實機畫面｜春意木系天空之島
個人資料由你決定
生理數據是很私人的資料。我們從系統設計開始，就把「誰看得到什麼」放在第一位。
資料處理的六項承諾
1
先同意，才記錄
第一次使用時逐份簽署同意書，同意之後才上傳資料。
2
露出由你決定
大螢幕上顯示真名或頭像，預設關閉，必須本人開啟；撤回後立即生效。
3
單位只看群體彙總
成效報告只呈現去識別化的群體彙總。
4
個人紀錄只屬於本人
個人紀錄只屬於參與者本人，單位看到的只有群體彙總。
5
可以隨時離開
App 與網頁都可以刪除帳號；刪除前清楚列出會刪除與會保留的項目。
6
資料只用在服務上
個人資料只用於提供 Mandala Hub 的服務；生理數據只用在報告與統計分析。
資料處理一覽
| 誰 | 看得到什麼 |
|---|---|
| 參與者本人 | 自己的所有報告與趨勢 |
| 同場的其他人 | 大螢幕上的代號，或本人同意露出的名字與頭像 |
| 單位管理者 | 去識別化的群體彙總（一人一票）、人數、資料覆蓋率、營運統計；未達 3 人的部門與群組不顯示（報告範本） |
| EAP 或心理專業夥伴 | 單位的群體報告；經本人同意分享的個人報告（與 EAP 的合作方式） |
| 進階分析與研究匯出 | 以假名化代號呈現的統計資料，由特定權限人員匯出，每次匯出留有紀錄 |
現場大螢幕即時顯示的「主導者」生理數字，只做即時轉發顯示。
假名化代號
上傳到雲端的統計資料以「假名化代號」（pseudonymization）作為分析代號。代號由帳號識別碼與伺服器保管的密鑰，以 HMAC-SHA256 單向運算產生：同一個人每次的代號相同，所以能計算長期變化；單位與其他第三方無法從代號回推身分。撤回同意或刪除帳號時，系統能找到並刪除對應的統計資料。
依《個人資料保護法》，假名化資料仍屬個人資料，我們依同樣的規定保護。
蒐集的資料範圍
| 帳號資料 | Google／Apple 登入的識別資訊、Email、顯示名稱 |
| 基本資料 | 出生年月、性別：只用於常模對照 |
| 生理數據 | 心跳間隔、心率、HRV 指標；腦波指標 |
| 參與紀錄 | 場次、時間、獎盃 |
| 選用資料 | Health Connect 健康紀錄、AI 說明時送出的報告內容 |
| 官網表單 | 預約導入諮詢與合作洽詢填寫的姓名、單位、聯絡方式與說明，以及送出時的 IP 位址與瀏覽器資訊：用於回覆洽詢與防止濫用 |
在 App 中行使的權利
- 查看自己的資料、決定是否分享報告
- 撤回同意
- 關閉真名與頭像顯示，立即生效
- 離開單位
- 刪除帳號（需兩層確認）
- 未登入時，清除這支手機上的紀錄
政策與法遵
- 個人資料
- 依《個人資料保護法》，本人同意後才記錄
- 資料存放
- 台灣，多地備援
- 保存
- 個人資料保存到本人刪除帳號為止；單位統計以假名化代號保存，人員離職後仍納入歷史統計，單位無法辨識個人
- 人事用途
- 不作為考核依據，可寫入合約
- 匿名門檻
- 未達 3 人的群組不顯示
- 本人權利
- 查詢、撤回同意、刪除帳號
- 醫療器材
- 不是醫療器材，不提供診斷或治療
- 資安
- 傳輸加密、權限控管、稽核紀錄（採購與資安）
- 公部門採購
- 可提供政府採購所需文件（消防、警察與國軍）
個資法的對應
| 告知（第 8 條） | 第一次使用時逐份顯示同意書 |
| 蒐集與利用（第 19、20 條） | 本人同意後才記錄，只用於提供服務 |
| 本人權利（第 3、10、11 條） | 查詢、撤回同意、刪除帳號 |
| 安全維護（第 27 條） | 傳輸加密、權限控管、稽核紀錄、假名化代號 |
公部門、醫療院所與學校如有特殊的資安要求，歡迎與我們討論。