隐私政策

Kanmin 由 KanminLabs 经营。隐私事务联系方式为 support@kanminlabs.ai。本政策说明我们如何在网站、移动应用、客服和订阅服务中处理个人信息。

账户信息：姓名、电子邮箱、账户标识、登录方式、头像、登录安全信息，以及你单独作出的 AI 数据许可选择，包括许可版本、具名服务商、同意或撤回时间及网站或手机来源。

解读信息：出生日期和时间、性别选择、出生地或当前位置、经纬度、关系类型、你获授权提交的他人资料、问题、每次保存问事或起盘的时间、计算所得的命盘数据、聊天记录、预览、分别请求的“人格”“事业”“感情”和“流年”报告，以及保存结果。对于已登录用户，明确的第一人称陈述可能会作为“未确认记忆候选”保存，等待本人审核。

计费与使用信息：订阅及付款状态、交易参考信息、充值额度余额及活动记录，以及免费使用次数。我们还会收集有限的设备、请求、安全和错误信息；仅在你允许时收集汇总的产品使用信息。银行卡资料由 Stripe 处理，我们不会接收或保存完整银行卡号。

Cookie 与设备存储：我们使用必要的 Cookie 和本地存储来保持登录状态、记住你的语言、主题和分析选择，并让访客在自己的设备上保留最近一次起盘。可选的分析 Cookie 仅在你允许分析后才会设置。我们不使用广告 Cookie。

原生 App 工作区存储：App 还会在本机以明文保存出生资料（包括姓名、出生时间和地点）、起卦盘面会话与手动起卦盘、专业盘缓存，以及含问题和出生资料的择时简报。已登录资料按账户隔离，其他账户无法通过 App 打开。这些工作区副本不会在退出登录时删除，也没有统一的自动到期机制；它们会保留到被新内容覆盖、在提供清除功能的工作区中清除，或通过清除 App 存储移除。访客出生资料和择时简报共用此安装中的一个访客区域，没有自动到期机制，登录时不会清除，后续未登录使用者可能再次看到；这些访客副本不隔离共用设备的不同人员。删除账户不会删除这些工作区副本。如需移除剩余副本，可在 Android 设置中清除 App 存储，或在 iOS 删除 App（“卸载 App”会保留数据）。本机存储与服务器历史分开。

原生 App 工具对话缓存：问题、回答和原重试标识按已登录账户及盘面上下文以明文缓存。条目在对话最后变更 30 天后到期，仅打开对话不会延长期限；本机缓存下次启用或读取条目时删除过期内容。退出登录或切换账户会删除前一账户的工具对话缓存；存储清理失败时，App 会暂停访问缓存，直到清理成功，剩余副本也可通过清除设备上的 App 存储移除。这不会删除服务器上保存的历史。

Psychic 开场缓存：启用个性化开场时，我们会在本机保存开场文字、语言、档案标识与版本、本地日期、时区、参与体系、签发与到期时间以及签名来源凭证，以便恢复同一段欢迎内容。缓存以账户标识区分归属；凭证中的编码元数据可读，包含账户与内容的摘要、档案信息及策略和规则版本，签名仅保护完整性，不提供保密性。该缓存以明文保存，依赖设备和浏览器的访问保护，与服务器上的已保存对话分开；过期开场不会再使用，旧条目会在缓存新开场时替换，退出登录或切换账户会清除前一账户的开场缓存。发送第一问时，经验证的开场文字可能作为对话上下文保存。

Psychic 的设备请求恢复：发送问题前，我们会在此浏览器的本地存储或 App 的设备存储中保存问题正文、原回答语言、时区、对话及请求标识，以及该请求附带的开场文字和凭证，以便断线后查询或重试同一个未确认请求。这些本机记录以明文保存，未经 App 加密，其访问保护依赖你的设备和浏览器；它们与服务器上的已保存对话记录分开保存。

合盘请求恢复：生成解读前，我们会在此浏览器或 App 中保留一个未确认请求，按账户或访客身份及服务地址区分。记录包含双方提交的出生资料（包括姓名、出生日期与时间、地点、经纬度和时区）、关系与参与者角色、回答语言和体系、请求标识、创建与重试期限、答案请求是否已发出，以及实际发送的问题、计算盘面和验证凭证。这些内容以明文保存，以便恢复原请求，避免静默创建另一个付费请求。已登录记录可跨刷新或重启恢复；访客记录采用下文所述的较短会话保存期。

AI 质量与安全举报：如你举报某条输出，我们会收集所选原因，以及经联系方式自动去敏后的可选短说明。我们只保留审核所需的有限引用和生成信息，不保存问题、出生资料、盘面上下文或完整 AI 输出。

我们使用信息以验证账户、计算和生成解读、回答问题、保存历史、同步订阅、提供客服、防止欺诈与滥用、排查故障、维护安全、履行法律及会计义务并执行条款。

如不提供必要信息，相应的命盘、账户、历史保存、地点或付款功能可能无法使用。界面标注为可选的字段可以留空。

长期记忆以本人同意为前提，且仅在该功能启用时提供。AI 预测和过往助手回答不会被当作用户事实。候选内容在本人明确确认前不会进入 AI 上下文。提供“记忆”管理功能时，你可以在相应设置中否认、更正或撤回事实；否则可联系 support@kanminlabs.ai 获取协助。撤回及已更正记录仅为完整性保留，不会再提供给 AI。

我们改进服务时，仅使用你已允许的汇总产品分析，以及最小化的可靠性、安全、防滥用和保障记录。我们不会使用私密出生资料、精确地点、问题、聊天、解读或已保存报告训练通用 AI 模型。在取得你单独的 AI 数据许可后，为完成某次 AI 请求所必需的信息会按下文说明发送给 OpenAI，以提供该次请求。

我们会使用第三方服务来提供托管和数据存储、登录与账户功能、地点搜索、付款、AI 处理、移动应用交付、可靠性与安全监控，以及邮件或客服支持。你能直接看到或自行选择的服务会具名说明：登录可使用邮箱密码，或通过 Apple 与 Google 登录；网站付款由 Stripe 处理；仅在你允许可选分析时，事件才会发送至 Google Analytics 4 与 PostHog。各服务商仅接收履行相应功能合理所需的信息，并受合同及隐私义务约束。

OpenAI 会处理生成 AI 报告、对话和个性化 Psychic 开场所需的信息：你的问题、相关聊天和已确认的记忆上下文、提交的出生资料和地点，以及计算所得的命盘或择时数据。首次发起新的 AI 请求前，我们会单独询问你是否允许分享这些信息，并明确列出 OpenAI。接受条款、登录或允许分析均不代表已授予此许可。如你拒绝，不会发送新的 AI 请求，也不会为此扣除额度或 Credits；技术排盘和起卦仍可使用。你可在“账户”中撤回许可，以阻止各设备上之后发起的 AI 请求。撤回无法收回已发送的数据，也不会取消已在进行的请求；已保存回答与原请求恢复仍可使用。服务商资料见 https://openai.com/policies/privacy-policy/。

可选产品分析默认关闭：除非你选择“允许分析”，否则不会收集任何分析事件，也不会向 Google Analytics 4 或 PostHog 发送。你之后可通过“账户”页面的“匿名分析设置”更改选择或撤回同意。分析事件不会包含出生资料、精确地点、姓名、电子邮箱、账户或付款标识、问题、聊天、解读、报告正文或 URL 查询字符串。我们不会录制你的屏幕或会话。错误与可靠性监控由 Sentry 单独提供，仅接收最小化的诊断信息。

由于上述服务商及其分处理商在多个国家和地区运营，信息可能在澳大利亚境外处理，包括美国以及服务商及其分处理商使用的其他地点；具体地点可能发生变化。我们会评估可获得的服务商保障措施，并按照适用法律对境外披露采取合理步骤。

如法律要求、为保护用户或服务，或在具备适当保障的商业交易中，我们也可能披露信息。我们不出售个人信息。

账户资料、保存的命盘、保存的问事与起盘、聊天记录和记忆记录会在账户有效期间或收到删除请求前保存。访客可能在设备上保留最近一次起盘和一条未确认的合盘恢复记录；服务器临时结果副本见下文。服务商可能依据其政策保留有限的安全日志。

对于已登录用户的命理解读，我们可能临时保留一份完成结果的副本最长 31 天，以便在连接失败后恢复结果、按你的选择保存，并避免重复扣费。该副本会自动到期，不等同于你主动保存的结果，并会在账户删除完成时提前删除。

起卦、合盘和 Psychic 的完成回答也可能以服务器临时副本保留，恢复期为七天，包含支持访客使用的请求，以便响应丢失时避免重复扣费。到期副本会由每日定时清理处理；清理延迟可能使实际保存时间超过七天。删除关联的已保存问事记录或 Psychic 对话时，会清除其可恢复的回答副本；删除账户会清除关联的私密内容。不含回答正文的最小化计费及防重复记录可能继续保留。

设备恢复记录会保留，直到 App 确认该请求的回答或已结清的失败、确认删除其对话，或在退出登录、切换账户、账户重建时清除原账户的记录。六天后，App 停止重发该记录，但仍保留它以便查询已保存的回答。停止等待或开启新对话不会删除未确认记录。你可以明确放弃无法读取的本机记录，同时保留可读取的恢复记录，也可以通过清除此网站或 App 的存储移除本机副本。删除本机副本不会取消服务器任务、删除服务器历史，也不代表额度已退还。设备存储无法读写时，发送会暂停，但仍可查看服务器已保存的对话。

合盘恢复记录会在确认回答或已结清的失败后删除，也会在退出登录或切换账户时清除。已登录记录在六天后仍保持锁定以供核查，不会静默重发。访客记录仅限当前网站标签页会话或当前运行的 App 进程，登录时会清除；即使会话一直打开，记录的恢复期也会在六天后结束，并在下次读取恢复记录时删除过期条目。关闭会话可能移除唯一的本机恢复副本，但不会取消服务器任务或退费。你可以明确确认删除已过期、无法读取或结果无法取回的记录，再准备新解读；删除不会取消服务器任务或退还先前费用，新解读可能重新计费。如记录已被其他标签页更新，删除前需重新读取。

运营和安全日志仅在可靠性、防欺诈和事件响应合理需要的期限内保存。付款、税务、争议和防欺诈记录可能按法律规定保存；澳大利亚商业记录通常最长可达七年。

最小化的 AI 质量事件和内容举报分别在最长 365 天和 180 天后到期。删除已登录账户时，也会删除与该账户关联的质量与举报记录。

账户删除后，我们会保留一条仅用于识别已删除账户的保护记录，以阻止延迟的请求或付款通知重新建立已删除的数据。该记录不含原始账户编号或个人资料，也不用于个性化。清理完成后保留 45 天；清理未完成时保留至处理结束。

欢迎 Credits 资格记录是另一项防滥用记录。我们通过使用秘密密钥的单向处理，从已验证邮箱或经验证的 Apple、Google 登录身份生成假名化标识，并与原赠送记录的摘要引用一起保存。资格记录不含原始邮箱、服务商身份编号、出生资料或聊天内容。该记录会在欢迎赠送计划持续期间保留，包括删号后，仅用于阻止同一已记录身份重复领取，不用于个性化或 AI 处理；其期限长于前述独立的 45 天删除保护期。计划及此用途终止后，资格记录会被删除，必须保留的财务记录仍遵循各自期限。这些标识属于假名化而非匿名化，也不能识别同一个人的所有账户。

可在“账户”页面发起账户删除。除上文说明的有限法律、会计、争议处理及防滥用留存外，我们会删除或去标识化相关应用数据；计费状态清理后会删除可重复使用的网站付款资料和付款方式，仅保留必要的交易记录。通过网站购买、由 Stripe 扣款的订阅仍会续费时，会阻止删号；请先取消，并等待 Stripe 确认不会续费。App Store 或 Google Play 订阅不会阻止删号。删除前，请到相应商店取消订阅：删除 Kanmin 账户不会取消商店订阅，在你到相应商店取消前，商店仍可能继续扣费。删号会终止剩余付费访问、移除未使用的 Credits，且不会自动退款，但不影响法定权利。

我们采用加密连接、访问控制、身份验证保障、监控和受限后台访问来保护信息。任何系统都无法保证绝对安全，如怀疑信息被滥用，请立即联系我们。

你可以请求访问或更正个人信息、删除历史解读或账户，或反对并非提供服务所必需的使用。请发送邮件至 support@kanminlabs.ai。我们可能核验身份，并会在适用法律要求的期限内答复；如法律未规定具体期限，则会在合理可行的情况下尽快处理。

隐私投诉请说明问题及希望的解决方式。我们会调查并解释处理结果。如问题未解决且《澳大利亚隐私法》适用，你可向澳大利亚信息专员办公室 oaic.gov.au 投诉。

账户不面向 13 周岁以下儿童。年满 13 周岁但未满 18 周岁者会在创建或使用账户时自行确认已事先取得父母或法定监护人许可。父母或监护人可就访问、更正或删除联系我们。我们会采用适龄输出限制，但不会依赖解读对个人作出法律或类似重大决定。

软件和 AI 会自动计算命盘、执行使用限制、识别滥用模式并生成娱乐内容。这些流程会影响服务内容或访问，但并非用于决定法律权利、基本服务资格、就业、信贷、医疗待遇或类似重大权益。

如处理方式、服务商或法律发生变化，我们可能更新本政策。重大变更将在可行情况下通过服务内通知或电子邮件告知。联系邮箱：support@kanminlabs.ai。