）收集、使用、保留及保護你的個人資料。港味 是結合 2D 地圖與 3D 環境重建的香港餐飲評價平台，提供餐廳 3D 視覺化探索、真實評價與家長同遊導航。
最後更新：2026-10-07。如本政策與其他語言版本有歧義，以繁體中文（香港）版本為準。
一、我們收集甚麼資料（DPP1 目的及方式）
我們只為訂明目的，以合法、公平及具透明度的方式收集個人資料：
- 帳戶與實名認證：註冊、實名認證（香港用戶經「智方便」即時驗證；外地用戶經回鄉證、護照或信用卡等替代方案）。我們僅儲存「已驗證」標記與法定姓名，敏感資料交第三方持牌機構處理，並於 7 日內銷毀。
- 評論與互動：你發布的評論、打卡、讚好、3D 探索與約飯記錄。
- 3D 眾包採集：你上傳用於建立 3D 模型的照片／影片幀；採集前會單獨徵求同意，並提示圖像可能包含他人，將自動進行人臉模糊。
- 餐牌 OCR（AI 自動讀取）：商戶上載的餐牌照片，會經本機 AI 推理服務自動抽取菜單項目、價格與描述以預填資料；原始餐牌圖不落盤，僅儲存抽取出的文字，並對圖中偶然出現的文字類個人資料作遮罩處理。上傳前於裝置端先對人臉做模糊（見「二、資料安全」之人臉模糊）。
- 位置服務：2D 地圖的「約略」位置（預設 ±1km），精確位置須經你二次確認。
- AI 推薦（美食 DNA）：基於你的評分與瀏覽行為生成個人化推薦，可隨時關閉退回非個人化體驗。
✅ 雲端 API 不儲存任何可識別個人資料（PII）；使用者帳戶不上雲，評論與帳戶資料存放於受控資料庫並全程 TLS 1.3 加密。
二、資料安全（DPP2 保密及安全）
- 靜態加密：資料庫、快取、向量庫、3D 模型檔案、備份與日誌全面採用 AES-256 加密。
- 傳輸加密：對外通訊強制 TLS 1.3；內部服務間以加密通道保護。
- 存取控管：角色權限（RBAC）＋ 雙重認證（2FA）；金鑰僅授權人員可存取，並定期輪換（AES 90 日、JWT 30 日、API Key 180 日、DB 憑證 90 日）。
- 日誌脫敏：姓名、電話、電郵、證件、密碼於日誌中全數脫敏；稽核日誌 append-only 並以雜湊鏈防篡改。
- 人臉模糊（所有上載照片）：除 3D 採集外，商戶上載的餐牌、門面、室內照片於上傳前均會於裝置端以 MediaPipe ＋ OpenCV 雙層模糊（高斯半徑 ≥15、馬賽克 ≥10×10）處理人臉；伺服器端另設一道不可略過的人臉覆核閘。原始相片永不儲存，僅保留去識別後的影像。
三、資料使用（DPP3 資料使用）
- 目的限定：個人資料僅用於收集時所述目的，不作其他用途。
- 訓練隔離：平台評論數據永不餵入任何 AI 模型訓練。
- 分析追蹤：GA4 / Mixpanel 等分析工具須經你 opt-in 同意，預設拒絕。
- 家庭資料：家長同遊模組的家庭清單資料不用於廣告定向，亦不進入美食 DNA 向量剖析。
- 同意撤回：收集、行銷、AI 記憶、精確位置、分析等範疇可一站式撤回。
四、資料準確性及保留（DPP4）
| 資料類別 | 保留期限 | 銷毀方式 |
|---|
| 實名認證資料 | 7 日 | 徹底刪除 |
| 評論內容 | 永久（技術鎖死，不可刪除） | — |
| 採集原始照片 | 建模完成後 30 日 | 自動刪除 |
| AI 推理日誌 | 30 日 | 自動輪轉 |
| 用戶帳戶資料 | 註銷後 72 小時 | 徹底刪除 |
| 3D 模型 | 永久（餐廳倒閉 30 日後移冷存儲） | 冷存儲＋移除公開地圖 |
| 3D 資產 | 依 PDPO 建議 ≤180 天 | 到期審查續期或刪除 |
| 商家上載照片（門面／室內／餐牌） | 所屬商戶註銷後 ≤180 天 | 自動刪除（檔案＋資料庫） |
| 餐牌 OCR 抽取文字（dishes） | 所屬商戶註銷後 ≤180 天 | 自動刪除 |
五、公開（DPP5）
本隱私政策公開於官網與 App 內「設定 → 私隱政策」。另設獨立 Cookie 政策；各資料收集點（註冊、實名認證、3D 眾包上傳、位置授權、行銷訂閱）均展示收集聲明。
六、查閱及更正（DPP6 / DPP7）
依香港《個人資料（私隱）條例》保障資料第 6 及第 7 原則，你有權查閱及更正自己的個人資料：
- 查閱：App 內「設定 → 個人資料 → 查閱資料」，雙重驗證後，於 15 個工作日內提供 JSON / CSV / PDF 副本。
- 更正：簡單更正即時生效；複雜更正於 15 個工作日內完成。
- 拒絕：重複請求（每月＞2 次）或涉他人私隱者，可拒絕並書面說明，同時告知你可向私隱專員公署投訴。
七、3D 採集與人臉私隱
建立 3D 模型前，我們會單獨徵求同意，並明確提示圖像可能包含他人。處理流程：
- 裝置端自動偵測並模糊人臉（高斯半徑 ≥15、馬賽克 ≥10×10）。
- 伺服器端二次檢測，未通過人臉覆核的素材不會進入建模流程。
- 原始相片於建模完成後 30 日自動刪除，永不長期留存。
⚠️ 如在 3D 資產中發現可識別你的人臉，請經下方聯絡方式要求下架；我們依「72 小時侵權下架」機制處理。
八、未成年人與家長同遊保護
- 年齡分級：未滿 13 歲禁止註冊；13-16 歲需家長同意、最高私隱設定、不可約飯；16-18 歲可註冊但隱藏位置分享、不可約飯；所有未成年用戶評論不顯示位置並強制隱身。
- 家長同遊模組：1 個家長帳戶最多綁定 5 個子女帳戶（13-18 歲）。家庭群組關係、家庭清單等資料 AES-256 加密，僅群組內家長帳戶可存取，不用作廣告定向。子女年滿 18 歲自動解除關聯，相關資料 30 日內刪除。
- 家長同意：子女加入家庭群組須家長二次確認；家長可隨時解散群組，子女亦可獨立申請解除關聯。
九、智能餐提案與健康數據
「🍽 智能餐提案」會讀取你自願授權的空檔時段、自報地區與已確認嘅體成分數值，建議你喺合適時間去邊間餐廳、食邊隻飯，並提示你幾時提早落單或訂位。逐範圍授權：
- 逐範圍獨立授權：已生效——日曆空檔（僅 free/busy 時段，唔讀事件內容）、位置推介、穿戴信號（僅日級聚合）、體成分報告、常去地區。仍未生效（開關標示「即將上線」並禁用）——自動提案、常規自動訂位。每個獨立開關，可隨時喺「授權中心」撤銷。
- 位置資料最小化：附近美食／優惠排序採用純前端計算——你嘅座標只喺瀏覽器內計距離，唔上傳伺服器、唔入資料庫。「常去地區」同空檔「所在地區」只儲存你自報嘅香港 18 區名稱（如「灣仔」），唔存座標、唔存地址、唔存行蹤軌跡，可逐個刪除或一鍵清除。提案嘅步行時間以地區中心點（公開地理資料）估算，唔係你嘅實際位置。
- 健康資料最小化：體成分只記低你確認過嘅數值，以 AES-256 加密儲存，報告圖片唔儲存、只保留 365 日；穿戴裝置（即將上線）只收步數／活動分鐘／睡眠等日級聚合，唔收心率曲線、GPS 軌跡、血糖等原始或醫療數據，且喺你裝置端先聚合，原始數據唔離裝置。
- 建議非診斷：飲食方向只係根據報告數值嘅飲食參考，絕非醫療或營養治療建議；菜品標籤由菜名／食材推斷，未經商戶核實，實際成分請以餐廳資料為準；健康數據一律唔用於廣告及營銷，提案紀錄只記飲食方向代碼，唔複製健康數值。
- 執行保守：任何訂位必須經你即場確認並等待店家確認；外賣自取由你喺餐廳官網自行落單；無自動落單、無自動扣款；自動提案與常規自動訂位未上線，故唔會自動執行任何動作。
- 撤銷與刪除：撤銷授權即時停止收集，已衍生數據 24 小時內清除；空檔保留 14 日、提案紀錄保留 30 日、體成分保留 365 日，到期自動清除；授權紀錄本身按 PDPO 問責要求保留（只記範圍與時間，IP 以不可逆雜湊儲存）。
- 查閱權：授權中心「導出我嘅數據」可下載帳戶、授權紀錄、收藏、評論、體成分快照、空檔與常去地區嘅完整 JSON。
✅ 平台不會收集任何未經你授權嘅日曆或健康數據；未上線嘅授權開關會標示「即將上線」並禁用，唔預收同意。
十、合規閉環與你的權利
- 資料外洩通報：高／中級外洩於 72 小時內通報私隱專員公署並通知受影響用戶。
- 跨境傳輸：採標準合約條款（SCC）＋補充措施，於紀錄冊（ROPA）登記每一條傳輸。
- 自動化反對：AI 推薦可關閉退回非個人化；重大自動決策可申請人工覆核。
- 無障礙：遵循 WCAG 2.1 AA，文字與圖示對比度 ≥4.5:1。
- 青少年保護：16-18 歲分級保護，禁止行為定向廣告。
十一、聯絡與投訴
如有任何私隱查詢、查閱／更正要求或投訴，請聯絡：
我們將於合理時間內回應你的請求；如你不滿我們的處理，有權向 PCPD 投訴。