プライバシーポリシー

1. 我们收集哪些信息

账户信息：注册时提供的邮箱地址、密码（加密存储）、可选的姓名/昵称。

命盘输入：你为生成解读而提供的出生日期、出生时间、出生地、性别——以及你为合盘添加的他人的相同信息。

使用数据：登录时间、解读类型、付费记录、AI 对话内容、塔罗抽牌历史，以及匿名的设备/浏览器信息（IP 地址用于反滥用，登录后立即按区段聚合）。

大师的记忆：你在对话中讲到自己生活的事，大师会记下简短的笔记，以便下次、在任何设备上都记得你（见第 11 节）。此功能默认开启，可随时关闭。

通知：如果你在 iOS App 中开启通知，我们会保存 Apple 为你的设备签发的推送令牌，并与你的账号关联，仅用于发送你所选择的通知。你可以随时在 App 中将通知设为“关闭”。

支付信息：网站上的支付通过 Stripe 处理；我们不保存信用卡号——仅保留 Stripe 返回的客户/订单 ID 与金额。在 iOS App 内购买时，由 Apple 处理付款；我们只收到 Apple 签名的购买记录（商品、交易编号、日期、价格与所在国家/地区），从不收到你的卡号或 Apple 账户信息。

联盟计划数据：如果你申请加入联盟计划——你的对外名称、申请说明、你选择 PayPal 提现时填写的 PayPal 邮箱，以及你接受的条款版本与时间；如果你通过合作推广者的链接进入——设备上的推荐 Cookie（见第 8 节），以及注册后记录你由哪位推广者推荐的归因记录（见第 9 节）。

2. 我们如何使用这些信息

生成你请求的解读和回答：你输入的信息仅用于产生你看到的内容。

账户与计费：识别身份、记录代币余额、处理付款（网站上经 Stripe，iOS App 内经 App Store）。

改进服务：聚合后的使用情况帮助我们提升解读质量、修复漏洞、优化界面。

安全：检测可疑登录、滥用 API、违反条款的行为。

3. 我们与谁共享信息

基础设施服务商：Vercel（托管）、Supabase（数据库与认证）、Stripe（支付）、Anthropic / OpenAI / DeepSeek（AI 推断）、Resend（交易邮件），以及在你允许分析 Cookie 后的 PostHog（产品分析）。这些服务商仅按"为我们处理数据"的角色处理你的数据。

Apple：你在 iOS App 内购买时，Apple 依其自己的条款与隐私政策处理这笔付款，并把签名的购买记录发给我们，以便我们交付你买的内容。

广告效果衡量（仅在你允许营销 Cookie 后）：Meta Platforms（Facebook / Instagram）。在你同意后，本站页面上的 Meta Pixel 与我们的服务器会告诉 Meta：你浏览了哪些页面、是否注册或开始结账，以及在你购买时的金额——同时附上经哈希处理的邮箱地址、浏览器的 User-Agent 与 IP 地址，以及 Meta 自己的 Cookie 标识符——以便 Meta 衡量我们的广告是否带来了这次访问或购买。就此而言，Meta 与我们为共同控制者，Meta 如何使用这些数据受其自身的隐私政策约束。你的出生信息、命盘与解读永远不会发送给 Meta。如果你的浏览器发送「全球隐私控制」(GPC) 信号，以上都不会发生。

法律合规：仅在受到合法传票或类似法律程序约束时配合披露。

跨境传输：部分服务商（如 AI 供应商与 Meta）位于新加坡境外（例如美国）。当我们将你的个人数据传输至境外时，会依《个人数据保护法》(PDPA) 通过合同要求接收方提供同等水平的保护。

我们不会将你的命盘数据出售给广告商或第三方数据经纪商。

合作推广者（联盟成员）只能看到汇总数据——点击、注册与付费人数、收入合计——永远看不到被推荐用户的身份、联系方式或购买明细。

4. AI 模型与训练

部分解读和回答由第三方 AI 模型协助撰写。我们发送给这些服务的内容仅限于完成你本次请求所需的信息。

各 AI 服务商如何处理这些信息受其各自条款约束。我们优先选择承诺不将 API 提交内容用于训练的服务商。

5. 数据保留

解读与命盘：默认保留至你删除账户。任何时候都可以从"天机档案局/Library"中删除单个命盘。

塔罗历史与对话：与命盘同样的保留期限；删除命盘会同时清除关联的对话与抽牌（大师从这些对话中记下的笔记除外，见第 11 节）。

账户元数据（邮箱、登录时间）：账户存在期间保留；删除账户后我们会在 30 天内清理，除法律要求外。

联盟计划：推广链接的点击数据保留 13 个月后自动删除；归因记录（你由哪位推广者推荐）在账户存续期间保留，其中的 IP 哈希在 13 个月后清除；联盟成员后台登录的地址哈希在最后出现后 13 个月删除。佣金、追回与提现记录属会计记录，依新加坡公司法与税法要求，自最后一笔记录起至少保存 5 年——即使联盟成员删除账户，其档案会被匿名化，但账本以及结算未付余额所需的收款邮箱会保留至上述期限。每一次接受《联盟计划条款》的记录（条款版本、所接受文本的指纹、接受时间、浏览器信息，以及当时的账户邮箱）在参与结束后保存 6 年——即新加坡合同纠纷的诉讼时效——以便确立或抗辩法律主张，账户删除后亦然。

6. 你的权利

访问：可在"账户/Account"页面下载你提交的所有数据。

更正：可在同一页面修改你的资料与命盘。

删除：可在 Library 中删除单个命盘。删除整个账户请在"账户 → 危险操作"提交删除请求（通过支持中心工单），或邮件至 sales@splashbros.games；我们会在 30 天内完成并邮件确认，法律要求保留的记录除外（见第 5 节）。

便携：可在"账户"中导出 JSON 格式数据。

撤回同意：你可随时撤回此前给予的同意（这可能影响部分功能的可用性）。

新加坡用户：根据《个人数据保护法》(PDPA)，你享有访问及更正个人数据的权利；欧盟 / 英国 / 加州用户另享有 GDPR / CCPA 框架下的相应权利。如需行使，请发邮件至 sales@splashbros.games。

不出售、不共享：我们不出售个人信息。经你同意的 Meta 广告效果衡量在加州法律下可能构成「共享」；你可以随时在 Cookie 偏好设置中关闭营销 Cookie 来退出，我们也将浏览器的「全球隐私控制」(GPC) 信号视为退出。

7. 安全措施

所有传输使用 TLS 1.2 及以上加密。

密码使用 bcrypt 派生算法（由 Supabase Auth 提供）；我们无法以明文形式查看你的密码。

访问数据库的服务密钥仅用于服务端代码，不暴露给浏览器；行级安全（RLS）策略限制每个用户只能访问自己的行。

数据泄露通知：若发生可能造成重大损害的个人数据泄露，我们将依《个人数据保护法》(PDPA) 在法定时限内通知新加坡个人数据保护委员会（PDPC）及受影响用户。

8. Cookies 与本地存储

必要 Cookies / localStorage：维持登录会话（Supabase Auth）、记忆语言选择（NEXT_LOCALE）、缓存最近一次解读的语言版本以加速渲染，以及记录你的 Cookie 偏好本身（dm-cookie-consent，1 年）。

营销 Cookie（可选）：当你通过合作推广者的追踪链接（/r/…）进入本站时，我们会在你的设备上设置推荐 Cookie（dm_aff，30 天），其中只包含该链接的公开代码与可选的推广活动标签，不含任何个人信息。它的唯一用途是在你注册时记录由哪位推广者推荐了你，以便该推广者就你注册后 12 个月内的购买获得计佣。如果你在 Cookie 提示中拒绝营销 Cookie，我们不会将你归因于任何推广者；你也可以随时清除该 Cookie。

分析 Cookie（可选）：只有在你允许后，我们才会加载产品分析工具（PostHog，经我们自己的域名代理），用于了解页面浏览与功能使用情况。

广告 Cookie（可选，默认关闭）：只有在你允许营销 Cookie 后，我们才会加载 Meta Pixel，它会设置 Meta 的 Cookie（_fbp、_fbc，最长 90 天），用于衡量我们在 Facebook 与 Instagram 上的广告是否把你带到了这里。登录、分享与邀请链接等页面不会运行 Pixel。我们把浏览器的「全球隐私控制」(GPC) 信号视为「不同意」。你可以随时在"账户 → Cookie 偏好设置"更改选择。

9. 联盟与推荐计划

作为被推荐用户：如果你通过推广者的链接进入并在 72 小时内注册，我们会记录一条归因记录（你的账户 ID、推广者与链接 ID、注册时的 IP 哈希与可选的活动标签）。它仅用于计算该推广者的佣金（限你注册后 12 个月内的购买），不会改变你获得的任何东西：你的产品、价格与待遇与其他所有用户完全相同。推广者永远看不到你的身份或购买明细；该记录在你的账户存续期间保留。

加入联盟推广候补名单时，我们只保存你提交与再次提交的时间、次数，以及你选填的说明；我们只会在有进展时通过注册邮箱联系你。作为联盟成员：须年满 18 周岁。我们保存你的对外名称、申请说明、渠道信息、你创建的链接、你接受的《联盟计划条款》版本与时间（同时作为同意记录保存）、以及你选择 PayPal 提现时的 PayPal 邮箱。我们不保存银行账户信息。相关的推广邮件通知可在后台设置中关闭。为履行支付与税务义务，我们可能要求你提供身份或税务居民信息；这些信息仅用于该目的。你使用联盟后台时，我们还会保存你网络地址的加盐哈希，并与你所推荐用户注册时的哈希进行比对，以识别通过第二个账号进行的自我推荐；该哈希在最后出现后 13 个月删除。

点击遥测：我们仅以隐私最小化方式记录推广链接的点击——IP 地址的加盐哈希（用于去重与防欺诈，不可还原为原始地址）、粗粒度设备类型、来源域名——并在 13 个月后删除。

10. 儿童隐私

本服务面向 16 岁及以上用户；联盟计划面向 18 岁及以上用户。我们不会有意识地收集 16 岁以下未成年人的信息。如果你认为我们持有此类信息，请联系 sales@splashbros.games 删除。

11. 大师的记忆

记下什么：你与大师对话时，大师会就你讲到的自己生活的事记下简短的笔记，让它在下一次对话中、在你登录的任何设备上都记得你——网站与 iOS App 读取的是同一份笔记。每条笔记用你自己的话写成（最多 140 字），属于以下几类之一：你正在考虑或计划的事、你生活中的人及其与你的关系、你做出的决定、人生中的事件及其日期、你喜欢的解读方式。负责记笔记的 AI 被要求不记录情绪、闲聊或大师自己说过的话；关于命盘本身的笔记会被拒绝。健康细节、金额以及他人的私人信息，只有在你明确请大师记住时才会保存；这类信息由 AI 识别，如果有你不想保留的被记下了，可以忘掉它（见下文）。

如何记下：每次回答之后，这一轮对话（以及之前最多三轮作为上下文）会发送给第 3 节列出的 AI 服务商之一，由它挑出值得记住的内容。我们也可能用同样的方式读取你过去的对话，让你在记忆功能推出之前讲过的事不被遗漏；这会跳过无痕模式命盘上的对话、外部 AI 助手代你提出的问题，以及所有关闭了记忆的用户。

如何使用：大师会读取一份由你的笔记、你的名字、你自己的命盘、你在天机档案局保存的命盘以及你为每日卡片选择的场景整理出的简短档案，再加上与你当前问题相关的笔记。敏感笔记永远不会进入这份档案。这些笔记不会与联盟成员、广告商或 Meta 共享，也不会提供给你连接到账户的外部 AI 助手。

你的选择：你可以随时关闭记忆（网站的“账户 → 大师记得的事”，或 App 的“我 → 大师记得”）；关闭期间，大师不会记下任何新内容，也不会使用已经记下的内容。你也可以在单次对话中取消勾选“记住这次对话”，在笔记刚保存时撤销，修改或忘掉任何一条，一次忘掉全部，以及在网站上把你的档案下载为 Markdown（.md）文件。

保留：笔记保留至你忘掉它或删除账户为止；忘掉即立即永久删除。删除命盘不会删除从其对话中记下的笔记——请在同一页面忘掉它们。最多保存 200 条当前笔记；达到上限后，在你忘掉一些之前不会再记下新内容。

12. 政策更新

本政策可能随服务发展而修订。重大变更会在本页发布并更新最近更新日期；如变更涉及你权利的实质性收紧，我们会通过邮件提前通知。