私隐政策

• **账户资料：**您之电邮地址、语言偏好（繁／简／EN）、登录时间戳与 IP（仅用于安全与防滥用）
• **命书输入资料：**出生日期、出生时辰、出生城市、性别、时间精度、您之名字（建议仅填名字或昵称即可，毋须法定全名），以及由您自愿加入之最多 4 位其他命主之姓名与出生资料
• **命书内容：**为您撰写之命书文本，与您之回馈（👍／👎 与选填备注）
• **付款元资料：**您购买之点数包之金额、时间、货币 — 但不包括信用卡或银行详情（该等资料由 Stripe 处理，永不抵达本服务器）
• **Cookie：**仅保留登录状态之 session cookie 与合规闸门之确认 cookie，无任何第三方广告追踪
• 方法论资料（自愿加入）：若您选择加入铭镜研究计划，您之方法论偏好以匿名形式加入研究数据集

• 为您撰写命书 — 无出生资料无从推算
• 将命书送达您之账户并可重新读取
• 透过 Stripe 处理付款并授予点数
• 调查品质问题并改善命理引擎（您之回馈为信号）
• 履行法律与监管义务（澳大利亚法律下之财务记录保存）

您之出生资料于本服务器转换为确定性结构化命盘。该命盘与检索取出之语料条目，送往本 LLM 服务商（DeepSeek）进行命书撰写。依 DeepSeek 之 API 政策，经 API 传送之提示与回应不会被用于训练其模型。我们亦不会使用您之个人出生资料训练任何模型。仅在您明确自愿授权后，匿名汇整之方法论偏好或会用于发表之研究中。

斋主（Finn Tang，镜斋唯一运营者与账户管理者）于后台无权阅读您之命书内文，亦无权查看您之出生资料细节。

此承诺于系统架构上实现：

• 管理后台仅显示运营性中介资料（您之电邮、开户日期、点数余额、工作状态、版本标记）。出生日期、出生时辰、出生城市、性别、姓名、撰写完成之命书文本，皆不会于管理后台展示予斋主。
• 进行命理引擎之语料库修订时，集群处理会输出已匿名化之样本，剥除一切个人标识。斋主修订的是模式层之语料条目，并非个别命书。
• 即使您以回馈组件标记某张命书有误，您之命书文本亦不会直接展示予斋主。集群定时任务仅萃取已匿名化之模式信号。

此世间有权阅读为您所撰写命书之人，仅有：您本人（登录自己之账户），与您主动分享之对象。

例外情况狭窄且结构性：（甲）自动化工作器（服务角色）需读取您之出生资料以推算命盘 — 此仅软件运作，并无人类阅读；（乙）澳洲法律下之法院命令要求披露；（丙）您主动联络本服务要求斋主代您查看某张命书。

客户资料删除申请由斋主透过数据库之 DELETE 操作执行，不会先阅读该等记录。

我们使用以下处理商。我们不会出售、出租或交换您之个人资料予第三方。

• Stripe（爱尔兰／美国）— 仅处理付款，我们不见您之信用卡
• Supabase（美国）— 数据库托管与认证
• DeepSeek（中国）— 命书撰写之 LLM 推理；提示包含您之命盘结构性资料，但尽量不含个人标识
• Resend（美国）— 交易性电邮（登录链接、命书就绪通知）
• Vercel（美国）— 网站托管与 CDN

本服务之处理商位于澳大利亚境外（美国、中国、爱尔兰）。我们依靠合约保障与各处理商自身之私隐政策。使用本服务即视为您同意该等跨境传输。若您对特定传输有顾虑，请来邮联络 — 可就您之账户讨论限制特定处理之可能。

• **账户与命书资料：**于您账户开放期间保留
• **账户删除后：**个人资料于 30 日内删除或匿名化，但法律要求保存者除外（如税务记录于澳大利亚法下保存 7 年）
• **匿名方法论资料：**永久保留以作研究，与您之身份无连结

• 查阅 — 来邮索取资料副本（cto@goldmanglobal.com.au）
• 更正 — 编辑个人档案，或透过 /account/people 使用您之终身一次出生资料修正权
• 删除 — 经账户页面或来邮申请删除账户
• 可携性 — 申请机器可读之资料汇出
• 反对 — 随时撤回方法论研究计划之授权
• 投诉 — 向澳大利亚资讯专员办公室（OAIC）或您所在地之资料保护机关投诉

本服务仅供 18 岁或以上人士使用。我们不会故意收集未成年人之资料。若您怀疑有未成年人注册，请来邮告知，我们将删除该账户。

所有传输经 HTTPS / TLS 1.2+ 加密。数据库存取受 row-level security 政策限制 — 每位使用者仅能读取自己之资料。付款资料不抵达本服务器，由 Stripe 于 PCI-DSS 合规之基础设施内处理。若发生需通报之个人资料外泄事件，将按 OAIC 通报机制通知受影响使用者。

本政策将不时更新。页首之生效日期显示最近一次修订。重大变动将以电邮通知活跃使用者。