隱私權政策
生效日期：2026年9月27日
1. 我們是誰
Ministry Assistant 幫助傳道員計劃和記錄自己的傳道工作、記下筆記；如果會眾使用這個應用程式，還可以編排聚會節目、傳道前聚會、公眾場所見證的安排、代替人選和傳道報告。 帳戶和雲端功能的資料控管者：Codivine Sp. z o.o.，電郵：fluttercodivine@gmail.com。 你輸入的大部分內容都不會離開你的手機。本政策說明究竟有哪些內容會離開手機、什麼時候離開、送到誰那裡、保存多久。
2. 哪些留在裝置上，哪些上傳到雲端
你輸入的一切——時數、筆記、傳道地區、跟你學習聖經的人、目標——都會先寫入你裝置上的資料庫。 只有當你開啟以下功能時，這些內容才會離開裝置： • 帳戶（電郵、名字，如果願意也可填電話號碼——登入、讓朋友找到你以及訂閱都需要）， • 在你的多部裝置之間同步（由你選擇服務方：你的 Ministry Assistant 帳戶、Google Drive 或 iCloud）， • 備份副本， • 跟朋友分享某些內容或傳送連結（例如邀請一起傳道）， • 加入會眾。 「帳戶（加密）」這個同步選項會在裝置上用你的加密密碼所產生的金鑰為你的記錄加密，我們無法閱讀這些內容。普通的「Firebase」選項則不會加密——應用程式裡也是這樣標明的。
3. 會眾
會眾的資料是端對端加密的。姓名、聚會節目、委派、傳道前聚會的安排（包括地點和線上聚會的資料）、聚會轉播的資料、公眾場所見證的安排、獲准擔任各項委派的人員名單、找人代替的請求、出席人數和報告，都會在手機上用只有成員才有的會眾金鑰加密。我們的伺服器保存的是密文，無法閱讀其中任何內容。 不過，伺服器確實看得到一些技術性的中繼資料，沒有這些資料，權限和通知就無法運作：哪個帳戶屬於哪個會眾以及該帳戶的權限；報告在什麼時候提交、提交給哪個傳道小組；誰報名參加某個書刊手拉車班次；哪些帳戶主持傳道前聚會；哪些帳戶收到了找人代替的請求、誰接受了請求，以及請求涉及哪一天；到其他會眾演講的講者的帳戶；會眾網站的設定。其他會眾的講者在邀請頁面上選擇的演講編號和題目沒有加密——它們來自公開的演講大綱清單。 同一個會眾的成員會自動成為應用程式裡的朋友（他們看得到朋友可以看到的內容——見第 4 部分）。你可以在隱私設定裡關閉這個功能；你自己加入的朋友會保留。 傳道報告只有在你明確同意時才會送出，而且這項同意可以撤回。報告會送到你的小組監督和他的助手那裡，小組的彙總則送到祕書那裡。沒有這項同意，報告絕不會自動送出。 當某個成員被移出會眾時，會眾金鑰會更換，這樣這位從前的成員就無法再閱讀新的內容。 會眾的內容由會眾的管理員以及擁有相關權限的人輸入。如果對會眾裡的資料有疑問（例如人員名單裡的某個項目），請先聯絡你所屬會眾的長老——我們無法查閱這些內容。
4. 跟其他人分享
朋友：朋友可以看到你的名字和大頭照。你的姓氏、電話號碼、電郵、會眾、職務和日期，在你的個人資料裡各有一個獨立的開關。 傳給朋友的傳道地區和感興趣的人，會以副本的形式進入朋友的收件匣。你和收件的人都可以刪除它；如果沒有人處理，30 天後它會自動消失。 連結（會眾委派、一週的聚會節目、邀請講者、某項工作、邀請一起傳道、代理請求）任何拿到連結的人都能打開——這正是連結的用途。解密金鑰放在網址中瀏覽器絕不會傳給伺服器的那一部分；連結會過期，也可以隨時撤銷。對連結的回覆（「我接受」/「我無法接受」）會保存在我們的伺服器上。加入公開傳道邀請或接受代理請求的人，他的名字會用連結金鑰加密——只有發出邀請或請求的人才能閱讀。
5. 會眾網站
會眾可以把公眾場所見證的安排、書刊申請表、佈告板、報告表格和傳道前聚會的安排放在瀏覽器上，供沒有這個應用程式的人查看，或者只供已登入的成員查看。這種頁面的內容是用連結裡的金鑰加密的，所以伺服器無法閱讀。任何拿到連結的人都能看到頁面——因此，只有在會眾開啟的情況下，頁面上才會顯示名字（例如負責班次的人或主持人的名字）。會眾管理員可以在設定裡關閉個別頁面、要求登入，或者完全關閉瀏覽器存取。 沒有帳戶的人報名參加班次或申請書刊時，他們輸入的名字、電話號碼和備註會在瀏覽器裡用會眾金鑰加密——只有協調人才能在應用程式裡閱讀。瀏覽器會在本機記住曾為哪些班次送出申請，這些資訊不會傳到我們這裡。本網站的分析工具只有在你同意後才會運作，而且絕不會收到申請的內容或連結中的金鑰。
6. 不使用這個應用程式的人
這個應用程式讓你可以記下你探訪的人、他們的地址和筆記，以及沒有帳戶的會眾成員。這些人不是我們的使用者，也沒有跟我們同意過任何事——由你（在會眾裡則由會眾的管理員）決定記下什麼，並為此負責。 因此：除非你開啟同步或分享，這類記錄會留在你的裝置上；在會眾裡它們是端對端加密的；只有在會眾開啟顯示名字的情況下，他們的名字才會出現在會眾網站上；在不允許保存這類記錄的國家，設定裡可以關閉整個部分（例如沒有人在家的地址，或感興趣的人）。 如果其中有人要求刪除自己的資料，請在應用程式裡刪除該筆記錄——它會從你的裝置、你在雲端的副本上消失，並在下文所述的保存期限過後從我們的伺服器上消失。你也可以寫信給我們，我們會幫忙。
7. 權限
通訊錄（可選）——用來顯示你的聯絡人當中誰已經在使用這個應用程式。你的通訊錄絕不會離開手機：只有電郵地址和電話號碼不可還原的指紋（雜湊值）會被傳送，而且我們不會保存其中的任何內容。 位置（可選）——用來在傳道地區地圖上顯示你的位置，並建議最近的地區。位置不會傳送給我們。傳道前聚會地點或書刊手拉車位置的標記是在地圖上手動設定的，而不是根據你的位置設定的。 通知（可選）——提醒和會眾通知。會眾通知絕不會包含委派的內容或任何名字。通知的標題和簡短說明也會保存在你帳戶的通知清單裡，這樣就不會漏掉任何通知。 照片和檔案（可選）——地區卡片的照片、某人的照片、佈告板上的附件、備份。
8. 服務供應商
Google / Firebase（愛爾蘭、美國）——登入、資料庫、檔案儲存、伺服器功能、推播通知、當機報告（Firebase Crashlytics）、應用程式裡的使用統計（Firebase Analytics，僅在你同意時——見第 9 部分），以及在本網站上的 Google Analytics，它要等到你同意之後才會啟動。 RevenueCat（美國）——處理訂閱。它會收到你的帳戶識別碼，為了向你提供支援，還會收到你帳戶裡的名字、電郵地址和電話號碼。 Apple 和 Google——處理訂閱的付款。我們從來看不到你的信用卡資料。 OpenStreetMap——地圖圖磚。打開地圖時，你的 IP 位址和地圖上可見的範圍會傳送到他們的伺服器。 Google 地圖（或其他地圖應用程式）——只有在你點按「導航」或「地圖」時，地址或地點才會在該應用程式中打開。Zoom 和其他線上會議服務——連結會在它們的應用程式或網站中打開；我們不會向它們傳送任何資料。 用電郵傳送服務訊息——只有技術資料，不包含應用程式裡的任何記錄。
9. 應用程式裡的使用統計和當機報告
使用統計（Firebase Analytics）在你同意之前是關閉的。應用程式只會詢問一次；你可以隨時在「設定 → 隱私 → 個人資料 → 使用統計」中改變主意。撤回同意後，收集會立即停止，裝置上的統計識別碼也會被重設。 在你同意後，應用程式（在手機、平板電腦和瀏覽器上）會傳送經過假名化處理的事件，說明哪些功能被使用——例如「新增了一筆記錄」「建立了一份備份」「報名了一個班次」——並附帶一般性的細節，例如記錄的來源、是／否標記、四捨五入後的人數以及一筆傳道記錄的時長。Google 還會記錄應用程式版本、裝置型號和作業系統、語言以及大致所在的國家（根據 IP 位址推斷，Google 不會儲存 IP 位址）。事件會連結到應用程式安裝的一個隨機識別碼；如果你已登入，還會連結到你帳戶的假名識別碼，這樣你的手機和平板電腦會被算作同一個使用者。此外還會附加三個分組：你在傳道工作中的身分（例如傳道員或正規先驅）、你是否擁有 PRO，以及你在會眾裡的存取層級（無、成員、有權限、管理員、擁有者）。 我們絕不會傳送你輸入的內容：不會傳送名字、地址、筆記、報告、會眾名稱或其他任何會眾資料、電郵地址或電話號碼。 我們使用統計資料，只是為了了解哪些功能有幫助、哪些需要改進。廣告功能和 Google signals 已關閉：不會收集廣告識別碼，資料也不會用於廣告或個人化廣告。統計資料會保存 14 個月，之後自動刪除。法律依據：你的同意（GDPR 第 6 條第 1 項 (a) 款和第 9 條第 2 項 (a) 款）。處理者是 Google Ireland Limited；資料可能會根據 EU–US Data Privacy Framework 和標準契約條款傳送到美國的 Google LLC。應用程式的測試版本從不傳送統計資料。 當機報告（Firebase Crashlytics，僅限手機和平板電腦）無論統計設定如何都會傳送，因為沒有這些報告，我們就無法修正導致應用程式出問題的錯誤。報告包括錯誤本身和錯誤在程式碼中發生的位置、應用程式版本、裝置型號、作業系統以及一個隨機的安裝識別碼。報告不會連結到你的帳戶，也不包含你的記錄。法律依據：我們在應用程式能正常運作且安全方面的正當利益（GDPR 第 6 條第 1 項 (f) 款）；你可以寫信給我們提出反對。當機報告會保存 90 天。處理者同上，是 Google Ireland Limited。
10. 資料保存多久
• 同步到你帳戶的記錄：只要帳戶仍然有效就一直保存。訂閱結束後再保存一年，並在刪除前 30 天發出提醒。 • 同步所使用的刪除標記：180 天。 • 傳道報告（包括透過網站提交的報告）和給祕書的小組彙總：從所屬月份結束起保存 2 年——提交報告即表示你同意這一點。之後會自動刪除。在應用程式裡，報告人可以提前刪除自己的報告，但提交後 60 天內不能刪除（以免隔天就把報告從監督那裡撤回）。 • 來自會眾網站、但協調人沒有接受的申請（書刊手拉車班次、書刊）：30 天。 • 找人代替的請求：最多保存到委派日期後 2 天。 • 通知清單：60 天。 • 會眾佈告板上的通告：保存到會眾設定的到期日，或者直到被刪除為止。 • 邀請連結和分享連結：最多 120 天，其中大部分要短得多；工作邀請和傳給朋友的副本：30 天。 • 刪除帳戶：以上所述的一切都會被刪除——你的帳戶文件連同所有記錄和金鑰、每段朋友關係的雙方、會眾成員身分、報告、邀請、通知、檔案。你擁有的會眾會交給另一位管理員，如果沒有其他管理員則會被刪除。 • 沒有會眾方案的會眾：方案結束後 12 個月（如果只使用過免費期，則為 6 個月）；在會眾連同其檔案被刪除前 30 天，會通知擁有者和管理員。 • 會眾手拉車班次和報名：13 個月；缺席：保存到登記時填寫的結束日期；已發放書刊的申請：90 天。
11. 安全
資料在傳輸過程中是加密的。會眾的內容、加密同步和備份還會在裝置上另外加密，所用的金鑰由你的加密密碼產生。 這表示我們無法為你找回那個密碼。請保存好設定密碼時顯示的復原碼——沒有密碼或復原碼，任何人都無法閱讀加密的資料，包括我們。
12. 你的權利
你有權查閱自己的資料、更正資料、刪除資料、限制或反對資料的處理，也有權取得一份副本。 其中大部分你可以自己在應用程式裡完成：編輯或刪除記錄、關掉你不想分享的內容，或者刪除帳戶（設定 → 帳戶），這也會把上面列出的資料從我們的伺服器上刪除。 你也可以寫信到 fluttercodivine@gmail.com。如果你認為我們處理你的資料有不當之處，可以向波蘭個人資料保護局（Urząd Ochrony Danych Osobowych）局長提出申訴。
13. 變更與聯絡
本政策可能會更新。重大的變更會在應用程式的更新說明和本頁面上公布，並註明新的生效日期。 資料控管者：Codivine Sp. z o.o. 電郵：fluttercodivine@gmail.com