HakoSpace 隱私權政策
1. 前言
HakoSpace 是一套自架軟體。本隱私權政策說明 HakoSpace 軟體本身如何處理資料，並不適用於任何特定的架設實例，因為我們並未自行營運任何公開服務。
當您部署 HakoSpace 時，您就是掌控者。HakoSpace 開發團隊對您的伺服器、您的使用者及您的資料一無所知。
2. 自架架構
這是關於 HakoSpace 最重要的一件事：
我們無法存取您的資料。這不是政策承諾，而是架構設計的必然結果。
- HakoSpace 完全運行於您所控制的基礎設施上
- HakoSpace 開發團隊對任何自架實例中儲存的資料均無存取權限
- 我們無法讀取、監控或取得您伺服器上的訊息、檔案、使用者帳號或任何其他資料
- 每個伺服器實例完全獨立，彼此互相隔離
- 不存在任何中央 HakoSpace 雲端服務、共用資料庫或遙測管道
您的伺服器屬於您。我們沒有任何進入的途徑。
3. 軟體儲存的資料
HakoSpace 將以下資料儲存於伺服器營運者的基礎設施上：
- 使用者帳號：使用者名稱、顯示名稱、密碼雜湊值（bcrypt）、頭像圖片
- 訊息與附件：使用者傳送的所有聊天訊息及上傳的檔案
- 語音／視訊通話詮釋資料：通話紀錄（通話雙方、時間與時長）儲存於本地資料庫。此詮釋資料包含參與者使用者 ID、session 起訖時間戳記與頻道識別碼，不包含任何音訊、視訊或螢幕分享內容。
- 伺服器設定：設定值、身分組、權限、頻道結構
- 稽核日誌：管理操作及行政事件紀錄
3.1 即時媒體資料流（鏡頭、麥克風、螢幕分享）
當使用者啟用鏡頭、麥克風或螢幕分享時，對應之媒體串流於伺服器上採僅中繼之路徑：
- 擷取：瀏覽器或桌面用戶端以
getUserMedia或getDisplayMedia擷取裝置畫格。擷取完全發生於參與者裝置本地；傳輸開始前，任何畫格皆不離開裝置。 - 編碼與傳輸：畫格經編碼（VP8／VP9／H.264）後，透過加密之 WebRTC 連線（DTLS-SRTP）傳輸至 HakoSpace server instance。
- 中繼（SFU）：伺服器作為 Selective Forwarding Unit 運作。進入之媒體封包轉送予已訂閱該串流之其他參與者。伺服器不解碼、不轉碼、不檢視內容、亦不留存媒體封包。封包僅於記憶體緩衝區暫存數毫秒以完成轉送。
- 播放：接收端參與者於用戶端解碼並呈現串流。
- 終止：當廣播者關閉鏡頭／麥克風／螢幕時，底層媒體 track 顯式停止（
track.stop()），釋放硬體並熄滅作業系統之鏡頭／麥克風指示燈。session 期間擷取之任何畫格均不由軟體留存。
未經修改之 HakoSpace 軟體寫入磁碟之鏡頭／麥克風／螢幕分享畫格數為零。SFU 就媒體內容而言是無狀態中繼。
留存內容：通話詮釋資料（誰加入、何時、時長）及隱私信號日誌（濫用事件處理用途），其內不含任何媒體畫格。不留存內容：音訊取樣、視訊畫格、螢幕分享內容、或任何衍生物（縮圖、截圖、逐字稿）。
裝置層級授權：軟體遵循作業系統與瀏覽器授權模型。鏡頭與麥克風存取需使用者明確授與（瀏覽器提示、macOS 之 OS 層 TCC、或 Windows 隱私設定）。於 OS 或瀏覽器層拒絕或撤銷授權會使軟體中對應功能失效；軟體不提供任何繞過途徑。
HakoSpace 不具產品內錄製能力，且本大版本生命週期內不新增此能力。此承諾與 EULA §11.2 相呼應，反映 HakoSpace 之架構與產品意圖：本軟體為短暫通訊之中繼平台，非使用者媒體之留存平台。
operator 啟用之錄製（如有）：server operator 得自負法律風險與責任，於未經修改之 HakoSpace 軟體之外安裝或設定外部錄製基礎設施以擷取中繼之媒體。該等錄製非軟體之一部分，須經 operator 明示配置第三方工具，且使 operator（非 HakoSpace）負有依適用錄製同意法律取得全部參與者同意之義務。對應之授權條款見 EULA §11.2。
上述所有資料均儲存於營運者機器上的本地 SQLite 資料庫檔案及本地檔案儲存空間，不會傳輸至 HakoSpace。
4. 遙測與資料收集
HakoSpace 預設不會向外回傳任何資料。除非您主動選擇加入，否則不會有任何資料離開您的伺服器。
首次啟動時，伺服器管理員會看到一次性提示，詢問是否參加 HakoSpace 改善計畫。此為完全自願性質。
- 若您拒絕（或略過提示）：零對外遙測。軟體將以完全離線、自給自足的方式運作。
- 若您選擇加入：伺服器會定期傳送匿名化使用統計資料及一組隨機產生的實例識別碼（Instance ID）至 HakoSpace。您可隨時於伺服器設定面板中退出。
收集內容（僅限選擇加入）
| 收集項目 | 不收集項目 |
|---|---|
| 註冊用戶總數 | 用戶名稱、信箱、密碼 |
| 頻道總數 | 頻道名稱或內容 |
| 訊息量（每日／總量） | 訊息文字或附件 |
| 語音同時在線峰值 | IP 位址或地理位置 |
| 伺服器版本、版本別、作業系統、架構 | 主機名稱或網域名稱 |
| 伺服器運行天數（首次啟動起算） | 環境變數或機敏資訊 |
所有收集的資料均為數值型或類別型。絕不傳輸任何個人可識別資訊（PII）。
隨機實例識別碼：當遙測功能啟用時，軟體會產生一組隨機 UUID（例如 123e4567-...）以唯一識別該安裝實例。此識別碼僅用於度量去重（例如計算活躍伺服器數量）及追蹤版本採用趨勢。此 ID 為數學隨機產生，不含任何硬體特徵碼，亦不與您的身份、IP 位址或網域名稱關聯。
網路日誌：雖然 HakoSpace 軟體本身不會收集終端使用者的 IP 位址，但當您的伺服器實例與我們的基礎設施通訊（用於選擇加入之遙測或授權驗證）時，我們的標準網路伺服器及 CDN 服務商（如 Cloudflare）將基於安全、DDoS 防護及速率限制之目的，暫時記錄您伺服器的公開 IP 位址。我們不會將這些伺服器 IP 位址與個人身份進行關聯。
其他對外連線
- ACME / Let's Encrypt — 若營運者啟用此功能，用於取得 TLS 憑證
- AI 服務商 API（Anthropic、OpenAI、Google 等）— 僅在營運者啟用 AI 功能並提供自有 API 金鑰時才會連線。這些連線直接從您的伺服器發往 AI 服務商，HakoSpace 不介入其中。
- 授權驗證（僅限 PRO / MAX 版本）— 定期與 HakoSpace 授權伺服器驗證金鑰。此過程僅傳輸授權金鑰本身及經雜湊處理之匿名實例識別碼，以防止授權濫用。驗證過程不傳輸任何使用者資料、元資料或個人可識別資訊。
資料保留：雖然您可隨時退出以停止傳送未來之遙測資料，但我們無法刪除先前已收集的匿名化彙總資料，因為在彙總資料集中無法區分個別貢獻。
5. 伺服器營運者的責任
若您架設 HakoSpace 實例，您即為該實例上所有使用者資料的資料控管者。
- 您須自行承擔依適用法律所產生的個人資料保護義務
- 您應告知您的使用者您所蒐集的資料及其處理方式
- 您須自行負責伺服器的備份、資安防護及存取控制
- HakoSpace 提供軟體；法規遵循責任由您承擔
- 若您的實例可能被未成年者使用，您須就適用於您使用者司法管轄區之兒童隱私法（如美國 COPPA、歐盟 GDPR 第 8 條、中國 PIPL 第 31 條、臺灣個資法）評估義務。HakoSpace 提供軟體；法定年齡判定及家長同意機制（於法律要求時）為您作為 operator 之責任。
- 當任一使用者首次啟用鏡頭時，軟體將顯示一次性應用內通知，揭露：(a) 啟用後即時鏡頭串流將傳送至其他參與者；(b) 未經修改之軟體不會錄製該串流；(c) 使用者仍須就其所廣播之內容負責。此通知係為降低意外感，其本身不足以構成法律要求之可驗證家長同意。
5.5 未成年使用者
本軟體為通用性通訊基礎設施，非專為兒童所設計。惟個別 server instance 可能被任何年齡層之使用者使用，故各 operator 須就其使用者族群評估適用之兒童隱私法義務（美國 COPPA、歐盟 GDPR 第 8 條、中國 PIPL 第 31 條、臺灣個資法等）。
您接受本 Privacy Policy 即聲明：您已達您所在司法管轄區之數位同意年齡（通常為 13–16 歲），或您之父母或具合法權限之法定監護人已代您審閱並接受。Server operator 之 instance 如於要求可驗證家長同意之司法管轄區被未成年者使用，須實作 operator 層級之額外控管（如：註冊時年齡 gate、operator 發起之家長同意流程）；本軟體不取代此等控管。
若您為家長或監護人，且認為您所照顧之未成年者未經您授權而接受本 Privacy Policy，請聯繫 server operator，依下文 §7 請求刪除該未成年者之帳號資料。
錄製保護：如 §3.1 及 EULA §11.2 所述，HakoSpace 於本大版本生命週期內不新增且承諾不新增產品內錄製能力。此設計降低全體使用者之隱私曝露面，對其肖像不應被平臺留存之未成年使用者尤具意義。
A. 法律同意執行機制
HakoSpace 採用伺服器端法律同意 gate，確保每位 HakoSpace server instance 使用者，於使用任何處理個資之功能前，已主動同意 EULA 與本 Privacy Policy 之當前版本。
A.1 版本管理
EULA 與本 Privacy Policy 各以獨立之生效日（ISO 格式 YYYY-MM-DD）作為識別，顯示於文件頁首（例：Privacy Policy 2026-04-21 版）。以下任一情形觸發新生效日發布：收集資料類別擴張、保留期變更、引入新第三方處理者、新增功能類別（惟依 §3.1 與 EULA §11.2，HakoSpace 承諾於本大版本生命週期內不新增產品內錄製能力）、或任何 HakoSpace 善意評估下將影響合理使用者決策之變更。
編輯性變更（錯字修正、措辭整理、連結修正）不觸發新生效日；直接於原文修改，所發布文件之 commit 歷史作為 audit trail。如於同一生效日發布當日必須進行關鍵更正，得採輔字尾（例：2026-04-21-a）；情況允許時，HakoSpace 偏好直接採下一日之生效日。
A.2 帳號層級之同意紀錄
您於某一 server instance 之帳號儲存四個值：您最後同意之 EULA 版本、您最後同意之 Privacy Policy 版本、以及兩次同意之 UTC 時間戳記。此等值構成個資，僅為運作同意 gate 與提供同意證據之目的而處理。
A.3 伺服器端 gate
於每次 session 啟動時（HTTP API 請求或 WebSocket HELLO），伺服器比對您之同意版本紀錄與當前版本。若任一紀錄版本低於當前版本或為空，伺服器以錯誤（LEGAL_CONSENT_REQUIRED）拒絕請求，並回傳需重新同意之文件清單與當前版本字串。
前端收到此錯誤時，須顯示封鎖式 modal，內含需重新同意之各文件全文。該 modal 無離開路徑，僅能接受或離開服務。建議但不強制使用者捲動全文；兩個獨立 checkbox（「我已閱讀並同意 EULA」／「我已閱讀並同意 Privacy Policy」）皆勾選後，Accept 按鈕方啟用。同意後，前端 POST 所接受之版本字串至伺服器，伺服器更新四個帳號欄位並授予存取。
A.4 適用全體使用者而非僅新進者
引入新 EULA 或 Privacy Policy 版本之發布當日，所有現有使用者（而非僅新註冊者）下次連線時將被 re-consent modal 攔截。此設計反映：(i) 收集資料類別或處理目的之實質變更同等影響現有使用者；(ii) GDPR 及同等框架要求就新目的取得主動、知情之同意，被動繼續使用不構成此種同意。
Server operator 遷移至新版本時，應預期發布當日對使用者產生暫時性存取摩擦；此為同意框架之設計，非 bug。
A.5 拒絕同意之結果
若您拒絕新版本，將無法使用該 server instance 直到您同意為止。您既有之帳號資料不因拒絕而刪除；您可於日後任何時點回來同意。您仍保有依下文 §7 / §8 請求刪除個資之權利，與同意決定獨立。
A.6 歷史版本
本 Privacy Policy 與 EULA 之各已發布版本，於固定 archive URL（慣例為 /legal/archive/<YYYY-MM-DD>/privacy 與 /legal/archive/<YYYY-MM-DD>/eula）持續可供存取，使您得隨時審閱您所同意之確切文字。
6. 桌面應用程式
HakoSpace 桌面應用程式（Electron）僅連線至您所設定的伺服器位址。
- 身分驗證權杖使用平台原生加密機制（
safeStorageAPI）儲存於本地 - 不會有任何資料傳送至 HakoSpace 伺服器
- 應用程式不內建任何遙測或當機回報功能
7. 聯絡方式
如對本政策有任何疑問，請聯絡：[email protected]
如對特定 HakoSpace 實例上的資料有疑問，請聯絡該實例的營運者。
8. 官方網站與通訊
當您造訪 hakospace.com 下載我們的軟體或閱讀文件時，我們可能會收集標準網路伺服器日誌，並使用網站功能所必要之基本 Cookie。若您透過電子郵件聯繫我們（如技術支援請求），我們將保留您的電子郵件地址及訊息內容，僅用於處理您的詢問。我們不會出售或與第三方分享此等資訊。