私隱政策
生效日期 2026-04-28 · 版本 v1
1. 資料使用者身份
JetFlow Limited（「JetFlow」、「我們」）為香港《個人資料（私隱）條例》（第486章，「條例」）下，透過 JetFlow 平台收集個人資料的資料使用者。本公司資料保障主任聯絡電郵：[email protected]。
2. 我們收集的資料
- 帳戶資料 — 姓名、電郵、密碼雜湊、僱主／公司角色、語言偏好。
- 帳單資料 — 帳單聯絡人、地址、信用卡／銀行帳戶末四位數；完整付款工具僅由付款處理商（Stripe）持有。
- 使用資料 — 訪問頁面、操作紀錄、時間戳、IP、user-agent，用於維持服務與除錯。
- 您上載的內容 — 發票、單據、收據、員工紀錄、供應商紀錄、合約、聯絡人、發票（內地）等。
- 通訊紀錄 — 支援查詢、AI 顧問對話。
- AI 輸入與輸出 — 您發送至 AI 功能的提示及其回應。僅保存提供服務所需期間 + 30 日。
- 流動裝置資料 — 若您安裝 JetFlow 流動應用程式並允許通知，我們會儲存該裝置的推送權杖（由 Expo 簽發、其背後為 Apple 或 Google 的地址，用以將通知送達該部手機）、其平台（iOS／Android）及最後使用時間。此為通知得以送達您手機之途徑；當您於該裝置登出或刪除帳戶時即會刪除。應用程式亦會於每次請求附上版本識別（應用版本 + 建置編號 + 平台），以便將故障追溯至特定版本。
- 相機及相片圖庫（流動應用程式） — 應用程式會要求相機及相片圖庫權限，以便您拍攝收據、文件或卡片。只有您主動拍攝或選取的影像才會上載，上載後即屬上文「您上載的內容」。我們絕不會掃描或索引您的相簿。
- 生物認證解鎖（流動應用程式） — 若您啟用 Face ID／Touch ID／指紋解鎖，驗證由您裝置的作業系統執行，只會回覆「相符」或「不相符」。指紋、面容或其他生物特徵資料一律不會傳送予 JetFlow，亦不會由我們儲存；我們僅在裝置上保存一個記錄您已啟用此功能的標記。
- Cookie 及類似技術 — 詳見 Cookie 政策。
3. 收集目的（保障原則 1 及 3）
我們僅為與提供 JetFlow 服務直接相關之目的收集個人資料：
- 身份驗證與服務提供。
- 處理付款及訂閱管理（條例第 35 條：直接促銷需另行同意）。
- 運作各模組（財務、人力資源等），所有紀錄按租戶範圍分隔。
- 客戶支援、防欺詐、保安事故應變。
- 法定及會計紀錄保存（稅務局、法定審計）。
- 如您選擇加入：透過檢視模型錯誤改善 AI 功能。
4. 合法基礎／同意
我們依賴您的同意（於註冊時提供 — 見 收集個人資料聲明）及合約必要性（無相關資料則無法提供服務）。直接促銷之同意按條例第 35 條獨立取得，您可隨時於 /account/privacy 撤回。
5. 我們分享資料的對象
| 處理商 | 用途 | 地區 |
|---|---|---|
| Stripe Payments Europe | 信用卡／銀行付款、訂閱帳單 | 愛爾蘭（歐洲經濟區）、美國 |
| OpenRouter | 預設 AI 匯流閘。將所有 AI 功能（顧問、OCR、代理、起草、BI 問答）的提示詞轉送至該次請求所選用之底層模型供應商 | 美國，以及其所轉送之下游模型供應商所在地區 |
| Anthropic、OpenAI、DeepSeek、月之暗面（Kimi）、阿里雲（通義千問）、Voyage AI | 底層 AI 模型。視乎本部署所設定之金鑰，經上述 OpenRouter 或直接連接。Voyage 僅用於生成搜尋用之向量嵌入 | 美國；DeepSeek、月之暗面及阿里雲為中國內地 |
| Hostinger International | 虛擬私人伺服器託管 — 應用程式、PostgreSQL 資料庫及上載檔案均運行於此伺服器 | 伺服器位於註冊時所示地區；靜態資料不會離開該伺服器 |
| Cloudflare | DNS、TLS 終端及反向代理 — 所有前往 jetflow.hk 之網絡流量均經其傳送 | 全球邊緣網絡（僅傳輸中流量，不儲存應用資料） |
| Amazon Web Services（SES） | 交易電郵傳遞。按部署設定；若未設定 SES 憑證，JetFlow 完全不發送電郵，而非改用其他途徑 | 啟用時為亞太（新加坡） |
| S3 相容物件儲存 | 銀行月結單及上載檔案之選用加密儲存。僅於部署啟用時使用；否則該等檔案保留於上述 JetFlow 伺服器 | 按該部署之設定 |
| Google LLC | 僅在已啟用 Google 登入時方會涉及。若營運者已設定，Google 可作為登入方式，屆時由 Google 向我們確認您的身分及電郵地址。JetFlow 目前不提供 Google 雲端硬碟連接器；日後如提供，會先在本列註明，方可使用 | 美國及 Google 全球基礎設施 |
| Microsoft Corporation | 僅在已啟用 Microsoft 登入時方會涉及。若營運者已設定，Microsoft Entra ID 可作為登入方式。JetFlow 目前不提供 OneDrive／SharePoint 連接器；日後如提供，會先在本列註明，方可使用 | 美國及 Microsoft 全球基礎設施 |
| Expo（650 Industries, Inc.） | 僅限流動推送通知。簽發識別您手機之推送權杖，並將我們發出之每則通知轉送至 Apple 或 Google。因此會接收該權杖及通知之標題與內容 | 美國 |
| Apple（APNs）— iOS 裝置 | 將推送通知最終送達 iPhone 或 iPad。會接收裝置權杖及通知內容 | 美國及 Apple 全球邊緣網絡 |
| Google（Firebase Cloud Messaging）— Android 裝置 | 將推送通知最終送達 Android 手機。會接收裝置權杖及通知內容 | 美國及 Google 全球邊緣網絡 |
上述三家推送處理商，僅在您安裝流動應用程式並授予通知權限時方會涉及。若您拒絕通知，或於應用程式登出，則不會存在任何權杖，亦不會向其傳送任何資料。
通讯及工作平台处理者
以下处理者只会在贵机构连接相关通讯渠道或连接器时才会参与。未连接者，我们不会向其发送任何数据，也不会在其平台开设账户。
| 处理者 | 用途 | 地区 |
|---|---|---|
| Telegram Messenger Inc. | 仅在贵机构将 Telegram 账户连接至 JetFlow 时适用。你发送给 JetFlow 机器人的消息及其回复均会经 Telegram 传送，连同用以对应你 JetFlow 账户的 Telegram 账户标识符。 | Telegram 的全球基础设施（香港境外） |
| Shopify Inc. | 仅在贵机构已连接 Shopify 店铺时适用。JetFlow 会使用你提供的凭证，从该店铺读取订单、客户及商品数据，因此 Shopify 会看到我们代你发出的请求。 | 加拿大及美国 |
| Lark / 飞书（ByteDance Ltd.） | 如运营方已配置，可用作登录：Lark 会向我们确认你的身份及电邮地址。此外，若贵机构已连接 Lark 或飞书工作区，JetFlow 会使用你提供的凭证，从中读取通讯录（部门及成员）及任务数据。 | Lark 为新加坡；飞书为中国内地，视乎贵机构工作区所使用的端点而定 |
| Twilio Inc. | 仅在此 JetFlow 已设置短信服务，且你添加自己的手机号码时适用。你的号码及我们发送的短信内容（一次性验证码，或你已开启短信的通知标题及链接）会经 Twilio 传送至你的移动运营商。我们以加密方式存储你的号码，只显示最后四位数字。 | 美国（Twilio），其后为你的移动运营商网络 |
此列表由代码中实际可到达的路径推导而成，并非人手维护。代码库内虽存有 Slack、Microsoft Teams、企业微信、钉钉、Twilio SMS 及 WhatsApp Business Cloud API 的适配模块，但六者均无法被调用：JetFlow 没有任何部分会调用它们，因此不会有任何个人数据传送至该六方。我们在此说明而非将其列为处理者，正是为了让上表维持为「你的数据实际去向」的陈述。
準確性說明（2026 年 8 月）：本清單已更正，以符合平台實際運作情況。先前僅列出 Anthropic 為唯一 AI 處理者，並將 Amazon Web Services 列為託管商、Vercel 及 Sentry 列為處理者，該等記載並不正確：AI 請求預設經 OpenRouter 轉送；託管為 自行管理之 VPS 並以 Cloudflare 為前端，而非 AWS；並無使用 Vercel；Sentry 亦 非我們的錯誤回報工具（其在 JetFlow 中僅為您可自行連接至自己 Sentry 帳戶之整合，該情況下由您自行傳送資料）。
準確性說明（2026 年 8 月，第二次更正）：上述清單曾遺漏產品實際可接觸的處理商。Microsoft 完全未有列出，惟 JetFlow 當時所提供的四個連接器中有兩個（Outlook 郵件、OneDrive）屬 Microsoft，且 Microsoft Entra ID 亦為支援之登入方式；Google 先前僅以 Android 推送服務身分出現，未有列出其當時同時提供的 Gmail 及 Google 雲端硬碟連接器。上述各列現已改為由產品實際提供的連接器及可啟用的登入供應商推導而成，不再以人手維護——見lib/pdpo/privacy-processors.test.ts，若有已提供之連接器其處理商未列於本表，該測試即會失敗。另原有一列為 Finverse Ltd.（銀行月結單擷取），已於 2026 年 9 月隨該整合功能自產品中移除而一併刪除：JetFlow 現已無任何途徑可向 Finverse 傳送銀行資料，若仍列出一個實際上無法接收資料的接收方，並非審慎披露，而是本聲明中的不實陳述。銀行月結單現時僅能透過您自行上載的檔案進入 JetFlow。
準確性說明（2026 年 10 月）：上表 Google 及 Microsoft 兩列先前亦描述 Gmail 及 Outlook 郵件連接器，謂其以您本人的郵箱發送發票、採購訂單、對外聯絡、審批請求及入職電郵。該兩個連接器已於 2026 年 9 月 27 日隨使用它們的資助收件匣匯入功能一併移除，JetFlow 現時不會透過 Gmail 或 Outlook 帳戶發送或讀取任何郵件。各列當時只描述仍然提供的兩個連接器，即 Google 雲端硬碟及 OneDrive／SharePoint（見下一則說明）。於該日前已連結的郵箱，仍可中斷連接；系統不會從中讀取任何內容。
準確性說明（2026 年 10 月，第二則）：Google 雲端硬碟及 OneDrive／SharePoint 是 JetFlow 最後提供的兩個連接器，現已留待較後版本，目前無法連接，故上表 Google 及 Microsoft 兩列只描述登入方式。連接器日後再度提供前，會先恢復該兩列。
每位處理商均受合約約束，採用與條例同等或更嚴格之保障條款（DPP3 自願遵從語言）。新增任何處理商前，我們會先發布更新後之分包商名單。
6. Cookie
我們將 cookie 分為四類 — 嚴格必要、功能、分析、推廣。只有嚴格必要 cookie 在未經同意下設置。Cookie 提示橫幅會記錄您的選擇；可於 /legal/cookies 重新檢視。
7. 保安（DPP4）
- 傳輸時使用 TLS 1.3；符合 HSTS preload 條件。
- 儲存的秘密及憑證 — AI 供應商 API 金鑰、連接器 OAuth 權杖及連接器憑證、銀行月結單連線權杖、公司註冊處電子提交憑證 — 均以專用欄位加密金鑰作 AES-256-GCM 加密靜態儲存。
- 完整香港身份證號碼及完整銀行帳戶號碼只存放於兩處，每個欄位各自以同一專用欄位加密金鑰作 AES-256-GCM 加密，並只在產生需要該號碼的表格或檔案、或獲授權使用者下載該檔案時解密：員工的 IR56 稅務資料（用以預備 IR56 僱主報稅表），以及供應商或貴公司本身銀行帳戶的付款資料（用以產生銀行付款檔案）。產生的表格及付款檔案亦以相同方式加密儲存。畫面一律以遮蔽形式顯示這些號碼。
- 除此以外 — 員工、供應商、銀行帳戶及公司高級人員紀錄 — JetFlow 僅保留身份證或帳戶號碼的末四位字元，作為無法還原完整號碼的純顯示識別。（支付 JetFlow 本身費用的信用卡資料僅由付款處理商持有 — 見第 2 節。）
- Auth.js JWT 會話、argon2id 密碼雜湊。
- 查詢層級的租戶隔離（每次讀取均按
company_id過濾），最敏感的表另設行級保安政策。 - 所有變更均寫入審計日誌。另設獨立的個人資料讀取日誌，記錄何人查閱我們評定為最敏感的紀錄：員工紀錄（人力資源名冊、個別員工檔案、身份證及銀行帳戶末四位）、薪酬計算及薪金報表、銀行帳戶（結餘及遮蔽帳戶號碼）、供應商銀行資料、公司高級人員登記冊（董事及秘書身份證末四位），以及每次資料當事人匯出。每條紀錄載明讀取者、時間、來源、所披露的紀錄數目及其身分。此日誌並非涵蓋產品內所有讀取——其他一般讀取以租戶範圍分隔及角色權限保護，並僅在造成變更時方會記錄。
- 每季存取權審查；離職即時撤銷權限。
準確性說明（2026 年 8 月）：本行先前寫作「敏感欄位讀取另寫入 PII 審計日誌」。實情並非所有讀取皆有記錄——銀行帳戶一覽及供應商銀行資料卡均曾披露遮蔽帳戶號碼而未寫入任何紀錄。該兩條路徑現已寫入該日誌，而本句亦已收窄為列明實際涵蓋的介面，而非聲稱我們並不具備的完整性。日後涵蓋範圍擴大時，本清單亦會同步更新；私隱政策誇大保障措施本身即屬缺失，而非無害的概括。
準確性說明（2026 年 8 月）：本節先前稱身份證及銀行帳戶欄位本身以 AES-GCM 加密儲存，並稱完整號碼存放於「獨立加密保險庫」。兩者均不屬實：該保險庫並不存在，而末四位欄位以純顯示識別形式儲存，正因完整號碼從一開始就不會收集。上方清單現準確描述實際加密範圍。若日後建成完整識別號碼的保險庫，本節將於其上線時（而非之前）更新。
準確性說明（2026 年 9 月）：上述更新即上方兩項。自 2026 年 9 月 28 日起，IR56 表格及銀行付款檔案需要完整號碼，因此現僅為這兩個用途保存，並逐個欄位加密；先前「完全不保存完整號碼」的說法自該日起已不屬實，現已更正。
8. 保留期（DPP2）
| 類別 | 保留期 |
|---|---|
| 帳戶紀錄 | 使用期間 + 結束後 1 年（如香港法例另有要求則更長 — 例如稅務條例 7 年） |
| 審計／財務日誌 | 7 年 |
| HTTP 存取日誌 | 90 日 |
| AI 輸入／輸出 | 30 日 |
| 流動推送權杖 | 直至您於該裝置登出、刪除帳戶或關閉通知為止（以最早者為準） |
| Cookie 同意 | 2 年滾動週期 — 到期後重新提示 |
| 促銷同意 | 撤回後 + 1 年作證據用 |
準確性說明（2026 年 8 月）：AI 一列先前附有一項例外，容許用戶自行保留 AI 紀錄。JetFlow 從未設有該項設定，故該例外所描述的是一項您無法行使的控制。現時清除為所有人一律於 30 日執行，措辭已作相應更正。流動推送權杖一列為新增：該權杖一直有收集，惟先前未有在此列出。
9. 跨境傳輸
部分處理商位於香港境外（美國、愛爾蘭、新加坡）。條例第 33 條（限制未具備指定保障之跨境傳輸）至本文件之日仍未生效，但我們自願遵從：每項傳輸均受相當於歐盟標準合約條款或私隱專員建議模型條款之 DPA 約束。
10. 您的權利（DPP6）
- 查閱 — 索取我們持有關於您的個人資料副本。可於 /account/privacy 自助匯出 JSON。
- 更正 — 要求更正不準確之資料。多數欄位可自行編輯；如為香港身份證／銀行欄位，請於 /account/privacy 提交查閱請求。
- 刪除 — 要求刪除您的帳戶。除非法定須保留（將以軟刪除處理並通知保留期），否則一律執行。
- 撤回同意 — 隨時可撤回；後果視乎資料類別。
服務水平：我們依私隱專員之建議於 40 日內回覆。自助流程未涵蓋之事項請電郵 [email protected]。
11. 直接促銷（條例第 35 條）
未經您另行且自願之同意，我們絕不會將您的個人資料用於直接促銷。註冊時的促銷同意勾選方塊與私隱／PICS 同意是分開的。可隨時於 /account/privacy 撤回；即時生效，免費。
12. 兒童
JetFlow 為 B2B 產品。我們不會主動收集 18 歲以下人士之個人資料。一旦發現將即時刪除。
13. 變更
當我們作出實質變更時，會更新 POLICY_VERSION 並於下次登入時重新請求同意。非實質之文字修改記於下方版本歷史。
14. 版本歷史
- v1 — 2026-04-28 — 初版發布。
本文件為降低法律風險之範本，並非法律意見。JetFlow 建議於正式上線前由香港律師審閱所部署的文本。