為什麼你寶寶的資料留在歐盟

等你的寶寶滿一個月，一個追蹤 App 手上可能已經有好幾百筆關於這個四週大的人的紀錄：吃進去什麼、排出來什麼、睡了多久、凌晨 2 點的體溫是幾度。這大概是這輩子會有人替他留下的最詳細的一份紀錄，而這一切他完全沒有發言權。

在做 Bunavi 的這些日子裡，這件事我想得比任何一部分都多。所以這裡把整件事說清楚——這份紀錄裡有什麼、我把它放在哪、我絕對不會拿它做什麼，以及這個承諾的邊界在哪裡。

這份紀錄裡到底有什麼

很容易以為寶寶追蹤 App 就是一張餵奶時間的清單。它不是。把幾週的紀錄疊在一起，你手上會有：

你孩子的名字——或你平常叫他的小名——出生日期，有時還有性別，有時還有照片。
健康紀錄：生長測量、體溫、症狀、用藥、疫苗接種。
餵食和睡眠的規律，那同時也是一張圖，標出家裡的大人什麼時候醒著、又已經醒了多久。
換尿布的細節，多數人不會在小兒科診間以外談的那種細節。

清單上體溫和用藥那一端，屬於健康相關資料，《一般資料保護規則》（GDPR）第 9 條把它列進受最嚴格保護的特種資料。同一部規則的前言第 38 點說，兒童「就其個人資料而言，值得受到特別保護」，並且特別點名行銷和建立個人剖析檔是真正要緊的風險。法律在這裡只是同意了大多數父母第一次把孩子的名字打進表單時，心裡就已經有的感覺。

你的孩子有一天會長大成人，而這一切都不是他自己決定的。

為什麼伺服器在法蘭克福

你寶寶的檔案，以及附在上面的每一筆紀錄，都存在歐盟境內的一個資料庫裡，由 Supabase 代管，位在 Amazon 標示為歐洲（法蘭克福）的區域——eu-central-1。這不是行銷頁上的裝飾。它帶來三件實際的事。

GDPR 會適用，不是我發的善心。我是在保加利亞設立的獨立開發者，第 3 條讓這部規則適用於在歐盟境內設立之機構的活動脈絡下所進行的處理。這不是我哪天更新時可以悄悄放寬的政策。
你的權利是可以強制執行的。第 20 條讓你以結構化、通用且機器可讀的格式拿到自己資料的副本。第 17 條給你刪除權。萬一我辜負了你，第 77 條給你向監管機關申訴的權利——以我的情況是保加利亞的個人資料保護委員會（Commission for Personal Data Protection），或是你自己國家的主管機關。
另一端有一個具名的人。資料控制者就是我，有名有姓，在隱私權政策裡寫著國家和一個真的會收信的電子郵件地址。申訴有地方可以落地。

接下來是老實話：主機放在哪裡並不是護身符。一台管得馬虎的法蘭克福伺服器，保護你家人的程度不如任何一台管得好的伺服器。地理位置只決定了哪一套規則可以拿來要求我。真正保護你孩子那份紀錄的，是這個軟體每天實際做了什麼。

我承諾的事

你的手機和伺服器之間的傳輸，都用 TLS 加密。
存取權是在資料庫裡逐列控管的，所以一個帳號只能讀寫它擁有、或被邀請加入的寶寶的紀錄。一個家庭的資料列，從另一個家庭的帳號碰不到，而且這條規則寫在資料庫裡，不是寫在 App 的畫面上。
沒有廣告。沒有廣告識別碼。不賣、不租、也不分享給廣告商。不會為你或你的孩子建立任何廣告或追蹤檔案。
分享功能預設是關的，要你自己打開。邀請碼只能用一次，7 天後失效，而且可以在設定裡立刻收回存取權——在你把邀請碼交給另一半或祖父母之前，值得先知道。
App 是離線優先的，所以它會在你自己的裝置上留一份最近紀錄的小副本，好讓你凌晨 3 點沒有訊號時也能用。你登出時那份副本就會被清掉。
把資料匯出、把資料刪掉，兩件事都是設定裡的按鈕，不是你得寫信來拜託我的請求。

這幾條裡，「預設關閉」是我最會據理力爭的一條。GDPR 第 25 條要求預設就要有資料保護——個人資料不該在沒有你自己動手的情況下，變成不特定多數人都能取得。對一份孩子的健康紀錄來說，會外洩的預設值不是小小的設計瑕疵。

哪些部分不是純歐盟的

一個一人開發的 App 還是得靠其他公司，假裝不是這樣，才是你該懷疑的那種說法。Apple 負責訂閱扣款，我從來看不到你的卡號。位在美國的 RevenueCat 管理你的方案解鎖了什麼，會收到一組帳號識別碼和購買事件。Resend 負責寄信——密碼重設、收據——會收到你的地址和信件內容；它是美國公司，不過寄信的基礎設施跑在愛爾蘭。Sentry 會收到技術性的當機資訊——裝置型號、系統版本、堆疊追蹤——來自有開啟當機回報的版本。凡是在歐盟以外處理個人資料的部分，都由歐盟執委會的標準契約條款涵蓋，而這些公司在隱私權政策裡都有具名。

他們拿不到的，是你寶寶的那份紀錄。餵食、小睡、生長測量、體溫、名字和出生日期，都留在歐盟的資料庫裡。

真正的考驗是刪除

任何一個 App 都寫得出一段溫暖的隱私文字。這個承諾要有意義，前提是離開這件事真的做得到——如果要刪掉一份孩子的健康紀錄得寄三封信、排一次客服佇列，那承諾就只是裝飾。

所以：設定 → 刪除帳號，會立刻移除你的帳號，連同你擁有、而且沒有邀請過任何人的每一個寶寶，以及他們所有的紀錄。如果你不想在 App 裡動手，用你帳號的電子郵件地址寫信到 [email protected]，30 天內就會刪除，通常快得多。那就是第 17 條的刪除權，接在一個按鈕上，而不是一張表單上。

先匯出，再刪除

有件事要先知道：你擁有、但還有其他照顧者的寶寶，不會跟著你一起被刪掉。它會交給待得最久的那位照顧者，讓共同育兒的另一半或祖父母保住他們一直在依靠的那段紀錄，而你寫下的內容會留在紀錄裡，只是不再掛你的名字。沒有邀請過別人的寶寶，會跟著你的帳號一起消失。無論哪一種，你自己的存取權在你按下刪除的那一刻就結束——所以如果你想替自己留著這段紀錄，或是小兒科醫師要你給一份，先匯出，再刪除。

該用什麼標準要求任何一款寶寶 App

這些你不必只聽我說，也不該只聽我說。四項檢查，每一項大概花一分鐘，會比任何一個宣傳頁告訴你更多。

該問什麼	你可以自己去哪裡查
這些資料，法律上誰要負責？	隱私權政策。它應該指名一個控制者——一個真實的公司或個人，有國家，也有聯絡地址。
其中有沒有被拿去追蹤我？	App Store 頁面。Apple 要求每一個 App 都要聲明自己和第三方合作夥伴收集了什麼，以及其中有沒有被用來追蹤你——追蹤是指和其他公司的 App 與網站的資料連結起來，做目標式廣告或廣告成效衡量，或是交給資料仲介商。
我要怎麼把全部資料拿出來，又怎麼全部刪掉？	兩條路都在你註冊前就找到，不是註冊後。在 App 裡能做，勝過開一張客服單。
分享是不是要我自己打開才會開？	看邀請流程。找會過期的一次性邀請碼，還有一個立刻生效的移除方式。

那是我希望別人拿來要求我的標準，也是我會拿來要求任何一個想保管你寶寶第一年的人的標準。你是在替一個還說不上話的人保管這份紀錄——軟體至少能做的，就是照這樣對待它。如果你想看更長的版本，都在隱私權政策和關於頁面裡，兩份都是寫來讓人讀完的，不是寫來讓人熬過去的。

爸媽常問的問題

我寶寶的資料存放在哪裡？

在歐盟境內——位在 Amazon 歐洲（法蘭克福）區域 eu-central-1 的一個 Supabase 資料庫。傳輸以 TLS 加密，靜態儲存時也是加密的，存取權在資料庫裡逐列控管，所以一個家庭的紀錄，從另一個家庭的帳號完全碰不到。

我真的可以自己刪掉全部嗎？

可以。到設定，再點「刪除帳號」，就會立刻移除你的帳號、你擁有的每一個寶寶檔案，以及他們所有的紀錄。你也可以用帳號的電子郵件地址寫信到 [email protected]。加密備份裡的副本會隨著正常輪替消失，30 天內。

資料放在歐盟，是不是代表什麼都不會離開歐盟？

不是，而且這樣宣稱會誤導人。Apple 負責訂閱扣款，RevenueCat 管理權益，Resend 寄送電子郵件，Sentry 接收當機細節。這些服務會拿到識別碼、電子郵件地址或技術資料，並依標準契約條款處理——但拿不到你寶寶的餵食、睡眠、生長或健康紀錄。

我家的資料有任何一部分被拿去做廣告嗎？

沒有。沒有廣告，也沒有廣告識別碼，沒有任何東西被賣掉、租出去或分享給廣告商。不會為你或你的孩子建立廣告或追蹤檔案，你記下的內容也絕對不會拿去訓練 AI 模型。