- 閱讀
- 隱私與資料權利
我們盡量少保存關於您的資料，也絕不出售。
您不需要帳號。我們絕不會連同姓名公開任何人的行程或回報。本頁列出我們保存的所有資料、保存位置和保存時間。
我們保存什麼,以及保存多久
- not storedSearches
- your device only已儲存的站點和行程
- Reports and crowdingour database · up to 365 days
- Messages to usencrypted · 365 days after closing
- Visitscounted, no cookie · 400 days
- Visits, second countCloudflare · counts only
- 數據分析On. Pages viewed and basic engagement, by Google Analytics and PostHog, unless you switch it off. Never your trips, stops or searches.
- Scrambled network addressto stop abuse · 24 hours
- Map tilesthe map provider sees your request
| 當您 | 我們保留的內容 | 地點 | 多久 |
|---|---|---|---|
| 搜尋本網站 | 不會保存任何內容。您未完成的搜尋不會被儲存，也不會把確切地點傳送給分析工具。 | 無處 | 未達成 |
| 儲存站牌、地點或行程 | 清單。它只保存在此瀏覽器中，我們看不到。 | 您的裝置 | 直到您移除為止 |
| 提交回報 | 報告和一張私人收據。不會一併儲存姓名或確切位置。 | 我們的資料庫 | 最多 365 天 |
| 寫信給我們 | 您的訊息會加密。只有在您要求回覆時，才會保存電子郵件地址。 | 我們的資料庫 | 結案後 365 天 |
| 瀏覽任何頁面 | 按頁面類型、語言和國家每日計數。不使用 cookie，不記錄地址。 | 我們自己的計數器 | 400 天 |
| 瀏覽任何頁面,以另一種方式計算 | 第二個不使用小型文字檔的訪問次數統計,作為外部核對。 | 克勞德弗萊爾 | 只記錄次數，並受網路服務供應商的管控 |
| Visit any page, with analytics on | Coarse page categories and basic engagement, unless you switch analytics off or your browser sends a privacy signal. Never your trips, stops or searches. | 分析工具：Google Analytics、PostHog | 直到您關閉為止;須遵守服務供應商的限制 |
| 任何可能被濫用的內容 | 一筆短期保存的紀錄，用來防止重複提交。 | 我們的資料庫 | 24 小時 |
| 開啟地圖 | 沒有。您的瀏覽器會向地圖供應商要求圖磚,供應商會看到您的請求。 | 地圖供應商 | 供應商的條款 |
您的選擇
數據分析
Pages viewed and basic engagement, by Google Analytics and PostHog. Never your trips, stops or exact location.
您送出的回報
用您的收據查詢
您的權利
查看、複製、更正或刪除
此頁面尚未標示最後更新日期。
每次變更計算訪問次數
We count visits ourselves, without cookies. Cloudflare counts them too, without cookies. Google Analytics and PostHog count unless you switch analytics off, with one tap in Your choices. A browser privacy signal switches them off for you.
您的權利
您可以查看我們保存了您的哪些資料、取得副本、更正資料或要求刪除。大部分情況下，我們不需要知道您是誰，憑您的收據就能處理。請在「您的選擇」中選一項權利。
誰為此網站負責
| 問題 | 答覆 |
|---|---|
| 由誰營運 | One independent citizen, named on the independence page. Not OC Transpo, STO or the City. |
| Who owns it | The person who runs it. No company or investor. |
| Who decides what is published | Our published methods. No funder or operator can change a figure. |
| Who pays | The owner pays the costs; donations buy no coverage. Every cost is on the Funding page. |
| 提供給他人的資料 | Map tiles, Cloudflare (visit counts), Google Analytics and PostHog (unless you switch them off), Stripe (donations). The register lists every recipient. |
| Next review | 十月14日，2026年 |
- 由誰營運
- One independent citizen, named on the independence page. Not OC Transpo, STO or the City.
- Who owns it
- The person who runs it. No company or investor.
- Who decides what is published
- Our published methods. No funder or operator can change a figure.
- Who pays
- The owner pays the costs; donations buy no coverage. Every cost is on the Funding page.
- 提供給他人的資料
- Map tiles, Cloudflare (visit counts), Google Analytics and PostHog (unless you switch them off), Stripe (donations). The register lists every recipient.
此頁面尚未標示最後更新日期。 Next review 十月14日，2026年. 每次變更
完整政策,以及您的私隱控制
誰負責 Otranspo
- 擁有者和營運單位
- 一位獨立的渥太華–加蒂諾市民，姓名列於獨立性頁面
- 服務負責單位
- 上述負責人擁有 Otranspo，並對其產品、營運、私隱決定、安全應變及公開說明負責。
- 編輯控制
- 上述負責人作出最終的編輯和發布決定。交通機構、市政府、資料提供者、主機服務公司、分析服務提供者和捐助者，都不會指導報導內容或結論。
- 資金模式
- 上述所有者負擔本專案的營運費用。Otranspo 不刊登廣告。若有自願捐款,捐款不能換取使用權、有利的報導或編輯控制權。
- 官方狀態
- Otranspo 與 OC Transpo、STO、渥太華市或加蒂諾市沒有隸屬關係，也未獲其認可或由其營運。本服務只補充官方資訊，並不提供公共交通服務。
- 應用程式說明已審閱
- 九月14日，2026年
- 下次來源審查到期日
- 十月14日，2026年
本審查將公開說明與目前的應用程式來源及已設定的功能規則作比較。這不是法律意見,也不能證明待處理的來源修訂已經上線。目前的服務狀況和已發布的更正各有專屬的證據頁面。
乘客服務會處理哪些資料
出發和行程規劃的搜尋，只會用來回應目前的請求。Otranspo 不會保存失敗或中途放棄的搜尋，也不會把確切的起點、目的地、座標、備註或行程詳情傳送到分析工具。
已儲存的地點、站牌、行程和最近的行程只會保存在目前的瀏覽器中，不會同步到 Otranspo 帳戶。
任何人都可以不建立帳戶就提交私人的交通訊息通報。匿名證據的比重低於連結帳戶的證據，會收到私人收據，並會先經過審核，足夠大的彙總資料才可能公開顯示。事後登入也不會自動連結先前的通報。
用來確認附近擁擠情況觀測的精確位置，不會與該觀測一併儲存。只會保留配對的車輛、所回報的擁擠程度、粗略的驗證資料，以及必要的稽核資料。
任何人都可以傳送私人的聯絡訊息或網站支援訊息。訊息和選填的重現步驟都會加密。只有在寄件人要求回覆並明確同意時，才會收集電子郵件地址。這類訊息絕不會被當作交通事件的證據，也不會被公開。
可選用的谷歌地圖交通方式比較
只有在乘客明確要求比較時,Otranspo 才會把已確認的座標和出發意向傳送到 Google Maps Routes,以計算駕車、步行和騎單車的路線。地點標籤、已儲存的地點名稱、公共交通行程、帳戶資料和報告都不會包含在內。
比較結果只是暫時的，Otranspo 不會儲存，也不會放入瀏覽器歷史記錄。沒有這項比較，核心的交通規劃仍可使用。Google 依照自己的條款和隱私政策處理這項請求。
存取、匯出、更正、撤回和刪除
已登入的乘客可使用經驗證的私隱端點,匯出或刪除與帳戶相連的 Otranspo 記錄。刪除要求只會以去識別化的形式,保留法律或營運上必須保留的稽核資料。
匿名報告或聯絡訊息的發送者，會收到一個私人收據憑證。如要提出查閱、更正、撤回或刪除的要求，請向獲授權的隱私聯絡人出示此收據。這不是公開分享連結。
請勿在一般聯絡訊息中填寫敏感的行程或安全資訊。如要提出權利請求，請使用聯絡頁面上列出的授權隱私聯絡人。
保存期限
私人提交的回報最多保存 365 天，除非有進行中的安全審查、申訴或法律保全要求，並有文件記錄的延長。冪等性與防濫用記錄會在 24 小時後到期。營運資料來源的觀測資料不是乘客記錄。
私人聯絡個案在處理期間會保持開啟。個案獲得解決、關閉、標示為垃圾訊息或標示為轉錯對象後，會安排在 365 天後刪除。與帳戶連結的個案，也會在經驗證的帳戶刪除時一併處理。
僅儲存在瀏覽器中的資料會一直保留，直到乘客自行移除、清除網站資料，或瀏覽器將其清除。
乘客資料可能流向哪裡
每一列都會寫明接收方、確切目的、什麼情況會開始交接、可以傳送什麼，以及 Otranspo 執行或能如實說明的保存期限。有條件的列並不代表該功能目前已啟用。
Otranspo 不會出售乘客資料，不會建立廣告用戶檔案，也不會允許服務提供者將私人回報重複用作公開內容。
Vercel 平台
服務中- 目的
- 提供 Otranspo 網站和 API，轉送請求，並運作安全與可用性控管。
- 發生時間
- 每當瀏覽器要求 Otranspo 的頁面、資源或 API 操作時。
- 已傳送的資料
- 所請求的網址、網路和瀏覽器請求中繼資料，以及乘客提交時的 API 請求內容。Otranspo 在進行分析前會移除查詢字串，但代管服務的請求仍須送達所請求的網址。
- 保存期限範圍
- Otranspo 只會在下列各項用途所訂的期限內保存乘客紀錄。服務供應商的安全紀錄和請求紀錄，依照所設定的代管帳戶控制措施處理，不視為乘客歷史紀錄。
Supabase 資料庫服務
服務中- 目的
- 代管 Otranspo 的 PostgreSQL 紀錄，並提供可選的帳戶驗證。
- 發生時間
- 當服務讀取或寫入持久的應用程式資料，或乘客選擇登入時。
- 已傳送的資料
- 僅限特定用途的 Otranspo 資料庫記錄。登入時,則包括共用身分服務所保存的帳戶識別碼、電子郵件和工作階段資料。乘客登入,並不代表其私人行程會被同步。
- 保存期限範圍
- 只存在瀏覽器的地點和最近行程會留在瀏覽器中。私人報告和已結案的聯絡個案預定在 365 天後刪除。濫用記錄和冪等記錄在 24 小時後到期。共用身分，以及財務或法律上的例外，會在刪除結果中列明。
Cloudflare 網站分析
服務中- 目的
- 由外部單位核對 Otranspo 自己的造訪次數。不使用瀏覽器追蹤檔案，也不建立乘客個人檔案。
- 發生時間
- 每次瀏覽頁面時。
- 已傳送的資料
- A page address without its query string plus the limited network and browser facts used by Cloudflare’s cookieless measurement. Search terms, coordinates, itinerary details, form text, and saved places are excluded.
- 保存期限範圍
- Otranspo 只會收到彙總的訪客數量，不會用這個計數器建立任何個人層級的 Otranspo 分析紀錄。
Upstash（Otranspo 訪問次數統計總數）
服務中- 目的
- 保存 Otranspo 自家訪客計數器的每日總數。此計數器不使用瀏覽器追蹤檔案。
- 發生時間
- 每次瀏覽頁面或乘客完成任務時記錄，但傳送「全球隱私控制」或「請勿追蹤」訊號的瀏覽器除外。
- 已傳送的資料
- 只統計這些項目：頁面類型、不含查詢字串的頁面網址、語言、來源網站名稱、活動標籤、裝置尺寸類別、國家和加拿大省份，以及乘客任務名稱。不會傳送網際網路位址、瀏覽器描述、Cookie 或識別碼。
- 保存期限範圍
- 只記錄每日總數，並在 400 天後刪除。不會留下任何單次頁面瀏覽的紀錄。
Google 分析服務
- 目的
- 在停用廣告功能的情況下，統計公開頁面的大致類別。
- 發生時間
- 在顯示網站通知後預設啟用，除非乘客已拒絕分析，或已開啟「請勿追蹤」或 Global Privacy Control。私人頁面不包含在內。
- 已傳送的資料
- 固定的公開頁面類別與類別標題、來源網站、基本的瀏覽互動情況，以及 Google 分析 cookie 和技術性請求中繼資料。不包含詳細路徑、所有查詢字串、搜尋內容、座標、行程規劃和表單內容。
- 保存期限範圍
- 撤回同意後,將停止新的量測,並移除 Otranspo 可見的 Google Analytics 瀏覽器識別碼。由服務供應商保存的事件,仍受所設定的分析資源和 Google 政策約束。
PostHog 分析工具
- 目的
- 只衡量一小份經核准的產品成果清單，讓 Otranspo 能找出乘客操作失敗的流程。
- 發生時間
- 當受管控的僅匯總設定可用時，預設啟用。但如果乘客已拒絕分析，或瀏覽器的隱私訊號已啟用，則不會啟用。
- 已傳送的資料
- 經審查的事件名稱，以及語言、視窗大小類別、輸入模式、連線狀態和乘客操作結果等概略屬性。自動擷取、工作階段錄製、自由輸入文字、精確位置和個別行程歷史紀錄均已停用。
- 保存期限範圍
- 事件使用共用的彙總識別碼,而不是乘客身分。請求仍會送達供應商,因此不會被說成完全匿名。PostHog 會將事件保留一年,這是帳戶方案的固定期限。關閉分析後,就不會再產生新事件,乘客功能仍可使用。
Google 地圖路線
- 目的
- 計算可選的駕車、步行和騎單車比較。
- 發生時間
- 只有在乘客明確要求比較交通方式時才使用。
- 已傳送的資料
- 已確認的起點和目的地座標,以及出發意向。地點標籤、已儲存的地點名稱、公共運輸行程、帳戶資料和回報都不包括在內。
- 保存期限範圍
- Otranspo 只會暫時處理回應，不會儲存，也不會加入最近行程記錄。Google 依其自身的條款和私隱政策處理該請求。
OpenStreetMap Standard，目前使用的底圖圖磚提供者
服務中- 目的
- 在站牌、車輛和路線後方繪製互動式底圖。
- 發生時間
- 當乘客開啟顯示互動地圖的頁面時。
- 已傳送的資料
- 瀏覽器會依可見的地圖範圍和縮放等級請求地圖圖磚，並附帶一般的網路請求中繼資料。私人通報、帳戶紀錄和已儲存的地點標籤不會作為圖磚資料傳送。
- 保存期限範圍
- Otranspo 不會儲存乘客地圖檢視範圍的服務供應商副本。服務供應商的請求記錄,仍受目前所用供應商的條款規範。
Stripe 支付服務商
服務中- 目的
- 提供選擇性的捐款結帳頁面，並開立支付處理商的付款收據。
- 發生時間
- 只有當使用者在捐款頁面選擇「繼續前往安全結帳」時才會傳送。查看乘客資訊或資助頁面時，不會向 Stripe 傳送任何資料。
- 已傳送的資料
- 捐款金額和頻率、Otranspo 的私人捐款參考編號,以及直接在 Stripe 輸入的付款和收據資料。Otranspo 不會收到或儲存信用卡或銀行資料。
- 保存期限範圍
- Otranspo 會安排在保存起算日之後的七年又一天，刪除最低限度的會計、退款、爭議及對帳記錄。選填的加密捐款人聯絡資料會在 400 天後刪除，或應您的要求提早刪除。信用卡和銀行資料由 Stripe 保管。
OC Transpo 或 STO
- 目的
- 讓乘客可以聯絡官方業者，查詢車資、緊急情況、無障礙協助、投訴，或取得具權威性的服務決定。
- 發生時間
- 只有當乘客點選明確標示、前往所選營運單位的連結時才會這樣做。
- 已傳送的資料
- Otranspo 不會傳送私人的 Otranspo 回報。目的地網站會收到一般的瀏覽請求，以及乘客在該網站自行提供的資料。
- 保存期限範圍
- 轉交後提交的資料，適用所選營運單位的網站和聯絡程序。
Your privacy controls
Before you export or delete
Four data scopes, four separate controls
A server download or deletion cannot reach every place where information may exist. Review each scope first so the result says exactly what changed and what still needs a separate action.
Deleting Otranspo records does not clear this browser, delete a shared sign-in identity, or cancel a monthly donation. Each needs its own action below.
This browser and device
Local to this deviceThese records stay in browser storage and remain usable without an account.
Inspect or clear this device’s dataDetails about this data and its limits
What this includes
- saved places and recent searches
- recent or active trips
- unfinished report and crowding drafts
- local notification inbox, map choices, language and rider preferences
- Export result
- They are not in the server export because the server cannot read them. Settings shows the local categories that this browser can inspect and clear.
- Deletion result
- Deleting Otranspo service records does not clear this browser. Clear the chosen local category in Settings on each device you used.
Otranspo service records
Controlled by the signed-in ownerThese are records in Otranspo’s database that are linked to the current account.
Go to the owner-only exportDetails about this data and its limits
What this includes
- private reports, contact cases and privacy requests
- route requests, votes, proposal support and crowding submissions
- account saves and merge history
- journey watches, recurring journeys, devices, consents, delivery history and access grants
- Export result
- The owner-only JSON download includes current account-linked records and identifies intentionally excluded secrets such as notification addresses and replaceable encrypted coordinates.
- Deletion result
- Permanent deletion removes each covered category inside one transaction and re-counts every category before claiming success. A short pseudonymous audit and replay-safe receipt remain under their stated limits.
Shared sign-in identity
Separate account-service recordThe account identifier, email, authentication methods and sessions belong to the shared Supabase identity service.
Ask for shared account removal stepsDetails about this data and its limits
What this includes
- account identifier and email
- password, passkey or configured sign-in method
- authentication sessions and security events
- Export result
- These records are not included in an Otranspo export. The export names the processor and the boundary instead of silently copying the identity into Otranspo.
- Deletion result
- Otranspo deletion does not delete the sign-in identity. Complete Otranspo deletion first if desired, then use the private privacy intake to request the account-service steps and learn which other service sessions may be affected.
Donation and payment records
Controlled by a private donation receiptStripe holds card or bank details. Otranspo holds only the minimum donation, accounting, refund, dispute and optional contact records described on the funding pages.
Open donation receipt and management helpDetails about this data and its limits
What this includes
- Stripe payment method and processor receipt
- donation amount, frequency and private Otranspo receipt
- optional encrypted contact details
- separate optional public-recognition choice
- Export result
- Donation records are receipt-scoped rather than joined to the Otranspo account export. Otranspo never exports card or bank details because it never receives them.
- Deletion result
- Otranspo account deletion does not cancel a monthly donation or erase records under financial retention. Use the private donation receipt to manage recurrence, erase optional contact details or remove public recognition.
Opening a linked control carries only the page address and the purpose named in the link. Otranspo does not merge browser, account, journey, report, donation, or payment records across services behind the scenes.
Consent register
Each optional use has its own decision
There is no single accept-all switch. Changing one choice affects only the purpose and records named in that row.
Optional analytics
Manage optional analytics- Applies to
- This browser
- How state is known
- Shown and changed directly below. Browser privacy signals keep it off.
- What changing it does
- Turning it off stops future optional collection, removes Otranspo-visible Google Analytics identifiers and leaves all rider tools working.
Exact journey monitoring and closed-page delivery
Manage journeys and delivery devices- Applies to
- One activated journey watch and one delivery device
- How state is known
- Granted during watch activation; browser permission alone is not consent or registration.
- What changing it does
- Ending the watch stops future checks. Revoking the registered device stops future delivery without changing other saved routes or trips.
Working location, live sharing and support access
Review or revoke journey grants- Applies to
- One active journey, recipient and short purpose
- How state is known
- Separate expiring grants are listed in Journey privacy; a location grant is not a sharing or support grant.
- What changing it does
- Revocation immediately ends that access. The replaceable working point expires within five minutes and does not create a movement trail.
Private contribution and any public aggregate use
Open contribution receipts- Applies to
- One report, observation or request
- How state is known
- Confirmed during that submission. Public rail evidence requires a second explicit choice and moderation.
- What changing it does
- Withdrawal follows the private receipt and stops future permitted use where policy allows; it does not erase already de-identified public aggregates.
Donation receipt or project-update contact
Manage from a private donation receipt- Applies to
- One private donation receipt
- How state is known
- Off until a person asks for contact and separately consents to encrypted retention.
- What changing it does
- Erasing contact removes the optional name and email while retaining only records required for accounting, refunds or disputes.
Public donor recognition
Manage public recognition- Applies to
- One donation receipt and one chosen display name
- How state is known
- Separate from contact consent and off by default. A contact name is never treated as permission to publish it.
- What changing it does
- Turning recognition off removes the name from future supporter-page output without cancelling the donation or receipt contact choice.
What works without an account
Reading rider information, changing consent on this device, and asking a privacy question do not require an account.
Access, export, correction, scoped deletion review, appeal, and permanent deletion of account-linked records require the signed-in account owner.
Saved places, recent searches, and unfinished drafts stay on this device. The server cannot export or delete them.
Manage device-only data in SettingsSite usage analytics
Optional analytics is off on this device.
Turning optional analytics off stops future optional collection on this device immediately. The page reloads to apply the new setting everywhere.
Previously aggregated or de-identified measurements cannot be traced back to this device and therefore cannot be reversed.
Access or export account-linked records
The download contains only records linked to this Otranspo account. It does not contain browser-only data or records held by the shared identity provider.
Delete account-linked Otranspo data
Review every item below. This action permanently deletes the account-linked records that Otranspo can verify, while browser data, the shared sign-in identity and payment records keep their separate controls.
Deletion review
- Account-linked reports, requests, votes, crowding submissions, private contact cases, and rider scores in the Otranspo database are deleted where no documented exception applies.
- Device-only saves and drafts stay on this browser until you clear them in Settings; the server cannot reach them.
- Notification endpoints and synced saves are removed only when they exist in the account-linked Otranspo systems covered by the verified deletion response.
- Donation and payment records may have separate legally required financial retention and are not claimed deleted by this control.
- Public aggregate statistics that no longer identify a person are not reversed.
- After successful permanent deletion, the deleted account-linked records cannot be restored.
- The shared authentication account is not deleted by this Otranspo-specific action.
Sign in as the account owner before submitting or changing account-linked records.
Ask a privacy question without an account
Use the private contact form for a general question or to ask for another identity-verification method. Do not send identity documents.
Open the privacy contact form