隱私政策 - Twinkle Hub

我們蒐集什麼

在您註冊或使用服務時，我們蒐集：

OAuth 提供商回傳的個資：email、名稱、avatar 連結（來自 Google / GitHub）。
API 使用紀錄：每筆 MCP request 的 timestamp、tool 名稱、cost、回應大小。儲存於我們自架的 API gateway。
技術 metadata：IP（短期 log，30 天內 rotate）、user-agent。
OAuth access token（2026-05 起）：當您透過 Claude 等第三方 AI 助理連接，我們發一張 access token 給該 client，存於我們資料庫的 oauth_storage 表。token 1 小時 expire；您可以隨時在 /account 撤銷。token 本身不含對話內容，只是身分證明。

用途

提供服務（驗證身份、發 API key、計費、客服）
防止濫用（速率限制、異常偵測）
改善產品（aggregate 統計，不識別到個人）
寄送您已明確同意訂閱的電子報（產品更新、資料亮點），您可隨時退訂。

我們把資料給誰

盡可能不分享。必要的有：

Twinkle Hub MCP gateway（自架於 GCP）：託管 API key 與 spend tracking。資料不離開我們的 GCP project。
Google Cloud Platform：基礎設施（Cloud Run、Cloud SQL、Secret Manager）位於 asia-east1（彰化）。
下游資料源：您的 query 內容會 forward 到對應 source（如 data.gov.tw 等）；source 端的 license 條款獨立適用。
透過 AI 助理（Claude、Cursor 等）使用時：您跟 AI 的對話內容由那個 AI 廠商處理（適用該廠商隱私政策）。我們只看到從 AI 過來的 MCP tool call（包括 query 參數），不會看到完整對話。
Anthropic（若您透過 Claude Connector 上架版本連接）：Anthropic 會收取「functional metadata」（tool 呼叫次數、錯誤率、延遲），用於提升服務品質。詳見 [Software Directory Terms]（https://support.claude.com/en/articles/13145338-anthropic-software-directory-terms）。
法律強制要求：法院 / 政府機關正式要求且有法源。

Cookie 與分析

__Secure-authjs.session-token：登入 session（HttpOnly、Secure、SameSite=Lax）。登出時清除。
NEXT_LOCALE：語言偏好（zh-TW / en）。有效期 1 年。
OAuth callback state：登入流程暫存，有效期 5 分鐘。

我們使用第一方、自架且不使用 cookie 的網站分析，僅記錄匿名的彙整使用情形（如頁面瀏覽數、來源網站、概略地區），用於改善服務。我們不投放廣告、不做跨站追蹤，也不會將您的資料販售或分享給第三方廣告網路；分析資料儲存於我們自己管理的伺服器。

您的權利

讀取：前往 /account 查看資料。
修改：name 由 OAuth provider 提供，請至 Google / GitHub 修改。
刪除：請寄信給我們，將於 72 小時內處理（清除帳號資料與 API key）。
匯出：請寄信索取 JSON dump（包含 spend_logs 與 account profile）。
撤銷第三方 AI client OAuth 連接：前往 /account → Connected AI Clients 查看已授權的 client list，可一鍵撤銷。撤銷後該 client 的 token 將立即失效。

保留期限

帳號資料（user 表、user_notification_prefs）：保留至您刪除帳號為止。soft-delete 後 72 小時執行 hard-delete。
API 使用紀錄（spend_logs）：永久保留，用於 (a) 計費對帳 (b) 反濫用 (c) 客戶歷史用量查詢。aggregated 統計資料在 12 個月後仍會保留，但 per-request 細節（tool args、回應大小）將依需求進行 anonymise。
OAuth oauth_storage：access token 在 1 小時 expire 後於背景清除。authorization codes 有效期為 10 分鐘。registered clients 保留至您撤銷為止。
蜜罐 mcp_auth_rejections（auth attempts log）：保留 90 天 rolling window。
IP log（Cloud Run access log）：每 30 天 rotate。
Audit log (admin_actions)：永久保留（用於合規 / 內部 review）。

跨境傳輸

服務主機位於 GCP asia-east1（彰化）。OAuth 認證會連至 Google / GitHub 的全球節點；透過 Claude Connector 連接時，資料會經過 Anthropic 美國節點（Anthropic 為美國公司）。若不希望資料跨境，請改用 .mcpb Desktop Extension（直接在您的電腦執行，不經過 Anthropic 節點）。

我們​蒐集什麼

用途