安全與資料處理

一、商家的 LINE 憑證

加密後才寫進資料庫

Channel secret 與 access token 以 AES-256-GCM 加密儲存，每次加密都用新的隨機 IV。你自己填的 AI 供應商金鑰（BYOK）走同一套加密。

主金鑰不在資料庫裡

解密用的主金鑰只存放在 Cloudflare Workers Secret，不寫進資料庫、不進版本控制、也不會出現在任何錯誤訊息或日誌裡。

明文只存在呼叫的那一瞬間

憑證解密後只在記憶體中存在到送出 LINE API 請求為止，不落地、不記錄。

二、帳號與登入

密碼經過雜湊，不可還原

使用 PBKDF2-SHA256、10 萬次迭代。（沒有沿用登入套件預設的 scrypt——Workers 有 CPU 時間上限，scrypt 會超時。）

登入次數限制

登入、註冊、改密碼為 10 秒 3 次；密碼重設信 60 秒 3 次。計數寫在資料庫而非記憶體，所以在多節點環境下真的會累加。

登入與註冊都有真人驗證

使用 Cloudflare Turnstile。正式環境若驗證服務未設定，會直接擋下請求而不是放行。

同一組帳號只能有一個登入中的裝置

在別的裝置登入後，先前的登入階段會失效。

平台管理後台強制兩階段驗證

我們自己用來管理平台的後台，未綁定 TOTP 一律擋下，沒有例外。商家帳號的兩階段驗證目前是選用的，可在帳號設定開啟。

三、資料隔離

每一筆查詢都帶商家識別

不同商家的資料存在同一個資料庫，靠每一筆查詢的商家條件隔開。

有測試在守這件事，而且是反過來測的

隔離測試除了驗證「跨商家讀不到」，還刻意用一段沒有隔離條件的查詢證明資料本來會外洩——確保測試不是形式上通過。

四、AI 怎麼處理你的資料

用內建 AI 時，由平台選用的 AI 運算服務處理

客人的訊息會送到 AiLync 選用並持續評估的 AI 運算服務處理（以 Cloudflare Workers AI 為保底），用來產生這一則回覆。不同服務對收到的內容有各自的處理規則，我們持續評估並在此頁與隱私說明維持更新。我們不會把商家或客人的資料交給上述服務以外的任何人。

用自己的金鑰時，我們不碰內容

你填自己的 OpenAI／Gemini／Claude 金鑰時，請求直接送往你指定的供應商。金鑰解密後不落地、不寫進日誌。

除此之外不外送

除了上面兩種 AI 處理方式，程式裡沒有把商家資料送往其他地方的路徑。我們不販售、不交換、不拿你的客戶資料訓練模型。

五、保留與刪除

對話紀錄

免費方案 90 天、一般方案 180 天、商業方案不自動清除。可以依你的要求單獨調整保留天數。

錯誤紀錄

90 天後自動清除。

隨時可以整包匯出

客戶名單、對話紀錄、訂單、商品、推播等 17 類資料可由帳號擁有者匯出。匯出檔不包含加密的憑證欄位。

刪除帳號有 7 天寬限期，之後真的刪掉

提出刪除後立即登出所有裝置、停止服務；7 天內可反悔。過期後逐表硬刪除，圖床檔案會先清掉，清不掉就整個中止不繼續，避免留下無人管理的檔案。

六、我們用到的外部服務

Cloudflare

運算、資料庫（D1）、檔案儲存（R2）、圖片處理、內建 AI、真人驗證（Turnstile）、流量統計

平台選用的 AI 運算服務

產生內建 AI 回覆；各服務有各自的內容處理規則

Resend

寄送驗證信與密碼重設信

LY Corporation（LINE）

透過 LINE Messaging API 收送訊息

你自選的 AI 供應商

僅在你填入自己的金鑰時；由你與該供應商直接往來

七、我們還沒有的

AiLync 是一個小團隊做的新產品。以下這些東西目前沒有， 如果它們是你的採購條件，現階段我們可能還不適合你：

• 沒有第三方滲透測試報告，也沒有做過外部安全稽核。
• 沒有 SOC 2、ISO 27001 或任何資安認證。
• 沒有服務水準協議（SLA），也沒有公開的服務狀態頁。
• 沒有 24 小時值班。發生問題時我們會盡快處理，但不是全天候待命。
• 沒有自建的備份機制。資料存放在 Cloudflare 的託管服務上， 我們沒有另外做應用層備份與還原演練。重要資料請自行定期匯出（見上方第五段）。

這些會隨著產品成熟逐步補上。在補上之前，我們選擇寫清楚，而不是模糊帶過。

八、發現問題請告訴我們

如果你發現任何安全性問題，請寄到 service@aileadsapp.com， 標題註明「安全回報」。請盡量附上重現步驟。我們會盡快回覆並處理， 也請你在我們修好之前先不要公開細節。

服務若發生影響商家運作的事故，我們會以 Email 通知受影響的帳號。 資料處理的完整說明見隱私權政策， 服務範圍與責任見服務條款。