1. 我們是誰及適用範圍
本隱私權政策說明 OmniWallet 營運者（以下稱「我們」）於提供「OmniWallet」（以下稱「本服務」，包括我們的網站、商戶後台、託管付款頁面、POS 與商戶 App 及 API）時，如何蒐集、處理、利用、分享及保護個人資料。營運者之完整法定名稱及登記地址，將於本政策生效前載明於此。
本政策適用於商戶之代表人及人員（包括於商戶審核過程中，我們所取得其資料之董事、實質受益人及授權代表人）、透過本服務向商戶付款之付款人，以及我們網站之訪客。本政策未定義之用語，依服務條款之定義。
就本政策所述之大部分處理，係由我們決定處理個人資料之目的與方式。我們為商戶執行付款而處理付款人資料時，則係代表該商戶處理（詳第 12 條）。
2. 我們蒐集之個人資料
- 帳戶資料：商戶使用者之姓名、電子郵件、電話號碼（如有提供）、登入憑證、2FA 設定，以及其角色與權限。
- 審核（KYB）資料：公司登記資料；董事、實質受益人及授權代表人之資料與身分證明文件；業務說明、網站或 App、預估交易量及資金來源；較高風險情形之補充資料；以及制裁名單與重要政治性職務人士（PEP）之篩查結果。
- 交易資料：付款金額與資產、收款地址與付款來源地址、結算錢包與白名單地址、交易雜湊、時間與狀態，以及結算、出款與換幣紀錄。
- 付款人資料：商戶傳送予我們或付款人於託管頁面輸入之資料（例如電子郵件），以及付款人之 IP 位址。
- 技術資料：IP 位址、瀏覽器及裝置資訊（user agent）、系統日誌與稽核日誌；如您使用商戶 App，另包括配對 App 及傳送通知所需之裝置與推播權杖（token）。
- Cookie 與偏好設定：工作階段及安全用途之 Cookie，以及語言等偏好設定（詳第 10 條）。
- 通訊內容：您與我們聯繫（例如來信 support@ewin888.com）時所提供之內容。
區塊鏈交易（包括地址、金額及交易雜湊）均記錄於公開區塊鏈，任何人皆可查閱，我們或任何其他人均無法變更或刪除。
如您未提供註冊或審核所需之資料，我們可能無法為您開立帳戶、開通正式收款或繼續提供本服務。
3. 個人資料之來源
我們自下列來源取得個人資料：
- 直接由您提供，例如您註冊、完成審核、使用商戶後台或與我們聯繫時；
- 由與您相關之商戶提供，例如商戶將您列為董事、實質受益人、代表人或使用者，或將您作為其付款人或子帳戶使用者之資料傳送予我們；
- 由付款人於託管頁面輸入；
- 於您使用我們的網站、商戶後台、App 或 API 時，自您的裝置及我們的系統自動蒐集；
- 公開區塊鏈及區塊鏈資料供應商；及
- 我們所使用之制裁名單及其他篩查來源（例如 OFAC、聯合國及歐盟制裁名單、ScamSniffer 詐騙名單及 Tether 凍結名單），以及 PEP 篩查所用之來源。
4. 蒐集、處理及利用之目的與依據
我們為下列目的蒐集、處理及利用個人資料：
- 提供本服務：開立及管理帳戶；處理付款、結算、出款及換幣；傳送服務與安全通知（包括推播通知）；以及提供客戶支援。
- 商戶審核與法令遵循：依 AML／KYC 政策 進行 KYB、制裁名單與 PEP 篩查、交易篩查與監控、紀錄保存及申報。
- 安全與防制詐欺：身分驗證、機器人防護、存取控制、稽核日誌，以及濫用行為之調查。
- 營運及改善本服務：問題排除、系統維護及服務統計。
- 法律事務：履行法定義務、回應合法要求，以及建立、行使或防禦法律上之請求。
依適用法令，我們之依據包括：履行與您或商戶間之契約（或締約前之必要措施）；履行我們的法定義務；我們為營運安全合法之金流服務、防制金融犯罪及保護我們的權利所具之正當利益（以您的權益未優先於該等利益者為限）；以及於法令要求時取得您的同意（例如您於裝置上啟用推播通知時）。您得隨時撤回同意，但不影響撤回前所為處理之合法性。
我們不會出售個人資料，亦不使用廣告追蹤技術。除法令許可外，我們不會將個人資料用於與上述目的不相容之用途。
5. 資料分享與服務供應商
我們僅於本政策所述情形分享個人資料。我們的服務供應商依我們的指示處理個人資料，並負有適當之保密及安全義務，包括：
- Cloudflare：代管我們的網站、API 及資料庫（Cloudflare Pages 與 Workers；資料庫主要位於亞太地區，並透過 Cloudflare 全球網路提供服務），以及機器人防護（Cloudflare Turnstile）；
- 電子郵件服務供應商：Cloudflare Email Service 或其他電子郵件服務供應商（例如 Resend），用以寄送驗證、安全及服務通知郵件；
- 區塊鏈基礎設施供應商：RPC／節點及區塊瀏覽器 API 供應商，於我們查詢區塊鏈時會取得區塊鏈地址及交易雜湊；
- Google Fonts：我們的網站自 Google 載入字型，您瀏覽網站時，Google 將取得您的 IP 位址及瀏覽器資訊；及
- 推播通知供應商：例如 Expo、Apple 及 Google，用以傳送商戶 App 之通知。
此外，我們亦可能將個人資料提供予：相關商戶（例如向該商戶付款之付款資訊及付款人資料）；依法令要求或為保護權利及安全所必要時，提供予主管機關、法院及執法機關（包括防制洗錢及制裁相關之申報）；負有保密義務之專業顧問及稽核人員；以及於我們進行組織調整、合併或營業讓與時之繼受者，並應受本政策之拘束。
6. 國際傳輸
我們的基礎設施運行於 Cloudflare 全球網路，資料庫主要位於亞太地區。我們的服務供應商可能於其他國家或地區處理個人資料，當地之個人資料保護法令可能與您所在地不同。
於適用法令要求時，我們將採取適當措施（例如契約上之保護措施），保護國際傳輸之個人資料，並遵守主管機關對國際傳輸所為之限制。
7. 保存期間
我們僅於達成本政策所述目的（包括法律、會計及法令遵循要求）之必要期間內保存個人資料：
- 審核（KYB）資料、交易紀錄（包括相關之付款人資料），以及篩查與法令遵循紀錄：於業務關係存續期間，及業務關係終止後至少五年；法令要求更長期間者，從其規定；
- 帳戶資料：於帳戶存續期間，及其後為保存前述紀錄或處理爭議所必要之期間；
- 技術日誌與稽核日誌：於安全、問題排除及稽核目的所必要之期間；及
- 測試環境資料：可能隨時重置或刪除。
個人資料於不再需要時，我們將予以刪除或匿名化。記錄於公開區塊鏈上之資料無法刪除。
8. 資料安全
我們採取技術上及組織上之措施，以保護個人資料及資金，包括：
- 以角色為基礎之權限管理；帳戶擁有者、管理員及具出款或修改白名單權限之角色，必須啟用 2FA；
- 登入工作階段使用 HttpOnly Cookie；API 金鑰僅以雜湊形式儲存，並只顯示一次；
- 具出款權限之 API 金鑰須設定 IP 白名單；
- 就重要之帳戶及安全操作留存稽核日誌；及
- 以獨立之簽名服務保管私鑰，該服務僅依政策簽署其自行組成之交易。
任何系統均無法確保絕對安全。如發生個人資料外洩事故，我們將依適用法令通知受影響之當事人及主管機關。詳細說明請見安全頁面。
9. 您的權利
依適用法令，您得就您的個人資料行使相關權利。依臺灣個人資料保護法之規定，您得：
- 查詢或請求閱覽；
- 請求製給複製本；
- 請求補充或更正；
- 請求停止蒐集、處理或利用；及
- 請求刪除。
如適用歐盟一般資料保護規則（GDPR）或類似法令，您另得請求限制處理、反對處理、行使資料可攜權、隨時撤回同意，並得向資料保護主管機關提出申訴。
如欲行使權利，請來信 support@ewin888.com。我們可能須先確認您的身分，並將於法定期間內回覆；於法令許可之範圍內，得酌收必要成本費用。於法令許可時（例如依防制洗錢法令須保存紀錄），我們得拒絕或限制您的請求。如我們係代表商戶處理您的資料，得將您的請求轉交該商戶處理。
10. Cookie 與本機儲存
我們僅為運作本服務而使用 Cookie 及類似技術，包括維持登入狀態之工作階段 Cookie（設為 HttpOnly），以及協助防範機器人與濫用行為之安全 Cookie。語言等偏好設定則儲存於您瀏覽器之本機儲存空間（local storage）。
我們不使用廣告或跨站追蹤 Cookie。我們的網站自 Google Fonts 載入字型，Google 將因此取得您的 IP 位址（詳第 5 條）。
您可於瀏覽器設定中封鎖或刪除 Cookie，惟本服務之部分功能（例如登入）將因此無法使用。
11. 兒童
本服務係供事業使用，並非以兒童為對象。代表商戶使用本服務之自然人須已成年。我們不會在知情之情況下蒐集兒童之個人資料；如您認為有兒童向我們提供個人資料，請來信 support@ewin888.com，我們將採取適當措施，包括於法令許可時予以刪除。
12. 商戶對付款人資料之責任
我們為商戶執行付款而處理付款人資料時，係代表該商戶並依其指示處理；我們為履行自身之防制洗錢、制裁、安全及法定義務而處理付款人資料時，則自行決定處理之目的與方式，為獨立之資料控管者。
商戶應自行負責其客戶之隱私保護，包括：向客戶提供涵蓋使用 OmniWallet 之適當隱私權告知、具備將付款人資料提供予我們之合法依據、僅提供付款所需之資料，以及處理其客戶之請求。商戶為其使用者建立子帳戶時，亦同。
如您是付款人，對商戶如何使用您的資料有任何疑問，請洽詢您付款之商戶；您亦可來信 support@ewin888.com 與我們聯繫。
13. 本政策之修訂
我們得隨時修訂本政策，現行版本以頁面所示「最後更新」日期為準。如有重大修訂，我們將於生效前以電子郵件或商戶後台通知商戶，或於網站上公告。
14. 聯絡我們
如對本政策有任何疑問或欲行使您的權利，請來信 support@ewin888.com。營運者之完整法定名稱及登記地址，將於本政策生效前載明於此。