好記 Hoki — 個人資料委託處理契約

第一條　委託處理之目的與範圍

資料類別	處理方式	保存期間
諮商錄音（含案主聲紋）	經客戶端加密上傳後，於台灣專屬伺服器記憶體中解密處理，轉錄完成後立即銷毀	處理完成後即刪除（不保存）
諮商逐字稿	僅暫存於伺服器記憶體	當次操作結束後即消失（不保存）
去識別化諮商紀錄	經雙層去識別化後加密儲存	2 天（系統自動刪除，輔助筆記不長期保存）
使用者帳號資料	加密儲存（密碼 bcrypt 雜湊）	帳號存續期間
系統稽核紀錄	自動記錄，加密儲存	365 天

客戶端加密：音訊於使用者瀏覽器端以 AES-256-GCM 對稱加密，AES 金鑰再以 RSA-4096 公鑰包裝後上傳，傳輸中間節點無法解密。
境內處理原則：本系統所有 AI 模型（語音辨識、大型語言模型）皆自主部署於台灣境內之專屬伺服器，不呼叫任何外部 AI API（如 OpenAI、Google Gemini 等），諮商相關資料不離開台灣境內。
去識別化機制：系統採用 AI 語意辨識與正規表達式雙層去識別化處理，自動移除姓名、地點、電話、電子郵件等可辨識個人身分之資訊。
記憶體處理原則：原始錄音僅於伺服器記憶體中處理（tmpfs），不寫入永久儲存；逐字稿亦僅暫存於記憶體，處理完成後立即銷毀。

        本系統架構使乙方在正常運作情況下，不會接觸或持有案主之可辨識個人資料。乙方僅負責系統之開發、部署與技術維護。
    

乙方應就本系統採取以下安全措施：

存取控制：二層角色權限管理（系統管理員 / 心理師），所有 API 端點皆驗證使用者身分與權限。系統管理員僅具帳號管理、稽核紀錄查閱及資料庫備份等系統維護權限，不可存取個案之諮商紀錄內容或原始錄音。
傳輸加密：使用者與伺服器間之所有通訊採 HTTPS/TLS 加密。
儲存加密：資料庫採用 SQLCipher 256 位元 AES 加密，加密金鑰以雲端密鑰管理服務（Google Cloud Secret Manager）管理，不寫入程式碼或設定檔。
密碼安全：使用者密碼以 bcrypt 雜湊加密儲存，不保留明文。
閒置登出：使用者閒置超過 15 分鐘自動登出，防止未授權存取。
稽核軌跡：系統自動記錄所有重要操作事件，含事件類型、使用者、時間戳及 IP 位址。
資料備份：提供加密資料庫備份功能，備份自動排除諮商紀錄（系統自動移除諮商紀錄內容後方進行備份），僅保留系統管理資料，備份檔案保持 SQLCipher 加密狀態。
客戶端加密：音訊於瀏覽器端以 AES-256-GCM + RSA-4096 混合加密後上傳，傳輸中間節點無法解密。
資料殘留防護：記憶體暫存空間暫存、關閉 swap、停用 core dump、AI 模型處理完即釋放。
數位浮水印：匯出文件內嵌隱藏浮水印（使用者、時間戳），供事後追溯。

乙方應依甲方之指示處理個人資料，不得逾越委託範圍。
乙方應對所知悉之個人資料負保密義務，非經甲方書面同意或法令規定，不得向第三人揭露。
乙方應確保其人員（包括員工、承攬人）亦受保密義務約束。
乙方應定期檢視並更新系統安全措施，以因應資安威脅之變化。
乙方應於知悉個人資料安全事故後，於 24 小時內通知甲方，並提供事故之初步評估及補救措施。
乙方應配合甲方或主管機關進行個人資料保護之稽核或查核。
非經甲方書面同意，乙方不得將委託處理之個人資料再委託第三方處理。如經甲方同意再委託，乙方應確保子處理者承擔與本契約同等之資料保護義務，並對子處理者之行為負連帶責任。

本契約之準據法為中華民國法律。因本契約所生之爭議，雙方同意以臺灣臺北地方法院為第一審管轄法院。