個人資料處理方針
共感覺（以下稱「公司」）依據《個人資料保護法》第30條，為保護資訊主體之個人資料，並能迅速且順利處理與個人資料處理相關之困難，特制定並公開以下個人資料處理方針。
第1條（個人資料的處理目的）
- 會員加入·帳號管理：本人識別、社交登入連結、年齡確認、會話管理、防止不當使用
- 服務提供：樂譜搜尋·預覽·購買·檢視·下載、音訊播放、圖書館·群組·客製化訂單及客戶支援
- 契約與付款：訂單、付款、點數、會員、退款、收據及權限管理
- AI 功能：依使用者同意處理輸入·附件檔案、產生結果、安 全性檢查、使用上限與紀錄管理
- 服務改進與分析：以使用者同意為前提之使用統計、服務使用流程、錯誤與效能分析
- 法定義務與安全：遵守法令、資安事故因應、爭議處理、權利侵害及不當使用防止
- 行銷：僅在取得另行同意的情況下提供活動與廣告資訊
第2條（處理的個人資料項目與收集方法）
| 區分 | 處理項目 | 收集方法 |
|---|---|---|
| 社交會員加入·登入 | 姓名或暱稱、電子郵件、個人資料圖片、OAuth 提供者與提供者別識別子 | Google、Kakao、Naver、Apple 或 Meta OAuth |
| 管理者發給憑證 | 使用者名稱、密碼之單向雜湊值 | 僅限公司核准之帳號於發給及登入時處理 |
| 加入·帳號設定 | 偏好語言、滿14歲以上與確認時間、條款·個人資料·AI 處理同意及撤回歷史 | 使用者輸入及服務紀錄 |
| 訂單·付款 | 訂單編號、商品、金額、幣別、國家、付款方式類型、付款·取消·退款狀態、點數·會員明細 | 付款·購買過程及 PG 公司回應 |
| 服務使用 | 購買·檢視·下載·群組·客製化訂單·詢問紀錄、搜尋·UI 互動、錯誤及資安紀錄 | 服務使用過程中產生 |
| AI 與製作工具 | 提示詞、對話、上傳圖片·檔案、產生結果、模型·使用量·安全處理紀錄 | 使用者使用功能時之輸入或產生 |
| 技術·分析資訊 | IP 位址、使用者代理、Cookie·會話識別子、隨機產生之分析識別子、登入使用者之內部分析識別子、頁面路徑·服務使用事件·語言設定·存取時間 | 於 Web·App 使用時自動收集 |
第3條（處理及保留期間）
公司於達成處理目的時，將立即銷毀個人資料。但以下資訊因法律義務、爭議因應或防止不當使用之必要期間，得另行保留。
| 資訊 | 保留基準 |
|---|---|
| 會員帳號與個人資料 | 至會員退出完成為止。退出完成後即立即終止登入會話與服務存取，依法需保留之資訊則於法定保留期間內另行保存 |
| 契約·撤銷訂約·付款·供應紀錄 | 依電子商務法保存5年 |
| 消費者不滿或爭議處理紀錄 | 依電子商務法保存3年 |
| 展示·廣告紀錄 | 依電子商務法保存6個月 |
| 存取紀錄 | 依通信祕密保護法等相關法令需要時保存3個月 |
| 活躍登入會話 | 至過期或登出·退出為止 |
| AI 個人資料·海報·Vision 工具之保存歷史 | 自產生日起90天或使用者自行刪除為止 |
| 個人資料匯出檔案 | 產生後24小時內 |
| 同意·撤回及資安·稽核紀錄 | 依法義務與爭議·不當使用因應所需期間 |
目前會員退出會立即終止服務存取與活躍會話。交易·同意·稽核紀錄因關係法令與爭議因應目的，可能會有限保留，帳號與個人資料之實體刪除·匿名化程序則依另行之資料生命週期政策處理。使用者可於帳號的「個人資料與資料」功能選單中，提出檢視·匯出·刪除之請求。
第4條（個人資料之第三者提供）
公司原則上不會將使用者之個人資料提供給第三者。僅在取得資訊主體另行同意或法律有特別依據之情形下，於必要範圍內提供。與付款、主機代管、認證、電子郵件、分析及 AI 功能相關之外部事業者之處理，依實際契約與處理目的，可能屬於個人資料處理委託、第三者提供或跨境傳輸，具體內容於下條相關項目說明。
第5條（透過外部事業者之處理）
| 外部事業者 | 相關業務 |
|---|---|
| Toss Payments Co., Ltd. | 國內付款授權、結算、取消、退款及防止不當交易 |
| PayPal, Inc. | 支援之海外付款授權、結算、取消、退款及防止不當交易 |
| Cloudflare, Inc. | CDN·網路流量傳遞·資安、Workers 應用執行、R2 物件儲存、同意基礎之網路使用統計、AI Gateway 中繼及 Workers AI 處理 |
| Neon, Inc. | PostgreSQL 資料庫代管 |
| Google LLC | Google 帳號登入認證及帳號連結 |
| Google LLC | 依使用者同意之 Google Analytics 4 使用統計分析 |
| Google LLC | 使用者選擇之 Gemini 基礎 AI 功能之輸入與結果處理 |
| Kakao Corp., NAVER Corp., Apple Inc., Meta Platforms, Inc. | 使用者選擇之社交登入認證與帳號連結 |
| Anthropic PBC | 使用者選擇之 Claude AI 功能處理 |
| OpenAI, L.L.C. | 使用者選擇之 OpenAI AI 功能處理 |
| Resend, Inc. | 交易·帳號及服務電子郵件發送 |
第6條（個人資料之跨境傳輸）
公司於服務使用過程中，可能將以下個人資料跨境傳輸或儲存。使用者使用相關功能或契約執行需處理時，將透過 TLS 加密之網路隨時傳輸。每一次傳輸之法律依據依《個人資料保護法》第28條之8等相關法令之同意、契約締結·履行或處理委託之實際關係而定。
| 接收者·聯絡方式 | 國家/地區 | 傳輸項目 | 傳輸目的 | 時機·方法 | 法律依據 | 保留·使用期間 | 拒絕方式與影響 |
|---|---|---|---|---|---|---|---|
| Cloudflare, Inc. (privacyquestions@cloudflare.com) | 美國及 Cloudflare 全球網路營運區域。處理·儲存位置依使用產品、帳號設定及請求路徑而異 | 帳號·服務紀錄、IP·裝置·分析資訊、物件檔案、使用者於 AI 輸入之資訊 | 代管·資安·儲存·同意基礎分析·AI 中繼 | 服務使用期間隨時傳輸·儲存，TLS 傳輸 | 契約履行及處理委託 | 依國內各項保留期間或契約·產品設定之期間 | 可於同意撤回時拒絕選擇性分析·AI，惟此功能將受限。若拒絕必要代管，服務提供將受影響。 |
| Neon, Inc. (privacy@neon.tech) | 新加坡（AWS ap-southeast-1） | 會員、交易、同意、服務使用紀錄 | PostgreSQL 資料庫儲存 | 服務使用期間隨時傳輸·儲存，TLS 傳輸 | 契約履行及處理委託 | 依國內各項保留期間或委託契約終止時為止 | 若拒絕必要儲存處理，將難以提供基於帳號之服務。 |
| Google LLC (googlekrsupport@google.com) | 美國等 Google 處理區域 | OAuth 識別資訊、分析識別子·事件，或 AI 輸入·附件·輸出 | OAuth 認證、同意基礎 GA4 分析、選擇之 Gemini 功能 | 使用相關功能時 TLS 傳輸 | 功能同意或契約履行 | 依認證·分析·功能提供所需期間及 Google 政策規定期間 | 可不使用各選擇功能或撤回相關同意，該功能將受限。 |
| Apple Inc., Meta Platforms, Inc. | 美國等各提供者處理區域 | 提供者識別子、姓名、電子郵件、個人資料資訊 | 選擇之 OAuth 認證與帳號連結 | 登入·連結時 TLS 傳輸 | 契約履行 | 帳號連結解除·退出或依提供者政策之期間 | 可不選擇此登入方式，則無法使用該認證方式。 |
| PayPal, Inc. (privacy@paypal.com) | 美國等 PayPal 處理區域 | 付款者識別資訊、訂單編號、金額、幣別、付款·取消·退款狀態 | 使用者選擇之海外付款處理 | 付款請求時 TLS 傳輸 | 契約履行 | 依電子商務法之保留期間及 PayPal 政策規定期間 | 可不選擇海外付款，該付款方式將無法使用。 |
| Anthropic PBC (privacy@anthropic.com) | 美國 | AI 輸入·輸出及安全處理資訊 | 使用者選擇之 Claude 功能 | 功能使用時 TLS 傳輸 | 選擇性 AI 處理同意 | 功能提供所需期間及 Anthropic 契約·政策規定期間 | 可不使用 AI 功能或撤回同意，該功能將受限。 |
| OpenAI, L.L.C. (privacy@openai.com) | 美國 | AI 輸入·輸出及安全處理資訊 | 使用者選擇之 OpenAI 功能 | 功能使用時 TLS 傳輸 | 選擇性 AI 處理同意 | 功能提供所需期間及 OpenAI 契約·政策規定期間 | 可不使用 AI 功能或撤回同意，該功能將受限。 |
| Resend, Inc. (privacy@resend.com) | 美國 | 收件電子郵件、姓名、訊息與傳送紀錄 | 交易·帳號及服務電子郵件發送 | 發送時 TLS 傳輸 | 契約履行及處理委託 | 發送與故障因應所需期間及 Resend 契約·政策規定期間 | 若拒絕必要交易·帳號電子郵件處理，相關服務提供可能受阻。 |
使用者可於選擇性 AI 功能、選擇性分析或海外付款不使用，或撤回相關同意，以拒絕上述跨境傳輸。若拒絕登入認證、代管、資料庫或必要電子郵件發送等服務提供所必需之處理，相關功能或服務可能無法提供。相關詢問與會員退出請求，請於帳號的「個人資料與資料」功能或寄至 support@sheetmusic.kr。
第7條（AI 功能中的個人資料處理）
- AI 功能依使用者直接輸入之文字·圖片·檔案與產生結果，為功能提供、安 全性檢查、錯誤因應及使用上限管理之目的進行處理。
- 使用者不得將敏感資訊、身分證號碼等《個人資料保護法》所稱之唯一識別資訊，或未取得合法授權之他人非公開個人資料輸入至 AI 功能。
- 本服務不會將使用者之 AI 輸入·輸出作為自有通用模型之訓練資料。公司使用外部 AI 提供者之 API 或企業設定，若該設定支援，則會配置使輸入與輸出不被用於提供者之通用模型訓練。各提供者之保存期間與安全性審查方式，依所選模型與契約條件而異。
- AI 處理同意可於帳號的「個人資料與資料」隨時撤回。撤回前之處理合法性不受影響，撤回後 AI 功能將受限。
- 不適當之 AI 結果或個人資料相關之異議，可寄至 support@sheetmusic.kr 舉報。
第8條（行為資訊與 Cookie·本機儲存）
- 服務為維持登入、資安、語言設定、購物車與功能狀態，使用 Cookie 及瀏覽器本機·會話儲存。
- Google Analytics 4 在取得使用者同意後，可處理隨機產生之分析識別子、登入使用者之內部分析識別子、頁面路徑、服務使用事件、語言設定、裝置·瀏覽器資訊及存取時間。
- Cloudflare Web Analytics 與服務效能分析功能，可處理頁面請求、裝置·瀏覽器及網路相關資訊，實際識別方式與保留範圍依套用之產品設定而定。
- 分析同意可於橫幅或帳號的「個人資料與資料」拒絕或撤回。即使拒絕，核心服務仍可使用。
- 使用者可於瀏覽器設定中封鎖 Cookie，惟若封鎖必要 Cookie，登入·付款等部分功能可能無法運作。
第9條（資訊主體與法定代理人之權利）
- 資訊主體得於法律規定範圍內，請求查閱、更正·刪除、停止處理及撤回同意。亦可透過公司提供之個人資料匯出功能，取得個人資料副本。
- 請求可於帳號的「個人資料與資料」、電子郵件或電話提出，公司於確認本人或合法代理人身分後，依法律規定處理。
- 若因法律保留義務或可能侵害他人權益，部分請求可能受限，並將說明原因。
- 服務不允許滿14歲以下兒童註冊。公司若發現滿14歲以下兒童已註冊，將進行年齡驗證、限制帳號使用及刪除個人資料等必要措施。但依法需保留之資訊，仍於該期間內另行保存。
第10條（個人資料之銷毀）
- 逾越保留期間或達成處理目的之資訊，將立即銷毀。
- 依法需保留之資訊，將限制存取以防止其他用途，於期間屆滿後銷毀。
- 電子檔形式之個人資料，將以難以復原或再生之安全方式刪除或匿名化。
第11條（安全性確保措施）
- 管理措施：將可接觸個人資料之人員限制於必要範圍，並管理相關工作流程與保護基準。
- 技術措施：存取權限管理、認證與存取控制、傳輸區段 TLS 加密、重要資訊分離保存與資安弱點檢查。
- 物理措施：公司所使用之雲端與資料中心事業者之實體安全與出入管制。
- 事故因應措施：資安事故偵測、日誌檢查、備份·復原與事故評估·因應程序之運作。
第12條（個人資料保護負責人與權利行使受理）
個人資料保護負責人：趙昌賢（代表）
電子郵件：support@sheetmusic.kr
電話：070-4617-6352
第13條（權益侵害救濟）
- 個人資料侵害通報中心：118，privacy.kisa.or.kr
- 個人資料爭議調解委員會：1833-6972，www.kopico.go.kr
- 大檢察廳：1301，www.spo.go.kr
- 警察廳：182，ecrm.police.go.kr
第14條（處理方針變更）
處理方針變更時，將於服務及政策變更紀錄中公開實施日期與主要變更內容。對資訊主體之權利或義務產生重大影響之變更，將於法律規定期間或合理期間前另行通知。
補充條款
本個人資料處理方針自 2026 年 7 月 20 日起實施。