1. 收集與保存的資料
Minnow 可能在 Cloudflare D1 保存帳戶狀態、LINE 訊息原文與雜湊、分類結果、追問草稿、行程／待辦／備忘／想法、提醒狀態、安全稽核中繼資料，以及 Google Calendar 同步所需的事件 ID、版本與 ETag。
LINE 使用者識別會先轉成帳戶雜湊；推播所需識別與 Google refresh token 以 AES-256-GCM envelope 加密保存。訊息原文為了追溯與更正而保存，未對每則原文另外做欄位級加密。
訂閱資料只保存帳戶、方案狀態、金流訂單與定期定額識別、金額、期數、時間、安全代碼及事件指紋。Minnow 不接受或保存卡號、有效期限、安全碼，也不保存完整解密後金流通知。
2. 資料如何使用
訊息與有效中的追問脈絡會傳送至 OpenAI API，以結構化方式辨識意圖、類型、時間與缺少欄位。請求設定為 store=false；這代表應用程式要求 API 不保存回應供模型訓練或產品儲存，但不代表或取代 OpenAI 自身適用的安全與濫用監控政策。
Google Calendar 資料只用於檢查主要行事曆的忙碌時段、在主要行事曆建立／更新／刪除 Minnow 管理的事件，以及將使用者目前勾選顯示且可讀的行事曆事件唯讀同步到 Minnow。Google Calendar 內容不會被送往 OpenAI 進行訊息分類。
若選擇 iPhone 私人訂閱，Minnow 只透過私人 iCalendar 網址提供有開始與結束時間的 Minnow 行程，以及有截止時間的待辦。這是單向、唯讀來源：Minnow 不會讀取或修改 iPhone 既有行事曆，也不會用它檢查既有行程衝突；在 iPhone 端的修改不會寫回 Minnow，Apple 的更新時間也可能延遲。
營運統計只接受受限制的每日計數，例如模型與 token 數、LINE／Calendar／提醒／付款結果類別；不使用訊息原文、標題、備註、權杖、LINE 識別或完整金流資料作為分析維度。
3. Google Calendar 權限
Google Calendar 是選配；不連接時仍可使用 Minnow 的 LINE 記錄、提醒、每日摘要與整理頁。
Minnow 請求 calendar.events、calendar.events.freebusy 與唯讀的 calendar.calendarlist.readonly。Minnow 建立與修改的事件只寫入 primary 主要行事曆；反向匯入則涵蓋 Google Calendar 中目前勾選顯示且可讀的行事曆。匯入資料在 Minnow 中唯讀。
Minnow 對從 Google API 收到資訊的使用與傳輸，遵守 Google API Services User Data Policy，包括 Limited Use 規定。
4. iPhone 私人訂閱
私人訂閱網址等同存取鑰匙，任何取得網址的人都能讀取其中有開始與結束時間的 Minnow 行程，以及有截止時間的待辦。建立或更換時，完整網址只在當次回應顯示；Minnow 的資料庫只保存不可逆雜湊，不保存可還原的完整網址。使用者應避免轉傳，並可隨時更換或撤銷。
更換或撤銷會使原網址無法再取得更新，但不代表 iPhone 已自動移除先前加入的日曆。是否完成加入及實際更新時間，應以裝置顯示為準。
5. 服務供應商與分享
LINE 負責訊息傳輸；Cloudflare 提供 Worker 與 D1；OpenAI 提供文字結構化處理；Google 提供 OAuth 與 Calendar API；藍新金流提供託管刷卡頁、付款通知與取消後續扣款。資料只在完成上述功能所需的範圍內傳輸，不出售、不出租，也不用於廣告投放。
刷卡資料直接提交給藍新金流，不經 Minnow 表單或伺服器。Minnow 只解密並驗證金流回傳，保存前述必要狀態與識別。
6. 保存、刪除與撤銷
一般項目刪除為軟刪除，原始訊息與稽核紀錄不會因此立即物理清除。使用者可在整理頁解除 Google 連線；Minnow 會嘗試撤銷權杖並刪除該帳戶的本機憑證。你也可以從 Google 帳戶的第三方連線頁撤銷存取。
帳戶刪除需要近期 LINE 登入與明確確認，會刪除或停用目前帳戶範圍內的訊息、項目、提醒、Google 憑證、訂閱與付款事件，且不影響其他帳戶。第三方撤銷或取消若失敗，Minnow 會顯示需要後續處理，不會假稱成功。平台備份的移除時間仍受各供應商備份政策影響。
7. 安全與政策更新
Minnow 使用邀請雜湊、帳戶範圍查詢、webhook 簽章驗證、OAuth PKCE、單次 state、加密權杖、金流事件去重與祕密設定分離等措施降低風險。任何系統都無法保證絕對安全；若資料用途或保存方式改變，本頁會同步更新。