隐私政策

1. 我们收集什么

必要信息 (服务核心)

出生日期 / 时辰 / 出生城市: 算盘排盘必需. 这是命理产品的核心 PII.
性别 / 命主关系 (本人 / 配偶 / 家人): 命书生成需要
邮箱: 登录 / 重要通知 / 退款
密码哈希 (bcrypt cost=12, 不可逆): 仅用于鉴权, 我们永不存明文

自动收集

IP 地址 (写入操作审计日志, 用于反暴力、滥用追溯与安全调查)
浏览器类型 / 操作系统 (User-Agent, 截断到 200 字符)
请求时间戳 / 操作 (chart 创建 / 命书生成 / 付款 / 退款)

支付信息

充值可通过 线下转账 或 第三方在线支付服务商 (记录商户 / Merchant of Record) 完成; 无论哪种, 我们 均不收集、不接触、不存储 你的银行卡 / 支付账户信息. 在线支付的扣款与对账由该支付服务商按其隐私政策处理; 充值后的账户余额 (紫气) 记于你的账户.

2. 我们怎么用

排盘 + 命书生成: 出生信息送到算法服务 (我们在阿里云 ECS 的内网, 中国境内, 不出公网)
LLM 推理: 生成解读所需的部分命盘字段会作为 prompt 正文发送到 DeepSeek API; 具体字段范围见第 5 节. 生成链路的内部审计只保存内容摘要, 不保存完整 prompt
命书追问与历史师傅对话: 内容存我们自建数据库 (PostgreSQL, 运行于阿里云 ECS, 仅内网访问); 仅在客户支持、安全合规或质量复核等必要场景, 由授权人员按最小权限查看
风控 / 退款: 异常使用与退款申请会触发 audit log 记录

3. 我们绝不做的事

不卖数据 给广告商 / 数据中介 / 任何第三方
不开屏广告, 不向你推送任何第三方营销
不分享给其他用户 你的命书 / 出生信息 / 追问内容
不主动将你的命书内容 作为训练数据集出售或提交给第三方; 第三方服务商如何处理 API 调用数据, 以其隐私政策及与本站的服务约定为准

4. 数据存储与加密

传输加密: TLS 1.3 (HTTPS), HSTS preload
数据库: 自建 PostgreSQL (阿里云 ECS, 中国境内), 仅内网访问、不暴露公网
密码: bcrypt cost=12 (永不可逆)
日志: 应用运行日志会对 email、IP、用户及命盘标识等敏感字段做哈希或遮盖; 独立操作审计会保存请求 IP、截断后的 User-Agent、动作、状态与时间戳, 不记录命书正文或完整 prompt
存储地理: 本站自有数据库存于阿里云 ECS (中国华南节点, 境内); 第三方服务处理范围见第 5 节

5. 第三方服务

本服务依赖以下第三方, 它们各自有独立隐私政策:

阿里云 (Alibaba Cloud) (服务器 / 数据库 / 前端托管): 全栈自托管于阿里云 ECS, 数据存于中国境内 (华南节点). 已完成 ICP 备案 + 公安备案.
DeepSeek (LLM): 我们送过去的 prompt 含生成解读所需的命盘字段，并可能包含你填写的命主姓名或称谓；不包含登录邮箱。DeepSeek 隐私政策 api.deepseek.com/privacy

6. 你的权利

无论是欧盟用户 (GDPR) 还是中国大陆用户 (个保法), 你都有以下权利:

查阅权: 我们存了你哪些数据, 一键导出 JSON
更正权: 出生信息填错可联系我们改
删除权 (被遗忘): 注销账户 → 30 天软删 → 之后 hard delete
可携权: 命书 markdown / 命盘 graph 可导出 (Phase 4 加)
撤回授权: 随时撤回数据处理同意, 等同注销
反对自动化决策: 你可以要求人工 review 命书 (Phase 5 加)

行使任何权利, 请发邮件 batisrubbish@gmail.com, 我们 30 天内响应.

7. Cookie 与本地存储

ymmaster_jwt (HttpOnly + Secure cookie): 鉴权 token, 7 天有效 — 现为唯一认证载体
localStorage 'ymmaster:token': 已停用 — 历史版本曾存作备份凭证, 现不再写入/使用, 且客户端加载时主动清除
localStorage 'ymmaster:userId': 已停用 — 历史版本曾保存用户标识，现不再读取，且客户端加载时主动清除
不使用任何第三方追踪 cookie (没接 GA / 没接百度统计)

8. 未成年人

本服务面向 18 岁以上用户. 未成年人 (尤其 14 岁以下) 的数据需要监护人明确同意. 如发现未成年人未经同意注册, 我们会立即删除其数据.

9. 数据泄露通知

如发生数据泄露 (任何形式), 我们承诺:

72 小时内邮件通知受影响用户 (GDPR 标准)
状态页 (status.ymmaster.app) 同步公开 incident
提供 incident timeline + 已采取的补救措施

10. 政策变更

本政策变更会邮件通知, 重大变更 (e.g., 新增数据用途) 需要重新同意.

11. 联系

隐私问题: batisrubbish@gmail.com.