隐私政策

哈基米道长，品牌 Hachimi.ai，由哈基米 AI 制作组运营。本隐私政策说明我们处理哪些数据、为什么处理，以及你拥有哪些权利。 先简单说一下这款应用的工作方式。你报两个数字、写下想问的事，我们的后端按梅花易数的固定方法起出一卦，再由"哈基米道长"人设的第三方 AI 模型生成解读。因为生成解读必须把你的问题和卦盘发送到我们的后端，再由后端转发给第三方 AI 服务商，所以与纯本地的占卜小工具不同。该服务的性质与我们的要求见第 3 节，本政策据此如实披露。

• 在线问事由后端确定性起卦，再将问题与澄清、场景、派生卦象、时辰序、语言和所选上下文交给 DeepSeek Open Platform 生成解读；不向其转交原始数字；起卦时刻、时区与公共年月日时干支用于时间背景。完整字段见 §3。离线命盘在本机计算，不需要 AI 授权。 • 你的问题与解读结果会以匿名安装标识关联存储在后端，原文最多保留 90 天，仅用于改进解读质量。首次实际在线问事时会请你明确同意，同意后才开始收集。你随时可以在“我的 → 隐私与数据”里重置匿名标识，数据也会在 90 天后自动删除，详见第 4、5 节。 • "道长的记忆"即卦忆与关注画像，只存在你的设备上，服务器不建记忆库。解读时同命例至多 3 条相关卦忆和 8 条有效画像证据随请求临时上传，处理完即丢弃，详见第 4 节。 • 我们不出售你的数据，不用于广告，不跨应用或网站追踪你，也不使用广告标识符 IDFA 或 App 跟踪透明度 ATT。 • 使用本应用无需注册账号。

• 你问的问题，即你输入的文字。每次起卦时发送到我们的后端，并由后端转发给第三方 AI 服务商生成解读。后端以匿名安装标识关联存储，首次实际在线问事时会请你明确同意，同意后才开始收集。原文最多保留 90 天后自动删除，详见第 4 节。包含问题的卦历始终只存在你的设备上。 • 你选的问事场景，即寻物、感情、事业、自由问事四选一。用来选择解读的侧重方向。随问题一起发往后端，拼入预设的引导文字后转发给第三方 AI 服务商。存储方式见第 4 节，卦历存于你的设备。 • 两个起卦数字和本地时辰，用来按固定方法起出上下卦和动爻。随问题一起发往后端。存储方式同上，卦历存于设备本地。 • 你对解读的反馈，即点赞或点踩。用来标记解读质量、用真实的不满意样本改进解读。随对应起卦事件上传，撤回同意后即停止一切上传。本地永久保存在卦历中；服务端的投票不含任何文字内容，仅作为匿名统计留存。 • 匿名安装标识。应用首次启动时随机生成的一个编号，用来把同一台设备的事件串起来看整体质量趋势，不关联到你本人。随每次起卦请求发送。服务端存满 90 天后自动切断关联，你也可以随时在“我的 → 隐私与数据”里重置它。 • 道长的记忆，即卦忆与关注画像，让解读能自然接续你问过的事。卦忆与画像只存在你的设备上，会随卦历删除而一并删除。开启"道长的记忆"时，至多 3 条相关卦忆与主题画像随该次请求临时上传并转发给第三方 AI 服务商，仅用于生成这一次解读，处理完即丢弃、不入库。服务端只留"该请求带了几条卦忆"这类不含内容的计数。关闭记忆、对单卦选"不用记"或以"帮别人问"起卦，该次请求不携带任何记忆。 • 卦历，包含卦盘、解读、时间与所问之事，仅存在你的设备上，供你回看。 • 语言与设置偏好，属于应用偏好，存在你的设备上。 • 使用统计，即匿名的按天计数。用来判断各功能是否被用到、新版本是否留得住人。它是一份固定清单内九种动作的每日次数：打开应用、看到解读、收下等待中的结果、仪式中先回首页、结束一卦、翻看卦历、用过导出、打开或关闭"道长的记忆"。只记"某天、某动作、某问事场景、发生了几次"，不含时间点，更不含你写下的任何文字。随匿名安装标识上传我们的后端，留存见第 4 节。 • 崩溃诊断，仅限 iOS 系统自带机制。用来发现并修复让应用闪退的问题。由 Apple 系统内建的性能统计工具在崩溃后生成诊断报告，内容是调用栈、系统与应用版本等纯技术信息，不含你写下的任何内容。从采集那一刻起就不携带匿名安装标识，无法关联到任何一台设备。仅上传我们的自有后端，留存见第 4 节。 • 所选命主的派生摘要（本命年月日时四柱、日主、阴阳、旺衰、格局、调候用神、性别与十年年龄段）: 让解读结合明确选择的命盘背景: 瞬态：经本公司后端转发 DeepSeek；不发送命例姓名、生辰或位置: 用于当次解读，不作为命例资料库存储；完整命例只存于设备及系统管理的备份 本公司服务器不接收命例姓名、生辰、位置、邮箱、通讯录、照片、精确位置（GPS）或任何广告标识符（IDFA）。在命例库中主动填写的姓名、生辰和出生地用于本机排盘，并可能随系统管理的设备备份保存；选择命主参与问事时，只转交上表列出的派生摘要。本应用不使用 App 跟踪透明度（ATT），因为它不做任何跨应用追踪。 关于健康与财务：本应用不读取健康数据、病历、银行账户或任何结构化的健康或财务资料，也不向你索取这类资料。但你写下的是自由文本，你可能在里面提到身体、看病、薪资、借贷或其他敏感的事。那些字句会作为你所问的问题被处理，与其他自由文本同一口径：按第 3 节转发第三方 AI 服务生成解读，按第 4 节留存与删除。所以请只写你愿意写的，不必为了"问得准"而补上不想说的细节。

本公司后端接收当前问题与澄清、场景、两个数字、精确起卦时刻与时区、语言、随机安装标识与请求标识、同意版本及必要的认证和权益字段，用于起卦、反滥用和提供解读。开启记忆或选择命主时，还会收到下述可选上下文。 3.1 接收方与发往的内容 当前第三方 AI 接收方是 DeepSeek Open Platform（DeepSeek），用于生成问事解读。转交内容为： • 当前问题与澄清、场景侧重、输出语言、派生卦象和十二时辰序，以及冻结起卦 UTC 瞬时、IANA 时区、当地钟表时间、公共年月日时干支、实际时区偏移和历法规则版本； • 记忆开启且所选命例未暂停时，经过安全过滤的同命例记忆统计、最多三条既往问题、摘要、主题、间隔天数、卦序与反馈结果，以及最多八条有效画像证据的主题、内容、陈述或推断依据、间隔天数与更正标识； • 选择命主时，本机计算的本命年月日时四柱、日主、阴阳、旺衰、格局、调候用神、性别与十年一档年龄段，以及个人大运的状态、干支、起止区间、出生钟表固定偏移、资料精度、计算规则和内核版本。 不会向 DeepSeek 转交原始两个数字、命例库的姓名和生辰及位置字段、安装或请求标识、设备认证令牌、订阅凭据、同意记录或本机反馈笔记。你主动写在问题或补充中的信息会随原文发送，请勿填写真名、联系方式或住址。第三方按适用服务条款处理其收到的内容；训练、留存与处理约定以当前适用条款及账户设置为准。接收方、发送字段或用途变化时，会更新披露并重新请求许可。 本命四柱及个人运程的起止区间和偏移可能缩小出生时间范围；不发送原始生辰字段不等于该派生摘要匿名。 3.2 许可与撤回 首次指引仅有“开始”，不会替你同意在线解读。首次实际请求在线解读时，App 会说明发送的数据、用途及接收方 DeepSeek，由你选择“同意并开启在线解读”或“暂不使用在线解读”；同意后在同一披露版本内不重复询问。未许可不会发送在线解读请求。没有所问之事时仅请求确定性纯卦，不调用 DeepSeek，也不使用记忆画像或 AI 许可。 在“我的 → 隐私与数据 → 隐私政策”可阅读政策原文与当前许可状态。已同意时，页面底部提供“停止在线解读并撤回许可”；未同意时该页没有开启按钮。撤回后停止新的 AI 解读请求、使用回执及反馈上传，结束本机在途会话并保留输入草稿；晚到响应不写入卦历。已经发出的请求不能保证从远端撤销，既有服务器记录仍按保留期限处理。主动举报仍可由你明确提交。 撤回不删除已有本地卦历，也不影响离线命盘和本机数据。再次使用在线解读时，须在实际问事的披露页明确点击“同意并开启在线解读”。

• 本公司运营一个统一后端，用于接收起卦请求、执行确定性起卦并转发第三方 AI 服务。为改进解读质量，该后端以假名化最小集存储起卦事件：每次起卦的问题、所问场景、卦象与解读会连同匿名安装标识存入本公司自有数据库（使用即按在线解读许可收集，无单独开关；不同意即不使用 AI 解读）。你的控制面 = 在线解读许可（可撤回，见 §3.2）+ 随时重置匿名标识（旧事件即与你的装机脱钩）+ 90 天自动删除。 • 90 天滚动删除：问题原文、澄清补充、解读全文与安装标识的关联，在落库满 90 天后由每日定时任务自动删除或切断；此后数据库仅保留不含任何原文的匿名统计行（如场景分布、响应耗时、反馈比例），用于观察长期质量趋势。 • 质量评估样本：少量被点踩的解读会被选作内部评测素材，选用前必须经人工改写去标识（改写为语义等价的合成案例，不逐字保留你的原文），改写版才会进入评测集。 • 零第三方分析：上述存储全部使用本公司自有基础设施，不接入任何第三方分析、广告或崩溃收集 SDK。 • 收集目的（明确且有限）：用真实的失败样本改进解读质量、让追问与对问题的理解更准、优化不同问事场景的处理。不为广告、不为画像、不为售卖。（此处“画像”指广告 / 营销意义上的用户画像；与 §4.1 中只存在你设备上的“关注画像”是两回事，见彼处消歧。） • 被安全话题拦下的那一卦：若你写下的事涉及危机、身心健康或财务困境，本应用会转到一页静态说明、不生成解读。此时我们不存你的问题、也不存任何生成文本；只有上文那条准入记录照常存在，并按 8 天到期删除。 • 只在设备上的短期数据：输入草稿在保存满 30 天后的下次读取时清除，存放于排除系统备份的目录。在途解读与重试依据只存内存，退出进程后不自动恢复或重新发送。 • 卦历与卦忆会进入系统备份：它们存在应用的常规数据区，因此随 iOS / 安卓由系统管理的加密备份一起走，为的是让你换手机时卦历还在。这不是我们的云同步：我们看不到备份内容，也没有账号。设置里的“删除本机问事数据”清的是这台设备上的这一份，它无法替你删除 Apple 或安卓厂商已保管的既有设备备份；那需要你自己去系统的备份管理里删（iPhone：设置 → 你的名字 → iCloud → 管理账户存储空间 → 备份；安卓：系统设置的备份或 Google One 备份）。 • 卦历仅存于你的设备。删除某条记录或删除本应用即可移除；我们在设置中提供“删除全部卦历”操作。 • 第三方 AI 服务侧的留存与删除：DeepSeek 按适用服务条款处理与留存已收到的内容。需要请求删除时，可联系下方邮箱由我们协助发起；撤回 App 授权不等于删除已经发出的内容。 4.1 道长的记忆（按命例保存） • 每个命例独立积累卦忆与画像，未关联命例的起卦不建立共享画像。在线解读可生成带当前输入依据的画像候选，本机检查来源、有效期与冲突后归入该命例；推断不是已证实事实。可查看、更正、删除、暂停该命例记忆，也可关闭全部记忆。 • 解读时只瞬态发送 §3.1 列出的同命例有效背景。过期、冲突、来源已删除或已放下的证据不进入本次请求；反馈笔记不发送。服务器不保存记忆内容本体，不建立命例记忆库。未关联命例、记忆关闭或该命例暂停时不发送记忆画像。 • 默认删除命例保留历史里的当时名称快照，清除关联记忆。可再从已删除命例的历史筛选中明确清除其关联历史；删除单条历史同时移除其卦忆及失去来源的画像证据。本机删除无法代替删除已存在的外部备份或已发送的服务端记录。 • 本节画像用于所选命例的解读背景，不用于广告、营销或跨应用追踪。 4.2 会员与订阅 • 支付由 Apple 经手，我们看不到：会员在 App 内经 Apple 的应用内购买完成，姓名、邮箱、银行卡与账单地址一概由 Apple 处理，本公司既不接收也不存储。 • 我们只收到一个购买标识：为校验你的订阅权益，后端会接收并短期缓存 Apple 提供的购买标识（originalTransactionId 一类的不透明 ID，不回链你的真实身份），用于判断你是不是会员；它不进 §4 那份起卦事件库，也不与你写下的任何内容关联。 • 会员按应用商店计：iOS 上的会员由你的 Apple 账号持有，换机或重装后经 Apple 恢复，本应用不需要、也不建任何账号。它不会自动带到安卓，那一侧由该商店各自计。 • 付费不改盘：排盘与起卦结果不因是否会员而改变一个字节，会员打开的只是更细的时间层与专业细盘页，以及每天更多次的 AI 解读。

依据你所在地区的法律，例如欧盟与欧洲经济区的 GDPR、加州的 CCPA/CPRA、香港的 PDPO 等，你有权访问、更正、删除你的个人数据，反对或限制处理，以及随时撤回同意。 • 撤回同意：在“我的 → 隐私与数据 → 隐私政策”在页底点“停止在线解读并撤回许可”（见 §3）。 • 访问、携带与删除：本应用无账号。服务端事件仅以可随时重置的匿名安装标识关联，我们无法把它关联到你本人，因此无法按人提供服务端副本的访问或导出。你设备上的本地卦历完全由你掌控，可在应用内查看与删除。已上传的事件原文按第 4 节最多保留 90 天、到期自动删除。在“我的 → 隐私与数据”里重置匿名安装标识后，旧事件即与你的设备彻底脱钩。 • GDPR：把问题与卦盘发往第三方 AI 的合法依据是你的同意，你可随时撤回。 • CCPA/CPRA：第三方 AI 数据披露用于提供你请求的解读；本公司不出售你的数据，也不用于跨应用广告追踪。有关第三方处理的说明见 §3。 • PDPO，香港：我们只收集应用功能所必需的数据、只用于该目的，并对所有网络调用采用传输加密。设备认证校验为计划中。 如有请求或疑问，请通过下方联系方式联系我们。我们将依适用法律规定的时限回应。

本应用面向 13 岁及以上用户，不面向 13 岁以下儿童，也不会在知情情况下收集其个人数据。商店的年龄分级、应用内的说明与本政策是同一个口径。

所有网络调用走标准 HTTPS/TLS；客户端设备完整性认证校验为计划中、上线时尚未强制。上游 AI 服务密钥仅保存在我们的服务端，绝不下发或内置于客户端。

我们可能更新本政策，“最后更新”日期会随之改变。重大变更将在应用内提示。

元竹投資有限公司，香港 邮箱：voice@hachimi.ai