獎勵與激勵計畫的實用解答

Giftpack 在使用 AI 協助推薦、搜尋或提案時，應遵循資料最小化、目的限制、權限控制與人工審核原則。AI 不需要知道收禮者的一切，只需要足以建立合適且可交付選項的資料。

降低風險的做法

• 優先使用活動、國家、預算與收禮者主動提供的偏好
• 避免輸入健康、財務、宗教、政治或其他不必要敏感資訊
• 以角色與工作區限制誰能使用資料與查看結果
• 對 AI 推薦保留人工審核、移除與替換能力
• 記錄資料來源、用途與模型輸出的使用方式
• 依合約與設定管理第三方模型或子處理者
• 不把 AI 猜測當作已知事實或敏感決策依據

企業應避免

把自由文字備註、私人對話或未經同意的社群資料直接貼入推薦流程。若使用 API 或整合傳入資料，也應限制欄位並建立刪除與錯誤修正機制。 AI 推薦是一種輔助工具，不應用於歧視、排除、員工績效判斷或其他高風險用途。

Giftpack 會依服務需要、合約、法律義務與安全政策保存資料，並透過角色權限限制誰能查看或操作。資料不應因為「也許以後會用到」而永久保留，刪除也需要兼顧訂單、稅務、爭議與稽核紀錄。

保存期限可能不同

• 邀請與未完成兌換資料
• 已完成訂單與物流紀錄
• 發票、付款與稅務文件
• 客服、瑕疵與爭議證據
• 系統日誌、備份與安全紀錄
• 企業工作區設定與使用者資料

存取控制

管理員可依角色與工作需要限制收禮者資料、地址、財務報表、API 與設定。Giftpack 內部與受託服務提供者也應遵循最小權限與保密要求。

刪除與資料權利

企業或收禮者可透過適用流程提出存取、更正或刪除要求。部分資料可能因法律、反詐騙、付款或合約需要暫時保留，或先從主要系統刪除、再依備份週期消除。具體期限應查看 DPA、隱私政策與客戶設定。

依 Giftpack 目前公開的安全說明，資料在傳輸與儲存時皆使用產業標準的加密協定，平台基礎設施運行於受管理的 Google Cloud Platform 環境。正式演算法、金鑰管理與適用範圍應以最新安全文件、SOC 2 材料與適用合約為準。

傳輸中的資料

瀏覽器、API 與服務之間應使用 HTTPS/TLS，降低資料在傳輸途中被竊聽或竄改的風險。企業整合也應驗證憑證、避免不安全協定，並保護 API Key。

儲存中的資料

資料庫、檔案、備份與物件儲存應採用雲端或應用層的加密機制，並以權限、金鑰管理、監控與備份政策共同保護。加密不能取代適當的存取控制。

企業端注意事項

從平台匯出的 CSV、下載的報表、Email 附件與內部試算表可能離開 Giftpack 的控制範圍。企業應限制下載、使用受管理裝置、設定保存期限，並避免在聊天工具中傳送完整地址或憑證。

可以。企業在採購或導入 Giftpack 時，可提出資料處理協議（DPA）、安全問卷、SOC 2 Type II 報告、子處理者資訊、隱私與安全政策，或其他合理的供應商審查需求。

常見審查資料

• DPA 與跨境資料條款
• SOC 2 Type II 報告或稽核摘要
• 安全架構、加密與存取控制說明
• 子處理者、資料位置與保存政策
• 弱點管理、事件應變與營運持續計畫
• 滲透測試或安全測試摘要，依可提供範圍
• 保險、認證與公司基本資料

取得方式

部分公開文件可直接提供；包含系統細節或稽核內容的資料可能需要 NDA、客戶資格確認或透過安全信任中心存取。高度客製問卷也可能需要安排技術與法務審查時間。 為加快流程，企業最好先標示阻斷性要求、上線日期、資料類型與整合範圍。Giftpack 會依實際產品與資料流回答，而不是用一份萬用答案貼滿每一格。

是。Giftpack 可支援企業常見的資訊安全與隱私合規要求，包括 SOC 2 Type II 與 GDPR 相關的資料保護與企業審查需求。 企業客戶可依需要進行安全問卷、DPA、供應商安全審查或索取適用的安全文件。Giftpack 也會依資料類型、使用情境、國家與系統整合方式評估存取控制、資料處理與保留要求。 不同法規的適用範圍取決於客戶、資料主體、處理目的與地區。若企業需要針對 GDPR、特定州法或其他法規進行正式確認，應以最新隱私政策、DPA 與安全審查文件為準。

Giftpack 透過企業級安全控制、存取權限、加密、監控與資料最小化來保護企業及收禮者資料。安全不只存在於登入頁，也涵蓋 API、內部權限、供應商協作、物流履約與事件處理。

主要保護措施

• 傳輸與儲存資料的加密
• 角色與最小權限存取控制
• SSO、MFA 或企業身分管理，依方案
• 安全開發、弱點管理與變更控制
• 日誌、監控、備份與事件應變
• 供應商與第三方風險管理
• 依服務目的限制個人資料的使用與保留
• 獨立稽核與合規控制，例如 SOC 2 Type II

企業也需要共同治理

企業應只上傳完成活動所需資料，限制誰能查看住址、報表與 API Key，並定期移除不再需要的使用者。自動化與整合也應有錯誤、重複與撤銷機制。 安全控制會隨產品、方案與風險持續更新。需要正式評估時，應以 Giftpack 當期安全文件、DPA、SOC 2 報告與合約，而不是只依本 FAQ 判斷。