问象天机 隐私政策

更新日期：2026 年 9 月 25 日

生效日期：2026 年 9 月 25 日

本政策适用于 率冬冬（个人开发者，以下称“我们”）开发的 iOS 应用「问象天机」（以下称“本应用”）。我们是你个人信息的处理者（控制者），联系方式见第十二节。

我们知道个人信息对你的重要性，也知道一个人的出生时间和出生地是相当私密的信息。我们向你承诺三件事：

1. 只收集提供功能真正必需的信息；
2. 不出售你的个人信息，不用它投放广告，不用它训练模型；
3. 你可以随时查看、更正、索取副本和删除自己的信息，也可以直接注销账号。

请特别留意第四节和第五节：本应用的数据存放在日本；AI 相关功能会把你的提问和图片发送到位于中国大陆的服务商处理，AI 问答还会经过我们在美国租用的服务器，这些都属于跨境传输。 新加坡、马来西亚、日本用户的补充说明见第十节。

一、我们收集哪些信息，为什么收集

我们按功能说明，每一项都写清楚“不提供会怎样”。

1. 账号（注册、登录）

• 邮箱地址：用于接收登录验证码、接收服务通知。
• 通过 Apple 登录时：Apple 在你授权后返回的账号标识和邮箱（你选择“隐藏邮件地址”时，是 Apple 提供的转发地址）。我们不保存 Apple 返回的姓名。我们还会加密保存 Apple 提供的一枚授权令牌，只用于你注销账号或解绑 Apple 登录时，请求 Apple 撤销你对本应用的登录授权，撤销后即删除。
• 通过 Google 登录时：Google 在你授权后返回的账号标识和邮箱；登录服务（Supabase）会随授权一并保存 Google 账号的名称和头像链接，本应用不使用、也不展示这两项。
• 登录记录：每次登录的时间、登录方式、IP 地址和设备的浏览器标识（User-Agent），由登录服务记录，用于「我的 → 设置 → 账号与安全 → 登录历史」页面展示和账号安全。退出登录会删除对应的那条记录。

不提供则无法注册或登录，但你仍可以以游客身份使用本地功能。

2. 排盘与黄历

• 出生日期、出生时间（可以选“未知”）、性别、历法：用于生成命盘。
• 出生地点（城市级）：用于真太阳时校正，不是定位。
• 命盘名称和关系（本人或亲友）：用于区分你保存的多张命盘。保存亲友的出生信息前，请先取得对方同意。
• 所在区域：用于黄历的节日、公众假期和吉时显示。你手动选择的区域只保存在你的手机上。
• 设备时区：登录后会记到账号上，用于按你当地的日期计算每日 AI 次数和会员到期提醒。

不提供则无法排盘，这是本应用的核心功能。

3. 定位（仅在你主动点击时）

• 只有当你在「我的 → 设置 → 所在区域」或黄历页的区域提示里主动点「使用当前位置」，本应用才会请求系统定位授权。本应用不会在启动或首页弹出定位请求。
• 我们只请求模糊位置（系统给出的几公里级位置），由 Apple 的系统服务换成“国家 / 省州 / 城市”三段文字后，经纬度当场丢弃，不上传、不保存。
• 换出的区域用于在你的手机上设置「所在区域」；你已登录时，城市级所在地（国家、省州、城市）还会记到账号上，用于了解用户大致分布在哪些地区。

不点则不收集；拒绝授权不影响任何功能，你可以手动选择区域。

4. 问事馆

• 你的提问内容、你上传的图片，以及本次提问对应的排盘依据（命盘结构、规则层给出的依据）。
• 会话与问答记录：你的提问和生成的回答会保存在你的账号下，供你查看历史和继续追问。
• AI 用量计数：每放行一次 AI 问答，记一行“哪个账号、哪一天、计入哪类次数、第几次”，不含提问、回答或任何其他内容，用于计算每日次数上限、防止刷次数。
• 安全记录：AI 请求被安全规则拦截或出现异常时，记录该请求的 IP 地址、时间和原因（不含提问正文），用于防止滥用。
• 涉及安全风险的提问：在问事馆，以及占卜、合盘、周公解梦的梦境检索中交给 AI 解读的提问里，当提问显示可能伤害自己或他人时，应用会显示求助资源。其中明确表达自伤、伤害他人，或询问生死、寿命的提问不会发送给 AI 模型：多数在你的手机上就被识别、根本不发出，其余在我们的服务器入口被拦下，不建会话、不保存提问原文。个别情况下，识别发生在 AI 生成回答之后：这时提问已发送给模型，并和普通问答一样保存，但模型的回答不会显示，改为显示求助资源。流露低落、绝望情绪的提问，每天前 3 次仍会照常解读并附上求助资源，之后改为直接显示求助资源；周公解梦的梦境检索不限次数，照常给出匹配结果并附上求助资源。我们会统计危机类问题出现的次数（按类别、地区、时间，不含问题内容和账号），用于改进识别。
• 使用周公解梦的联网查询时，你输入的梦境描述会被发送去按意思匹配词条（不与命盘关联）；我们只保存这段描述的哈希值和匹配结果，用于限次和避免重复计算，不保存描述原文。

不提供则无法使用该功能，其余功能不受影响。

5. 传图识生辰

• 你主动选择上传的图片。

请不要上传身份证、护照、户口本等证件照片——识别生辰只需要写有出生时间的那部分内容。不使用该功能则不收集。

6. 个人资料

• 头像、昵称、个性签名：你主动填写，用于在应用内展示。头像存放在可公开访问的地址上，请不要使用包含敏感信息的图片。

7. 意见反馈与工单

• 反馈正文、你主动上传的截图、你填写的回信邮箱、订单号，以及当时的 App 版本、机型和系统版本：用于核实和处理你反映的问题。
• 注销账号后，反馈会匿名保留：反馈正文（以及当时记录的 App 版本、机型）会断开与任何账号的关联后保留，用于改进产品；你的回信邮箱、订单号和上传的截图会随注销一并删除。此前为及时处理而转发到我们内部飞书（Lark）群的通知消息里可能含有你当时填写的回信邮箱，如需删除请发邮件告诉我们。

8. 购买与会员

• 订阅状态、会员到期时间、购买凭证的校验结果。为了让你在换设备后仍能恢复会员，我们会把你账号的内部标识（一串随机编号，不是邮箱）交给订阅管理服务 RevenueCat，用来关联你的购买记录。支付由 Apple 处理，我们拿不到你的银行卡号等支付信息。
• 订阅记录：你每次开通、续订、取消、退款、到期，或会员在账号之间转移时，我们保存一条记录：商品、购买商店、交易环境（正式或测试）、计费类型（试用、优惠价或正常价）、发生时间与到期时间、实付金额与币种、商店交易号、取消或到期原因。这些记录用于在应用内向你展示订阅记录，以及核对你关于扣款或退款的询问。记录只关联你账号的内部编号，不含银行卡等支付信息。
• 赠送试用的领取记录：新注册账号可领取一次赠送试用（规则见《会员服务协议》第十条）。每台设备、每个登录身份只能领一次，为此我们处理下面三项信息。
• 试用 · 设备：用 Apple 的 DeviceCheck 判断这台设备是否领过，设备的领取状态由 Apple 保管，本应用不存设备标识。设备不支持 DeviceCheck 时，改用保存在本机钥匙串里、仅限本机的随机标识，服务端只存它的加盐不可逆摘要。
• 试用 · 登录身份：你账号的登录身份（邮箱、Apple / Google 账号标识等），服务端只存它们的加盐不可逆摘要，不存原文。
• 试用 · 网络 IP：为防止滥领，领取试用时我们会对你的网络 IP 地址做加盐摘要（与日期一起计算）并计数，用于限制同一网络每日的领取次数；不保存 IP 地址原文，摘要与计数按日期最多保留两个自然日（UTC），到期每日自动删除。

9. 自动产生的信息

• 使用事件（例如打开了哪个页面、完成了一次排盘、购买是否成功）：仅在登录状态下记录，附带 App 版本和平台，用于了解功能是否被使用。
• 崩溃、错误与性能数据：通过 Sentry 上报，用于定位故障和了解 AI 问答的耗时。上报内容包括错误堆栈、机型、系统版本和 App 版本；我们关闭了默认的个人信息上报，不附带你的账号标识，不收集 IP 地址和设备名称，也不包含你的提问或命盘。游客与登录用户都会上报崩溃。

10. 我们明确不收集的

通讯录、短信、通话记录、精确地理位置、广告标识符（IDFA）、麦克风、已安装应用列表。 本应用不投放广告，也不接入广告 SDK。

11. 游客模式

不注册时，你的命盘与占卜记录只保存在你的手机里，我们接触不到，也无法为你恢复；卸载应用或更换设备会丢失。游客模式下仍会上报不含个人信息的崩溃数据（见第 9 条）。

二、我们如何使用这些信息

1. 提供你所请求的功能（排盘、黄历、占卜、AI 解读、传图识生辰）；
2. 维护账号与登录安全，识别异常请求，计算每日使用次数；
3. 处理你的反馈、工单与退款协助；
4. 发送与服务相关的通知（会员到期提醒、反馈回复等）；
5. 排查故障、改进功能，了解用户大致分布在哪些地区。

我们不会把你的信息用于自动化决策、用户画像、定向广告，也不会用于训练大语言模型。

三、我们把信息存在哪里，存多久

存储地点：账号、命盘、问答、占卜记录、反馈等数据存放在我们使用的云服务（Supabase）位于日本东京的服务器上。经第四节所列服务商处理的信息，处理地点见该节表格。

保存期限：

法律法规对保存期限另有强制要求的，从其规定。超出保存期限后，我们会删除或匿名化处理。

四、我们和谁共享

我们不出售你的个人信息。为了让功能可用，以下服务商会在各自必需的范围内处理相关信息：

上述服务商按其自身的隐私政策处理信息。除上述情形外，只有在取得你的单独同意，或者法律法规、司法及行政机关依法要求时，我们才会对外提供你的个人信息。

转让与公开披露：我们不会将你的个人信息转让给其他公司或个人；发生合并、收购等情形时，我们会要求承接方继续受本政策约束，否则将重新征得你的同意。我们不会公开披露你的个人信息。

五、跨境传输（请重点阅读）

本应用的数据存放在日本。问事馆、传图识生辰，以及周公解梦的联网查询这三项功能，会把你的提问内容、图片或你输入的梦境描述发送到位于中国大陆的服务商（阿里云百炼）处理；问事馆的提问在送去模型之前，会先经过我们在美国租用的服务器排队处理；你提交的意见反馈会通过飞书转发到我们本人，飞书的服务器同样在中国大陆。 验证码邮件、订阅校验和崩溃上报由位于美国的服务商处理（见第四节）。

• 这意味着这部分信息会离开你所在的国家或地区，到达法律制度与你所在地不同的地方。各接收地的制度概况见第十节第 3 条。
• 我们只传输实现该功能所必需的内容，不会把你的邮箱地址、账号标识随提问一起发送给模型服务商；传输全程使用 HTTPS 加密。
• 你可以选择不使用问事馆和传图识生辰，排盘、黄历、各类占卜工具不受影响；在你同意之前，周公解梦只在你的手机上按字面查询，不发送任何内容；你也可以选择不通过应用内反馈联系我们，改为直接发邮件到 support@wenxiangtianji.com。
• 我们会在你首次使用 AI 相关功能时单独提示并征得你的同意。你既可以停止使用相关功能，也可以在「我的 → 设置 → 撤回 AI 处理同意」中主动撤回同意；撤回后下次使用 AI 功能时会重新征求你的同意，已处理的数据按第七节的规则处理。

六、Cookie 与同类技术

本应用是原生 iOS 应用，不使用 Cookie，也不使用广告追踪标识符。我们在你的设备本地保存少量设置（如界面语言、所在区域、是否已读某条提示），这些内容不会上传到服务器。

七、你的权利

你可以：

1. 查看与更正：在「我的 → 设置 → 账号与安全」查看账号信息和登录历史，在「编辑资料」中修改昵称、头像、个性签名；命盘信息可在命盘记录中修改或删除。
2. 删除：删除单条命盘、单条占卜记录或单个问事馆会话；删除后不可恢复。删除会话时，该会话的问答记录一并删除；AI 用量计数不受影响（见第三节）。无法对应到会话的问答记录（见第三节），需要删除的，发邮件给我们。
3. 撤回同意：在「我的 → 设置 → 推送通知」中关闭各类通知；在系统设置中关闭本应用的定位权限；在「我的 → 设置 → 撤回 AI 处理同意」中撤回对 AI 相关处理的同意，撤回后下次使用 AI 功能前会重新向你说明并征求同意（停止使用 AI 相关功能同样视为撤回）。撤回同意不影响撤回前已进行的处理。
4. 注销账号：在「我的 → 设置 → 账号与安全 → 注销账号」中自助完成，过程见下方“注销时会发生什么”。注销不可撤销，尚未到期的会员时长作废且不予退款；注销账号不会自动取消 Apple 的订阅，请先在 Apple 设置中取消。
5. 获取副本：需要你的数据副本时，发邮件给我们，核实身份后我们会在 15 日内以通用的电子格式（如 JSON）提供；技术上可行时，也可以按你的要求直接提供给你指定的另一方。
6. 限制或停止处理：你可以要求我们停止以某种方式使用你的信息，或停止向第三方提供；我们会在核实身份后处理，但停止处理可能导致相关功能无法使用。
7. 投诉：对我们处理个人信息的方式有异议，可通过下方邮箱联系我们；我们会在核实身份后 15 日内答复。你也有权向你所在地的个人信息保护主管机关投诉。

行使上述权利不收取费用。

注销时会发生什么：

1. 删除你在问事馆上传的全部图片、你的头像，以及反馈里上传的截图；
2. 把你反馈记录里的回信邮箱和订单号清空，反馈正文断开与账号的关联后匿名保留；
3. 删除与你账号相关的安全记录，以及旧版本遗留的归档字段（如推送令牌）；
4. 使用 Apple 登录的账号，请求 Apple 撤销你对本应用的登录授权；
5. 断开赠送试用领取记录与你账号的关联，只保留设备标识与登录身份的加盐不可逆摘要，用于防止“注销后重新注册”重复领取；
6. 删除你的账号档案，并随之删除：命盘、择日记录、问答记录与会话、占卜记录、使用事件、订阅记录、AI 用量计数、周公解梦的查询记录、站内信、通知设置、所在地与时区等全部与账号关联的数据；
7. 最后删除你的登录账号（含登录记录）。

注销不会删除：匿名保留的反馈正文；不与任何账号关联的赠送试用领取摘要；按日期自动删除的领取试用 IP 摘要与计数（到期照常删除）；不含账号的危机类问题计数（180 天后自动删除）；此前已转发到飞书的反馈通知（可发邮件要求删除）；Apple 和 RevenueCat 按各自规则保存的购买记录；Sentry 中不与账号关联的崩溃数据。

八、我们如何保护你的信息

1. 传输过程使用 HTTPS 加密；
2. 数据库按行设置访问规则，每个账号只能读到自己的数据；
3. 服务端密钥存放在专用的密钥库中，不写入代码仓库，也不存放在处理 AI 问答的服务器上；
4. 图片文件使用限时访问链接，链接过期即无法访问；
5. 只有开发者本人可以访问后台，且仅在排查问题时访问。

请你也注意保护自己的账号：不要把登录验证码提供给他人。如果发现账号异常，请尽快联系我们。

万一发生个人信息泄露事件，我们会依法及时以站内信或邮件告知你事件情况、可能的影响、我们已采取的措施和你可以采取的应对建议，并按所适用的法律向主管机关报告。

九、未成年人保护

本应用主要面向成年人。未满 18 周岁的未成年人，应在监护人明确同意后再使用本应用并提供个人信息。 如果我们发现在未取得监护人同意的情况下收集了未成年人的个人信息，会尽快删除。监护人如需查询、更正或删除未成年人的信息，可通过下方邮箱联系我们。

十、特定地区用户的补充说明

本节是对上文的补充；与上文不一致时，对相应地区的用户以本节为准。

1. 新加坡（《个人数据保护法》PDPA）

• 我们依据你的同意（包括你首次使用 AI 功能时给出的同意）以及提供你所请求服务的需要，收集、使用和披露第一节所列的个人数据，用途见第二节。
• 你可以随时撤回同意（方式见第七节第 3 条），我们会告诉你撤回可能带来的后果（例如相关功能无法使用）。
• 你可以要求查阅、更正你的个人数据，以及了解过去一年内我们如何使用、向谁披露了这些数据。
• 你的个人数据会被传输到日本、中国大陆和美国（见第四节、第五节）。我们在征得你同意的前提下，按本政策所列的范围进行传输，并只传输功能所必需的内容。
• 发生依法须通报的数据泄露时，我们会通知个人数据保护委员会（PDPC）以及受影响的你。
• 数据保护负责人（DPO）：率冬冬，support@wenxiangtianji.com。

2. 马来西亚（《个人数据保护法》PDPA 2010 及 2024 年修订）

• 第一节已按功能写明每项资料是必须提供还是可以不提供，以及不提供的后果；资料的来源是你本人，或你授权的 Apple / Google。
• 你有权查阅和更正你的个人数据，有权撤回同意，有权要求我们停止可能对你造成损害或困扰的处理；技术上可行时，你可以要求我们把你的数据直接传给另一方（数据可携）。
• 你的个人数据会被传输到马来西亚境外（日本、中国大陆、美国，见第四节、第五节），我们以你的同意等法定理由为依据进行传输。
• 发生数据泄露时，我们会按法律通知个人数据保护专员；可能对你造成重大伤害的，也会通知你。
• 数据保护官（DPO）：率冬冬，support@wenxiangtianji.com。

3. 日本（《个人信息保护法》APPI）

• 个人信息处理事业者：率冬冬（个人开发者）。地址在你提出请求时及时告知。
• 利用目的：见第二节。
• 请求开示等：你可以通过邮件请求我们开示（包括向第三方提供的记录）、更正、追加、删除你的保有个人数据，停止利用，或停止向第三方提供。我们核实你的身份后在 15 日内处理，不收取手续费。
• 向外国第三方提供：你的个人数据会由位于以下国家或地区的服务商处理（见第四节）。
• 中国大陆（阿里云百炼、飞书）：有《个人信息保护法》，规定了与日本相近的处理规则和个人权利；同时，当地法律规定国家机关在特定情形下可依法要求企业提供数据。
• 美国（我们租用的服务器、Resend、RevenueCat、Sentry；Supabase 是美国公司，数据存放在日本）：联邦层面没有统一的个人信息保护法，个人信息主要受行业法规和各州法律（例如加州的 CCPA）规管，政府机关也可依法调取数据。
• 接收方的措施：各服务商均公开了隐私政策和安全措施，但它们采取的措施不一定在每一点上都与日本法律对事业者的要求相同（例如不一定直接回应你的开示请求）。我们通过只发送必需内容、不附带邮箱和账号标识、传输加密等方式降低风险，并在你首次使用 AI 功能时征得你的同意。
• 安全管理措施：见第八节；此外，我们知悉数据存放地（日本）和上述处理地的个人信息保护制度，并据此决定发送哪些内容。
• 咨询与投诉：support@wenxiangtianji.com。你也可以向日本个人信息保护委员会咨询。

十一、本政策的更新

本政策可能随功能变化而更新。更新后我们会在应用内通知并标明更新日期。发生重大变更时——例如新增一类个人信息、新增一家数据接收方、改变跨境传输的范围——我们会以弹窗等显著方式提示，并在必要时重新征得你的同意。 你不同意更新内容的，可以继续使用更新前已有的功能，或停止使用并注销账号。

十二、联系我们

对本政策有任何疑问、意见或投诉，请联系：support@wenxiangtianji.com

我们会在核实你的用户身份后 15 日内回复。