隱私

誰在經營

Castarot 由一個人以私人身分經營，背後沒有公司。關於這份文件裡的任何事——包括要求刪除或匯出你的資料——請寫信到 [email protected]。

存了什麼

你輸入的問題。抽到的牌和正逆位。為你寫的那篇解讀。你追問的內容和回答。如果你設了回響，還有你後來寫的「實際發生了什麼」，以及讀牌人對它的回覆。你選的讀牌人和牌陣，以及頁面語言。

如果你登入了，還多幾樣：電子郵件地址、它被確認的時刻、你登入時用的語言、你的密碼經過打亂、無法再還原回去的形式（不是密碼本身，詳見下文），以及——只有你選了才有——你選了哪張牌當印記。沒有名字、沒有個人資料。

問題和結果是敏感的部分——那是你自由寫下、關於自己處境的文字，你可能寫了不想被留著的東西。所以刪除功能一用，就會當場清掉這兩樣；而沒有掛在帳號下的占卜，保留期一到，最先清空的也是這兩樣。

登入機制自己也會留下一小段痕跡，和占卜分開存放。用電子郵件寄出的一次性驗證碼只以雜湊的形式儲存，失效一週後丟棄。寄送它的那封信，正文只留一週，之後正文會被清空，整筆紀錄在九十天後刪除。登入嘗試的次數（輸錯密碼的也算在內）留三十天，好讓人沒辦法一直砸門；被擋下的嘗試會連同來源位址一起記錄九十天。這些都不作他用。

還有一樣東西會被計數，但它和你無關。你選一首背景配樂時，網站會給「那首曲子・那一天・那個頁面語言」的合計加 1。那是一個數字，不是一筆紀錄：它和你、你的 cookie、任何一次占卜都沒有關聯，所以裡面既沒有可查的東西，也沒有可刪的東西。你自己選的那首只記在你的瀏覽器裡。

付費之後多出來的只有兩樣。一樣是砂的帳目：什麼時候加了多少、花了多少、花在哪一次占卜上。另一樣是 Lemon Squeezy 給你這位客戶的一個參考編號，好讓之後的購買或取消都對應到同一個人。付款用的卡片資料不在其中，帳單地址也不在——它們都不會送到這個站。

不存什麼

沒有你輸入的密碼原文。存下來的是加鹽雜湊（PBKDF2-SHA256，600,000 次迭代）：它能判斷密碼對不對，但無法還原回密碼，所以就連這個站也讀不到你的密碼。沒有名字、沒有個人資料、沒有照片。也沒有付款卡片的資料和帳單地址：付款用的卡由 Lemon Squeezy 在他們自己的頁面上處理，不會送到這個站。沒有第三方分析：這個站完全不載入任何第三方指令碼，所以沒有 Google Analytics、沒有 Clarity、沒有廣告像素。

不論你抽了什麼牌、寫了什麼，你的 IP 位址都不會寫進資料庫。唯一的例外是登入機制，上面已經寫明：按位址計算嘗試次數，好讓人沒辦法一直砸門；被擋下的嘗試會連同來源位址一起記下。這兩項都會按寫明的期限自行清除。除此之外，位址會像在任何網頁伺服器上一樣，短時間留在伺服器日誌裡；另外，在請求發生的那一刻，也會用它做反向 DNS 查詢，確認自稱搜尋爬蟲的訪客是不是真的。實際存下來的爬蟲紀錄只有使用者代理（user agent）、路徑和語言，不含位址。

你在這裡是誰

沒有帳號的時候，這個瀏覽器就是你的身分。你第一次抽牌時，網站會在一個叫 cst_a 的 cookie 裡放一個隨機 ID。它不含任何關於你的資訊——存在的唯一目的，是讓讀牌人認得出兩次占卜來自同一個人。這個 cookie 設為 http-only、只經由 https 傳送、不與其他網站共用，效期一年。

這有好有壞，在依賴它之前值得先知道：換一個瀏覽器、換一台裝置，或者清除 cookie 之後，你在這裡就是另一個人了。之前的占卜不會消失，但已經沒有東西能把你和它們連起來——這也意味著，從你這一端已經刪不掉它們。

帳號就是解決這個問題的方法。登入之後，身分就改由你的電子郵件地址來代表：第一次在那個瀏覽器上登入時，那裡做過的占卜會轉移到帳號；之後登出期間在那裡做的占卜，會在同一個帳號下次於那裡登入時轉移過來——不會轉移到別的帳號。從此同一份歷史會跟著你到任何一台你登入的裝置；登出之後，那個瀏覽器上只看得到未登入時在那裡做的占卜。工作階段放在另一個叫 cst_session 的 cookie 裡，它經過簽章而非另行儲存，有效期為三十天。

還有誰會經手

解讀是由 DeepSeek 運行的大型語言模型寫的。為了生成它，你的問題、抽到的牌和給讀牌人的指示會送到 DeepSeek 的 API。如果某個問題你不希望任何第三方看到，就不要輸入——改成不帶問題抽牌；開放式解讀一樣可行。

資料庫是 Neon，託管在 AWS 的新加坡區域。網站本身跑在日本的 ConoHa 伺服器上，前面有 Cloudflare，它會看到經過的請求。登入信件，以及你選擇寄給自己的占卜信件，都從東京的 Amazon SES 寄出，它看得到收件的電子郵件地址；如果是占卜信件，也看得到占卜的內容。寄出的信件會保留副本 7 天，用於寄送失敗時重寄，之後內文會被清空，只留下「寄出過」的紀錄。分享占卜不會儲存任何新資料：連結本身就載明了是哪一次占卜、何時失效（30 天後），以及是否顯示你的問題。如果你把占卜寄到別人的電子郵件地址，該地址會和信件一起保留同樣的 7 天，之後會換成單向指紋，這個指紋只能讓本站計算並阻止重複寄送；如果對方要求不再收信，就只保留這個指紋。如果你買砂，賣方是 Lemon Squeezy（Sold through Link, LLC，前身為 Lemon Squeezy LLC，位於美國）：由它收款，它會看到你的卡片和帳單資訊，並依照它自己的隱私權政策處理這些資訊。名單就這些。

留多久

有帳號的時候，你寫下的東西會一直留著，直到你自己刪掉。沒有任何計時器會讓它到期，因為你手上有把它收回去的辦法：下面的刪除功能，還有一個可以寫信聯絡的地址。

沒有帳號的時候正好相反，而且是刻意的：180 天之後，問題、解讀、追問和結果會被清空。沒有帳號的人沒有辦法事後回來把它們撤下，所以由網站替他們做。那筆紀錄本身會留著。什麼時候抽到過哪些牌，正是讀牌人能說出「這張牌已經第三次回到你面前了」的依據，而這部分和前面那些不是同一種私密。

這不是為了顯得負責才寫的一句話。它由伺服器上的計時器執行，每次執行都會印出「過了期限卻還留著的筆數」。最近一次執行時，那個數字是 0。

刪掉

登入後，刪除功能就在你自己那一頁的最下面。它會清掉帳號、帳號下寫的全部內容、電子郵件地址本身，以及登入機制留下的那些紀錄。它會先把筆數顯示給你看，再寄一組驗證碼到你的電子郵件地址，確認這個要求真的是你提出的；你輸入驗證碼之後，它就會刪除：立刻刪，不排進佇列。

沒有帳號的話，同一類的刪除功能在「了解」那一頁上，會刪掉這個瀏覽器名下儲存的全部內容：所有占卜、所有追問、所有回響。cookie 裡的 ID 也會同時釋出，所以下一次占卜是從零開始。

兩種刪除都無法復原。如果你想先留一份副本，或者存著那個 ID 的瀏覽器已經不在你手上，請寫信到 [email protected]。

刪除帳號的同時，金錢方面也會一併結清。訂閱會被取消，之後不會再扣款；年繳方案則會按尚未提供給你的完整月數退款。其中任何一步沒能完成，刪除就會中止，並告訴你原因。與其帳號被刪掉、扣款卻還在繼續，不如先留在這裡。有一樣東西會留下：付款紀錄會保留在 Lemon Squeezy，因為法律規定必須保存帳務。那份紀錄就是一張收據，裡面沒有你的任何問題或解讀。

你的權利

如果你在歐洲經濟區或英國，GDPR 賦予你這些權利：查看存了什麼、更正、要求刪除、限制或反對使用，以及把副本帶到別處。如果你在加州，CCPA 給你類似的權利；而且這個網站不會以該法所用的意義「出售」或「分享」個人資訊。保留占卜紀錄的法律依據，是「讓網站照它所說的方式運作」這項正當利益，也就是一位會記得的讀牌人；帳號的法律依據，則是你登入時所成立的協議。以上權利都可以透過刪除功能行使，或寫信到 [email protected]。不收任何費用，提出請求也不需要帳號。你也可以向你所在國家的資料保護主管機關申訴。

年齡

未滿 13 歲請勿使用；如果你所在國家規定了更高的下限，以那個為準。未滿 18 歲請在父母或監護人同意下使用。如果發現這裡有小孩寫下的東西，告訴我，我會刪掉。

變更

這一頁在系統變了之後才變，不是反過來。頂端的日期，是這一頁最後一次符合實際情況的日期。如果有實質變化，例如多了一個處理者、保留期變長或變短、多存了一樣東西，日期會更新，並在對應小節寫清楚變了什麼。有問題請寫信到 [email protected]。

卡背進化

若你選擇培養一組卡背，你的帳號會儲存所選的卡背組、每項已獲得獎勵之任務的類型、日本時間日期及其成長點數、已解鎖的外觀，以及已裝備的外觀。此紀錄不會複製任何問題或回答的文字。清除占卜紀錄不會移除這些進度或你已解鎖的內容；刪除帳號則會將其移除。用於外觀的砂會記錄在砂的收支明細中。