隱私權政策

帳號身分：你的電子郵件地址；若以 Google 登入，另含顯示名稱、大頭貼網址與固定不變的 Google subject ID。僅用於登入，以及在介面上稱呼你。

個人設定：你選擇的印記、預設牌陣與語言。占星與本命牌功能在伺服器端依你輸入的資料即時計算，只儲存計算出的結果（太陽、月亮、上升星座代碼，以及靈魂牌與人格牌的 ID）。你的生日、出生時間、出生地與經緯度原始值絕不寫入資料庫——這是可供查核的隱私承諾，不是可以切換的選項。唯一的例外是你主動選擇儲存的星盤，見下一項。

儲存的星盤：只有在你於星盤頁面的結果下選擇「儲存到我的手稿」時才會儲存：你取的名字、儲存時間、你的出生日期、你給出的出生時間（精確時間、兩小時時段或不填）、你選的出生地（地名、國家代碼與經緯度）及其時區，以及要求的宮位制。儲存這些是為了讓星盤能再次打開，會一直保留到你在個人中心刪除這張星盤或刪除帳號為止，並包含在你的資料匯出中。若你在未登入時選擇儲存，瀏覽器只會在登入往返期間把同樣的資料暫存在目前分頁的工作階段儲存空間，一旦前往其他頁面就會捨棄。最多 12 張。

解讀與札記：登入狀態下，每次解讀在 AI 寫完之後都會自動存進你的帳號——抽到的牌、牌陣類型、你提的問題、AI 解讀，以及寫下這篇解讀的解讀者與語調。筆記、標籤與心情在你填寫時儲存。公開分享 token（用於 /share/[token] 連結）只在你建立分享連結時儲存，同時儲存你的瀏覽器為這個連結繪製的預覽圖（只有牌陣名稱與牌面，不含你的問題或解讀內文）；撤銷連結時，兩者會一併刪除。你可以隨時刪除解讀：在解讀頁或「日記」裡逐則刪除，或在「個人 → 銷燬法典」一次全部刪除；刪除一則解讀時，它的分享連結與預覽圖也會一起刪除。

分享連結卡片文字：當你建立或更新分享連結時，瀏覽器也會一併送出連結預覽卡片上的文字——牌陣名稱加上最多三張牌的牌名，以及你在分享面板中選取的那段解讀摘錄；絕不包含你的問題。這些文字只用來顯示那張卡片，撤銷連結或刪除這則解讀時就會一併刪除。

回看紀錄：當你在一則解讀下方開啟「7 天後回看這一步」時——到期日（解讀後第七天）、提醒寄出的時間，以及你回覆後留下的「那一步有沒有邁出」與你寫下的心得（最多 2000 字）。同一時間只保留一筆尚未回覆的回看：設定新的回看會取代它，關閉開關就會刪除。已回覆的回看會跟著所屬的解讀一直保留，直到你刪除那則解讀或刪除帳號。

對談紀錄：當你針對一則解讀與解讀者對談，或直接開啟一段對談時——你送出的每則訊息與每則回覆（包括切換角度、更換解讀者等快捷操作）、解讀者與語言，以及解讀者為這段對談整理的摘記（你可以改寫，它同時是更早對談的記憶）。對談會一直保留，直到你清空它（對談連同所有訊息與摘記一併刪除），或刪除所屬的解讀、刪除帳號。清空一段對談時，我們只保留其中最近 24 小時內每次提問的時間（不含任何內容），讓每日訊息上限照常計算；這些時間超過 24 小時後，會在你下一次清空對談時刪除，或隨帳號一併刪除。

互動紀錄：每日一牌（每位使用者每天存一張，依你所在時區的日期計算）、21 天挑戰進度、成就解鎖與測驗分數。這些資料用來呈現你的 /profile、/journey、/wrapped 頁面，以及依服務條款頒發成就。開始 21 天挑戰時，我們會一併儲存你的時區（IANA 名稱，例如 Asia/Taipei），讓挑戰依你當地的日期計算天數。

測驗進度：登入狀態下——每一關拿到的星數、你對每張牌的熟悉度（它所在的複習盒）、你學習過的日期（用來計算連續學習天數），以及三分鐘速答的最佳成績。用來讓你在不同裝置間接續進度，保存到你刪除帳號為止。

指南閱讀進度：登入狀態下——你讀過哪些 /guide 頁面以及閱讀時間，用來在任何裝置上顯示你的指南進度，保存到你刪除帳號為止。

每日提醒：若你在個人頁設定了提醒時間——你選定的時間，以及寄送時依據的時區（IANA 名稱，例如 Asia/Taipei，儲存時取自你的瀏覽器），讓每日一牌提醒信在你當地的這個時刻寄到。關閉提醒會清除時間；時區則跟著你的其他偏好設定保留，直到你刪除帳號。

推播訂閱：僅在你於 /profile 開啟時儲存——瀏覽器提供的端點網址，以及該裝置的 p256dh 與 auth 公開金鑰資料（由瀏覽器產生，本身不構成個人資料）。關閉開關後即刪除。

邀請：當你產生或兌換邀請碼時——邀請碼字串，以及每次成功兌換的一筆紀錄，用於依服務條款贈送額外月份。

帳單：付費會員的方案、續訂日期、寬限期截止時間（如有），以及法定收款方 Dodo Payments 核發的客戶 / 訂閱 ID。我們看不到你的卡號、有效期限或安全碼。

積分——使用積分的帳號：每一筆積分發放（來源，例如註冊贈送、每月發放、每日簽到或積分包；數量；剩餘多少；到期時間）與每一筆使用（數量、用在哪一次解讀、對談提問或每日一頁，以及是否已退回）。只用來維護你的餘額、說明每一點積分用在哪裡。

抽牌扣點紀錄：每次抽牌花費積分時——這次抽牌的 ID、抽牌內容（牌陣、語言、問題與牌面）的 SHA-256 雜湊（這裡不儲存問題原文），以及已接續的次數，讓你在 24 小時內重新載入或重試同一則解讀時不會被重複扣點。超過 24 小時的紀錄，會在你下一次花費積分抽牌時刪除，其餘隨帳號一併刪除。

分析資料：以假名化帳號 ID（一組隨機識別碼，不是你的姓名或電子郵件）為索引的事件紀錄。不含問題文字、牌面內容或解讀內文。

登入驗證碼請求紀錄：每寄出一封登入驗證碼信件、每輸錯一次驗證碼，我們都會留下一筆簡短紀錄，用來防止濫用——電子郵件地址的金鑰雜湊（HMAC）、IP 位址的金鑰雜湊，以及時間。電子郵件地址與 IP 都不會以可讀的形式保存。

寄信紀錄：我們每自動寄出一封信（例如登入驗證碼、帳號與會員通知、每週來信、行銷郵件）就留下一筆紀錄——是哪一封、何時寄出、是否送達，以及寄信服務回傳的訊息 ID 或錯誤代碼。紀錄絕不包含信件內文。收件人記為你的帳號；沒有對應帳號的信件，則記為電子郵件地址的金鑰雜湊。可能需要重寄的帳號信件，紀錄還會保留產生這封信所用的資訊（例如你的會員方案與續訂日期，或顯示名稱的第一個字詞）以及你的時區。

每週來信：若你透過網站上的表單訂閱（我們會寄一封確認信，點其中的連結即完成確認），或在登入狀態下用帳號的電子郵件地址加入（預設不加入）——你的電子郵件地址、來信語言、訂閱來源、訂閱與確認時間、上一封確認信的寄出時間、已收到第幾封與上一封的寄出時間，以及取消訂閱的時間。寄到 lunaris@lunarcana.app 的回信會轉寄到營運者的信箱並保存在那裡；我們閱讀回信只為改進來信，絕不用於個人解讀。

訪客首次解讀：若你沒有登入就先體驗一次解讀——抽到的牌、牌陣、你的問題、語言、使用的解讀選項與解讀者、解讀內文及產生它的模型、隨解讀附上的提問建議，你免費追問的問題與回覆；若某則訊息涉及安全疑慮、改由我們固定的求助提醒回覆，這樣的訊息連同那則回覆也會保存，最多三則。為了限制同一個網路能發起的訪客解讀次數，我們也會儲存你 IP 位址的金鑰雜湊（HMAC），絕不儲存 IP 本身；你的瀏覽器會以一個簽章 Cookie（lunarcana-guest）記住這次解讀的 ID，效期 30 天。30 天內登入，就能把這次解讀留下來：它和追問會以一般解讀與對談的形式複製到你的帳號。訪客紀錄本身不含姓名或電子郵件地址。

履行契約（GDPR 第 6(1)(b) 條）：帳號、設定、解讀、帳單。少了這些資料，我們就無法提供你要求的服務。

正當利益（第 6(1)(f) 條）：為維持服務正常運作與防止濫用所需的最少量分析、透過 Google Analytics 進行的整體網站流量分析、用來防止濫用的登入驗證碼請求紀錄，以及用來確認信件送達的寄信紀錄；以雜湊處理識別碼、依固定期限刪除這些紀錄，並讓你登出即可退出，藉此兼顧你的隱私。

同意（第 6(1)(a) 條）：占星輔助解讀、網頁推播、行銷郵件、每週來信，以及你訂閱的每日塔羅郵件。全部預設關閉，由你自己開啟。

法定義務（第 6(1)(c) 條）：帳單紀錄依 Dodo Payments 所適用的稅法保存。

所有與使用者相關的資料（帳號、設定、解讀、札記、收藏的牌、每日一牌、挑戰進度、成就、測驗分數、測驗進度、指南閱讀進度、抽牌扣點紀錄、回看紀錄、分享連結卡片文字、對談紀錄與摘記、每日提醒的時間與時區、推播訂閱、邀請紀錄、每月用量計數、積分發放與使用紀錄，以及與你的帳號和電子郵件地址相關的寄信紀錄）：保存到你自行刪除帳號為止——屆時會在同一筆交易中一併刪除，同一筆交易也會把你的地址移出每週來信名單。

登入驗證碼請求紀錄：24 小時。

寄信紀錄：90 天。刪除帳號時，與你的帳號和電子郵件地址相關的寄信紀錄會立即刪除；之後只剩通知你帳號已刪除的那封信的一筆紀錄，以電子郵件地址雜湊保存，90 天後刪除。

每週來信名單：你的資料保存到你要求刪除為止。取消訂閱（點每封來信末尾的一鍵取消訂閱連結，或刪除帳號）會立即把你的地址移出名單；這筆資料會標記為已取消訂閱並繼續保存，直到你寫信到 support@lunarcana.app 要求刪除。

訪客首次解讀：不設保存期限，不含姓名或電子郵件地址，作為匿名資料，用來分析大家帶來的問題，以及解讀如何回應這些問題。解讀滿 30 天後，其中的 IP 雜湊會被清除（有新的訪客解讀發起時分批清除），之後也無法再領取到帳號。如果你曾領取，刪除帳號只會解除這筆訪客紀錄與你的關聯；複製到帳號裡的那份解讀會隨帳號一併刪除。

資料庫備份：滾動保存 30 天。

伺服器與存取紀錄：30 天。

分析事件：滾動保存 12 個月。

Google Analytics：使用者層級的事件資料保存 2 個月；據此彙整出的統計報表會保存得更久。

帳單紀錄：帳號刪除後，由 Dodo Payments 依其稅務與稽核義務所要求的期間保存（詳見其隱私權政策）。

退款紀錄：一筆付款被退款或遭拒付時，我們會保留一筆紀錄（金額、幣別、日期、原因，以及相關的帳單電子郵件、Google subject ID 與 Dodo Payments 客戶 / 訂閱 ID）。它不會隨帳號刪除——只會解除與帳號的關聯——讓稽核軌跡得以保存七年。

Cloudflare（美國 / 全球邊緣節點）：Workers 運算、D1 資料庫、R2 檔案儲存。所有常用資料都存放在這裡。登入驗證碼、帳號與會員通知、每週來信、行銷郵件等自動寄出的信件，都透過 Cloudflare Email Service 寄送（我們提供你的電子郵件地址與排版完成的郵件內容）；寄到 support@ 與 lunaris@lunarcana.app 的信件由 Cloudflare Email Routing 轉寄到營運者的信箱；寄出驗證碼前，以及訪客首次解讀抽牌前的真人驗證，由 Cloudflare Turnstile 負責。

Google（美國）：OAuth 登入——我們只取得你的電子郵件地址、顯示名稱、大頭貼與 subject ID。此外，support@ 與 lunaris@lunarcana.app 轉寄到的營運者信箱架設在 Gmail 上。

DeepSeek（新加坡 / 中國）：AI 解讀服務供應商。我們傳送抽到的牌、牌陣類型、問題、語言，以及（若你開啟）占星資訊。對談時（包括訪客的追問），還會傳送這則解讀的內文、解讀者最近一次整理的摘記（絕不包含你自己改寫的內容）、這段對談最近的訊息，以及你剛送出的訊息，用來寫出回覆與摘記。絕不傳送你的電子郵件地址、姓名或歷史紀錄。

Resend（美國）：僅用於每日塔羅提醒信——只有在個人頁設定了提醒時間才會寄出。我們提供你的電子郵件地址與排版完成的郵件內容。行銷郵件與每週來信都不經過 Resend。

網頁推播轉送服務（Apple Push Notification service / Firebase Cloud Messaging / Mozilla Push Service）：僅在你開啟推播後使用。我們把通知內容送到瀏覽器產生的端點網址，再由這些服務轉送到你的裝置。

PostHog（美國，可選歐盟區）：產品分析。你登入期間，我們傳送假名化帳號 ID（一組隨機識別碼，不是你的姓名或電子郵件）與你選擇的印記。我們也傳送事件名稱及其細節（次數、設定與 ID，例如涉及的牌陣或牌），包括你點了哪些按鈕和連結，但不含上面的文字；你瀏覽的頁面網址與來源頁面網址，其中的問題已移除；裝置、作業系統與瀏覽器的類型，以及螢幕尺寸、語言與時區；以及你的 IP 位址，PostHog 會據此推估大略位置。工作階段重播會記錄頁面版面、捲動與點擊，所有文字與表單欄位都會遮蔽。不傳送問題文字或解讀內文。

Google Analytics（Google LLC，美國）：整體層面的網站流量分析，包括瀏覽了哪些頁面、裝置與瀏覽器類型、大略位置、從哪個網站連過來，以及少數幾個產品事件（開始結帳、完成結帳、完成解讀）。我們絕不會傳給它使用者 ID、電子郵件地址、你的問題或解讀內文。Google 信號與廣告功能都已關閉。

Dodo Payments（法定收款方，merchant of record）：我們付費訂閱的線上經銷商，名稱會在結帳頁面與收據上載明。對於結帳時直接向你蒐集的個人資料，它以獨立資料控管者的身分、依其自身的隱私權政策（https://dodopayments.com/legal/privacy-policy）處理刷卡與稅務合規；我們僅獲得其抽象的客戶 / 訂閱 ID。跨 EEA 資料傳輸（如適用）依歐盟標準合約條款（SCC）執行。

authjs.session-token（開發環境）/ __Secure-authjs.session-token（正式環境）：Auth.js v5 的登入工作階段 cookie，httpOnly、sameSite=lax，登入時必須使用。

NEXT_LOCALE：你選擇的語言。

lunarcana-ref：邀請碼的暫存，兌換後即失效。

lunarcana-guest：訪客首次解讀抽牌時寫入，內容是這次解讀的 ID 加上簽章，讓這個瀏覽器能回到這次解讀，並在登入後把它留下來。httpOnly，30 天後到期；你登入後領取這次解讀，或領取時發現它已過期，就會清除。

lunarcana:tz：你的時區（IANA 名稱，例如 Asia/Taipei），在你抽每日一牌時寫入，讓每日頁面依你當地的日期計算；一年後到期。

PostHog distinct_id：第一方分析識別碼，只在設定了 NEXT_PUBLIC_POSTHOG_KEY 時才會寫入。

_ga 與 _ga_<container-id>：Google Analytics 的第一方分析 cookie，最長保存 2 年。歐洲經濟區、英國與瑞士的訪客不會被寫入這些 cookie：在這些地區，Google Analytics 以「同意模式」（Consent Mode）運作，分析儲存設為拒絕，只送出不帶 cookie 的匿名請求。

我們不使用任何第三方廣告 cookie，也不參與任何跨網站行為追蹤。

本機儲存（localStorage）：只存在你的裝置上、絕不上傳到伺服器的少量非敏感偏好——背景音軌與音量、靜音狀態、已關閉安裝提示的標記、每日冥想計數。清除網站資料即可移除。

Lunarcana 架設在 Cloudflare 的全球網路上，你的資料可能在你居住地以外的地區處理（包括美國）。來自歐盟、英國、瑞士的傳輸，在適用時依標準合約條款（SCC）進行。

中國版（上線後）在中國大陸境內的阿里雲上運作，不會把資料複製到境外。中國版所蒐集資料的跨境傳輸，另有獨立的同意流程。

查閱、更正、刪除、資料可攜：寫信至 support@lunarcana.app，或在「個人 → 銷燬法典」立即連帶刪除所有與使用者相關的資料表：user / account / session / reading / readingInterpretation / savedCard / userPreference / subscription / dailyDraw / userChallenge / userAchievement / pushSubscription / referralCode / referralRedemption / usageMonthly / credit_lot / credit_spend / email_send / readingSharePreview / readingShareText / reading_check_in / conversation / conversation_message / conversation_cleared_turn / quiz_progress / guide_read / draw_charge。刪除在同一筆交易中完成，無法復原。

撤回同意：隨時可在個人頁關閉占星、推播、行銷郵件、每日塔羅郵件與語音合成。行銷郵件在你開啟前一律關閉；每封行銷郵件與每週來信的末尾也都附有一鍵取消訂閱連結。

反對或限制處理：寫信告訴我們。

申訴：可向你所在地的個人資料保護主管機關申訴（歐盟：當地監管機關；英國：ICO；加州：州檢察總長；中國：網信辦）。

加州（CCPA / CPRA）：我們不出售個人資料，也不為跨情境行為廣告分享個人資料，因此無須提供「Do Not Sell or Share」連結，但你仍可行使上述權利。

中國（PIPL）：你有權索取資料副本與處理說明，並可隨時撤回同意。

Lunarcana 不以未滿 13 歲（歐盟為未滿 16 歲）的使用者為對象。一旦發現誤蒐集了這類使用者的資料，我們會立即刪除。

重大變更會在生效前至少 14 天於網站上公告。以本頁頂端的「最近更新」日期為準。

傳輸中：你的瀏覽器、Cloudflare 邊緣節點與我們呼叫的每個子處理者之間，一律使用 TLS 1.3。驗證用的 cookie 為 httpOnly + sameSite=lax；登入工作階段 token 是 Auth.js v5 產生的隨機不透明值，資料庫中只存放其參照。

靜態儲存：Cloudflare D1 資料庫採用 Cloudflare 代管的磁碟加密。我們不儲存你的卡號、有效期限、CVV 或任何支付工具——只保留 Dodo Payments 核發的抽象客戶 / 訂閱 ID。

存取控管：正式資料庫的管理權限，只限維護者以硬體金鑰驗證的 Cloudflare 帳號。我們沒有可任意讀取使用者資料的內部客服工具。

個資外洩通報：若發生可能危及你權利的個人資料外洩，我們會在知悉後 72 小時內通報主管機關，並及時以你留存的電子郵件地址通知受影響的使用者，符合 GDPR 第 33-34 條及同等法規的要求。

AI 解讀依你抽到的牌與你提的問題即時產生，由第三方語言模型撰寫，用途是反思、書寫與內省練習。與你的帳號、資格、價格或服務方案有關的任何決定，都不由 AI 作出。

我們不進行會對你產生法律效果或類似重大影響的自動化個人決策（包括剖析），亦即不構成 GDPR 第 22 條所稱的自動化決策。