隐私政策
本政策依据印度尼西亚《2022 年第 27 号个人数据保护法》（UU PDP）制定。
一、谁持有您的数据
LEGA 是个人数据控制者。
有关您数据的问题，可以通过应用内的「帮助」菜单提出。
二、我们收集什么
由您提供的：姓名、电子邮箱与 WhatsApp 号码；疗程地址，以及在您允许时的地图定位；地址备注；您与 LEGA 团队的会话内容；以及您撰写的评价。
在使用过程中收集的：订单记录、时间、时长、状态与费用明细；您最近一次登录；以及理疗师在签到与签退时记录的现场照片、GPS 与时间戳——这些由理疗师的设备记录，而不是您的设备。
我们不收集您的银行卡或支付凭证——支付由持牌支付机构处理，卡号从不进入 LEGA 的系统。我们不在后台追踪您的位置，也不读取您的通讯录、相册或设备内容。
若您允许通知，我们还会保存您设备的通知地址（push token）。它不是电话号码，也不能识别您的身份——只是由操作系统发放、指向某一设备上某一应用的随机代码，仅在您保留该权限期间有效。
三、我们用它做什么
您的姓名、号码、地址与定位用于履行您的订单；邮箱与密码用于登录。两者的依据都是履行我们与您之间的合同。
订单记录与价格作为交易凭证保存，用于税务与会计——这是法定义务。
会话内容用于回应投诉与调解争议。签到证据与联系方式筛查的依据是正当利益。
您的地图定位用于计算距离与理疗师的路线，依据是您的同意。您可以拒绝；仅凭书面地址同样可以下单。
若您在预约时勾选「保存此地址」，该地址连同备注与地图定位会保存在您的账号中，使您下一次下单只需一次点击——纯粹为了便利，依据是您的同意。无论是否保存，订单上的地址都会保留在您的订单记录里。您可以随时在「账户 → 已保存地址」中查看、命名与删除；删除不会改变您的订单记录。
设备地址只用于一件事：向您告知与您订单有关的消息——理疗师已接单、款项已到，以及其他需要您处理的事项。依据是您的同意，通过设备上的通知权限给出，也可随时在设置中撤回。我们不将其用于营销。通知内容刻意不提服务名称、理疗师姓名或地址——仅有订单编号、时间与金额——因为通知会显示在锁屏上，看到您手机的人都能读到。
四、谁能看到您的数据
接受您订单的理疗师可以看到：您在应用中使用的姓名；疗程地址与地图定位——仅在接单之后，此前绝不可见；您的 WhatsApp 号码，用于告知抵达时间——仅限此一用途，禁止就其他事宜、或在订单结束之后与您联系；服务项目、时间与时长；以及您来自此前理疗师的平均评分。
理疗师绝不会看到您的电子邮箱、密码、您与其他理疗师的订单记录，或您与 LEGA 团队的会话。
LEGA 团队在客服与调解所必需的范围内查看订单数据与会话。持牌支付机构获得处理支付所必需的信息。只有在具备合法依据时，才会向有关部门提供。
我们绝不出售您的数据，也不将其用于第三方广告。
若您允许通知，设备地址与通知文字会经由 Expo（美国），再经 Google（Firebase Cloud Messaging，Android）或 Apple（APNs）送达您的设备——即该数据会传送至印尼境外。他们收到的仅限于设备地址及通知文字本身，而文字中不含服务名称、理疗师姓名或地址。
五、您与理疗师无法互相联系
LEGA 内不存在客户与理疗师之间的消息通道。会话始终发生在您与 LEGA 团队之间。这是设计上的决定，而不是暂时的限制。
六、安全
应用与我们服务器之间的连接经过加密。
密码以哈希形式存储，绝不以明文保存。LEGA 团队无法看到您的密码。
理疗师的敏感数据（身份证号、银行账户）静态加密存储，显示时一律脱敏。
员工的访问权限按角色限制，并留有日志。
七、我们保存多久
账号有效期间：只要您的账号存在。
订单记录与支付凭证：10 年，用于会计与税务义务。
客服会话：会话关闭后 2 年。签到证据：2 年，或直至争议了结。
若您注销账号：个人数据将被删除；交易凭证以去标识化的形式保留，以满足会计义务。
应用内的通知列表：1 年，之后自动删除。设备通知地址：直至您在该设备上退出登录、撤回权限或卸载应用。
八、您在 UU PDP 之下的权利
您有权知悉我们持有您的哪些数据、获取副本、更正错误之处、删除数据并注销账号、随时撤回同意、对特定处理提出异议，以及向个人数据保护监管机构投诉。
请通过「帮助」菜单提出请求。我们在 3 × 24 小时内答复，并在 14 个工作日内办结。
部分数据因仍需用于会计、税务或尚未了结的争议而无法立即删除。遇到这种情形，我们会告知原因，以及将于何时删除。
九、未成年人
LEGA 面向 18 周岁及以上的人士。我们不会有意收集未成年人的数据。若发现某个账号属于未成年人，我们将关闭该账号并删除数据。
十、本政策的变更
重要变更将在生效之前于应用内公告。版本与生效日期始终显示在顶部。