隐私政策

1. 排盘时处理的资料

为生成命盘，当前主界面要求一个姓名或称呼、公历出生日期、出生时间和性别。省市与经度为可选信息，仅用于页面内的天文太阳位置时间校正。

• 上述资料在当前页面内存中用于确定性排盘。
• 默认不把姓名、生辰或地点写入 URL，也不会自动保存命盘历史。
• 只有主动点击“保存当前命盘”后，精确出生资料和命盘快照才会写入这台设备的 IndexedDB；不会因此上传到云端。
• 刷新或关闭页面后，未主动保存或导出的当前表单和命盘状态会丢失。
• 可使用不能识别真实身份的称呼，排盘计算不依赖法定姓名。

2. 手相照片与本地识别

只有当你在 AI 手相页面主动拍照或选择相册文件时，浏览器才会读取该照片。默认流程在当前浏览器内完成手部关键点、左右手、画面质量、掌区比例和候选纹理分析。

• 原始照片不会上传到当前站点服务器，也不会发送给大模型。
• 页面会在浏览器内生成带关键点的结果图；清除结果、刷新或关闭页面后，当前照片和结果图会从页面状态中移除。
• 本地识别运行文件由本站提供。Hand Landmarker 模型默认从 Google 官方模型存储下载，模型提供方可能处理 IP、User-Agent、请求时间等网络元数据，但该下载请求不包含手掌照片。
• 当前版本不建立手掌身份模板，不提供身份比对，也不把普通纹理自动命名为具体主掌线。
• 如果主动启用手相 AI 解读，只会发送结构化比例、质量指标、传统规则观察和限制，不发送照片、文件名或关键点坐标。

3. 可选内置 Agent 与 BYOK 解读

只有当你主动生成报告或发送问题时，页面才会发起模型请求。不使用 AI 不影响规则排盘。部署者可以提供内置 Agent，也可以保留由用户填写 API Key 的 BYOK 模式。

• API Key 只保存在当前页面状态，不写入 cookie 或 localStorage。关闭 AI 面板、点击清除或关闭页面可移除当前 Key。
• Key 会作为请求头短暂经过当前站点服务器，再用于调用你选择的模型提供商。当前应用代码不将 Key 主动写入日志或数据库。
• 全盘 Agent 会收到去直接身份化后的十二宫、星曜、四化、大限和有限年度投影；主题问答只收到对应规则结论与依据。两种模式都不会发送本机历史。
• 上下文会去除姓名、精确出生日期、时钟时间、城市、经度和性别。财富主题仍包含虚岁与公历年份，完整命盘结构也可能带来间接识别风险。
• 开启知识检索时，服务器可从已登记古籍段落中检索补充说明；出生资料和本机历史不会写入知识库。
• 开启 Langfuse 时，只记录模型、模式、状态、字符数、引用数和匿名上下文哈希；不记录问题全文、回答全文、出生资料、API Key 或模型思维链。
• 模型提供商如何保存和使用请求，受该提供商的条款、隐私政策和你的账号设置约束。

公开部署时请仅使用可撤销、有限额的 Key。对 Key 安全要求较高时，请自行部署并核对反向代理、访问日志与错误监控配置。

4. 本地存储、Cookie 与统计

• 只有你主动点击保存时，IndexedDB 才会保存最多 30 条本机命盘历史，包括精确出生资料、显示名称和命盘快照。
• 本机历史支持搜索、改名、重新打开、单条删除、全部清空和加密备份导入导出。新备份使用 PBKDF2 + AES-256-GCM；备份口令不会被保存。
• 旧版 localStorage 历史只迁移可确认时辰的记录，旧副本不自动删除，也不把未知时辰伪装成精确时辰。
• API Key 不会写入 localStorage 或 IndexedDB；本机历史也不会自动同步到服务器或其他设备。
• 当前开源默认配置没有账号 cookie，也没有默认加载广告或第三方统计脚本。
• 浏览器或部署基础设施可能会处理 IP 地址、User-Agent、请求时间与访问路径等常规网络元数据。具体日志保留取决于实际部署者和托管平台。

5. 保存、共享与出售

当前应用不建立用户资料库，不出售个人信息，不向支付、短信或会员服务商传送数据。模型请求只在完成当次调用所需的时间内由当前服务处理；第三方模型的保留期另行适用其自身政策。

私人加密备份含精确出生资料，只应保存在可信设备。公开报告、分享图与七天链接默认省略直接出生字段，但完整命盘结构仍可能造成间接识别，分享前应自行检查。七天链接在服务器保存匿名快照和分享凭证的哈希，到期后不可访问，也可由创建会话立即撤销。

6. 你的选择

• 可以不启用 AI，只使用本地规则排盘。
• 可以在 AI 面板中清除 Key，或关闭、刷新页面结束当前会话。
• 可以在本机历史面板中删除单条记录或清空全部记录，也可通过浏览器设置清除本站 IndexedDB 与 localStorage。
• 可以导出加密私人备份，或导出默认脱敏的公开 JSON / Markdown 报告。
• 分享图默认不显示精确生辰、出生地或性别；分享前仍应检查图片中的命盘内容是否适合公开。
• 可以创建七天匿名链接，并在当前创建会话中立即让它失效。

7. 未成年人与高风险内容

本产品的命理内容用于传统文化体验和自我观察。未满 18 岁的用户应在监护人指导下使用。不要把命盘或 AI 输出作为医疗、财务、法律、心理或人生重大决定的唯一依据。

8. 自部署版本与联系方式

本项目可被第三方自行部署和修改。不同部署者可能改变日志、统计、模型端点或存储行为，应由其提供与实际行为一致的隐私说明。当前开源模板不虚构商业运营主体或客服邮箱；公开部署者应在上线前补充其名称和有效联系方式。