隱私與資安 · 2026 年 8 月 7 日更新
只蒐集維持服務所需的資料，也公開目前做不到的事
麥騙不要求註冊即可閱讀與使用公開工具。本站會記錄最小化的匿名流量與防濫用資料；查證輸入不會成為公開案例，也不會因為政策頁存在就代表零風險。
實際處理哪些資料
下表以目前正式站程式與資料表為準。未公開的圖片 OCR、外部 reputation、LINE／社群帳號與銀行帳戶資料源不會因列在產品規劃中就視為已蒐集。
| 情境 | 處理資料 | 目的 | 邊界 |
|---|---|---|---|
| 一般瀏覽 | 頁面路徑、來源網域、隨機工作階段 ID | 計算每日瀏覽、工作階段與自然搜尋入口 | ID 只放在 sessionStorage；瀏覽器只傳來源網域，伺服器只保存雜湊與來源網域，不接收完整來源網址 |
| 濫用防護 | 由連線資訊產生的每日輪替 HMAC | 限制查證與流量 API 的異常請求 | 不保存原始 IP；短期計數列帶有到期時間並漸進清理 |
| 文字／網址／電話／Email／錢包查證 | 送出前遮罩後的輸入與本次結果 | 完成規則與本站已驗證指標比對 | 輸入在本次 request 記憶體處理；目前不寫入流量表、事件表或查詢歷史 |
| QR Code | 使用者選取的 PNG／JPEG 與解碼文字 | 在瀏覽器本機解碼 | 圖片不送到伺服器；確認後只有解碼文字走既有遮罩與查證流程 |
| 家庭防詐清單 | 勾選狀態 | 協助同一頁操作 | 只存在目前頁面記憶體，重新整理即清除 |
| 管理後台 | HttpOnly session cookie、登入限制雜湊 | 限制管理功能與撤銷工作階段 | 僅管理者使用；一般訪客不會收到管理 session cookie |
瀏覽器及託管服務為建立網路連線仍會接觸 IP、User-Agent 與請求時間；麥騙應用程式不把原始 IP 或完整 User-Agent 寫入自有分析資料表，但不能把這句話延伸成所有基礎設施都不產生日誌。
保存與刪除：只承諾已有程式證據的部分
- 瀏覽 session：瀏覽器的隨機 ID 在分頁工作階段結束時由瀏覽器清除。
- 防濫用計數：資料列有到期時間，系統在後續請求時漸進刪除過期列。
- 每日流量：保存頁面路徑、每日聚合數字與每日雜湊 session。現行資料庫尚未建立自動保存期限，因此本站不虛構「幾天後必刪」；這是待完成的治理缺口。
- 查證輸入：不建立使用者查詢歷史；伺服器錯誤回應不應包含原始輸入。基礎設施日誌的實際保存仍受服務商設定約束。
服務提供者、資料位置與外部連結
正式站由 Zeabur 託管，資料庫使用 Supabase；文章圖片由 ad360-assets.hipro.cc 提供。這些服務可能在台灣以外處理網路連線、執行應用或保存資料。本站尚未公開可複核的處理地區清單、DPA、次處理者清單與基礎設施日誌期限，因此不宣稱資料只留在台灣。
點擊 165、警方、政府、平台或其他外部網站後，對方會依自己的政策處理資料；外部連結不代表麥騙能存取你在該站提交的內容。
你可以控制什麼，以及目前權利管道的缺口
- 關閉頁面或清除該網站的 sessionStorage，可移除瀏覽器中的匿名 session ID；這不會回溯刪除已聚合的每日流量。
- 不使用查證送出按鈕，仍可閱讀所有文章、指南與緊急止損內容。
- 依台灣個資法，當事人可能依法行使查詢、閱覽、複製、更正、停止處理／利用或刪除等權利；是否適用仍取決於資料能否識別與個案事實。
重要未完成：本站目前沒有對外可用、可驗證身分且能安全收件的權利請求管道，也沒有足以識別匿名 session 雜湊的公開查詢工具。這不是拒絕權利的理由，而是正式營運仍須補齊的 P0 治理缺口；在管道完成前，請不要把個資公開貼到社群或私人程式庫 Issue。
已實作的資安措施，不等於絕對安全
- 全站安全標頭、HTTPS、輸入長度與格式限制、匿名 Rate Limit、管理 session 雜湊與 HttpOnly cookie。
- 網址分析不主動連線，封鎖私網、保留網域、IP literal、危險協定與內嵌 credentials。
- OTP、卡號、身分識別碼、明確標示的銀行帳號與常見密鑰形狀會在建立查證 request 前遮罩，API 再套用同一規則；這不是完整 DLP。
- QR 圖片限制格式、檔案大小、尺寸與像素數，且不自動開啟解碼網址。
沒有任何網站能保證零事故。若懷疑自己的金融、帳號或裝置資料已外洩，先使用緊急止損，不要等待本站調查。
政策變更、適用範圍與參考依據
本政策適用於 https://mypen.cc/ 的公開網站與自有 API。重大變更會更新頁首日期並在此說明；若實際程式與本文不一致，應先以較少蒐集、較短保存及停止不必要處理為修復方向，並依更正政策留下紀錄。
上述資料用來解釋告知與安全設計，不代表法務部、OWASP、Zeabur 或 Supabase 為麥騙背書，也不構成針對個案的法律意見。