隐私

谁在运营

Castarot 由一个人私下运营，背后没有公司。这份文件里的任何事——包括要求删除或导出你的数据——写到 [email protected]。

存了什么

你输入的问题。抽到的牌和正逆位。为它写的那篇解读。你追问的内容和回答。如果你挂了回响，还有你后来写的「实际发生了什么」，以及读牌人对它的回话。你选的读牌人和牌阵，以及页面语言。

如果你登录了，还会多几样：邮箱地址、它被确认的时刻、你登录时用的语言、经过不可逆处理的密码（不是密码本身，见下文），以及——只有你选了才有——你选了哪张牌当印记。没有名字、没有资料。

问题和结果是敏感的那部分——它们是你关于自己处境的自由文本，你可能写了不想被留着的东西。所以删除操作是当场清掉这两样；而对于没有挂在账号下的占卜，保留期一到，最先被清空的也是这两样。

登录机制自己也会留下一小段痕迹，和占卜分开放。发到邮箱的一次性验证码只以哈希的形式存着，失效一周后丢弃。承载它的那封信正文只留一周，之后正文被清空，整行再过九十天删掉。登录尝试的次数（包括输错的密码）留三十天，好让人没法一直砸门；被挡下来的那次尝试，会连同它来自哪里一起记九十天。这些都不作他用。

还有一样东西被数着，但它和你无关。你选一首背景配乐时，站点会给「那首曲子·那一天·那个页面语言」的合计加 1。那是一个数字，不是一条记录：它不和你、不和你的 cookie、也不和任何一次占卜挂钩，所以里面既没有可查的东西，也没有可删的东西。你自己选的那首只记在你的浏览器里。

付费之后多出来的只有两样。一样是砂的账：什么时候加了多少、花了多少、花在哪一次占卜上。另一样是 Lemon Squeezy 给你这个客户的一个参照编号，好让下一次购买或者取消落在同一个人身上。卡不在里面，账单地址也不在——它们都到不了这个站。

不存什么

不存你输入的密码原文。存的只是加盐哈希（PBKDF2-SHA256，60 万轮）：能用来核对密码对不对，但没法还原成密码，连这个站自己也读不出来。不要名字、不要资料、不要照片。也不存卡的信息和账单地址：卡是在 Lemon Squeezy 自己的页面上处理的，到不了这个站。没有第三方分析：这个站一个第三方脚本都不加载，所以没有 Google Analytics、没有 Clarity、没有广告像素。

你抽牌、你写下的那些东西，对应的 IP 不写进数据库。唯一的例外是登录机制，上面已经写明：按地址数尝试次数，好让人没法一直砸门；被挡下的尝试会连来源地址一起记下。这两处都按写明的期限自行清掉。除此之外，地址像在任何 web 服务器上一样短时间留在服务器日志里；另外在请求发生的那一刻，用来反查 DNS、确认一个自称搜索爬虫的访客是不是真的。真正存下来的爬虫记录只有 user agent、路径和语言，没有地址。

你在这里是谁

没有账号的时候，这台浏览器就是你的身份。你第一次抽牌时，站点会在一个叫 cst_a 的 cookie 里放一个随机 id。它不含任何关于你的信息——存在的唯一目的，是让读牌人认得出两次占卜来自同一个人。这个 cookie 是 http-only、只走 https、不跨站，一年过期。

这一点是双向的，用之前值得知道：换一台浏览器、换一个设备、或者清了 cookie 之后，你在这里就是另一个人了。之前的占卜不会消失，但已经没有东西能把你和它们连起来——也就意味着，也没法从那一侧删掉它们。

账号就是从那里走出来的路。登录之后，身份换成了那个地址：在那台浏览器上第一次登录时，那里做过的占卜会搬进账号；之后退出登录时在那里做的占卜，等同一个账号下次在那里登录时也会搬进来——不会搬进别的账号。从此同一份历史会跟着你到任何一台你登录的设备；退出登录后，那台浏览器上只看得到没登录时在那里做的占卜。会话放在另一个叫 cst_session 的 cookie 里，它是签出来的而不是存下来的，三十天过期。

还有谁会经手

解读是由 DeepSeek 提供的大语言模型写的。为了生成它，你的问题、牌面和给读牌人的指示会发到 DeepSeek 的 API。如果某个问题你不希望任何第三方看到，那就别写——不写问题也能抽，开放式的解读是成立的。

数据库是 Neon，托管在 AWS 新加坡。站点本身跑在日本的 ConoHa 服务器上，前面有 Cloudflare，它会看到经过的请求。登录邮件，以及你选择发给自己的占卜邮件，都从东京的 Amazon SES 发出，它看得到投递的目标地址；如果是占卜邮件，也看得到占卜的内容。占卜邮件的副本保留 7 天，用于投递失败时重发，之后正文会被清空，只留下「发送过」的记录。分享一次占卜不会新存任何东西：链接本身只写着是哪次占卜、什么时候失效（30 天后）、要不要显示你的问题。如果你把占卜发到别人的邮箱，那个地址和副本一样只保留 7 天，之后换成一个无法还原的指纹（单向哈希），只用来计数和拦下对同一个人的重复发送；对方选择不再接收时，留下的也只有这个指纹。如果你买砂，卖家是 Lemon Squeezy（美国的 Sold through Link, LLC，原 Lemon Squeezy LLC）：由它收款，它会看到你的卡和账单信息，并按它自己的隐私政策处理。名单就这些。

留多久

有账号的时候，你写下的东西一直留着，直到你自己删掉。没有任何定时器会让它到期，因为你手上有把它收回去的办法——下面那个删除操作，还有一个能写信的地址。

没有账号的时候正好相反，而且是刻意的：180 天之后，问题、解读、追问和结果会被清空。没有账号的人没有办法事后回来把它们撤下，所以站点替他做。行本身留着——什么时候抽到过哪张牌，是读牌人能说出「这是第三次了」的依据，这部分不属于同一种私密。

这不是一句写着好看的话。它由服务器上的定时器执行，每次执行都会打印「过了期限却还留着的条数」。最近一次执行时，那个数是 0。

删掉

登录着的话，操作就在你自己那一页的最下面。它会清掉账号、账号下写的全部内容、地址本身，以及登录机制留下的那些记录。它会先把条数摆给你看，再往你的邮箱发一个验证码，确认是你本人在操作；你输入之后才删——立刻删，不进队列。

没有账号的话，同一类操作在「了解」那一页上，会删掉这台浏览器名下的全部内容：所有占卜、所有追问、所有回响。cookie 里的 id 也同时放掉，所以下一次占卜是从零开始。

两种都回不来。如果你想先留一份副本，或者已经丢了那台装着 id 的浏览器，写到 [email protected]。

删除账号的同时，钱那边也会结清。订阅会被取消，不会再扣款；年订的话，还没发给你的整月会退回。其中任何一步没能完成，删除就会中止，并且会告诉你原因——比起扣款还在跑而痕迹被抹掉，还留在这里要好。有一样东西会留下：支付的记录留在 Lemon Squeezy 那边，因为会计上有保存义务。那是一条收款记录，里面没有你的问题，也没有你的解读。

你的权利

如果你在欧洲经济区或英国，GDPR 给你这些权利：查看存了什么、更正、要求删除、限制或反对使用、以及把副本带走。如果你在加州，CCPA 给你对等的权利；另外这个站不「出售」也不「共享」该法意义上的个人信息。保留一次占卜的法律依据，是让这个站按它写的样子运作——一个记得你的读牌人——这一正当利益；账号那部分的依据，是你登录时结成的那个约定。以上都可以通过删除操作行使，或者写到 [email protected]。不收费，而且来问这件事不需要账号。你也可以向你所在国的数据保护机关投诉。

年龄

未满 13 岁请勿使用；如果你所在国家规定了更高的下限，以那个为准。未满 18 岁请在监护人同意下使用。如果发现这里有小孩写下的东西，告诉我，我会删掉。

变更

这一页在系统变了之后才变，不是反过来。上面的日期是它最后一次为真的日子。如果有实质变化——多了一个处理者、保留期变长或变短、多存了一样东西——日期会动，并在对应小节写清楚变了什么。有问题写到 [email protected]。

牌背进化

选择培养牌背后，账户会保存培养目标、获得奖励的任务类型和日本时间日期、成长值、已解锁外观及当前使用的外观。这份记录不复制问题或回答的文字。清空阅读历史不会删除成长进度和已解锁外观；删除账户时，这些数据会一并删除。用于解锁外观的砂会记入砂账本。