1 名片資料存在哪裡？
CardNest 把資料分成兩個地方：員工的個人名片庫只存在自己的手機與個人 iCloud，不經過 CardNest 的伺服器；企業協作區的資料存放在 Google Cloud（Firebase）的台灣機房（asia-east1）。只有員工主動發佈到協作區的名片才會上傳。
| 資料 | 存放位置 | 誰看得到 |
|---|---|---|
| 個人名片庫 | 員工自己的手機與個人 iCloud | 只有員工本人；公司與 CardNest 都看不到 |
| 企業協作區的名片、影像與團隊備註 | Google Cloud（Firebase）台灣機房（asia-east1） | 受邀加入該協作區的成員，以及該企業的管理員 |
| 企業異動紀錄 | Google Cloud（Firebase）台灣機房 | 該企業的管理員（唯讀，可匯出） |
發佈到協作區採「複製快照」方式：員工把名片發佈出去，協作區收到的是一份副本，員工的個人名片庫不會因此被公司讀取或修改。
2 誰看得到公司的名片？
每家企業、每個協作區都是獨立的權限範圍，只有經過授權加入的成員可以存取對應的資料，無法跨企業或跨協作區查看。企業管理員只能管理掛在自己企業名下的協作區，看不到員工的個人名片庫，也看不到員工自己另外建立的協作區。
- 成員制加入：必須用加入碼或邀請碼加入；碼外流時可以重新產生，舊碼立即失效。
- 移除即失效：成員被移出協作區後，存取權立即失效。
- 三種協作區角色：擁有者、管理員、一般成員，可執行的操作明確區分，例如一般成員只能編輯或刪除自己上傳的名片。
- 企業管理員：可整理與匯出企業名下協作區的名片、管理成員與席位，但不能解散協作區，也不能移除協作區擁有者。
3 帳號與權限怎麼控管？
CardNest 使用 Apple 或 Google 帳號登入，不儲存任何密碼。成員異動、角色變更、資料刪除等敏感操作，都在伺服器端逐次驗證權限，不只是介面上隱藏按鈕；資料庫存取規則採預設全部拒絕、逐項開放，並在每次變更前後用自動化測試驗證。
4 名片辨識會把資料傳到外部嗎？
CardNest 有兩種辨識模式，使用者可以在 App 內自行切換。「裝置端辨識」模式下，文字辨識與欄位整理全程在手機上完成，內容不傳送到外部 AI 服務；預設的「智慧辨識」模式會把辨識出的文字加密傳送到雲端 AI 整理欄位。
| 模式 | 怎麼處理 | 適合誰 |
|---|---|---|
| 智慧辨識（預設） | 先在手機上辨識文字，再把文字加密傳送到雲端 AI 整理成姓名、公司等欄位；手機無法辨識時，才把名片影像加密傳送到雲端辨識 | 希望欄位整理最準確的使用者 |
| 裝置端辨識 | 辨識與欄位整理全程在手機上完成，可離線使用，名片內容不傳送到外部 AI 服務 | 對資料外流特別敏感的企業與使用者 |
5 傳輸與加入碼的保護
所有連線都使用 TLS 加密。企業加入碼與授權碼都在伺服器端驗證，並限制猜錯的嘗試頻率，防止暴力猜碼；系統日誌與稽核紀錄都不記錄碼的內容。
6 異動紀錄與供應商存取
企業層級的異動，例如成員加入與移除、角色變更、席位與授權調整、加入碼重新產生、協作區建立，都由伺服器自動記錄，企業管理員可以在後台查閱並匯出 CSV。CardNest 維運人員對企業帳戶做的操作，也同樣寫入這份紀錄。
- 紀錄唯讀：只有伺服器可以寫入，任何使用者（包括管理員）都無法修改或刪除。
- 日常維運走專用系統：CardNest 的日常維運透過內部維運後台執行，需要專屬權限，所有操作（包括讀取）都留下稽核軌跡。
- 維運後台不接觸名片內容：維運後台只能管理企業帳戶層級的資訊，例如席位、方案、成員名冊、協作區名稱與數量，系統設計上不具備讀取名片內容、影像與備註的功能。
- 緊急存取分離：緊急維運時的存取屬於例外程序，與日常維運路徑分開管理。
誠實說明：CardNest 目前不是端對端加密架構。在必要的系統維運情境下，具有最高雲端系統權限的人員，技術上仍可能存取資料。我們不會把企業客戶的名片內容當作一般營運查看或使用，並以權限分層、稽核紀錄與存取路徑分離持續降低這項風險。
7 員工離職後，資料會被帶走嗎？
員工上傳到企業協作區的名片會留在公司，不會因為離職而消失。管理員在企業後台移除該成員，並將他移出協作區後，他就無法再存取公司的名片；員工自己的個人名片庫則屬於個人，存在他自己的手機裡。
離職時的席位與授權處理方式，請見企業方案的離職處理。
8 開發與營運單位
CardNest 名片巢由台灣公司粗糙空間創意有限公司（RoughZone Creative Co., Ltd.）開發與營運。如果貴公司有 IT 或資安規範、供應商資安檢核表，歡迎提供，我們會依 CardNest 實際架構逐項確認與說明。