HakoSpace 官方帳號隱私權政策

本版本為工程草稿，尚未經執業律師覆核；公開註冊前將完成覆核並以新版本公告。

1. 前言與適用範圍

本政策說明 HakoSpace 如何處理「HakoSpace 官方帳號」（以下稱「官方帳號」）相關的個人資料。官方帳號由 HakoSpace（以下稱「我們」）營運的中央服務提供，聯絡信箱為 legal@hakospace.com。

本政策與 HakoSpace 自架軟體的隱私權政策是兩份不同的文件：自架軟體的隱私權政策規範軟體本身，本政策規範由 HakoSpace 保存的官方帳號資料。自架軟體隱私權政策中關於軟體不收集資料的說明，不適用於官方帳號。

官方帳號與任何 HakoSpace 伺服器（自架或由 HakoSpace 架設）上的帳號是分開的，不能用來登入任何伺服器；我們不提供伺服器使用的 SSO 或 OAuth，也不會把官方帳號與任何伺服器的成員帳號連結。HakoSpace 無法經由官方帳號看到任何伺服器上的內容；唯一的例外，是您自願登記 hakoHub 後，我們讀取該伺服器對外公開的資訊（第 11 條）。

官方帳號目前提供登入、管理帳號本身，以及登記 hakoHub（公開的伺服器名錄，見第 11 條）。授權綁定等其他官方服務不在本版本範圍內；新增官方服務、或因此新增蒐集的資料類別時，我們會以新版本的本政策公告，屬實質變更，須重新取得您的同意（見第 14 條）。

瀏覽 hakoHub 名錄頁（hub.hakospace.com）的訪客不一定有官方帳號；對訪客的告知另見《hakoHub 名錄頁隱私說明》（名錄頁頁尾有連結），本政策第 11.6 條只做摘要。

2. 我們蒐集哪些資料、為什麼、存在哪裡

目的：建立與管理官方帳號、驗證您的身分、維護帳號安全、寄送與帳號有關的信件、保存您同意條款的證明，以及（您登記 hakoHub 時）營運伺服器名錄。

• 電子郵件地址：登入識別，以及寄送邀請、驗證、重設密碼與安全通知。第一版以小寫 ASCII 儲存。您的官方帳號電子郵件地址只存放在帳號資料表中（員工的電子郵件地址另存於員工名單與員工操作紀錄），其他紀錄一律以不透明的帳號識別碼指向帳號。
• 密碼：我們只儲存密碼經 scrypt 演算法處理後的雜湊值，不儲存密碼本身，員工也看不到。另儲存最近一次變更密碼的時間。
• 帳號狀態與設定：帳號識別碼（隨機產生）、狀態（待啟用、使用中、已停用）、信件語言（繁體中文或英文；員工邀請時指定，或自行註冊時依當時的介面語言）、建立與更新時間、電子郵件驗證時間、用來撤銷登入狀態的內部計數，以及（帳號處於刪除申請期間時）刪除申請的時間與申請者（本人或員工）。
• 最後登入時間：只記錄時間，用來辨識閒置帳號；不記錄 IP 位址或瀏覽器資訊。
• 登入狀態（session）：保持登入所需的紀錄，包含登入憑證的雜湊值（不存原值）、建立與最後使用時間、閒置與絕對到期時間。登入狀態閒置 7 天或自建立起 30 天後失效。
• 一次性連結紀錄：邀請、註冊確認、重設密碼的連結，我們只存連結憑證的雜湊值、用途、建立、到期與使用時間。連結有效期：邀請 72 小時、註冊確認 24 小時、重設密碼 1 小時，且只能使用一次。
• 登入鎖定例外憑證：成功登入後，我們會在您的瀏覽器放一個隨機憑證（見第 5 條 __Host-hako_dev），伺服器只儲存其雜湊值、建立、最後使用與到期時間，以及這張憑證上累計的密碼錯誤次數，用於下一項登入失敗鎖定的例外。它是隨機產生的憑證，不是裝置指紋。
• 登入失敗計數：連續登入失敗的次數、最後失敗時間與鎖定到期時間，用於暴力破解防護。連續失敗 5 次後鎖定 1 分鐘，之後每次加倍，最長 1 小時。
• 寄信計數：每個帳號每種信件每天寄出的封數與最後寄出時間，用於防止濫發郵件。
• 帳號事件紀錄：安全與稽核用的紀錄，記錄「哪個帳號（只有不透明識別碼）、何時、發生什麼事、由誰觸發（本人、員工、系統）」。事件包括邀請、重寄邀請、註冊、啟用、停用與重新啟用、解除鎖定、登入成功與失敗、登出、變更密碼、申請重設與完成重設密碼、撤銷登入狀態、申請刪除與取消刪除、帳號永久刪除、未啟用帳號逾期清除、重新同意條款、寄信失敗與寄信額度用完。事件內容只含簡短的分類（例如登入失敗的原因類別），不含電子郵件地址、IP、瀏覽器資訊、密碼或連結憑證。
• 同意紀錄：您同意了哪份文件（服務條款或隱私權政策）、哪一個版本、何時同意，以及當時的同意情境。年齡聲明是同意勾選文字的一部分，我們不另存年齡或生日。
• 帳號刪除紀錄：帳號被永久刪除時，我們會留下一筆只含不透明帳號識別碼、刪除時間與保存到期日的紀錄，用來決定同意紀錄何時可以清除；不含電子郵件地址。
• hakoHub 登記資料（只有您登記 hakoHub 才會有）：伺服器網址、從該伺服器讀到的公開資訊、您設定的 tag、hub 金鑰的公開指紋（key_id）、加密保存的探測金鑰、探測狀態與時間、您登記時勾選同意的條款版本（收錄規範是條款的一部分）與時間、登記失敗的冷卻計數、審核紀錄、通知紀錄，以及封鎖名單與墓碑紀錄。細節、探測方式與公開展示見第 11 條，保存期限見第 9 條。
• 員工操作紀錄：員工在維運後台對官方帳號做的管理操作（邀請、重寄邀請、停用、啟用、撤銷登入狀態、解除鎖定、代為申請刪除、取消刪除），記錄操作員工的電子郵件地址、時間、操作種類、被操作帳號的不透明識別碼與簡短分類。紀錄不含被操作帳號的電子郵件地址、IP 或瀏覽器資訊。
• 寄到 legal@hakospace.com 的信件（檢舉、申訴、權利申請、通報與其他詢問）：寄件人的電子郵件地址、信件內容與附件，僅用於受理、查證、回覆與必要的法律處理；檢舉人不一定持有官方帳號。保存期限見第 9 條。

不提供建立與驗證帳號所必要的資料（電子郵件地址與密碼），就無法建立或使用官方帳號；不提供 hakoHub 登記資料，只是無法登記 hakoHub，不影響官方帳號的其他功能。

3. 我們不蒐集的資料

HakoSpace 的帳號服務程式不儲存：姓名、電話、生日、地址、顯示名稱、頭像、IP 位址、瀏覽器（User-Agent）資訊、裝置指紋（任何由瀏覽器或裝置特徵推導出的識別）、地理位置資訊。與瀏覽器有關的，只有第 5 條所述由伺服器隨機產生、只存雜湊的登入狀態與 __Host-hako_dev 憑證。

請注意，這只描述 HakoSpace 帳號服務自己儲存什麼。您的連線仍會經過 Cloudflare 等第三方（見第 7 條），它們在傳輸過程中會看到連線資訊（例如 IP 位址）；我們無法控制這些平台層級的處理。

遙測（HakoSpace 伺服器在其管理者選擇開啟後回報的使用統計）存放在另一個獨立的資料庫。官方帳號服務不連到遙測資料庫，也不儲存遙測的實例識別碼，不會把遙測資料與您的官方帳號連結。hakoHub 與遙測是兩個各自獨立、各自需要伺服器管理者選擇開啟的功能：hakoHub 不使用遙測的實例識別碼，也不與遙測資料連結。

4. IP 位址與安全措施

為了限制登入、註冊、重設密碼等動作的次數，我們的服務會暫時使用您的 IP 位址（IPv6 取前 64 位元）作為 Cloudflare 速率限制功能的計數依據；我們不把它寫入資料庫、不寫入服務日誌，也不另外儲存。以電子郵件地址計數時，只使用其雜湊值的一部分；已辨識的瀏覽器（第 5 條）則改用該憑證的隨機代號計數；已登入後的操作（變更密碼、申請刪除等）以不透明的帳號識別碼計數。hakoHub 登記失敗後的冷卻，則以官方帳號識別碼在資料庫計數（連續失敗 5 次冷卻 5 分鐘，之後依序 10、20、40 分鐘，上限 1 小時；24 小時沒有失敗即重新計算），帳號識別碼與失敗次數會短暫存在資料庫，不存 IP 位址；IP 位址只作為「每分鐘次數上限」的計數依據，由 Cloudflare 速率限制暫時處理。

我們將服務執行環境的觀測與日誌功能關閉。我們自己的程式日誌只記錄事件分類、原因類別、信件種類與錯誤代碼，不記錄電子郵件、帳號識別碼、IP、標頭、網址、連結憑證、密碼或表單內容。

其他安全措施包括：密碼只存雜湊；密碼至少 15 個字元；設定或更改密碼時檢查是否出現在已外洩密碼清單（見第 7 條）；登入失敗後鎖定；一次性連結限時且只能使用一次；停用帳號或使用者撤銷登入狀態時，現有登入狀態會失效；員工後台受存取控制（見第 8 條）。這些是我們實際採取的措施描述，不是對任何第三方認證或標準的符合性聲明。

5. Cookie

官方帳號網站的程式只設定下列三個 cookie，都是登入與安全所必要的：

• __Host-hako_sid：登入狀態。內容是登入狀態的識別碼與憑證；僅限安全連線（Secure）、無法被頁面腳本讀取（HttpOnly）。有效期不超過自建立（登入或變更密碼）起 30 天，閒置 7 天會失效；登出時會被清除。
• __Host-hako_dev：登入鎖定的例外憑證。這是隨機產生的憑證，不是裝置指紋，伺服器只儲存它的雜湊值；一個瀏覽器只對應一個帳號。用途是讓成功登入過的瀏覽器，不受針對該帳號的登入鎖定影響（避免他人故意輸錯密碼把您鎖在外面）：這類瀏覽器在帳號被鎖定時仍可登入、變更密碼、申請刪除帳號與取消刪除；密碼輸錯時改累計在這張憑證上（累計 20 次即作廢），不累計帳號的失敗計數；帳號被鎖定期間以它成功登入，不會清除失敗計數，讓鎖定自然到期。有效期 90 天，每次成功登入會更換。下列情形會作廢：重設密碼、變更密碼（含目前的瀏覽器）、帳號被停用、員工撤銷登入狀態、員工啟用帳號並要求重設密碼、員工代為申請刪除、您使用「登出其他所有裝置」（保留目前這個瀏覽器的）、您申請刪除帳號（保留送出申請的那個瀏覽器的，讓您在寬限期內即使被針對性鎖定仍能用它取消刪除），以及帳號被永久刪除時。
• __Host-hako_lang：記住您選擇的介面語言（繁體中文或英文），不是祕密資料。只有您切換語言時才會設定，有效期 1 年。

我們的程式不使用廣告、分析或追蹤用的 cookie。人機驗證服務（Cloudflare Turnstile）由您的瀏覽器直接載入 Cloudflare 的腳本，它是否設定 cookie 或儲存、蒐集哪些瀏覽器資訊，由 Cloudflare 決定，請參閱 Cloudflare 的隱私權政策。

6. 我們寄出的信件

官方帳號目前只寄送與帳號有關的交易性信件，寄件地址為 no-reply@hakospace.com：邀請、註冊確認、重設密碼、「有人用您的電子郵件地址註冊但已有帳號」的通知，密碼已變更的安全通知，您自行申請刪除帳號與取消刪除時各一封通知，以及（您登記 hakoHub 時）hakoHub 通知：審核結果（核准，或退回並附原因）、條目被下架（附原因與申訴管道 legal@hakospace.com）、條目被復原（申訴成立時，附員工填的原因）、伺服器連不到而被隱藏、伺服器回報的資訊不合格（附原因類別），以及即將移除或已移除（員工代為申請或取消刪除時不寄信；永久刪除完成時也不另外寄信）。邀請、確認與重設密碼的信件內含一次性連結。我們關閉信件的開信與點擊追蹤。為防止濫發，除密碼已變更與刪除申請、取消的安全通知外，使用者可觸發的信件（忘記密碼、註冊等）每個帳號每種有寄送次數限制；員工觸發的新邀請與重設信，以及 hakoHub 通知，不受此限。條款與本政策上線後，每封信與每個頁面的頁尾都附上條款、隱私權政策連結與 legal@hakospace.com；刪除申請的通知信一律附上「要取消請用當初申請刪除的那個瀏覽器登入；如果無法取消，請寫信到 legal@hakospace.com」。

信件由第三方寄送服務（見第 7 條）代為寄出；我們目前不提供選擇不接收這些與帳號安全有關信件的設定；hakoHub 通知都是與條目狀態有關的必要通知，也沒有另外的關閉設定，您不想再收到時可在帳號撤回（自行下架）對應的條目。

7. 第三方服務、資料送出的內容與跨境傳輸

• Cloudflare, Inc.：提供服務的執行環境（Workers）、資料庫（D1，帳號與 hakoHub 各用一個資料庫）、物件儲存（R2，存放 hakoHub 名錄的公開快照）、hub.hakospace.com 名錄頁的提供、速率限制與人機驗證（Turnstile），並作為所有連線的反向代理，因此會在傳輸過程中處理連線資訊。帳號資料庫、hakoHub 資料庫與存放公開快照的物件儲存都設在 Cloudflare 的亞太區域（目前主要位於新加坡）。員工後台前面另有 Cloudflare Access 做員工登入（只給員工，與一般帳號使用者無關）。
• Cloudflare Turnstile（人機驗證，用於登入、忘記密碼、設定密碼、重設密碼、註冊、取消刪除，以及 hakoHub 登記與修改網址表單）：您的瀏覽器會直接載入 Cloudflare 的驗證腳本並與之通訊，傳送的內容由 Cloudflare 決定，請參閱其隱私權政策。我們的伺服器向 Cloudflare 驗證結果時，只送出驗證憑證與一個隨機產生的請求代碼，不送出您的 IP 位址、電子郵件或密碼。
• Zoho（Zoho CPaaS，使用其美國區端點）：代我們寄送第 6 條的信件。送出的內容是收件人電子郵件地址、寄件人、主旨、信件種類標籤與信件本文（含一次性連結；hakoHub 通知的本文含您登記的伺服器名稱與網址）。我們不送出您的 IP 或帳號識別碼。Zoho 如何保存這些資料，依其自己的政策。
• Have I Been Pwned（Pwned Passwords）：您設定或更改密碼時，我們的伺服器會把密碼 SHA-1 雜湊值的前 5 碼送出查詢（k-anonymity），比對在我們這一側完成。不會送出您的密碼、完整雜湊值或電子郵件地址。該查詢如果逾時或失敗，我們會放行密碼設定，不因此阻擋您。

跨境傳輸。上述第三方的服務可能在台灣以外的地區處理資料；帳號資料庫、hakoHub 資料庫與公開快照位於 Cloudflare 亞太區域（目前主要位於新加坡）。您使用官方帳號，即表示您知悉並同意您的個人資料會被傳輸到台灣以外的地區，供上述目的使用。我們目前沒有使用 Cloudflare、Zoho、Have I Been Pwned 以外的第三方處理您的官方帳號資料。您登記 hakoHub 的伺服器及其管理者不是我們的處理者，而是獨立的第三方：我們的服務會連線到該伺服器（第 11 條），訪客的瀏覽器也會直接向它載入圖示。

除上述服務、您選擇在 hakoHub 公開的名錄內容（第 11 條）與依法律要求外，我們不會出售、出租您的個人資料，也不會把它提供給其他第三方。

8. 誰能看到這些資料

• 您本人：可在帳號頁看到您的帳號資訊與目前登入的裝置數。
• HakoSpace 員工（經維運後台）：後台只允許通過 Cloudflare Access 登入、並經後台自己再次驗證身分與角色的員工使用；帳號管理只限管理員角色（其他角色看不到帳號資料）。管理員在後台看得到：帳號列表中的帳號識別碼、電子郵件地址、狀態、語言、建立時間、最後登入時間，以及刪除申請的時間與申請者（本人或員工）；最近 7 天寄信失敗的次數（只有數字）；定期清理最後一次成功執行的時間；以及員工操作紀錄（顯示被操作帳號目前的電子郵件地址，帳號已刪除則只顯示識別碼）。管理員可以做的操作：邀請並寄信、重寄邀請、停用、啟用（可要求重設密碼：舊密碼作廢並寄出重設信）、撤銷登入狀態、解除鎖定、代為申請刪除帳號（有 14 天寬限期）與取消刪除。後台沒有讀取密碼雜湊、登入狀態憑證、一次性連結憑證的功能，不能查看帳號事件的內容，也不能查看或直接設定您的密碼，不能立即刪除帳號。
• 具 hakoHub 審核角色的員工：具 hub_reviewer 或管理員角色的員工，可在維運後台看到 hakoHub 的待審內容與新舊對照、全部條目（網址、金鑰指紋、伺服器回報的主機名稱、您同意的服務條款版本（收錄規範隨該版本）與時間、公開資訊、tag、狀態、最近一次探測成功的時間）、審核紀錄與封鎖名單，並可核准、退回、下架、復原下架、封鎖、解除封鎖與管理 tag；審核頁上的圖示由我們的服務代為下載後轉給員工，員工的瀏覽器不會連到您的伺服器；系統也會（每小時最多一封）寄摘要信給這些員工，信中只有待審件數與後台連結。審核頁讀取的是 hakoHub 資料庫，那裡沒有電子郵件地址，所以審核員工在審核頁看不到登記人的電子郵件地址或帳號識別碼。不具管理員角色的審核員工看不到上述其他帳號資料。
• HakoSpace 自身：因為 HakoSpace 管理 Cloudflare 帳戶與資料庫，技術上可能直接存取資料庫。我們只在維運、安全與法律所需的範圍內存取。
• 我們不使用官方帳號資料做廣告、分析或行銷。

9. 保存期限

下列為各類資料的保存期限上限（排程失敗時依本條末項順延）；多數資料可能更早被刪除。

• 帳號資料（電子郵件、密碼雜湊、狀態、語言、時間等）：帳號存續期間；刪除帳號後依第 10 條處理。
• 尚未啟用的帳號（包含被員工停用、但從未設定過密碼的帳號）：建立滿 7 天，且最後一次變更（含員工停用、重新啟用）與最後一次寄出邀請或確認連結也都滿 7 天後刪除；期間內只要有員工操作或重寄連結，就從那一次重新計算。已申請刪除的帳號依第 10 條處理。
• 登入狀態：失效後 1 天內刪除（由每 6 小時執行一次的定期清理，以及使用時的檢查處理）。
• 登入鎖定例外憑證：有效期 90 天；作廢（見第 5 條）時立即刪除，到期後由定期清理刪除。
• 一次性連結紀錄：使用或到期後 7 天。
• 登入失敗計數：成功登入、設定／重設／變更密碼、您本人申請或取消刪除、員工啟用帳號並要求重設密碼、員工解除鎖定時清除（例外：帳號被鎖定期間，由已辨識的瀏覽器成功登入或取消刪除時不清除，讓鎖定自然到期）；最後一次失敗超過 24 小時即不再計入，其餘由定期清理刪除。
• 寄信計數：只保留當天（與仍在冷卻中的前一天）。
• 帳號事件紀錄：事件發生後 365 天。
• 帳號相關的員工操作紀錄：365 天（只涉及員工名單本身的操作紀錄是員工的資料，不是官方帳號使用者的資料，不在此限）。
• 同意紀錄與帳號刪除紀錄：同意紀錄在帳號存續期間保存；帳號刪除後再保存 5 年（1826 天），之後與帳號刪除紀錄一併刪除。
• hakoHub 登記資料（網址、讀到的公開資訊、tag、key_id、加密探測金鑰、探測狀態）：登記存續期間。帳號申請刪除或被停用時，條目隨即隱藏、停止探測，資料暫時保留以便取消後恢復；帳號永久刪除時，於同一輪清理中一併刪除；這些連動若暫時失敗，最晚由每日對帳補正。條目被移除時（您在帳號撤回、在 hakoApp 停用公開或重新產生金鑰經我們確認後移除、連不到滿 30 天，或帳號永久刪除），條目、加密探測金鑰、tag 關聯與探測狀態立即刪除，只留下面的墓碑；要回來須重新登記、重新審核。員工下架的條目不算「移除」：條目與已核准的內容保留在隱藏狀態（供申訴處理），不會被自動恢復，探測降為每天一次，連不到滿 30 天仍會被移除；您也可以隨時自行撤回。
• hakoHub 長期連不到的條目：約 1.5 小時（連續三次探測失敗）標示無法連線；滿 72 小時隱藏並降為每天探測一次；移除前約 7 天寄出預告；滿 30 天移除，只留墓碑。時間從最後一次成功連線起算（登記、改網址、帳號恢復等時也會重新起算）；HakoSpace 判斷為自身服務異常而暫停自動隱藏與移除時，期間順延（收錄規範 7.1）。
• hakoHub 墓碑：只含伺服器網址的雜湊值（SHA-256）、金鑰的完整雜湊值（key_id 是它的前 16 個字元）、移除時間與原因類別，不含帳號識別碼、條目編號與網址原文；90 天。
• hakoHub 封鎖名單：被封鎖的網域名稱（原文，不含埠，以便員工辨識；換埠或使用其子網域也會被擋）或金鑰指紋（key_id）、原因類別、員工的備註（必填；封鎖時若有符合的現有條目被一併下架，這份備註會當作下架原因寄給該條目的登記人）、建立紀錄的員工與時間；不設到期，員工得解除。
• hakoHub 審核紀錄（操作者、時間、決定與原因，以及變更內容如 tag 的增減；封鎖與解除封鎖也記錄在內，含被封鎖的網域名稱原文或金鑰指紋，解除封鎖後名單中的那一列刪除，但這筆紀錄仍保存到期）：365 天（與帳號相關的員工操作紀錄一致）。
• hakoHub 通知紀錄（尚未寄出的通知內含伺服器網址與名稱、原因類別或員工寫的原因說明）：寄出時清除這些內容，只留通知種類、對象帳號、條目編號與建立、寄出時間，寄出後 30 天刪除；尚未寄出的，建立後最多 90 天。您自己撤回或帳號永久刪除時，尚未寄出的通知一併刪除（帳號永久刪除時，已寄出的紀錄也一併刪除）。伺服器被移除後寄給您的「已移除」通知也一樣，寄出後紀錄不再含伺服器網址與名稱；「條目已復原」的通知（含員工填的原因）也一樣。
• hakoHub 登記失敗的冷卻計數：最後一次失敗超過 24 小時即不再計入，其餘由定期清理刪除；帳號永久刪除時一併刪除。
• hakoHub 公開快照：每輪探測後（約每 5 分鐘處理一批到期的條目；每台伺服器約每 30 分鐘探測一次，被隱藏的每天一次）重新產生並覆蓋同一份檔案，不保留舊版，只含公開展示的內容。
• 寄到 legal@hakospace.com 的信件（檢舉、申訴、權利申請等）：自處理完畢起 365 天（與審核紀錄一致），之後刪除；法律要求更長期間者從其規定。
• 資料庫備份：Cloudflare D1 的時間點還原功能（帳號資料庫與 hakoHub 資料庫皆適用），還原窗口最長 30 天（Workers Paid 方案）；已刪除的資料在備份中最多再保留 30 天，窗口過後自然消失。
• 伺服器日誌：我們不保存（見第 4 條）。
• 帳號資料庫的定期清理每 6 小時執行一次，hakoHub 資料庫的保存期限清理每天執行一次；如果某次執行失敗，會順延到下一次，所以實際刪除時間可能略晚於上述期限。

10. 刪除帳號

您登入後可在帳號頁申請刪除帳號，須重新輸入密碼並勾選確認。申請後帳號會先被停用、所有裝置登出，並有 14 天寬限期。寬限期內，您可以到登入頁以電子郵件與密碼登入，在出現的頁面再輸入一次密碼並按「取消刪除」來取消，帳號即恢復（取消後須重新登入；寬限期內單純登入不會自動取消）。申請當下，我們只保留送出申請那個瀏覽器的登入鎖定例外憑證（其他瀏覽器的憑證作廢），讓您即使被針對性鎖定，仍能用那個瀏覽器取消；取消請用當初申請刪除的那個瀏覽器，無法取消時請寫信到 legal@hakospace.com。我們會在您申請與取消時各寄一封通知信。期滿後，由每 6 小時執行一次的定期清理永久刪除您的帳號資料（寬限期滿後最多約 6 小時內執行；如某次清理失敗則順延到下一次），包括電子郵件地址、密碼雜湊、登入狀態、一次性連結紀錄、登入鎖定例外憑證、登入失敗計數與寄信計數；永久刪除完成時不另外寄信。刪除完成後，同一個電子郵件地址可以立即重新註冊（以當時開放註冊為前提），新帳號與舊的保留紀錄沒有關聯。

員工也可以代為申請刪除（同樣有 14 天寬限期）。員工代為申請或取消時不寄通知信；您下次以正確密碼登入時會看到刪除申請的狀態。由員工申請的刪除，您無法自行取消，須寫信到 legal@hakospace.com；員工在寬限期內也可以取消刪除（不論由誰申請），取消後帳號的狀態回到申請之前（申請時原本已停用的帳號仍是停用）；申請時已登出的裝置、作廢的憑證與連結不會恢復。

刪除帳號不會使所有資料立即消失。下列資料會繼續保存，直到各自的保存期限屆滿：

• 帳號事件紀錄：只含不透明的帳號識別碼，不含電子郵件地址，保存至事件發生後 365 天。
• 同意紀錄：只含不透明的帳號識別碼、文件、版本與同意時間，不含電子郵件地址。作為您曾同意本服務條款與隱私權政策的證明，帳號刪除後再保存 5 年。
• 員工操作紀錄：帳號相關的保存至 365 天；其中被操作帳號只以不透明識別碼表示。
• 帳號刪除紀錄：只含不透明帳號識別碼、刪除時間與保存到期日，不含電子郵件地址；保存至同意紀錄清除為止（見第 9 條）。
• 資料庫備份：見第 9 條。

hakoHub 條目。您申請刪除帳號或帳號被停用時，您的條目會隨即隱藏、停止探測；取消刪除或重新啟用後，條目在我們下一次探測成功時恢復（連不到就維持隱藏；停用前已因其他原因被隱藏的，維持原本的隱藏）；帳號被永久刪除時，條目連同加密探測金鑰、待寄通知與登記失敗計數一併刪除，只留不含帳號識別碼的墓碑（第 9 條）。您的伺服器若曾被封鎖，封鎖名單的紀錄仍依第 9 條保存；它不指向您的帳號。條目被移除時留下的審核紀錄（含條目編號、不含帳號識別碼）也依第 9 條保存 365 天。

我們得知帳號持有人未達年齡要求時，也會停用並刪除該帳號（刪除依本條所述的流程進行）。

11. hakoHub 登記與名錄

11.1 這是什麼。hakoHub 是 HakoSpace 營運的公開 HakoSpace 伺服器名錄（hub.hakospace.com）。只有伺服器的管理者自己選擇開啟，並由其管理者（或已獲其授權的人）用官方帳號登記，伺服器才會被列入。服務條款第 7 條說明您的權利與義務。

11.2 我們儲存哪些資料。

• 您提交的：伺服器網址（只收使用 https 的網域名稱）、hub 金鑰（見 11.3）、tag（每台最多 5 個，每個 1 至 20 字），以及您的同意。
• 我們從該伺服器讀到的公開資訊：名稱、簡介、圖示的網址（只存網址，不存圖片）、加入方式（註冊模式）、成員數區間；管理者選擇公開時，另有線上人數區間；hakoApp 版本與通訊協定版本；以及伺服器回報它收到的主機名稱（只供審核員工參考，不公開）。成員數與線上人數只以區間（0、1–4、5–19、20–99、100 以上）傳來，我們取得的不是精確數字。
• 金鑰相關：hub 金鑰衍生出的公開指紋（key_id），以及由 hub 金鑰衍生出、用來探測的另一把金鑰，後者加密後保存。hub 金鑰原文不保存：只在您登記或修改網址的當下經過服務的記憶體，不寫入資料庫或日誌。
• 狀態：已核准與待審的內容、條目狀態、下次探測時間、連續失敗次數、最後成功時間。
• 登記與同意：您登記時勾選的服務條款版本（《hakoHub 收錄規範》隨該版本）與時間；登記失敗的冷卻計數（官方帳號識別碼、連續失敗次數、最後失敗與冷卻到期時間）。
• 審核與通知紀錄：誰（員工、系統或您本人）在何時對條目做了什麼（審核決定與原因、自動隱藏或移除、您的撤回、改網址與 tag 變更），以及要寄給您的通知。
• 所屬帳號：條目只記您官方帳號的不透明識別碼，不記電子郵件地址。
• 封鎖名單與墓碑：見第 9 條。

11.3 探測：HakoSpace 會定期連線到您的伺服器。就 hakoHub 而言，hakoApp 不會主動連線到 HakoSpace 來通知或上傳名錄資訊；方向相反：我們的 hakoHub 服務（唯一會連到您所登記網址的服務）會定期（目前約每 30 分鐘一次）向您的伺服器的 hub 端點發出請求。請求帶有您登記的網址、時間、隨機值、目前的登記狀態（待審、已列出或隱藏，及原因類別）和以 hub 金鑰計算的簽章；您的伺服器用同一把金鑰簽署回應。探測的請求與回應只傳送簽章，不傳送金鑰本身；登記或修改網址時，您須經加密連線向官方帳號服務提交一次 hub 金鑰（見 11.2）。每次連線前，我們會用 Cloudflare 的 DNS 服務查詢您的網域，確認它指向公開的網路位址。您登記的當下也會先完整探測一次，通過才會寫入；同時會對圖示網址檢查檔案型別與大小（須為 PNG、JPEG 或 WebP，不超過 512 KiB），不儲存圖片。審核員工在審核頁檢視條目時（包括已核准的舊圖示與待審的新圖示），我們的服務會從您的伺服器下載該圖示，僅供審核頁顯示，不保存圖片。探測請求的 User-Agent 是 HakoSpace-Hub/1 (+https://hub.hakospace.com/bot)，該說明頁介紹這個探測程式做什麼、如何停止。您的伺服器會看到這些來自 HakoSpace 服務的請求，並可能記入它自己的日誌。您可以隨時停止：在 hakoApp 停用公開、重新產生金鑰，或在官方帳號撤回（自行下架）條目。

11.4 公開顯示什麼。經審核通過的內容（加入方式與人數區間隨伺服器回報自動更新，不另行審核）會顯示在 hub.hakospace.com，任何人都看得到：名稱、簡介、圖示、加入方式、成員數區間、線上人數區間（只有管理者開啟時）、tag、連線狀態（只在無法連線時標示），以及伺服器網址（卡片上顯示網域名稱，並用於「加入」與「複製網址」）。每張卡片有「檢舉」連結，會開啟訪客的郵件程式，寫信到 legal@hakospace.com，主旨與內文帶該筆的公開代號、名稱與網址。名錄頁每天以固定的隨機順序排列（以 UTC 日期為種子），不依付費或評分排序。公開快照存放在 Cloudflare R2，只含公開展示的內容與一個不可反推的公開代號，不含您的電子郵件地址、帳號識別碼或條目編號。我們不會顯示您的電子郵件地址，但您選擇公開的名稱、簡介與網址本身，可能間接指向您。

11.5 通知。我們會寄信到官方帳號的電子郵件地址，通知審核結果、條目被下架（附原因與申訴管道）、伺服器連不到而被隱藏、伺服器回報的資訊不合格，條目被復原（申訴成立時），以及即將移除或已移除。種類與寄送規則見第 6 條。

11.6 瀏覽名錄的訪客。瀏覽名錄不需要官方帳號，訪客也不一定是本政策所稱的「您」。名錄頁對訪客處理什麼，見《hakoHub 名錄頁隱私說明》（名錄頁頁尾有連結）；摘要：伺服器圖示由訪客的瀏覽器直接向各伺服器載入，因此各伺服器的管理者會看到訪客的 IP 位址與瀏覽器資訊；名錄頁本身經 Cloudflare 提供（見第 7 條），除此之外我們不另外記錄訪客的 IP 位址，名錄頁不設任何 cookie、不使用分析腳本。

11.7 撤回。您可以在官方帳號的 hakoHub 頁撤回（自行下架）條目，或在 hakoApp 停用公開或重新產生金鑰（我們探測到並確認後會撤回）。條目被移除時，條目、加密探測金鑰與 tag 關聯立即刪除（第 9 條）；要回來須重新登記、重新審核。我們沒有只憑網址與金鑰、不需登入的撤銷表單。

11.8 修改網址。您可以在官方帳號的 hakoHub 頁修改條目的網址：須重新貼上這個條目原本的 hub 金鑰，我們會對新網址重新探測，通過後條目退回待審（見《hakoHub 收錄規範》第 5 條）。

12. 您的權利與行使方式

您依個人資料保護法等適用法律，就您的個人資料可以請求：查詢或請求閱覽、請求製給複製本、請求補充或更正、請求停止蒐集、處理或利用，以及請求刪除。

請寫信到 legal@hakospace.com 申請，並從您帳號的電子郵件地址寄出，以便我們確認是您本人；無法使用該信箱、由代理人提出申請，或沒有官方帳號（例如檢舉人）的，請在信中說明，我們會以合理的替代方式確認身分。我們會依個人資料保護法第 13 條規定的期限處理並回覆：您請求查詢、閱覽或製給複製本的，於收到申請後 15 日內准駁，必要時得延長 15 日；您請求補充或更正、停止蒐集、處理或利用，或刪除的，於收到申請後 30 日內處理，必要時得延長 30 日。需要延長時，我們會以書面通知您延長的理由。我們目前不提供自助匯出功能；申請複製本時，我們以人工方式提供。

依法我們得在特定情形下拒絕或限制（例如為履行法定義務或保存同意紀錄所必需）；拒絕時會說明理由。您也可以向主管機關申訴。

13. 未成年人

官方帳號只供年滿 18 歲，且已達所在地法律規定成年年齡（兩者取較高者）的人使用。我們得知帳號持有人未達要求時，會停用並刪除帳號。任何人可寫信到 legal@hakospace.com 通報。

14. 同意紀錄、本政策的變更與重新同意

14.1 您設定密碼以啟用帳號（接受邀請或完成註冊）時勾選同意，我們會記錄您同意的文件與版本及時間（見第 2 條）。

14.2 本政策以生效日識別。更新後的版本會在生效日前至少 14 天於 HakoSpace 官網公告。我們不承諾以電子郵件通知政策變更。

14.3 實質變更指：蒐集的資料類別擴張、保存期限變更、新增第三方處理者、新增官方服務或功能類別、改變資料送往的地區，或任何依善意評估會影響合理使用者決定的變更。實質變更於生效後，您下次使用官方帳號時須閱讀並同意新版本；同意之前無法使用官方帳號。該頁面提供「登出」與「不同意，刪除我的帳號」兩個選項。

14.4 編修版本（錯字、格式、連結修正，以及不改變意思的釐清）只發布新版本並公告，不要求重新同意。系統只在實質變更時要求重新同意：您只要同意過「最近一次實質變更版本」到現行版本之間的任何一版即可，編修版本不會擋住您。

14.5 舊版本不會被修改，歷史版本可於官網封存頁取得。

15. 語言版本優先權

本政策備有繁體中文與英文版本。若兩種語言版本之間有任何歧義或不一致，概以繁體中文版本為準。

16. 聯絡方式

對本政策有任何疑問，或要行使第 12 條的權利，請寄至 legal@hakospace.com。