隐私政策

生效日期：2026 年 8 月 28 日

我们只收集排盘和对话所必需的信息。我们不索取邮箱、密码，也不建立追踪画像。我们不出售你的数据。你的原始生辰信息保留在你的设备上。只有推导出的命盘数据（绝不包含你的原始生辰信息）才会发送到我们的服务器，用于生成解读和对话。

1. 我们收集和处理的信息

无账户，无追踪。应用不会向你索取邮箱地址、手机号码或密码。首次启动时，我们会生成一个匿名账户令牌，即一串专属于你设备的随机标识符。它保存在你设备的安全存储中，让你的对话记录得以跨会话延续。网页版应用把这个令牌和你的档案存在浏览器给 app.reckoned.app 分配的本地存储里，清除网站数据就会一并清除。你可以用 Apple、Google 账号或邮箱链接登录，让购买记录和历史在不同浏览器、不同设备之间保持同步。

每个档案的生辰数据（仅存于设备本地）。你的出生日期、时间、时区、城市、经度和性别都保留在你的设备或浏览器上。在 iOS 应用里，它们存放在应用的私有存储中；在网页版里，它们存放在浏览器为本站点保留的本地存储里，未加密，只有 app.reckoned.app 上的页面能读取。这些数据绝不会发送到我们的服务器、存入云端数据库，也不会与任何第三方共享。删除应用、清除网站数据，或在设置里点击删除，都会清除这些数据。

档案备注信息（仅存于设备本地）。你为各个档案设置的称呼（例如"我"或"伴侣"）只保存在你的设备上。

对话消息与每日运势（服务器端存储）。你向 AI 发送的提问、后续的回复，以及所抽观音灵签的相关内容，会发送到我们的后端数据库并存储在那里，仅与你的匿名令牌关联。

推导出的命盘数据（服务器端，临时处理）。当你请求解读、追问，或抽取观音灵签时，你的设备会将本地的生辰字段转换为一段命盘文本数据（天干、地支、十神、大运和当日五行）。我们发送到后端和第三方 AI 模型用于生成回应的，正是这段推导出的命盘数据，而绝非你的原始出生日期或精确出生地。

订阅与额度状态（服务器端）。你的购买状态（免费档、订阅档或充值额度）和每日使用计数，会在我们的服务器上与一个匿名订阅标识符关联记录。支付由 Apple 处理（iOS 应用内，通过你的 Apple ID）或由 Stripe 处理（网页版）。在网页端购买时，Stripe 会收到你的支付信息、账单所在国家和邮箱地址；我们只会收到一个客户引用编号、购买的商品，以及它的状态。

聚合遥测数据（服务器端，去标识化）。为维护应用运行，我们会记录性能指标、延迟数据和错误率。你的匿名设备令牌在进入我们的遥测数据库之前，会先加盐并经 SHA-256 哈希处理，因此记录下来的值无法回溯到你的会话。

登录身份（可选，需主动开启）。如果你关联 Apple、Google 账号或邮箱地址，以便在不同设备间保留购买记录和历史，对应服务商会向我们共享一个专属于本应用的唯一标识符和一个邮箱地址（Apple 允许你遮蔽真实邮箱）。Google 还可能共享一个昵称。我们仅用这些信息在不同设备间保留你的购买记录和历史，以及发送你请求的登录链接。我们不会发送营销邮件，也不会将这个身份与 AI 模型或任何第三方数据库交叉比对。

2. 我们绝不收集的信息

• 电子邮箱地址
• 手机号码
• 密码
• 通讯录
• 照片
• 设备或硬件定位
• 广告标识符（IDFA）和追踪像素
• 由广告网络或数据经纪商出售的数据

以上信息我们一概不索取。

3. 你的数据如何被使用

用于排盘。所有八字计算都在你的设备本地完成，排盘过程不与任何服务器通信。

用于生成 AI 解读与灵签。当你开启对话或抽签时，推导出的命盘数据和文本历史会发送至第三方 AI 服务商的 API，以返回解读内容。此请求中不附带任何个人标识符、邮箱或设备密钥。

用于执行额度限制。我们在服务器上核对额度记录以管理使用量。为此我们不会查看你提问的内容。

4. 敏感类别数据的处理

由于生辰命盘可能透露私人的哲学或精神倾向（在 GDPR 第 9 条等框架下可能构成特殊类别个人数据），我们对这类数据加以隔离：

• 原始出生时间戳不会被本应用通过互联网发送。
• 推导出的命盘数据（天干、地支、运程）无法用于还原你精确的原始生辰录入。
• 没有任何第三方分析或广告平台会收到这些数据。
• 服务器端的对话记录通过行级安全策略加以隔离，静态加密存储，并排除在我们的应用诊断日志之外。

5. 第三方数据子处理商

我们使用一小批子处理商：

• 云基础设施：位于美国的数据库和托管服务商。
• AI 解读（DeepSeek 深度求索）：解读由杭州深度求索人工智能基础技术研究有限公司（DeepSeek）生成，请求经由我们自己的服务器转发。发送的内容：根据你的出生日期、时间、地点算出的命盘（干支与运程结构）、你提出的问题与对话内容、应用语言，以及在合婚解读中你选择对照的另一张命盘。绝不发送的内容：你的姓名、联系方式、设备标识。这些数据只用于生成解读，绝不用于广告，你的提问和命盘也不会被用于训练公开的基础模型。DeepSeek 依据其 API 条款处理这些数据，保护水平与本政策相当。
• 支付（网页版）：Stripe, Inc.（信用卡处理、税费计算、收据开具）。
• 错误报告：Sentry（崩溃与错误报告；发送前会剔除生辰数据、命盘文本和提问内容；不含会话回放）。
• 订阅对账：一个追踪订阅状态的匿名后端服务，与命盘数据相互隔离，在 iOS 端依托 Apple App Store 系统运作，在网页端依托 Stripe 运作。

在向 AI 服务商发送任何内容之前，应用会先征得你的同意：首次解读前会展示应用内的说明页，未同意时 AI 解读保持关闭。命盘本身在你的设备上算出。

我们不运行广告脚本，也不使用第三方行为分析 SDK。如需完整的子处理商名单，请联系客服。

6. 数据留存与删除

设备本地存储：在你删除应用，或在"设置"中选择"删除账户与命盘"时即被抹除。

服务器端存储：以匿名形式保留，以支持你的对话延续。点击"删除账户与命盘"会触发即时的数据库清除，将敏感记录替换为空值，并在 30 天内完成。

遥测数据：聚合的系统数据会无限期保留，用于长期的运行状况监测，且不与任何可识别用户关联。

7. 你的权利、地区适用范围与跨设备说明

你可以直接在应用内查看、更正或删除你的记录。导出途径是"设置"中的应用内"导出我的解读"选项，因为我们不持有邮箱或其他个人标识符来核验外部导出请求。如果你身处欧洲经济区或英国，你还有权向当地监管机构提起申诉。涉及国际传输时，我们所有后端服务均运行于美国东部云节点，并依据《标准合同条款》（SCCs）执行。本应用不支持也不在中国大陆境内运营。

匿名的对话记录和额度余量保存在生成它们的那个地方。登录（Apple、Google 账号或邮箱）可以让你在另一个浏览器或设备上找回购买记录和服务器端的历史；生辰档案从不会上传，所以需要重新填写。App Store 订阅同样可以通过 Apple 的回执系统转移。

8. 未成年人

本应用并非面向 13 岁以下儿童，我们也不会在知情的情况下收集 13 岁以下儿童的数据。你必须年满 13 周岁才能使用本应用。如果你认为有未成年人正在使用本应用，请联系客服，我们会指引完成删除流程。

9. 本政策的变更

如果我们做出实质性变更（收集新的数据、引入新的子处理商，或调整留存方式），我们会更新本页顶部的生效日期，并在应用内向活跃用户发布通知。实质性变更生效后继续使用本应用，即视为接受。

10. 联系我们

本应用由 Boxuan Cui 运营，他是本政策所述个人数据的数据控制者。如有任何咨询、删除核验请求或尽职调查问题，请发送至 support@reckoned.app。