隐私政策

生效日期：2026 年 5 月 26 日

我们深知八字隐私对你的分量，因此，系统仅收集推算命盘所必需的基础数据。在这里，你无需提供电子邮箱、密码，也无需进行任何身份注册。我们绝不贩卖数据。所有的八字排盘与干支计算，完全在你的设备本地运行。当流年对话或抽取签诗需要借助第三方大模型时，系统也仅会提供推导出的干支命盘数据（如：甲木生于午月），绝不泄露你的出生年月日等任何原生隐私信息。知命不忧，请放心体验。

数据收集与处理细则

无需注册，无个人账户。应用不会向你索要邮箱、手机号或密码。首次启动时，应用会自动生成一个匿名的设备安全令牌——这是一个无任何个人特征的随机加密字符串。该令牌安全地保存在你设备的本地存储中，以便我们在后续的对话中识别你的设备，让聊天能够无缝延续。

本地生辰档案（仅留存在设备本地）。包含出生日期、精确时间、时区、出生城市、经纬度及性别（性别会影响大运顺逆的排列）。这些数据仅用于本地计算生成你的八字命盘。此类数据完全锁在你的本地设备中，绝不会上传至我们的服务器，更不会提供给任何第三方。一旦删除应用，这些本地数据将彻底消失。

档案备注名称（仅留存在设备本地）。你为不同命盘填写的称呼（如"我"、"母亲"），仅保存在本地设备中。

AI 对话交互记录（服务器端加密存储）。你向 AI 发送的提问、后续的追问，以及抽取的观音灵签语境，会以加密形式存储在我们的后端数据库中，并通过匿名设备令牌进行关联绑定，以便你在同一台设备上查看历史对话。

推导出的干支命盘数据（服务器端瞬时处理）。当你轻触解盘、深入追问或求取观音灵签时，你的设备会在本地将生辰转换为由干支、十神、大运、流年组成的纯命理文本字符串。我们向服务器及第三方大语言模型发送的，正是这一串推导出的命理数据，而不是你的原始出生时间和出生地点。服务器在处理交互时会暂时读取该字符串，以确保 AI 能够结合你的命盘进行上下文连贯的深度详批。

订阅状态与额度计数（服务器端管理）。包含你的产品购买状态（免费额度、月度订阅、年度订阅或充值包）以及当日的提问计数。此类状态与匿名订阅标识绑定，所有计费流程均由 Apple 依托你的 Apple ID 统一安全处理。

去标识化统计分析（服务器端）。用于日常维护的系统错误率、模型响应延迟及 Token 消耗统计。在写入统计数据库前，您的匿名设备标识已通过多重随机混淆与 SHA-256 高级加密处理，该过程完全不可逆。我们绝不收集，也无法反推您的任何个人真实身份信息。

Apple 登录身份（可选绑定）。如果你选择通过 Apple 登录（例如在购买额度或在设置中手动绑定），Apple 会与我们共享：一个专属于本应用的稳定用户标识、一个电子邮箱（若选择"隐藏邮件"，则为 [email protected] 匿名转发邮箱）以及你的 Apple 账户昵称。此功能仅用于在更换新设备时，帮你找回已购项目及历史对话。我们绝不向该邮箱发送推广邮件，也绝不会将此身份信息透露给 AI 大模型或任何广告商。你可以在应用内随时解除此绑定。

我们绝不收集的信息

• 你的手机号码、通讯录、个人相册、通讯软件账号或实时 GPS 硬件定位。
• 苹果广告标识符（IDFA）或跨应用追踪像素。
• 由广告网络或第三方数据服务商所交易的用户行为特征或跨 App 使用行为分析指标。

数据的具体用途

计算与排盘：所有的八字排盘算法与真太阳时校正，完全在你设备的芯片上本地运行，排盘本身不触发任何服务器通信。

驱动 AI 命理深度解析与每日解签功能：在您进行对话或开启仪式时，系统会将相关的八字命盘数据及对话历史文本，通过完全独立的 API 接口传输至第三方 AI 服务商，以获取契合您当前运势的专属解析。此请求中绝不包含您的个人真实身份信息、电子邮箱或任何硬件特征码，确保您的个人隐私得到绝对匿名化保护。

维护服务边界：为了保障系统的高效稳定运行，我们建立了相应的服务边界。我们的服务器仅对额度消耗记录进行严格的合规性校验，绝不窥探、分析或审查您提问中所包含的任何核心命理与精神隐私。

敏感类数据的深度隔离

鉴于生辰八字及玄学命理在某些地区可能涉及法律定义的敏感哲学或信仰推论（例如 GDPR 第 9 条规定的特殊类别数据），我们采取了严苛的隔离机制：

• 原始出生时间绝不通过本应用上传至互联网。
• 推导出的干支排列（如"甲木生于子月"）在数学上属于宽泛集合，无法反向逆推回你精准的现实出生秒数和出生地点。
• 服务器端对话记录启用严格的行级安全策略（Row-Level Security），除你本人匿名持有的设备令牌外，任何外界服务、甚至我们日常的系统运行日志，都无法读取你的聊天文本。

第三方数据处理商

我们仅与极少数基础设施供应商合作：

• 云端服务与数据库：托管于美国境内的合规安全数据中心，用于存放匿名加密的对话文本。
• AI 大模型提供商：负责处理交互请求的行业头部大模型 API 节点。我们通过商业开发者协议确保其不对你的对话与命盘进行持久化公共模型训练。
• 订阅权限对账：仅用于核准 Apple App Store 支付回执的匿名对账组件，完全与你的八字数据和聊天历史解耦。

应用内不包含广告脚本，亦无第三方行为追踪 SDK。如需了解具体的供应商名单，可随时联系客服。

数据留存与彻底清除

本地数据：在你卸载应用或在设置中点击"删除账户与命盘"时，本地数据将立刻被彻底抹除。

服务器端数据：默认处于去标识化留存状态以维持对话。一旦你点击"删除账户与命盘"，系统将触发即时删除程序，在 30 天内完成全面清空，并在物理删除前将敏感资料库字段用 NULL 值覆写，防止残留数据块恢复。

第三方大模型留存：依照大模型提供商的 API 隐私协议进行短期合规留存，我们无法单方面干预，但可随时应要求向你公开当前提供商的官方隐私条款。

权利、地区适用范围与跨设备说明

您在应用内拥有查看、更正或删除个人记录的绝对权利。若您身处欧洲经济区（EEA）或英国，亦有权向当地监管机构提起申诉。本应用所有后端服务均部署于美国东部云节点，跨境数据传输严格依据《标准契约条款》（SCCs）执行。本应用不支持中国大陆地区用户，亦不在此地区开展营运。

为了保障绝对的隐私安全，本应用的核心体验完全基于匿名且与硬件绑定的 Token 机制。因此，您的测算历史与余量仅保存在生成这些数据的特定设备中，更换新手机时无法自动迁移。但请放心，通过 App Store 订阅的服务完全支持通过 Apple 原生凭证架构进行无缝转移（在新设备上点击「设置 → 恢复购买」即可）。云端同步功能已在我们的后续开发计划中。

未成年人使用说明

本应用并非面向 13 岁以下的未成年人设计，我们也不会有意收集这一年龄段用户的任何个人数据。App Store 已将本应用评级为 13+。如果你发现未成年人正在使用本应用，请来信至支持邮箱，我们会协助完成相应的数据删除。

政策变更说明

本政策若发生实质性变更——例如新增收集的数据类型、引入新的子处理商，或调整数据留存周期——我们会更新本页顶部的生效日期，并在应用内向活跃用户推送通知。变更生效后继续使用本应用，即视为你接受更新后的政策条款。

联系我们

本应用由 Boxuan Cui 个人独立运营。若对本政策有任何疑问，或需进行数据审计核查，请致信：[email protected]。