隱私權政策

隱私權政策與適用範圍

Bio2Twin 提供個人健康資料整理、個人化健康趨勢、AI 輔助解讀與可選的研究功能。本政策說明我們透過網站、會員服務與 iOS App 蒐集、使用、分享、保護及刪除個人資料的方式。Apple「健康」App 中由 Apple 管理的資料與已同步到 Bio2Twin 的資料，是不同的資料副本，分別受各自的設定及政策管理。

資料管理者、聯絡與適用地區

本服務由 Bio2Twin 品牌營運團隊提供；實際締約主體及資料保護聯絡窗口應以會員訂閱或官方聯絡頁所揭露資訊為準。會員可透過 官方聯絡入口 提出資料權利、個資或安全事件相關請求。不同地區的法令可能賦予您其他權利；我們將依適用法令處理。

我們蒐集的資料類別

我們依您使用的功能，處理：帳號與聯絡資訊（登入識別、必要聯絡資料）；自述與健康觀察（心情、睡眠、運動、飲食、症狀及生活紀錄）；裝置授權資料（經您允許的 Apple Health 健康指標）；您自行上傳的內容（驗血、DNA、血糖報告、餐點圖片或其他健康檔案）；服務及安全資訊（登入、授權版本、作業時間、必要稽核與異常紀錄）；以及您自願開啟的 MY OI 分享設定。未使用或未授權的功能不應要求不必要的資料。

蒐集與使用目的

資料用於登入驗證、必要的服務營運及安全、Apple Health 同步、Personal Model 的個人基線與長期趨勢、上傳報告解析、您選擇的 AI 分析、客服與資料權利處理。可選的科學研究、個人微試驗、公開分享及付款授權與基本會員服務分開，不以基本會員同意概括取代各項額外同意。

Apple Health 與 iOS 授權

Bio2Twin iOS App 在要求 HealthKit 權限前，應告知用途，並由 iOS 的授權介面讓您按資料類型決定是否允許讀取。目前服務設計以唯讀取得您允許的 HRV／SDNN、靜息心率、心率、睡眠與睡眠階段、活動、步數等健康指標；其他指標僅在對應功能需要且取得授權時處理。不同意特定資料類型，可能使依賴該指標的分析不完整，但不代表您同意其他資料類型。您可在 iPhone「健康」App 或系統設定撤回權限。撤回 HealthKit 權限會停止未來存取，不會自動刪除先前已同步到 Bio2Twin 的副本；副本須另行依本政策申請刪除。Bio2Twin 不會未經授權寫入或竄改 Apple 健康資料。

HealthKit 資料的使用限制

我們不將 HealthKit 取得的健康資料出售給廣告平台、資料仲介或資料轉售商，也不以該資料進行定向廣告。若特定健康或研究功能須交由第三方處理，會先告知資料種類、對象及目的，依法取得明確授權並遵循 Apple 的 HealthKit 使用限制。使用 Apple Health 或 Apple Watch 不表示 Apple 贊助、認證或核准 Bio2Twin。

五大健康資料安全保障

Bio2Twin 的 Confidential Health DMZ 採五項處理邊界；各項實際防護以已部署、可驗證的系統設定及稽核紀錄為準，不能解讀成零風險保證。

1. 原始健康檔不直接送往研究主機：先進入隔離入口與解析流程，不讓 Host5 直接接收上傳原檔。
2. 原始健康檔不直接送往外部 AI：預設不把完整驗血、DNA、Apple Health 原始資料交給第三方模型；若某項選配分析需要提供資料，應事先另行揭露、取得有效授權，並受 Apple HealthKit 規範限制。
3. 隔離加密處理：透過 TLS、適當的儲存加密、DMZ 存取控制與可用的機密運算措施保護解析工作；不把 DMZ 描述為端對端零知識，亦不宣稱未驗證的 TEE 已全面覆蓋所有資料流程。
4. 研究端只接收必要結構化證據：經資料類型、格式、授權與來源驗證後，才將符合目的的 canonical evidence 交付後續個人模型或研究服務，依最小必要原則分離身分與資料。
5. 原檔清理可追溯：在必要的確認、寫入與稽核條件完成後清理不再需要的原始暫存檔及工作副本；應保留不暴露原檔內容的刪除紀錄。已保存的 Personal Model、備份及依法應保留紀錄，仍需另依各自的刪除流程辦理。

以上五項是安全架構與處理原則，不表示已取得 Apple、第三方機密運算或資安機構的全面認證。

上傳檔案與 DMZ 隔離解析

針對需解析的健康檔案，Bio2Twin 採用隔離處理的 Confidential DMZ 設計：加密傳輸 → 隔離解析 → 結果檢視／確認 → 將獲准保存的結構化欄位寫入 Personal Model → 清理不再需要的暫存檔與工作副本。結構化資料可能包括檢驗日期、項目、數值、單位與確認後的健康觀察。上傳原檔與模型資料是不同類別；除非功能明確要求並獲得同意，不應以「上傳」視為允許永久保留原檔。處理過程採取傳輸及儲存加密、分區存取、最少必要權限與稽核措施。DMZ 是隔離處理架構名稱，不等同端對端加密、零知識加密，亦不是無法遭受任何風險的保證。

AI 服務與第三方處理

對於餐點照片等選配 AI 服務，若您選擇由 OpenAI API 等第三方分析，Bio2Twin 應在傳送前告知該次資料及用途，並提供選擇；未選擇第三方分析時，不應因為已同意基本會員條款，就把照片送交外部服務。第三方處理可能涉及境外傳輸，資料將受該服務提供者的適用協議及處理規則約束；Bio2Twin 應事先揭露相關對象與資料類型。我們不把「API 服務」等同於 ChatGPT 個人帳戶的隱私設定，也不在未核驗前保證第三方沒有任何留存。

健康報告去識別化與資料使用關卡

會員上傳含個資的驗血、DNA、血糖或其他健康報告時，原始檔與可辨識個人的資訊應先留在 Confidential DMZ，不能直接進入 Personal Model、研究主機或外部 AI。在隔離環境內，依序進行必要的解析、個資辨識、欄位分離、結果核對與授權檢查。未完成去識別化或檢查未通過的資料應停止下游使用，不以「已上傳」視為核准使用。

1. 留在 DMZ 的識別資訊：姓名、身分證或護照號碼、生日、住址、電話、Email、醫院病歷號／條碼、報告上的 QR Code、可識別影像，以及任何足以重新識別個人的組合資訊；僅在身份核對、資料校正或依法所需的最小範圍內處理。
2. 經確認才輸出的健康欄位：必要的檢驗名稱、結果、單位、參考範圍、採樣時間或適當降精度的日期、測量來源與證據等級；移除非必要的姓名、病歷號與其他直接識別資訊，也檢查自由文字、圖片中殘留的間接識別線索。
3. 個人模型與研究分流：Personal Model 僅在對應會員服務授權範圍內取得可連結該會員的必要結構化資料；研究系統僅在另有有效研究授權時取得最小必要、已處理的證據。研究不得藉由會員基本資料授權取得完整原檔或身份對照表。
4. 對照表與清理：如為更正、撤回或刪除而必須保存身份對照，應隔離保存於受限環境，不交給研究端。原始檔與解析工作副本於完成必要核對和保存後依清理機制處理，並保留不含健康原文的稽核紀錄；主要資料、備份及依法應保留資料各依其適用刪除流程辦理。

去識別化不等於不可逆的匿名化。即使去除姓名，罕見檢驗組合、精確日期及可重新連結會員的內部 ID 仍可能構成個人資料，須繼續採取授權、最小化、權限隔離與刪除保護。

去識別化、研究與公開分享

研究資料應與會員身分資訊分開處理，採取資料最小化、內部識別碼及適當的去識別化控制；可被重新連結的資料仍應視為個人資料。參與研究、N-of-1 個人微試驗或將資料用於超出原定用途的研究，需另行說明與取得符合適用法律的同意。MY OI 以私人為預設；公開連結、朋友與個別指標的顯示需分別選擇。社群平台的朋友身分不構成 Bio2Twin 健康資料授權。

保存期間、備份與暫存資料

我們僅依提供服務、安全、法定義務與您已明確選擇的用途保存資料。DMZ 原始暫存檔和解析工作副本，在完成必要解析、核對及安全處理後，應依清理機制移除；已保存的 Personal Model 結構化資料不因原檔清理而自動刪除。系統安全日誌、備份與依法需保留的交易紀錄，可能與主要資料庫採不同保存與刪除週期。不應將「已刪除主要資料庫」宣稱為「所有備份及外部副本已立即刪除」。各類資料的具體保存期限與刪除作業時程，須依正式營運時公告的資料保存表和實際系統配置執行。

查詢、匯出、更正、撤回與刪除

在適用法律範圍內，您可申請查詢、取得副本、更正、停止處理或刪除相關個人資料。您可在 iOS 系統撤回 HealthKit 權限；撤回選擇性研究或公開分享，不會自行取消已發生的合法處理。Bio2Twin 的帳號刪除應包含身份確認、停用未來同步、撤銷裝置或登入憑證、刪除非必要帳號資料、已同步健康副本、可連結的 Personal Model、上傳檔及工作副本，並按備份週期完成清理。依法必須保留的紀錄及必要的刪除稽核憑證可分離、限縮保存。若刪除需要時間，應告知進度與完成結果。單純登出、移除 App 或刪除 Apple 健康資料，不等於刪除 Bio2Twin 伺服器資料。

安全事件、兒童、政策異動

我們應限制權限、監測不當存取並依適用法令處理資安事件，必要時通知受影響會員及主管機關。本服務不是兒童醫療服務；依法需要監護人同意或額外審查的使用與研究，不應僅憑一般會員勾選開始。政策發生重大變更時，應公告版本與生效日期；對新用途或需重新同意的敏感資料處理，應重新徵得適當授權，而非單靠會員繼續登入推定同意。