1. 隱私使命宣言、非官方獨立聲明與本機直連架構
法律免責聲明：寶島鈴 (BaoDao Alert) 為 Cymbidium Holdings LLC 與 Cymbidium Labs LLC 獨立開發之民間領務曆輔助工具，絕非中華民國外交部 (MOFA)、外交部領事事務局 (BOCA)、駐美國台北經濟文化代表處 (TECRO) 或各駐美台北經濟文化辦事處 (TECO) 之官方應用程式，雙方亦無任何附屬、授權或贊助關係。
辦理中華民國護照、簽證與各項文件驗證涉及高度敏感之公民個人資料：包含真實中文與英文姓名、護照號碼、身分證字號、出生年月日及聯絡電話。傳統代辦服務往往將資料集中儲存於雲端伺服器，構成極大資安洩漏風險。寶島鈴 (BaoDao Alert) 自底層架構即貫徹嚴格的「零個人可識別資訊 (Zero-PII)」資安標準：
- 伺服器零憑證：絕不收集、傳輸或於雲端伺服器儲存您的真實姓名、護照號碼、出生日期、電子郵件、電話或預約確認代碼。
-
100% 本機直連外館系統：所有名額查詢、預約匯入與改期 HTTP 請求，皆由您的手機端直接連線至官方領務伺服器：(1)
front.eqlvms.net（華府、洛杉磯、紐約等全國預約制外館），以及 (2)tecosf.com（舊金山辦事處與南灣僑教中心）。絕不透過任何中繼代理伺服器或雲端機器人轉發。 - 本機預約個人資料隔離：為支援一鍵預約鎖定與時段提早改約，使用者可選擇於 App 內儲存預約個人資料（英文姓名、中文姓名、出生年月日、電話、Email 與郵寄地址）。該資料純粹儲存於手機晶片硬體安全區內，絕不上傳至開發者伺服器。
- 匿名分散式網狀雷達：裝置間協同回報之空位資訊僅包含外館代碼與時段可用性矩陣，完全脫鉤於任何個人身分。
2. 硬體安全晶片 (Secure Enclave) 密鑰與個人資料隔離
當您匯入 TECO 預約確認連結或設定本機預約個人檔案時，所有敏感憑證僅儲存於作業系統級硬體加密晶片模組中：
-
iOS / iPadOS：採用 Apple Keychain (鑰匙圈服務)，強制設定
kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly屬性。金鑰與申請人資料與您實體裝置之 Secure Enclave 硬體加密綁定，絕不隨未加密 iTunes/iCloud 備份流出，裝置鎖定時無法存取。 -
Android：採用 Android KeyStore 搭配
EncryptedSharedPreferences(AES-256 GCM 認證加密)，主密鑰由 Titan-M、Knox 或硬體 TEE 安全晶片直接保護。 - 明文儲存全面禁止：本應用程式嚴格禁止將預約確認代碼或申請人身分資料寫入明文日誌、未加密 SQLite 資料庫或瀏覽器暫存區。
3. 嚴格白名單遙測與反追蹤保證
為協同偵測線上預約制外館與中心（舊金山、南灣僑教中心、洛杉磯、紐約、華府）之釋出名額，客戶端僅向協調伺服器回傳非識別性之名額可用性矩陣，資料欄位嚴格受限於以下白名單：
"anonymous_guid": "d3b07384-d113-4654-8c8e-8a032ec8a7e0",
"office_code": "SFO",
"service_type": "Passport & Document Authentication",
"slots": [
{ "slot_id": 48102, "start_time": "2026-09-14 10:00:00", "is_available": true }
],
"observed_at": "2026-08-30T17:40:00Z"
}
零跨站追蹤：寶島鈴絕不請求或讀取 Apple IDFA (廣告識別碼) 或 Google 廣告 ID，亦不包含任何第三方廣告行銷 SDK 或數據買賣仲介代碼。
原生背景執行與靜默推播路由：當偵測到臨時釋出名額時，為即時傳遞提醒，本應用程式會向推播協調伺服器註冊一組匿名 Firebase Cloud Messaging (FCM) / Apple Push Notification (APNs) 權杖。iOS 原生背景模式 (remote-notification、fetch) 與 Android WAKE_LOCK 僅用於在收到推播時瞬間喚醒本機處理器以比對志願時段，完全無需保持螢幕長亮或消耗多餘電量。推播權杖為去識別化代碼，不含任何個人真實個資。
系統診斷與穩定性指標：本應用程式使用 Firebase Analytics 與 Crashlytics 收集匿名當機日誌、外館 DOM 變更異常碼與彙總查詢計數。客戶端防護機制 (PrivacySanitizer) 於發送前全面過濾 URL 參數、代碼與個人資料，確保零個資外洩。
4. Apple App Store 與 Google Play 官方隱私標籤宣告
| 合規審查項目 | Apple App Store 隱私營養標籤 | Google Play 資料安全性 |
|---|---|---|
| 用於追蹤您的資料 | 無 (0 追蹤) | 不與第三方共享 |
| 與使用者身分關聯的資料 | 無 (0 個資收集) | 伺服器無收集個人身分資料 |
| 個人與聯絡資料 (姓名、生日、電話、Email、地址) | 100% 儲存於裝置硬體鑰匙圈；0 位元組傳送至開發者伺服器 | 100% 儲存於裝置硬體加密偏好；0 位元組傳送至開發者伺服器 |
| 應用程式活動與功能互動 | 匿名產品互動 (不與身分關聯) | 匿名應用程式互動 (傳輸加密，不與身分關聯) |
| 裝置識別碼 (FCM 推播權杖與匿名 GUID) | 用於靜默推播路由之裝置識別碼 (不與身分關聯) | 裝置或其他 ID (傳輸加密，可申請刪除) |
| 系統診斷與當機報告 | 匿名效能與當機日誌 | 傳輸中加密之匿名技術診斷 (Firebase Crashlytics) |
| 財務與應用程式內購買 | 由 Apple StoreKit 統一處理。協調伺服器僅查驗混淆交易識別碼以杜絕跨裝置重放並計算效期（絕無儲存信用卡或銀行個資） | 由 Google Play 帳單系統處理。協調伺服器僅查驗混淆交易識別碼以杜絕跨裝置重放並計算效期（絕無儲存信用卡或銀行個資） |
5. 使用者資料刪除權與晶片級一鍵清除政策
您對個人領務資訊保有最高自主權。為完全符合 Apple App Store 審查規範 5.1.1(v) 與 Google Play 帳號及資料刪除要求，寶島鈴 (BaoDao Alert) 同時提供 App 內即時晶片級自我銷毀功能與專人申請管道：
- 選項一：「刪除所有資料並重設 App」（全面晶片銷毀）：開啟寶島鈴 > 前往「設定」>「資料隱私與刪除」> 點擊「刪除所有資料並重設 App」。系統將立即並不可逆地銷毀晶片硬體安全區內的所有資料——包含有效預約確認代碼、預約申請人資料（姓名、生日、電話、Email、地址）、目標偏好時段與快取通關卡，並將 App 重設回初始狀態。
- 選項二：「中斷並移除預約」：開啟寶島鈴 > 前往「設定」>「資料隱私與刪除」> 點擊「中斷並移除預約」。系統將立即自硬體安全區銷毀該筆有效預約代碼，同時保留您的申請人基本資料以方便未來預約。
- 選項三：「清除預約個人檔案」：開啟寶島鈴 > 前往「設定」>「預約個人檔案」> 點擊「清除」（或於編輯頁面點擊「刪除預約個人檔案」）。系統將立即自硬體安全區永久抹除申請人身分資料（姓名、生日、電話、Email 與地址），但不影響既有預約之追蹤。
- 雲端推播 Token 刪除：當您於 App 中中斷預約或解除安裝應用程式，您的匿名 FCM 推播權杖將立即失效，並於 24 小時內自推播協調伺服器中永久抹除。
-
專人資料刪除申請：您亦可隨時發送電子郵件至
privacy@baodaoalert.com或developer@cymbidiumlabs.com，提供您的匿名裝置識別碼要求清除。所有關聯之傳輸紀錄將於 48 小時內完全清除。
6. 發行公司法人主體與資安專員 (DPO) 聯繫管道
寶島鈴 (BaoDao Alert) 由以下法人實體共同管理與營運：
-
Apple Developer 帳號主體：Cymbidium Holdings LLC（懷俄明州登記號：
2026-002068368• 聯邦稅號 EIN：42-4794530• 鄧白氏環球編碼 D-U-N-S：149922555• Apple 開發者團隊代號：RYA8397RC4）。 -
Google Play 開發者組織主體：Cymbidium Labs LLC / Cymbidium Holdings LLC（認證企業開發者 • 鄧白氏編碼 D-U-N-S：
149922555）。 - 公司法定註冊地址：30 N Gould St, Ste N, Sheridan, WY 82801, USA。
- 專用營運電話：+1 (307) 317-9170。