我們是 Mirroring Gate 鏡像大門（以下簡稱「本站」）。本政策說明你使用本站服務時， 我們會蒐集哪些個人資料、為什麼蒐集、如何使用與保護，以及你對自己資料的權利。
本站遵循中華民國《個人資料保護法》（PDPA）規定，並參考歐盟 GDPR 的最佳實務。
1. 蒐集哪些資料
1.1 你主動提供
- 帳號資料：電子郵件、暱稱、加密後密碼（hash）、頭像 URL
- 占卜內容：你輸入的問題、夢境敘述、選擇的牌組與牌陣、抽牌結果
- 個占委託資料：姓名、Email、占卜主題、提問詳述、是否首次委託
- 商城訂單資料：聯絡姓名、電話、Email、收件地址、訂購商品
- 聯絡資料：你透過 Email、LINE 官方帳號與我們互動的訊息內容
1.2 系統自動蒐集
- 技術資料：IP 位址、瀏覽器類型、裝置型號、作業系統、訪問時間
- 使用紀錄：頁面瀏覽、占卜歷史、解鎖紀錄、會員登入時間
- Cookie / 本地儲存：會話 token（JWT）、購物車內容、行為偏好（不追蹤跨網站行為）
1.3 第三方資料
- 第三方登入：若你選擇用 LINE / Google 登入（目前暫關），我們會取得對方提供的基本個人檔案（Email、姓名、頭像、provider 的 user ID）
- 付款資料：本站目前不處理線上金流，付款透過 LINE 客服人工確認，我們不會儲存信用卡資訊
2. 蒐集目的
- 提供占卜、會員、商城、個占委託、訂閱等服務
- 產生 AI 解析內容（將你的問題與抽牌結果送至 AI 服務商處理，詳見第 5 條）
- 處理訂單、發送出貨通知、解鎖驗證碼
- 客服回應、問題排查
- 網站安全、防止濫用與詐欺（rate limit、人機驗證、防洗錢）
- 法定義務（稅務、退費紀錄）
3. 蒐集方法與法律基礎
依 PDPA 第 19 條，我們以下列方式之一蒐集個資：
- 書面同意：註冊、下單、送出個占委託時即視為同意本政策
- 履約必要：提供你購買 / 訂閱的服務
- 法律義務：保留交易紀錄、稅務憑證
- 正當利益：站點安全、防止詐欺
4. 利用期間、地區、對象
- 期間：自蒐集起，直至會員自行刪除帳號、或最後互動後 5 年
- 地區：中華民國境內；部分雲端服務商位於美國 / 歐盟（見第 5 條）
- 對象：本站、本站合作的第三方服務商（見第 5 條）；不販售個資給第三方
5. 與第三方共享資料
我們僅與以下服務商共享必要資料：
| 服務商 | 用途 | 共享資料 | 所在地 |
|---|---|---|---|
| Anthropic（Claude AI） | 產生占卜解析內容 | 你的問題、抽到的牌、占卜類型 | 美國 |
| Google Cloud Platform | 網站主機、資料庫、檔案儲存 | 全部站內資料（加密儲存） | 亞洲 / 美國 |
| Cloudflare Turnstile | 註冊人機驗證 | IP、瀏覽器指紋（單次驗證用） | 美國 |
| LINE Corp. | 客服訊息、官方帳號互動 | 你主動傳送的訊息、加好友狀態 | 日本 |
| Resend | 系統信件、訂單通知 | Email 地址、信件內容 | 美國 |
以上服務商均簽有資料處理協議（DPA），不得用於蒐集目的以外的用途。 涉及跨境傳輸的部分，我們依 PDPA 第 21 條規定處理。
6. 你的個資權利（PDPA 第 3 條）
- 查詢、閱覽：登入後可在「會員中心」查看你的資料與歷史紀錄
- 複製本：可寫信至 daowanan@gmail.com 申請
- 補充、更正：在會員資料頁直接修改
- 停止蒐集、處理、利用：可隨時停用服務
- 刪除：可在會員中心刪除帳號，或來信申請（法律規定須保留的稅務紀錄除外）
行使上述權利不收費。我們將於收到申請後 30 日內回覆。
7. 安全措施
- 密碼以 bcrypt 加密儲存，我們無法看見你的明文密碼
- 傳輸全程 TLS 1.2+ 加密（HTTPS）
- 後台採用 JWT 短期 session、5 次密碼錯誤暫鎖 15 分鐘
- 系統設定中的 API 金鑰以 AES-256-GCM 加密儲存
- 註冊採三層防護（IP 速率限制 + 隱形 Honeypot + Cloudflare Turnstile）
- 定期備份、最小權限原則
8. Cookie 政策
本站使用以下類別 cookie / 本地儲存：
- 必要：登入會話（NextAuth JWT）、後台會話（mg_admin_session）
- 功能：購物車內容（localStorage）、語言偏好
- 不使用：跨網站追蹤、廣告 cookie、第三方分析（如 Google Analytics 等）
你可在瀏覽器設定中拒絕 cookie，但這可能影響登入功能。
9. 未成年人保護
本站服務面向 18 歲以上使用者。若你未滿 18 歲，請先取得法定代理人同意後再使用本站服務。 我們不會主動向未成年人蒐集個資。
10. 政策變更
本政策如有修訂，我們會在生效日 30 天前於網站首頁公告。重大變動（如新增第三方共享對象、新增蒐集類別）會額外發送 Email 通知註冊會員。
11. 聯絡我們
對本政策有任何疑問，請來信：
- 客服信箱：daowanan@gmail.com