隱私權政策
最後更新：2026-09-09 · 營運者：源傑企業社
一、這份政策在講什麼
Foldra（foldra.org，以下稱「本服務」）是一個 PDF 轉檔與編輯的網站。
這份政策說明我們會碰到哪些資料、碰多久、給了誰，以及你可以要求我們做什麼。
我們對這件事的基本立場是：能不碰的就不碰。 本服務有一部分功能完全在你的瀏覽器裡完成，我們的伺服器從頭到尾看不到那些檔案； 需要上傳的功能，介面上都有明確標示。
二、我們處理哪些資料
2.1 你上傳的檔案
- 保存時間：轉檔完成後 60 分鐘內硬刪。不做備份、不進備援、不留快照。
- 暫存目錄使用
tmpfs（記憶體檔案系統），容器重新啟動不會留下殘留。 - 不記錄檔名。檔名本身就可能是個人資料 —— 例如「王小明_離職證明.pdf」——所以我們的紀錄裡不寫檔名。
- 不分析、不留存檔案內容，不用於任何模型訓練、統計或商業用途。
2.2 完全不上傳的功能
合併、分割、旋轉、刪除頁面、加浮水印這五項在你的瀏覽器內完成。 檔案從未離開你的電腦，我們的伺服器不會收到任何位元組。
網頁的 CSP 把可連線的位址限制在本站與我們自己的轉檔 API
（connect-src 'self' https://api.foldra.org），
所以你的檔案在技術上不可能流向第三方。
至於這五項功能連我們的伺服器也不呼叫，按 F12 打開網路分頁就看得到 ——
用一次，那裡不會有任何請求。
2.3 伺服器紀錄
為了維持服務與防止濫用，伺服器會記錄下列項目：
- 來源 IP 位址、時間、使用的端點、HTTP 狀態碼、處理耗時
- 檔案大小與頁數等統計數字（不含檔名，也不含檔案內容）
這些紀錄用於偵測異常流量與排查故障，保存期限最長 30 天。
2.4 付款與同意紀錄
你付費時，我們會保留下列紀錄 —— 這是法律要求的憑據，不是行銷資料：
- 訂單編號、金額、時間、方案內容、付款狀態
- 金流服務商回傳的交易序號與卡片末四碼 —— 出事時要靠這兩個在金流後台找到同一筆交易， 沒有它們就無法對帳，也無法證明某一筆款項確實收到過
- 你同意排除七日解除權的時間，以及當時的條款版本 （依《通訊交易解除權合理例外情事適用準則》第 2 條， 該項排除以「經告知並事先同意」為要件，因此必須留存憑據）
完整卡號、有效期限與安全碼由金流服務商直接蒐集，我們看不到，也不會保存。
依《商業會計法》與稅務規定，交易與發票紀錄的保存期限依法辦理，不適用 60 分鐘的檔案刪除規則 —— 那條規則適用於你上傳的檔案，不適用於交易憑證。
2.5 存在你瀏覽器裡的東西
下列資料存放在你的瀏覽器本機儲存（localStorage），不會傳到我們的伺服器：
- 介面語言偏好
- 報價單產生器的「報價方」資料與付款條件（讓你下一張不用重打）
- 簽名圖章的位置記憶
清除瀏覽器資料就會一併消失。本服務不使用任何廣告或分析追蹤 Cookie。
2.6 會員帳號
你註冊之後，我們保存下列項目：
- Email 位址 —— 用來登入、寄認證信與重設密碼信。
- 密碼的雜湊值與鹽值（scrypt）。我們沒有你的密碼原文， 也無法還原它 —— 忘記了只能重設，不能查詢。
- 註冊時間、Email 認證完成時間、體驗期與付費期的到期時間。
- 你綁定的裝置：一組隨機代號與你自己的裝置名稱（最多兩台）。 那組代號是你的瀏覽器產生的，不是我們指派的追蹤識別碼， 清除瀏覽器資料就會換一組。
- 一次性連結（認證、重設密碼）的雜湊值與到期時間 —— 原文只存在那一封信裡，我們這邊沒有。
2.7 免費額度的計數
未註冊時每台裝置有 5 次免費額度。為了讓這個額度有意義，我們記錄：
- 裝置代號（同上，由你的瀏覽器產生）的用量計數
- IP 位址的雜湊值 —— 以我們伺服器的密鑰做 HMAC-SHA256 後只取前 32 個字元。我們的資料庫裡沒有你的 IP 原文， 而且沒有那把密鑰就算不回去。這是為了防止「清掉瀏覽器就無限次」， 不是為了辨識你是誰。
2.8 客服工單與你附上的截圖
你從「客服聯絡」寄訊息給我們時，我們保存：
- 你選的問題類型、主旨、訊息內容，以及你填的 Email 位址 —— 那是我們回覆你的唯一方式。
- 你附上的 JPG 截圖（最多 10 張）。 送出前會在你的瀏覽器裡縮小（長邊 1600 像素、重新壓縮）， 我們收到的是縮小後的版本，不是你手機或電腦上的原檔。
- 建立時間，以及管理員有沒有標記為「已回覆」。
截圖裡有什麼，我們就會看到什麼。那是這個功能的目的 —— 你截的是出問題的畫面，而畫面上可能剛好有你的文件內容。 所以請只截你需要我們看的那一塊， 而且它跟 2.1 的轉檔檔案不一樣，不適用 60 分鐘刪除： 一封客服信如果附件先消失了，這封信就沒有意義。
保存期限：截圖 90 天後自動刪除，工單本文 1 年後自動刪除。
這兩個數字由一支每天執行的排程程式執行（ticket-cleanup），
不是我們記得的時候才做。你也可以隨時來信要求提前刪除。
截圖不會夾在通知信裡寄給任何人。通知信只寫「附了幾張」， 圖留在我們的後台 —— 多寄一份副本就多一個地方要管， 而且信件退信的時候整封會不見。
三、我們為什麼可以處理這些資料
依《個人資料保護法》第 19 條，我們處理上述資料的法律依據是：
- 履行契約所必要：你要求轉檔，我們必須讀取該檔案才能完成。
- 正當利益：伺服器紀錄用於資訊安全與服務穩定，範圍限於必要。
四、我們把資料交給誰
| 對象 | 做什麼 | 會接觸到什麼 |
|---|---|---|
| Hetzner Online GmbH（德國） | 主機代管 | 轉檔期間暫存於該主機的檔案 |
| Netlify, Inc.（美國） | 前端網頁託管 | 網頁本身；不經手任何上傳的檔案 |
| 金流服務商 | 付款處理 | 付款所需資料，由該服務商直接蒐集；我們不接觸完整卡號 |
除上述必要的技術服務商外，我們不販售、不交換、不出租你的任何資料。 唯有依法院裁定或法律明文要求時，才會在必要範圍內提供。
五、跨境傳輸
轉檔主機位於德國，前端託管於美國。 使用本服務即表示你了解資料會傳輸至我國境外，並依各該服務商的資料保護條款處理。
六、你的權利
依《個人資料保護法》第 3 條，你可以就我們保有的個人資料， 向我們請求查詢、閱覽、製給複製本、補充或更正、停止蒐集處理利用，或請求刪除。
實務上要提醒：上傳的檔案在 60 分鐘後就已經刪除， 逾時之後我們沒有東西可以交付或刪除 —— 不是拒絕，是真的不存在。
六之一、歐洲經濟區與英國：不提供服務
本服務不對歐洲經濟區（EEA）與英國提供服務，也未針對該等市場進行招攬。
- 來自該等地區的連線會在網站與 API 兩端被拒絕（HTTP 451）， 請求不會被處理，也不會留下個人資料。
- 我們不以該等地區的語言進行招攬、不標示該等地區的貨幣， 也不提供該等地區的在地付款方式。收款以新台幣計價， 由臺灣的金流服務商處理。
- 我們不會依發卡地區篩選支付工具 —— 金流服務商回傳的資訊 只區分國內卡與國外卡，不含發卡國別，所以我們做不到，也不宣稱做得到。 擋在前面的是上一點的連線封鎖。
- 本服務的介面語言與可用地區清單，反映我們實際服務的市場。
若你認為自己的所在地被判斷錯誤，請來信 goodjay0228@gmail.com。
六之二、我們自己訂的資料保護標準
以下是我們的做法，不是因為某一部法律要求才做的 —— 即使不適用歐盟法規，我們仍然這樣處理你的資料：
- 查閱與帶走 —— 登入後在「我的帳號」按「下載我的資料」， 立刻拿到一份 JSON，內容是我們對這個帳號保存的全部欄位。
- 刪除 —— 登入後按「刪除我的帳號」，輸入密碼即永久刪除。 刪除後只保留一筆雜湊過、無法還原的紀錄， 用途僅限於《商業會計法》要求的帳務保存。
- 保存期限 —— 上傳的檔案 60 分鐘內硬刪；伺服器紀錄最長 30 天； 免費額度的計數最長 90 天；客服截圖 90 天、客服工單本文 1 年（2.8）。 每一個都是程式真的會刪，不是寫在紙上。
- 沒註冊的人也刪得掉 —— 上面兩條都要先登入，
但免費額度的計數（2.7）不掛在任何帳號底下，
它的鑰匙是你瀏覽器產生的裝置代號。
好處是我們自己也查不出哪一列是誰的；
代價是沒有帳號的人本來就沒有一條路可以請我們刪掉它。
所以那顆鈕放在下面 —— 不必註冊、不必來信，按下去我們就把那一列刪了。
只會刪掉「這台裝置用了幾次」那一列。 不會動到 IP 的雜湊計數 —— 那是每日防濫用的上限， 24 小時自動歸零，而且台灣的行動網路多半是 CGNAT， 同一格後面坐著很多人，讓任何人按一下就清掉它， 清掉的是別人共用的那一格。
- 不做自動化決策，不做剖析。沒有任何演算法會因為你是誰 而給你不同的結果。
- 資料外洩 —— 若發生可能危及你權益的外洩， 我們會在知悉後儘速通知你與主管機關。
七、資料安全
- 全站傳輸使用 HTTPS。
- 轉檔程序以非 root 身分執行、根檔案系統唯讀、且沒有對外網路 —— 解析不可信檔案的程序不能主動連出去。
- 加密功能使用 AES-256；密碼不會被記錄，我們也無法還原。 密碼遺失即無法開啟該檔案。
八、未成年人
本服務不特別針對未成年人設計。未滿 18 歲者，請在法定代理人同意下使用。
九、政策變更
本政策如有修改，會更新本頁上方的日期。重大變更會在網站上另行公告。
十、聯絡我們
個人資料保護相關事項，以及本政策的任何疑問，請聯絡：
| 營運者 | 源傑企業社 |
|---|---|
| 統一編號 | 40984821 |
| 地址 | 302 新竹縣竹北市中正西路 2013 巷 16 弄 27 號 |
| goodjay0228@gmail.com | |
| 電話 | 03-5566520 · 0958-153119 |
Privacy Policy
Last updated: 9 September 2026 · Operator: 源傑企業社 (Yuan-Jie Enterprise, Taiwan)
This English text is a courtesy translation. The Traditional Chinese version governs.
1. Scope
Foldra (foldra.org) is a PDF conversion and editing website. This policy explains what
data we touch, for how long, who else sees it, and what you can ask us to do.
Our basic position: what we do not need to touch, we do not touch. Some features run entirely inside your browser and our servers never see those files. Features that require an upload are labelled as such in the interface.
2. What we process
2.1 Files you upload
- Retention: hard-deleted within 60 minutes of conversion. No backups, no snapshots.
- Temporary storage is
tmpfs(in memory); a container restart leaves nothing behind. - File names are not logged. A file name can itself be personal data.
- File contents are never analysed or retained, and are not used for model training, statistics or any commercial purpose.
2.2 Features that upload nothing
Merge, split, rotate, delete pages and watermark run inside your browser. The file never leaves your computer.
The page's CSP limits where the browser may connect to this site and our own conversion API
(connect-src 'self' https://api.foldra.org), so your file cannot reach a third
party. That these five tools do not call our server either is visible in the network tab —
press F12, use one, and nothing appears.
2.3 Server logs
Source IP, timestamp, endpoint, HTTP status, processing time, and size/page-count statistics (no file names, no file contents). Kept for at most 30 days, for security and fault diagnosis.
2.4 Payment and consent records
When you pay, we keep the order number, amount, time, plan and payment status, the provider's transaction reference and the last four digits of the card (without those two a payment cannot be reconciled against the provider's records), together with the time you consented to waiving the seven-day withdrawal right and the version of the terms then in force — that waiver is valid only if the consumer was informed and consented in advance, so the record is a legal necessity, not marketing data. Full card numbers, expiry dates and security codes are collected directly by the payment provider; we never see or store them.
Transaction and invoice records are retained for the period required by Taiwan's accounting and tax law. The 60-minute deletion rule applies to the files you upload, not to transaction records.
2.5 Data kept in your browser
Interface language, the quotation generator's "from" details and payment terms, and remembered stamp positions are stored in your browser's localStorage and never sent to our servers. We use no advertising or analytics cookies.
2.6 Member accounts
Once you register we keep your email address; a scrypt hash and salt of your password (we do not have your password and cannot recover it); the times you registered, verified your email, and when your trial and paid periods end; the devices you have bound — a random identifier your browser generated, not a tracking ID we assigned, plus the device name you chose (two at most); and hashes of one-time links (verification, password reset) with their expiry — the originals exist only in that email.
2.7 Free-quota counters
Before you register, each device gets 5 free conversions. To make that limit mean anything we store:
- a use count against the device identifier described above (generated by your browser);
- a hash of your IP address — HMAC-SHA256 with our server key, truncated to 32 characters. Your IP address in the clear is not in our database, and without the key the hash cannot be reversed. It exists to stop "clear the browser for unlimited runs", not to identify you.
2.8 Support tickets and the screenshots you attach
When you write to us through the contact form we keep:
- the category you picked, the subject, the message, and the email address you gave us — that is the only way we can reply;
- the JPG screenshots you attach (10 at most). They are shrunk inside your browser before they are sent (1600 px on the long edge, re-compressed), so what reaches us is the reduced version, not the original file from your phone or computer;
- the time the ticket was created and whether an administrator has marked it answered.
Whatever is in the screenshot is what we will see. That is the point of the feature — you are showing us the screen that went wrong, and that screen may happen to contain your document. Please crop to the part you need us to look at. Note that this is not covered by the 60-minute deletion in 2.1: a support message whose attachment disappeared first would be pointless.
Retention: screenshots are deleted automatically after 90 days, ticket text after
one year. Both are enforced by a job that runs every day
(ticket-cleanup), not by us remembering. You can also write to us and ask for
earlier deletion at any time.
Screenshots are never attached to the notification email. That email only says how many there are; the images stay in our admin area. One more copy is one more place to look after, and a bounced email takes the whole message with it.
3. Legal basis
Performance of a contract (you asked us to convert a file) and legitimate interest (security and service stability), under Taiwan's Personal Data Protection Act.
4. Who else is involved
Hetzner Online GmbH (Germany) hosts the conversion server. Netlify, Inc. (USA) hosts the front end and never handles uploaded files. Payment providers collect payment details directly; we never see full card numbers. We do not sell, trade or rent your data.
5. International transfers
The conversion server is in Germany; the front end is hosted in the United States. By using the service you understand that data is transferred outside Taiwan.
6. Your rights
You may ask us to give you access to, a copy of, correction of, or deletion of your personal data, or to stop processing it. In practice, uploaded files are already gone after 60 minutes — after that there is nothing left to hand over or delete.
6a. EEA and UK: not served
This service is not offered to users in the European Economic Area or the United Kingdom, and it is not directed at those markets.
- Requests from those regions are refused at both the website and the API (HTTP 451). They are not processed and no personal data from them is stored.
- We do not market in the languages of those regions, do not display their currencies, and do not offer payment methods local to those regions. Payments are priced in New Taiwan dollars and handled by a Taiwanese provider.
- We do not screen payment instruments by issuing region. Our provider reports only whether a card is domestic or foreign, not which country issued it, so we cannot do this and do not claim to. The connection block above is what stops those regions.
- The interface languages and available regions reflect the markets we actually serve.
If you believe your location was detected incorrectly, write to goodjay0228@gmail.com.
6b. The standard we hold ourselves to
The following is what we do, not what some law makes us do. It applies regardless of which regime covers you:
- Access and portability — sign in and use “Download my data”. You get a JSON file immediately with every field we hold for that account.
- Erasure — sign in and use “Delete my account”, confirm with your password, and it is gone. We keep only a hashed, non-reversible record, solely for the accounting obligations Taiwanese law imposes.
- Retention — uploaded files are hard-deleted within 60 minutes; server logs last at most 30 days; free-quota counters at most 90 days; support screenshots 90 days and support ticket text one year (2.8), enforced in code rather than promised on a page.
- Erasure without an account — both routes above need you to sign in, but the free-quota counter (2.7) is not held against any account: its key is the device identifier your browser generated. That means we cannot tell which row is yours either — and it also means someone who never registered has no account to sign into. The button is in the Chinese section above (六之二); it deletes that row on the spot, no registration and no email required. It removes only the "how many times this device has converted" row; it does not touch the hashed-IP counter, which is a daily anti-abuse limit shared by everyone behind the same carrier NAT and resets itself every 24 hours.
- No automated decision-making and no profiling.
- Breaches — if one occurs that could affect you, we notify you and the competent authority promptly.
7. Security
HTTPS throughout. Conversion processes run as a non-root user, on a read-only root filesystem, with no outbound network access. Encryption uses AES-256; passwords are never logged and cannot be recovered by us.
8. Minors
The service is not directed at minors. If you are under 18, please use it with your guardian's consent.
9. Changes
Changes are reflected in the date at the top of this page; significant changes will be announced on the site.
10. Contact
| Operator | 源傑企業社 (Yuan-Jie Enterprise) |
|---|---|
| Business reg. no. | 40984821 |
| Address | No. 27, Aly. 16, Ln. 2013, Zhongzheng W. Rd., Zhubei City, Hsinchu County 302, Taiwan |
| goodjay0228@gmail.com | |
| Phone | +886 3 556 6520 · +886 958 153 119 |