隱私權政策

1. 我們是誰

Maguyva 是一項程式碼智慧服務，由在新加坡註冊的公司 UT INTERNATIONAL PTE. LTD. 營運。

2. 我們蒐集哪些資料

我們蒐集四類資料：

• 帳號資料：你的姓名、電子郵件地址，以及 GitHub OAuth 權杖（用於存取你授權的儲存庫）
• 程式碼資料：你的原始碼（儲存以提供檔案內容與支援搜尋）、抽象語法樹（AST）、符號圖譜，以及由你的程式碼衍生出的語意嵌入向量
• 使用資料：你呼叫了哪些工具、時間戳記，以及彙總的查詢模式
• 網站效能與錯誤資料：我們使用在自有基礎設施上運行的 Grafana Faro 來量測頁面效能並找出錯誤。它會蒐集頁面路徑（已移除查詢參數）、瀏覽器、作業系統與裝置類型、效能計時、JavaScript 錯誤，以及頁面所發出請求的計時，並以一個隨機的工作階段識別碼將這些資料串連起來；該識別碼保存在本機儲存空間（local storage）中，在沒有任何操作約 16 分鐘後失效，並會在你下次造訪時被替換。它不含姓名、電子郵件地址或帳號識別碼，也不會與帳號資料或廣告資料結合。我們所依據的是維持網站正常運作的正當利益（在新加坡，即業務改善目的）。日誌保留 30 天，追蹤資料保留 14 天。如欲提出異議，請聯絡 privacy@maguyva.ai。

瀏覽器儲存空間。 本網站會在你瀏覽器的本機儲存空間（local storage）中，儲存少量資料以記住你的色彩模式偏好設定（索引鍵：「maguyva-color-mode」）。如果你觸發了選用的 CRT 彩蛋，目前的視覺主題只會儲存在目前分頁的工作階段儲存空間（session storage）中。這些資料永遠不會離開你的瀏覽器，也不會傳送到我們的伺服器。如果你是透過我們的廣告前來，該連結上的廣告活動參數與廣告點擊識別碼，也會儲存在目前分頁的工作階段儲存空間中（索引鍵：「maguyva_utm」），並在你點擊註冊或登入連結時傳遞給我們的應用程式；詳見下方的「6. Cookie 與廣告」。我們的基礎設施供應商 Cloudflare，可能會為了安全目的設定功能性 Cookie。至於彙總使用分析，我們使用 Umami——一項注重隱私、不使用 Cookie 的分析服務，它不會設定任何 Cookie，也不會蒐集任何可識別個人身分的資訊。至於頁面效能與瀏覽器錯誤監測，我們使用 Grafana Faro。它會在你瀏覽器的本機儲存空間（local storage）中儲存一個隨機產生的工作階段識別碼（索引鍵：「com.grafana.faro.session」），該識別碼在沒有任何操作約 16 分鐘後失效，並會在你下次造訪時被替換，讓一連串的量測能被辨識為同一次造訪；該識別碼不含姓名、電子郵件地址或帳號識別碼（見上方「網站效能與錯誤資料」）。對於位於歐洲經濟區、英國或瑞士的訪客，以及我們無法判定其所在地區的訪客，Faro 不會載入，該索引鍵也不會寫入——與下方「6. Cookie 與廣告」所述的廣告 Cookie 適用相同的地區規則。

3. 我們如何使用這些資料

我們會使用你的資料來索引你的程式碼並提供程式碼智慧功能、透過 Stripe 處理付款、寄送交易性電子郵件（帳號確認、帳單收據），以及計算彙總使用統計。我們不會使用客戶的程式碼訓練機器學習模型，也不會販售你的資料。

4. 你的程式碼

當你連接一個儲存庫時，你的原始碼會被儲存在我們的服務基礎設施中，以支援檔案擷取與搜尋等程式碼智慧功能。我們使用 tree-sitter 解析程式碼，透過 Voyage AI 產生語意嵌入向量，並建構定義與參照的符號圖譜。嵌入請求送出的是依 AST 結構劃分的語意區塊，而不是完整的檔案或儲存庫，並且排除了會識別客戶身分的中繼資料，例如儲存庫名稱、使用者名稱、組織識別碼與檔案路徑。這些區塊會依 API 條款與帳號設定用於產生嵌入向量，這些條款與設定不允許用客戶資料進行模型訓練。原始碼與衍生索引資料，會以檔案擷取、搜尋與圖譜分析所需的形式儲存在 PostgreSQL 中。產品存取權透過以組織與命名空間為範圍的存取控制來管理；Maguyva 的營運人員僅在營運、確保安全或支援服務所需時，才會存取儲存庫資料。當你中斷儲存庫連接或關閉帳號時，已索引的作用中原始碼與衍生資料會從服務系統中移除，剩餘備份副本的保留期限則會在規定的備份保留期間內屆滿。

5. 第三方服務

我們使用以下服務來營運 Maguyva：

• Supabase（資料庫代管，AWS 美國區域）
• Cloudflare（CDN、邊緣運算、DNS）
• Voyage AI，現為 MongoDB 旗下服務（產生嵌入向量——接收依 AST 結構劃分、且不含客戶識別碼的程式碼區塊，而非完整的檔案或儲存庫）
• Stripe（付款處理）
• GitHub（OAuth 身分驗證與儲存庫存取）
• Umami（不使用 Cookie 的網站使用分析——僅提供彙總指標，不含任何可識別個人身分的資訊）
• Railway（位於新加坡的代管服務，用於運行我們以 Grafana 開源軟體自行營運的監測系統——儲存「2. 我們蒐集哪些資料」所述的網站效能與錯誤資料，這些資料只會經由我們自有的收集端點 faro.synacy.xyz 送達；Grafana Labs 不會收到這些資料。對於位於歐洲經濟區、英國或瑞士的訪客，以及我們無法判定其所在地區的訪客，監測指令碼完全不會載入）
• Google Ads（轉換評估——在你建立帳號時接收廣告活動參數與廣告點擊識別碼，不含帳號或程式碼資料）

6. Cookie 與廣告

我們透過 Google Ads 宣傳 Maguyva，並評估哪些廣告帶來了註冊。Google 的代碼（gtag.js）會在 maguyva.ai 與 app.maguyva.ai 上載入。在允許廣告儲存的情況下，它會設定「_gcl_」系列的 Cookie（例如「_gcl_aw」，最長保留 90 天），記錄你這次造訪之前的廣告點擊；當你建立帳號時，應用程式會向 Google Ads 回報一次轉換。在這兩個網域上，我們也會設定一個我們自己的 Cookie「maguyva_first_touch」，記錄你當初前來時所使用的第一個廣告連結，好讓我們判斷是哪些廣告帶來了帳號。除下文所述的同意 Cookie 與地區 Cookie 之外，我們不會在自有網域上設定其他廣告 Cookie。

• 傳送給 Google 的內容：僅包含廣告活動參數與廣告點擊識別碼。頁面網址的其餘部分，包括邀請連結所攜帶的任何電子郵件地址，都會在報告送達 Google 之前移除。
• 廣告個人化信號已停用，因此這只是評估轉換，而不是建立廣告目標對象。
• 「maguyva_first_touch」儲存的內容：你前來時所使用連結上的廣告活動參數（utm_source、utm_medium、utm_campaign、utm_content、utm_term）、該連結所攜帶的廣告點擊識別碼（gclid、gbraid、wbraid、dclid、twclid 或 rdt_cid）、將你引介過來的頁面網址、你到達的路徑（含其參數），以及該次前來的時間。它由我們的伺服器設定，頁面上執行的指令碼無法讀取，保留時間最長為 90 天。
• 它只記錄你第一次透過廣告前來的情況——之後的廣告點擊不會取代它。如果你建立了帳號，這些值會被複製到該帳號上，好讓我們將該帳號歸因於帶來它的廣告，接著這個 Cookie 就會被刪除。如果你始終沒有建立帳號，它會自行到期。
• 此外，我們位於 maguyva.ai 的行銷網站還會將你前來時的廣告點擊識別碼，儲存在目前分頁的工作階段儲存空間中，以便在你點擊註冊或登入連結時傳遞給應用程式，如「2. 我們蒐集哪些資料」所述。關閉分頁時，該副本即會被捨棄。
• 我們會先徵詢你意見的情形：對於位於歐洲經濟區、英國或瑞士的訪客，以及在我們無法判定你所在地區的任何情況下，代碼都會在關閉廣告儲存的狀態下載入，並從其傳送的內容中移除廣告點擊識別碼；在設定任何廣告 Cookie 之前，我們都會先徵詢你的意見。在你作出選擇之前，Google 只會收到一個不含 Cookie 的「頁面已被瀏覽」信號。如果你同意，「_gcl_」系列 Cookie 與「maguyva_first_touch」會依上文所述設定。如果你拒絕，兩者都不會被設定，也不會蒐集任何初次接觸紀錄。
• 你的選擇會保存在一個名為「maguyva_ad_consent」的 Cookie 中，保留 12 個月，並在 maguyva.ai 與 app.maguyva.ai 之間共用，其中只包含你的選擇，以及作出該選擇時本聲明的版本。無論你同意或拒絕，這個 Cookie 都會被設定，以免我們再次詢問。你可以隨時透過 maguyva.ai 頁尾的「Cookie 選項」連結，或在應用程式的 Settings > Security 中變更；改為拒絕會停止後續的廣告儲存，而 Google 已經設定的 Cookie 會依其自身的期限到期。
• 在 maguyva.ai 上，一個效期為一小時、名為「maguyva_ad_region」的 Cookie 僅記錄你所在的地區是否屬於我們需要先徵詢同意的地區。它不保存任何個人資料。
• 在回報轉換時，Google 可能會在其自有網域上設定 Cookie；這些 Cookie 受 Google 的隱私政策規範。

7. 資料安全

資料透過 HTTPS/TLS 傳輸。已索引的儲存庫資料，儲存在提供儲存層靜態資料加密的受管理基礎設施上。在搜尋、檔案擷取、支援與安全維運等作業所需的範圍內，服務端仍可讀取原始碼與衍生索引資料。儲存庫存取權透過以組織與命名空間為範圍的存取控制來管理。API 金鑰會依據已儲存的中繼資料與儲存庫存取限制進行驗證。

8. 你的權利

依據新加坡《個人資料保護法》（PDPA）與歐盟《一般資料保護規則》（GDPR，如適用），你有權：

• 存取我們持有的、與你有關的個人資料
• 更正不正確的資料
• 要求刪除你的資料與已索引的儲存庫
• 匯出你的帳號資料
• 反對資料處理，或撤回同意

9. 資料保留

使用中帳號：只要你的帳號處於使用中狀態，資料就會被保留。已移除的儲存庫與已刪除的帳號：作用中的已索引原始碼與衍生資料，會在 30 天內移除，剩餘備份副本的保留期限則會在 90 天內屆滿。帳單紀錄依法保留 7 年。「2. 我們蒐集哪些資料」所述的網站效能與錯誤資料：日誌保留 30 天，追蹤資料保留 14 天，之後會自動刪除；如欲反對蒐集這些資料，請聯絡 privacy@maguyva.ai。

10. 變更與聯絡方式

若本政策有重大變更，我們會以電子郵件通知你。如有任何問題或資料請求，請聯絡 privacy@maguyva.ai。