私隱政策

• **帳戶資料：**您之電郵地址、語言偏好（繁／简／EN）、登入時間戳與 IP（僅用於安全與防濫用）
• **命書輸入資料：**出生日期、出生時辰、出生城市、性別、時間精度、您之名字（建議僅填名字或暱稱即可，毋須法定全名），以及由您自願加入之最多 4 位其他命主之姓名與出生資料
• **命書內容：**為您撰寫之命書文本，與您之回饋（👍／👎 與選填備註）
• **付款元資料：**您購買之點數包之金額、時間、貨幣 — 但不包括信用卡或銀行詳情（該等資料由 Stripe 處理，永不抵達本伺服器）
• **Cookie：**僅保留登入狀態之 session cookie 與合規閘門之確認 cookie，無任何第三方廣告追蹤
• 方法論資料（自願加入）：若您選擇加入銘鏡硏究計畫，您之方法論偏好以匿名形式加入研究數據集

• 為您撰寫命書 — 無出生資料無從推算
• 將命書送達您之帳戶並可重新讀取
• 透過 Stripe 處理付款並授予點數
• 調查品質問題並改善命理引擎（您之回饋為訊號）
• 履行法律與監管義務（澳洲法律下之財務紀錄保存）

您之出生資料於本伺服器轉換為確定性結構化命盤。該命盤與檢索取出之語料條目，送往本 LLM 服務商（DeepSeek）進行命書撰寫。依 DeepSeek 之 API 政策，經 API 傳送之提示與回應不會被用於訓練其模型。我們亦不會使用您之個人出生資料訓練任何模型。僅在您明確自願授權後，匿名彙整之方法論偏好或會用於發表之研究中。

齋主（Finn Tang，鏡齋唯一營運者與帳戶管理者）於後台無權閱讀您之命書內文，亦無權查看您之出生資料細節。

此承諾於系統架構上實現：

• 管理後台僅顯示營運性中繼資料（您之電郵、開戶日期、點數餘額、工作狀態、版本標記）。出生日期、出生時辰、出生城市、性別、姓名、撰寫完成之命書文本，皆不會於管理後台展示予齋主。
• 進行命理引擎之語料庫修訂時，集群處理會輸出已匿名化之樣本，剝除一切個人標識。齋主修訂的是模式層之語料條目，並非個別命書。
• 即使您以回饋元件標記某張命書有誤，您之命書文本亦不會直接展示予齋主。集群定時任務僅萃取已匿名化之模式訊號。

此世間有權閱讀為您所撰寫命書之人，僅有：您本人（登入自己之帳戶），與您主動分享之對象。

例外情況狹窄且結構性：（甲）自動化工作器（服務角色）需讀取您之出生資料以推算命盤 — 此僅軟體運作，並無人類閱讀；（乙）澳洲法律下之法院命令要求披露；（丙）您主動聯絡本服務要求齋主代您查看某張命書。

客戶資料刪除申請由齋主透過資料庫之 DELETE 操作執行，不會先閱讀該等記錄。

我們使用以下處理商。我們不會出售、出租或交換您之個人資料予第三方。

• Stripe（愛爾蘭／美國）— 僅處理付款，我們不見您之信用卡
• Supabase（美國）— 資料庫託管與認證
• DeepSeek（中國）— 命書撰寫之 LLM 推理；提示包含您之命盤結構性資料，但盡量不含個人標識
• Resend（美國）— 交易性電郵（登入連結、命書就緒通知）
• Vercel（美國）— 網站託管與 CDN

本服務之處理商位於澳洲境外（美國、中國、愛爾蘭）。我們依靠合約保障與各處理商自身之私隱政策。使用本服務即視為您同意該等跨境傳輸。若您對特定傳輸有顧慮，請來郵聯絡 — 可就您之帳戶討論限制特定處理之可能。

• **帳戶與命書資料：**於您帳戶開放期間保留
• **帳戶刪除後：**個人資料於 30 日內刪除或匿名化，但法律要求保存者除外（如稅務紀錄於澳洲法下保存 7 年）
• **匿名方法論資料：**永久保留以作研究，與您之身分無連結

• 查閱 — 來郵索取資料副本（cto@goldmanglobal.com.au）
• 更正 — 編輯個人檔案，或透過 /account/people 使用您之終身一次出生資料修正權
• 刪除 — 經帳戶頁面或來郵申請刪除帳戶
• 可攜性 — 申請機器可讀之資料匯出
• 反對 — 隨時撤回方法論研究計畫之授權
• 投訴 — 向澳洲資訊專員辦公室（OAIC）或您所在地之資料保護機關投訴

本服務僅供 18 歲或以上人士使用。我們不會故意收集未成年人之資料。若您懷疑有未成年人註冊，請來郵告知，我們將刪除該帳戶。

所有傳輸經 HTTPS / TLS 1.2+ 加密。資料庫存取受 row-level security 政策限制 — 每位使用者僅能讀取自己之資料。付款資料不抵達本伺服器，由 Stripe 於 PCI-DSS 合規之基礎設施內處理。若發生需通報之個人資料外洩事件，將按 OAIC 通報機制通知受影響使用者。

本政策將不時更新。頁首之生效日期顯示最近一次修訂。重大變動將以電郵通知活躍使用者。