UndeadCam 隱私政策
提供者：waylen。App：UndeadCam，Android 套件 tw.dualrecorder.app。
隱私及刪帳聯絡：micbow2797@gmail.com。
生效日期：2026-10-06。
錄影與裝置權限
UndeadCam 使用相機錄影；開啟收音並授權麥克風時錄音。通知用於呈現錄影狀態及停止操作。您可在 Android 設定撤回權限。背景或螢幕關閉後錄影仍受装置、系統、權限及其他 App 占用相機／麥克風等限制。
錄影媒體、設定及相機診斷資訊保存在裝置。目前 App 沒有自動把影片或錄音上傳到 UndeadCam 伺服器的功能，也沒有錄影雲端備份。您主動分享檔案時，所選接收 App 取得臨時讀取權限；該 App 後續依其政策處理。刪除本機檔案不會取回已分享的副本。診斷報告的複製及分享也由您主動操作。
基本免費錄影不要求登入。Google 登入、試用、購買驗證及聯絡偏好使用網路，不應將本機保存媒體理解為整個 App 不處理或不傳送資料。
Google 登入與 Trial
使用 14 次 Pro 試用時，您須用 Google 帳號登入。App 透過 Google Credential Manager 取得 ID token，將 token 及一次性 nonce 透過 HTTPS 傳給 UndeadCam 後端驗證簽章、身份提供者、客戶端、期限及 nonce。Google 身份憑證可能含使用者識別、email、名稱及頭像等基本帳戶資訊；後端只取經驗證的身份識別建立帳號索引，不把原始 token、名稱、頭像或 Google 登入 email 存入帳號表。
後端保存內部帳號 ID、Google subject 的 HMAC 身份索引、session token 雜湊、期限及撤銷狀態，以提供登入及帳號管理。這些識別資料可與帳號關聯，並非完全匿名。App 的 access token 暫存記憶體，refresh token 由 Android Keystore 加密保存在裝置。
後端保存 Trial 餘額及錄影成功記帳事件 ID，以同步次數、處理重試及避免重複扣次；不傳送錄影內容。正式環境與測試環境的帳號、Trial 及交易資料分開，不搬入測試資料。
Google Play 購買與恢復
永久 Pro 由 Google Play 處理付款，無須先登入 UndeadCam 帳號。App 向 Google Play 查詢商品及顯示當時提供的價格，將購買 token 透過 HTTPS 傳至後端，由 Google Play Developer API 核實套件、商品及交易狀態；驗證成功後才提供權益。待付款、失效或無法驗證的客戶端說法不能直接授予 Pro。
後端保存 purchase token 的不可逆 SHA-256 雜湊、商品、交易／確認／撤銷狀態、驗證時間及永久權益紀錄。原始 token 僅供向 Google 驗證，不以原文存入購買表。UndeadCam 不在自己的表單收取信用卡或銀行帳號；Google Play 付款介面及付款服務的資料處理適用 Google 的政策。
刪除 UndeadCam 帳號不會取消 Google Play 交易或永久購買。恢復購買仍須由 Google Play 提供交易並經後端驗證；刪帳不代表購買退款。解除帳號關聯的購買雜湊、商品及永久權益紀錄會繼續保留，以支援永久購買恢復、去重及防詐騙。目前未設定統一固定刪除期限；這些資料不是完全匿名。不以未查證的法律義務作為保留理由。
自願聯絡偏好
以下回答介面適用於包含用途分流的新版本；仍使用舊版、未提交所需回答時，正式後端不接受新增聯絡同意，但仍接受撤回既有同意。新版 App 的實際可用時間以 Google Play 發布狀態為準。
開啟新的聯絡用途前，App 在聯絡偏好頁詢問年齡區間、居住國家及是否理解用途與撤回方式。沒有預選答案，不要求完整生日、證件或家長身分。這些回答僅在您開啟一項新的 email／push 用途時透過 HTTPS 送到後端，供判斷該自願用途目前是否開放；不另存入帳號、聯絡或同意資料表，也不寫入自有固定欄位日誌。後端同時檢查條件，未知、未理解或尚未開放的分支不建立新的行銷同意或信箱資料。回答是使用者自述，不是年齡身分證明或法定代理人核驗。
目前新行銷用途的產品開放下限：台灣、美國、英國、紐西蘭、新加坡 13 歲；韓國、加拿大 14 歲；澳洲 15 歲；日本、愛爾蘭 16 歲，且均須理解自願用途及撤回方式。其他／不確定／不願回答不開放新用途。這是保守的產品分流範圍，不宣稱為各國統一法定同意年齡，也不宣稱較小使用者的所有資料處理都需要家長。家長核驗尚未實作，App 不接受自行宣稱「家長已同意」作為此入口的例外。
這道分流不決定基本錄影、Google 登入、Trial 或已購買 Pro 的權益；各功能仍按自己的條件與後端驗證運作。您無須回答這些問題也能撤回既有聯絡同意；撤回最後 email 用途後刪除加密信箱聯絡資料，歷史仍按下述刪帳規則處理。每次開啟聯絡偏好頁重新回答，不在裝置設定中保存年齡或居住地選擇。
登入或購買不代表同意行銷。產品更新、新 App 及優惠各有 email／push 選項，預設不同意。您選擇 email 用途並填入信箱時，後端保存加密信箱、信箱 HMAC、用途、同意／撤回狀態、版本及時間。撤回所有 email 用途後刪除信箱聯絡資料；偏好及同意歷史保留至刪帳。
目前 push 選項只保存偏好，未實作 push token 註冊或訊息發送；目前也沒有自動寄送行銷 email 的流程或寄信供應商。不宣稱您選擇偏好後一定收到訊息。若日後啟用寄送服務，將先更新相關說明及供應商資料。
安全及服務資料
Google Play Integrity 用於觀察 App／裝置完整性，處理請求 hash、App／簽章及授權、裝置完整性資訊。後端向 Google 解碼並核對套件、請求綁定、時間及重播；保存必要判定事件與重播 token 雜湊，不將原始完整性 token 存入 D1。觀察結果不直接授予 Trial 或 Pro。目前未開啟額外環境訊號或 Device Recall。
服務連線使 Google、Cloudflare 接觸 IP 等傳輸資訊。UndeadCam 限流表保存以獨立密鑰計算的 IP HMAC 和請求計數，不保存原始 IP。固定欄位日誌程式只記錄 method、route、request ID、status、duration，不記錄請求本文、Authorization 或私密憑證。正式 Worker 的持久 Logs／Traces 目前關閉；這不表示平台不處理或保留其他服務、安全資料。
限流與 Google token 重播紀錄由後續請求清理過期資料；Integrity 事件於後續觀察請求中清理超過 90 天的紀錄。沒有後續流量時清理可能延後，90 天並非所有安全資料的保證刪除期限。其他必要安全／未連結安裝紀錄沒有統一固定保留期限。
Google、Cloudflare 與跨境處理
Google 提供帳號登入、Google Play 交易及 Integrity；Cloudflare Workers 執行 API，D1 保存帳號、Trial、購買、偏好與必要安全資料。網站刪帳使用 Google Identity Services 核驗身份，並使用短期必要安全 cookie 綁定刪帳請求；不以此建立新帳號。
這些平台與 SDK 依其適用政策處理請求及服務資料，可能在台灣以外的全球基礎設施處理；本服務未承諾資料只留在台灣。平台的自行處理與保留規則不能由 UndeadCam 的資料庫刪除操作一併更改。使用者主動分享的接收 App 另依其政策處理資料。
參考：Google 隱私政策 (https://policies.google.com/privacy)、Play Integrity 資料處理說明 (https://developer.android.com/google/play/integrity/terms)、Cloudflare 隱私政策 (https://www.cloudflare.com/privacypolicy/)。目前主程式沒有加入廣告或獨立分析／崩潰上報服務；這不表示 Google SDK 或平台完全不處理診斷或服務資料。
刪除帳號與資料
App 內登入原 Google 帳號，前往「設定 → 帳號與權益 → 刪除帳號」，閱讀說明並確認。後端完成刪除後才視為成功；失敗時可重試。刪除 App 帳號、Google 身份對應、所有 session、Trial 次數／事件／Trial 權益、行銷聯絡／同意及已註冊裝置資料；保留的安裝、購買、永久權益及安全紀錄解除 user 關聯。解除 Google 身份對應表示 UndeadCam 不再保存該帳號的登入關聯，並非刪除 Google 帳號或撤銷 Google 所有服務的授權。
不需安装 App，可到外部刪帳頁：
https://undeadcam-api-production.micbow2797.workers.dev/account-deletion。
使用同一 Google 帳號驗證身份，再勾選了解不可復原並按確認刪除。網站不會因登入而建立新帳號；成功回覆代表現用資料庫已完成刪除交易，或該 Google 身份已無 UndeadCam 帳號。不能使用 Google 驗證時可聯絡隱私信箱，須核驗所有權後處理；單凭來信不代表已完成刪除。請勿寄送密碼、token、金鑰、付款資料或錄影檔。
刪帳不刪除本機影片、Google Play 購買或分享副本。本機影片可在錄影清單刪除；清除 App 資料或卸載可能刪除私有錄影及設定，開發者沒有雲端錄影副本可恢復。
購買雜湊、永久權益及必要安全資料的保留例外如前述。Cloudflare D1 Free 的歷史還原窗口最多 7 天，已刪資料可能仍於窗口內的歷史版本存在；不承諾立即從所有備份或平台日誌清除，也不承諾全部資料 7 天自動刪除。
政策變更
當實際功能、資料用途或供應商改變，更新本政策及適用的 App／商店說明；需要權限或選擇的功能須取得相應授權。隱私或資料刪除問題請聯絡 micbow2797@gmail.com。