名片上是別人的個資，不該存在別人的伺服器裡

這個類別裡沒有人講的論點

你掃一張名片的時候，被處理的個資不是你的。那是某個人在會議上遞給你的一張紙上面的姓名、直撥電話、公司信箱，通常還有手機號碼。他同意讓你擁有這些資訊，他沒有同意讓另一個國家的第三方公司保存它、建索引，或者拿它去長社交關係圖。

雲端名片 App 每次你按下快門，就代替他做了那個決定，而且無聲無息。只有名片不經過 App 廠商的架構，才能讓「掃描別人的名片」這件事不等於把他的資料交給一間他沒聽過的公司保存。在台灣《個人資料保護法》底下，這比泛泛而談的隱私行銷實在得多，而且雲端競品沒辦法在不重寫產品的情況下抄走。

名片屋做什麼、不做什麼

• 掃描和文字辨識在你的裝置上執行，用的是 iOS 內建的 OCR，沒有網路也能掃、能存。
• AI 辨識（把姓名、公司、部門、分公司、職稱、地址整理進欄位）：iOS 26 上在裝置上執行。從 1.1 版起，在 iOS 27 上會先交給 Apple 的 Private Cloud Compute，連同那一張名片的照片。
• 會後跟進草稿（1.2 版起）：只在你按下產生草稿時，在 iOS 27 上先交給 Apple 的 Private Cloud Compute。送的是姓名、職稱、公司，以及你的見面紀錄、標籤、印象和提示；電話、Email、地址、統編和照片都不會送出。
• 名片上的地址會拿去 Apple 地圖查詢，讓這張名片能標在地圖上。送出去的只有地址文字，給的是 Apple，不是我們。
• 名片存在你的裝置上，想在 iPad 上也看到的話，透過你自己的 iCloud 私有資料庫同步。我們不是那個同步的一方，也讀不到。
• 沒有帳號。 用這個 App 不需要 Email、不需要密碼、沒有個人檔案，沒有東西可以被外洩。
• 沒有廣告、沒有追蹤、不用帳號，也沒有任何東西在記錄你怎麼用這個 App。 沒有 Firebase、沒有 Mixpanel、沒有當機回報或歸因 SDK，沒有廣告識別碼，也不會跳出 App 追蹤透明度（ATT）的詢問視窗。
• 從 1.2 版起，購買紀錄可以交給 RevenueCat。 新安裝預設開著，1.2 版之前就在用的人預設是關的，開關在 App 的「設定 › 隱私」。它收到的是這筆購買和這次安裝的一組匿名代號；名片、名片照片、你的姓名和 Email，它一樣都收不到。下面寫得更細。
• 沒有廣告，也沒有廣告識別碼，任何方案都沒有。

辨識到底在哪裡跑

兩層。第一層用 iOS 內建的 OCR 把名片上的字讀出來，能確定的欄位就直接填——這一層永遠在你的手機上。第二層是 AI 辨識：判斷哪一行是部門、哪一行是職稱、哪一行是分公司，並且把中文名和英文名綁在同一個人身上。

第二層在哪裡跑，看版本和系統。1.1 版之前，以及 iOS 26 上，它用 Apple 裝置端的語言模型，在手機上執行。從 1.1 版起，在開啟 Apple 智慧的 iOS 27 上，它會先交給 Apple 的 Private Cloud Compute，連同那一張名片的照片。Apple 把它設計成：送過去的內容只用來處理這一次，處理完不會被保存，連 Apple 自己也無法存取。沒有網路、機型不支援，或 Private Cloud Compute 暫時用不了的時候，改用手機上的 Apple 智慧；再不行就用第一層的內建辨識。沒買 Pro、免費的 AI 辨識額度又用完時，AI 辨識根本不會執行：直接由內建辨識在手機上讀名片，什麼都不會送到 Private Cloud Compute。不管走哪一條，名片都會存進來，也都不會送到我們這裡。從 1.1.1 版起，名片屋的「設定 › Apple 智慧」裡有「AI 功能使用 Private Cloud Compute」開關，預設開啟；關掉的話，AI 辨識就只在手機上跑。

另外一件從 1.0 版就有的事：名片上印的地址，會在拍下、匯入或編輯之後拿去 Apple 地圖查詢，這樣名片才能標在地圖上。送出去的只有那串地址，收到的是 Apple，不是我們。

這一頁以前寫過：如果哪天要把名片送出裝置，會預設關閉。1.1 版的 AI 辨識不是這樣做的——在 iOS 27 上它預設就會使用 Private Cloud Compute，所以我們把它寫在這裡，也寫進隱私權政策。1.2 版的會後跟進草稿也一樣預設使用它。1.1 版沒有關掉它的設定；從 1.1.1 版起，開關在「設定 › Apple 智慧」，關掉之後 AI 辨識和跟進草稿都不會用到 Private Cloud Compute。

1.2 版起：會後跟進草稿

1.2 版可以替你存下名片的人擬一則會後跟進訊息。你沒按下產生草稿，什麼都不會送出；第一次用之前，App 會先告訴你什麼送到哪裡。在 iOS 27 上，草稿先由 Apple 的 Private Cloud Compute 來寫；用不了、或你把開關關掉，就改用手機上的 Apple 智慧，再不行就用內建範本。送過去的只有寫這一則需要的：這張名片的姓名、職稱、部門和公司；最近一次見面的地點名稱（不含地址）、日期、類型和備註；最多六個標籤；你對這個人的印象；你之前標記為已送出的草稿（最多兩則）的簡短摘錄；你打的提示；還有你自己的姓名、職稱和公司。電話、Email、地址、統編、網址和照片都不會送出——你打的字裡如果有這些，送出前會先拿掉；信尾的署名是草稿回來之後才在手機上加上去的。依 Apple 的設計，這些內容只用來處理這一次，不會被保存，連 Apple 也無法存取；我們這邊一樣什麼都收不到。草稿跟著名片存在你的裝置上，開了同步就也在你自己的 iCloud 裡。

1.2 版起：RevenueCat，以及它的開關

1.2 版多了第三個收件方，而它收的不是名片。 購買紀錄可以交給 RevenueCat——一家替 App 開發者保管購買紀錄的公司。新安裝預設開著；在 1.2 版之前就完成設定的人，預設是關的——你已經在用了，不去動它就什麼都不會變。開關是「設定 › 隱私」裡的「購買紀錄交給 RevenueCat」，改動下次啟動生效。關著的時候，RevenueCat 的程式根本不會啟動，一個請求都不會發出：購買和恢復購買完全走 Apple 的 StoreKit，跟 1.1 版一樣。

開著的時候，RevenueCat 會收到：這筆購買（哪一項產品，以及 Apple 的交易紀錄）、為這次安裝隨機產生的一組匿名編號、App 版本與建置號、iOS 版本、機型、你偏好語言的前幾個、你的 App Store 國家或地區，以及這筆是不是沙盒購買。這份購買紀錄放在它的伺服器上，機房在美國的 Amazon Web Services。它收不到名片、名片照片、名片上讀出來的任何文字、你的姓名、Email、帳號（本來就沒有帳號）、這台裝置的識別碼、廣告識別碼，也收不到任何關於你怎麼使用這個 App 的資料。

為什麼會有這一段。 名片屋報名了 RevenueCat 辦的 Shipaton，規則要求 App 至少要有一筆內購是由 RevenueCat 的 SDK 驅動的。就這麼一個理由，也正是為什麼我們給它一個開關，而不是默默裝上去。解鎖 Pro 靠的還是 Apple 在這台手機上簽章過的交易紀錄，所以離線照樣能用、家人共享不受影響；RevenueCat 連不上的時候，購買也還是會完成。

承諾還在，而這次就是在履行它。 名片屋如果要把名片資料送給 Apple 以外的任何人，會在那個版本推出之前，先把對方的名字寫在這一頁上。RevenueCat 收到的是購買紀錄，不是名片——所以名片那一條本身沒有動；而 RevenueCat 是在 1.2 版上架之前寫在這裡的，不是之後。

Siri AI，以及名片屋站在它旁邊的位置

iOS 27 在 2026 年 9 月 14 日推送，帶來 Siri AI——用蘋果自己的話，是「一個由 Apple Intelligence 驅動、全新的 Siri」。這裡完全不是要唱衰它，而是在講範圍；而範圍是蘋果自己說的：Siri AI 以 beta 推出，「先支援英文」，而且在 iOS 上「初期不會在歐盟提供」。

對一個通用助理來說，這是誠實的出貨方式，但也代表禮拜一更新完的人裡，會有不少發現這一塊暫時還輪不到自己。名片辨識不是通用助理。它只做一件很窄的事，在發表會之前就已經做完了，而且在 App Store 服務的每一個國家裡，行為都一樣。它現在讀得懂中文、日文和英文名片——只有純韓文的那幾行例外，要對著名片照片自己補。沒有 beta、沒有候補名單、沒有地區限制。

差別不在好壞，在於觸及範圍。Apple Intelligence 需要的時候會連上雲端，用的是蘋果自己的 Private Cloud Compute；對一個什麼都要能回答的助理來說，這個設計很合理。名片屋也會用到它，但只在 iOS 27 上、只用在兩件事上：從 1.1 版起做 AI 辨識，連同那一張名片的照片；從 1.2 版起，在你按下產生會後跟進草稿時，送出寫草稿需要的那幾項名片資料。依 Apple 的設計，送過去的內容只用來處理這一次，不會被保存，連 Apple 也無法存取。我們這邊則什麼都收不到，因為 App 根本不向我們傳送任何東西。

比較一下

常見問題