KORA 私隱政策（Privacy Policy）

版本 v1.1（中文參考譯本）— 英文正本見 kora-privacy-policy-en_v1.1_PUBLISH.md，以英文版為準

生效日期：2026 年 8 月 1 日　最後更新：2026 年 8 月 12 日

如本政策中英文版本有任何歧異，概以英文版本為準。

1. 我們是誰及如何聯絡

1.1 本私隱政策由 We Aries Group Limited（於香港註冊成立之有限公司，以「KORA」品牌營運，下稱「本公司」、「我們」）發出，說明我們如何收集、使用、披露及保障個人資料。KORA 為 AR Phoenix Technology Limited 品牌旗下產品。

1.2 本政策適用於：(a) KORA 網站（kora.arphoenix.com）之訪客；(b) 註冊使用 KORA 服務之客戶及其授權使用者；及 (c) 透過客戶網站上之 KORA 對話視窗（「Widget」）與 AI 對話之終端用戶（適用範圍見第 4 條）。

1.3 如對本政策或個人資料處理有任何查詢或要求，請聯絡：aikora@arphoenix.com。

1.4 我們遵守香港《個人資料（私隱）條例》（第 486 章）（「條例」），包括其六項保障資料原則。

2. 我們收集哪些資料

(a) 帳戶及註冊資料 — 公司名稱、聯絡人姓名、職位、公司電郵、公司規模、行業、公司網站、密碼（以單向加密雜湊演算法處理後儲存，我們無法還原明文）及註冊來源。

(b) 付款資料 — 信用卡資料由第三方支付服務商 Stripe, Inc. 直接收集及處理；我們不儲存完整卡號，僅保留收費紀錄所需之有限資料（如卡末四位數、收費狀態、訂閱識別碼）。

(c) 客戶上載內容 — 客戶為建立 AI 知識庫而上載之文件及輸入之內容。如該等內容包含個人資料，客戶須確保其有權提供。

(d) 終端用戶對話紀錄 — 終端用戶透過 Widget 輸入之訊息及 AI 回覆（詳見第 4 條）。

(e) 技術及使用資料 — IP 位址、瀏覽器類型、裝置資料、頁面瀏覽及事件紀錄（包括 Google Analytics 4 所收集者）、來源參數（UTM）、cookies（見第 10 條）。

除標明為必須之欄位外，提供個人資料屬自願性質；惟如未能提供註冊、驗證或付款所需之資料，我們可能無法向閣下提供本服務或其部分功能。

3. 收集及使用目的

3.1 我們基於以下目的使用上述資料：

3.2 我們不會用你的資料訓練語言模型。我們不會使用客戶內容或終端用戶對話內容，訓練、微調（fine-tune）或以其他方式改動任何大型語言模型或通用人工智能模型，不論該模型屬我們或任何第三方所有。KORA 採用檢索增強生成（RAG）技術——AI 模型僅於生成回覆時檢索相關知識庫內容；你的資料不會成為任何語言模型之訓練數據，亦不會被納入其模型參數。

為求透明，我們在此說明：第 3.5(b) 條所述之服務改善，可能包括建立或調校輔助性分類模型（例如判斷查詢意圖之分流器、偵測不當內容之安全過濾器）。該等模型並非語言模型，不會生成回覆內容，亦不會儲存或重現任何對話原文；其建立及調校一律只使用按第 3.5(b) 條去識別化處理後之資料。

3.3 我們只會為與收集目的直接相關之用途使用個人資料；如需作新用途，我們將依照條例取得訂明同意。

3.4 直接促銷。我們擬使用客戶聯絡人之姓名及電郵地址，向其發送有關 KORA 及本公司相關服務之推廣資訊（例如功能更新、優惠及活動）。除非已獲閣下同意（或不反對之表示），我們不會如此使用閣下之個人資料。每次促銷訊息均會提供免費之拒收途徑；閣下亦可隨時電郵 aikora@arphoenix.com 要求停止接收，我們將在不收費之情況下依從。

3.5 我們如何使用對話資料改善服務。在第 3.2 條所訂限制之前提下，我們會以下列方式使用對話資料改善服務品質：

(a) 就個別客戶（租戶範圍內） — 我們會使用某一客戶之對話紀錄，改善該客戶自身之 AI 客服表現，例如整理該客戶專用之優良回覆範例、優化該客戶之意圖分流及回覆規則。此等用途不會跨越至其他客戶。

(b) 就整體服務（去識別化後） — 我們會將對話資料經去識別化處理後，用於改善 KORA 之整體品質，包括優化系統指令及回覆邏輯、提升意圖分流準確度，以及建立自動化安全過濾機制及品質測試集。

(c) 不作跨客戶使用 — 任何客戶之知識庫內容或可識別之對話內容，均不會用於生成向其他客戶或其終端用戶顯示之回覆。

(d) 客戶聯絡人資料除外 — 第 2(a) 段所述之帳戶及註冊資料（包括聯絡人姓名、公司電郵及職位）不會用於上述任何改善用途。

4. 終端用戶對話如何處理（Widget 使用者請閱讀）

4.1 終端用戶透過 Widget 輸入之內容，會傳送至我們之系統以生成 AI 回覆，並會儲存為對話紀錄，供相關客戶（即該網站之營運者）於其管理後台查閱及用於改善其客服設定。對話紀錄只保存三十（30）日，其後自動清除（見第 7.2 條）。

4.2 就終端用戶對話中之個人資料而言，相關客戶為資料使用者，我們僅代該客戶處理。除第 3.5 條所訂之服務改善用途外，我們不會為本身目的使用可識別個人身分之對話內容；而跨客戶之整體服務改善，一律只使用經去識別化之資料（見第 3.5(b)、(c) 條）。終端用戶如欲查閱或改正其對話中之個人資料，應首先聯絡該網站之營運者；亦可透過 aikora@arphoenix.com 聯絡我們，我們將轉介相關客戶跟進。

4.3 請勿於對話中提供不必要之敏感個人資料（如身份證號碼、完整信用卡號、醫療紀錄）。AI 回覆屬自動生成，僅供參考。

4.4 對話內容會經由我們之雲端基礎設施（見第 5、6 條）處理，包括由 AWS Bedrock 上之 AI 模型生成回覆。

4.5 對話開始前之提示。KORA 之 Widget 會於對話開始前向終端用戶顯示提示，說明：(a) 該對話由第三方服務供應商 KORA（We Aries Group Limited）提供支援；(b) 對話內容會被記錄及儲存，並供該網站營運者查閱；及 (c) 內容可能經去識別化後用於改善服務品質（見第 3.5 條）。終端用戶如不接受上述安排，可選擇不使用該對話視窗，改以該網站營運者提供之其他途徑聯絡。我們要求各客戶不得移除或隱藏該提示。

5. 資料披露對象

5.1 我們不會出售個人資料。我們僅於以下情況披露個人資料：

(a) 服務供應商（分處理者）：

(b) 法律要求 — 應法律、法院命令或監管機構之合法要求；

(c) 業務轉讓 — 於合併、收購或業務重組時向承讓方披露（承讓方須繼續受同等私隱保障約束）。

5.2 我們與服務供應商訂有合約安排，要求其僅按我們指示處理個人資料並採取足夠保安措施。

6. 跨境資料轉移

6.1 我們之伺服器及資料庫位於 AWS 亞太（東京）區域（ap-northeast-1）。閣下之個人資料會被轉移至香港以外（主要為日本）儲存及處理。此外，我們之網站分析服務供應商（Google LLC）及支付服務商（Stripe, Inc.）會於美國或其他地區處理相關之技術、使用及付款資料。

6.2 我們會採取合理步驟（包括合約及技術措施，如加密及存取控制），使被轉移之個人資料獲得與香港標準相若之保障。

7. 資料保存期

7.1 帳戶資料及客戶上載內容。客戶之帳戶及註冊資料，以及其上載之知識庫內容，於客戶訂閱存續期間保存。

7.2 終端用戶對話紀錄——三十日滾動保留。對話紀錄（包括終端用戶訊息及 AI 回覆）自該對話結束起保存不超過三十（30）日，其後由系統自動清除，不論訂閱是否仍然生效。此為平台層面之統一設定，目的在於控制資料存量並避免不必要地保留個人資料。

客戶如需保留較長時間之對話紀錄，應自行於管理後台查閱及另行備存。

為免生疑問，由對話衍生而不包含可識別個人資料之聚合統計及品質評分（例如對話評分），以及按第 3.5(b) 條處理之去識別化資料集，不受本項三十日期限限制。

7.3 訂閱終止後。訂閱終止後（終止生效日之釐定見服務條款第 11.4(a) 條），第 7.1 條所述之帳戶資料及客戶上載內容將保留不超過九十（90）日，且僅限用於下列合規用途：(a) 系統備份及災難復原；(b) 完成結算、發票、稅務及會計紀錄；(c) 處理或抗辯未了結之爭議、申索或投訴；(d) 應法律、法院命令或監管機構之合法要求。該期間內我們不會為任何其他目的使用該等資料。期滿後刪除或匿名化，惟法律要求較長保存期者（例如稅務及會計紀錄）除外。

對話紀錄不在本條九十日保留期之內。對話紀錄一律僅按第 7.2 條之三十日滾動期限處理，該期限不因訂閱終止而延長。故訂閱終止時仍然存在之任何對話紀錄，最遲於終止生效日之後第三十（30）日清除，在任何情況下均早於上述九十日期間屆滿。其後不會為任何目的繼續保存，包括上列之合規用途在內。

因此，訂閱結束後我們所持有者僅包括：(a) 帳戶及註冊資料；(b) 客戶上載之內容——知識庫文件、補充知識條目、品牌資料，以及規則層及技巧層設定；及 (c) 終止前最多三十日內之對話紀錄，並按上述方式清除。

7.4 技術日誌。保存不超過三十（30）日，其後刪除或去識別化。聚合及去識別化之分析資料，在其確已不能識別任何個人之範圍內，不受上述期限限制。

8. 資料保安

8.1 我們採取合理可行之措施保障個人資料，包括：傳輸加密（HTTPS/TLS）、儲存層存取控制、多租戶資料隔離（每客戶獨立資料架構）、員工權限分級及最小權限原則。我們亦採取合理可行步驟，確保所持個人資料準確及不超過所需時間保存。

8.2 惟互聯網傳輸並非絕對安全，我們無法保證絕對之資料保安。如發生涉及個人資料之重大保安事故，我們將依適用法律及指引通知受影響人士及／或私隱專員公署。

9. 你的權利

9.1 根據條例，閣下有權：(a) 查詢我們是否持有閣下之個人資料；(b) 要求查閱該等資料；(c) 要求改正不準確之資料。

9.2 查閱或改正要求請發送至 aikora@arphoenix.com。我們將於條例訂明之四十（40）日內依從；如未能依從，將於四十日內通知閣下並在切實可行範圍內盡快處理。處理查閱要求或會收取不超乎適度之費用。

9.3 終端用戶就 Widget 對話之權利行使，見第 4.2 條。

9.4 如閣下對我們處理個人資料之方式有任何投訴，請先聯絡我們（aikora@arphoenix.com）；閣下亦有權向香港個人資料私隱專員公署（www.pcpd.org.hk）作出投訴。

10. Cookies 與分析

10.1 我們之網站使用 cookies 及類似技術：(a) 必要 cookies（登入狀態、保安）；(b) 分析 cookies（Google Analytics 4，用於了解網站使用情況及行銷渠道成效，包括 UTM 參數歸因）。

10.2 閣下可透過瀏覽器設定拒絕或刪除 cookies；拒絕必要 cookies 可能影響網站功能。

11. 兒童

本服務面向企業，不以未滿 18 歲人士為對象。我們不會故意收集未滿 18 歲人士之個人資料；如發現我們自行收集之資料有此情況，我們將盡快刪除；如於 Widget 對話紀錄中發現，我們將通知相關客戶跟進處理。

12. 政策更新

12.1 我們可不時修訂本政策。重大變更將於生效前至少三十（30）日透過網站公告或電郵通知。本頁頂部之「最後更新」日期顯示最新版本日期。

12.2 於變更生效後繼續使用本服務，即表示閣下已知悉更新後之政策。