隱私權政策
Gym+ 是一本訓練日誌。你記錄的內容預設留在你的裝置上，只有經你授權才會以摘要形式離開：傳送給你的 Coach，以及排行榜或你的團隊，視你開啟的項目而定；如果你開啟，也會以加密副本的形式保存在你的帳號中（第 4.11 項）。App 讀取的健康資料（心率、卡路里和步數）不會離開，除非你授權：傳送給你的 Coach，用於訓練驗證和排行榜（排行榜中只會傳輸驗證等級），或作為保存在你帳號中的紀錄副本。本文件確切說明讀取了什麼、用於什麼、哪些內容會離開裝置、誰能看到什麼，以及你可以向我們要求什麼。
1. 誰是負責方
Gym+ App 由 ALAS TECHNOLOGY LLC 發行及營運，這是一家在美國登記的公司，EIN（美國國稅局雇主識別號碼）為 93-3927200。
就 LGPD 而言，我們是此處所述資料的控管者（controlador）。就 GDPR（《一般資料保護規則》）而言，我們是控管者（controller）。
個人資料處理負責人（LGPD 第 41 條）：負責人的官方管道是 privacy@gymplus.life。此地址受理任何有關個人資料的請求、疑問或申訴，必要時我們也透過它與巴西國家資料保護局（ANPD）聯繫。
2. 健康資料
這是最重要的部分，所以放在最前面。
App 讀取什麼
只有在你授權時，Gym+ 才會在 iPhone 上從 Apple「健康」（HealthKit）、在 Android 上從 Health Connect 讀取：
- 心率
- 消耗的活動卡路里
- 消耗的總卡路里
- 步數
- 僅在你於 App 初始設定中點按匯入時讀取：iPhone 上為體重、身高、出生日期和性別；Android 上為體重和身高
並且只寫回一樣東西：你剛完成的那次體能訓練，讓這次訓練計入你當天的活動，並出現在系統健康 App 的歷史紀錄中。
用於什麼
用於在你記錄的訓練中顯示訓練進行時身體的狀態，並呈現這些資料的圖表和趨勢。這些圖表和趨勢都在裝置上計算。沒有任何其他用途：不做統計、不做商業用途，也不做推薦。唯一的例外是你授權的用途：傳送給你的 Coach（第 7 項），用於訓練驗證或排行榜（第 11 項），以及保存在你帳號中的紀錄副本，該副本只用於把紀錄交還給你（第 4.11 項）。
匯入這些個人檔案資料僅用於在 App 初始設定中填寫你的個人檔案（對於出生日期，App 只保留你的年齡）。只有在你點按匯入時，App 才會讀取它們，而且它們和個人檔案的其他內容一樣留在裝置上（第 3 項）。個人檔案中只有兩項會傳送到我們的伺服器，且僅用於排行榜（第 6 項）：與你的性別對應的組別，以及你在「排行榜設定」中確認後的體重。
健康資料絕不會被怎麼使用
- 健康資料留在裝置上：它們在裝置上被讀取和顯示，未經你授權，不會傳送到我們或任何第三方的伺服器。只有在你授權的用途中，它們才會經由我們的伺服器離開裝置：傳送給你的 Coach，詳見第 7 項；或用於訓練驗證或排行榜，詳見第 11 項；或作為保存在你帳號中的紀錄副本，詳見第 4.11 項，該副本只用於把紀錄交還給你。在排行榜中，只會傳輸由此得出的驗證等級，絕不會傳輸心率序列。而且僅限該授權有效期間。
- 健康資料不會被出售、出租、讓與或交換。
- 健康資料不會用於廣告、行銷、鎖定目標或建立剖析，無論是我們還是任何其他人。第 4.10 項所述的 Meta SDK 不會收到任何健康資料。
- 健康資料不會輸入任何外部自動推薦系統，也不會傳送給任何第三方服務處理。
健康問卷、評估與進度照片
你的健康問卷回答、體能評估、身體組成評估（生物電阻抗）和進度照片，我們也視為健康資料。只有在你將它們傳送或分享給你的 Coach 時（每一類都須另行同意），或在你要求自動讀取生物電阻抗報告時，它們才會到達我們的伺服器；自動讀取只在記憶體中進行，在我們託管處理者的基礎架構上執行，不會儲存檔案。這一切都在第 7 項中說明。
如何撤回授權
- iPhone：設定 隱私權與安全性 健康 Gym+，然後關閉你想關閉的項目。
- Android：開啟 Health Connect 應用程式權限 Gym+。
撤回授權不會刪除你健康 App 中已有的內容，這些歷史紀錄由系統本身管理，也要在那裡刪除。Gym+ 只是不再讀取。
3. 留在裝置上的內容
以下內容保存在你的裝置上、App 的私有儲存空間中，預設不會傳送給我們：
- 你的訓練日誌：動作、組數、重量、次數、休息、日期。
- 你的課表與編排好的訓練。
- 你的個人檔案（如果你填寫）：顯示名稱、性別、年齡、身高、體重和活動量（大頭貼和封面照片一經發布，即適用第 8 項；與你的性別對應的排行榜組別和你為排行榜確認的體重，適用第 6 項）。
- 身體尺寸（如果你記錄）。
- 進度照片（如果你拍攝或從相簿中選擇，且沒有與你的 Coach 分享；見第 7.2 項）。
- 你記錄的體能評估和身體組成（生物電阻抗）評估，直到你與你的 Coach 分享為止（第 7.4 項）。
- 你寫的筆記。
- 偏好設定：語言、主題、單位、每週目標。
- 第 2 項所述的健康資料。
訓練日誌只有經你授權才會離開裝置，並以每次訓練摘要的形式傳送，視你開啟的項目而定：包含重量和次數的各組會傳送給你的 Coach（第 7 項）和排行榜（第 6 項），你所在的團隊會收到每日摘要（訓練次數、分鐘數、訓練量、連續天數和紀錄，以及僅在你開啟卡路里開關時，由 Gym+ 根據訓練自行估算的卡路里，絕不是從健康 App 讀取的數值）。如果你開啟了「保存在帳號中的紀錄」，訓練日誌和第 4.11 項所列其他內容的加密副本會保存在我們的伺服器上，僅用於交還給你。
如果你解除安裝 App，這些資料會隨 App 一起從裝置上移除。只有在你開啟了「保存在帳號中的紀錄」（第 4.11 項）時，我們才有副本可以還給你。當你匯出備份或分享一次訓練時，檔案會依你的意願前往你選擇的地方。你決定讓他人看到的內容（你在排行榜上的 @帳號名稱、你允許 Coach 查看的內容，以及你發布的照片和影片）請見第 5 至第 8 項。
4. 離開裝置的內容
只有下面描述的內容，而且每一項都只在你使用對應功能時才會發生。
4.1 你的帳號
帳號透過「使用 Apple 登入」、「使用 Google 帳戶登入」或傳送到你電子郵件地址的驗證碼建立。Gym+ 沒有密碼。你透過 Apple 或 Google 登入時，提供者會提供 App 一份已簽署的身分憑證，App 將它傳送到我們的伺服器，伺服器再以提供者公布的金鑰驗證簽章。我們因此取得：
- 你在提供者處的帳號識別碼（一個固定的代碼，不是你的姓名）；
- 提供者告知的電子郵件地址。如果你在 Apple 選擇了隱藏電子郵件地址，我們只會收到 Apple 的轉寄地址，我們也從不索取真實地址。
- 你的姓名，如果提供者告知：Apple 只在你首次登入時將它提供給 App，App 再將它傳送到我們的伺服器；Google 則將它包含在身分憑證本身之中；
- 你在首次登入後隨即選擇的 @帳號名稱。它是公開的：其他人透過它在 Gym+ 找到你，你也以它出現在排行榜上。
如果你用驗證碼登入，你向我們提供電子郵件地址，我們會向該地址寄送一組 6 位數的驗證碼，有效期限 10 分鐘，最多可嘗試 5 次。對於驗證碼，我們只保存其加密摘要。
註冊時提供的姓名以及電子郵件地址中 @ 之前的部分，只用於建議你的第一個 @帳號名稱。它們加密保存，僅保存到你選擇 @帳號名稱為止，屆時即被刪除。在此之前，它們不向任何人顯示（不在排行榜上顯示，也不向你的 Coach 顯示），包含在你的資料匯出中，並在帳號刪除時一併刪除。之後你變更 @帳號名稱時，建議來自 App 隨請求一起傳送的內容，該內容不會被保存。我們伺服器回傳的工作階段憑證只保存在記憶體中，在你登出帳號或關閉 App 時即被捨棄。
同一時間只用一台裝置。 你的帳號同一時間只會在一台裝置上保持登入：在另一台裝置上登入會讓先前的裝置登出。為此，也為了防止他人使用你的帳號，App 會在裝置的安全晶片（iPhone 上的 Secure Enclave、Android 上的 Keystore）中產生一把永遠不會離開晶片的加密金鑰，並用它為傳送到我們伺服器的每個請求簽署。我們會保存並連結到你的帳號：App 由該金鑰得出的裝置識別碼（不是序號、IMEI、MAC 位址或廣告識別碼）、大致機型（如「iPhone」或「Pixel 8」）以及最後一次存取的日期和時間。這些資料只用於帳號安全：維持同一時間只有一台裝置登入、在有新裝置登入時以電子郵件通知你（附有可讓所有裝置登出的「不是我本人」按鈕），並在 設定 > 安全性 中顯示目前的裝置和最近的裝置。它們依照保存期限一節中存取紀錄的保存期限處理，並在帳號刪除後與你解除連結。
使用里程碑。 我們只保存與你的帳號連結的若干使用里程碑的類型和日期，不含任何健康資料（第一次完成的訓練、第一個完成 2 次訓練的完整週，以及每類功能的首次使用：健康 App 連結、社交功能、Coach 和個人紀錄），用於了解大家如何開始使用 Gym+，並透過內部分析改進產品；這些里程碑會包含在你的資料匯出中，並在帳號刪除時一併刪除。
你如何使用 Gym+。 註冊時，App 會問「你如何使用 Gym+？」：你是自己訓練、有私人教練，還是本身就是私人教練。我們在伺服器上保存該回答及其日期，並與你的帳號連結，用於調整 App 和我們寄給你的訊息，並以彙總方式統計各種使用方式的人數。該回答絕不會傳送給 Meta 或任何其他廣告合作夥伴，也不會顯示給你的 Coach；它會包含在你的資料匯出中，並在帳號刪除時一併刪除。
4.2 訂閱驗證
為了確認你的訂閱是否有效，App 會向我們的伺服器傳送商店（Apple 或 Google）核發的購買識別碼和產品識別碼。伺服器向商店查詢並保存結果：方案（個人方案或 Coach 方案）、訂閱狀態（免費試用期、有效、寬限期、已到期、已撤銷）、到期日和最近一次查詢日期，並與你的帳號連結。商店也會在訂閱狀態變更（續訂、取消、退款）時通知我們的伺服器。
我們不接收也不儲存信用卡號碼、銀行資料、帳單地址或任何付款方式。收費的是商店，保存這些資料的也是商店。
4.3 每週回顧
當你要求每週回顧時，而且只在那一刻，App 會向我們的伺服器傳送：
- 你希望文字使用的語言；
- 你選擇的每週目標；
- 針對最近 4 個完整的週中的每一週，三個數字：訓練次數、有訓練的不同天數以及組數。
十二個數字、一種語言、一個目標。不會傳送動作名稱、重量、次數、照片、身體尺寸、筆記、原始歷史紀錄或任何健康資料。進行中的這一週被刻意排除，因為它還沒結束。伺服器產生回顧文字，回傳給 App，並且不保存這些數字。
4.4 邀請計畫
如果你使用邀請朋友功能，伺服器會保存你的邀請碼、誰邀請了誰，以及每個邀請所處的階段。為了防止同一台裝置只為取得獎勵而建立多個帳號，App 會傳送一個由它自己隨機產生的安裝識別碼。它不是硬體識別碼，也不是廣告識別碼，重新安裝 App 後就會改變，伺服器只以帶有密鑰的加密摘要形式保存它。當你領取獲得的一個月時，我們會使用帳號的電子郵件地址來安排發放。
4.5 你寄給我們的訊息
如果你寫信到我們的任一電子郵件地址，我們會收到這封郵件、你的地址以及你決定附上的內容，例如螢幕截圖。我們只用這些來回覆及處理你的請求。
4.6 我們寄出的電子郵件
我們使用你帳號的電子郵件地址、App 的語言和裝置的時區，從 gymplus.life 網域以正確的語言、在適當的時間寄送訊息：
- 服務訊息：登入碼和確認碼、歡迎訊息、關於你訂閱的通知（例如免費試用期的開始與結束、付款失敗和存取權結束）、安全通知，以及關於你內容的審核決定。這些訊息一律寄送，因為它們是帳號運作的一部分。
- 每週和每月報告（第 4.7 項）。
- 訂閱提醒與回訪提醒（第 4.8 項）。
- 寄給使用 Coach 方案者的學員動態通知，以及產品消息：只有在你開啟時才會寄送。
除服務訊息外，每一封訊息都附有一鍵取消訂閱的連結，只會關閉該類訊息。你的每一項選擇我們都會記錄，連同日期、來源和當時顯示的文字版本。
4.7 電子郵件報告
報告內容是你自己使用 Gym+ 的情形。每一種報告都有各自的開關，預設為開啟，你可以隨時在 App 的通知設定、電子郵件偏好設定頁面，或透過每封報告結尾的連結關閉。
- 個人方案的每週和每月報告：為了產生報告，App 只會將該期間的總計傳送到我們的伺服器：訓練次數、分鐘數、訓練量、紀錄、連續天數或有訓練的週數、獎牌，以及訓練最多的肌群。不會傳送任何健康資料或身體尺寸。每週總計最多保存 8 週，每月總計最多保存 3 個月，僅用於與上一期間比較。
- Coach 的每週和每月報告：在我們的伺服器上產生，內容包括活躍學員人數、訓練計畫的平均執行率、執行率上升或下降 10 個百分點以上的學員（以 @帳號名稱標示）、即將結束的課程，以及尚待回覆的學員訊息。執行率只計入允許 Coach 查看其訓練的學員，而且只使用已完成和已排定的訓練次數。
Coach 報告絕不包含健康資料：沒有心率、卡路里、疼痛、身體尺寸、評估、生物電阻抗、健康問卷或照片。為產生報告而每次讀取學員資料，都會記入該學員的存取紀錄，與在 App 中讀取時相同。
4.8 訂閱提醒與回訪提醒
如果你建立了帳號但沒有訂閱，我們可能會在最初 14 天內寄送最多 4 封電子郵件，提醒你完成訂閱。如果你的方案到期未續訂，我們可能會在其後 60 天內寄送最多 3 封回訪提醒郵件；曾獲退款或撤銷者則一封也不會收到。這些郵件屬於促銷性質，並在頁尾註明；只會在你所在時區的 10:00 至 20:00 之間寄出，你一訂閱就會停止，而且不包含價格、健康資料或身體尺寸。
- 在歐洲以外，這些郵件以我們提醒已建立 Gym+ 帳號者的正當利益為依據，預設為開啟；每封訊息都附有一鍵取消訂閱，App 和偏好設定頁面上也有「訂閱提醒」開關。
- 在歐洲（當你帳號的時區位於歐洲時），只有在你開啟該開關時才會寄送，也就是經你同意；你可以用同樣的方式撤回同意。
- 裝置上的提醒：只有在你接受一項專門的請求時，App 才會排定訂閱提醒通知；該請求與系統的通知權限分開，並在其之前顯示，也就是經你明確同意。提醒最多 2 則，你可以在 App 或系統設定中關閉。
4.9 錯誤診斷、效能和問題回報
為了修正故障，App 會把其中發生的錯誤的技術資料傳送到我們的伺服器：錯誤的類型和訊息、程式碼的技術追蹤（已混淆，不含你的任何內容）、發生錯誤的畫面、App 版本、系統和裝置的大致型號，以及出錯前你在 App 中最近的 50 個操作（開啟的畫面、主要操作和對伺服器的請求，包括路徑、結果、耗時和請求編號）。我們也會收到系統本身記錄的 App 意外結束（Android 上為結束原因，iPhone 上為 MetricKit）。
- 絕不傳送的內容： 你輸入的內容、密碼、登入代碼、權杖、明文電子郵件地址、證件或電話號碼、座標以及健康資料。App 在傳送前會遮蔽這些資料，伺服器也會再次遮蔽。
- 關聯： 登入狀態下，錯誤會關聯到你的帳號；登入前只關聯到安裝時產生的隨機識別碼，並以加密摘要形式儲存。
- 如何關閉： 在 設定 > 隱私與資料 中使用「傳送錯誤診斷」開關，預設為開啟。關閉後，App 會停止向我們的伺服器、Sentry 和 PostHog 傳送本項所述的全部內容，等待傳往我們伺服器的資料也會從裝置上刪除。
- 回報問題： 在 設定 > 說明與關於 和 個人檔案 中，你可以寫下發生了什麼，並選擇是否附加診斷資訊。文字會經過與 App 其他部分相同的仇恨和威脅過濾，遮蔽後取得一個顯示在畫面上的支援代碼（例如 GP-7K3Q9）。支援團隊透過電子郵件收到回報，並回覆到你帳號的電子郵件地址。
- 建議、截圖和網站： 在 個人檔案 的「建議」中，你可以傳送想法；在「回報問題」中，以及透過 gymplus.life 網站每個頁面上的「回報問題」按鈕，你可以附上一張螢幕截圖（傳送前可查看，表單欄位會被遮蓋），或附加一張圖片。隨之傳送的還有畫面或頁面、App 或網站版本、系統、語言、螢幕尺寸、瀏覽器（網站上）以及帳號（如果你已登入）；絕不傳送密碼或權杖。我們只將其用於修正故障和評估建議。保存 180 天，隨帳號刪除而刪除，並透過電子郵件傳送給支援團隊。
效能和易用性（彙總形式）。App 會測量自身的開啟時間和每個畫面的流暢度（緩慢影格和凍結影格），並按畫面統計點按次數、在同一位置快速連續重複的點按、沒有得到回應的點按，以及點按發生在螢幕的哪個區域（將螢幕分為 12 乘 24 的格線，絕不記錄確切位置）。這些計數在裝置上彙總後傳送到我們的伺服器，不含帳號、不含安裝識別碼，也不含時間；伺服器按日彙總，不保存 IP 位址（只保存其加密摘要，用於限制過量傳送）。它們只用於找出緩慢的畫面和難以使用的按鈕。在健康相關畫面（健康資料、身體組成、身體尺寸、你的照片、時間軸和比較）以及螢幕上顯示受保護內容時，不統計任何點按；在這些畫面上只測量畫面的流暢度。保存 180 天。
Sentry。錯誤、意外關閉、「App 沒有回應」事件（Android）和卡住（iPhone）也會傳送給 Sentry（Functional Software, Inc.），它是我們委託的處理者，資料儲存在歐盟（德國法蘭克福）。Sentry 收到錯誤的類型和訊息、程式碼的技術追蹤、發生錯誤的畫面及之前開啟的畫面、App 版本、系統和裝置型號，所有內容在傳送前都已在裝置上遮蔽。如果你年滿 18 歲，它還會收到效能測量資料（開啟時間以及畫面和操作的耗時），以及透過加密摘要從你的帳號衍生的代碼，其中不含你的電子郵件地址和姓名。它不會收到你輸入的內容、對伺服器的請求、螢幕錄影或螢幕影像，也不會收到健康資料。
PostHog。為了了解 App 的哪些部分被使用、使用者在哪裡放棄（例如，有多少帳號開啟了方案畫面、有多少開始了試用），我們向 PostHog, Inc.（我們委託的處理者，資料儲存在歐盟德國法蘭克福）傳送一份封閉的事件清單：開啟的畫面（絕不包括健康相關畫面）、登入和登出帳號、開啟方案畫面、購買確認（只有方案以及是否為免費試用，不含金額和幣別）、訓練開始和結束，以及 App 的安裝、更新、開啟和轉入背景。隨之傳送的還有同一個由帳號衍生的代碼和裝置技術資料（型號、系統、App 版本和語言）。不進行螢幕錄影，不自動擷取點按，不含健康資料，也不會傳送你個人檔案中的任何資訊。16 或 17 歲的人，或年齡尚未確認的人，不會向 PostHog 傳送任何內容。
Sentry 和 PostHog 都不會將這些資料用於廣告、在其他 App 或網站上追蹤你，或用於自身目的，這些資料也不會傳送給 Meta。兩者都已設定為不保存資料來源的 IP 位址。
這些資料只用於找出和修正錯誤、改進 App 以及處理你的回報，絕不用於廣告。錯誤在我們的伺服器保存 30 天，在 Sentry 最長保存 90 天（效能測量資料保存 30 天），效能和易用性的彙總計數保存 180 天，使用事件在帳號使用期間保存在 PostHog（連續 12 個月未使用 App 即刪除），回報保存 180 天。我們伺服器上的錯誤、PostHog 中的事件和回報會隨帳號刪除而刪除，我們伺服器上的錯誤和回報包含在你的資料匯出中。
4.10 Meta SDK
我們只使用 Meta 的 SDK 來衡量我們在 App 之外投放的付費廣告推廣活動；App 本身不顯示廣告。為此，App 和我們的伺服器只向 Meta 傳送以下事件：App 的安裝和開啟、完成註冊，以及訂閱（免費期開始和購買，附帶方案、價格和幣別）。隨這些事件一起傳送的還有裝置識別碼：SDK 為此次安裝產生的隨機識別碼、廣告點擊識別碼（如有），以及裝置的技術資料，例如機型、作業系統和 App 版本。絕不會傳送的內容：健康資料、訓練資料或位置資料，以及你對「你如何使用 Gym+？」的回答。如需退出，請寄電子郵件至 support@gymplus.life。
在 Android 上，以及未經你許可的 iPhone 上。不會傳送裝置的廣告識別碼、你的電子郵件地址和你的帳號識別碼：不會向 Meta 傳送任何能識別你身分的資訊，而且在 iPhone 上，SDK 會維持受限模式。
在 iPhone 上，經你許可。App 可能會透過 iPhone 本身的提示，向你請求一次追蹤許可（App Tracking Transparency）。如果你允許，Gym+ 也會與 Meta 分享以下內容，僅用於衡量推廣活動：經雜湊處理的電子郵件地址和帳號識別碼、裝置的廣告識別碼、你的購買（免費期開始和訂閱），以及互動事件（安裝、開啟和註冊）。你可以隨時在 iPhone 的設定中撤回此許可；此後，將再次適用上一段。
當你透過 Google 廣告安裝 Gym+ 時，我們會保存點擊識別碼（gclid）和推廣活動來源。如果你年滿 18 歲，我們只會向 Google Ads 告知該識別碼，以及帳號已建立或試用期已開始這項事實，用於衡量我們的廣告成效。我們絕不會傳送你的姓名、電子郵件、電話號碼，也不會傳送任何訓練或健康資料。你可以隨時透過客服電子郵件提出反對。
4.11 保存在帳號中的紀錄
預設情況下，你的紀錄只留在裝置上（第 3 項）。如果你開啟把我的紀錄保存在我的帳號中（設定 > 帳號），Gym+ 會在我們的伺服器上保存一份與你的帳號連結的加密副本，讓你在換手機或重新安裝 App 時找回紀錄。此功能預設關閉，只有在你閱讀並接受專門的同意畫面後才會開啟。如果你不想開啟，App 不會有任何改變：紀錄仍只留在裝置上。
保存的內容：
- 訓練：動作、組數、重量、次數、休息、出力程度、訓練備註，以及與訓練連結的手錶資料，例如心率和卡路里；
- 課表、每週行程和你建立的動作；
- 個人檔案（顯示名稱、性別、年齡、身高、體重和活動量）、身體尺寸和體重紀錄；
- 在 App 中獲得的獎章、筆記、訓練地點（名稱和器材，不含地址或座標），以及 App 的偏好設定。
不保存的內容：任何類型的照片和媒體（進度照片、大頭貼、動作照片和影片，以及筆記中的媒體）。它們仍只留在裝置上。
用途：僅用於把紀錄交還給你（在同一台裝置或另一台裝置上），並在每次訓練後讓副本保持最新。此副本不會用於廣告、行銷、回訪提醒、鎖定目標或使用分析，不會傳送給 PostHog、Sentry、Meta 或任何其他合作夥伴，也不會因本功能而顯示給你的 Coach、你的監護人或其他人。你與 Coach 分享的內容仍適用第 7 項及其中的各項同意。
法律依據：由於紀錄包含健康資料，處理以你明確、具體且明顯區隔的同意為依據（LGPD 第 11 條第 I 款，以及 GDPR 第 9(2)(a) 條，結合第 6(1)(a) 條），你可以隨時在 App 設定中撤回。我們保存一份同意紀錄，只包含日期、文字版本和你的選擇，在此功能開啟期間以及關閉後 5 年內保存，作為證明。
存放位置與保護方式：副本存放在 Cloudflare 的物件儲存空間（R2）中，Cloudflare 即第 12 項所述的託管處理者，儲存位置在歐盟管轄範圍內。副本只保存在歐盟；在你的裝置與儲存空間之間的傳輸途中，已加密的資料可能會經過 Cloudflare 位於歐盟以外的網路，並受 Cloudflare 合約條款的保護。每個檔案都以你帳號專屬的金鑰透過 AES-256-GCM 加密，檔名也不含你的帳號識別碼。我們的資料庫中只保存索引（月份、修訂版本和大小），絕不保存訓練內容，我們的伺服器也不會將紀錄的內容寫入日誌。
同一時間只用一台裝置：副本遵循同一時間只有一台裝置登入的規則（第 4.1 項）。在新裝置上登入帳號時，App 會下載副本，並與裝置上已有的內容合併，不會產生重複的訓練。
方案：保存新的訓練需要有效的方案。沒有方案時，不會保存任何新內容，帳號中已有的內容仍可下載、關閉或刪除。
如何關閉與刪除：在 設定 > 帳號 中關閉此開關。關閉後，副本會在 24 小時內從伺服器刪除，裝置上的內容保持不變。副本的索引（月份、修訂版本和大小，絕不包含內容）可能在資料庫備份中保留最多 30 天。撤回同意不影響此前已進行的處理，也不影響 App 的其他部分。你在 App 中刪除的訓練，只會在伺服器上留下一個不含內容的刪除標記，保存 90 天，讓其他裝置得知該訓練已被刪除。
保存多久：在帳號存在且此功能開啟期間保存。如果你連續 24 個月未使用 App 且沒有有效的方案，副本會被刪除，並提前 30 天通知：如果你同意以電子郵件接收此通知，則以電子郵件通知，否則在你再次開啟 App 時於 App 內通知。在此期間使用 App 即取消刪除。
帳號刪除與資料匯出：帳號刪除後，副本隨之刪除。你的資料匯出包含保存的紀錄。
16 或 17 歲的使用者：此功能預設關閉並鎖定，必須等監護人在監護人面板中允許後才能開啟（第 17 項）。如果監護人撤回許可，雲端會關閉，雲端副本會在 30 天內刪除；紀錄只留在裝置上。監護人看不到保存的紀錄：監護人面板仍只顯示第 17 項所述的內容。
iPhone 上的 iCloud 備份：此功能開啟期間，App 會將裝置上的紀錄排除在 iCloud 備份之外，避免健康資料保存在兩個地方。關閉後，紀錄會像以前一樣重新納入 iCloud 備份。
5. 位置資訊與健身房辨識
如果你允許，Gym+ 僅在 App 使用期間使用裝置的位置資訊，而且只有一個目的：辨識你所在的健身房，讓你的訓練計入該健身房的排行榜。
- 你的精確位置絕不會傳送到我們的伺服器，我們也不保存它：伺服器至多收到一個近似的網格，如下文所述。
- 為了尋找附近的健身房，App 會向伺服器傳送一個約 1 公里的 geohash 網格，即地圖上表示大略區域的一個方格；它用於搜尋，不會被保存。
- 簽到時，App 會傳送健身房識別碼和你所在的約 150 公尺的網格，以確認你在健身房。該網格會與健身房的網格核對，且不會被保存。
- 如果你登錄一間新的健身房，App 傳送的位置只是你所在的約 150 公尺網格，絕不是你的精確位置；伺服器會拒絕任何比該網格更精確的位置。該網格的中心成為健身房的位置，並向尋找健身房的人顯示。我們不保存任何將你與該位置及登錄時間連結的紀錄：只留下你登錄了該健身房這項說明，會在你刪除帳號時刪除。
- 為了顯示城市名稱，以及在 iPhone 上建議附近的健身房，App 會使用系統本身的定位服務：iPhone 上是 Apple 的，Android 上是 Google 的。對於這些請求，座標可能從裝置傳送到 Apple 或 Google，由它們依照各自的隱私權政策處理；Gym+ 只收到回傳的地點名稱。
- App 不在背景使用位置資訊，不記錄你的移動軌跡，也不將位置資訊用於廣告。
此權限是選擇性的。你可以在系統詢問時拒絕，也可以之後隨時在裝置設定中撤銷（iPhone：設定 隱私權與安全性 定位服務 Gym+；Android：設定 應用程式 Gym+ 權限 位置資訊）。沒有此權限，App 仍可正常運作，只是不再自動辨識健身房。
6. 公開排行榜
健身房排行榜在 Gym+ 內是公開的：任何開啟它的人都能看到榜上每個人的名次，每個人以各自的 @帳號名稱標示。排行榜顯示的是你的 @帳號名稱，而不是你的電子郵件地址，也不是你 Apple 或 Google 帳號上的姓名。
你可以隨時在 App 內退出排行榜或將自己隱藏。你也可以寫信至 privacy@gymplus.life，請我們代為處理。退出後，你的 @帳號名稱不再出現在榜單上；你的訓練仍保留在你的裝置上。
組別。如果你有帳號，並在 App 的個人檔案中回答了性別問題（在初始設定中、在設定中，或從健康 App 匯入），App 只會把與你的回答對應的排行榜組別傳送到我們的伺服器：男子、女子或公開組（適用於不願透露的人）。組別決定你進入哪些榜單，以及力量等級和體重級別所用的對照表。在依組別劃分的榜單上，任何查看者都能知道榜上每個人的組別。你可以在「排行榜設定」中變更組別。
體重。只有在你於「排行榜設定」中點按「確認體重」後，你的體重才會傳送到我們的伺服器。它用於將力量和訓練量除以你的體重，並決定你在力量榜單中的體重級別。沒有人能看到具體數值：它以加密形式保存，榜單只顯示體重級別。沒有體重，你就不會進入力量和訓練量榜單；自最後一次確認起 90 天後，體重將停止使用，直到你再次確認。
如何停止參與。在「排行榜設定」中點按「退出排行榜」，會讓你退出所有榜單；在設定中關閉「獎牌、等級和競賽」也會讓你退出榜單。組別和體重仍會保存並與你的帳號連結，包含在你的資料匯出中，並在帳號刪除時一併刪除。
7. 與你的 Coach 分享
7.1 你選擇分享的內容
如果你跟著一位使用 Coach 方案的教練訓練，Gym+ 可以讓對方追蹤你的訓練。未經你的同意，不會分享任何內容，而且同意是依類別給予的：每一類你都可以分別選擇：
- 訓練表現：訓練、包含重量和次數的各組，以及對訓練計畫的執行情形。
- 健康摘要：每次訓練的平均心率和最高心率、活動卡路里以及在各心率區間的時長，不包含心率序列。由於屬於健康資料，只有在你就這一類別給予具體同意後才會分享。
- 手錶驗證：由手錶確認你的訓練確實進行過。
- 進度照片、健康問卷、體能評估和身體組成：各自需要單獨的同意，詳見第 7.2 至第 7.4 項。
你未授權的內容不會傳送給你的 Coach。你可以隨時撤回同意，全部撤回或依類別撤回；此後該類別的分享即停止。Coach 也可以解除與你的連結，例如當你不再是其學員時。在這種情況下，分享同樣停止。
分享的資料經由我們的伺服器傳送給 Coach，並在連結和你的同意存續期間保存。Coach 只能將看到的內容用於追蹤你的訓練，不得用於任何其他目的。
7.2 進度照片
進度照片留在你的裝置上。如果你給予照片專屬的同意，就可以一次一張地與你的 Coach 分享。照片僅用於讓 Coach 追蹤你的進展。
- 誰能看到：只有你分享對象所屬連結的 Coach，而且僅限連結有效且你的同意存續期間。Coach 在 App 中查看照片，影像上會標示其本人的 @帳號名稱，透過只維持幾分鐘的臨時連結檢視，且沒有任何方式下載檔案。
- 審核：照片在可供查看之前，會經過與傳送到 Gym+ 的所有其他影像相同的安全分析（第 8 項），此分析會考量健身房的情境。
- 儲存：照片、姿勢和日期在我們的伺服器上加密。通知和收件匣中不會出現任何關於照片的內容。
- 刪除：當你刪除照片或撤回同意、連結結束或遭封鎖，或任一方帳號被刪除時，照片及所有已儲存的副本會立即刪除。
7.3 健康問卷
健康問卷是你的 Coach 可以寄給你的健康調查表：PAR-Q、Gym+ 標準問卷，或由 Coach 撰寫的問題。它讓 Coach 在編排或調整你的訓練前了解你的健康史。
- 回答屬於健康資料。只有在你針對健康問卷給予具體同意後才會傳送，每次提交都會保存為一個永不變更的版本。
- 回答在我們的伺服器上加密。Coach 只能在連結有效且你的同意存續期間閱讀，每次閱讀都會被記錄。
- 你撤回同意時，Coach 持有的副本會立即刪除。連結結束時也會刪除，而已結束連結的健康問卷請求會在結束後 30 天刪除。
7.4 體能評估與生物電阻抗
你可以記錄體能評估（皮脂厚度、圍度和體能測試）和身體組成評估（生物電阻抗）。這些資料留在你的裝置上，用於追蹤你的進展。
- 與 Coach 分享：只有在你與你的 Coach 分享某項評估，或 Coach 為你記錄評估時，評估才會到達我們的伺服器，而這兩種情況都需要專屬的同意（體能評估一項，身體組成另一項）。測量數值在伺服器上加密。Coach 只能看到你分享的評估和其本人記錄的評估，每次讀取都會被記錄。下次評估的時間快到時，你和 Coach 都會收到提醒。
- 撤回與刪除：你可以刪除自己記錄的評估，並隱藏 Coach 記錄的評估。一旦沒有任何有效連結保有你的同意，你分享的副本就會刪除；只會留下一個不含任何測量數值的標記，用於同步你的其他裝置，並在 30 天後刪除。Coach 記錄的內容仍然屬於你。如果你的帳號被刪除，這一切都會刪除；如果 Coach 的帳號被刪除，其記錄的內容仍然屬於你，但不再顯示其姓名。
- 自動讀取報告：你可以不手動輸入數字，而是傳送儀器的 PDF 或生物電阻抗報告的照片，讓系統自動讀取。這需要另行同意，你可以在 App 的隱私權畫面中撤回。檔案在我們的伺服器上，由在我們託管處理者的基礎架構上執行的自動化文件讀取系統（人工智慧）讀取（第 12 項），該處理者不會保留內容，也不會將其用於訓練模型。檔案在讀取期間只存在於記憶體中：不會寫入任何地方，使用紀錄只保留技術資料，例如檔案類型、頁數和結果，絕不保留文字、影像或數值。報告為 PDF 時，在自動化系統讀取文字之前，姓名和報告編號會先以標記取代。如果是照片，整張影像（包括印在上面的姓名和身分資訊）都會被自動分析，以擷取資料。姓名只會回傳給 App，讓你能在裝置上確認這份報告是你的，且不會被儲存。照片會經過與其他影像相同的安全分析。讀取到的數值只有在你檢查並確認後才會儲存。
7.5 Coach 封存
Coach 可以封存與你的連結，例如在你暫停訓練時；當 Coach 的學員多於名額時，連結也可能被封存，詳見使用條款。封存會中斷連結，但不會結束連結：
- 停止分享的內容：Coach 不再看到你的任何資料（訓練、指標、健康、評估、照片、健康問卷和執行率），也不會收到任何新資料；這段期間你記錄的訓練只留在你的裝置上。你不再收到 Coach 的課程、影片和課程對話，你裝置上這些內容的副本會被刪除。
- Coach 仍可看到的內容：只有你的姓名和 @帳號名稱、連結於何時由誰封存、封存的結束日期，以及其寄出的課程清單。其私人筆記會保留，若解除封存即會恢復。
- 同意暫停：你的同意仍會保留在紀錄中，但在連結封存期間不授權任何分享。如果 Coach 解除封存，這些同意會照原樣重新適用。你可以隨時撤回同意，或永久結束連結。
- 通知：連結被封存時（不說明原因）以及解除封存時，你都會在 App 中收到通知。
- 保留 12 個月與結束：封存的連結最多保留 12 個月，Coach 會在結束前 30 天收到通知。如果沒有人解除封存，連結會在 12 個月後結束，同意會在留下紀錄後關閉，雙方都會收到通知。刪除你的帳號或 Coach 的帳號，會像結束其他連結一樣結束封存的連結。
7.6 Coach 的公開頁面與聯絡請求
使用 Coach 方案者可以在 gymplus.life/p/ 加上其 @帳號名稱的網址發布公開頁面。頁面會顯示 Coach 的個人檔案（姓名、簡介、城市、專長、提供現場或線上指導，以及僅在驗證後顯示的 CREF 編號），以及經審核核准的照片和封面。Coach 可以開啟或關閉頁面，並選擇是否允許搜尋引擎收錄。Coach 方案失效後，頁面便不再顯示。
任何想跟著這位 Coach 訓練的人，都可以從頁面或 App 寄出聯絡請求，附上姓名、聯絡方式（電子郵件地址或 @帳號名稱）和一則訊息。這些資料只有一個用途，就是讓 Coach 回覆：
- 請求在我們的伺服器上加密，只有 Coach 能閱讀；從 App 寄出的請求，寄件者可以看到 Coach 的回覆；
- 請求會在寄出180 天後刪除，或在 Coach 或寄件者移除時提前刪除；從頁面寄出的人會收到一個連結，可用來刪除自己的請求；
- 為了阻擋機器人和濫用，頁面表單使用 Cloudflare 的機器人驗證（只有在你開始填寫時才會載入），以及依 IP 位址設定的寄送限制；IP 位址只以加密摘要形式保存，且只保存到限制期間結束；同一個聯絡方式再次寄給同一位 Coach 時，會更新先前的請求，而不會建立新的請求。
刪除 Coach 的帳號會刪除其頁面和收到的請求；刪除從 App 寄出請求者的帳號，會刪除其寄出的請求。
8. 你發布的照片和影片
有些媒體本來就是給別人看的：你的大頭貼、封面照片、你決定發布的照片，以及使用 Coach 方案者為學員錄製的動作影片。當你上傳這類媒體時，我們會將其保存在我們的伺服器上，以便向分享對象顯示。
這些媒體會經過審核（自動分析加上人工複審），以落實社群守則。違反守則的內容可能會被移除；被移除的內容會保留 30 天，以便對決定提出申訴，之後即刪除。審核只針對已發布的媒體；你留在裝置上的進度照片既不會上傳，也不會被分析。
你可以寫信至 privacy@gymplus.life，要求移除你發布過的任何媒體。刪除帳號時，你發布的媒體會一併刪除。
檢舉
你可以檢舉他人的個人檔案、照片、影片、訊息、留言、課程和其他內容。收到檢舉時，我們會保存檢舉人、被檢舉的內容及其作者、所選的理由、你撰寫的說明（如有，最多 1,000 個字元）以及日期。送出後，該內容就會從你的畫面上消失，App 也會提供封鎖作者的選項。
審核團隊會連同作出決定所需的情境查看檢舉：被檢舉的片段和作者的審核紀錄。我們會告知檢舉人一般性的結果。當檢舉涉及兒童或青少年時，檢舉會直接送交兒童安全團隊，結果不會透露給檢舉人；經證實的案件會依兒童安全所述通報主管機關。檢舉的保存期限請見第 13 項。
9. 螢幕截圖與螢幕錄影
Gym+ 的部分內容受到保護，例如 Coach 製作的付費訓練。在這些畫面上，App 會察覺螢幕截圖或螢幕錄影的發生，以保護這些內容。
- App 記錄的只是該事件曾在某項受保護內容上發生這項事實。
- 這筆紀錄會傳送到我們的伺服器，用於內容審核與保護內容，不會傳送給 Coach。
- Gym+ 不會擷取、保存或傳送任何螢幕畫面，這也不會讓 App 存取系統產生的截圖或你的相簿。
- 偵測只在受保護內容的畫面上執行，App 的其他部分不會使用。
10. 藍牙與感測器
Gym+ 使用藍牙僅為連接你所選擇的心率帶和感測器。只有在你要求連接感測器時才會搜尋裝置，而且不作他用。App 不會用藍牙定位你，不會為任何其他目的搜尋你周遭的其他裝置，也不會將搜尋到的裝置清單傳送到我們的伺服器。從感測器讀取的心率，與第 2 項中的其他健康資料以相同方式處理。你可以隨時在裝置設定中撤銷藍牙權限。
11. 手錶與感測器
Gym+ 可搭配你選擇連接的手錶和感測器使用：
- Apple Watch；
- Wear OS 手錶；
- Garmin 手錶，透過適用於 Connect IQ 的 Gym+ App；
- 藍牙心率帶。
蒐集哪些資料
訓練期間，這些裝置會記錄組數、次數、負重、以 15 秒為單位取平均值的心率，以及訓練摘要。
資料如何傳到手機
資料透過各製造商的官方管道從手錶傳到手機：
- Garmin：Garmin Connect IQ Mobile SDK 和 Garmin Connect App；
- Apple Watch：Apple 的配對功能；
- Wear OS：Wear OS 的資料層；
- 心率帶：標準藍牙，如第 10 項所述。
經過 Garmin 的資料，由 Garmin 依其自身的隱私權政策處理。Apple 和 Google 對其各自的系統也是如此。
資料存放在哪裡
存放在你的裝置上。只有在你授權傳送給你的 Coach（第 7 項）或授權用於訓練驗證或排行榜（第 6 項）時，或者在你開啟「保存在帳號中的紀錄」（第 4.11 項）時，資料才會離開裝置；後者會保存訓練（包括手錶資料）的加密副本，僅用於交還給你。在排行榜中，只會傳輸由這些資料得出的驗證等級，絕不會傳輸心率序列。
法律依據
由於這些屬於健康資料，處理以你的同意為依據：在 LGPD 下為具體且明顯區隔的同意（第 11 條第 I 款），在 GDPR 下為明確同意（第 9(2)(a) 條）。完整的表格請見第 14 項。
如何撤回授權
- 在 App 中中斷手錶或心率帶的連線；
- 在系統設定或 Garmin Connect App 中撤銷權限；
- 在 App 中撤回對 Coach、訓練驗證或排行榜的授權；
- 在 設定 > 帳號 中關閉「保存在帳號中的紀錄」。
撤回授權不影響撤回之前已進行的處理。
12. 我們與誰分享
我們不會為了金錢出售個人資料，也不會用個人資料換取服務、折扣或任何其他回報。涉及的第三方是讓 App 得以運作的服務商：
| 誰 | 收到什麼 | 為什麼 |
|---|---|---|
| Apple 與 Google（商店） | 你的購買和訂閱狀態 | 銷售、收費並管理訂閱。它們以獨立控管者的身分，依各自的隱私權政策處理這些資料。 |
| Apple 與 Google（系統定位） | App 請求城市名稱或附近健身房時裝置的座標 | 由裝置系統完成的地理編碼和地圖搜尋，依照它們各自的隱私權政策處理。 |
| Apple 與 Google（登入） | 你用它們的帳號登入了 Gym+ 這項事實 | 驗證你的身分並提供我們身分憑證。它們以獨立控管者的身分，依各自的隱私權政策處理這些資料。 |
| Cloudflare | 帳號識別碼、電子郵件地址、提供者告知的姓名（僅保存到 @帳號名稱選定為止）、@帳號名稱、訂閱狀態、邀請計畫資料、產生每週回顧期間的那十二個數字、排行榜資料（健身房）、你授權與 Coach 分享的內容（包括進度照片、健康問卷和評估）、你發布的媒體、電子郵件報告的總計、給 Coach 的聯絡請求、你要求自動讀取的生物電阻抗報告（僅在讀取期間存在於記憶體中）、保存在你帳號中的紀錄的加密副本（如果你開啟，第 4.11 項），以及存取伺服器和本網站者的 IP 位址與技術資料。帳號中紀錄的副本只保存在歐盟；在你的裝置與儲存空間之間的傳輸途中，已加密的資料可能會經過 Cloudflare 位於歐盟以外的網路，並受 Cloudflare 合約條款的保護。 | 以我們委託的處理者身分，託管我們的伺服器與資料庫（Cloudflare Workers 和 D1）、為保存在你帳號中的紀錄提供物件儲存空間（R2）、託管本網站、寄送 Gym+ 的電子郵件、轉寄寄往 @gymplus.life 地址的電子郵件、自動讀取報告，以及機器人驗證。 |
| Google（Google Workspace） | 你透過電子郵件寄給我們的訊息 | 以我們委託的處理者身分，提供公司信箱，我們在其中閱讀和回覆郵件。 |
| Sentry（Functional Software, Inc.），位於歐盟 | 第 4.9 項所述的錯誤、卡住和效能技術資料，以及（如果你年滿 18 歲）由你的帳號衍生的代碼 | 以我們委託的處理者身分，找出和修正錯誤及效能問題。 |
| PostHog, Inc.，位於歐盟 | 第 4.9 項列出的 App 使用事件，附帶由你的帳號衍生的代碼；不含 16 或 17 歲使用者的任何內容 | 以我們委託的處理者身分，了解 App 的使用情況以改進 App。 |
| Meta | 第 4.10 項所述的 App 事件，以及該項所述的裝置識別碼；在 iPhone 上，僅在你許可追蹤（App Tracking Transparency）時，還包括經雜湊處理的電子郵件地址和帳號識別碼，以及裝置的廣告識別碼 | 衡量我們在 App 之外投放的付費廣告推廣活動。Meta 依照其自身的條款和隱私權政策處理這些資料。 |
| 你的 Coach | 僅限你授權的類別：訓練表現、健康摘要、手錶驗證、進度照片、健康問卷和評估；如果你寄出聯絡請求，還包括你在其中撰寫的內容 | 在連結和你的同意存續期間追蹤你的訓練，以及回覆聯絡請求。連結封存期間，以上內容都不會分享。 |
| Gym+ 的其他使用者 | 你的 @帳號名稱和你在排行榜上的名次；你發布的媒體（向其分享對象顯示）；如果你是 Coach 並發布了頁面，頁面顯示的內容（向開啟頁面的任何人顯示） | 運作排行榜，並顯示你選擇公開的內容。 |
Cloudflare、Google（Google Workspace）、Sentry 和 PostHog 以處理者身分行事：它們只依照我們的指示處理資料，受要求保密與採取安全措施的契約約束，不得將資料用於自身目的。這些資料的跨境傳輸請見第 16 項。
在有法院命令、主管機關要求或法定義務時，我們也可能分享資料。在法律允許告知的情況下，我們會告知你。
13. 我們保存多久
| 內容 | 期限 |
|---|---|
| 健康資料 | 我們不保存。它們留在裝置上；例外是你授權傳送給 Coach 的內容，適用「與 Coach 分享的資料」一列，用於排行榜的驗證等級，適用「排行榜資料」一列，以及保存在你帳號中的紀錄副本（如果你開啟），適用其單獨的一列。 |
| 手錶與感測器資料（組數、次數、負重、心率和訓練摘要） | 在帳號存在期間留在裝置上。與你的 Coach 分享的部分，適用「與 Coach 分享的資料」一列；保存在你帳號中的紀錄裡的副本，適用其單獨的一列。 |
| 日誌、個人檔案、未發布的進度照片、身體尺寸、筆記 | 我們不保存，除非你開啟了保存在帳號中的紀錄，該紀錄適用其單獨的一列。它們留在裝置上，直到你刪除或解除安裝 App。排行榜組別和體重適用其單獨的一列。你授權傳送的訓練摘要適用與 Coach 分享資料那一列或排行榜資料那一列；傳送給團隊的每日摘要會在帳號刪除時一併刪除。 |
| 保存在你帳號中的紀錄（第 4.11 項） | 在帳號存在且此功能開啟期間保存。關閉後 24 小時內刪除；帳號刪除時隨之刪除；或在連續 24 個月未使用 App 且沒有有效的方案後刪除，並提前 30 天通知。對於 16 或 17 歲的使用者，如果監護人撤回許可，會在 30 天內刪除。索引（月份、修訂版本和大小，不含內容）可能在資料庫備份中保留最多 30 天。 |
| 帳號中保存的紀錄裡已刪除訓練的標記 | 90 天，不含內容。 |
| 保存在帳號中的紀錄的同意紀錄（只包含日期、文字版本和你的選擇） | 在此功能開啟期間以及關閉後 5 年內保存，作為同意的證明。 |
| 帳號（識別碼、電子郵件地址和 @帳號名稱） | 在帳號存在期間保存。帳號刪除後即刪除。 |
| 註冊時提供的姓名以及電子郵件地址中 @ 之前的部分 | 加密保存，僅保存到你選擇 @帳號名稱為止；屆時即被刪除。 |
| 電子郵件登入驗證碼 | 只保存加密摘要，最長 10 分鐘或最多 5 次嘗試。 |
| 精確位置座標 | 我們既不接收也不保存。 |
| 約 150 公尺的簽到網格 | 我們不保存：它在簽到時被核對後即被捨棄。 |
| 你登錄的健身房的位置 | 在該健身房存在於 Gym+ 期間保存。你登錄了該健身房的紀錄在帳號刪除時即刪除。 |
| 排行榜資料（健身房） | 在你參與排行榜且帳號存在期間保存。退出排行榜後，你的 @帳號名稱不再顯示；帳號刪除後即刪除。 |
| 排行榜組別和體重 | 在帳號存在期間保存，即使你退出排行榜後也是如此；體重自最後一次確認起 90 天後停止使用。帳號刪除後即刪除。 |
| 與 Coach 分享的資料 | 在連結和同意存續期間保存。撤回同意或解除連結後，分享即停止；帳號刪除後即刪除。 |
| Coach 封存的連結 | 最多 12 個月，期間不與 Coach 分享任何內容。如果沒有人解除封存，連結在期滿時結束，同意在留下紀錄後關閉。 |
| 與 Coach 分享的進度照片 | 保存至你刪除照片或撤回同意、連結結束或遭封鎖，或任一方帳號被刪除為止。屆時會立即刪除，連同所有副本。 |
| 健康問卷的回答 | 在連結有效且同意存續期間保存。撤回同意或連結結束後，Coach 持有的副本即刪除；已結束連結的健康問卷請求，在結束後 30 天刪除。 |
| 分享的體能評估和生物電阻抗評估 | 在有效連結保有同意期間保存。之後測量數值即刪除，只留下一個不含測量數值的標記，保存 30 天。Coach 記錄的評估仍屬於你，保存至你的帳號刪除為止。 |
| 送交自動讀取的報告 | 我們不保存。它只在讀取期間存在於記憶體中。只會留下不含內容的技術使用紀錄，帳號刪除時一併刪除。 |
| 電子郵件報告的總計 | 每週：最多 8 週。每月：最多 3 個月。帳號刪除後即刪除。 |
| 你對電子郵件和提醒的選擇 | 在帳號存在期間保存。帳號刪除後即刪除或匿名化。 |
| 給 Coach 的聯絡請求 | 寄出後 180 天，或在 Coach 或寄件者移除時提前刪除。 |
| 檢舉與審核案件 | 最多 2 年，用於作出決定、允許申訴並證明決定。如果帳號被刪除，只會與一個假名化識別碼保持關聯。兒童安全案件依兒童安全所述的法定期限處理。 |
| 已發布的照片和影片 | 保存至你要求移除、遭審核移除或帳號刪除為止。 |
| 遭審核移除的內容 | 保留 30 天，以便對決定提出申訴，之後即刪除。 |
| 訂閱狀態 | 在帳號存在期間保存。帳號刪除後，與你的連結即刪除。 |
| 付款的稅務紀錄 | 依適用稅務法規要求的期限保存。 |
| 邀請計畫（邀請碼和安裝標記） | 在帳號存在期間保存。帳號刪除後即刪除，尚未完成的邀請隨之關閉。 |
| 已使用購買的標記（tombstone） | 無限期保存。它是帳號識別碼與購買金鑰的不可逆加密摘要，不含電子郵件地址，也不含姓名。 |
| 每週回顧的十二個數字 | 我們不保存。它們用於產生回顧後即被捨棄。 |
| 伺服器存取日誌與稽核日誌 | 依巴西《網際網路民事框架法》（第 12.965/2014 號法律）第 15 條的要求保存 6 個月；僅在調查安全事件或執行主管機關命令所需期間內保存更久。媒體審核紀錄在此期間的最後幾個月存放於假名化的封存區，詳見下文。 |
| 資料庫備份 | 最多 30 天。 |
| 電子郵件訊息 | 在處理請求所需的時間內保存，之後依法律要求的期限保存，以證明我們已提供服務。 |
| 通知郵件的參考編號（Ref.） | 寄出後 24 個月。我們只保存 Ref. 編號、郵件範本和類別、語言、寄出和送達日期以及地址的加密摘要，絕不保存地址本身。登入驗證碼和歡迎郵件不帶 Ref.。帳號刪除後，Ref. 與你解除關聯，在到期前仍可在 gymplus.life/zh-hant/verify 核驗。 |
| App 傳送到我們伺服器的錯誤診斷 | 30 天。在此之前，隨帳號刪除而刪除。 |
| Sentry 中的錯誤和效能資料 | 錯誤：最長 90 天。效能測量資料：30 天。由於 Sentry 只保存由帳號衍生的代碼，不含電子郵件地址和姓名，這些紀錄不會因帳號刪除而提前刪除，而是在期限屆滿時刪除。 |
| 效能和易用性的彙總計數（不含帳號和安裝識別碼） | 180 天。 |
| PostHog 中的使用事件 | 在帳號使用期間保存。連續 12 個月未使用 App 或刪除帳號時，由我們伺服器上的每日例行程序自行刪除。 |
| 問題回報、建議、附加的截圖和圖片以及支援代碼 | 180 天。在此之前，隨帳號刪除而刪除。 |
| 訂閱計費事件（金額、幣別和日期） | 在稅務和會計義務要求的期限內保存；刪除帳號後，不再與你連結。 |
購買標記的存在有一個具體原因：防止一個已使用過的訂閱在第一個帳號刪除後被轉移或重複用於另一個帳號。它無法重新識別你，也無法復原任何原本屬於你的內容。
封存的審核紀錄
我們的媒體傳遞系統所作的每一項決定（授予、拒絕、暫緩或撤銷存取，以及第 9 項中的螢幕截圖事件）都會產生一筆稽核紀錄。這是我們調查付費內容遭濫用的方式，也屬於應用程式存取紀錄，依巴西《網際網路民事框架法》第 15 條，我們必須保存6 個月。這些紀錄在資料庫中保存 90 天，之後移至另一個存取受限的私人封存區：
- 在封存區中，紀錄不含你的帳號識別碼，只含一個假名化識別碼，它以一把密鑰和每個人專屬的隨機值計算而成，兩者分開保存；
- 只要該隨機值存在，你封存的紀錄就會包含在你的資料匯出中，但不含假名；
- 帳號刪除時，隨機值會被銷毀，封存的紀錄會與你永久脫鉤：任何人，包括我們，都無法再將它們與你連結。它們會作為匿名的稽核軌跡保留，直到 6 個月期滿後刪除；
- 資料庫備份最多保存30 天，只在還原服務時讀取；還原後，在服務重新運作之前，會重新套用備份日期之後的每一項帳號刪除。
14. 各項處理的法律依據
每一個目的都有 LGPD（第 13.709/2018 號法律）規定的法律依據；對於身在歐洲經濟區、英國或瑞士的人，另有 GDPR 規定的法律依據。凡以同意為依據者，你都可以隨時撤回，不影響先前已進行的處理，也不影響 App 的其他部分。
| 目的 | LGPD | GDPR |
|---|---|---|
| 帳號、@帳號名稱、訂閱、每週回顧、邀請計畫以及 App 的正常運作 | 履行契約（第 7 條第 V 款） | 履行契約（第 6(1)(b) 條） |
| 從健康 App 和藍牙感測器讀取心率、卡路里、步數、體重、身高、出生日期和性別（敏感的健康資料） | 具體且明顯區隔的同意（第 11 條第 I 款） | 明確同意（第 9(2)(a) 條，結合第 6(1)(a) 條） |
| 手錶與感測器資料（組數、次數、負重、心率和訓練摘要），包括傳送給 Coach、訓練驗證和排行榜 | 具體且明顯區隔的同意（第 11 條第 I 款） | 明確同意（第 9(2)(a) 條，結合第 6(1)(a) 條） |
| 使用位置資訊辨識健身房、簽到和登錄健身房 | 同意（第 7 條第 I 款） | 同意（第 6(1)(a) 條） |
| 用於建議 @帳號名稱的姓名和電子郵件地址的一部分 | 履行契約（第 7 條第 V 款） | 履行契約（第 6(1)(b) 條） |
| 以你的 @帳號名稱顯示的公開排行榜 | 履行契約（第 7 條第 V 款） | 履行契約（第 6(1)(b) 條） |
| 排行榜組別（依個人檔案中的性別決定） | 履行契約（第 7 條第 V 款） | 履行契約（第 6(1)(b) 條） |
| 在「排行榜設定」中確認的體重，用於相對力量和體重級別 | 具體且明顯區隔的同意（第 11 條第 I 款） | 明確同意（第 9(2)(a) 條，結合第 6(1)(a) 條） |
| 與 Coach 分享訓練表現 | 同意（第 7 條第 I 款） | 同意（第 6(1)(a) 條） |
| 與 Coach 分享健康摘要和手錶驗證 | 具體且明顯區隔的同意（第 11 條第 I 款） | 明確同意（第 9(2)(a) 條，結合第 6(1)(a) 條） |
| 保存和顯示你發布的媒體 | 履行契約（第 7 條第 V 款） | 履行契約（第 6(1)(b) 條） |
| 內容審核與落實社群守則 | 正當利益（第 7 條第 IX 款） | 正當利益（第 6(1)(f) 條） |
| 在受保護內容上偵測螢幕截圖和螢幕錄影 | 正當利益（第 7 條第 IX 款） | 正當利益（第 6(1)(f) 條） |
| 已使用購買的標記和安裝標記，用於防範詐欺 | 正當利益（第 7 條第 IX 款） | 正當利益（第 6(1)(f) 條） |
| 付款的稅務紀錄 | 履行法定義務（第 7 條第 II 款） | 法定義務（第 6(1)(c) 條） |
| 回覆訊息與請求 | 履行契約與行使權利（第 7 條第 V 款和第 VI 款） | 履行契約與法定義務（第 6(1)(b) 條和第 6(1)(c) 條） |
| 服務訊息，以及每週和每月的電子郵件報告（個人方案和 Coach） | 履行契約（第 7 條第 V 款） | 履行契約（第 6(1)(b) 條） |
| 訂閱提醒與回訪提醒電子郵件 | 正當利益（第 7 條第 IX 款及第 10 條），附一鍵取消訂閱 | 同意（第 6(1)(a) 條，結合第 2002/58/EC 號指令第 13 條及相應的國內規定） |
| 裝置上的訂閱提醒、學員動態通知和產品消息 | 同意（第 7 條第 I 款） | 同意（第 6(1)(a) 條） |
| 與 Coach 分享的進度照片、健康問卷、體能評估和生物電阻抗 | 具體且明顯區隔的同意（第 11 條第 I 款） | 明確同意（第 9(2)(a) 條，結合第 6(1)(a) 條） |
| 自動讀取生物電阻抗報告 | 具體且明顯區隔的同意（第 11 條第 I 款） | 明確同意（第 9(2)(a) 條，結合第 6(1)(a) 條） |
| 保存在你帳號中的紀錄（包含健康資料），用於在另一台裝置上把紀錄交還給你（第 4.11 項） | 明確、具體且明顯區隔的同意（第 11 條第 I 款） | 明確同意（第 9(2)(a) 條，結合第 6(1)(a) 條） |
| 保存在帳號中的紀錄的同意紀錄，在關閉後保存 5 年，作為證明 | 正常行使權利（第 7 條第 VI 款） | 證明已取得同意的法定義務（第 6(1)(c) 條，結合第 7(1) 條） |
| 封存連結並保留最多 12 個月 | 履行契約（第 7 條第 V 款） | 履行契約（第 6(1)(b) 條） |
| Coach 的公開頁面 | 履行契約（第 7 條第 V 款） | 履行契約（第 6(1)(b) 條） |
| 給 Coach 的聯絡請求 | 應資料當事人請求，執行與契約相關的前置程序（第 7 條第 V 款） | 應資料當事人請求採取的締約前措施（第 6(1)(b) 條） |
| 機器人驗證與寄送限制 | 正當利益（第 7 條第 IX 款） | 正當利益（第 6(1)(f) 條） |
| 檢舉與保存審核案件 | 正當利益（第 7 條第 IX 款），保存部分另依正常行使權利（第 7 條第 VI 款） | 正當利益（第 6(1)(f) 條） |
| 存取紀錄與稽核軌跡，包括假名化的封存區 | 履行法定義務（第 7 條第 II 款，以及《網際網路民事框架法》第 15 條） | 正當利益（第 6(1)(f) 條）：安全性與濫用調查 |
| 錯誤、效能和彙總易用性診斷（包括透過 Sentry 和 PostHog），用於修正故障、維護 App 安全並改進 App（你可以關閉「傳送錯誤診斷」開關表示反對） | 正當利益（第 7 條第 IX 款） | 正當利益（第 6(1)(f) 條） |
| 問題回報和支援服務 | 履行契約（第 7 條第 V 款） | 履行契約（第 6(1)(b) 條） |
| 網站上的 Meta 像素 | 同意（第 7 條第 I 款） | 同意（第 6(1)(a) 條） |
| App 中的 Meta SDK，用於衡量付費推廣活動，不含能識別你身分的資料（第 4.10 項；你可以寄電子郵件至 support@gymplus.life 表示反對） | 正當利益（第 7 條第 IX 款） | 正當利益（第 6(1)(f) 條） |
| 在 iPhone 上，經系統的追蹤許可（App Tracking Transparency）：與 Meta 分享經雜湊處理的電子郵件地址和帳號識別碼以及廣告識別碼，用於衡量推廣活動（第 4.10 項；你可以在 iPhone 的設定中撤回此許可） | 同意（第 7 條第 I 款） | 同意（第 6(1)(a) 條） |
凡以正當利益為依據者，該利益都是具體的，對你的影響也很小：防範詐欺時，我們只保存不含電子郵件地址和姓名的加密摘要；審核時，我們只處理你選擇發布的內容，以維護社群安全；偵測螢幕截圖時，我們只記錄事件曾經發生，以保護內容創作者的心血；在歐洲以外的訂閱提醒中，我們只寫信給已建立帳號的人，次數很少，不含健康資料，並附一鍵取消訂閱；在機器人驗證和寄送限制中，我們只使用請求的技術資料，以保護 Coach 免受垃圾訊息干擾；透過 Meta SDK 衡量推廣活動時，我們只傳送第 4.10 項所述的事件，不含健康資料，而且在未取得 iPhone 追蹤許可時，不含裝置的廣告識別碼，也不含你的電子郵件地址；在診斷、Sentry 和 PostHog 中，我們只使用技術資料和由帳號衍生的代碼，不含健康資料，PostHog 絕不接收 16 或 17 歲使用者的任何內容，而且你可以透過「傳送錯誤診斷」開關全部關閉。你可以寫信至 privacy@gymplus.life 反對這些處理。
15. LGPD：你在巴西的權利
各項處理的法律依據請見第 14 項。
你可以要求什麼
你可以隨時免費提出以下請求（LGPD 第 18 條）：
- 確認我們是否處理你的資料，並存取這些資料；
- 更正不完整、不正確或過時的資料；
- 對不必要、過度或違法處理的資料進行匿名化、封鎖或刪除；
- 將資料移轉給其他服務提供者；
- 刪除基於你的同意而處理的資料；
- 了解我們與誰分享你的資料；
- 了解如果你不同意會有什麼後果；
- 撤回同意；
- 對僅基於自動化處理所作的決定要求複審，例如自動審核所作的內容移除（第 20 條）。
有些選擇你可以自行完成，無需寫信給我們：撤回給予 Coach 的同意（包括進度照片、健康問卷和評估的同意）、撤回自動讀取報告的同意、結束連結（即使是已封存的連結）、關閉電子郵件報告和提醒、刪除你寄出的聯絡請求、關閉並刪除保存在你帳號中的紀錄、退出排行榜，以及在裝置設定中撤銷位置資訊、藍牙、通知和健康權限。此外，你也可以在個人檔案 > 帳號與訂閱 > 匯出帳號資料中下載一個檔案，其中包含我們保存的你的帳號資料，即使沒有有效的方案也可以。
如需行使其中任何一項權利，請寫信至 privacy@gymplus.life。我們會在 15 個日曆天內回覆。刪除帳號可以直接在 App 內完成，方法請見刪除帳號。
如果你認為我們不當處理了你的資料，可以向巴西國家資料保護局（ANPD）提出申訴。
跨境傳輸
離開裝置的資料會在美國以及我們的處理者營運基礎設施的其他國家處理。此傳輸以與每個處理者簽訂的標準契約條款（LGPD 第 33 條第 II 款 b 目）以及第 16 項所述的其他保障措施為依據。你可以要求我們提供適用保障措施的副本。保存在你帳號中的紀錄副本（第 4.11 項）只保存在歐盟；在你的裝置與儲存空間之間的傳輸途中，已加密的資料可能會經過 Cloudflare 位於歐盟以外的網路，並受 Cloudflare 合約條款的保護。
16. GDPR：你在歐洲的權利
Gym+ 的介面支援 16 種語言，並在歐洲經濟區國家的 Apple 和 Google 商店中販售。如果你身在歐洲經濟區、英國或瑞士，以下規則同樣適用。
法律依據（第 6 條和第 9 條）
各項處理的依據請見第 14 項的表格。簡言之：App 和帳號的運作以履行契約（第 6(1)(b) 條）為依據；位置資訊、在 iPhone 上經追蹤許可與 Meta 分享、與 Coach 分享訓練表現，以及透過電子郵件和在裝置上的訂閱提醒，以同意（第 6(1)(a) 條）為依據；凡涉及健康資料（屬於特殊類別資料）者，即從健康 App 和感測器讀取資料、與 Coach 分享的健康摘要和手錶驗證、進度照片、健康問卷、評估、自動讀取生物電阻抗報告，以及保存在你帳號中的紀錄，以明確同意（第 9(2)(a) 條）為依據；稅務紀錄以及保存在帳號中的紀錄的同意紀錄以法定義務（第 6(1)(c) 條）為依據；防範詐欺、內容審核、檢舉、螢幕截圖偵測、機器人驗證、存取紀錄、錯誤、效能和使用診斷（包括透過 Sentry 和 PostHog），以及透過 App 中的 Meta SDK 衡量推廣活動，以正當利益（第 6(1)(f) 條）為依據。正因如此，只有在你於系統中授權後才會讀取健康資料，而且每一項同意都可以撤回，不影響 App 的其他部分。
國際傳輸
控管者是一家在美國登記的公司，我們的伺服器、資料庫、本網站和郵件轉寄都在 Cloudflare 的基礎架構上運作，而 Cloudflare 可能在你所在國家以外（包括美國）的資料中心處理資料。因此，帳號、訂閱、邀請計畫、排行榜、與 Coach 分享、電子郵件與報告以及聯絡請求的資料，以及已發布的媒體，可能會被傳輸到歐洲經濟區以外。
Cloudflare 已取得 EU-U.S. Data Privacy Framework（歐美資料隱私框架，以及其英國和瑞士延伸）認證，並在其資料處理協議中納入了歐盟執委會核准的標準契約條款（第 46(2)(c) 條）。託管我們信箱的 Google 也提供相同的保障。你可以要求我們提供適用保障措施的副本。
傳送給 Sentry 和 PostHog 的資料（第 4.9 項）儲存在歐盟（德國法蘭克福），受這些公司的資料處理協議約束，並適用針對這些公司從美國存取資料的標準契約條款。
保存在你帳號中的紀錄副本（第 4.11 項）使用 Cloudflare 位於歐盟管轄範圍內的物件儲存空間（R2），只保存在歐盟；在你的裝置與儲存空間之間的傳輸途中，已加密的資料可能會經過 Cloudflare 位於歐盟以外的網路，並受 Cloudflare 合約條款的保護。
從健康 App、手錶和感測器讀取的健康資料，只有在你授權時才會離開裝置：傳送給你的 Coach（健康摘要和手錶驗證），用於訓練驗證或排行榜，或作為保存在你帳號中的紀錄副本（存放在歐盟）。在排行榜中，只會傳輸由此得出的驗證等級，絕不會傳輸心率序列。你與 Coach 分享的進度照片、健康問卷和評估，以及你要求自動讀取的報告，也是如此。這些特殊類別資料的傳輸依據是你的明確同意，並受上述相同保障措施的保護。
你的權利
- 存取權（第 15 條）、更正權（第 16 條）和刪除權（第 17 條）。
- 限制處理權（第 18 條）和反對權（第 21 條）。
- 要求我們將更正、刪除或限制處理的情形通知你的資料的接收者（第 19 條）。
- 不受僅基於自動化處理、產生重大影響之決定的拘束（第 22 條），詳見下文。
- 資料可攜權（第 20 條）。實際上：真正屬於你的東西（訓練日誌）在裝置上，App 本身就能將這些歷史紀錄匯出成檔案，無需仰賴我們。我們保存的帳號資料，你可以自行在個人檔案 > 帳號與訂閱 > 匯出帳號資料中下載，即使沒有有效的方案，也會產生一個檔案，其中包括帳號、訂閱、排行榜和與 Coach 分享的資料；如果你開啟了保存在帳號中的紀錄，還包括該副本。你發布的媒體，以及在仍可與你連結期間的封存審核紀錄，可應你的要求以機器可讀的格式提供給你。
- 隨時撤回同意（第 7(3) 條），不影響先前已進行的處理。
- 向你所在國家的資料保護機關提出申訴（第 77 條）。
請求請寄至：privacy@gymplus.life。我們會依 GDPR 的要求在一個月內回覆，通常會早得多。
自動化決策
每週回顧是對四週資料的算術比較，而不是關於你的剖析。已發布媒體的審核結合了自動分析與人工複審；如果關於你內容的某項決定完全以自動化方式作出，你可以寫信至 privacy@gymplus.life，要求由人工複審。自動讀取生物電阻抗報告只會提出數值建議：在你檢查並確認之前，不會儲存任何內容。我們不做第 22 條意義上完全自動化、產生法律效果或對你有類似重大影響的決策。
17. 兒童與青少年
最低年齡：16 歲。未滿 16 歲的人不得使用 Gym+。未滿 16 歲者的帳號會被關閉；當我們得知某個帳號屬於未滿該年齡的人時，我們會將其刪除，任何人都可以寫信至 privacy@gymplus.life 提出此項請求。Gym+ 不以 13 歲以下兒童為對象，並依照美國 COPPA 的要求，我們不會故意蒐集他們的資料。如果你所在國家的法律規定同意處理資料的年齡高於 16 歲（在歐洲經濟區為 GDPR 第 8 條），則以當地年齡為準，未達該年齡的使用須經監護人授權。
App 如何得知你的年齡
- 商店或系統訊號：App 會先查詢裝置的年齡訊號：在 iPhone 上是 Apple 的 Declared Age Range（iOS 26 或以上版本），在 Android 上是 Google Play 的 Play Age Signals。App 只會收到一個年齡區間（例如 16 至 17 歲，或 18 歲以上）及其來源（本人聲明、監護人聲明或已驗證），絕不會收到出生日期。
- 出生日期：沒有此訊號時（裝置較舊、拒絕提供或服務無法使用），App 會詢問出生日期，出生日期只保存在裝置上。
- 兩者不一致時：如果兩個來源不一致，以保護程度較高者為準。
- 傳送到伺服器的內容：只有此人是否已滿 18 歲，以及確認的日期。
- 用途：年齡訊號只用於讓 App 符合使用者的年齡，絕不用於廣告、行銷、建立使用者剖析或分析。
青少年模式（16 歲和 17 歲）
16 歲或 17 歲的人以青少年模式使用 Gym+，預設採用最高等級的隱私保護：
- 沒有社交功能：沒有排行榜、對決、團隊、聯賽、好友、公開 @、公開頁面，也無法搜尋其他人。
- 與 Coach 連結須經監護人同意：青少年可以跟隨 Coach 訓練，但只有在監護人確認後才會建立連結，詳見下文。
- 不進行廣告成效衡量：Meta SDK（第 4.10 項）和 Conversions API 不會從該帳號收到任何內容，已為此類衡量存在的資料會被刪除。
- 不進行使用分析：PostHog（第 4.9 項）不會從該帳號收到任何內容，Sentry 只收到技術錯誤，不含任何帳號識別碼，也不含效能測量資料。不識別任何人的效能和易用性彙總計數繼續進行。
- 不寄送行銷郵件：訂閱提醒與回訪提醒（第 4.8 項）以及產品消息不會寄送，即使本人已開啟。本人要求的訓練報告（第 4.7 項）會繼續寄送。
- 健康資料：與所有人一樣，只有在取得專門同意時才會處理（第 2 項），且絕不用於廣告。
- 保存在帳號中的紀錄：預設關閉並鎖定，必須等監護人在監護人面板中允許後才能開啟。如果監護人撤回許可，雲端會關閉，雲端副本會在 30 天內刪除；紀錄只留在裝置上。它絕不用於廣告、行銷或分析，監護人也看不到它（第 4.11 項）。
- 購買：遵循商店的管控：在 App Store 為家人共享中的「購買前詢問」，在 Google Play 為透過 Family Link 核准。
與 Coach 連結的監護人同意
16 歲或 17 歲的人可以跟隨 Coach 訓練，但只有在監護人確認後才會建立連結。
- 確認請求：當青少年提出或接受連結時，App 會要求提供監護人的電子郵件地址。監護人會收到一封電子郵件，其中包含 Coach 的姓名和 @，以及一個 7 天後失效的確認連結。未經確認，不會與 Coach 分享任何內容。
- 同意紀錄：我們會記錄監護人的電子郵件地址（加密保存，並附帶一個用於查找該紀錄的加密摘要，即雜湊值）、日期、進行確認者的 IP 位址以及所接受文字的版本。此紀錄會隨青少年的帳號一併刪除。
- 撤回：監護人可以隨時透過郵件中附帶的連結撤回同意。撤回後，與該 Coach 的連結立即終止。
- 寄給監護人的通知：每次與新的 Coach 建立連結時，監護人都會收到通知；連結終止時，監護人會收到一份摘要，其中包含 Coach 的姓名以及開始和結束日期。
- Coach 能看到的內容：只有該學員未滿 18 歲這項資訊，絕不包括確切年齡或學員的方案。Coach 須遵守專門針對未成年人的行為準則。照片、影片和訊息與往常一樣經過相同的審核，涉及未成年人的檢舉會優先處理。
- 照片與年齡：16 或 17 歲的使用者不會與 Coach 分享進度照片。在青少年分享的體能評估中，Coach 看到的是 17 歲，而不是確切年齡。
監護人的關注
16 或 17 歲使用者的監護人可以關注其在 Gym+ 的活動，僅供閱讀，無需建立帳號。
- 如何開始： 青少年在 App 中填寫監護人的電子郵件，或監護人已確認過某位 Coach。監護人透過信件中的連結確認，連結 7 天後失效。
- 監護人能看到什麼： 最近 90 天的 App 使用時間和每天的訓練（次數和分鐘），以及監護人確認過的每位 Coach 與青少年之間的訊息。監護人永遠看不到照片、測量數據、健康資料、位置，也看不到與其未確認的 Coach 之間的訊息。
- 存取： 每次存取時，監護人需要申請一個閱讀連結，我們只寄到其電子郵件，有效期 24 小時。撤回同意會立即終止存取。
- 存取紀錄與透明度： 我們記錄每次存取的日期和 IP 位址，青少年可以在 App 中看到存取時間以及可被看到的內容。
- 最少資料與保存期限： 為此我們只按天保存 App 內分鐘數、訓練次數和訓練分鐘數，保存 90 天，且僅在有已確認的監護人期間保存。這些資料不會用於廣告，也不會顯示給 Coach，並會隨帳號一起刪除。
青少年模式的其他部分維持不變：仍然沒有排行榜、對決、團隊、聯賽、好友、公開 @ 和搜尋他人功能，不進行廣告成效衡量，也不寄送行銷郵件。
監護人與法律依據
監護人可以寫信至 privacy@gymplus.life，要求存取、更正或刪除該青少年的資料。我們遵守巴西的 ECA Digital（《兒童及青少年數位法》，第 15.211/2025 號法律，自 2026 年 3 月 17 日起施行）、第 12.880/2026 號法令以及 LGPD 第 14 條，該條要求對兒童及青少年資料的處理須符合其最佳利益。涉及兒童或青少年的檢舉，依第 8 項檢舉所述處理。
在巴西的法定代表人（ECA Digital，第 15.211/2025 號法律，第 40 條）：ALAS TECNOLOGIA LTDA, CNPJ 27.272.134/0001-18。聯絡方式：privacy@gymplus.life。
18. 安全性與治理
認證
ALAS TECHNOLOGY LLC 持有 ISO/IEC 27001 與 ISO/IEC 27701 認證，並依據這些標準運作資訊安全與隱私管理制度。此制度明定負責人，定期評估風險，並將下文所述適用於 Gym+ 的控制措施予以文件化。
ISO/IEC 認證：Information Security Management 27001:2022（證書 Q7LUQTCU20251113BRAIS1Z1）、Privacy Information Management 27701:2025（證書 Q7LUQTCU20251113BRAPI15R）以及 Compliance Management System 37301:2021（證書 Q7LUQTCC20251113BRACM1X7）。 查看證書（在新分頁中開啟）
控制措施
- 傳輸加密：App、本網站與我們伺服器之間的所有通訊都強制使用 HTTPS。App 會拒絕攜帶憑證的重新導向。
- 靜態加密：伺服器上保存的資料進行靜態加密；我們保存的訂閱資訊另外以 AES-256-GCM 加密，進度照片、健康問卷回答、評估和聯絡請求另外以 AES-GCM 加密，保存在你帳號中的紀錄副本另外以 AES-256-GCM 加密（每個帳號使用專屬的金鑰），帳號和安裝識別碼以加密摘要形式保存。
- 資料最小化：我們只處理本政策各項目的所必需的資料。你的精確位置絕不會傳送到我們的伺服器，伺服器只會收到近似網格，簽到網格也不會被保存。訓練日誌預設留在裝置上，只有經你授權才會以摘要形式傳送給你的 Coach 以及排行榜或你的團隊，視你開啟的項目而定，或者在你開啟保存在帳號中的紀錄時，以加密副本的形式保存在你的帳號中；健康資料只有在你授權傳送給 Coach、用於訓練驗證和排行榜，或作為保存在你帳號中的紀錄副本時才會離開裝置（第 2 項、第 3 項、第 4.11 項和第 5 項）。
- 存取控制：正式環境系統的存取權限僅限於營運服務所需的人員，並採用強式驗證與定期的權限審查。在 App 中，工作階段憑證只保存在記憶體中，登出帳號時即被捨棄；裝置上保存的任何標記都無法授予付費存取：權益一律來自對商店的重新查詢。
- 日誌與稽核：對正式環境系統的存取和管理操作都會被記錄，我們會檢視這些記錄以發現濫用行為。保存期限請見第 13 項，封存的部分已假名化（封存的審核紀錄）。
事件應變
沒有任何系統是牢不可破的。我們建立了事件應變程序，用於偵測、控制、評估和處置任何安全事件。如果事件可能對資料當事人造成重大風險或損害，我們會在 ANPD 法規規定的期限內通知巴西國家資料保護局（ANPD）和受影響的資料當事人。對於位於歐洲經濟區、英國或瑞士的使用者，我們會在知悉事件後 72 小時內通知主管監督機關；風險較高時，也會依 GDPR（第 33 條和第 34 條）的要求，毫不遲延地告知受影響的資料當事人。
資料保護負責人
我們的資料保護負責人（即 LGPD 所稱的 encarregado）負責監督此管理制度，並擔任資料當事人與主管機關的聯絡窗口：privacy@gymplus.life。如需通報漏洞，請參閱安全性頁面，或寫信至 security@gymplus.life。
19. 本網站
以下內容適用於你尚未同意廣告衡量的情況。如果你在 Cookie 通知中同意，本網站會在首頁以及邀請、支援和社群頁面載入 Meta 像素（來自 connect.facebook.net），但絕不會在計算機、政策和安全頁面載入，並使用 Meta 的 _fbp（瀏覽器識別碼，90 天）和 _fbc（廣告點擊識別碼，90 天）Cookie，以及網站自己的 gp_utm Cookie，用於在造訪期間保存廣告來源（第 4.10 項）。除下文所述的兩個 Cookie 外，你對通知的回答（同意或拒絕）會保存在功能性 Cookie gp_consent 中，最長 12 個月。你可以透過頁尾的「Cookie 偏好設定」連結變更回答；拒絕或撤回會刪除 _fbp、_fbc 和 gp_utm。
本網站不使用廣告或分析類 Cookie，不從其他網域載入字型、指令碼或圖片，也不為訪客建立剖析。它只使用兩個 Cookie，都由本網站自己設定，且都僅用於實現功能。第一個是 gp_lang：只有在你透過語言選擇器選擇語言時才會建立，並將這項選擇保存最長一年，讓下次以同一語言開啟網站。第二個是 gp_invite：只有在你開啟 gymplus.life/i 上的邀請連結時才會建立，只保存邀請碼，僅對 /i 路徑有效，最長保留 30 天，讓你在 App 中輸入之前隨時能找到這個邀請碼。它不會識別你本人或你的裝置。託管本網站的 Cloudflare 會在提供頁面和保護基礎架構所需的時間內，記錄請求的 IP 位址和技術資料。
唯一的例外是 Coach 公開頁面（gymplus.life/p/）：當你開始填寫聯絡表單時，頁面會載入 Cloudflare 的機器人驗證，它只使用瀏覽器的技術資料來區分真人與機器人（第 7.6 項）。
20. 本政策的變更
本政策發布後可能會變更。如果變更會對我們處理你資料的方式造成重大影響，我們會在其生效前透過 App 內通知和電子郵件告知你，並註明更新日期。
21. 如何聯絡我們
- 隱私權、資料當事人權利與資料保護負責人： privacy@gymplus.life
- 支援：support@gymplus.life 或 支援頁面
- 安全性與漏洞：security@gymplus.life 或 安全性頁面
- 其他事項：contact@gymplus.life
ALAS TECHNOLOGY LLC, EIN 93-3927200
在巴西的法定代表人（ECA Digital，第 15.211/2025 號法律，第 40 條）：ALAS TECNOLOGIA LTDA, CNPJ 27.272.134/0001-18。聯絡方式：privacy@gymplus.life。