本頁目錄
1. 適用範圍、營運者與定義
本政策適用於 Fly Design 提供的家庭藥箱（MedCabin）行動 App 與產品網站。Fly Design 是工作室名稱；實際發行者以下載商店的開發者資訊為準。「檔案」指你建立的藥品、家人、看診及健康資訊與附件。「處理」包含輸入、讀取、儲存、辨識、修改、移除、加密以及你主動要求的傳送。
隱私聯絡信箱：flydesign.app@gmail.com。我們區分 App 內的本機處理、你授權的裝置互傳，以及作業系統或商店獨立提供的服務。
2. 處理的資訊類別
為提供藥箱與看診整理功能，App 可能處理：
- 家庭成員：稱呼、關係、年齡層、對象標籤與備註；年齡層並非精確年齡側寫。
- 藥品檔案：藥名、商品名、學名、規格、劑型、成分、適應症與用法摘錄、許可證字號、許可持有人或製造商、批號、製造與有效日期、存放位置、數量、處方與適用對象標記、過敏及其他備註。
- 影像：你拍攝或選取的藥盒、仿單及看診文件照片，包括裁切、旋轉、標註、壓縮後的副本。
- 條碼與連結：商品條碼、藥品追溯條碼、QR Code、包裝網址與 App 產生的查詢連結。
- 看診：時間、症狀、檢查文件與結果、醫師或機構、處方與你輸入的健康備註。
- 行事曆：授權狀態、系統提供的行事曆或帳號名稱、App 建立或連結的事件 ID、標題、起迄時間、時區、備註、必要時的地點，以及建立、更新、移除與同步狀態。我們不會為提醒讀取無關的行事曆事件。
- 語音：僅在你啟動語音輸入並授權麥克風後取得的語音及轉寫文字。
- 購買：商店回傳的商品 ID、狀態、交易時間與訂閱或買斷權益。卡號、銀行帳號及完整付款憑證由商店處理。
- 技術資料：系統與 App 版本、權限、連線結果及除錯所需的最少日誌；日誌保存在本機，除非你主動寄給我們。App 使用的 Google ML Kit 文字辨識元件也會向 Google 傳送有限的診斷與使用資料，詳見第 6 條。目前不為廣告蒐集精確位置、聯絡人、簡訊或跨 App 廣告識別碼。
3. 資料來源與取得方式
資料來自你的輸入與編輯、拍照與選圖、掃描、系統語音、看診內容、條碼與日期解析、本機文字辨識、匯入備份、其他裝置傳來的檔案，以及商店回傳的商品與權益結果。影像辨識在裝置上完成。
App 不會在背景拍照、錄音或讀取相簿；安裝不會自動建立帳號。App 鎖定、密碼輸入失敗後的等待機制及生物辨識只保護本機入口，不會把密碼或生物特徵傳給我們。
4. 權限與使用目的
App 僅於功能需要時要求相機、麥克風、語音辨識（iOS）、通知、生物辨識、區域網路及行事曆權限。在 Android 13 以上，開啟互傳臨時熱點需要「鄰近的 Wi-Fi 裝置」權限，App 聲明不以此推斷位置；加入 QR 碼中的熱點時，系統會請你確認。Android 使用系統 Photo Picker；不支援時使用系統檔案選取器，僅存取你選的照片，不要求讀取整個相簿或影片庫。其他平台依系統選取器及權限設定管理。行事曆經明確授權後，只讀必要資訊，並在你選的行事曆新增、更新或移除藥品效期與看診提醒；撤銷授權後停止後續同步。在 Android 上，App 也會在裝置重新開機後重新登記你已設定的本機提醒通知，這項系統權限不會另外跳出詢問。
麥克風僅供你主動啟動的系統語音使用。目的包含本機藥品、庫存與看診紀錄、PDF 匯出、文字辨識、語音、條碼、備份匯入匯出、裝置互傳、手錶摘要、提醒、安全、商店購買及除錯。我們不將健康檔案用於廣告、側寫或販售。
5. 本機處理與資料流向
藥品、家人與看診檔案、影像編輯、條碼解析、文字辨識、PDF、App 鎖定、密碼雜湊與本機加密，皆在裝置上處理。Fly Design 不提供雲端帳號或雲端同步，不上傳、接收或代管你的藥品、健康、家人、照片或看診檔案，也不委託第三方雲端儲存。
只有你主動匯出、分享、列印、互傳、開啟手錶摘要、開啟外部網站、進行商店交易，或授權系統行事曆與語音時，相關資訊才可能交由你選擇的對象或系統服務處理；這不代表 Fly Design 上傳或代管你的檔案。
6. 本機文字辨識、系統語音與正確性
影像文字辨識僅在本機進行：PaddleOCR、ONNX Runtime、Google ML Kit 或 Apple Vision 等元件分析影像；藥盒與看診照片不會為辨識而送至 Fly Design 或供應商伺服器。首次使用影像辨識時，App 會從 PaddleOCR 維護方百度營運的公開儲存空間下載模型檔案；該伺服器可能位於你所在國家或地區以外，會收到你的 IP 位址與一般請求資訊，但不會收到照片、文字或檔案。作業系統也可能自行下載系統辨識資源。
App 用於文字辨識、照片方向判斷與 Android 條碼掃描的 Google ML Kit，會向 Google 傳送裝置資訊（如製造商、型號、系統版本）、App 套件名稱與版本、不用於識別你本人或裝置的單次安裝識別碼、效能指標、介面設定、事件類型及錯誤代碼，用於診斷與使用分析。依 Google 說明，這些資料傳輸時加密、不與第三方分享，也不包含你的照片、辨識出的文字或檔案，由 Google 依其政策處理。
Android 透過 SpeechRecognizer 呼叫裝置選定的服務，可能由 Google、製造商或使用者設定的業者提供，是否連線取決於服務、語言與設定。iOS 使用 Apple 系統語音，依裝置與語言，可能在本機或 Apple 伺服器處理。若沒有相容介面，可改用鍵盤；輸入法的語音功能由其業者管理。
僅在你啟動並授權後才會使用語音，轉寫結果只填入當前欄位。我們不建置雲端錄音庫或另接獨立雲端語音服務，無法保證系統語音完全離線。你可停止、撤銷權限或手動輸入。文字辨識與轉寫結果請自行核對，並非醫療結論。
7. 外部查詢、備份、分享、互傳、手錶摘要與行事曆
掃描包裝條碼、追溯條碼或連結後，你可自行開啟藥品主管機關、商品編碼服務或第三方網站。服務取決於編碼、包裝及所在地；你確認後，App 會先以一次輕量請求檢查連結的轉址與檔案類型，再於 App 內網頁開啟；這些請求直接送往該網站，對方可能取得 IP、裝置與參數，我們不控制其內容或隱私做法。
匯出備份、PDF 或看診文件時，系統分享功能會將你確認的檔案交給所選郵件、雲端硬碟、通訊軟體、印表機或其他對象。檔案離開裝置後，我們無法控制複製、轉傳、截圖、雲端備份或保存期間。推薦家庭藥箱給朋友時，只會透過你選擇的 App 傳送推薦文字、海報與官網連結，不包含藥名、照片、健康檔案或配對密鑰。
授權提醒後，App 只在你選擇的行事曆建立或連結藥品效期及看診事件，儲存必要的 ID 以便更新或移除。僅應操作 App 自建或你明確連結的事件，不會大量移除無關事件。撤銷權限後停止同步，但先前寫入的事件可能不會自動消失，請在 App 可用的清理功能或系統行事曆中另行移除。
行事曆供應商可能將事件同步到 Apple、Google 或其他帳號與裝置，相關處理、備份、跨境傳輸及保存依其政策。兩台裝置互傳須由你明確啟動並當面掃碼配對，選定的資料加密後在兩台手機之間直接傳送：同一 WiFi 時走該網路；否則 Android 發起方可自動開啟不分享上網的臨時熱點，名稱與密碼寫入本次 QR 碼，掃碼方經系統確認後自動加入，同步結束即關閉或退出；兩台都是 iPhone 時，也可透過 Apple 的近距離直連（MultipeerConnectivity，經藍牙與點對點 WiFi）傳送；裝置名稱與區域網路位址僅用於該次連線。互傳不經過 Fly Design 伺服器，之後 App 也不會將檔案上傳到 Fly Design。
手錶摘要：手錶夥伴預設關閉，須你在設定中選擇成員並同意後才會開啟。開啟後，手機只會從所選成員（以及你允許的未指定成員藥品）中，整理已過期或 30 天內到期的藥品、30 天內的回診，最多包含三筆詳情及其餘事項數量：藥品只含藥名、有效日期、存放位置與關聯成員；回診只含成員、日期時間、醫院與科別；不含庫存、照片、診斷或醫囑。摘要透過 Apple Watch 的系統連線（WatchConnectivity）或 Wear OS 的 Google Play 服務資料層傳到你配對的手錶，由系統經藍牙或網路傳送，不經過 Fly Design 伺服器。手錶會保留最近一次摘要，離線或手機上的藥箱鎖定時仍可查看，請為手錶設定裝置密碼。關閉同步後，手錶要在下次連上手機時才會清除舊摘要；無法立即清除離線手錶上的內容，你也可以從手錶移除 App。
8. 本機加密、App 鎖定與安全
啟用後，App 以 AES-256-GCM 驗證式加密保護家庭檔案，以及 App 管理的藥品與仿單照片、家人頭像、看診文件及儲存的文字辨識資料。啟用時會加密管理範圍內的檔案；後續寫入依設定。解密時驗證完整性，錯誤金鑰或經竄改的內容會遭拒絕。影像最佳化先解密再依設定加密儲存；醫療文件原件不進行有損壓縮。
隨機 256 位元資料金鑰存於裝置的系統安全儲存區，不放入可攜式備份。App 密碼使用加鹽 Argon2id 驗證；連續失敗會逐步延長等待，期間密碼與生物辨識皆無法解鎖。生物辨識由系統驗證，我們不取得原始指紋或臉部資訊。App 鎖定管控入口，不等於以密碼包覆資料金鑰，也不保證鎖定後清除所有記憶體。
匯出的備份一律使用獨立密碼、Argon2id 金鑰推導及 AES-256-GCM 加密，與本機加密設定無關。可匯入未加密備份；匯入後依接收裝置設定儲存，原始檔案不會自動加密。互傳須掃描當次 QR Code，使用臨時金鑰協商與驗證式加密並拒絕重複訊息；QR Code 含配對秘密，請勿公開。
檔名、大小、部分偏好與技術中繼資料並非全部隱藏。執行記憶體、辨識暫存副本、系統相簿原圖、行事曆事件、已分享 PDF 及其他 App 副本，不會一起受本機檔案加密保護。暫存解密副本在操作後清理，異常結束時於下次啟動清理；不保證可防止儲存媒體鑑識還原。
App 在支援的平台設定排除系統自動備份，並使用限定於裝置的安全儲存；系統版本、廠商及舊備份仍可能影響結果。加密可降低風險，無法保證絕對安全。請保管獨立備份密碼並測試還原；我們不持有金鑰或備份密碼，無法代為復原。
9. 第三方元件與獨立處理者
App 可能使用 Google Play Billing、Apple App Store、系統相機、照片、通知、生物辨識、語音、分享及行事曆元件、Apple WatchConnectivity 與 Wear OS 資料層、PaddleOCR、ONNX Runtime、Google ML Kit、PDF 與列印元件，以及你開啟的外部網站。
本機辨識元件不會將檔案送給供應商；Google ML Kit 只傳送第 6 條所述的診斷資料。商店只處理交易所需商品與權益；行事曆、語音、手錶連線、分享對象與外部網站只在你啟用或造訪時依其政策處理資訊。我們不用 SDK 建立廣告側寫。
10. 儲存地點、期間與移除
預設儲存在裝置上的 App 目錄，以及你選擇的系統相簿或檔案位置。檔案保留到你移除條目、清除 App 資料或解除安裝。作業產生的暫存影像、回應與快取會在可控制範圍內於完成或失敗後清理；系統與第三方快取不一定可控。
啟用行事曆提醒時，裝置會儲存行事曆、事件與來源紀錄 ID 及最近同步狀態，直到相關檔案遭移除、解除連結或你要求清理。移除 App 檔案、停用功能或撤銷權限，不會自動移除系統行事曆事件及其雲端副本，須在 App 清理功能或行事曆中分別處理。
App 內移除只影響 App 管理的副本；已匯出、分享、列印、互傳或存於系統備份的副本，請另外移除。依法令、爭議、安全稽核或商店交易所需的最少資料，於必要期間結束後移除或去識別化。
11. 分享、委託處理與依法揭露
我們不販售、出租或用藥品與健康資訊交換廣告，也不上傳檔案或委託第三方雲端代管。除你主動分享、備份、列印、互傳、使用系統語音或行事曆、商店購買、開啟網站、另行同意或依法要求外，我們不主動分享檔案。
12. 敏感資訊與未成年人
健康、藥品及看診資訊可能受你所在地的敏感資訊規範特別保護。你自行選擇在本機留存；為他人建檔前請取得必要授權。我們不據此推測保險資格或信用，也不投放定向廣告。
App 供成年人管理自己與家人的資訊，不針對兒童獨自使用。監護人可在符合法律與同意要求時管理兒童檔案，且只輸入必要資訊。年齡、監護同意及健康資料依所在地法規。發現不當資訊時請先在本機更正或移除，再來信尋求操作協助；我們不能遠端存取。
13. 你的權利與請求
依法你可能享有查閱、更正、移除、複製與可攜、限制、反對、撤回同意，以及向當地主管機關申訴等權利。可於 App 管理本機檔案、在系統撤銷權限，並在行事曆管理已建立的事件。撤銷權限不會自動移除既有外部副本。
Fly Design 不持有你的本機健康檔案，無法從伺服器找回、遠端移除或解鎖。針對你寄來的支援郵件或我們實際持有的資訊，請透過 flydesign.app@gmail.com 提出請求。我們只要求適當且必要的身分核對，依法定期限回覆；不會僅因行使隱私權而歧視。拒絕或限制時會說明理由及可用申訴方式。
我們不販售或分享健康檔案供跨情境行為廣告使用，也不依檔案做出具有法律或類似重大影響的自動決策。當地法律賦予的其他權利仍適用。
14. 跨境處理、網路與安全事件
本機檔案、本機文字辨識與加密不構成 Fly Design 主動進行的跨境傳輸。商店、Google ML Kit 診斷服務、PaddleOCR 模型下載伺服器、你開啟的網站、分享對象、系統行事曆與語音服務可能依其設施、帳號設定及政策在其他地區處理收到的資訊；Fly Design 仍不會上傳或代管你的檔案。
若事件可能影響我們處理的個人資訊，將依法採取圍堵、補救、通知及通報措施。
15. 更新與聯絡
功能、法律或安全措施變動時，我們可能更新政策，適當通知重大變更及生效日期，並於依法必要時重新取得同意。各語言版本旨在表達相同意思，差異不得降低法律保障。隱私問題請聯絡 flydesign.app@gmail.com；請勿寄送密碼、完整病歷或無關敏感資訊。你寄出的郵件由郵件服務處理，以回覆、解決問題及履行必要義務，之後依需要移除或保留。
網站無法讀取 App 的本機檔案。目前僅提供產品與法律資訊，不設線上帳號、上傳、雲端同步或代管功能，亦不嵌入廣告或第三方網頁字型；網站統計僅在你主動同意後啟用，見第 16 條。與多數網站相同，我們的網站伺服器及提供網路傳遞的 Cloudflare 會自動記錄 IP 位址、時間、請求頁面、瀏覽器識別資訊與來源頁面等技術資料，以提供網站、防範濫用及排除故障。這些日誌僅用於安全與維運，不與 App 檔案連結，只在上述目的所需期間保留。
16. 網站統計
家庭藥箱（MedCabin）App 不接入行為分析工具，也不會將藥品或健康檔案送至網站統計服務。本節僅適用於 Fly Design 官網。
官網僅在你主動同意後載入 Umami Cloud 腳本 https://cloud.umami.is/script.js，用於瞭解頁面瀏覽、點擊、內容曝光、捲動深度、前景停留及有效閱讀時間估算，以及造訪來源，以改善內容與下載入口。有效閱讀時間依頁面可見狀態與近期互動估算，不代表實際讀懂內容。
傳送的欄位限於標準頁面、固定頁面標題、穩定內容 ID、螢幕及瀏覽器語言資訊、來源網域與固定白名單內的行銷參數；不傳送任意網址參數、完整來源網址、電子郵件、輸入內容或健康檔案，也不呼叫 identify 或設定網站帳號 ID。Umami 提供腳本和接收請求時仍會取得 IP 位址等網路資訊；不使用分析 Cookie 不代表沒有個人資訊。
你的選擇以 flydesign.analytics.v1 存於本機 localStorage 180 天。拒絕或撤回不影響閱讀、切換語言或下載，可在頁尾「隱私設定」重新選擇。撤回會停止後續統計並捨棄待傳送事件，已送出的請求無法撤回；同意前的行為不會補送。
Umami 公布免費方案保留資料六個月，實際以服務設定為準；網站程式碼無法代服務方執行或保證刪除。隱私問題可寄至 flydesign.app@gmail.com。