隱私權說明

保存在你的裝置上的資料

• localStorage：儲存難度、色盲模式、音量、標題畫面偏好、操作與觸控設定、教學狀態、探索進度、關卡與徽章進度；若你登記過「上線通知我」，也會存一組只用來取消登記的代碼。資料保留於目前瀏覽器與網站，不會跨裝置同步；除非你清除資料或瀏覽器自動移除，否則可能持續保留。
• Service Worker 與快取：瀏覽器會保留遊戲外殼、模型、貼圖與音訊，減少重複下載並支援部分離線使用。容量依遊玩內容與瀏覽器限制而變，離線時不保證全部素材都可用。

可在瀏覽器的「網站資料／儲存空間」設定中清除本站的資料與快取。這會刪除本機進度與設定，無法由我們復原。只解除 Service Worker 註冊不會刪除 localStorage 存檔。

選用的登入與雲端存檔

登入方式為 Google 或 LINE。我們只向登入服務要求確認你身分的最少資訊（OpenID 的 openid 範圍），伺服器只保存下列資料：

• 帳號：一組隨機產生的帳號編號、建立時間、最後登入時間。
• 登入方式：登入服務名稱（Google 或 LINE）與該服務提供的使用者識別碼（sub）。不保存電子郵件、姓名、大頭貼或好友名單。
• 登入狀態：瀏覽器保存一個 httpOnly 登入 cookie（有效 180 天，持續使用會自動延長）；伺服器只保存這個 cookie 的雜湊值、建立時間、到期時間及最後使用時間，無法從雜湊值還原 cookie。
• 遊戲進度：各關卡的狀態、通關次數、最佳時間與分數、徽章及取得時間，以及探索進度（例如已完成的樹神祠、找到的樹靈、居民任務狀態）。
• 防濫用紀錄：為了限制短時間內的大量請求，伺服器會以加密雜湊後的 IP 位址計數，計數在時間窗結束後刪除（最長 1 小時）；不保存原始 IP。登入與通知表單使用 Cloudflare Turnstile 驗證是否為真人，Cloudflare 會處理驗證所需的瀏覽器與連線資訊，詳見 Turnstile 隱私說明。

第一次登入時，這台裝置上的進度會與帳號中的進度合併（取兩邊較好的紀錄，不會讓進度倒退）。登出後，裝置上的進度仍保留在本機；在共用裝置上遊玩後，可在瀏覽器設定中清除本站資料。

刪除帳號：在遊戲暫停選單的「登入・記住進度」中選擇「刪除帳號」，伺服器會立即永久刪除帳號、登入方式、登入 cookie 紀錄、雲端進度、徽章，以及登入狀態下登記的上線通知，無法復原。裝置上的進度不受影響。Cloudflare 的系統備份可能在其保留期間（最長約 30 天）內仍含有已刪除的資料，期滿後自動消失。

使用 Google 或 LINE 登入時，會連線到該服務並適用其隱私權政策：Google 隱私權政策、LINE 隱私權政策。

上線通知我（新關卡通知）

你可以留下電子郵件，請我們在新關卡（例如北投公園、大安森林公園）推出時通知你。這份名單：

• 只保存電子郵件、想等候的關卡、登記時間，以及一組取消登記用代碼的雜湊值；若你登記時已登入，才會連結到你的帳號。
• 只用來寄一次該關卡的上線通知信，寄出後即刪除該關卡的整份名單；不會用於其他行銷，也不會提供給第三方。
• 寄出前可隨時取消：在同一台裝置上按「取消通知」，或登入後取消；刪除帳號也會一併刪除。

匿名技術診斷

遊戲畫面卡住（約 4 秒沒有反應）、程式出錯、3D 畫面中斷或單一畫面超過 2 秒時，遊戲會自動送出一份簡短的技術報告到我們自己的伺服器（Cloudflare Pages Functions 與 D1 資料庫），用來找出並修正問題。報告只含：

• 遊戲版本、關卡、波次、這次遊玩了多久；
• 當時的簡短遊戲狀態（例如在探索或戰鬥、血量、種子數）；
• 錯誤訊息與程式位置；
• 瀏覽器的 User-Agent（瀏覽器與作業系統版本）與畫面大小。

報告不含帳號編號、電子郵件、登入 cookie 或原始 IP 位址，即使你已登入也一樣。為了防止大量請求，伺服器會像其他表單一樣，以加密雜湊後的 IP 位址計數，計數在時間窗結束後刪除。同一個錯誤在同一次遊玩中只送一次。技術報告保存 30 天，之後自動刪除。

回報問題

暫停選單的「回報問題」會送出你寫的文字。只有你勾選「附上診斷資訊」時，才會一併送出遊戲版本、關卡、波次、裝置資訊（User-Agent 與畫面大小），以及最近 50 則程式警告與錯誤訊息。不要在文字裡寫電子郵件、姓名等個人資料；我們不會用這份回報聯絡你。回報不連結帳號、不保存原始 IP，防濫用方式與上方相同。站點若啟用 Cloudflare Turnstile，送出前也會經過 Turnstile 驗證。回報保存 90 天，之後自動刪除。

連線到哪些服務

• Google Fonts：遊戲從 fonts.googleapis.com 與 fonts.gstatic.com 載入 Noto Sans TC／Noto Serif TC。連線會讓 Google 收到 IP 位址、瀏覽器 User-Agent 等請求資訊。字型目前尚未自架；詳見 Google Fonts 隱私說明。本隱私權頁與授權頁只使用裝置字型。
• Cloudflare Pages／Workers／D1：提供網站、登入 API、雲端存檔與技術診斷資料庫，並提供網站與素材傳輸，可能依其營運與安全政策處理 IP 位址、請求時間、網址與瀏覽器資訊等連線紀錄。詳見 Cloudflare 隱私政策。目前未啟用 Cloudflare Web Analytics。
• 私人測試站：若站點啟用 Cloudflare Access，登入層會另行處理電子郵件、驗證及登入 session cookie；這與遊戲本身的本機存檔分開。
• 臺北市開放資料與 OpenStreetMap 已預先匯入場景。一般遊玩不會即時向資料提供者查詢位置，也不要求你的地理定位。點開外部來源連結時，會適用對方網站的政策。

流量統計（Google Analytics）

我們用 Google Analytics 4 了解有多少人在玩、從哪裡連進來、玩到哪一關，好讓遊戲越改越好玩。

• 會收集：裝置與瀏覽器種類、螢幕大小、來源網站、大概所在城市（Google 由 IP 推估，我們看不到 IP）、開始遊玩與通關或失敗的關卡與時間。
• 不會送出：你的名字、Email、登入帳號編號或存檔內容。
• 我們沒有開啟 Google 信號與廣告個人化。Google Analytics 會在你的瀏覽器放名稱以 _ga 開頭的 cookie。
• 不想被統計：在網址後加上 ?analytics=0、安裝 Google 提供的 Google Analytics 停用外掛程式，或封鎖 cookie。遊戲照常能玩。
• 統計資料的保存期限依 Google Analytics 的資料保留設定。

聯絡與後續更新

隱私聯絡窗口：[email protected]。

如日後新增排行榜或其他資料傳輸，會先更新這份說明與相關告知內容。

English summary

Playing never requires an account; settings and progress stay in your browser's localStorage and a service worker caches game assets. Signing in with Google or LINE is optional: we then store a random account id, the provider name and its subject id (no email, name or picture), a hash of your 180-day httpOnly session cookie, and your game progress and badges. Your device progress is merged into the account on first sign-in. You can delete the account in-game at any time; this permanently removes all of it. The optional "notify me" list stores only your email and the level, is used for a single launch email and is deleted after that email is sent. No ads, behavioural analytics or leaderboard. When the game freezes for about 4 seconds, hits an error, loses its 3D view or renders a frame longer than 2 seconds, it sends an anonymous technical report (build, level, wave, play time, a short game-state snapshot, the error message, browser User-Agent and screen size) to our own server (Cloudflare Pages Functions + D1). It carries no account id, email, cookie or raw IP (rate limiting uses a hashed IP) and is deleted after 30 days. The pause-menu "report a problem" form sends your text and, only if you tick the box, the same diagnostics plus the last 50 console warnings/errors; it is deleted after 90 days.

Google Fonts receives your IP address and browser request information when the game loads fonts. Cloudflare hosts the site and may process connection logs. Private previews protected by Cloudflare Access have separate email authentication and session cookies. Contact: [public privacy email to be added before release].