隐私政策
最后更新：2026 年 11 月
先说结论：本站不注册账号、不要手机号、不存密码、不卖数据。 你填的出生信息只用于当场起盘；只有你付费时，服务端才会记下你的邮箱和那张盘的编号。 下面是全部清单。
1. 谁在处理你的数据
数据控制者为本网站的运营主体（公司名称以支付收据、发票及站内公告所示为准）。 任何隐私相关的请求（查阅、更正、删除、导出、撤回同意）请联系 support@xinliai.vip。
2. 收集的信息，以及它落到哪里
- 出生信息（公历年月日、几点几分、性别、出生地 / 经度，姓名选填）： 表单提交后随一次请求发送到
/api/reading，服务端当场换算真太阳时、起盘、按命盘编号检索解读文本，处理完即丢弃，不写入数据库。姓名只在本次请求内使用，不参与命盘编号，也不落库。 - 邮箱：只在你下单或领取权益时用到。它由收款方（Merchant of Record）用于开具收据与发送订单邮件； 本站数据库中，邮箱是权益记录的主键。
- 命盘编号：形如
1990-05-11-0-male（出生日期 + 时辰序号 + 性别）。 它是出生信息的派生值，只在你购买「单张命盘买断」时与邮箱一起写入single_unlocks，用来判定哪个邮箱能看哪张盘的全文。 - 订单事件：收款方回调本站时，事件 ID、类型、邮箱与原始回调内容会写入
webhook_events， 用于防止重复发放权益、以及对账与争议处理。 - 人格问卷作答：如果你使用「60 题自测」，我们会把逐题原始应答（1–5 的 60 个整数）、 由此算出的五维分数、你的邮箱以及那张盘的命盘编号写入
psych.db。 存原始应答而不是只存分数，有两个原因：分数可以按官方键向重算、反过来不行； 而 IPIP 官方不提供常模，本站报告里那句「你在同一批作答者中的位置」只能由这批数据自己算出来。 这份数据完全自愿提交，报告页底部有「删除我的全部作答」按钮，点下去当场生效，不需要写信。 它用于自我描述与站内聚合统计，不用于健康、保险、信贷或任何画像用途，也不出售、不共享给第三方。 - IP 地址：读取请求头里的
X-Forwarded-For，只用于按 IP 限频（超限返回 429）。 限频计数放在进程内存里，不落盘，进程重启即清空。 但请注意：承载本站的云服务 / 服务器会按其日志策略记录访问 IP 与 User-Agent，这部分由 hosting 条款约束。
3. 本地存储与 Cookie
本站只用一个 Cookie，加三项 localStorage：
ziwei_email（Cookie）：服务端用密钥 HMAC 签名后的「邮箱.签名」字符串，HttpOnly、SameSite=Lax、有效期 1 年。作用是让你付费后换标签页也能直接看全文， 不需要传统登录。签名不可伪造，本站不存会话表。ziwei.lastChart（localStorage）：你最近一次排盘的出生信息，用于支付跳转回来后还原同一张盘。只在你这台设备上。- 邮箱（localStorage）：只是把你在解锁框里输入过的邮箱回填，方便再次查询权益。
- 主题偏好（localStorage）：暗黑 / 亮色。
本站不使用广告 Cookie、不做跨站追踪、不接第三方登录、不接短信验证码服务。 浏览器里关掉 Cookie 与 localStorage 后仍可排盘，只是支付后需要重新输入邮箱领取权益。
4. 第三方
- Merchant of Record（收款方）：处理支付、开具发票、代扣代缴增值税 / 消费税、处理退款与拒付。 卡号、CVV 等支付凭据只经过对方，本站不接触也不存储。 交易完成后，对方会向我们回传订单号、邮箱与权益状态，用于开通权益。
- 云服务商：承载网站与数据库。
- 内容数据：解读正文来自开源数据集（见服务条款第 6 节）。 数据集是预先构建好的静态文本库，按命盘编号检索； 你的姓名、邮箱不会进入该数据集，也不会与任何内容生成方共享。本站不提供 AI 对话式解读，不把你的信息发给大模型。
除上述情形，以及司法机关依适用法律提出的合法要求外，我们不会向第三方共享、出售或出租你的个人信息。
5. 法律依据（欧盟 / 英国用户）
- 处理出生信息与邮箱：履行你购买的合同所必需（GDPR 第 6(1)(b) 条）。
- 保留订单与回调记录：法定义务（税务、会计、争议处理，第 6(1)(c) 条）。
- Cookie 中的权益令牌：属于提供你明确要求的服务所必需，无需额外同意；分析类脚本仅在部署环境启用时才存在。
- 处理人格问卷作答：你的同意（第 6(1)(a) 条）——自愿、可随时撤回，撤回方式就是那个删除按钮或删除邮件， 撤回不影响撤回前处理的合法性。人格特质分数不属于第 9 条意义上的特殊类别数据（它不是健康数据）， 但本站仍按较高的处置标准来做：单独存库、不进任何对外授权、不用于画像。
- 若服务部署在你所在国之外，数据会随托管与收款传输至相应地区；我们只在上述目的必需的范围内传输，不会将数据出售。
6. 保留期限
- 出生信息：不保留（除命盘编号外不留任何派生记录）。
- 权益记录与命盘编号：单张买断为永久（这是你付费买的东西）；订阅权益在到期后标记为
expired，记录仍保留以便对账与续费。 - 订单 / 回调记录：按税务与发票要求的期限保留（多数法域 6–10 年）。
- 限频计数：内存中最多 1 分钟。
- 人格问卷作答：保留到你主动删除为止——它既是你能反复查看的自测历史，也是本站自建常模的唯一原料。 删除会把当前库里的记录整串擦掉；每日备份快照里的那一份按 14 天轮转自然过期， 所以「立即彻底删除」需要额外说明，我们会连快照一起清并在完成后回复你。
7. 你的权利
- 查阅与导出：写信到
support@xinliai.vip，我们从数据库导出与你邮箱相关的全部记录（权益、命盘编号、订单事件、人格问卷逐题应答），JSON 或 CSV。 - 更正：下单邮箱写错了，可要求改正并重新归集权益。
- 删除：可要求删除你邮箱名下的全部记录并注销权益。请注意删除会同时收回你已购买的查阅权，且税务凭证受法定保留期约束无法一并删除（该部分会做假名化）。我们收到请求后 30 天内处理。
- 投诉：若你位于欧盟 / 英国，除联系我们外，也可向你惯常居住国的数据保护机构投诉。
8. 安全措施，以及不做作的说明
实际做到的：全程 HTTPS；权益令牌 HMAC-SHA256 签名并使用 timingSafeEqual 常数时间比较，防伪造与计时侧信道； 签名密钥只放在环境变量里，不进代码仓库；解读内容库以只读方式挂载；权益库文件不暴露在公网路径；接口按 IP 限频。
诚实说明：数据库文件本身没有做静态加密（磁盘级加密依赖 hosting 层）。 互联网传输与任何系统都不存在 100% 安全。若发生涉及你个人数据且可能危害你权益的安全事件， 我们在确认适用后按适用法律要求的时限（欧盟为知悉后 72 小时内）通知监管与你本人。
9. 未成年人
本站面向 18 岁以上用户，不面向儿童，也不会有意识地收集 16 岁以下未成年人的数据。 命理内容涉及情绪影响，未成年人不应作为其人生重大决策的依据。 若监护人发现未成年人提交了信息，请联系 support@xinliai.vip，我们核实后直接删除相关记录。
10. 政策变更
本政策随功能变化更新（例如新增分析工具、更换收款方）。 涉及收集范围或使用目的的实质变更，会在本页顶部标注日期，并向已购买用户发一封邮件。 变更后的政策不追溯此前已收集的数据用途。