隐私政策

账户身份：你的邮箱地址；若使用 Google 登录，另含显示名、头像 URL 与稳定的 Google subject ID。仅用于登录与界面称呼。

个人配置：你选择的印记、默认牌阵、语言。占星与本命牌功能在服务端基于你输入的数据即时计算后，仅保存派生结果（日月升星座代码 + 灵魂牌 / 性格牌 ID）。你的生日、出生时间、地点与经纬度原值绝不写入数据库——这是可审计的隐私承诺，不是可选开关。

解读与札记：登录状态下，每次解读在 AI 写完后都会自动保存到你的账户——抽到的牌、牌阵类型、你提的问题、AI 解读，以及写下这篇解读的解读师与语声。笔记、标签与心情在你填写时保存。公开分享 token（用于 /share/[token] 链接）只在你生成分享链接时保存，同时保存你的浏览器为该链接绘制的预览图（仅含牌阵名称与牌面，不含你的问题或解读正文）；撤销链接即两者一并删除。你可以随时删除这些解读：在解读页或「日记」里删除单条，或在「个人页 → 销毁法典」一次性全部删除；删除一条解读时，它的分享链接与预览图也会一并删除。

分享链接卡片文字：当你生成或更新分享链接时，浏览器还会一并发来链接预览卡片上的文字——牌阵名称加最多三张牌的牌名，以及你在分享面板里选中的那段解读摘录；绝不包含你的问题。这些文字只用于显示那张卡片，撤销链接或删除这次解读时即一并删除。

回看记录：当你在一次解读下方开启「7 天后回看这一步」时——到期日（解读后第七天）、提醒发出的时间，以及你作答后留下的「那一步是否迈出」和你写下的感想（最多 2000 字）。同一时间只保留一条未作答的回看：设置新的回看会替换它，关闭开关即删除。已作答的回看随所属解读一直保留，直到你删除那次解读或删除账户。

对谈记录：当你就一次解读与解读师对谈，或直接开启一段对谈时——你发出的每条消息与每条回复（包括切换角度、更换解读师等快捷操作）、解读师与语言，以及解读师为这段对谈整理的摘记（你可以改写，它同时充当更早对谈的记忆）。对谈会一直保留，直到你清空它（对谈连同全部消息与摘记一并删除），或删除所属解读、删除账户。清空一段对谈时，我们只保留其中最近 24 小时内各次提问的时间（不含任何内容），让每日消息上限照常计数；这些时间过了 24 小时后，会在你下一次清空对谈时删除，或随账户一并删除。

互动记录：每日塔罗（每位用户每天存一张牌，按你所在时区的日期计）、21 天挑战进度、成就解锁与测验得分。这些数据用于渲染你的 /profile、/journey、/wrapped 页面，以及条款中所述的成就授予。开始 21 天挑战时，我们会一并保存你的时区（IANA 名称，如 Asia/Shanghai），让挑战按你当地的日期计天。

测验进度：登录状态下——每一关获得的星数、你对每张牌的熟悉程度（它所在的复习盒）、你学习过的日期（据此计算连续学习天数），以及三分钟速答的最佳成绩。用于在不同设备间延续你的进度，保留至你删除账户。

指南阅读进度：登录状态下——你读过哪些 /guide 页面以及阅读时间，用于在任何设备上显示你的指南进度，保留至你删除账户。

每日提醒：若你在个人页设置了提醒时间——你选定的时间，以及发送时所用的时区（IANA 名称，如 Asia/Shanghai，保存时取自你的浏览器），让每日塔罗提醒邮件在你当地的这个时刻送达。关闭提醒会清除时间；时区则随你的其他偏好设置保留，直到你删除账户。

推送订阅：仅当你在 /profile 中开启时——浏览器提供的 endpoint URL，以及该设备的 p256dh 与 auth 公钥材料（由浏览器签发，本身不构成个人信息）。关闭开关后即删除。

推荐：当你生成或兑换邀请码时——邀请码字符串与每次成功兑换的一行记录，用于授予条款中所述的额外月份。

账单：付费会员的档位、续费日期、宽限期截止时间（如有），以及法定收款方 Dodo Payments 签发的客户 / 订阅 ID。我们看不到你的卡号、有效期或安全码。

积分——使用积分的账户：每一笔积分发放（来源，如注册赠送、每月发放、每日签到或积分包；数量；剩余多少；到期时间）和每一笔消耗（数量、用于哪次解读、对谈提问或每日一页，以及是否已退回）。仅用于维护你的余额、说明每一分积分用在了哪里。

抽牌扣费记录：每次抽牌花费积分时——这次抽牌的 ID、所抽内容（牌阵、语言、问题与牌面）的 SHA-256 哈希（此处不保存问题原文），以及已续接的次数，让你在 24 小时内重新载入或重试同一次解读时不会被重复扣费。超过 24 小时的记录，会在你下一次花费积分抽牌时删除，其余随账户一并删除。

分析数据：以哈希用户 ID 为键的匿名事件记录。不含问题文本、牌面内容或解读正文。

登录验证码请求记录：每发出一封登录验证码邮件、每输错一次验证码，我们都会留下一条简短记录，用于防止滥用——邮箱地址的密钥哈希（HMAC）、IP 地址的密钥哈希与时间。邮箱地址与 IP 都不以可读形式保存。

发信记录：我们每自动发出一封邮件（例如登录验证码、账户与会员通知、每周来信、营销邮件）就留下一条记录——是哪一封、何时发出、是否送达，以及发信服务返回的消息 ID 或错误码。记录从不包含邮件正文。收件人记为你的账户；没有账户对应的邮件，则记为邮箱地址的密钥哈希。可能需要重发的账户邮件，记录还会保留生成这封邮件所用的信息（例如你的会员方案与续费日期，或显示名的第一个词）以及你的时区。

每周来信：若你通过站内表单订阅（我们会寄一封确认邮件，点击其中的链接即完成确认），或在登录状态下用账户邮箱加入（默认不加入）——你的邮箱地址、来信语言、订阅来源、订阅与确认时间、上一封确认邮件的发送时间、已收到第几封与上一封的寄出时间，以及退订时间。寄到 lunaris@lunarcana.app 的回信会转发到运营者的邮箱并保存在那里；我们阅读回信只为改进来信，绝不用于个人解读。

游客首次解读：若你未登录就先体验一次解读——抽到的牌、牌阵、你的问题、语言、所用的解读选项与解读师、解读正文及生成它的模型、随解读给出的提问建议，你免费追问的问题与回复；若某条消息涉及安全风险、改由我们固定的求助提示回复，这样的消息连同那条回复也会保存，最多三条。为限制同一网络发起的游客解读次数，我们还会保存你 IP 地址的密钥哈希（HMAC），绝不保存 IP 本身；你的浏览器会用一个签名 Cookie（lunarcana-guest）记住这次解读的 ID，有效期 30 天。30 天内登录，即可把这次解读留下：它与追问会作为一次普通解读和对谈复制进你的账户。游客记录本身不含姓名或邮箱地址。

履行合同（GDPR 第 6(1)(b) 条）：账户、配置、解读、账单。没有这些我们无法提供你所要求的服务。

正当利益（第 6(1)(f) 条）：用于服务健康度与防止滥用的最小化分析、用于防止滥用的登录验证码请求记录，以及用于确认邮件送达的发信记录；通过哈希标识符、按固定期限删除这些记录与登出即清空来与你的隐私平衡。

同意（第 6(1)(a) 条）：占星增强解读、网页推送、营销邮件、每周来信，以及已订阅的每日塔罗邮件。均默认关闭，由你自己开启。

法律义务（第 6(1)(c) 条）：账单记录依据 Dodo Payments 适用的税法保留。

所有与用户关联的数据行（账户、配置、解读、札记、收藏卡牌、每日塔罗、挑战进度、成就、测验得分、测验进度、指南阅读进度、抽牌扣费记录、回看记录、分享链接卡片文字、对谈记录与摘记、每日提醒的时间与时区、推送订阅、推荐记录、月度用量计数、积分发放与消耗记录，以及与你的账户和邮箱地址关联的发信记录）：直到你主动删除账户——届时它们将在单一事务中一并删除，同一事务也会把你的地址移出每周来信名单。

登录验证码请求记录：24 小时。

发信记录：90 天。删除账户时，与你的账户和邮箱地址关联的发信记录会立即删除；之后只剩通知你账户已删除的那封邮件的一条记录，以邮箱地址哈希保存，90 天后删除。

每周来信名单：你的条目保留到你要求删除为止。退订（点击每封来信末尾的一键退订链接，或删除账户）会立即把你的地址移出名单；该条目标记为已退订后继续保留，直到你写信到 support@lunarcana.app 要求删除。

游客首次解读：不设保存期限，不含姓名或邮箱地址，作为匿名数据用于分析大家带来的问题，以及解读如何回应这些问题。解读满 30 天后，其中的 IP 哈希会被清除（在有新的游客解读发起时分批清除），此后也无法再领取到账户。若你曾领取，删除账户只会解除这条游客记录与你的关联；复制进账户的那份解读会随账户一并删除。

数据库备份：滚动保留 30 天。

服务器与访问日志：30 天。

分析事件：滚动 12 个月。

账单记录：账户删除后由 Dodo Payments 按其税务与审计义务所要求的期限保留（详见其隐私政策）。

退款记录：一笔付款被退款或拒付时，我们会保留一条记录（金额、币种、日期、原因，以及涉及的账单邮箱、Google subject ID 与 Dodo Payments 客户 / 订阅 ID）。它不会随账户删除——只解除与账户的关联——以便审计链保留七年。

Cloudflare（美国 / 全球边缘节点）：Workers 计算、D1 数据库、R2 资产存储。所有热数据存储于此。登录验证码、账户与会员通知、每周来信、营销邮件等自动邮件都经 Cloudflare Email Service 发送（我们传递邮箱地址与渲染后的邮件正文）；寄往 support@ 与 lunaris@lunarcana.app 的邮件由 Cloudflare Email Routing 转发到运营者的邮箱；发送验证码前，以及游客首次解读抽牌前的人机验证，由 Cloudflare Turnstile 完成。

Google（美国）：OAuth 登录——我们仅接收邮箱、显示名、头像与 subject ID。此外，support@ 与 lunaris@lunarcana.app 转发到的运营者邮箱托管在 Gmail 上。

DeepSeek（新加坡 / 中国）：AI 解读 provider。我们发送抽到的牌、牌阵类型、问题、语言与（若启用）占星上下文。对谈时（包括游客的追问），还会发送这次解读的正文、解读师最近一次整理的摘记（绝不包含你自己改写的内容）、这段对谈最近的消息与你新发的消息，用于写出回复和摘记。绝不发送邮箱、姓名或历史记录。

Resend（美国）：仅用于每日塔罗提醒邮件——在个人页设置了提醒时间才会发送。我们传递邮箱地址与渲染后的邮件正文。营销邮件与每周来信不经过 Resend。

Web Push 转发服务（Apple Push Notification service / Firebase Cloud Messaging / Mozilla Push Service）：仅在你订阅推送后启用。我们将通知载荷发送至浏览器签发的 endpoint URL，由这些转发服务下发到你的设备。

PostHog（美国，可选 EU 区）：产品分析。我们发送哈希用户 ID 与事件名；不发送问题文本或解读正文。

Dodo Payments（法定收款方，merchant of record）：我们付费订阅的在线经销商，名称会在结账页与收据上载明。对于结账时直接向你收集的个人数据，它以独立数据控制者的身份、依其自身的隐私政策（https://dodopayments.com/legal/privacy-policy）处理刷卡与税务合规；我们仅获得其抽象的客户 / 订阅 ID。跨 EEA 数据传输（如适用）依欧盟标准合同条款（SCC）执行。

authjs.session-token（开发环境）/ __Secure-authjs.session-token（生产环境）：Auth.js v5 会话 cookie，httpOnly，sameSite=lax，登录所必需。

NEXT_LOCALE：你选择的语言。

lunarcana-ref：邀请码载体，使用后失效。

lunarcana-guest：游客首次解读抽牌时写入，内容是这次解读的 ID 加签名，让这台浏览器能回到这次解读，并在登录后把它留下。httpOnly，30 天后过期；你登录后领取这次解读，或领取时发现它已过期，即清除。

lunarcana:tz：你的时区（IANA 名称，如 Asia/Shanghai），在你抽每日塔罗时写入，让每日页面按你当地的日期计算；一年后过期。

PostHog distinct_id：第一方分析标识符，仅当 NEXT_PUBLIC_POSTHOG_KEY 配置时设置。

我们不使用任何第三方广告 cookie，也不参与任何跨站行为追踪。

本地存储（localStorage）：仅在设备本地存放、绝不上传服务器的少量非敏感偏好——背景音轨与音量、静音状态、安装提示已关闭标记、每日冥想计数器。清理网站数据即可移除。

Lunarcana 部署在 Cloudflare 全球网络上，你的数据可能在你居住地以外的地区被处理（含美国）。来自欧盟、英国、瑞士的传输在适用时依据标准合同条款（SCC）进行。

中国版（上线后）运行于中国大陆境内的阿里云上，不向境外镜像数据。中国版收集数据的跨境传输适用单独的同意流程。

访问、更正、删除、可携带：通过 support@lunarcana.app 联系，或在「个人页 → 销毁法典」中立即级联删除所有用户关联表：user / account / session / reading / readingInterpretation / savedCard / userPreference / subscription / dailyDraw / userChallenge / userAchievement / userQuizScore / pushSubscription / referralCode / referralRedemption / usageMonthly / credit_lot / credit_spend / email_send / readingSharePreview / readingShareText / reading_check_in / conversation / conversation_message / conversation_cleared_turn / quiz_progress / guide_read / draw_charge。删除为单一事务，不可恢复。

撤回同意：随时在个人页关闭占星、推送、营销邮件、每日塔罗邮件与语音合成。营销邮件在你开启前一直关闭；每封营销邮件与每周来信的末尾也都有一键退订链接。

反对或限制处理：来邮告知。

投诉：可向你所在地的数据保护机构投诉（欧盟：当地监管机构；英国：ICO；加州：总检察长；中国：网信办）。

加州（CCPA / CPRA）：我们不出售或为跨上下文行为广告共享个人信息，因此无需「Do Not Sell or Share」链接，但你仍可行使上述权利。

中国（PIPL）：你有权索取数据副本与处理说明，并可随时撤回同意。

Lunarcana 不面向 13 岁以下（欧盟为 16 岁以下）用户。一旦我们发现误收集了此类用户的数据，将立即删除。

实质变更将在生效前至少 14 天在站内公示。本页顶部的「最近更新」时间为权威依据。

传输中：你的浏览器、Cloudflare 边缘节点与我们调用的每个子处理方之间使用 TLS 1.3。鉴权 cookie 为 httpOnly + sameSite=lax；会话 token 为 Auth.js v5 签发的随机不透明值，仅以引用形式存于数据库。

静态存储：Cloudflare D1 数据库使用 Cloudflare 托管的磁盘加密。我们不存储你的卡号、有效期、CVV 或任何支付凭证——仅保留 Dodo Payments 签发的抽象客户 / 订阅 ID。

访问控制：生产数据库的管理访问仅限于维护者使用硬件密钥认证的 Cloudflare 账号。我们没有运行可对用户数据无差别读取的内部客服工具。

数据泄露通报：若发生可能导致你权利受损风险的个人数据泄露，我们将在知悉后 72 小时内通报相关监管机构，并通过留存邮箱不无故拖延地通知受影响用户，符合 GDPR 第 33-34 条与同等法规要求。

AI 解读由你抽到的牌与你提的问题即时驱动，由第三方语言模型生成。其用途为反思、写作与内省练习。账户、资格、定价或服务档位的任何决定均不由 AI 作出。

我们不进行对你产生法律或类似重大影响的自动化个人决策（含画像），即不构成 GDPR 第 22 条意义上的自动化决策。