Kairoscope — 隐私政策
状态：草案 v0.3（中文版） · 2026-11-13 · 依据已上线的 v1 架构撰写（无账号、无数据库、内存计量），与英文版 v0.2 内容一致。 全部字段已于 2026-11-13 填毕（域名 mykairoscope.com 已注册）。草案待法律审阅。 对齐：Apple 隐私标签（5.1.1）、Google Play 数据安全表单、GDPR、CCPA。
生效日期： 2026-12-15
本隐私政策说明 Miaoya（居住于中华人民共和国的个人开发者）（下称「我们」）在 Kairoscope 移动应用（下称「本应用」）中如何处理信息。使用本应用即表示你同意本政策。
1. 一句话概括
- 不注册、不要邮箱、不要密码。 不注册即可使用，我们不索取任何联系方式。
- 生辰只用于当次计算，不留存。 算完即返回，不建档案。
- 盘面只存在于你设备的应用内存里，关闭应用即清空。
- AI 撰写默认关闭。 开启后只发送算出来的盘面事实——不发送你的生日、姓名或所在地。
- 我们不出售你的数据，本应用没有广告，也没有第三方统计或崩溃上报 SDK。
- 首次启动时会生成一串随机标识，保存在你的设备上。它用于免费额度计量与防滥用，不与你的身份关联。
2. 我们收集哪些数据
| 类别 | 内容 | 何时 |
|---|---|---|
| 你输入的生辰 | 日期、时间（或默认正午）、排盘规则所需的性别标记、为真太阳时校正所选的出生地区／经度 | 随单次排盘请求发送。不写入任何日志或数据库 |
| 随机安装标识 | 首次启动生成、保存在你设备上的随机字符串 | 随排盘与举报请求发送，用于免费额度计量、权益校验与防滥用限流 |
| 举报内容 | 你标记的解读正文、所选原因、可选备注、盘面指纹（解读依据行的哈希，不是你的生辰）、应用版本 | 仅在你提交举报时 |
| 订阅状态 | 订阅状态与 Apple 签发的购买凭证，经 RevenueCat 校验 | 仅在你订阅时 |
| 语言偏好 | en 或 zh | 仅保存在你的设备上 |
我们不收集： 精确位置（你可以手填出生地区，但本应用从不读取 GPS）、通讯录、照片、麦克风、广告标识符、健康数据。本应用不含第三方统计 SDK，也不含崩溃上报 SDK。
服务端只做用量计量，记录每个模型的 token 数与估算成本——纯数字，不含任何用户或设备指代。
3. 我们如何使用数据
- 排盘 —— 用你输入的生辰运行确定性引擎，返回盘面结果。
- 撰写解读 —— 基于算出的盘面事实组装正文；默认用模板，若你开启了 AI 则用语言模型。
- 计量与保护服务 —— 按安装标识统计每日免费次数，对举报提交限流。
- 复核举报 —— 由人工阅读被标记的文本，以便修正或移除。
- 校验订阅 —— 与 Apple、RevenueCat 确认订阅状态。
我们不会将你的数据用于广告、画像或模型训练。
4. AI 处理说明
一份解读分两步生成：算盘（确定性算法，不涉及任何第三方）与在此之上的书写。
默认情况下，正文由运行在我们服务器上的确定性模板组装，不调用任何语言模型，也不为使文本生成而离开我们的基础设施。
若你开启「允许 AI 撰写正文」（仅 Pro 档，默认关闭）：
- 服务方： Google Gemini，经 API 中转商 AiHubMix 转发。两者均在应用内「设置 → 你的解读是怎么来的」中列明。
- 发送什么： 只发送算出的盘面事实——宫位名、星曜名与亮度、四化标签、四柱干支、大运年份、牌名。绝不发送你的姓名、邮箱、精确出生地、原始出生日期或设备标识。
- 不发送什么： 任何可追溯到你的标识。请求无状态。
- 谁能看到这次请求： 中转商只在转发时看到请求体；它在第 5 节中属于受托处理方而非控制方，我们不向它发送任何标识。该中转按零数据保留运行：不存储提示词与输出内容，只保留 token 数、延迟等请求元数据。模型以付费方式调用——每一次都由我们结算，而非取自免费测试层；我们自己不会用你的输入或输出训练、微调或评测模型。
- 关闭它没有任何损失： 免费档始终用模板，Pro 档也会回退到模板。关闭后不会有任何请求到达模型服务方。
生成的文字可能在内存中缓存最多 6 小时，以便同一张盘重复查看时不再查询模型。缓存键是解读依据行的哈希，不含生辰数据，也不对应任何用户。
你可以在应用内举报任意一份生成的解读。举报包含被标记的文本、原因、可选备注与你的安装标识——绝不含你的生辰。我们会在 24 小时内复核。
5. 共享与受托处理方
我们仅与签约的服务商共享数据，且各自限于其职能：
| 服务商 | 职能 | 共享的数据 |
|---|---|---|
| 腾讯云（腾讯控股；数据中心位于美国硅谷） | 提供应用页面与排盘接口 | 请求内容在传输中可见；除第 4 节所述内存缓存外不做持久化 |
| Google（Gemini API） | 生成解读措辞 | 仅算出的盘面事实，且仅在开启 AI 撰写时 |
| AiHubMix（中转） | 将请求转发至模型服务方 | 仅算出的盘面事实，仅传输中；不含标识。零数据保留——不存储提示词与输出，只保留 token 与延迟元数据 |
| RevenueCat | 订阅管理 | 购买凭证与 RevenueCat 签发的匿名应用用户 ID |
| Apple | 应用内购买处理 | 支付完全由 Apple 处理；我们看不到卡号 |
本版本不运营任何用户数据库：不存在可被共享、出售或泄露的账号记录。我们不与数据经纪商或广告网络共享数据，仅在法律要求时（有效法律程序）披露。
6. 留存期限
| 数据 | 留存 |
|---|---|
| 生辰 | 不留存。仅在本次请求的内存中使用，随后丢弃 |
| 盘面与解读 | 保存在你设备的应用内，直到你关闭应用或点「新盘」 |
| 解读缓存（服务端） | 最多 6 小时，以依据行的哈希为键 |
| 举报 | 仅在内存中保留至复核完成，复核后即删，任何情况下不超过 90 天。举报不跨服务重启保留 |
| 计量计数 | 按安装标识，每日重置；不归档 |
| 购买记录 | 由 Apple 与 RevenueCat 按各自政策保存；我们只保留订阅状态 |
卸载本应用即从你的设备上移除安装标识与语言偏好。
7. 你的权利
依据你所在司法辖区（GDPR、CCPA 等），你可能有权访问、更正、导出或删除个人数据，并有权反对处理。
由于没有账号、也不存档案，多数请求的结论是：除第 6 节所列项目外，我们未持有关于你的任何信息。如需其他处理：
- 访问／导出／删除： 发送邮件至 dongrun10000@gmail.com，附上你的安装标识（在「设置」中可见）。我们在法定期限内答复（GDPR：30 天；CCPA：45 天）。
- 撤回同意： 在「设置」中关闭 AI 撰写，或卸载本应用。
- 不受歧视： 行使上述权利不会导致服务质量下降。
- 你也可以向当地监管机构投诉。
8. 儿童
本应用不面向 13 岁以下儿童（或你所在辖区规定的更高最低年龄），我们不会在知情情况下收集其数据。若你认为某位儿童提供了数据，请联系我们，我们将尽快删除。
9. 跨境传输
请求可能在美国以及我们服务商运营的国家（包括美国）处理。在法律要求时（例如 EEA 至第三国），传输依据标准合同条款等适当保障措施进行。
10. 安全
传输采用 TLS 加密。密钥与应用代码隔离存放。不存在可被入侵的用户数据库，内存缓存只含盘面事实、不含标识。任何传输方式都无法做到 100% 安全；我们会保护数据，但不能保证绝对安全。
11. 政策变更
重大变更将在生效前于应用内（及商店页面）公告，并给出新的生效日期。生效后继续使用即视为接受。
12. 联系方式
隐私问题或权利请求：dongrun10000@gmail.com · 中国江苏省连云港市
草案，待法律审阅。有疑问请联系 dongrun10000@gmail.com