隱私權政策

本政策說明 iPhone 和 iPad 版 CueFlip 如何處理你的資訊，以及本網站會做什麼。CueFlip 的核心功能，包括閱讀樂譜、音訊、標註和演奏，都在你的裝置上執行，不會把資料傳送給我們。可選的邀請計畫會使用本網站來驗證邀請、記錄點數和發放獎勵，詳見第 8a 節。如果翻頁的時機出了錯，你可以選擇把那次演奏的回報傳給我們，詳見第 8b 節。

CueFlip 由 CueFlip Team（下稱「我們」）製作。對於本政策中描述的、我們實際收到的資訊，包括 Apple 轉給我們的資訊、你透過郵件寄給我們的內容、你在問卷中選擇告訴我們的內容、邀請計畫使用的有限識別碼，以及你選擇傳送的翻頁問題回報，就英國和歐盟《一般資料保護規則》（GDPR）而言，我們是資料控管者。

1. 只留在你裝置上的內容

CueFlip 建立或匯入的一切，都寫入 App 在你裝置上的私有容器。除非你選擇傳送翻頁問題回報（第 8b 節），這些內容都不會傳給我們；App 本身從不向我們傳送任何內容。

• 排練錄音。你教 CueFlip 一首曲子時，它會錄下你的演奏並保留這段錄音，以便日後重建聲學模型。
• 聲學特徵。App 從你的錄音中計算出的數字指紋，用來跟隨你的演奏。
• 樂譜 PDF 和頁面縮圖，在你匯入時複製到 App 中。
• 你的標註，包括你用 Apple Pencil 畫的任何內容。
• 你的翻頁標記、演奏紀錄和 App 設定。
• 每次演奏的加密記錄。你演奏時，CueFlip 會記下麥克風聽到的聲音，以及 App 如何跟隨你、如何翻頁，方便你在出問題時傳給我們。每份記錄在寫入時就已加密，只有 CueFlip 團隊能打開——你不能，演奏結束後 CueFlip 自己也不能。記錄在演奏 7 天後刪除（合計超過 3 GB 時，會提前從最早的開始刪除），樂譜被徹底刪除時也會一併刪除；這些記錄不會包含在備份中。

如果你備份 iPhone 或 iPad，除這些加密記錄外的資料都會包含在加密備份中。刪除 App 會從裝置上刪除全部資料。我們沒有任何副本，也無法替你恢復。

2. 麥克風

CueFlip 的核心功能需要麥克風：聽你演奏，找到你在樂譜中的位置，在恰當的時刻翻頁。

• 麥克風只在你錄製排練或進行演奏時使用。不會在背景使用，也不會在 App 關閉時使用。
• 演奏時擷取的音訊會即時分析，同時以加密形式寫入這次演奏的記錄（第 1 節）。記錄留在你的裝置上，7 天後刪除。
• 你特意錄下的排練錄音只儲存在你的裝置上。
• 除非你自己傳送翻頁問題回報（第 8b 節），任何音訊都不會離開你的裝置。CueFlip 不做語音辨識，也不會把任何內容傳送到雲端音訊服務。

3. 訂閱

CueFlip 提供可選的自動續訂訂閱，完全由 Apple 銷售和管理。

• 付款由 Apple 處理。我們從不會看到你的信用卡資訊、帳單地址、Apple 帳號、姓名或電子郵件。
• App 透過詢問 Apple 裝置端的 StoreKit 框架來確認你是否已訂閱。這項訂閱檢查不會向 CueFlip 的網站或邀請服務發出請求，也不會產生任何我們能看到的訂閱狀態紀錄。
• 和對所有開發者一樣，Apple 會向我們提供匿名的彙總銷售報告，只顯示數量和收入，從不顯示購買者身分。
• 退款由 Apple 在 reportaproblem.apple.com 處理。

4. 與附近的裝置共享

CueFlip 可以和同一個房間裡的另一台 iPad 即時共享 Apple Pencil 標註，讓大家對著同樣的記號排練。

• 連線透過你的區域網路直接建立在兩台裝置之間，不經過我們的伺服器，也不需要連網。
• 只有在你主動用一次性代碼與他人配對時才會發生，並且只在你保持工作階段開啟期間持續。
• 交換的內容是筆跡本身，加上裝置產生的公鑰，以及在工作階段中識別你的顯示名稱和顏色。
• 請留意預設的顯示名稱。除非你修改，CueFlip 會使用你裝置本身的名稱，在很多裝置上它類似「小安的 iPad」，因此包含你的名字。與你配對的人會看到它。你可以在配對前在 App 中修改。
• 我們不會從這項功能中收到任何東西。

4a. iCloud 同步

如果你在「設定」裡開啟，CueFlip Pro 可以透過 iCloud 讓你自己的 iPhone 和 iPad 上的樂譜庫保持一致。它在你開啟之前是關閉的，你也可以隨時再關掉。

• 資料去哪裡。只會去你自己的私有 iCloud 資料庫，也就是屬於 CueFlip 的 CloudKit 容器裡、只能透過你的 Apple 帳號讀取的那一部分。它不經過任何 CueFlip 伺服器（我們沒有伺服器），我們也看不到、讀不了、復原不了。
• 同步什麼。每份樂譜的 PDF、排練錄音及其聲學特徵、你的標註和圖層、翻頁標記、演奏歷史與樂譜設定，以及你的資料夾。翻頁問題回報所用的演奏記錄（第 8b 節）、縮圖和 App 內建的教學樂譜不會同步。
• 衝突與刪除。兩台裝置修改了同一份樂譜的同一部分時，App 會把兩個版本都保留，而不是丟掉其中一個。在一台裝置上刪除的樂譜，會在你的其他裝置上進入「最近刪除」，保留 30 天。
• 關閉同步只會停止同步，不會動每台裝置上的樂譜庫。已經在 iCloud 裡的資料由 Apple 保管，你可以在 iOS「設定」的 iCloud 中刪除。Apple 如何處理 iCloud 資料，見 Apple 的隱私權政策。
• 我們不會從這項功能收到任何東西。

5. 我們絕不做的事

這些承諾針對的是 App。本網站上唯一的例外，也就是來自我們自己廣告的造訪，在第 8c 節中說明。

• 沒有分析，也沒有遙測。CueFlip 不會以任何頻率、任何形式向我們回報你的使用情況。翻頁問題回報只有在你自己傳送時才會到達我們這裡。
• 沒有第三方 SDK。App 不包含任何廣告、分析、歸因或當機報告函式庫，唯一依賴的是 Apple 自己的框架。
• 不使用廣告識別碼。CueFlip 不使用 IDFA，也從不跳出「App 追蹤透明度」的提示，因為它不追蹤你。
• App 不追蹤你在其他公司的 App 或網站上的活動，也不做使用者剖析。
• App 不販售、不分享個人資訊（依《加州消費者隱私法》對這些詞的定義）。我們從未這樣做過，App 也沒有這樣做的機制。
• 沒有帳號。CueFlip 不要求註冊，不要使用者名稱、密碼或電子郵件地址。問卷和回報頁面裡的電子郵件欄位都是可選的，位於網站上而不是 App 裡，也不是帳號。

6. Apple 提供給我們的資訊

除了下文所述的可選網站功能之外，透過 App Store 發行意味著 Apple 會把少量資訊轉給我們。我們寧願把這一點說清楚，而不是宣稱自己真的什麼都沒收到。

• 當機與耗電診斷。如果你在 iOS 的設定 → 隱私權與安全性 → 分析與改進中打開了與 App 開發者共享，Apple 可能會向我們提供 CueFlip 的當機報告和效能資料。這些由 Apple 而不是我們收集，經過彙總，並且據 Apple 所述無法識別到你本人。你可以在同一個 iOS 設定中為所有 App 關閉它。
• 彙總的 App Store 統計，包括下載量、留存率和依國家或地區的計數，Apple 會在 App Store Connect 中向我們展示。這些都是彙總資料，從不識別到個人。
• 評分和評論，即你選擇以自己設定的暱稱在 App Store 上公開發表的內容。

以上所有資訊都由 Apple 依據《Apple 隱私權政策》收集和處理。我們只能看到 Apple 決定向開發者展示的內容。

7. 如果你寄郵件給我們

寫信給我們，是你的資訊直接到達我們的途徑之一。其他途徑是下文所述的可選問卷、邀請計畫和翻頁問題回報。

• 我們會收到你的電子郵件地址、你寫的內容以及任何附件。請不要寄送你不希望我們擁有的東西。
• 我們只用它來回覆你，以及修復你回報的問題。
• 法律依據（GDPR）：我們回覆來信的正當利益，第 6(1)(f) 條；如果你是我們的客戶，則為履行契約，第 6(1)(b) 條。
• 處理者。寄往我們 cueflip.com 信箱的郵件由 Cloudflare 的電子郵件路由服務接收，再轉寄到由 Google（Gmail）代管的信箱。Google 會把郵件儲存在其基礎設施上，並可能在你所在國家或地區之外處理。Cloudflare 和 Google 是我們的資料處理者，並對此類傳輸適用標準契約條款。
• 保留期限。支援往來郵件會在 24 個月內刪除；如果你要求，我們會更早刪除。

8. 本網站上的問卷

本網站在 cueflip.pages.dev/survey 提供一份可選問卷，詢問你演奏什麼，以及 CueFlip 用得怎麼樣。它是本網站上的一個頁面，而不是 App 的功能：App 裡只有一個指向它的連結，除非你打開那個頁面、填寫並點一下「送出」，否則不會傳送任何內容。

• 儲存的內容。只有你的回答、你填寫時使用的語言、你是否從 App 進入、如果是的話 App 的版本，以及日期和時間。
• 不儲存的內容。沒有 IP 位址，沒有 User-Agent，沒有國家或地區，沒有 Cookie，沒有廣告或裝置識別碼，也沒有帳號。問卷不設定 Cookie，也不從第三方載入任何內容。已儲存的回答中，沒有任何東西能連結到你、你的裝置或其他任何一份回答。
• 防止被大量灌水。為了不讓問卷被自動提交塞滿，端點會統計最近從同一連線到達的提交數量。統計依據的是傳送方 IP 位址加鹽並截短後的摘要，從不使用位址本身，位址也不會被記錄在任何地方。這些計數器存放在一張不含任何回答、和回答沒有共同欄位的獨立資料表中，並在兩小時內刪除。這不會影響任何已儲存的回答，計數器中的任何內容也無法與某一份回答連結。
• 電子郵件地址是可選的，不填也能正常提交。如果你填寫了，它只會用於回覆這一份提交，從不會加入郵寄名單，你也不會收到其他任何郵件。
• 存放位置。Cloudflare 基礎設施上的 Cloudflare D1 資料庫。Cloudflare 是我們的資料處理者，並對任何跨境傳輸適用標準契約條款。只有我們能存取。
• 法律依據（GDPR）：你的同意，第 6(1)(a) 條，即你選擇提交表單。由於我們沒有任何能識別提交者的資訊，事後無法挑出並刪除某一份匿名提交；但如果你留了電子郵件地址，寫信給我們，我們會刪除那一份提交。
• 保留期限。回答在仍有助於決定開發方向時保留，最長不超過 24 個月。回覆寄出後，電子郵件地址會立即刪除。

和這裡的每個頁面一樣，本網站由 Cloudflare Pages 提供，它會為了安全和傳送頁面而暫時處理 IP 位址等請求中繼資料。你造訪任何網站都會發生這種情況，我們不會收到這些資訊，具體請見《Cloudflare 隱私權政策》。

8a. 本網站上的邀請計畫

CueFlip 可選的邀請計畫使用本網站來驗證邀請、記錄點數餘額，並發放 App Store 獎勵連結。你驗證邀請時，Safari 會帶著一個一次性權杖打開 CueFlip。CueFlip 會回傳一份簽章證明，以及一份由 Apple 簽章的 App Store 交易紀錄，讓網站能分辨真實的 App Store 下載和偽造的邀請。

• 為一次邀請儲存的內容。我們儲存邀請人由裝置產生的邀請識別碼、經驗證的受邀人由裝置產生的識別碼、一個隨機的一次性邀請權杖、驗證時間戳記，以及 Apple 穩定的 App 交易識別碼的 SHA-256 摘要。這個摘要只用於防止同一次 App Store 下載多次獲得邀請點數。我們不會收到或儲存你的 Apple 帳號名稱、電子郵件地址、密碼、付款資訊、廣告識別碼或硬體序號。
• 為點數和獎勵儲存的內容。點數依經過驗證的邀請數量計算。使用點數時，我們儲存所選獎勵、使用的點數、所用的 App Store 優惠參照、發放時間以及簡短的兌換連結權杖。邀請紀錄本身不儲存 Apple 優惠代碼的值；優惠代碼庫存另外存放在同一個獎勵資料庫中。
• 會處理但不隨邀請紀錄儲存的內容。驗證過程中，網站會收到受邀人的公鑰、Ed25519 簽章、Apple 簽章的 AppTransaction JWS 和 StoreKit 裝置驗證識別碼，只保留到足以驗證請求為止。公鑰、簽章、JWS 和裝置驗證識別碼都不會寫入邀請紀錄。
• 防止濫用。公開的邀請端點會保留短期的頻率限制計數器，以請求 IP 位址截短後的 SHA-256 摘要為鍵；計數器中不儲存原始位址，過期的計數器會自動刪除。待處理的邀請權杖 30 天後失效。
• 獎勵連結的造訪。/r/<token> 形式的獎勵連結會被記錄，以便我們分辨真實開啟和自動的連結預覽爬蟲，並調查濫用。這些造訪紀錄可能包含請求時間、IP 位址、User-Agent 字串、Cloudflare 國家或地區代碼、權杖和結果。紀錄中不包含你的樂譜、音訊、標註、聯絡人或樂譜庫內容。
• 絕不會傳送的內容。邀請驗證和獎勵兌換不涉及任何樂譜、PDF、標註、錄音、麥克風音訊、演奏紀錄、樂譜庫內容、聯絡資訊或裝置名稱。
• 保留期限。成功的邀請紀錄和點數使用紀錄會在計畫運作期間保留，以確保點數正確並防止重複計點。過期的待處理權杖和頻率限制計數器會定期清除。兌換造訪紀錄只為運作和保護獎勵系統而保留。
• 存放位置。邀請和獎勵紀錄儲存在 Cloudflare 基礎設施上的 Cloudflare D1 資料庫中。Cloudflare 是我們的資料處理者。
• 法律依據（GDPR）。在適用時，為我們管理和保護這一可選邀請計畫的正當利益，第 6(1)(f) 條；以及在你選擇參與時履行邀請優惠，第 6(1)(b) 條。

8b. 翻頁問題回報

如果 CueFlip 翻頁的時機不對，你可以在 App 中把那次演奏的回報傳給我們（在閱讀器中選擇··· → 回報翻頁問題），讓我們找出原因並修好。傳不傳完全由你決定，而且 App 本身什麼都不傳送：它把回報存成一個檔案，由你在本網站的 cueflip.com/report 上傳，或用電子郵件寄給我們。

• 回報包含的內容。你選中的那幾次演奏中麥克風收到的聲音，以及 CueFlip 跟隨你演奏、翻頁過程的詳細日誌；此外還有你教 CueFlip 這首曲子時的錄音和它從中學到的內容、樂譜名稱和翻頁標記，以及裝置型號、系統和 App 版本、電量和時間。回報不包含樂譜 PDF、你的標註，也不包含其他樂譜的任何內容。
• 離開裝置之前就已加密。在你看到這個檔案之前，App 就已用只有 CueFlip 團隊持有的金鑰把回報封存。本網站和 Cloudflare 儲存它，卻都無法打開；無論是傳輸途中被截取，還是從儲存空間中被取走，副本都無法讀取。
• 網站儲存的內容。加密的回報、它的到達時間和大小，以及你在上傳頁面上自己加入的內容：可選的電子郵件地址、可選的問題描述、頁面的語言，以及連結裡帶的 App 版本。回報不附帶儲存任何 IP 位址、User-Agent 或國家和地區。為了防止上傳功能被濫用，網站會統計最近從同一連線發起的上傳次數，依據的是該連線 IP 位址加鹽並截短後的摘要，使用的是和問卷相同的計數器（第 8 節），並在兩小時內刪除。
• 用途。只用於找出翻頁出錯的原因並加以改進，絕不提供給其他任何人。如果你留了電子郵件，它只會用於就這份回報聯絡你。
• 保留期限。我們分析完一份回報就會刪除它；儲存空間設有規則，每份回報連同你加入的內容最遲在到達 90 天後自動刪除。你取消或中途放棄的上傳會在一天內清除。如果你改用電子郵件傳送回報，我們會在同樣的 90 天內刪除那封郵件。
• 存放位置。Cloudflare 基礎設施上的一個私有 Cloudflare R2 儲存貯體，只有我們能存取。Cloudflare 是我們的資料處理者，並對任何跨境傳輸適用標準契約條款。用電子郵件寄來的回報按第 7 節所述的方式到達我們這裡。
• 法律依據（GDPR）：你的同意，第 6(1)(a) 條，即你選擇傳送回報。你可以隨時撤回：附上上傳頁面顯示的編號寫信給我們，或用你隨回報留下的電子郵件寫信，我們就會刪除它。

8c. 本網站上的廣告

我們會為 CueFlip 投放廣告，包括在 Instagram 上。本節只適用於來自我們自己廣告的造訪，也就是透過帶有活動參數的連結（例如 utm_source，或 Meta 的點擊識別碼 fbclid）抵達的造訪。本網站的其他任何造訪都不會被統計：頁面不會向我們的統計服務傳送任何內容，不會在你的瀏覽器中儲存任何東西，也不會從 Meta 載入任何內容。問卷、邀請和翻頁問題回報這幾個頁面，無論你是怎麼抵達的，都不會被統計。App 不做其中任何一件事。

• 我們記錄這次造訪的哪些內容。連結標明的廣告、廣告活動和版位；你瀏覽過的頁面；頁面可見的時間長度；你捲動到了哪裡；你看到了頁面的哪些部分；你點按過的連結和按鈕（記錄它們的目的地或標籤，絕不記錄你輸入的任何內容），包括 App Store 連結；指令碼錯誤和頁面速度的量測值；Cloudflare 從請求中得到的國家或地區和區域代碼；你的裝置類型、系統版本、瀏覽器，以及你是否透過 Instagram 這類 App 內建瀏覽器造訪；螢幕尺寸、語言和時區；以及在你的瀏覽器中產生的隨機造訪識別碼。我們不儲存你的 IP 位址，也不儲存你的 User-Agent 文字。
• App Store 連結。點按它會先經過本網站，網站記下這次點按，再帶你前往 App Store，並在網址上附加一個廣告活動標籤。Apple 會依這個標籤向我們彙總回報下載和購買。這能告訴我們哪則廣告帶來了下載，而不是你是誰；我們無法把某個人的下載和某個人的造訪對應起來，App 也不會回傳任何資訊。
• 你的選擇。在歐洲經濟區、英國和瑞士，我們會先詢問。在你同意之前，這次造訪會在沒有任何識別碼的情況下被計數：瀏覽器中不儲存任何東西，不設定任何 Cookie，也不向 Meta 傳送任何內容。在其他地方，本節和頁面底部的「隱私選項」連結就是告知，你可以在那裡關閉統計。瀏覽器發出的 Global Privacy Control 訊號在任何地方都視為拒絕。拒絕或關閉後，下面描述的識別碼會被刪除。
• 如果你同意，或你所在地區無需同意而你沒有選擇退出。你的瀏覽器會儲存一個隨機的回訪識別碼（直到你清除網站資料），並在分頁存續期間保留這次造訪的細節。我們會載入 Meta 像素，它會設定 Cookie（_fbp 和 _fbc），並在你瀏覽頁面、點按 App Store 連結時告知 Meta；我們的伺服器也會透過 Meta 的轉換 API 把同樣的事件告知 Meta，附上你的 IP 位址、瀏覽器的 User-Agent，以及你的國家或地區和該識別碼（後兩者經過雜湊處理），讓 Meta 能把它們比對到某個帳號。Meta 依據它自己的隱私權政策，用這些資訊衡量我們的廣告成效，並把廣告顯示給可能感興趣的人；Meta 作為獨立的控制者，自行決定如何處理收到的資料。我們已關閉像素對表單欄位和按鈕文字的自動比對。這是本網站唯一一處把某次造訪的資訊分享給廣告公司的地方；《加州消費者隱私法》把這稱為「分享」（sharing），上面的選擇就是你的退出方式。
• 存放位置。造訪紀錄儲存在 Cloudflare 基礎架構上的 Cloudflare D1 資料庫中，Cloudflare 是我們的資料處理者。紀錄會在 13 個月後刪除。只有我們能讀取。
• 法律依據（GDPR）。對於儲存在你的瀏覽器中或從中讀取的任何內容，以及傳送給 Meta 的內容，依據是你的同意（第 6 條第 1 項 (a) 款，同時也滿足 ePrivacy 規則）；你可以隨時透過頁面底部的連結撤回。對於不帶識別碼的造訪計數，依據是我們想了解廣告是否有效的正當利益（第 6 條第 1 項 (f) 款）。
• 查看或刪除紀錄。造訪紀錄連結的是一個隨機識別碼，而不是你的姓名。如果你想刪除它，請透過電子郵件把你的瀏覽器在本網站的網站資料中儲存的 cueflip.uid 的值寄給我們（如果有的話）；沒有它，我們無法判斷哪筆紀錄是你的，而紀錄會在 13 個月後自動刪除。

9. 由你控制的權限

兩項權限都可以隨時在 iOS 的設定 → 隱私權與安全性中授予或撤銷。CueFlip 不要求取用你的聯絡資訊、照片、行事曆、位置、健康資料，也不存取你匯入樂譜時親自選擇的檔案以外的任何檔案。

10. 兒童

CueFlip 是給樂手用的工具，並非以 13 歲以下（或你所在國家或地區規定的相應最低年齡以下）的兒童為對象。它的核心樂譜、音訊、標註和演奏功能不會把資料傳送給我們。可選的網站功能在被主動使用時，可能會收到問卷中的電子郵件地址、上文所述的假名化邀請資訊，或翻頁問題回報。如果你認為有兒童透過網站或郵件向我們傳送了個人資訊，請聯絡我們，只要能找到相應紀錄，我們就會刪除。

11. 你的權利

如果你身在歐洲經濟區、英國、瑞士、加州，或其他有類似法律的地區，你對我們持有的你的個人資料享有以下權利：存取、更正、刪除、限制處理、反對處理和資料可攜，以及不因行使這些權利而受到歧視的權利。

實際上這個範圍很窄。我們可能持有的可識別資訊，是第 7 節所述的往來郵件、問卷回答附帶的電子郵件地址、邀請計畫使用的假名識別碼，以及你傳送的翻頁問題回報和你隨它加入的內容。寄郵件給我們，我們會在 30 天內免費處理有效的請求。除非你傳送回報，你的樂譜、錄音、標註和演奏資料都留在你的裝置上，完全由你掌控：

• 查看或匯出 App 儲存的資料：使用 App 設定中的匯出功能。
• 刪除 App 儲存的資料：刪除 App。App 在那台裝置上建立的一切都會一起刪除。
• 網站上的紀錄：寄郵件給我們。如果是邀請紀錄，請附上你手上的邀請連結或裝置產生的邀請識別碼，以便我們在不猜測你身分的情況下找到這筆假名紀錄。

如果你身在歐洲經濟區或英國，並認為我們處理你的資料不當，可以向你所在國家的監管機關投訴。

12. 變更與聯絡方式

如果我們對本政策做出對你有實質影響的修改，會更新本頁頂部的日期。如果未來某個版本的 CueFlip 開始從核心 App 收集新的一類資料，我們會更新本政策，並在法律要求時徵得同意，而不會悄悄開始。

關於隱私或本政策的問題：

[email protected]