1. 核心要求摘要
中華民國個人資料保護法（民國 104 年最近大幅修正，後續多次條文微調）為台灣對個人資料蒐集、處理、利用之主要法源。重點要求如下：
| 議題 | PDPA 條文 | 要點 |
|---|---|---|
| 適用範圍 | §2、§4 | 個人資料定義廣於 GDPR：「自然人之姓名、出生年月日、國民身分證統一編號……或其他得以直接或間接方式識別該個人之資料」 |
| 蒐集 / 處理之合法基礎 | §19 | 非公務機關須有特定目的且符合下列至少一款：法律明文規定／契約或類似契約／當事人自行公開或其他合法公開／學術研究／經當事人同意／公益／與公共利益有關 |
| 利用之合法基礎 | §20 | 原則於蒐集特定目的必要範圍內利用；超出原目的利用需另有合法基礎 |
| 特種個資 | §6 | 醫療、基因、性生活、健康檢查、犯罪前科 — 原則禁止蒐集處理利用；但書情形包括：法律明文規定／公務機關執行職務／公益／學術研究／當事人明示同意 |
| 告知義務 | §8、§9 | 蒐集時應明確告知：蒐集者、目的、類別、利用期間／地區／對象／方式、本人權利、不提供之影響 |
| 資料主體權利 | §3 | 查詢／請求閱覽／請求製給複製本／請求補充更正／請求停止蒐集處理利用／請求刪除 |
| 保存期間 | §11 | 個資正確性有爭議者主動或依請求停止處理；保存期間屆滿應主動或依請求刪除停止 |
| 安全維護 | §27、施行細則 §12 | 應採取適當之安全措施防止資料被竊取、竄改、毀損、滅失或洩漏 |
| 外洩通報 | §12 | 事故發生後應查明事實，以適當方式通知本人；無 72 小時硬性規定 |
| 跨境傳輸 | §21 | 中央目的事業主管機關得依四款情形限制：影響國家重大利益／涉重要國際條約／所傳輸地未具完善保護法令致影響當事人權益／以迂迴方式規避本法 |
| 違法責任 | §28-§41 | 含民事、刑事、行政責任；最高刑度為五年以下有期徒刑得併科罰金 |
2. Uedu 的對應設計
| PDPA 議題 | Uedu 對應作法 |
|---|---|
| 蒐集合法基礎（§19） |
服務性使用：使用者註冊時所同意之服務條款（契約 / §19 第二款） 研究性使用：個別 IRB 同意書（當事人同意 / §19 第五款） 回溯性研究：學術研究 / §19 第四款（無從識別之去識別化資料） |
| 特種個資（§6） | 生理感測（HRV、睡眠）與性別認同調查屬此類；以 IRB 同意書取得當事人明示同意（§6 第六款） |
| 告知義務（§8、§9） |
註冊時：服務條款與隱私政策 IRB 研究參與時：六份知情同意書（依研究活動類別簽署，詳見 IRB 摘要 §5） 平台層級：本治理中心公開揭露 controller 身份、Privacy Contact、跨境傳輸機制 |
| 資料主體權利（§3） |
刪除權：自助介面已實作於使用者個人設定頁 其他六項權利：來信 [email protected]，30 日內回應 詳見 隱私與資料保存政策 §7 |
| 保存期間（§11） | 採三層保留策略：直接識別個資刪除請求後 30 日；備份隨 30 日輪替；匿名化研究資料依 IRB protocol 長期保留 |
| 安全維護（§27） | 本平台之安全工具庫詳列於 資料治理框架；前端 CSP、DOMPurify、後端檔案上傳驗證、Socket 認證、Rate Limiting、SQL 參數化查詢、CSRF 防護、雙因子驗證 |
| 外洩通報（§12） | 採行 GDPR 之 72 小時通報標準（較 PDPA 嚴格）；通報窗口 [email protected]（主旨標 [URGENT BREACH NOTIFICATION]） |
3. 跨境傳輸機制
Uedu 平台之伺服器位於台灣中央大學機房；以下為涉及自台灣向外傳輸之資料流：
| 資料流 | 目的地 | 合法基礎 |
|---|---|---|
| LLM 推論 / OpenAI | 美國 | 履行使用者註冊時所同意之服務條款；OpenAI Zero Data Retention 啟用，無永久留存 |
| LLM 推論 / Azure CH | 瑞士 / 西歐 | 同上；對歐合作專案使用 |
| Email / Mailgun | EU | 履行服務條款（系統通知） |
| DNS / CDN / Cloudflare | 全球邊緣網路 | 履行服務條款（基礎設施） |
目前教育部與通訊傳播主管機關未對教育服務類資料之跨境傳輸發布限制令。本平台之跨境傳輸合法基礎以 PDPA §19 為依據，並未涉及 §21 限制情形。
對「中央目的事業主管機關得限制」之具體解釋與本平台所涉之事業類別認定（教育部或數位發展部）留待 partner institutions 或該法域律師於合作啟動時共同審閱補完。
4. 資料主體權利行使方式
| 權利 | PDPA §3 對應項目 | Uedu 行使方式 |
|---|---|---|
| 查詢權 | 請求查詢 | 來信 [email protected] |
| 閱覽權 | 請求閱覽 | 同上 |
| 複本權 | 請求製給複製本 | 同上 |
| 更正權 | 請求補充或更正 | 使用者個人設定頁直接編輯，或來信 |
| 停止處理權 | 請求停止蒐集、處理或利用 | 來信 |
| 刪除權 | 請求刪除 | 使用者個人設定頁之「刪除我的帳號」入口（自助） |
本平台對前述任一權利請求承諾於 30 日內回應。請求若涉及複雜身份驗證或大量資料調閱，得延長至 60 日，並於原 30 日內告知延長理由。
5. 監理機關互動窗口
台灣個人資料保護之監理機關於 2025 年起為新設之「個人資料保護委員會」（PDPC）；於 PDPC 完成組織建置前，由國家發展委員會個人資料保護處（NDC PDP）執行相關職權。
| PDPC 一般查詢窗口 | 當 PDPC 公告其官方聯絡方式後將於此處更新 |
|---|---|
| Uedu 與監理機關之互動窗口 | [email protected]（主管機關來函於 7 個工作日內初步回覆） |
| 資料主體向監理機關投訴之路徑 | 得先以書面通知 Uedu Privacy Contact；若 Uedu 之回應不滿意，得依 PDPA 第八章相關規定向監理機關提出申訴 |
PDPC 完整成立後之具體投訴管道與案件處理時程留待 partner institutions 或台灣法律顧問於合作啟動時共同審閱補完。
6. 與其他治理文件之關係
- 資料治理框架：本治理立場之上位文件，§4 含 PDPA 與 GDPR 對應簡表
- 隱私與資料保存政策：§7 詳列資料主體權利行使方式
- IRB 倫理審查通過摘要：研究使用之合法基礎與同意書設計
- 跨法域合規對照表：與其他法域之並陳對照
7. 聯絡窗口
| Privacy Contact | [email protected] |
|---|---|
| 對台灣 PDPA 治理立場之異議或建議 | [email protected]（主旨標 [TW PDPA NOTES FEEDBACK]） |