隱私權政策

Tóvox 由 NUBLK LLC（一家懷俄明州有限責任公司，以下稱「我們」）經營。NUBLK LLC 也發行 Tóvox iPhone app，並將發行 Android app。Tóvox 由 Claymore & Colt Agency 設計。

本政策適用於 Tóvox 網站（tovox.io）、Tóvox 網頁 app（chat.tovox.io）、Tóvox Mail 和 Tóvox app。它說明我們收集什麼、我們能讀取和不能讀取什麼、還有誰參與其中，以及你可以要求我們做什麼。

問題與請求：[email protected]。郵寄地址：NUBLK LLC. Registered office: 30 N Gould St, Ste N, Sheridan, WY 82801。

• 你和其他人聊天中的訊息，包括照片、檔案和語音訊息，都採用端對端加密。我們只以我們無法讀取的形式儲存它們。
• 有些內容沒有端對端加密：與機構員工之間的商家聊天、會議、Tóvox Mail、與 Skye 和其他機器人的聊天，以及你傳到我們伺服器進行翻譯或轉成文字的任何內容。第 4 節列出了全部項目。
• 翻譯、語音轉文字、會議摘要和 Skye 在你的裝置上或我們自己營運的伺服器上執行，這些伺服器不會儲存你的音訊。唯一的例外是 Translate（翻譯）只有在你同意時才能使用的一項外部語音服務，第 4 節有說明。
• 我們把你的資料儲存在我們自己位於美國的硬體上。部分外部服務會保留自己處理的內容的副本；例如，Resend 會將每封電子郵件的副本保留 30 天（第 9 節）。
• 我們不販售你的資料、不顯示廣告，也不使用廣告或分析 Cookie。

端對端加密是指訊息在送出前就在你的裝置上鎖住，只有聊天中成員的裝置持有開啟它的金鑰。我們的伺服器負責傳輸和儲存，但無法讀取。

• 一對一聊天和共享聊天: 每則訊息的文字、照片、檔案、語音訊息、你分享的位置和回覆。你登入的每台裝置都有自己的金鑰，每則訊息也有自己的金鑰。自 2026年10月21日起傳送的訊息，也會由傳送的裝置簽署，因此無法在我們的伺服器上以你的名義偽造訊息；較舊的未簽署訊息會標示為未經驗證。
• 會議聊天、檔案、字幕和摘要: 文字和檔案會以該場會議專屬的金鑰鎖住後儲存，只有會議成員的裝置持有這把金鑰。誰說了話或寫了字、他們的名字，以及時間，我們的伺服器都讀得到。一個例外：由我們自己團隊的會議助理撰寫的摘要，會以可讀形式儲存（第 4 節）。第 4 節也說明製作字幕或摘要時會發生什麼。

為了讓服務運作，訊息周圍的一些資訊對我們的伺服器是可讀的：誰在哪個聊天中、誰在什麼時候傳了訊息、你使用了你的哪個名稱、檔案大小、共享聊天的名稱，以及通話後出現在聊天中的「未接來電」和通話時長提示。你的名字、@帳號名稱和大頭貼，使用 Tóvox 的人都看得到。

你的個人連結（chat.tovox.io/u/your-handle）只會顯示你的 @帳號名稱，除非你在 Settings（設定）中開啟 Public profile（公開個人資料）：開啟後，任何打開你連結的人，以及其他 app 中的連結預覽，也會看到你的名字和大頭貼。除非你自己開啟，否則此功能為關閉狀態，你也可以隨時關閉；已經顯示過你連結的 app 可能會在一段時間內保留舊的預覽。

• 語音和視訊通話: 一對一通話在兩台裝置之間加密，通話的建立也由雙方簽署。無法直接連線時，通話會經過我們自己的中繼伺服器，我們在向 Vultr 租用、位於美國的伺服器上運作它。中繼伺服器只轉送加密的通話，無法監聽或觀看，因此我們和 Vultr 都無法監聽或觀看；但它看得到雙方裝置的 IP 位址、通話進行的時間，以及通話傳送的資料量。為了找到連線路徑，你的裝置會向同一台中繼伺服器查詢你的網路位址；不使用任何外部連線檢查或中繼服務。我們不錄製通話。我們會保留每通電話的紀錄（誰打給誰、語音或視訊、時間、時長、是直接連線還是經過中繼，以及如何結束）。
• 會議: 會議在我們自己的會議伺服器上進行，我們使用 LiveKit 會議軟體，在同一台向 Vultr 租用、位於美國的伺服器上運作它（不涉及任何外部視訊服務）。聲音和影像在往返該伺服器的途中會加密，但不是端對端加密：我們的會議伺服器會以可讀形式處理它們，以便轉送給會議中的其他人，因此在會議進行期間，它們在該伺服器上是可讀的。該伺服器也看得到會議參與者的 IP 位址。我們不錄製會議。我們會保留會議的名稱、主持人、成員、時間和設定。
• 會議字幕: 如果開啟字幕，你麥克風的聲音會傳送到我們自己的語音伺服器，轉成文字後再傳回。音訊不會儲存。文字行接著會以會議金鑰鎖住後儲存（第 3 節）。在英文會議中，我們的語音伺服器也能辨識說話者：當有人自我介紹時（例如「嗨，我是 Ana」），它會為該名字儲存一份聲紋，並連結到正在為其產生字幕的那位使用者的帳號，用來標示之後的字幕行。你可以要求我們刪除聲紋。
• 會議摘要: 當主持人結束一場有字幕的會議，或有成員要求摘要時，字幕文字會傳送到我們自己伺服器上的語言模型，由它撰寫摘要。字幕文字不會在那裡保留或記錄，也絕不會傳給外部公司。完成的摘要會以會議金鑰鎖住後儲存。主持人的助理之後可能會在與該助理的聊天中，把筆記傳給所有參加者，而那個聊天沒有端對端加密。成員也可以要求寄送一封附有筆記連結的電子郵件：郵件中不含筆記，開啟連結需要登入。
• 我們自己團隊使用的會議助理: 當我們團隊中已開啟此功能的成員加入會議時，一個做筆記的助理也會一起加入。它會聽取會議並撰寫摘要，摘要會以可讀形式與會議一起儲存（不以會議金鑰鎖住），並傳送給會議中擁有自己 Tóvox 助理的人。
• 商家聊天（尚未開放給所有人）: 與 Tóvox 上的某個機構或其所屬部門的聊天，沒有端對端加密：該機構的員工可以讀取，聊天也會在你傳送任何內容前註明這一點。其訊息以員工可讀的形式儲存在我們的伺服器上。目前僅限文字，且文字和連結過濾器可能會暫留某則訊息，交由我們的團隊審查。每則員工回覆都會顯示撰寫者的顯示名稱；機構的擁有者和管理員可以看到哪位員工做了什麼。與某個商家名稱的舊聊天，若該商家名稱後來已併入某個機構，仍維持端對端加密。
• Skye 和其他機器人: 與我們的助理 Skye 以及任何其他機器人的聊天，會以可讀形式儲存，因為機器人必須讀取內容。Skye 使用我們自己伺服器上的語言模型回答。由他人製作的機器人由對方運作，他們可以讀取你傳給該機器人的內容。
• Tóvox Mail: 郵件儲存在我們自己的郵件伺服器上，伺服器可以讀取。你寄到其他電子郵件服務或從其他電子郵件服務收到的郵件，會以一般電子郵件的方式傳輸和儲存，沒有端對端加密。
• 翻譯: 能在你的裝置上翻譯時就在裝置上進行（網頁 app 使用 Chrome 內建的翻譯工具，iPhone app 使用 Apple 的裝置端翻譯），文字也就不會離開你的裝置。否則文字會傳送到我們自己的翻譯伺服器，由它讀取並翻譯。文字不會在那裡儲存或記錄，也絕不會傳給外部公司。翻譯結果只保留在開啟中的瀏覽器分頁裡。在聊天中，Auto-translate（自動翻譯）預設為開啟，除非你在 Settings（設定）中關閉。端對端加密訊息的文字第一次要傳送到我們的伺服器翻譯之前，Tóvox 會先詢問你一次；在你同意之前，只會執行裝置端翻譯。翻譯過的訊息會標示它是在你的裝置上還是在我們的伺服器上翻譯的。
• 語音轉文字: 在網頁 app 中，聊天、Translate（翻譯）和會議字幕中的麥克風，會把你的聲音傳送到我們自己的語音伺服器，由它轉成文字後傳回。那裡不會儲存任何東西：沒有音訊，也沒有文字。一個例外：如果我們的語音伺服器無法使用，Translate（目前僅開放給測試人員）可以改把你的聲音傳送到外部語音轉文字公司 Deepgram。它會先詢問你（每台裝置一次），只有在你同意後才會進行，並且在你的聲音傳往 Deepgram 時，於麥克風下方顯示提示。在 iPhone app 中，語音會在手機本身上，使用 Apple 的裝置端語音辨識轉成文字。只有在某種語言尚未在手機上準備好，或準備失敗時，iPhone app 才可以改把你的聲音傳送到我們自己的語音伺服器，而且必須在你同意之後（每個帳號詢問一次）。它絕不會傳給外部公司，那裡不會儲存任何東西，沒有連線時也不會傳送任何內容。
• 通知: 通知只會顯示「Tóvox」以及幾個簡單的字：「New message」（新訊息）、「Incoming call」（來電）、「Missed call」（未接來電）或一則關於預約通話的簡短提醒。安全和帳號通知（例如 Vigía、營地通知、你的帳號有新裝置，或有人要求移除你的裝置）只會顯示「Open Tóvox for details」（打開 Tóvox 查看詳情）。它絕不顯示誰傳了訊息或誰在打電話、聊天或商家的名稱、營地通知的內容或訊息內容，也不帶有任何推播服務能讀取的聊天或人員識別碼（在瀏覽器中，同一聊天的通知在加密的通知內共用一個代碼，讓瀏覽器能把它們放在一起顯示）：你點通知後，Tóvox 會在你登入之後判斷它與什麼有關，然後開啟訊息或通話通知所屬的聊天，或在網頁版中開啟 Vigía 通知的 Vigía 行程；其他安全和帳號通知會開啟 Tóvox，詳情就在那裡（iPhone App 還沒有 Vigía，所以在那裡 Vigía 通知只會開啟 Tóvox）。通知會透過你的瀏覽器或手機的推播服務送達你的裝置（第 9 節）。通知裡的連結帶有一個只為這則通知產生的代碼。
• 來自 Tóvox 的電子郵件: 會議邀請、你要求時寄送的會議筆記連結、用來驗證電子郵件地址的登入碼，以及 Vigía 安全通知，都以一般電子郵件寄送。Vigía 郵件和會議筆記郵件不含姓名、地點或筆記：只說明某位聯絡人請你照看他們或需要你，或筆記已準備好，並附上一個需要登入的連結。Vigía 電子郵件中的連結帶有一組代碼，不會顯示任何行程、地點或姓名。寄給同一位聯絡人、關於同一趟行程的所有電子郵件都帶有同一組代碼。當你用電子郵件邀請他人參加排定的會議時，每封邀請都附有一個行事曆項目，列出所有受邀者的電子郵件地址。我們會隨會議保留受邀者的名字，但不保留他們的電子郵件地址。
• 截圖提示: 在開啟截圖提醒的聊天中，網頁 app 會記錄它偵測到截圖按鍵（例如 Print Screen）的時間，或你切換離開聊天分頁或視窗的時間（這可能代表截圖），並告知聊天中的其他人。
• Vigía 和音樂節營地（尚未開放給所有人）: Vigía 行程會與你選定的聯絡人分享你的即時位置、路線、報平安紀錄以及你錄製的任何短片，這些內容會儲存在我們的伺服器上，好讓他們看得到。音樂節模式中的營地通知會發送給整個營地，沒有端對端加密。

你可以把聊天中的訊息設定為在 5 分鐘、1 小時、1 天或 1 週後消失。計時結束時，訊息會立即隱藏，接著連同其檔案從我們的伺服器刪除，通常在幾分鐘內完成。在訊息消失前，聊天中的任何人仍可以複製、轉傳或拍下訊息。

當你為所有人刪除一則訊息時，其內容和檔案會從我們的伺服器移除，只留下一則已刪除訊息的提示。

• 你的加密金鑰在你的裝置上產生並留在那裡，下面說明的鎖定備份除外。每支手機或每個瀏覽器都是一台獨立的裝置，各有自己的金鑰。
• 當你在新裝置上登入時，你其他已開啟通知的裝置會收到通知，而 Devices & Sessions（裝置與工作階段）會列出你帳號上的每台裝置，讓你移除不認得的裝置。如果你的帳號已開啟裝置核准，新裝置還必須經由你現有的某台裝置或你的復原短語核准後，才能讀取你的訊息。
• 金鑰備份：如果你設定了備份，你的金鑰（以及你已開啟過之訊息的金鑰，讓你的聊天紀錄能在新裝置上讀取）會在上傳前，先在你的裝置上用你的復原短語鎖住。我們只儲存鎖住的副本，且無法開啟。Tóvox 可以建議12 個隨機單字作為你的復原短語。如果你遺失了復原短語和所有裝置，我們將無法復原你的訊息。
• 為了快速開啟聊天，app 會在你的裝置上保留副本：你開啟過的檔案會以加密狀態留在裝置上，而 iPhone app 會把你的聊天保存在手機上，並以只存放在手機鑰匙圈中的金鑰鎖住；這把金鑰不包含在手機備份中，並會在你登出時清除。

• 登入: 你使用 Google、Microsoft 或 Apple 登入。我們會從它們那裡收到你的名字、電子郵件地址，以及你的大頭貼（如果有的話）。我們從不取得或持有你的密碼。
• 個人資料: 你的顯示名稱、@帳號名稱、照片、語言、你新增的任何商家名稱（連同其照片，以及你為其驗證的電子郵件地址或網域），以及你最後上線的時間（你可以選擇其他人是否看得到）。
• 註冊: 你加入時，我們會記錄你加入時所在的國家（由 Cloudflare 判定的兩個字母國家代碼，不是你的 IP 位址），以及你加入的方式（公開註冊，或邀請你的管理員）。我們會寄給你一封歡迎郵件，我們的管理員則會收到一則有人加入的通知，內含時間和加入方式（公開註冊或受邀加入），但不含你的名字、@帳號名稱或國家，這些資訊他們會在管理頁面上查看。
• 你的聯絡人和設定: 你儲存為聯絡人或信任的人、你封鎖的人、你的廣播名單、你釘選或設為靜音的聊天，以及你的其他設定。
• 裝置: 每台裝置的：公開金鑰、一個標籤（例如「macOS 上的 Chrome」）、設定該裝置時所用的網址、新增、最後使用、核准（如果已開啟裝置核准）或移除的時間，以及你開啟通知時的通知位址。
• 訊息和通話: 第 3 節所述的加密訊息和檔案，以及第 4 節所述的通話和會議紀錄。
• 位置: 僅在你於聊天中分享位置（包含在加密訊息內）或開始 Vigía 行程時。我們不會在背景追蹤你的位置。
• 技術資訊: 你的 IP 位址，我們的伺服器和 Cloudflare（第 9 節）在每次造訪時都會看到。我們用它來限制濫用；我們為限制所保留的計數器存放在記憶體中，並會在伺服器重新啟動時清除。我們的伺服器也會保留一般的技術紀錄，例如錯誤紀錄，用來找出並修正問題。網站也會使用 Cloudflare 根據你的 IP 位址判定的國家，來選擇頁面顯示的語言；這項用途不會儲存該國家資訊。
• 當你寫信給我們時: 你傳送的內容和我們的回覆。

• 運作 Tóvox：傳遞訊息、通話、會議、郵件、通知和翻譯。
• 維護安全：檢查裝置、阻止濫用、執行我們的條款並保護使用者。
• 在你聯絡我們時回覆你。
• 履行我們的法律義務。

我們不販售你的資料，不將其用於廣告，也不建立關於你的個人檔案來向你推銷商品。

我們在自己的伺服器上運作 Tóvox，並在我們租用的伺服器上運作通話中繼和會議伺服器。以下外部服務會參與其中，每一項都只負責所列的工作：

• Cloudflare: 我們的網路供應商。造訪 Tóvox 的連線在前往我們伺服器的途中會經過 Cloudflare。加密的訊息仍維持加密。
• Google、Microsoft 和 Apple: 當你選擇用它們登入時，負責登入。
• Vultr: 租給我們位於美國的伺服器，我們在上面運作通話中繼和會議伺服器（第 4 節）。經過它的一對一通話仍保持端對端加密；會議進行期間，會議的聲音和影像會在那裡以可讀形式處理。它不儲存任何訊息，也不儲存任何錄音或錄影。
• 推播服務: 通知會經過你瀏覽器的推播服務（例如 Chrome 中的 Google、Safari 中的 Apple 或 Firefox 中的 Mozilla 推播服務），或經過 Apple 為 iPhone app 提供的推播服務。我們的 Android app 推出後，將使用 Google 的 Firebase Cloud Messaging。瀏覽器通知經過加密，因此瀏覽器的推播服務無法讀取。iPhone app 的通知沒有加密，所以 Apple 看得到通知文字（只是上面所說的通用字句，所以看得出是訊息、來電、預約通話還是「Open Tóvox for details」）、通知的緊急程度和可以等待送達的時間、一個只為這則通知產生、不登入 Tóvox 就沒有任何意義的代碼，以及有一則通知傳到了你的手機和傳送的時間。
• Resend: 寄送 Tóvox 的電子郵件：會議邀請、會議筆記連結、電子郵件驗證碼、Vigía 通知、歡迎郵件，以及給管理員的註冊通知。Resend 會將每封電子郵件的副本（包括內文）保留 30 天，然後刪除，但 Resend 自己的備份會再保留 7 天。Vigía 警示、會議筆記郵件和給管理員的註冊郵件不含姓名、地點或筆記；會議邀請和歡迎郵件仍會寫明相關人員的姓名。
• Deepgram: 為 Translate（翻譯）提供語音轉文字，僅在我們自己的語音伺服器無法使用時，且僅在你同意之後（第 4 節）。
• OpenStreetMap: 在聊天中分享位置時顯示地圖，因此會收到所顯示的區域。點地圖會在 Apple Maps 中開啟，Apple Maps 便會收到該位置。Vigía 也使用 OpenStreetMap、CARTO、OSRM 專案和 Overpass 服務提供的地圖、地址、路線和附近地點服務。

在法律要求時（例如有效的法院命令）、為了保護他人安全，或為了向 National Center for Missing & Exploited Children（NCMEC，美國國家失蹤與受剝削兒童中心）通報兒童性虐待內容，我們也會分享資料。我們無法交出端對端加密訊息的內容，因為我們無法讀取。如果 NUBLK LLC 的業務被出售或重組，你的資料將依本政策移轉給新的擁有者。

你的資料儲存在我們於美國擁有並營運的伺服器上。部分外部服務會保留自己處理的內容的副本；例如，Resend 會將每封電子郵件的副本保留 30 天（第 9 節）。我們的通話中繼和會議伺服器運作在向 Vultr 租用的伺服器上，同樣位於美國；它不儲存任何訊息，也不儲存任何錄音或錄影。第 9 節中的外部服務可能在其他國家處理資料。如果你從美國境外使用 Tóvox，你的資料會在美國處理。

• 訊息和檔案：直到你或傳送者刪除、限時計時結束，或聊天被刪除為止。
• 通話紀錄：直到通話中任一方刪除帳號為止。
• 會議紀錄、字幕和摘要：為會議成員保留。如果你刪除帳號，你的名字會從中移除。
• 你的帳號和個人資料：直到你要求我們刪除帳號為止。
• 語音轉文字的音訊，以及傳送去翻譯的文字：完全不保留。
• 封鎖或移除的紀錄，以及我們管理員所做操作的紀錄，為保護服務而保留。
• 我們通報的兒童性虐待內容：依美國法律規定保存一年，之後刪除。

• 隨時在 app 中變更你的名字、帳號名稱、照片、語言和設定。
• 為所有人刪除你的訊息、退出共享聊天、開啟限時訊息，以及移除你不再使用的裝置。
• 在 Settings（設定）中，或在你的瀏覽器或手機中關閉通知。
• 用你登入時使用的電子郵件地址寫信到 [email protected]，要求我們提供我們所持有關於你的帳號資料副本、更正資料，或刪除你的帳號。我們可能需要確認是你本人。我們會盡量在 30 天內回覆。

刪除帳號會移除你的個人資料、裝置、金鑰、備份、聯絡人、通知、聲紋、機器人和成員身分，以及沒有其他人仍在使用的你的照片和檔案。你傳給其他人的訊息會留在他們的聊天中，仍維持加密。你的名字會從會議字幕、會議聊天和筆記的說話者及作者標籤中移除，但出現在字幕、筆記或摘要文字內容中的名字會保留。你的登入紀錄存放在一個登入服務上，該服務也供我們及我們的相關企業所經營的其他 app 使用；如果你也希望移除該紀錄，請告訴我們。

視你居住的地方而定，你可能依當地法律享有更多權利。寫信給我們，我們會協助你。

你必須年滿 13 歲才能使用 Tóvox。我們不會在知情的情況下收集未滿 13 歲兒童的資料。如果我們得知有未滿 13 歲的兒童擁有帳號，我們會將其刪除。如果你認為發生了這種情況，請寫信到 [email protected]。

我們不使用任何廣告或分析 Cookie。Tóvox 只在你的裝置上儲存必要的內容：

• 四個小型 Cookie：你的淺色或深色主題、手機選單位於哪一側、你在語言選單中選擇的網站語言，以及一個表示你曾造訪過網站的標記（這樣你打開的英文連結就不會再次被轉到其他語言的頁面）。
• 你的登入工作階段，讓你保持登入。Tóvox Mail 在自己的伺服器上執行，會保留自己的登入工作階段。
• 你的加密金鑰，以及第 6 節所述的加密副本。
• 小型偏好設定，例如你是否已同意某則通知。

清除瀏覽器的網站資料會讓你登出，並移除這台裝置的金鑰。如果沒有金鑰備份或其他裝置，傳送到這台裝置的訊息之後就再也無法開啟。

除了端對端加密之外，我們也會簽署訊息和通話的建立、在你的帳號出現每台新裝置時提醒你、全程使用加密連線，並限制誰和什麼可以存取我們的伺服器。沒有任何系統是絕對安全的；如果你發現問題，請閱讀我們的安全性頁面。

我們變更本政策時，會更新頁首的日期。如有重大變更，我們會在變更生效前透過 app 或電子郵件通知你。

隱私問題或與你資料相關的請求：[email protected]，或郵寄至 NUBLK LLC. Registered office: 30 N Gould St, Ste N, Sheridan, WY 82801。