私隱政策
旺財時空編輯 · 最後更新 2026-09-29
出生檔案留在本機；會員服務另有伺服器紀錄。所有擇日計分仍在瀏覽器進行。網頁會載入 Google Fonts。會員登入預設連接 Clerk。電郵驗證碼登入開啟之後，會員頁改用該電郵階段登入，新登入唔再載入 Clerk。AI 只在你按掣後接收已計算的分數與規則，不包括姓名或原始出生日期。
我哋收集啲乜
Clerk 處理會員登入資料及必要的登入 cookie；Stripe 處理付款、訂閱及所需帳單資料。我哋唔接收或儲存完整信用卡號碼。會員功能啟用時，App 會自動檢查登入狀態；付款只在你選擇方案後進行。出生檔案預設不會隨登入同步到雲端；會員可以自行開啟「帳戶同步」（見下面對外連線第 5 節）。
Cloudflare D1 會儲存會員識別碼、Stripe 客戶／訂閱／發票識別碼、會員狀態、點數配額、AI 請求識別碼、解釋類型（今日／求財／擇日／夾唔夾／開工）、內容雜湊、日期、完成狀態及 AI 回覆文字，以處理用量和重試。除咗你開咗帳戶同步嗰陣鏡像嘅出生檔案（第 5 節）之外，我哋唔會將原始請求、姓名或出生日期存入 D1，亦唔會把請求內容寫入應用紀錄檔。AI 回覆會保留直到你在會員頁逐條或全部清除；已儲存的回覆你可以在會員頁重看，同一個結果再問會直接取回已儲存的回覆而唔再扣點。使用及付款紀錄另行保留，不會因清除瀏覽器資料而刪除。
電郵驗證碼登入預設關閉。啟用之後，它就係會員登入：D1 會儲存登入電郵、驗證碼雜湊（唔會儲存驗證碼明碼）同登入階段雜湊（唔會儲存階段令牌明碼），而 `own_` 帳戶編號就係會員編號。驗證碼 10 分鐘內有效。登入階段最多 30 日有效；按「登出」會即時撤銷本次階段，其他裝置的登入不受影響。驗證碼紀錄同階段紀錄呢個版本沒有自動清除，過期或已撤銷的階段伺服器唔再接受。會員頁在這條路徑沒有 Clerk 的刪除帳戶按鈕。清除已儲存 AI 文字會刪除該會員的回覆，但未會刪除電郵、驗證碼雜湊同階段雜湊。Clerk 路徑的刪除帳戶仍然只處理 Clerk 登入。
單次專題報告另會儲存訂單、商品、Stripe 付款識別碼、付款模式及狀態、生成嘗試與內容雜湊、報告文字、報告引用的已計算資料及追問文字。相片及原始出生日期不會儲存，亦不會寫入紀錄檔。請勿在追問填寫姓名或聯絡資料。報告追問會將已存報告文字送到 AI；PDF 在裝置透過瀏覽器列印功能產生。會員頁「清除我的已儲存 AI 文字」及刪除帳戶亦會清除單次報告文字，付款與防濫用紀錄會保留。
你部機上面存咗啲乜
以下資料儲存喺你瀏覽器的 localStorage，只留喺呢部機、呢個瀏覽器：
| 鍵值 | 內容 |
|---|---|
da_profiles | 你同家人／朋友／候選人的名（你自己改的）、出生日期、可選的出世時辰、可選的性別同出生地點（城市，只用嚟計上升星座） |
da_active_profile | 你而家揀緊邊個檔案 — 只係一個檔案 ID，或者代表「全部人」嗰個標記，冇其他內容 |
da_settings | 舊版由你填入的 AI API 金鑰（如有，見第 2 節）、Google Client ID、AI 模型選擇、「我最關心」方面（財運／事業／感情／健康／出行／學習） |
da_tarot | 塔羅：每日一牌嘅隨機種子，同最近 30 次抽牌（日期、牌陣、問題、牌） |
da_yijing | 易經：最近 30 次起卦（日期、方法、問題、爻值或數字、卦號） |
da_sync | 帳戶同步嘅開關、上次同步時間，同未上傳嘅刪除紀錄（檔案 id 同時間） |
da_explain_cache | 按登入帳戶分開的 AI 回覆快取，最多 60 條。清除後重新生成會按方案使用點數。 |
da_explain_pending | 待取回的請求識別碼，用作避免重試重複扣點，不含原始出生資料。 |
da_reply_ticks | 你在 AI 回覆卡片上剔咗邊幾項「行動」，只係序號，唔會上傳。 |
da_history | 由舊版（v1）遷移過嚟的推算紀錄。呢個版本唔會再新增紀錄：你喺「檔案」頁見到嘅係舊版留低嗰批，可以逐條刪。如果你未用過舊版，呢個鍵值根本唔會出現。 |
calendarEventIds | 經 App 加入 Google 日曆的活動 ID，純粹用嚟記低你加過邊幾個活動；要刪要去返 Google 日曆自己刪（App 入面冇刪除鍵） |
另外兩個係舊版留低的鍵值：baziHistory 同 baziSettings。 如果你以前用過舊版，新版第一次讀紀錄／設定時會讀佢哋一次，把內容搬入上表的da_history ／ da_settings。搬完之後，原本嗰兩個鍵值我哋唔會刪 — 佢哋會一直留喺你部機， 直到你自己喺瀏覽器清除本站的網站資料為止。
命盤（四柱）唔會儲存，每次都由出生日期即時計出嚟。 localStorage 唔會自動同步，亦唔會隨你去第二部機。
對外連線
正常使用之下，只有下面呢幾種請求會離開你部機：
1. Google 日曆（可選，你自己啟動）
你要先自己填入你自己的 Google Client ID，再撳「連接 Google 日曆」。 之後才會載入 Google Identity Services（accounts.google.com）做授權， 權限範圍只係 calendar.events。 你撳「加入日曆」時，送出的係你揀咗的吉日：日期、時辰時段、日元、活動標題與說明。 出生日期本身唔會送出。你可以隨時喺 Google 帳戶撤銷授權。
2. AI 解釋：經我哋的伺服器轉發（可選，你自己撳掣）
你按「AI 解釋」或「AI 深度分析」時，瀏覽器將已計算的結果送到 /api/explain。命盤頁同今日開運卡嘅「AI 解釋」送出嘅係：四柱干支、十神、納音、十二長生、命宮身宮、大運干支（順逆以是／否表示）；紫微嘅宮位、星曜、四化；太陽星座、今日宮位、月相；今日日柱、格局、開運五行、通勝宜忌；流年運程嘅流年干支、十神、地支關係、太歲關係、大運干支、流月干支同紫微流年落宮；多法印證建議嘅六個方面判語、分數同訊號行；奇門時盤嘅時辰、局、九宮干門星神、格局判語同吉方；風水方位嘅年月飛星盤同八宅命卦方位（命卦係由出生年同性別查表得出嘅一個卦名，年份同性別本身唔會送） — 一樣不含姓名、出生日期、年齡或性別。塔羅占卜送嘅係牌陣、你打嘅問題（最多 60 字）同抽到嘅牌（牌名、正逆位、關鍵詞），完全冇命盤資料；易經一樣，只送卦、動爻同問題。西洋星盤送星體所在星座、度數、宮位、上升同今日過境相位，加時區數字；唔送出生時刻，亦唔送城市名。姓名學只送每個字嘅筆畫數、五格數字同五行，唔送你打嘅字（個名亦唔會儲存）；星座合盤只送相位、疊宮同分數；活動擇日送活動、日期範圍、你揀嘅設定同候選日嘅規則命中，參與者一律寫成「參與者」，冇出生資料。伺服器檢查會員與配額後，用網站金鑰轉發到 AI 服務供應商。網站 AI 需要有效會員及足夠配額；你毋須自備金鑰。
手相同面相（/api/vision）：你揀嘅相片會先喺你部機縮細成 JPEG（最長邊 1024 像素；重新編碼會去除位置、相機同時間等資料），你撳「AI 睇手相」或者「AI 睇面相」嗰陣先經 /api/vision 送去 AI 服務供應商一次，連埋你揀嘅左右手、慣用手同問題；唔送姓名、出生資料、年齡或者性別。我哋唔會儲存、快取或者記錄相片：伺服器只保留請求內容嘅雜湊（用嚟同一張相再問唔重複扣點）同 AI 回覆文字，包括 AI 列出嘅觀察（例如「生命線：深長清晰」）。網站用嘅係付費 AI 服務，按供應商條款佢哋唔會用你嘅相片改良產品，只會短暫保留作濫用監察。相片留喺頁面記憶體，離開頁面就冇；請只用你自己嘅相片。
送出的內容係：日主天干及其五行、命盤地支、揀中嗰日的日期／日柱／分數／級別／黃金時辰、 逐條計分規則同佢的分數、同埋嗰日的通勝宜忌用語。 「夾唔夾」仲會送對方的日主同地支。唔包括你或家人的姓名，亦唔包括原始出生日期。呢一點喺送出之前（瀏覽器）同收到之後（伺服器）各過濾一次 — 兩層都係只抄白名單入面的欄位， 其餘一律掉。
原始請求不寫入資料庫或應用紀錄檔；回覆及使用紀錄按上文儲存。Cloudflare 另有其基礎設施連線紀錄，受其政策管理。KV 保留以 IP 為鍵的短期計數，約一天後刪除，作額外防濫用；大約每個 IP 每 10 分鐘 8 次、每日 30 次，並非精確會員餘額。會員每日限額與每月點數由 D1 在同一寫入檢查，每日 00:00 UTC（香港時間 08:00）重設。全站亦有每日 AI 嘗試次數上限；失敗嘗試仍計入，以控制供應商費用。
資料一旦到咗 AI 服務供應商手上，就受佢哋自己的私隱政策管，我哋管唔到。
舊版由你填入的 API 金鑰可能仍留喺本機；現時頁面唔再提供自備金鑰設定。只有伺服器回覆 no_key（該部署未設定網站金鑰）或 membership_unavailable（該部署未設定會員服務）時，瀏覽器才會用它直接連接 你選擇嘅 AI 服務供應商，並由你承擔供應商費用。手相同面相唔會用自備金鑰。已登入的會員被拒絕時不會改用自己的金鑰；自己的金鑰亦不會用來補足會員點數或每日限額。
3. 字型同訪客統計
頁面向 fonts.googleapis.com 同 fonts.gstatic.com 載入 Noto Serif TC 標題字型檔（內文用你部機自己嘅系統字型，唔會下載）。 呢個請求由瀏覽器自動發出，唔會帶任何個人資料，但會令 Google 見到你的 IP 位址 — 同你瀏覽任何一個用 Google Fonts 的網站一樣。
訪客數字由 Cloudflare Web Analytics（另開新視窗） 統計：每頁會由 static.cloudflareinsights.com 載入一段細腳本，將頁面網址（本站網址唔會帶出生資料）、來源網頁、瀏覽器類型、國家或地區同載入速度傳去 Cloudflare。佢唔用 cookie、唔寫入你部機嘅儲存、唔會建立跨網站嘅個人檔案，亦收唔到你輸入嘅出生資料或者檔案。我哋只睇到總數，例如每日幾多人睇過邊一頁。
除此之外冇喇：冇 Google Analytics、冇 Meta Pixel、冇 A/B 測試工具、冇廣告網絡、冇錯誤回報服務、冇 session 錄影。
4. 會員登入與付款
預設登入由 Clerk（另開新視窗） 提供，付款及訂閱管理由 Stripe（另開新視窗） 提供。電郵驗證碼登入開啟之後，新的會員登入改用該電郵階段。Clerk 按我哋的服務合約及本站私隱政策處理會員登入資料；Stripe 亦按其私隱政策處理付款資料。服務商可能在不同地區處理資料。電郵驗證碼由 Resend（另開新視窗） 送出。Resend 會收到電郵地址同驗證碼明碼，先至送得到信，並按其私隱政策處理。
5. 帳戶同步（可選，預設關閉）
會員頁有一個「將本機檔案同步到我的帳戶」開關，預設關閉。開咗之後，你部機嘅出生檔案表 — 名、角色、出生日期、出世時辰、性別、出生地點（城市）、封存狀態，加每個檔案嘅最後修改時間 — 會經 /api/member/profiles 上傳到會員資料庫（Cloudflare D1）嘅 member_profiles 表，同你嘅登入帳戶掛鈎；其他用同一帳戶登入並開咗同步嘅裝置會取回同一份。同一個檔案兩邊都改過，以較新嘅一次為準；喺一部機刪除嘅檔案，會以刪除紀錄（檔案 id 同時間，保留 90 日）通知其他裝置。呢啲副本唔會用嚟做 AI 解釋（AI 收到嘅資料同以前一樣冇姓名、冇出生日期），亦唔會寫入應用紀錄檔。關閉同步時你可以揀刪除伺服器副本或者保留；刪除登入帳戶會一併刪除。
匯出（.ics / JSON）
「匯出 .ics」同「檔案 → 備份 → 匯出檔案（JSON）」都係喺你瀏覽器入面組好個檔案再下載，全程唔上網。JSON 備份只包括檔案表（名、角色、出生日期、時辰、性別、封存狀態），唔包括 API 金鑰、設定、歷史紀錄或 AI 快取；「匯入 JSON」同樣只喺瀏覽器讀取，只會加入未有嘅人；歡迎頁嘅「已有備份？匯入 JSON」係同一個功能。會員頁嘅「下載已儲存的解釋（JSON）」亦係喺瀏覽器組成，內容係已經顯示喺頁面上嘅你自己嘅 AI 回覆。
點樣刪除你的資料
如需刪除帳戶資料，包括電郵驗證碼登入帳戶，請電郵 [email protected]。我哋會先核實帳戶擁有權，再處理要求。
- 喺 App 的「檔案」頁刪除個別檔案或紀錄。
- 開咗帳戶同步嘅話，會員頁「關閉並刪除伺服器副本」會刪除 D1 上嘅檔案副本；刪除登入帳戶亦會一併刪除。
- 清除瀏覽器網站資料會刪除本機檔案、設定及快取。
- 本機出生檔案清除後，我哋冇備份可還原。會員頁可清除伺服器 AI 回覆文字及本機會員快取；此操作不會取消訂閱或刪除使用／付款紀錄。
- 訂閱請在 Stripe 管理。刪除登入帳戶會終止訂閱並清除伺服器回覆文字；使用與付款識別紀錄保留作核對及防濫用。清除本機資料並不等於刪除帳戶。
- 已經加咗入 Google 日曆的活動，係喺你自己的 Google 帳戶入面，要喺 Google 日曆自己刪。
兒童
付費會員服務只供成年人使用。你可以為家中兒童建立本機檔案，這些出生資料同樣留在你的瀏覽器（除非你開咗帳戶同步）。
政策更新
2026 年 9 月的會員版本加入登入、付款、用量及回覆紀錄；2026 年 9 月 10 日加入可選的帳戶同步（對外連線第 5 節）；2026 年 9 月 22 日加入手相／面相相片解讀（第 2 節）；2026 年 9 月 25 日寫明電郵驗證碼登入的電郵儲存、由 Resend 送出，以及驗證碼同登入階段的保留。2026 年 9 月 28 日寫明電郵驗證碼登入開啟之後，該階段就係會員登入，會員頁的新登入唔再載入 Clerk。舊版沒有帳戶與資料庫的描述已不適用。日後資料流向改變時，我哋會更新本頁及日期。你可在瀏覽器 Network 分頁查看 /api/explain 的內容，以及 Application 分頁查看本機資料。