隱私權政策

最後更新：2026 年 10 月 15 日

本文件以英文版為準；其他語言版本僅為方便閱讀而提供的翻譯，內容如與英文版有出入，以英文版為準。

Turnabee 只收集「把一件事送到另一個人的行事曆上」真正需要的資料。 我們不賣資料、不在網站上放廣告，也不分析你行事曆的內容。 登入後的頁面、受通知者的頁面不做任何追蹤；只有沒登入時看的公開介紹頁，裝了 Google 的廣告成效追蹤碼（見下面「Cookie」）。

Turnabee 上有兩種人

這件事會影響下面每一段，所以先講清楚：

• 建立者——用 Google 或 Email 登入、建立群組、安排事項的人。
• 受通知者——被安排事情的人，例如家人、保姆、同事。 受通知者不需要 Turnabee 帳號，也不需要安裝任何程式。 他只要把 Turnabee 接到自己原本就在用的行事曆一次，之後就不用再回來。

我們收集什麼

建立者（用 Google 登入的人）

你按「用 Google 登入」的時候，我們只向 Google 要三樣東西 （權限範圍是 openid email profile）：

你的 Google 帳號識別碼	Google 給每個帳號一組固定的編號。我們用它認出「是同一個人回來了」。
你的 Email	用來認出你的帳號。
你的名字	顯示在畫面上，也會出現在受通知者收到的信裡（「這是 ○○○ 幫你安排的」）。

我們不會拿到你的 Google 密碼，登入全程在 Google 自己的畫面上完成。

建立者（用 Email 登入的人）

你填 Email、按「寄登入連結給我」的時候，我們會寄一封信給你，裡面有一個登入連結和一組 6 位數登入碼， 15 分鐘內有效、只能用一次。為此我們存下：

你的 Email	用來認出你的帳號，也是我們寄登入信的地址。如果你本來就用同一個 Email 的 Google 帳號登入，兩種方式會是同一個帳號。
你的名字	第一次設定時你自己填的。顯示在畫面上，也會出現在受通知者看到的頁面上。
登入信的紀錄	那個連結和登入碼只存加密過的雜湊（我們自己也看不到原本的內容），另外存一個從哪裡要求的雜湊（不是原本的 IP）， 用來防止同一個地方一直要求寄信。一天後刪除。

你用下去之後，我們還會記這幾樣，每一樣都是為了一個畫面上看得到的功能：

你的時區	例如 Asia/Taipei，由你的瀏覽器告訴我們。用來判斷一件事「過期了沒」—— 沒有它，我們會用錯的日期，在你那一天還沒過完的時候就說事情過期了。
你選的語言	讓你換一台裝置也是同一種語言。
你從哪裡找到 Turnabee	例如 reddit、google、direct， 只有固定的十種標籤之一，只在你建立帳號的那一刻記一次，之後不會再更新。 用來知道哪裡的介紹真的有幫到人。不存網址、不存你看過哪些網頁，也不拿來做跨網站追蹤或廣告。
你在哪幾台裝置登入著	每一次登入，我們記下那台裝置瀏覽器的 User-Agent 和最近一次使用的時間，列在帳號頁上，讓你看得到、也可以把不認得的那一台登出。
通知	如果你在某台裝置上開了通知，我們會存那個瀏覽器給的推播位址和加密金鑰 （沒有它就送不過去），以及你關掉了哪幾種通知。在帳號頁移除那台裝置，這些就一起刪掉。
主畫面	你在哪幾種裝置（iPhone／iPad、Android、其他）上從主畫面圖示打開過 Turnabee。那種裝置就不再提示你「加到主畫面」。iPhone 上主畫面圖示和 Safari 不共用 cookie，只有記在帳號上，Safari 那邊才會知道。
付費訂閱（如果你有訂）	收款方給我們的客戶編號和訂閱編號、你訂的方案、月繳或年繳、 訂閱狀態（例如「已取消」「扣款失敗」）、這一期到哪一天。用來決定你能用哪些功能， 以及讓你在帳號頁一鍵進到管理訂閱的頁面。我們看不到、也不存你的卡號—— 付款資料只在收款方那邊。

受通知者

• 名字——建立者輸入的，或他自己加入時填的。
• Email——可以不填。填了才會收到摘要信。
• 語言——他第一次進來時瀏覽器說的語言，用來決定頁面顯示中文還是英文。
• 行事曆有沒有來抓過——他的行事曆軟體第一次和最近一次來取資料的時間、次數， 以及那次請求的 User-Agent（一段說明「是哪種軟體來抓的」的文字，例如 iOS/26.0 dataaccessd）。
• 加入時用的瀏覽器——他打開連結那一刻的 User-Agent。行事曆還沒來抓之前， 建立者畫面上的「在 iPhone 上設定」就是從這裡來的。
• 時區——他打開自己那一頁時，由他自己的瀏覽器告訴我們。 沒有它，「早上八點吃藥」在 Google 日曆和 Outlook 上會變成別的時間。 建立者自己點開別人那一頁的時候，我們不會記下建立者的時區。
• 連接 Google 日曆的話——他的 Google 帳號識別碼、那個 Google 帳號的 Email， 以及加密過的授權憑證。只有他自己選擇連接時才會有，細節在下面的「Google 使用者資料」。

「行事曆有沒有來抓過」那一項是為了回答一個問題：他到底有沒有連上？ 沒有這個，建立者就只能猜，而「以為對方會收到、其實不會」是這個產品最嚴重的失敗。 我們看不到他行事曆裡的任何內容，也看不到他有沒有真的打開通知。

事項本身

你寫進去的東西：標題、說明、分類、日期與時間、這件事給誰做、誰看得到、 要不要出現在共用行事曆上，以及誰在哪一天打了勾。

這些內容會照原樣送到你指定的受通知者的行事曆上——那正是這個產品在做的事。 所以請記得：你寫進去的字，對方看得到。

Cookie

下面這些全部都是網站本身運作用的，沒有任何一個是追蹤用的，也沒有任何一個來自第三方。 （公開介紹頁上由 Google 放的 cookie，另外寫在這一節最後。）

會留著的：

sid	記住你登入了。
gid	記住你現在在看哪一個群組。
lang	記住你選的語言。
tz	記住你的時區已經告訴過我們了，瀏覽器就不用每一頁都再送一次。
pwa	記住這台裝置已經把 Turnabee 加到主畫面，不再提示你。

只活幾分鐘、用完就消失的（登入、以及連接 Google 日曆的那一趟）：

next	登入之後把你帶回原本要去的那一頁。10 分鐘。
oauth_state	確認從 Google 登入回來的是同一趟，防止別人冒用； 如果是第一次註冊，也順便帶著上面那個「從哪裡找到 Turnabee」的標籤。10 分鐘。
gcal_state、gcal_m、gcal_tz	連接 Google 日曆那一趟： 確認回來的是同一趟、是哪一位受通知者、他的時區。15 分鐘。

公開介紹頁上的 Google 廣告追蹤碼

我們在 Google 上打廣告。為了知道廣告有沒有帶來註冊，只有在你沒登入時看的公開介紹頁 （首頁、價格、說明、指南、示範、聯絡、更新紀錄、這份政策、服務條款）裝了 Google Ads 的 Google tag。 它會在你的瀏覽器放 cookie，並把你看的是哪一頁、是不是從廣告點進來的、瀏覽器的基本資訊送給 Google。 Google 怎麼使用這些資料，見Google 的說明。

登入後的每一頁、受通知者的每一頁、行事曆訂閱都沒有裝——那些頁面上有你家人的名字和私人連結， 不會送給任何廣告服務。我們沒有 Google Analytics。

唯一的例外：剛用 Google 註冊完、第一次看到的設定頁（那時還沒有群組，頁面上沒有任何家人的名字）， 會載入一次這段追蹤碼，告訴 Google「有一個人註冊了」，讓我們知道是哪個廣告帶來的。不會送你的名字或 Email。 為了只送一次，註冊那一刻我們會在你的瀏覽器放一個 ads_su cookie，那一頁用完就刪掉，最多留 1 天。 被邀請來當幫手的人沒有這一步。

如果你在歐洲經濟區、英國或瑞士（或是我們判斷不出你在哪個國家），這段追蹤碼完全不會載入，什麼都不會送給 Google。 在其他地方，你可以在 Google 的廣告設定關掉個人化廣告，或讓瀏覽器擋掉追蹤 cookie——擋掉了，Turnabee 一樣能用。

我們怎麼知道有多少人來

首頁每被一個瀏覽器打開一次，我們就把當天的一個數字加一。就這樣—— 不放 cookie、不存 IP、不存瀏覽器資訊，那個數字沒有辦法連回任何一個人。 搜尋引擎的爬蟲和聊天軟體的連結預覽不算。

其他像「多少人連上了行事曆」這類數字，是直接從上面那些本來就存著的資料算出來的， 沒有另外記一份。

「你從哪裡找到 Turnabee」是這樣判斷的：你第一次打開網站時，瀏覽器看網址上有沒有 ?src= 這類標籤，沒有的話看你是從哪個網站連過來的（只看網域）， 結果存在瀏覽器的 sessionStorage——那不是 cookie，不會自己送給我們， 關掉那個分頁就消失。只有你按「用 Google 登入」而且是第一次註冊時，那個標籤才會送過來， 存成你帳號上的一個欄位。

用「AI 幫你讀通知」的時候

這是建立者自己選擇要用的功能。你把一段通知（例如學校的通知單、群組裡的訊息）貼上或用講的輸入、按下「讀取」時：

送給 OpenAI 的	只有你輸入的那段文字，加上今天的日期和時區（用來算出「下週四」是哪一天）。 文字裡的 Email 地址會先遮掉。不會送出你的帳號、Email、群組名稱、成員名單或其他事項， 也不會送出任何從 Google 拿到的資料。
我們存的	你輸入的整段原文我們不存，AI 讀完就丟。 AI 讀出來的候選清單（每一筆的標題、日期、地點、要帶的東西，以及原文裡對應的那一句）會留著讓你確認； 你按「建立」之後，那一句原文就刪掉。整份候選清單最多 7 天後刪除（已經建立的事項照常留在你的群組裡）。 另外會留一筆使用紀錄（什麼時候用、用了多少、花了多久、成功或失敗），用來計算方案的次數，不含你輸入的內容。
用照片或截圖的時候	照片先在你的手機上縮小、重新存一次，照片裡的位置、拍攝時間、相機型號等資訊在這一步就拿掉了，才送出去。 我們把這張照片送給 OpenAI 抄下上面的字——送兩次（兩種解析度），比對兩次抄出來的日期和數字，對不上的那幾行請你核對。 照片我們不存，抄完就丟；抄出來的字只放回你手機上的輸入框，按「讀取」之後照上面的文字流程處理。 照片裡如果有別人的名字或臉，也會一起送出去，請只拍需要的部分。
按 🎤 講話的時候	（AI 助理，2026-10-14 起）錄音送給 OpenAI 轉成文字。錄音和轉出來的字我們都不存； 轉出來的字回到你的手機，照上面的文字流程處理。我們只留一筆紀錄（誰、什麼時候、多大、成功沒有），用來防止被大量使用，30 天後刪除。 錄音裡如果有別人的聲音，也會一起送出去。
匯入檔案的時候	Word、Excel、PDF、文字檔在你的裝置上讀出文字，檔案本身不會送給我們，也不會送給 OpenAI。 你看過、按「讀取」之後，那段文字照上面的文字流程處理。掃描的 PDF：前 3 頁在你的裝置上轉成圖片，照上面照片的流程處理。 讀 PDF 用的程式（pdf.js）是從 cdnjs.cloudflare.com 下載到你的瀏覽器，Cloudflare 會看到你的 IP 位址和下載時間，看不到檔案內容。
問問題的時候	例如「今天有什麼？」「明天 Jamie 要做什麼？」：不會送給 OpenAI。 答案是我們的網站從你的群組資料查出來的；念出來只用你裝置本身的聲音。

我們不做什麼

• 不賣、不出租、不交換任何人的資料。
• 不在網站上放廣告。你寫進 Turnabee 的內容、你家人的資料，不會交給任何廣告商（公開介紹頁上的 Google 廣告追蹤碼，見上面「Cookie」）。
• 不用你的資料訓練 AI 模型。
• 我們自己不建立跨網站的行為輪廓。

寫信或用聯絡表單找我們的人

不管你有沒有帳號，都可以從聯絡我們那一頁留言，或直接寄信。那時候我們會拿到：

你填的 Email	用來回信給你。只用在這一件事上，不會拿去寄別的東西。
你寫的內容	你想告訴我們的事。
裝置類型	用聯絡表單送出時，會附上你用的是哪一類裝置（例如「iPhone」「Windows」）， 方便我們找問題。如果你那時候是登入的，也會附上你的帳號 Email 和方案，我們才知道要查哪一個帳號。

這些不會存進 Turnabee 的資料庫，是變成一封信寄到我們的信箱。 信會留在信箱裡，方便之後接著回覆你；你隨時可以要求我們刪掉。

資料存在哪裡、誰碰得到

Turnabee 跑在 Cloudflare 上，資料存在 Cloudflare 的 D1 資料庫。 除了下面這幾家，沒有其他人拿得到：

Cloudflare	主機與資料庫。所有資料都存在這裡。每一次連線都經過 Cloudflare，它會為了把網頁送到你手上、擋掉攻擊而處理你的 IP 位址。
Google	選擇用 Google 登入的建立者的登入。你選擇連接 Google 日曆的話也會用到（見下一節）。另外，公開介紹頁上的 Google 廣告追蹤碼也是它（見上面「Cookie」）。
Resend	寄摘要信和 Email 登入的信。摘要信只有「有填 Email 的受通知者」的信箱地址和信的內容會經過它；用 Email 登入的話，你的 Email 和那封登入信會經過它。 受通知者連接了 Google 日曆、自己沒有填 Email，而建立者替他打開摘要信時，用的是他連接時那個 Google 帳號的 Email。 你用聯絡表單送出的內容（你的 Email 和訊息）也是經由它寄到我們的信箱。
Sold through Link, LLC (formerly Lemon Squeezy LLC)	只有你付費訂閱時才會用到。結帳在它的網站上完成，你的姓名、Email、 付款資料直接交給它；它回傳給我們的只有上面「付費訂閱」那一列寫的東西。 它是這筆交易在法律上的銷售方（Merchant of Record），細節見服務條款。
OpenAI	只有建立者使用「AI 幫你讀通知」或 AI 助理時才會用到，負責從那段文字（或照片上的字）讀出日期和事項，以及把 🎤 的錄音轉成文字 （送了什麼，見上面「用「AI 幫你讀通知」的時候」）。依 OpenAI 的 API 政策，這些資料不會被拿去訓練它的模型； 我們沒有開啟分享資料給 OpenAI 的選項，也要求它不保存讀取結果。OpenAI 為了防止濫用，最多會保留 30 天 （法律要求時可能更久），之後刪除。

Google 使用者資料

Turnabee 在兩個地方用到 Google：

• 登入——選擇用 Google 帳號登入的建立者（見上面「我們收集什麼」）。
• 連接 Google 日曆——群組裡的每個人，不管是受通知者還是建立者自己， 都可以選擇把 Turnabee 連到自己的 Google 日曆。這樣事項會直接出現在他的日曆上， 不必依賴外部訂閱網址的更新時間。這是自己選的，不連也可以用（改用行事曆訂閱）。

如果你選擇連接 Google 日曆：

• 我們向 Google 要什麼。權限是 openid、email 和 calendar.app.created。最後這一個的意思是 只能管理 Turnabee 自己建立的那一本日曆。 你原本的行程、其他日曆，我們讀不到也改不了。
• 我們拿到並存下什麼。你的 Google 帳號識別碼，和那個 Google 帳號的 Email。 識別碼用來認出「這是同一個 Google 帳號」，同一個帳號我們只存一份授權。 Email 會顯示在群組建立者的「成員」頁上，讓他知道連上的是哪一個帳號。 你自己沒有填過 Email 的話，建立者可以替你打開每日摘要信；信會寄到這個地址，它也會被存成你收信的地址。 每一封摘要信都有取消訂閱的連結，你取消之後，建立者不能替你重新打開。
• 我們寫進去什麼。Turnabee 會在你的 Google 日曆裡另外建立一本日曆，名稱是群組的名字（例如「Chen 家」）， 只把 Turnabee 的事項寫進那一本：標題、日期和時間、說明、提醒。 剛連上時還會多寫一筆測試提醒，讓你確認手機真的會響；你確認之後它就會被刪掉。
• 我們讀回來什麼。只有那一本日曆的兩件事：它的時區，以及它還在不在你的日曆清單裡。 你把它刪掉或隱藏的話，我們是靠這個才知道事項已經送不到你那裡。我們不讀任何事件。
• 怎麼存。授權用的憑證（refresh token）加密後存在我們的伺服器，不會出現在網頁上，也不會給任何第三方。
• 怎麼停。打開你自己那條 Turnabee 連結，按「取消連接 Google 日曆」。 我們會把那本日曆從你的 Google 日曆刪掉。這個 Google 帳號沒有連著其他群組的話， 我們也會向 Google 撤銷授權，並刪掉存在我們這裡的憑證、帳號識別碼和 Email，通常在一天內完成。 你也可以到 myaccount.google.com/permissions 移除 Turnabee， 或直接在 Google 日曆裡刪掉那一本日曆。
• 建立者把你移除、刪掉群組或刪掉帳號時，做的事一樣。 如果那一刻刪不掉那本日曆（例如你已經先在 Google 那邊移除了 Turnabee），它會留在你的 Google 日曆裡，你可以自己刪。 這時我們會留一筆紀錄給建立者看，內容是你的名字、那個 Google 帳號的 Email、群組名稱和那本日曆的編號， 留到那本日曆被清掉或建立者刪除帳號為止。

Limited Use 聲明：Turnabee's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

（中文意思：Turnabee 對於從 Google API 取得的資訊，其使用與傳輸皆遵守 Google API 服務使用者資料政策，包含其中的 Limited Use 規定。）

保留多久、怎麼刪除

• 刪掉一個群組，裡面的事項、成員、完成紀錄會一起刪掉，而且立刻生效。 受通知者的行事曆下一次來抓就什麼都沒有了。
• 刪掉整個帳號，你名下所有群組和其中的一切都會被刪除。 這個動作不能復原。到「帳號」頁就可以自己做。
• 受通知者可以從信件最下面的連結自己停止接收，不需要經過建立者。
• 我們自己不另外做備份。但資料庫服務（Cloudflare D1）本身會保留 最近 30 天的還原點，讓資料庫壞掉時可以救回來；被刪掉的資料最長會在那裡再留 30 天， 之後就完全消失。我們不記錄每一次有人打開了哪個網址；系統紀錄只有我們自己寫的運作紀錄 （例如寄了幾封信、哪裡出錯），用內部編號，不含 IP、Email 或私人連結，保留 7 天。 我們不會用這些還原點把你刪掉的東西救回來給任何人。
• 為了運作需要的紀錄，我們定期自動清掉：過期的登入（90 天）、試錯次數（最多約兩小時）、 邀請信寄送紀錄（2 天）、付款通知紀錄（180 天）。你刪掉帳號時，推播裝置、Google 日曆授權 （同時向 Google 撤銷）、短連結也會一起刪除。
• 「AI 幫你讀通知」：你輸入的原文、照片都不存；AI 讀出來的候選清單最多 7 天後刪除。 刪掉群組時，那個群組的候選清單一起刪除；刪掉帳號時，候選清單和使用紀錄全部刪除。

安全

所有連線都走 HTTPS。行事曆訂閱網址是一長串隨機字元，猜不到；建立者可以在「成員」頁 幫任何人換一條新的（舊的立刻失效），群組的加入碼也可以隨時更換。不過請注意： 拿到那串網址的人就看得到上面的內容，所以請當成密碼看待。

為了擋住有人用程式大量亂猜加入碼或短連結，猜錯的次數會用無法反推回 IP 的雜湊值 暫存最多約兩小時，之後自動刪除。我們自己不保存 IP 位址本身（Cloudflare 在傳送網頁時的處理，見上面「資料存在哪裡、誰碰得到」）。

兒童

Turnabee 不是給兒童使用的服務，我們也不會刻意收集兒童的資料。 家長當然可以把小孩的名字當成一個「受通知者」來安排事情——那只是一個名字。

這份政策改了怎麼辦

改了會更新最上面的日期。如果改動會實質影響你的資料怎麼被使用，我們會在網站上說明。

聯絡我們

任何關於隱私的問題，或者你想要一份自己的資料、或要求刪除，寫信到 hello@turnabee.com。