隐私政策

你的出生时间（年月日时分、性别、时区、出生城市）用于且仅用于为你排盘、生成解读与日运——不出售、不共享、不用于画像、不做广告投放。它随你的账号存在我们的服务器上（Supabase，明文 + 行级安全），同时也在这台设备的浏览器里留一份，好让你装机后没网也能打开。你可以随时在「我的」里删除任意一份档案，或一键删除整个账号与全部关联数据。

「问事」时，你的问题与当前档案的出生时间会发到我们的服务器，用于生成回答（见「第三方处理者清单」）；问事记录存在服务端用于会话连续，你显式设定的偏好存在账号下，两者都随你删除账号时一并删除。

档案（出生时间与档案名）：登录后随账号存在 Supabase 的 archives 表，每份档案只有你自己读得到（行级安全策略把每一行锚在 auth.uid() 上，没有别人的读路径）。同时本机浏览器也保存一份（localStorage），它是各页的读来源——所以装机后断网也能打开已同步的档案。未登录时只写在本机，不上传。

命盘与解读结论：由你设备上的确定性规则引擎算出，不单独存储；云端存的是能排出它的出生时间，换设备登录后由同一套引擎重新算出同一张盘。

账号标识：Supabase Auth 保存你的邮箱或第三方（Google / GitHub）身份标识，用于登录与跨设备找回。

额度流水（credits，付费）：为了让额度能跨设备使用，我们保存一份流水账——只记录「什么时候、因为什么动作、加了多少或减了多少」，不记录提问原文、卦象与任何生平信息。

深度报告（付费）：购买记录（Stripe 会话号、金额、命盘哈希）与生成好的报告正文。报告按账号 + 命盘哈希隔离；过去校准的选择由浏览器本地保存，服务端仅在校验请求中处理 option id、按同一命盘重算题集并做白名单验证，报告只保存 verified / partial 验证状态。校准答案不写入报告，也不发送给 DeepSeek；报告正文随删号从 KV 清除。

我们不做应用层加密：服务端本就需要读出生时间来排盘与生成解读，加密只增加密钥管理成本而不改变可读性（密钥就在同一个进程里）。真正的防线是两件事：行级安全（保证别人读不到）与删除权（保证你能撤回）。这个取舍是刻意写在这里的，不是遗漏。

入口是真的：在「我的」页面底部有「删除账号…」，展开确认后即执行，不需要写邮件、不需要等我们处理。

删除后会怎样，逐项说清：账号本身（邮箱或第三方登录标识）被删除；全部档案（账号里的每一份出生时间与档案名）被删除；购买记录被删除；剩余的问事额度（未消耗部分）被删除，额度不退款——若购买未满 14 天且想退款，请先联系 hello@yice.me，退款到账后再删除；按账号隔离的深度报告正文与生成锁会先从 Cloudflare KV 清除，清除失败时删除流程会停止并提示重试，不会先删账号再把报告留成无法清理的孤儿数据；确认删号后，这台设备上的报告校准选择也会按 yice-calib: 前缀清除。

本机那一份档案也会一并清空——否则它会残留在这台设备上，或在你重新登录时被合并逻辑补写回账号（「删了又回来」）。

退出登录 ≠ 删除数据：退出只是结束这次会话，账号、档案、已购报告与剩余额度都还在，下次登录照旧。要删数据只能用上面那个入口。

若删除请求没能确认成功（网络异常、服务暂不可用），界面会如实说「没能确认」，而不是显示「已删除」——我们不会在删除这件事上给你一个假的安心。此时你的数据可能还在，请稍后重试或邮件联系。

不出售你的出生时间或任何个人信息；不共享给第三方（除下面列出的处理者，且仅限它们承担的那一件事）；不用于用户画像、定向广告或任何形式的个性化推荐；不用于训练模型。

我们不推断你的任何属性，也不做用户画像，问事的内容不用于定向广告或个性化推荐。为了让问事在多次请求之间接得上，你的问事记录会以原始对话的形式存在服务端的 Cloudflare Durable Objects 上；你显式设定的偏好（解读风格、重点关注领域）存在你的账号下。此外，只有你亲口说、并经你确认保存的生活记忆会存在你的账号下，随你删除该档案或删除账号时一并删除。

不使用任何第三方统计或广告脚本追踪你的浏览行为。

公开透明是本站定位的一部分。以下是我们使用的第三方服务：

· 托管与内容分发：Cloudflare（Workers / CDN）——承载网站本身，并转发「问事」请求；

· 账号与档案存储：Supabase——登录（Auth）与档案表（Postgres，明文 + 行级安全）；

· 登录邮件：Resend——仅在你用邮箱 magic link 登录时发送登录链接邮件；

· AI 生成：DeepSeek（深度求索）——登录后的「问事」、六爻解读与深度报告分章扩写会经本站服务器转发给它；深度报告只发送规则引擎事实与命盘事实，不发送过去校准的答案或选项。未配置模型时走纯规则模式，不外发；

· 支付：Stripe——仅在购买时处理支付信息（我们不接触、不存储你的卡号）；

· 交易邮件：Resend——购买凭证与报告就绪通知；

· 错误监控：Sentry——技术错误日志（不含出生时间、提问内容或任何档案字段）。

我们不做广告追踪，没有第三方 Cookie。本机存储（localStorage）用于：你的档案与当前档案标识、简繁字形偏好、每日免费问事额度计数、六爻卦象记录、报告校准选择与阅读标记，以及（若你选择登录）Supabase 的登录会话令牌。

本站自己会数一些匿名的计数——公开页面被看了多少次、哪个按钮被点了多少次——用来判断页面有没有起作用。这些计数发到我们自己的 Cloudflare（Analytics Engine），不经任何第三方统计脚本；不写 Cookie、不读 IP、不记浏览器指纹，生辰、提问内容与邮箱都不在其中。同一次会话内的操作靠一个随标签页关闭即消失的随机串串起来，它不写进硬盘、不跨会话、不跨设备。

清除浏览器数据会清掉本机这一份，但不会动到账号里的数据——要删账号里的东西请用「我的」里的删除入口。

你可以随时：在「我的」里删除任意一份档案；一键删除整个账号与全部关联数据；退出登录（保留数据）；或邮件要求我们导出你的数据、说明我们持有什么。

我们持有的关于你的最敏感的数据就是出生时间。它的用途只有一件——为你排盘与生成解读。若你认为我们没有做到这一点，请直接联系下面的邮箱，我们会认真对待。

联系：privacy@yice.me