Cookie 與追蹤聲明

• 身分驗證 Cookie（必要）。在你登入時由 Supabase Auth 設定。用於在後續請求中識別你，讓你不必在每一頁都重新登入。屬性為 HttpOnly、Secure、SameSite=Lax。在你登出或長時間未活動後失效。
• CSRF 權杖 Cookie（必要）。一個與你的工作階段綁定的簡短隨機值，用於防止伺服器動作與表單提交遭受跨站請求偽造（CSRF）。
• 主題與語言偏好（功能性）。 儲存在你裝置上的 localStorage，不會傳送到伺服器。記錄你是否切換了深色模式、選擇了語言，或關閉了一次性的新手引導橫幅。
• Capacitor 安全儲存（僅限 iOS／Android）。 由原生外殼用來在你同意 Google Calendar 授權後記住 OAuth 更新權杖（refresh token）。由作業系統的鑰匙圈加密。在你中斷 Google Calendar 連結或登出時清除。

• 不使用 Google Analytics、Mixpanel、Amplitude、Heap、Segment 或任何其他分析 SDK。
• 不使用 Facebook Pixel、Google Ads 轉換追蹤或任何廣告聯播網。
• 不使用工作階段重播工具（Hotjar、FullStory、LogRocket）。
• 不使用指紋辨識函式庫、裝置圖譜服務或跨網站識別碼。
• 不使用會回傳資料的第三方社群分享小工具（例如「讚」按鈕、內嵌的 Twitter 時間軸）。

當你執行某些操作時，你會被轉交給第三方，他們可能會在自己的網域（而非我們的網域）上設定自己的 Cookie：

• Stripe Checkout——當家長用信用卡支付帳單時，會被導向 checkout.stripe.com 上由 Stripe 託管的頁面。Stripe 會在自己的網域上設定 Cookie 以偵測詐欺。請見 Stripe 的 Cookie 政策。
• Apple ID／Sign in with Apple（如有使用）——身分驗證在 appleid.apple.com 上進行，該網站會在 OAuth 流程中設定自己的工作階段 Cookie。
• Google OAuth（老師連結 Google Calendar 時）——身分驗證在 accounts.google.com 上進行。Google 會在 OAuth 流程中設定自己的工作階段 Cookie。

這些流程都很短暫。轉交完成後，你會回到 noteandkey.app，只剩下我們的必要 Cookie。

由於我們只使用必要／功能性 Cookie，所以不顯示 Cookie 同意橫幅。依據多數隱私法規（GDPR、ePrivacy Directive、PIPEDA、CCPA），為提供使用者明確要求之服務所嚴格必要的 Cookie 無須取得同意——而我們的 Cookie 全部屬於此類。

如果你整體上不想被跨網站追蹤，你的瀏覽器本身就有設定可以封鎖第三方 Cookie、傳送「不要追蹤」（Do Not Track）訊號，或使用私密視窗。這些設定在我們的 App 中都能正常運作。

在 iOS App 上：

• App 追蹤透明度（ATT）——我們不呼叫 requestTrackingAuthorization，因為我們不會跨其他 App 或網站追蹤你。
• 不收集 IDFA。不將 IDFV 用於追蹤目的。
• App 二進位檔中未包含任何第三方分析 SDK。

在 Android 上：採取相同做法。不收集 Google 廣告 ID。不使用 Firebase Analytics 或同類工具。

如果我們日後加入任何非必要的 Cookie（分析、A/B 測試等），我們會在它載入前加入明確的同意橫幅——並且先更新本頁面。

隱私相關問題： [email protected]。