隐私声明

1. 我们保存什么

• 邮箱地址 —— 用来登录，也是我们联系你的唯一方式。这是你输入的资料里，唯一被长期保存的一项。
• 登录与会话记录 —— 会话编号以哈希形式保存（我们库里那一份无法反推出你的 cookie），浏览器标识以哈希保存，IP 只保存到网段（例如 203.0.113.0/24），不存完整 IP。
• 防滥用计数 —— 为了挡住有人拿你的邮箱反复索取登录链接，我们会对邮箱和 IP 做 HMAC 后计数。存的是不可逆的摘要，不是明文。
• 同意记录 —— 你勾选同意的时间、同意的是哪一版声明，以及一个哈希后的 IP。PDPA 要求我们能证明同意确实发生过。
• 付款与订阅记录 —— Stripe 的订单编号、付款时使用的邮箱、金额、币种、订阅状态与下次扣款日期。我们看不到也不保存你的卡号，那些完全由 Stripe 处理。
• 你是从哪儿知道我们的 —— 注册时记一次：链接里的推广参数（utm）、来路网站的域名（不含完整网址）、以及你第一次打开的是哪个页面。只在注册那一刻写入，之后不再更新，用来判断哪些推广有效。

2. 我们刻意不收集什么

这一节是这份声明里最重要的部分，而且是照着代码逐条核对的：

• 生辰资料与解读结果不入库。 八字、星座、生命灵数、塔罗都是当场算出来显示给你看的，算完就没了。数据库里没有任何一张表存这些。关掉页面，就什么都不剩。
• 照片不会上传。 面相与手相用的是在你浏览器里运行的 AI 模型（MediaPipe，模型文件由本站提供，在你的设备上执行）。照片从头到尾没有离开你的设备——负责扫描的那两个组件里一行网络请求都没有。
• 没有统计分析、没有追踪像素、没有广告。 站内没有 Google Analytics，也没有任何同类工具，没有第三方脚本在看你。上一节那条来源记录是唯一的例外：它只在你注册时记一次，不跟踪你之后浏览了什么。
• 没有密码。 登录靠一次性链接或验证码，所以我们从来没有密码可以被拖走。
• 我们不出售、不出租你的资料，也不会把它交给任何广告或数据经纪公司。

3. 为什么要这些资料

• 让你登录，并在换手机、换浏览器之后还能找回同一个账号与已购权益。
• 确认你是否已付费，以及退款、取消后立刻停止提供付费内容。
• 挡住滥用：例如拿别人的邮箱刷登录信、或暴力猜测 6 位验证码。
• 遵守马来西亚税务法规对交易记录的保存要求。

4. 谁会接触到（含跨境）

只有两家，都是为了让产品能用，且都只拿到必要的最少资料：

• Stripe —— 处理付款与订阅。你的卡号直接交给 Stripe，不经过我们。Stripe 在马来西亚境外处理资料。
• Resend —— 把登录邮件发到你的收件箱。它拿到的是你的邮箱地址和信件内容。Resend 在马来西亚境外处理资料。
• 除此之外，我们只会在法律强制要求时披露资料。

5. 保存多久

• 账号、邮箱与来源记录 —— 账号存在期间一直保存；你要求删除时一并删除。
• 登录链接与验证码 —— 15 分钟后失效；一旦使用成功，同一邮箱其余未使用的凭证会立刻一并作废。
• 会话 —— 闲置 30 天后失效，无论如何最长 90 天。你也可以随时「登出所有设备」立刻作废全部会话。
• 防滥用计数 —— 7 天后自动删除。
• 付款记录 —— 依马来西亚税务法规保存 7 年。即使你删除账号，这部分记录仍须保留，但会与你的账号解除关联。

6. 你的权利

依 PDPA，你可以要求查阅我们持有的关于你的资料、更正不准确之处、撤回同意，或删除账号。目前这些请求通过邮件处理（没有做成页面上的按钮），我们会在收到后尽快处理。

• 撤回同意 —— 撤回之后我们无法再发送登录邮件，也就无法再让你登录这个账号。
• 删除账号 —— 邮箱、会话与同意记录会被删除；付款记录依上一节所述保留但解除关联。

7. 我们怎么保护它

• 全站 HTTPS 传输。
• 会话编号、登录令牌、验证码在数据库里都只以哈希形式存在；就算数据库被人只读拿到，也拿不到能直接登录的凭证。
• 登录 cookie 设为 httpOnly，页面上的脚本读不到它。
• 数据库存放在我们自己的服务器上，不对公网开放。

8. Cookie

只用功能性 cookie，没有一个用于追踪或广告：登录状态、后台登录、提交表单时的防伪令牌，以及你选的语言。

9. 未满 18 岁

本站内容面向成年人。未满 18 岁请在父母或监护人同意后再使用。

10. 声明变更

内容有实质变动时，版本号会更新。同意记录里保存的是你当时同意的那一版，因此我们能分清谁同意了哪一版。

11. 联系我们

查阅、更正、撤回同意或删除账号，请来信： hello@mingli.beatrends.com