私隱政策
生效日期：2026年9月27日
1. 我們是誰
Ministry Assistant協助傳道員計劃和記錄傳道工作、做筆記，並且在會眾使用時，協助準備聚會節目、傳道前聚會、公眾場所見證時間表、代替人選和傳道報告。 帳戶和雲端功能的資料控制者：Codivine Sp. z o.o.，電郵：fluttercodivine@gmail.com。 你輸入的大部分內容都不會離開你的手機。本政策會準確說明哪些內容會離開、在什麼時候、傳送給誰，以及保留多久。
2. 哪些資料留在裝置上，哪些會送到雲端
你輸入的所有內容，包括傳道時間、筆記、傳道地區、你教導聖經的人和目標，都會先寫入你裝置上的資料庫。 只有在你開啟以下項目時，資料才會離開裝置： • 帳戶（電郵、姓名，也可以選填電話號碼，用於登入、讓朋友找到你，以及訂閱）， • 裝置之間的同步（由你選擇提供者：你的Ministry Assistant帳戶、Google Drive或iCloud）， • 備份副本， • 與朋友分享內容或傳送連結（例如傳道邀請）， • 加入會眾。 「帳戶（已加密）」同步選項會用由你的加密密碼衍生的密鑰，在裝置上把你的記錄加密，我們無法讀取。單純的「Firebase」選項則不會加密，應用程式中已如實標明。
3. 會眾
會眾採用端對端加密。姓名、聚會節目、指派、附有地點和線上聚會資料的傳道前聚會時間表、聚會轉播資料、公眾場所見證時間表、獲准擔任各項指派的人員名單、代替請求、出席人數和報告，都會在手機上用只有成員持有的會眾密鑰加密。我們的伺服器只儲存密文，無法讀取其中任何內容。 伺服器確實能看到一些技術性的中繼資料，沒有這些資料，權限和通知就無法運作：哪個帳戶屬於哪個會眾及其權限；報告是什麼時候提交的、提交給哪個傳道小組；誰報名了展示架的時段；哪些帳戶負責主持傳道前聚會；哪些帳戶收到了代替請求、誰接受了、涉及哪個日期；外出演講的講者帳戶；會眾的網站設定。其他會眾的講者在邀請頁面上選擇的演講編號和題目沒有加密，它們來自公開的演講大綱清單。 同一會眾的成員在應用程式中會自動成為朋友（他們可以看到朋友能看到的內容，見第4節）。你可以在私隱設定中關閉這個功能，你自己新增的朋友則會保留。 只有在你明確同意時，才會傳送傳道報告，而且同意可以撤回。報告會傳送給你的小組監督和他的助手，小組摘要則會傳送給秘書。沒有這項同意，報告絕不會自動傳送。 成員被移除後，會眾密鑰會更換，這樣已離開的成員就無法再閱讀新內容。 會眾的內容由管理員和擁有相關權限的人輸入。如果對會眾中的資料（例如人員名單上的條目）有疑問，請先聯絡你會眾的長老，我們無法查看這些內容。
4. 與其他人分享
朋友：朋友可以看到你的姓名和個人資料相片。你的姓氏、電話號碼、電郵、會眾、職分和日期，各自由個人資料中的獨立開關控制。 傳送給朋友的傳道地區和有興趣的人，會以副本的形式出現在對方的收件匣中。你和收件人都可以把它刪除，如果30天內沒有人處理，它會自動消失。 連結（會眾指派、一週的節目、講者邀請、任務、傳道邀請、代替請求）任何持有連結的人都可以開啟，這正是連結的用途。解密密鑰位於網址中瀏覽器絕不會傳送給伺服器的部分，連結會過期，也可以隨時撤銷。連結的回覆（「我接受」/「我不能」）會儲存在我們的伺服器上。加入公開傳道邀請或接受代替請求的人的姓名，會用連結密鑰加密，只有邀請者或請求者才能讀取。
5. 會眾網站
會眾可以讓公眾場所見證時間表、書刊申請表、資訊板、報告表和傳道前聚會時間表在瀏覽器中開放，供沒有使用應用程式的人，或只供已登入的成員使用。這類頁面的內容用連結中的密鑰加密，所以伺服器無法讀取。任何持有連結的人都可以看到頁面，因此只有在會眾開啟後，頁面上才會顯示姓名（例如參加時段的人或主持人）。會眾管理員可以在設定中關閉個別頁面、要求登入，或完全關閉瀏覽器存取。 沒有帳戶的人報名時段或申請書刊時，他們輸入的姓名、電話號碼和備註會在瀏覽器中用會眾密鑰加密，只有協調人才能在應用程式中讀取。瀏覽器會在本機記住已為哪些時段送出申請，這些資料不會傳到我們這裡。本網站的分析功能只有在你同意後才會運行，也絕不會收到申請的內容或連結中的密鑰。
6. 不使用應用程式的人
應用程式讓你記下你探訪的人、他們的地址和備註，以及沒有帳戶的會眾成員。這些人不是我們的用戶，也沒有與我們達成任何協議，要記下什麼由你（在會眾中則是由其管理員）決定，並由你負責。 因此：除非你開啟同步或分享，這類記錄只會留在你的裝置上；在會眾中，它們採用端對端加密；只有在會眾開啟顯示姓名後，他們的姓名才會出現在會眾網站上；而在不允許保存這類記錄的國家，設定中也可以關閉整個部分（例如沒有人在家的地址，或有興趣的人）。 如果其中有人要求移除，請在應用程式中刪除記錄，它會從你的裝置、你在雲端的副本中消失，並在下面所述的保留期過後，從我們的伺服器中消失。你也可以寫信給我們，我們會協助處理。
7. 權限
通訊錄（選用）：用來顯示你的聯絡人中有誰已在使用應用程式。你的通訊錄絕不會離開手機，只會傳送電郵地址和電話號碼不可逆的指紋碼（雜湊值），而且不會儲存任何相關資料。 位置（選用）：用來在傳道地區地圖上顯示你的位置，並推薦最近的傳道地區。你的位置不會傳送給我們。聚會地點或展示架位置的標記，是在地圖上手動設定的，而不是根據你的位置。 通知（選用）：提醒和會眾通知。會眾通知絕不會帶有指派的內容或任何姓名。它們的標題和簡短說明也會保存在你帳戶的通知清單中，所以不會漏掉任何一則。 相片和檔案（選用）：地區卡的相片、個人的相片、資訊板上的附件、備份。
8. 服務提供者
Google / Firebase（愛爾蘭、美國）：登入、資料庫、檔案儲存、伺服器功能、推送通知、當機報告（Firebase Crashlytics）、應用程式內的使用統計（Firebase Analytics，只有在你同意後才啟用，見第9節），以及在本網站上的Google Analytics，在你同意之前不會啟動。 RevenueCat（美國）：處理訂閱。它會收到你的帳戶識別碼，並為了向你提供支援，收到你帳戶中的姓名、電郵地址和電話號碼。 Apple和Google：處理訂閱的付款。我們絕不會看到你的信用卡資料。 OpenStreetMap：地圖圖塊。開啟地圖時，會把你的IP位址和可見的地圖範圍傳送到他們的伺服器。 Google地圖（或其他地圖應用程式）：只有在你點按「路線」或「地圖」時，地址或位置才會在該應用程式中開啟。Zoom和其他線上會議服務：連結會在它們的應用程式或網站中開啟，我們不會向它們傳遞任何資料。 服務通知的電郵寄送：技術性資料，不包含應用程式中的記錄。
9. 應用程式中的使用統計和當機報告
使用統計（Firebase Analytics）在你同意之前是關閉的。應用程式只會詢問一次，你隨時可以在設定 → 私隱 → 個人資料 → 使用統計中改變主意。撤回同意會立即停止收集，並重設裝置上的統計識別碼。 在你同意後，應用程式（在手機、平板電腦和瀏覽器中）會傳送關於使用了哪些功能的匿名化事件，例如「新增了一筆記錄」、「建立了備份」、「報名了時段」，並附有一般性的詳情，例如記錄的來源、是/否的標記、約略的人數，以及傳道記錄的時長。Google也會記錄應用程式版本、裝置型號和作業系統、語言，以及大約的國家（根據IP位址推算，Google不會儲存IP位址）。事件會與應用程式安裝的隨機識別碼連結，登入後則會與你帳戶的匿名識別碼連結，這樣你的手機和平板電腦就算作一位用戶。另外還會加入三個分類：你在傳道工作中的身分（例如傳道員或正規先驅）、你有沒有PRO，以及你在會眾中的存取層級（無、成員、有權限、管理員、擁有者）。 我們絕不會傳送你輸入的內容：不包括姓名、地址、備註、報告、會眾名稱或任何其他會眾資料、電郵地址或電話號碼。 我們使用這些統計，只是為了了解哪些功能有幫助、哪些需要改進。廣告功能和Google信號已關閉：不會收集廣告識別碼，資料也不會用於廣告或廣告個人化。統計資料保留14個月，之後會自動刪除。法律依據：你的同意（GDPR第6條第1款(a)項和第9條第2款(a)項）。處理者是Google Ireland Limited；資料可能會根據歐盟與美國的資料隱私框架和標準合約條款，轉移到美國的Google LLC。應用程式的測試版本絕不會傳送統計資料。 當機報告（Firebase Crashlytics，只限手機和平板電腦）不論統計設定如何都會傳送，因為沒有它們，我們就無法修復導致應用程式無法運作的錯誤。報告包含錯誤和發生錯誤的程式碼位置、應用程式版本、裝置型號、作業系統和隨機的安裝識別碼。它不會與你的帳戶連結，也不包含你的記錄。法律依據：我們希望應用程式能正常運作且安全的正當利益（GDPR第6條第1款(f)項）；你可以寫信給我們提出反對。當機報告保留90天。處理者與上述相同，是Google Ireland Limited。
10. 資料保留多久
• 同步到你帳戶的記錄：只要帳戶有效就會保留。訂閱結束後會保留一年，並在刪除前30天發出警告。 • 同步所用的刪除標記：180天。 • 傳道報告（包括透過網站傳送的）和給秘書的小組摘要：由報告所屬月份的月底起保留2年，傳送報告即表示你同意這一點。之後會自動刪除。在應用程式中，作者可以提前刪除自己的報告，但傳送後60天內不能刪除（以免報告在第二天就從監督那裡被撤回）。 • 協調人沒有接受的會眾網站申請（展示架時段、書刊）：30天。 • 代替請求：到指派日期後最多2天。 • 通知清單：60天。 • 會眾資訊板上的宣布事項：到會眾設定的到期日，或直到被刪除。 • 邀請和分享連結：最多120天，大部分短得多；任務邀請和傳送給朋友的副本：30天。 • 刪除帳戶：上述一切都會被刪除，包括你的帳戶文件及所有記錄和密鑰、每段朋友關係的雙方、會眾成員身分、報告、邀請、通知和檔案。你擁有的會眾會轉交給另一位管理員，如果沒有其他管理員則會刪除。 • 沒有會眾方案的會眾：方案結束後12個月（如果只有過免費期則是6個月）；在連同檔案一併刪除前30天，會通知擁有者和管理員。 • 會眾的展示架時段和報名：13個月；缺席記錄：到隨記錄輸入的結束日期為止；已分發的書刊申請：90天。
11. 安全
連線在傳輸過程中已加密。會眾內容、加密同步和備份，還會在裝置上用由你的加密密碼衍生的密鑰再加密一層。 這表示我們無法為你找回那個密碼。請保管好設定密碼時顯示的復原碼，沒有密碼或復原碼，任何人（包括我們）都無法讀取加密的資料。
12. 你的權利
你有權查閱、更正和刪除你的資料，有權限制或反對處理資料，也有權取得副本。 大部分事情你都可以在應用程式中自己完成：編輯或刪除記錄、關閉你不想分享的內容，或刪除帳戶（設定 → 帳戶），這也會從我們的伺服器移除上述資料。 你也可以寫信到fluttercodivine@gmail.com。如果你認為我們處理你的資料的方式不當，可以向波蘭個人資料保護局局長（Urząd Ochrony Danych Osobowych）投訴。
13. 更改和聯絡方式
本政策可能會更新。重大更改會在應用程式的更新說明和本頁面公布，並附上新的生效日期。 資料控制者：Codivine Sp. z o.o. 電郵：fluttercodivine@gmail.com