安全維護措施

我們怎麼保護資料

• 網站與 App 的所有連線都經過加密（HTTPS）。
• 正式資料庫存放於提供靜態加密的受管資料庫服務，不對公開網路開放，只接受經授權的伺服器以加密連線存取。
• 帳號碼只以不可逆雜湊保存，我們不保存帳號碼明文；也不要求真名、email、電話、學校。
• 我們自行製作的備份，在離開伺服器之前就以只有營運者持有的金鑰加密，並存放於提供靜態加密的雲端物件儲存。
• 雲端服務商的自動備份最長保留 7 天；我們自行製作的加密備份最長保留 30 天。
• 連線日誌中的 IP 經遮罩後保存，最長 7 天；登入與帳號安全紀錄只存 IP 雜湊，90 天後刪除。
• 遊戲與家長區頁面不載入任何第三方程式，由瀏覽器的內容安全政策強制執行；介紹網站同樣以內容安全政策限制可以載入的來源，本站自身不設 cookie（資安防護服務為阻擋惡意流量可能設定必要的安全性 cookie，見隱私權政策第 9 節）。
• 資料庫帳號依用途分開、只給必要的權限；每次更新都要先通過自動化測試才會上線；營運操作留有紀錄供稽核。

資料存在哪

帳號、學習紀錄與正式資料庫儲存於亞太地區（臺灣境外）之雲端資料中心，並經由國際網路服務傳輸。經加密之備份與匯出檔亦存放於亞太地區（臺灣境外）之雲端資料中心。您的連線資料（例如 IP 位址、瀏覽器資訊）在傳輸、安全防護與人機驗證過程中，可能於您所在地以外之國家或地區被處理。依個人資料保護法第 2 條第 6 款，上述處理屬國際傳輸。

基於資訊安全，我們不公開服務商名稱、資料中心的確切位置、系統架構與軟體版本；受託服務商的類別列在隱私權政策第 10 節。主管機關依法要求時，我們會提供完整資訊。

刪除與匯出

家長可以在家長區匯出或刪除全部資料。刪除要再確認一次，7 天內可以取消；第 7 天從正式資料庫刪除，最晚 37 天後連備份都不會有。細節見隱私權政策第 15 節。

發生事故時

若資料可能外洩、遭竄改或遺失，我們會在確認後儘速（目標 72 小時內）在介紹網站與家長區公告：發生了什麼、影響哪些資料、我們做了什麼、你可以做什麼（例如換發新的帳號碼）。符合主管機關規定通報範圍者，我們將依規定通報。

漏洞通報

如果你發現安全問題，請寫信到 [email protected]，主旨寫「安全通報」。我們會在 24 小時內確認收到。

• 請只做證明問題所需的最少測試；不要存取、修改或刪除不屬於你的資料。
• 不要進行會影響其他使用者的測試，例如大量請求、阻斷服務或社交工程。
• 在我們修好之前，請不要公開細節。我們感謝每一位善意通報的人。

機器可讀的聯絡資訊：/.well-known/security.txt

我們不做的承諾

沒有任何系統能百分之百安全，我們不會這樣宣稱。我們能做的是：少蒐集（不要求真名與聯絡方式）、加密、限制存取、留紀錄、隨時讓你刪除，並在出事時誠實告訴你。