隱私政策

一、資料蒐集範圍

AnonMail 匿名信箱系統（以下簡稱「本系統」）致力於保障使用者隱私。本系統蒐集的資料僅限於：

• 陳情內容：您主動填寫的陳情主旨、分類、內容描述及部門資訊
• 追蹤碼：系統自動產生的隨機追蹤碼，用於後續查詢進度
• 對話紀錄：您與承辦人之間透過追蹤碼進行的匿名溝通內容

本系統之資料庫「不儲存」任何可識別個人身分的資訊，包括但不限於：姓名、電子郵件、IP 位址、瀏覽器指紋、裝置識別碼。託管平台（Vercel、Supabase）之基礎設施存取日誌會短期保留連線資訊，僅供維運使用，且不與任何案件關聯。

二、資料使用目的

您提供的資料僅用於以下目的：

• 處理及回應您的陳情案件
• 統計分析陳情趨勢（僅使用去識別化之彙總資料）
• 改善本系統之服務品質

本系統不會將您的陳情內容用於任何與案件處理無關之用途。除第五之二節所列之處理者，以及您雇主自行設定之通知管道（電子郵件、Slack／Teams 等 webhook，僅含案件編號、分類與去識別化後之主旨）外，不會將資料提供予第三方。

三、資料保存期限

陳情資料自案件結案日起保存 5 年，届滿後將自動永久刪除（訴訟保全或法定保存義務期間除外）。保存期間內，資料以資料庫層靜態加密（AES-256）儲存，僅您雇主授權之承辦人員得以存取。

四、技術匿名措施

本系統採取以下技術手段確保匿名性：

• IP 位址剝離：匿名端點（提交、查詢、追問）在中介層即移除所有 IP 相關標頭
• 無 Session 追蹤：匿名使用者不建立 Session，也不設定任何可識別身分的 Cookie（語言偏好 Cookie 不含身分資訊）
• 加密傳輸：所有資料傳輸均使用 TLS 加密
• 應用程式日誌不含識別資訊：應用程式日誌不記錄 IP、追蹤碼或陳情內容；託管平台之基礎設施存取日誌屬平台層，短期保留且僅供維運，不與案件關聯
• 隨機追蹤碼：追蹤碼為密碼學安全的隨機字串（32 字元字母×10 字組合，搜尋空間約 1.1 × 10^15），無法反推提交者身分；伺服器僅保留 HMAC-SHA256 雜湊

註：匿名端點亦設有請求頻率限制以阻止暴力嘗試，目前實作為單一伺服器實例上的記憶體計數，未跨多實例同步。reporter 匿名性主要依靠追蹤碼本身的密碼學熵；後續版本將升級為跨實例的持久化頻率限制。

五、使用者權利

由於本系統之資料庫不儲存個人身分資訊，傳統的資料主體權利（如存取權、更正權）難以對應到特定個人。但您享有以下權利：

• 透過追蹤碼查詢案件處理進度
• 透過追蹤碼補充說明或追問
• 以追蹤碼在查詢頁下載您案件資料的副本（JSON，不含追蹤碼與承辦人內部備註）
• 以追蹤碼在查詢頁提出刪除請求。承辦單位會在法定保留義務（例如調查中之證據保全、法律凍結）範圍內決定是否刪除，並將結果與理由顯示於查詢頁；核准後案件、訊息與附件立即刪除，僅保留不含內容的統計骨架作為合規紀錄，該追蹤碼隨即失效。未提出請求之案件仍依第三節之保存期限自動刪除

五之一、AI 風險分析揭露

為協助承辦人在 EU WBD 規定的 7 日確認期限內掌握案件輕重，本系統提供 AI 風險評估 模組。此模組預設為關閉，僅在租戶（您的雇主或本系統的訂戶單位）明確簽署同意書並啟用後才會運作。

啟用後的處理方式：

• 資料最小化：僅傳送陳情主旨、內容、類別、優先級與部門欄位，不傳送追蹤碼或任何識別資訊。
• PII 去識別化：送出前自動偵測並替換 9 類個資（Email、身分證、健保卡、手機、信用卡、IP、URL、銀行帳號、員工編號）為 [REDACTED:*] 標記。
• 跨境傳輸：處理者為 Anthropic PBC（美國），透過 HTTPS 傳輸，依其商業條款承諾不用於訓練、最長 30 天內刪除。
• 非自動化決策：AI 結果僅供承辦人參考，所有案件狀態變更、指派、結案均由人工執行，符合 GDPR 第 22 條規範。
• 同步刪除：AI 分析結果與案件同壽，於 5 年保存期屆滿時隨案件一併永久刪除。

本系統依 GDPR 第 35 條完成資料保護影響評估（DPIA）。若您的雇主已啟用 AI 風險分析，您可透過租戶管理員或寄信至 dpo@senbio.tech 索取完整 DPIA 文件。

五之二、第三方處理者揭露

本系統為提供核心功能，會將部分資料委由下列子處理者協助處理。所有處理者均依 標準契約條款 (SCC 2021/914 Module 2) 完成跨境傳輸合規評估：

• Anthropic PBC（美國）：僅在租戶啟用 AI 風險分析後使用。傳送內容為去識別化後的陳情主旨與內容；依其商業條款，API 輸入不用於訓練其模型，並於濫用偵測完成後 ≤30 天自動刪除。本系統「不」opt-in Anthropic 的訓練資料計畫。
• Supabase Inc.（ap-northeast-1 / 東京）：資料庫與檔案儲存。靜態加密 AES-256，SOC 2 Type II 認證。資料主要儲存於日本機房。
• Vercel Inc.（ap-northeast-1 / 東京）：應用程式運算層。SOC 2 Type II 認證。
• Resend Inc.（美國）：對外通知信寄送。「僅」用於通知您的雇主端管理員（不會寄信給陳情人），僅含案件編號 CASE-XXXXXXXX、分類與去識別化後之陳情主旨，不含您的追蹤碼或內容。

完整子處理者清單與各自的 SCC + TIA 評估存放於 DPIA 附錄，可向 dpo@senbio.tech 索取。

六、安全措施

本系統採用多層安全機制保護您的資料：

• 資料庫層級加密（AES-256）
• 伺服器端存取控制與租戶隔離，確保承辦人僅能存取所屬組織之案件
• 安全標頭設定（X-Frame-Options、Content-Security-Policy 等）
• 定期安全稽核與漏洞掃描

七、政策變更

本隱私政策如有修訂，將於本頁面公告更新內容及生效日期。重大變更時，將於系統首頁顯示通知。

八、聯繫方式

如您對本隱私政策有任何疑問，請透過以下管道聯繫：

• 透過本系統提交一般性諮詢（選擇「其他」分類）
• 聯繫公司人力資源部門