隐私政策

出生资料与命盘属于私人数据。账户由 Supabase Auth 管理，业务资料保存在 Supabase Postgres，并通过行级安全策略和服务端所有权检查限制为本人访问。

我们处理的数据

注册邮箱、显示名称、出生日期与时间、时区、用户主动填写的地点和备注，以及由确定性排盘引擎生成的命盘、报告状态、积分与订单记录。密码不由典策应用数据库保存；支付卡资料由 Stripe 托管页面处理，典策不保存完整卡号或安全码。

AI 与资料检索

只有在 AI 与 RAG 功能开启且用户主动创建报告时，服务端才向已配置的云端模型发送去标识化命盘事实目录、用户主动填写的问题与本次已授权资料片段。出生姓名、原始出生输入、经纬度不会包含在该事实目录中。用户问题会在扣积分和发送前检查常见邮箱、电话、长账号、访问密钥与提示词注入形式；检查不能识别所有个人资料，因此用户仍不应填写不必要的敏感信息。Beta 数据不用于训练典策自有模型。

用途与保留

数据用于登录、同步出生资料、保存命盘、生成用户请求的报告、账务核对、故障排查与安全审计。用户不应在报告问题中填写身份证号、联系方式、病历或财务账户等无必要敏感资料。

服务质量统计

仅在服务质量统计明确启用时，典策会记录核心接口每分钟的请求数、服务端错误数和延迟区间，并记录任务开始、完成、保存和报告使用事件。事件中的账户标识只保存为使用独立密钥生成的不可逆 HMAC 指纹；不会写入原始账户编号、邮箱、出生资料、问题内容、IP、浏览器标识或请求正文。该统计采用 35 天滚动保留目标：写入时清理超过 35 天的数据，并支持每日清理超过 34 天的数据以保留运行缓冲。生产环境是否实际启用并持续成功，必须以最近清理时间和超龄数据审计为准；代码或配置存在本身不代表已完成核验。统计只用于聚合的稳定性与产品质量评估。

删除

登录用户可在账户删除页发起删除；Supabase Auth 用户删除后，关联业务数据由数据库外键级联清除。依法需要保留的交易凭证或安全调查所需的最少记录除外。