App 隱私權政策

感謝您使用由 Catholight 團隊（以下稱「本團隊」）營運、隸屬財團法人天主教會台北教區之「燭光 Catholight」應用程式（以下稱「本應用程式」）。燭光 Catholight 數位媒體傳播平台自主曆 2026 年 7 月 1 日起，正式成為台北總教區所屬之數位福傳事工團隊。就中華民國《個人資料保護法》而言，本應用程式個人資料之蒐集、處理與利用，由財團法人天主教會台北教區（透過其所屬 Catholight 團隊）負責。本團隊重視您的隱私權；本政策說明本應用程式對使用者資訊之收集、使用、儲存與分享方式，並依據《個人資料保護法》及國際慣例（GDPR）擬定。

請於使用本應用程式前詳閱本政策。本版本（2.0.2）未啟用 Firebase Analytics 或 Google Analytics 4（GA4），不會顯示匿名使用統計同意提示，也沒有使用分析開關；使用核心功能不會產生 Analytics／GA4 使用分析事件。這不代表本應用程式不處理提供核心服務所需的其他資料，實際範圍請見下列各節。

1. 我們收集什麼

1.1 提供核心服務所需的技術資訊

為提供應用程式基本運作及保護後端，本應用程式與 Firebase／作業系統服務會處理下列技術資訊：

• Firebase Authentication UID：未使用 Apple／Google 登入時，Firebase 會建立隨機的匿名帳號 UID。它不直接包含姓名、電話或 Email，但可持續識別同一個匿名帳號，並可與該帳號送出的代禱意向等紀錄關聯。解除安裝本身不會立即通知伺服器刪除；純匿名帳號另依第 5 節的每週 90 天未活躍清理規則處理。
• Firebase Installation ID（FID）與服務實例識別碼：Firebase Installations／Remote Config 會以每一個 App 安裝的假名化識別碼取得版本開關、最低支援版本及內容設定；這些資料不會在 2.0.2 轉作 Firebase Analytics／GA4 使用分析事件。
• App Check 與平台完整性資料：為辨識真實 App 與降低自動化濫用，Firebase App Check 會向 Android Play Integrity 或 iOS App Attest／DeviceCheck 取得 App／裝置完整性憑證或權杖並交給 Firebase 驗證；這些資料不用於廣告。
• 應用程式版本與 build、套件識別、作業系統／裝置類型、語言、IP 位址及請求時間等一般連線資料：用於版本檢查、Remote Config、相容性、安全與故障診斷。
• 本機產生的備份裝置 ID：登入並啟用雲端同步時，App 會將一個隨機 deviceId 放入備份文件，用來辨識是否為同一台裝置自己寫回的同步變更、避免同步迴圈；它不是廣告識別碼，也不會送入 Firebase Analytics／GA4。

上述為隨機或假名化技術識別碼，仍可能持續辨識同一安裝、匿名帳號或請求，不應理解為法律上完全匿名。

1.2 僅在您主動登入時才收集

當您選擇使用「Apple 登入」或「Google 登入」啟用雲端備份時，本應用程式將收集：

使用 Apple 登入：

• Apple 提供之不可逆使用者識別碼
• 您所選擇之 Email 地址（您可選擇 Apple 提供的 Hide My Email 中繼信箱，本應用程式不會獲得真實信箱）
• 您所設定之顯示名稱（可選）

使用 Google 登入：

• Google 帳號 Email 地址
• Google 帳號提供的顯示名稱與頭像連結（如該帳號有提供）；登入後可於會員資料中移除或更換頭像

1.3 同步至雲端的應用程式設定（僅在您登入後）

登入後，只有這台裝置在「同步項目」中勾選的設定類別，才會由這台裝置上傳至私有雲端備份，並套用同一帳號的相應雲端類別。同步項目清單本身、字體大小及 UI 提示只保留在這台裝置，不上傳，也不會被其他裝置的選擇覆蓋。關閉某一項只會停止這台裝置之後上傳或套用該類別；先前已存在的雲端副本不會因關閉開關立即刪除，會保留到您刪除帳號。

依您在這台裝置的勾選，可能同步的類別包括：

• 一般偏好與祈禱紀錄：主題、語言、聖經卡片樣式、玫瑰經／慈悲串經／拜苦路完成次數、祈禱連續天數及朗讀語速／珠間靜默
• 漢字拼音／注音及聲調染色
• 聖經與天主教教理之收藏紀錄、正文快取、引用位置、上次閱讀位置，以及您在收藏內自行輸入的筆記與標籤；這些文字可能反映宗教實踐或其他敏感內容
• 祈禱提醒設定（提醒時間、類別等；不含您撰寫的祈禱意向內容）

上述祈禱完成次數與連續天數不含祈禱正文或您祈禱時所想的內容；日課語速欄位 dailyOfficeTtsSpeechRate 也只是一個數值偏好，不含朗讀正文、進度或歷史。系統語音的 voice ID 因跨平台不相容而只留在本機。

下列帳號層級資料不由上述同步類別開關控制：您主動填寫的顯示名稱、自介、所屬教區與堂區，以及備份文件用來避免同步迴圈的隨機 deviceId。2.0.2 不提供 Analytics／GA4 同意選擇，不會將使用分析偏好或事件寫入帳號備份；deviceId 不含硬體序號或廣告 ID。

上述祈禱次數與連續天數屬於您的私有雲端備份，不會因而轉成 Firebase Analytics／GA4 使用分析事件。

此外，您完成玫瑰經／慈悲串經或主動參與 Global 2033 計數時，App 會使用目前 Firebase Auth 身分（可能是純匿名 UID）向 Firestore 送出一次加總請求。公開 counter 文件只增加共同祈禱總數，不保存正文、個別完成歷史或 UID；Firebase 請求仍會以該 UID 做存取驗證。這項 App 功能計數是獨立於 Firebase Analytics／GA4 的資料流；2.0.2 不另行收集使用分析。

1.4 您主動送出的隱修院代禱意向

「隱修院代禱」是選擇性服務。只有當您自行填寫並送出時，本應用程式才會處理：

• 代禱正文（目前 App 最長 50 字）、所選類別、稱呼及 Email；稱呼與 Email 是目前提交及後續查詢所需欄位
• Firebase 帳號 UID 或匿名 UID、代禱短碼、提交及狀態時間、轉交／接收／隱藏狀態，以及為防止濫用所需的每日限額紀錄
• 由關鍵字或安全分類產生的危機旗標；健康類別或您自願寫入的疾病、自傷、家庭、亡者、信仰等內容，可能構成敏感或健康相關資訊

每次送出前，App 會以未預勾選的確認項目清楚說明「代禱文字與類別會傳送 Anthropic 進行自動安全分類；姓名、Email 與帳號 UID 不會傳給 Anthropic；此服務不是緊急救援」，並提供本政策入口。未確認時 App 不會送出該次代禱。

這些資料用於把意向轉交隱修院、讓您以帳號或代碼＋Email 查詢狀態、防止垃圾／濫用，以及在內容顯示立即人身危險時提供求助資訊。危機旗標不是醫療診斷；Catholight 與隱修院代禱不能取代 119、醫療、心理或其他緊急專業協助。

為辨識不當、垃圾、無意義或危機內容，後端可能把代禱正文與類別送至 Anthropic Claude Haiku 即時分類。稱呼、Email、UID、代禱短碼與登入憑證不會放入送給 Anthropic 的分類文字；Anthropic 是否保留或如何處理該次請求，依本團隊與該供應者的服務設定、契約及其隱私政策辦理，本團隊不宣稱該服務必然零保留或僅在裝置上處理。

代禱意向正文及相關欄位會存於 Firebase Firestore，只有獲授權的 Catholight 管理員／代禱審核人員與隱修院修女可存取。自 2026 年 8 月 24 日後端修正起，新版提交流程不再刻意把代禱正文、稱呼或 Email 寫入 Cloud Logging，只保留處理階段、狀態與不含正文的錯誤／安全診斷。修正前已產生的舊日誌仍可能在該專案現行最長 30 天的保留期間內存在，之後依 Cloud Logging 保留設定自然到期。日誌只供獲授權的維運人員診斷與防濫用，不送入 Firebase Analytics，也不用於廣告。

目前代禱意向沒有自動到期日；隱藏或軟刪除不等於從後端永久清除。App 帳號刪除流程會清除能以該帳號 UID／登入 Email 關聯的代禱意向與限額紀錄；無法由目前帳號辨識的舊紀錄或另以代碼提交的資料，仍可依第 4 節請求查詢、刪除或限制處理。本團隊會在不影響他人權利、隱修院作業、安全與法定義務的範圍內辦理。

1.5 使用分析（2.0.2 未啟用）

2.0.2 不啟用 Firebase Analytics 或 Google Analytics 4（GA4）。本應用程式不會收集功能分類、入口位置、工作階段、版本／build、平台、裝置類型、約略地區、App instance ID 或其他使用分析事件。

App 不會顯示匿名使用統計同意提示，也不提供開啟或撤回使用分析的設定。Remote Config 的 analytics_collection_enabled_v2 不會作為 2.0.2 的啟用路徑；既有裝置偏好、舊版資料或登入帳號備份也不會使本版本開始收集 Analytics／GA4 資料。

文件 v2.2／v2.3 曾記載選擇性匿名使用統計的候選設計；該設計已在 2.0.2 公開決策中撤回，歷史記載不代表現行功能。若供應商或舊測試環境仍留有歷史資料，依資料產生當時適用的政策與供應商保存規則處理；本版本不新增使用分析資料。若未來另行恢復使用分析，必須先更新 App、隱私權政策、服務條款與商店申報。

1.6 系統語音輔助朗讀

晨禱、誦讀、日間經、晚禱、夜禱及部分祈禱功能可使用裝置的系統文字轉語音功能。使用時：

• 本應用程式只把目前要朗讀的一小段正文交給您所選擇或裝置預設的作業系統語音引擎即時合成。
• Catholight 不另行建立朗讀歷史、不錄音、不保存合成音訊，也不把朗讀正文、段落、進度或完成狀態送到 Catholight 後端、Firestore，或轉成 2.0.2 的使用分析資料。
• iOS 由 Apple 系統語音功能處理；Android 由裝置預設或您選擇的 TTS 引擎處理。語音是否已下載、是否完全在裝置上處理，或是否依引擎設定使用網路，均由 Apple、Google、裝置製造商或該語音引擎供應者決定；其隱私政策可能另行適用。本團隊不將本功能描述為保證離線。
• 日課朗讀只在 App 前景提供。播放時，本應用程式會暫時保持螢幕喚醒；暫停、停止、完成、錯誤、離頁或 App 進入背景時即解除。這項螢幕狀態控制本身不蒐集或傳送個人資料。

1.7 和好聖事的本機敏感資料與裝置驗證

和好聖事的省察記號與自填字句預設只存在執行中的記憶體，離開流程即清除。若您主動選擇「加密保留」，App 會使用 iOS Keychain 或 Android Keystore／EncryptedSharedPreferences，把省察草稿、待做補贖與上次告解日期加密留在這一台裝置：

• 省察草稿可由您選擇保留 7、14、30 天或直到手動刪除；到期、您刪除或依流程清除時即移除
• 待做補贖保留到您標記完成或自行清除；上次告解日期保留到您修改或清除
• 這些資料不寫入 Catholight 帳號、Firestore、Firebase Analytics／GA4 或 Catholight 雲端備份；Android 端以平台設定排除 Auto Backup 與裝置間 transfer，iOS 端使用僅限本裝置的 Keychain 存取層級，避免隨 iCloud／Finder 備份遷移
• 查看保留的省察時，支援且已設定裝置鎖的裝置會交由作業系統使用指紋、臉部辨識、PIN、圖形或裝置密碼驗證；Catholight 只取得成功、失敗或取消結果，不取得或保存生物特徵範本、PIN 或裝置密碼。若裝置不支援或未設定任何可用的系統鎖定憑證，App 無法執行這一道額外驗證，會在使用者已取得該裝置存取權的情況下允許查看；內容本身仍以本機加密方式保存

1.8 內嵌頁面、外部內容與定位

本應用程式會透過 HTTPS 取得禮儀、教會消息、影音、天主教周報及其他內容，也可能在 App 內開啟 Catholight Directory、麥力找教堂或第三方網頁。內容主機或外部網站可能依一般網路運作接收 IP 位址、User-Agent、請求時間、Cookie 或相近的技術紀錄；其處理方式由各服務的隱私政策規範。

只有當您主動開啟「麥力找教堂」，並同意 App 內用途說明及作業系統的使用期間定位權限時，受信任的 https://churches.mai-li.app 才能在該次 App 使用期間取得作業系統提供的精確或約略位置（依您在系統設定的選擇）：

• 拒絕定位不影響其他核心功能，您亦可隨時在裝置設定撤回權限。
• Catholight 不把該定位寫入您的 Catholight 帳號、Firestore、雲端備份或本版本未啟用的 Firebase Analytics／GA4，也不建立位置歷史。
• Android 只接受上述 HTTPS 精確網域及預設安全連接埠的定位請求；授權不會永久保留。Catholight Directory（https://ctholight-cd.web.app）不取得 WebView 定位。HTTP、相似／子網域、其他連接埠、格式錯誤來源及外站跳轉一律不得沿用定位授權；外站會改由系統瀏覽器開啟。
• iOS 的網站定位另由 WebKit 與作業系統依網站來源及裝置權限處理；您可在系統提示拒絕或由設定撤回。
• 內嵌頁取得的位置及其後續處理，依該頁實際營運者的隱私政策辦理；外部提供者可能依自身規則留存 IP、位置或其他技術紀錄。

1.9 我們不收集

本應用程式不收集下列資訊：

• 您的 GPS／精確位置作為 Catholight 帳號、雲端備份或位置歷史；第 1.8 節所述、由您明確授權給內嵌頁即時使用的情形除外
• 您的通訊錄、通話紀錄、簡訊
• 您的相簿照片（除非您主動選擇上傳會員大頭貼）
• 您在其他 App 或網站的瀏覽紀錄、廣告識別碼
• 您的信用卡號、銀行帳號或其他金融支付資料
• Apple Health／HealthKit、Android Health Connect、醫療院所病歷、處方、體徵或其他裝置健康資料；但您在第 1.4 節主動送出的代禱意向若包含健康或危機內容，仍會依該節處理

關於奉獻：本應用程式之「前往奉獻頁面」為導向外部網站之連結。奉獻之支付一律於外部平台完成，本應用程式不經手、不接收、不儲存您的任何支付或金融資料（詳見第 3 節）。

2. 我們如何使用這些資訊

本應用程式絕對不會：

• 將您的資料用於廣告投放、跨服務追蹤或個人化宗教側寫
• 將您的資料出售予第三方
• 依閱讀、收藏或祈禱活動推定您的信仰程度或立場；第 1.4 節對您主動送出之代禱正文所做的內容安全／危機分類除外

3. 第三方服務

本應用程式使用下列第三方平台：

各第三方服務之隱私政策請至其官方網站查閱：

• Google：https://policies.google.com/privacy
• Apple：https://www.apple.com/legal/privacy/
• Anthropic：https://www.anthropic.com/legal/privacy

若您在 Android 選用其他 TTS 引擎，或開啟其他內容提供者的頁面，請另查閱該供應者的隱私政策。

3.1 奉獻之外部支付平台

本應用程式之「前往奉獻頁面」導向外部網站 https://donate.catholight.net/，並由該頁再導向下列外部平台完成支付。本應用程式僅提供連結，不介入支付流程，亦不收集或儲存您於這些平台輸入之支付、金融或個人資料；各平台之隱私政策於該次交易適用：

4. 您的權利

依據相關法規，您隨時可以：

5. 資料保留期限

6. 兒童隱私

本應用程式提供一般天主教內容，並非專為未滿 13 歲兒童設計。目前 App 沒有年齡驗證或家長同意閘門，所以未成年使用者仍可能產生第 1.1 節的技術識別碼，或在操作選擇性功能時提供資料。

• 未滿 13 歲或所在地法令所定兒童年齡之使用者，應由家長或監護人陪同；未經家長或監護人同意，不應登入、上傳頭像、建立雲端筆記／標籤或送出代禱意向。
• 若家長或監護人發現未成年子女已產生帳號、備份、代禱意向或其他資料，可來信申請查詢、刪除或限制處理；帳號刪除會處理可由 UID／登入 Email 關聯的代禱紀錄，其他無法由帳號辨識的紀錄須依第 4 節另行核對。

7. 資料安全

• 雲端資料以 HTTPS 加密傳輸
• 儲存於 Google Cloud 之資料採靜態加密（at-rest encryption）
• Firebase Authentication 採用業界標準 OAuth 2.0 / OpenID Connect
• 本團隊無法讀取您的 Apple ID 或 Google 帳號密碼（由 Apple / Google 直接驗證）

7.1 資料外洩通報

若不幸發生未經授權之存取或資料外洩事件，本團隊將評估影響，並在適用法令要求的期限及範圍內通知主管機關與受影響使用者，並提供適當的補救建議。

8. 跨境資料傳輸

本服務不是單一台灣／亞太區域架構：Firestore 使用 nam5 北美多區域，Firebase Authentication 在美國處理，代禱 Cloud Function 位於 us-central1，Firebase Storage 使用 ASIA-EAST1（台灣）；Firebase Installations、Remote Config、App Check、Apple、Anthropic、系統語音引擎及外部內容提供者亦可能在其全球基礎設施處理資料。因此資料可能跨境傳輸至美國、台灣及其他服務所在地；Google Cloud Data Processing Addendum、供應者條款與適用的跨境傳輸保障依各服務及法令適用。2.0.2 未啟用 Firebase Analytics／GA4，不會因本版本產生使用分析資料。

9. 政策更新

• 本團隊保留隨時修改本政策之權利
• 重大變更將透過應用程式內顯著公告通知；法令或變更性質要求時，會另行請您確認
• 您可於本政策最上方查看「生效日期」

10. 聯絡我們

11. 適用法律與爭議解決

本政策依中華民國（台灣）法律解釋與適用。如就本政策有任何爭議，雙方同意以台灣台北地方法院為第一審管轄法院。

12. 變更歷史

感謝您信任「燭光 Catholight」。本團隊將持續以最嚴謹之態度保護您的隱私。

Catholight 團隊敬上