隐私政策

本政策适用于衍象坊网站、移动端页面及相关服务。就您的个人信息，我们在中国大陆法律下作为「个人信息处理者」，在中国香港法律下作为「资料使用者」，在新加坡法律下作为「机构」（organisation），在美国各州隐私法下作为「企业／控制者」，承担相应责任。

通过本服务接入的第三方（如支付机构、身份认证服务商、广告与分析服务商）就其独立的处理行为承担各自责任，适用其自身政策，不在本政策涵盖范围内。

若您不同意本政策，请停止使用本服务；在缺少必要信息时，部分功能将无法提供。

我们按「最小必要」原则收集信息。除法律另有规定外，拒绝提供非必要信息不影响您使用基本功能。

• 账户信息：昵称、头像、电子邮箱，第三方登录（Auth0、Casdoor、Google）返回的用户标识与基本资料，以及加密存储的密码凭证。
• 服务输入信息：您输入的汉字、提问内容、出生日期与出生时间、出生地点或经纬度、排盘参数、AI 对话与追问记录、收藏与历史记录。
• 影像信息：使用 AI 面相功能时您上传的人脸照片，以及模型据此产生的面部特征描述。
• 用户发布内容：您在广场、许愿墙、感谢墙、评论与站内私信中发布的文字与图片。
• 交易与订阅信息：订单号、支付状态、订阅等级与周期、积分收支流水，以及文创商品的收件人姓名、电话与地址。完整银行卡号由 Stripe 处理，我们不接收、不存储。
• 设备与日志信息：IP 地址、设备型号、操作系统、浏览器类型与版本、语言与时区、来源页面、访问时间与页面浏览记录、错误与性能日志。
• Cookie 与本地存储：用于维持登录状态、记住语言与偏好、防范滥用，以及统计与广告（详见第 5 条）。
• 位置信息：仅在您主动授权或主动填写时，用于真太阳时、星空图等基于经纬度的计算；此外我们可能通过 IP 推断城市级的粗略位置，用于安全风控与内容适配。

下列信息在中国《个人信息保护法》下属于敏感个人信息，在美国伊利诺伊州《生物识别信息隐私法》（BIPA）、得克萨斯州 CUBI 等法律下属于生物识别信息：出生日期与出生地点、人脸照片及由此产生的面部特征信息，以及您在自由文本中主动提供的健康、宗教信仰、婚恋等信息。

我们仅在向您单独告知处理目的、方式与必要性，并取得您的单独同意后，才处理上述信息，且严格限于实现相应功能所必需。关于人脸照片，我们作如下明确说明：

• 照片用于生成本次面相解读，并作为您会话记录的一部分保存，便于您回看与追问；
• 照片保存在 Cloudflare R2 对象存储，通过随机且不可猜测的链接访问；请勿将该链接分享给他人；
• 分析过程中，照片会被传输至人工智能模型服务商（Anthropic）进行图像理解，服务端的临时工作目录在分析结束后即被删除；
• 我们不将人脸照片用于身份识别或人脸比对，不建立人脸特征库，不用于训练我们自有的模型，不出售、不用于广告定向；
• 您可以随时在面相记录中删除会话，我们将同时删除数据库记录与对象存储中的照片。

您有权随时撤回对敏感个人信息处理的同意；撤回不影响撤回前基于同意已经进行的处理。撤回后，我们将停止相应处理并按本政策删除或匿名化相关信息。我们不会依据术数或命理相关信息推断您的健康状况、疾病风险或信用状况，也不会据此作出对您权益有重大影响的自动化决策。

• 提供核心功能：完成排盘与推演计算、生成 AI 解读、保存历史记录、维持登录与会话。
• 处理交易：结算积分与订阅、开具凭证、发货与售后、防范支付欺诈。
• 保障安全：识别异常登录、滥用与攻击行为，执行频率限制与风控策略，排查故障。
• 改进服务：以统计与汇总的方式分析功能使用情况，优化界面、算法与内容质量。
• 沟通与通知：发送与服务相关的必要通知（如订阅到期、扣款提醒、安全告警）；在您同意的前提下发送产品与活动信息，您可随时退订。
• 广告：通过 Google AdSense 展示广告以支持平台运营（详见第 5 条）。
• 履行法律义务：应对监管要求、司法机关的调查与合法调取。

处理的合法性基础：在中国大陆，我们主要基于您的同意、订立与履行合同所必需、履行法定义务，以及在合理范围内处理您已自行公开的信息；在中国香港，我们遵循保障资料原则中关于收集目的与用途限制的要求；在新加坡，我们基于同意、视为同意或法定例外处理；在美国，我们依据各州法律的通知与选择机制处理。若我们需要将您的信息用于本政策未载明的其他目的，将再次向您告知并取得同意。

• 必要 Cookie：用于维持登录状态与会话安全、记住语言与主题偏好、防范跨站请求伪造与滥用；此类 Cookie 无法关闭。
• 体验分析：我们使用 Microsoft Clarity 了解页面使用情况，其可能记录页面浏览、点击、滚动与会话回放，并按其默认设置对输入框内容进行遮蔽。相关数据由 Microsoft 依其隐私声明处理。
• 广告：我们使用 Google AdSense 展示广告。Google 及其合作伙伴可能使用 Cookie 与广告标识符投放个性化广告——这在美国加州法下可能被认定为「为跨情境行为广告而共享」个人信息。您可以通过 Google「广告设置」页面关闭个性化广告；如需我们协助退出，请通过文末方式联系我们。
• 管理方式：您可以通过浏览器设置清除或阻止 Cookie。我们正在建设站内的 Cookie 与广告偏好开关，并逐步支持「Global Privacy Control（GPC）」信号；在此之前，您可以通过文末方式联系我们，我们将人工处理您的退出请求。禁用部分 Cookie 可能影响登录与偏好保存等功能。

我们不会出售您的个人信息。我们仅在下列情形下共享或委托第三方处理：

• 经您明示同意，或依您的指示；
• 为实现功能所必需的服务提供商，包括：Auth0、Casdoor、Google（身份认证与登录），Stripe（支付与订阅管理），Cloudflare（内容分发、安全防护与 R2 对象存储），Anthropic 及模型聚合网关服务商（人工智能推理），Microsoft Clarity（体验分析），Google AdSense（广告投放），以及邮件与消息推送服务商；
• 我们与上述受托方签署数据处理条款，要求其按我们的指示处理、采取相应安全措施，不得用于约定之外的目的；
• 依据法律法规、监管机构或司法机关的合法要求进行披露；
• 为保护本平台、用户或公众的合法权益、生命财产安全所必需；
• 发生合并、收购、重组或破产清算时，我们会告知您接收方的信息，并要求其继续受本政策约束。

未经您另行同意，我们不将您的服务输入内容用于训练我们自有的人工智能模型。第三方模型服务商的数据使用，以其与我们之间的协议及其自身政策为准；我们优先选择承诺不将接口数据用于模型训练的服务商。

我们的应用服务器与数据库位于美国，上传文件保存在 Cloudflare R2（全球分布式存储），人工智能推理、支付、身份认证与分析等服务由位于美国及其他国家的服务商提供。因此，您的个人信息将被传输至您所在国家或地区之外。

• 中国大陆用户：我们依据《个人信息保护法》第三十八条至第三十九条，向您单独告知境外接收方的名称、联系方式、处理目的与方式、个人信息种类，并取得您的单独同意；同时通过签订个人信息出境标准合同等方式，保障境外接收方的处理活动达到中国法律规定的保护标准。
• 中国香港用户：我们按《个人资料（私隐）条例》及私隐专员公署的跨境转移指引，以合约方式约束境外接收方。
• 新加坡用户：我们依《个人资料保护法》的转移限制义务，确保境外接收方提供不低于新加坡法律要求的保护水平。
• 美国用户：您的数据主要在美国境内处理与存储。

若您对跨境传输有疑问，或希望了解我们采取的具体保障措施，可通过文末方式联系我们。

• 保存期限：账户信息在账户存续期间保存；排盘与对话记录、面相会话在您删除前保存，或在账户注销后 30 日内删除；交易与账务记录依中国《电子商务法》等要求，自交易完成之日起至少保存三年；日志类信息一般保存 6 至 12 个月。法律要求更长期限的，从其规定。
• 安全措施：全站启用 HTTPS 传输加密；密码采用不可逆加密方式存储；对数据库与对象存储实施访问控制与最小权限原则；关键操作留痕审计；定期进行安全更新与数据备份。
• 风险提示：尽管我们采取了合理措施，互联网环境仍不存在绝对安全。请妥善保管账户凭证，避免在公共设备上保持登录状态。
• 泄露通知：若发生或可能发生个人信息泄露、篡改、丢失，我们将立即启动应急响应，并按法律要求通知您与主管机关：在中国大陆，依《个人信息保护法》第五十七条通知履行个人信息保护职责的部门与个人；在中国香港，按私隐专员公署的建议通报；在新加坡，依强制通报制度在完成评估后不迟于 3 个日历日内通报个人资料保护委员会；在美国，按各州数据泄露通知法在法定期限内通知。

无论您身处何地，都可以通过账户设置或联系我们，行使下列权利：

• 知情与访问：了解并查询我们处理的您的个人信息，索取副本。
• 更正与补充：更正不准确或不完整的个人信息。
• 删除：在法定情形下要求删除您的个人信息，或自行删除历史记录、面相会话与已发布内容。
• 撤回同意：撤回您此前给予的同意，包括对敏感个人信息处理的单独同意。
• 注销账户：随时申请注销，注销后我们按本政策处理相关数据。
• 可携带：在技术可行的前提下，要求将您的个人信息转移至您指定的其他处理者。
• 解释说明：要求我们解释个人信息的处理规则。
• 限制或拒绝：拒绝定向推送与个性化广告，限制特定的处理活动。

行权方式：请通过文末联系方式提交请求。为保护您的账户安全，我们可能要求核验身份。答复时限：中国大陆 15 个工作日内、中国香港 40 日内、新加坡 30 日内（可延长并告知）、美国各州 45 日内（可再延长 45 日并告知）。除法律允许的情形外，行使权利不收取费用。

• 我们的服务面向成年人。未满 18 周岁的用户，应在监护人的同意与陪同下使用；
• 我们不面向未满 13 周岁的儿童提供服务，也不会有意收集其个人信息（美国《儿童在线隐私保护法》COPPA）；
• 在中国大陆，处理不满 14 周岁未成年人的个人信息，我们将取得其父母或其他监护人的单独同意，并制定专门的处理规则（《个人信息保护法》第三十一条、《儿童个人信息网络保护规定》《未成年人网络保护条例》）；
• 若我们发现在未取得必要同意的情况下收集了未成年人信息，将尽快删除；监护人也可通过文末方式联系我们，要求查阅、更正或删除。

• 我们在内容排序、推荐与风控中使用算法；这些处理不构成对您权益有重大影响的自动化决策；
• 依据中国《互联网信息服务算法推荐管理规定》，您有权关闭个性化推荐或选择不针对您个人特征的选项；相关开关尚在建设中，在此之前可通过文末方式向我们提出，我们将为您关闭；
• 人工智能解读结果由模型生成，不代表我们的判断，也不构成对您的任何评价或专业建议；
• 若您认为某项自动化处理对您造成不利影响，可要求我们说明情况并进行人工复核。

• 我们可能不时更新本政策，更新后将在本页面公布并标注版本号与生效日期；
• 涉及处理目的、信息种类或处理方式的重大变更，我们将通过站内公告、弹窗或电子邮件另行告知，并在必要时重新征得您的同意；
• 建议您定期查阅本政策。历史版本可向我们索取。