隱私權政策（草稿）隱私權政策（草稿）

草稿 — 尚未經律師審核，不構成正式條款 / 草稿 — 尚未经律师审核，不构成正式条款 / DRAFT — not yet reviewed by counsel; not binding

本文件為工作草稿（版本 0.1-draft），說明 OpenVPT 軟體目前如何處理個人資料，供律師審閱。以 [方括號] 標示的內容為尚待填寫的預留欄位。在正式版本公布之前，本草稿不產生任何權利或義務。英文版為提供律師審閱的參考文本。

本隱私權政策說明 [COMPANY LEGAL NAME]（以下稱「OpenVPT」或「我們」）在您使用 OpenVPT 網站、API 及相關服務（合稱「本服務」）時，如何蒐集、使用、分享及保護個人資料。OpenVPT 是數位商品（原始碼、SaaS 授權、網站、電子書、課程、設計素材與數位服務）的交易平台：以 Base 區塊鏈上的 USDC 付款，款項由 2-of-3 多簽託管智能合約保管，爭議則透過平台仲裁處理。

生效日期：[EFFECTIVE DATE]。版本：0.1-draft。

1. 我們是誰#

2. 重點摘要#

• 我們只蒐集經營帳號、訂單、託管、交付、爭議與客服所需的資料：主要是您的電子郵件、錢包地址、您刊登與購買的商品，以及您在平台上寫下的內容。
• 我們絕不會取得您錢包的私鑰或助記詞。交易與訊息都在您自己的裝置上由錢包簽名。
• 付款與結算發生在公開區塊鏈上，這些紀錄公開且永久，任何人（包括我們）都無法刪除或修改。
• 我們不出售個人資料，目前也不使用廣告或分析類 Cookie。
• 密碼只以 argon2id 雜湊值儲存；兩步驟驗證金鑰與授權碼均經加密；聯絡表單只保存加鹽後的 IP 雜湊值。
• 目前大部分資料沒有自動刪除機制，保存期間尚未訂定（見第 9 節）。
• 如需查閱、更正或刪除您的資料，請透過 /contact?topic=legal 與我們聯絡。

3. 我們蒐集的資料#

下列表格列出本服務目前儲存的資料。「可見範圍」說明在本服務內誰能看到這些資料。

3.1 帳號#

3.2 兩步驟驗證（2FA）#

若您啟用 2FA，我們會儲存以 AES-256-GCM 加密的一次性密碼（TOTP）金鑰，以及表示 2FA 已啟用的標記。目前 2FA 為選用。

3.3 身分驗證（KYC）#

刊登商品販售需要已驗證的身分狀態。本服務目前只儲存一個狀態值（未驗證、審核中、已驗證或已拒絕），並未蒐集身分證件、自拍照或其他驗證資料，也尚未串接任何身分驗證服務商。我們計劃為賣家採用第三方身分驗證服務商，並會在啟用前更新本政策，說明涉及的資料。[KYC PROVIDER AND DATA CATEGORIES — TO BE ADDED]

3.4 錢包#

我們從不要求、也不儲存私鑰或助記詞。

3.5 商品刊登#

標題、描述、分類、價格、付款代幣、網路、手續費率、交付方式、交付期與驗收期、您提供的圖片連結、審核狀態，以及（若遭拒絕）拒絕原因與審核人員。上架中的商品為公開資訊。

收藏的商品：當您收藏商品時，我們會儲存您收藏了哪件商品及收藏時間。只有您看得到自己的收藏；取消收藏即刪除該筆紀錄。

3.6 訂單與付款#

買家與賣家的帳號 ID、付款與收款所用的錢包地址、金額、手續費、代幣、網路、訂單狀態及其歷程（每次變更由誰或什麼觸發、原因為何）、各項期限、時間戳記、區塊鏈交易雜湊、結算分配比例，以及取消申請。我們也會從公開區塊鏈讀取託管合約事件並加以儲存，以同步訂單狀態。

3.7 交付#

有人開啟交付內容時，我們會留下存取紀錄（見 3.13）。

3.8 爭議與證據#

爭議理由、作為證據提交的文字、連結與檔案（含檔名與 SHA-256 指紋）、指派的仲裁員、裁決及其理由。開啟證據檔案的行為會被記錄。

3.9 訂單聊天#

訂單內往來的訊息及其已讀狀態。系統會自動掃描每則訊息中的聯絡方式與場外付款跡象（電子郵件、電話號碼、Telegram、WhatsApp、微信、外部付款連結、場外付款要求），並將產生的風險標記與訊息一起儲存。被標記的訊息不會被攔截，發送者會看到提醒。管理員可以閱讀訂單聊天內容（例如處理爭議或安全問題時）。目前的軟體中，仲裁員無法存取訂單聊天；此情況日後可能改變，屆時我們會更新本政策。

3.10 評價#

訂單結束後，雙方各可留下一則評價：1 到 5 分的評分與選填的留言。評價會公開顯示在被評價用戶的個人頁面上。

3.11 通知#

站內通知（類型、標題、內文、相關資料、已讀狀態）。大多數通知也會寄送至您的電子郵件信箱。

3.12 聯絡表單#

主題、選填的姓名、電子郵件地址、主旨、內容、語言、您登入時的帳號 ID、瀏覽器的 User-Agent 字串（截斷至 300 字元），以及您 IP 位址經加鹽處理後的 SHA-256 雜湊值（從不儲存 IP 位址本身）。被反垃圾機制判定為自動送出的表單（隱藏欄位被填寫，或開啟後 3 秒內即送出）不會被儲存為訊息，我們只保留一筆包含原因、主題、語言與 IP 雜湊值的紀錄。

3.13 安全與技術紀錄#

3.14 Cookie 與瀏覽器儲存#

我們只使用少數本服務運作所必需的 Cookie 與瀏覽器儲存項目，目前不使用廣告或分析類 Cookie。詳情請見 Cookie 政策。

首次造訪時，我們也會讀取瀏覽器的語言設定（Accept-Language 標頭）來選擇顯示語言。

3.15 我們不蒐集的資料#

我們不蒐集錢包私鑰或助記詞、信用卡或銀行帳戶資料、政府核發的身分證號碼（目前），也不蒐集精確位置。

4. 我們如何蒐集資料#

• 由您提供：註冊、綁定錢包、刊登商品、下單、交付、聊天、發起爭議、撰寫評價或聯絡我們時。
• **自動蒐集：**IP 位址、User-Agent 等請求資料（第 3.13 節），以及瀏覽器儲存（第 3.14 節）。
• **來自公開區塊鏈：**Base 上託管合約的事件，例如入金與結算。
• 來自其他用戶：交易對方的訊息、證據與評價可能包含與您有關的資訊。
• 來自我們的工作人員：商品審核結果、爭議指派與裁決、帳號停權原因。

5. 我們如何使用資料#

我們不會將您的資料用於精準廣告，目前也不寄送行銷郵件。聊天風險標記雖由系統自動產生，但只會產生提醒與供審閱的紀錄，本身不會封鎖您，也不會決定爭議結果。

6. 資料如何分享#

6.1 與其他用戶及公眾#

• 公開：您的顯示名稱、信用分數、身分是否已驗證、加入時間、上架中的商品，以及他人對您的評價。
• 訂單中的交易對方：訂單資料、使用的錢包地址、聊天訊息、交付內容、爭議證據、結算簽名。
• 仲裁員與管理員：審核商品、處理爭議、回覆客服與維護平台安全所需的資料。

6.2 與服務供應商#

我們使用服務供應商代為處理資料。下表只列出目前軟體實際使用或已設定的服務；供應商名稱在簽約前以預留欄位表示。

6.3 您的瀏覽器直接連線的第三方#

上述第三方依其各自的隱私權政策處理資料。

6.4 其他揭露情形#

我們可能在下列情況揭露資料：為遵守法律、法院命令或政府機關的合法要求；為保護用戶、公眾或 OpenVPT 的權利、財產或安全；因合併、收購或資產出售 [NOTICE COMMITMENT — COUNSEL TO CONFIRM]；或經您同意。

6.5 不出售個人資料#

我們不出售個人資料，也不為跨情境行為廣告而分享個人資料。[COUNSEL TO CONFIRM UNDER APPLICABLE STATE LAW]

6.6 未來可能使用的服務#

我們的產品計劃包含下列項目，目前均未串接；開始使用前，我們會更新本政策：

• 賣家身分驗證（KYC）服務商；
• 用於錢包地址制裁名單（OFAC）篩查的鏈上分析服務；
• 錯誤監控與維運分析工具。

7. 區塊鏈資料公開且永久#

訂單付款或結算時，Base 網路上的託管合約會公開且永久地記錄：

• 買家與賣家的錢包地址；
• 代幣（由 Circle 發行的 USDC）、金額與手續費；
• 由我們內部訂單 ID 推導出的訂單識別碼；
• 賣家、買家與平台之間的結算分配；
• 交易雜湊與時間。

請留意：

• 區塊鏈紀錄無法被我們、您或任何人修改或刪除。向 OpenVPT 提出刪除請求不會移除鏈上資料。
• 任何人都能查看某個錢包地址的歷史紀錄。如果您的地址可以與您本人連結（例如透過您自己的公開活動），您的交易也可能因此與您連結。
• 區塊鏈交易無法撤回。USDC 發行方 Circle 與 Base 網路依其各自的條款營運，我們不會把您的帳號資料傳送給他們。

8. 您的選擇#

• 瀏覽器儲存：您可以在瀏覽器中清除 Cookie 與 localStorage。登出會移除該瀏覽器中儲存的 token。
• 2FA：您可以在帳號中啟用兩步驟驗證。
• 錢包連線：您可以在錢包軟體中中斷與本網站的連線。
• 電子郵件：本服務目前只寄送交易相關郵件，尚未提供郵件偏好設定。[EMAIL PREFERENCES — TO BE DEFINED]

9. 資料保存#

我們尚未訂定保存期間。本節說明軟體目前的實際行為；我們會訂定保存期間並更新本政策。[RETENTION SCHEDULE — TO BE DEFINED]

即使訂定保存期間後，為履行法律義務、處理爭議、防範詐欺或執行條款，我們仍可能保存部分資料較長時間。

10. 資料安全#

目前已實施的措施：

• 密碼以 argon2id 雜湊處理；登入流程經過設計，不論帳號是否存在，所需時間大致相同。
• 選用的 TOTP 兩步驟驗證；TOTP 金鑰以 AES-256-GCM 加密。
• 透過平台交付的授權碼以 AES-256-GCM 加密。
• Access token 有效期短（預設 15 分鐘）；refresh token 每次使用都會輪替且只儲存雜湊值，舊 token 被重複使用時會撤銷整個工作階段系列。
• 登入、註冊、2FA、token 更新與聯絡表單都有流量限制；連續登入失敗會暫時鎖定。
• 聯絡表單只儲存加鹽後的 IP 雜湊值。
• 交付與證據檔案只能透過短期有效的簽名連結下載，交付檔案會以 SHA-256 記錄指紋。
• 仲裁員與管理員功能採角色權限控管，敏感操作留有稽核日誌。
• 非託管式擔保：款項存放在智能合約中，平台無法單獨動用。

沒有任何系統是絕對安全的。登入 token 儲存在瀏覽器的 localStorage 中，請保護好您的裝置與瀏覽器、啟用 2FA，並且絕不要把助記詞告訴任何人，包括自稱 OpenVPT 工作人員的人。若我們得知影響您個人資料的安全事件，將依法律規定通知您。[BREACH NOTIFICATION PROCESS]

11. 您的權利#

依您所在地區，您可能享有以下權利：

• 知悉並查閱我們持有的您的個人資料；
• 更正不正確的資料；
• 刪除您的資料；
• 以可攜格式取得副本；
• 反對或限制特定處理，並在以同意為依據的處理中撤回同意；
• 對我們就您請求所做的決定提出申訴 [APPEAL PROCESS]；
• 不因行使上述權利而受到差別待遇。

如何提出請求：目前尚無自助工具。請透過聯絡表單選擇「法務」主題提出：/contact?topic=legal，或寄信至 [LEGAL CONTACT EMAIL]。請使用您帳號的電子郵件地址寄出，或在內容中註明該地址。我們會先確認您的身分（例如確認您能控制該電子郵件信箱）再處理，並於 [RESPONSE PERIOD] 內回覆。在法律允許的情況下，經授權的代理人可代您提出請求，但須提供授權證明。

限制：我們無法刪除鏈上紀錄（第 7 節）。為履行法律義務、處理進行中的爭議、防範詐欺，或因資料同時涉及其他用戶，我們可能需要保留部分紀錄，例如訂單、爭議與稽核日誌。遇此情形，我們可能改為限制使用或去識別化，而非刪除。[DELETION / DE-IDENTIFICATION PROCEDURE — TO BE DEFINED]

12. 美國各州隱私權利（含加州）#

[PLACEHOLDER — COUNSEL TO CONFIRM WHETHER THE CCPA/CPRA AND OTHER STATE PRIVACY LAWS APPLY, AND TO COMPLETE THIS SECTION.]

供參考，第 3 節所述的個人資料類別大致對應如下：

• 來源、目的與接收者：見第 4 至 6 節。
• 出售／分享：見第 6.5 節。[GLOBAL PRIVACY CONTROL HANDLING — COUNSEL TO CONFIRM]
• 保存：見第 9 節。
• 敏感個人資料只用於提供本服務及維護其安全。[COUNSEL TO CONFIRM "LIMIT USE" NOTICE]
• 美國其他州：[STATE-SPECIFIC DISCLOSURES]

13. 國際用戶與資料跨境傳輸#

[PLACEHOLDER — COUNSEL TO COMPLETE.] 本服務由美國營運，資料在美國以及我們服務供應商所在的其他國家處理。[LOCATIONS OF PROCESSING] 若我們為歐洲經濟區、英國或其他有資料傳輸規範之地區的用戶提供服務，將在此說明傳輸機制。[TRANSFER MECHANISM] 本服務不一定在美國每一州或每個國家都可使用。[SERVICE AVAILABILITY / RESTRICTED JURISDICTIONS]

14. 兒童#

本服務並非以兒童為對象。您必須年滿 [MINIMUM AGE] 歲才能使用本服務。我們不會在知情的情況下蒐集未滿 13 歲兒童的個人資料。若您認為有兒童向我們提供了個人資料，請透過 /contact?topic=legal 與我們聯絡，我們將依規定刪除。

15. 政策變更#

我們可能更新本政策。頁首的版本與「更新日期」代表目前版本。如有重大變更，我們會在法律要求的情況下，於變更生效前以 [NOTICE METHOD, e.g. e-mail or in-app notice] 通知您。

16. 聯絡我們#

• 聯絡表單（「法務」主題）：/contact?topic=legal
• 電子郵件：[LEGAL CONTACT EMAIL]
• 郵寄地址：[COMPANY LEGAL NAME]，[BUSINESS ADDRESS]

給律師的待確認事項 / Notes for counsel#

以下事項供審閱律師參考，正式版本公布時將移除。完整說明以英文版為準。

1. 原始 IP 位址：聯絡表單只儲存加鹽 IP 雜湊值，但稽核日誌（audit_logs.ip）、工作階段紀錄（refresh_tokens.ip）與登入類流量限制的快取鍵會儲存或使用原始 IP。請建議是否也應雜湊處理及保存多久。
2. 沒有保存期限排程：除短期快取計數器，以及 SIWE 驗證碼與重複請求紀錄的延遲清理外，沒有任何資料會自動刪除。第 9 節的每一類資料都需要保存期限表。
3. 沒有自助刪除或匯出：權利請求目前以人工處理。訂單、交付、爭議與評價紀錄會參照用戶但不會連帶刪除，因此以現行設計無法完整刪除有交易紀錄的用戶，需要訂定去識別化程序。
4. 登出只在本機生效：登出只清除瀏覽器中的 token，refresh token 在伺服器端仍有效直到到期（預設 30 天）。請考慮安全章節是否需要補充說明。
5. KYC：目前只儲存狀態值。產品計劃將為賣家採用第三方 KYC 服務商；若涉及生物特徵辨識，可能適用伊利諾州 BIPA、德州 CUBI、華盛頓州等法律，上線前須更新本政策。請確認僅供開發環境使用的 KYC_BYPASS 旗標在正式環境為關閉。
6. OFAC／制裁名單篩查：錢包地址篩查為計劃中、尚未實作；請確認揭露用語，以及上線前是否必須完成篩查。
7. 資金轉移與託管牌照：請確認非託管式 2-of-3 多簽設計的分析（FinCEN 指引、各州資金轉移法）、紐約（BitLicense；產品計劃在 MVP 階段封鎖紐約用戶）、加州 DFAL 與加州託管代理規定，以及是否可能適用金融隱私規範（例如 GLBA）。
8. CCPA/CPRA 及其他州法：請確認適用門檻、蒐集時告知、敏感個人資料（帳號憑證）、「出售／分享」分析（Google Fonts、WalletConnect、圖片託管網站）、Global Privacy Control，以及其他可能適用的州法。
9. GDPR／英國 GDPR 及其他國家：本服務提供繁體中文、簡體中文與英文介面。請決定服務範圍；若服務歐洲經濟區、英國、台灣、中國大陸或其他地區用戶，可能適用當地法律（GDPR、台灣個資法、中國個人信息保護法等），包括法律依據、代表人與傳輸機制。
10. 兒童與最低年齡：目前註冊流程不詢問年齡。請訂定 [MINIMUM AGE] 並決定是否需要年齡驗證（COPPA 及州法）。
11. Google Fonts：每個頁面都從 Google 伺服器載入字型，會將訪客 IP 傳給 Google。可考慮改為自行託管字型。
12. 聊天監控：系統自動掃描訊息中的聯絡方式與付款連結，爭議時工作人員可閱讀聊天內容。請確認揭露方式與是否需要同意（ECPA 及州通訊法）。目前管理員可透過聊天 API 閱讀所有訂單聊天；仲裁員的存取權限為計劃中（SPEC P2-12）。管理員與爭議訂單的仲裁員也能看到解密後的授權碼並下載交付檔案。建議訂定內部存取政策。
13. 區塊鏈永久性與刪除權之間的衝突；請確認第 7 節的揭露是否足夠。
14. 電子郵件：目前只寄送交易郵件且無退訂機制；在寄送任何行銷郵件前請確認 CAN-SPAM 立場。
15. 商品圖片從賣家提供的外部網址載入，會使瀏覽者的 IP 位址暴露給該網站。
16. DMCA：須向美國著作權局登記 §512 指定代理人（[DMCA AGENT NAME/ADDRESS]）；侵權通知與反通知含有個人資料，可能轉交給另一方。請與服務條款相互對照。
17. 稅務申報：平台未來的稅務申報義務（例如 Form 1099 資訊申報）可能需要蒐集納稅人資料，屆時需更新本政策。
18. 仲裁條款：爭議解決與仲裁條款應放在服務條款中；請確認其可執行性及與隱私相關請求的關係。
19. 資料外洩通知：請依各州資料外洩通知法訂定事件應變與通知流程。
20. 靜態加密：應用程式只加密 TOTP 金鑰與授權碼。交付檔案與證據檔案並未由應用程式加密；是否在儲存時加密取決於儲存供應商的設定。本草稿刻意不宣稱檔案已加密；作出此類陳述前請先確認。
21. 待填預留欄位：[COMPANY LEGAL NAME]、[ENTITY TYPE]、[STATE OF INCORPORATION]、[BUSINESS ADDRESS]、[LEGAL CONTACT EMAIL]、[EFFECTIVE DATE]、[MINIMUM AGE]、[RESPONSE PERIOD]、第 6.2 節的供應商名稱，以及上文其他方括號項目。