生效日期：2026 年 10 月 15 日
1. 適用範圍與服務管理者
本政策說明「EMIS 雲端備份」如何處理雲端完整備份，以及與 Google Drive 連接時所使用的資料。服務管理者：陳偉帆；隱私權聯絡方式：wainfun@gmail.com。
本服務供經授權的 EMIS 管理員保存備份，並在需要時將資料還原至桌機備援系統。這份政策適用於備份與 Google Drive 整合；其他 EMIS 功能如另有不同的資料用途，應另外說明並取得適用的授權。
2. 我們處理的資料
Google 帳號資訊：取得授權帳號的電子郵件地址，用於顯示目前連接的備份帳號。
Google 授權資訊：處理 OAuth 授權碼、存取權杖、更新權杖及授權狀態；服務端也保存管理員設定的 OAuth 用戶端資訊，以便在瀏覽器或桌機關閉時執行經授權的備份。
Drive 檔案資訊：處理指定備份資料夾及其內容的檔案識別碼、名稱、位置、類型、大小、建立時間、SHA-256、垃圾桶狀態、備份分卷標記及必要的存取能力。
EMIS 完整備份內容：包含正式案件與主檔、排程、檢測、異常、申報、使用者與權限對應、訊息與已讀／確認狀態、聊天與成員、辨識草稿及原稿關聯、稽核與相關系統資料，以及備份所需的照片、附件與 PDF 原稿。內容可能含姓名、電子郵件、員工識別、工作紀錄、檔案內容及稽核中的裝置或 IP 資訊，依實際保存的資料而定。
執行紀錄：保存備份開始與完成時間、分卷數、檔案識別、檢查結果、錯誤原因及管理操作資訊，用於狀態顯示、失敗提醒與故障排查。
3. Google Drive 權限與實際操作範圍
目前使用 https://www.googleapis.com/auth/drive 權限。Google 授予的是查看及管理該帳號全部 Drive 檔案的權限，並非由 Google 限制為單一資料夾。
目前 EMIS 備份程式將操作限制在經核對的原「DEMIS_GDrive_Backup／完整備份」資料夾，用於保存備份分卷、核對檔案資訊、更新備份完成標記與輪替歷史；輪替也包含該資料夾內符合 EMIS 完整備份格式的既有桌機歷史檔案。程式不掃描其他資料夾內容，亦不因原資料夾無法存取而另外建立資料夾。
本備份整合不要求 Gmail、Google 日曆或 Google 聯絡人權限。管理員可拒絕或撤銷 Google 授權；未具備必要授權時，Google Drive 備份無法完成。
4. 資料使用目的
資料僅用於備份保存、完整性核對、歷史輪替、由管理員執行的復原作業、失敗提醒，以及必要的安全與故障排查。
正常自動備份每日一次，執行時間由管理員以臺北時間設定；每日完整備份成功後，再保存 Google Drive 異地副本。管理員另可依需要手動重試或上傳已完成的備份。
本備份整合不將透過 Google API 取得的資料用於販售、廣告、建立行銷側寫或訓練通用人工智慧模型。EMIS 雲端備份對 Google API 資料的使用與移轉，遵守 Google API Services User Data Policy，包括 Limited Use 要求。
5. 儲存、傳輸與存取
EMIS 服務透過 Cloudflare Workers 執行，業務資料、備份狀態及連線設定保存於 Cloudflare D1，檔案、完整備份及上傳所需暫存保存於私人 Cloudflare R2。經管理員授權的異地備份分卷上傳至該管理員選定並核准的 Google 帳號原備份資料夾；管理員自行下載或還原時，副本也會保存於其裝置。
Google 與 Cloudflare 分別依其服務與帳戶設定處理資料。服務的儲存與處理地點依供應商部署設定，不保證限定於單一國家或地區。
Google OAuth 與 Drive API 使用 HTTPS。服務端的 Google Client secret、更新權杖與上傳續傳網址採 AES-GCM 加密保存，Google 連線密鑰與更新權杖不包含在 EMIS 業務備份中。
備份 ZIP 目前沒有另外設定 ZIP 密碼或內容加密；SHA-256 用於核對完整性，不是加密。取得 ZIP 的人可能讀取其內容，因此 Google 帳號、資料夾分享設定及下載後裝置的保護會影響備份的保密性。
EMIS 中的 Google 授權、備份設定與備份操作限系統管理員使用。Google Drive 副本的實際可存取人員仍受 Google 帳號與原資料夾分享設定影響；EMIS 不會自動變更原資料夾的分享權限或公開備份。
6. 保存期間與輪替
Google Drive 成功完整備份依既有設定保留最近 12 組；一組雲端備份可能包含多個 ZIP 分卷。新備份全部分卷的大小、位置與 SHA-256 核對完成後，才會依輪替規則將超出保留組數的舊 EMIS 備份移至 Google 垃圾桶。垃圾桶內資料的後續保存與刪除依 Google 及帳號設定處理，EMIS 不會替使用者清空 Google 垃圾桶。
備份失敗時，保留上一份成功備份並提醒管理員。未完成分卷、暫存與技術工作紀錄可能保留，需依實際工作狀態由管理員處理；不保證所有失敗資料會在固定時間自動刪除。
Cloudflare R2 完整備份依管理員設定的成功份數另行輪替，不與 Google 的 12 組合併計算。管理員自行下載的副本由該管理員管理。
Google 連線設定與權杖會保存至管理者清除或更換連線設定；僅停用異地備份不會自動清除它們。技術工作及稽核紀錄依營運、安全與追溯需求保存，目前未承諾固定到期自動清除期限。
7. 停用、撤銷授權與刪除
管理員可在 EMIS「系統設定 → 資料安全」停用雲端異地備份。停用後不再由此功能開始後續上傳；已送出的請求可能仍會完成。停用不等於撤銷 Google 授權，也不會自動刪除既有 Drive 備份或 EMIS 正式資料。
若要撤銷存取，可至 Google 帳戶的第三方連線管理頁移除 EMIS 雲端備份的授權。撤銷會使後續 Drive 存取無法繼續，但不會自動刪除已保存的備份。若需清除 EMIS 端保存的連線設定、權杖或相關紀錄，請聯絡服務管理者確認範圍並處理；目前不宣稱已有一鍵自動清除全部資料的功能。
管理者得知授權已撤銷或確認連線不再需要後，應清除服務端不再需要的更新權杖；這項處理透過管理程序完成，目前不宣稱 EMIS 已提供自動撤銷及清除介面。
管理員可在 Google Drive 管理或刪除其備份檔，以及管理自行下載的裝置副本。資料查閱、更正或刪除需求可透過本政策的聯絡方式提出；管理者會確認申請人身分、授權與涉及範圍，告知處理方式及需保留的資料。
8. 資料分享與人工存取
除為提供已授權備份與復原所需的 Google、Cloudflare 及管理員裝置外，本備份整合不將 Google API 資料提供給廣告平台、資料仲介或無關第三方。
人工查閱限於管理員依授權執行復原、使用者同意的支援工作、必要安全調查或依法處理的情況。管理者不得以備份權限讀取或利用與備份目的無關的 Google 檔案。
9. 政策變更與聯絡
資料用途、操作範圍或服務供應商如有實質變更，管理者應更新本政策並適當通知使用者；涉及新的 Google 資料用途或權限時，應先取得必要同意。
政策版本日期：2026 年 10 月 15 日。隱私權問題及資料處理申請請聯絡：wainfun@gmail.com。