PRIVACY · V0.1

最少收集，明确触达。

访客边界

访客可以通过独立永久地址读取仍在流通的公开卡片。共享卡片池、检索、作者卡片集合、相关结果和连接动作仍要求登录；知道信息 ID 不会让成员可见或私密卡片越权公开。

成员内容

登录成员首页会读取一页共享卡片池，只包含当前有权读取、仍在流通的信息；私密信息不会进入共享池，只对作者本人可见。极简发布默认公开，标题、正文、作者展示名和必要时间可被匿名读取及搜索引擎索引；普通注册使用开放的邮箱验证，不需要邀请码。

账户

平台保存邮箱、展示名和可撤销会话。验证码与魔法链接只保存应用密钥散列并在短期内失效，不保存原值；历史密码账户只保存慢散列结果，不保存明文密码或会话令牌。邮箱验证关闭期间不接受新的密码注册。

手机号

手机号只在发起受保护连接时需要配置，平台使用应用层加密单独保存，不隶属于某张卡片；兼容字段不保存号码末四位，账户联系方式接口只返回是否已配置。号码不会在公开页面、待确认请求或普通卡片 API 中返回。阅读、检索、发布、编辑和删除都不要求手机号；接收方若没有号码，只在选择接受连接时补一次。发布者主动写进卡片的联系方式属于卡片正文，会按卡片可见范围被保存、展示和检索。

双方同意

配置手机号的成员可以发送一条临时验证消息发起连接；发起人不需要先发布自己的卡片。请求在对方处理前只是待确认的虚边。接收方主动接受且双方号码齐备后，连接响应和双方的已连接列表会自动显示对方当前手机号。仅登录或浏览不表示同意，也不会授权揭示。

临时验证消息

临时验证消息只用于接收方判断是否接受待确认请求，不进入卡片、检索索引或关系排序。它会加密保存，且只向接收方返回；请求被接受、关闭或到期后，平台会清除它。

请求额度与临时留存

每个账户滚动 24 小时默认最多真实新建 10 条陌生连接请求；最近 30 天被至少 3 名不同接收方拒绝时降为 3 条。同一方向对同一人 24 小时最多新建 1 条，被拒绝后同一方向冷却 30 天。幂等重试、重复点击、无效目标和复用既有待处理请求不消耗该配额。待处理验证消息最长保存 7 天，结束或到期后清除。

关闭与删号

成员可以关闭连接，立即阻止未来读取号码。删除手机号会阻止新发起和未来揭示，但不会限制卡片操作，也不会删除已经确认的边。重新配置后，仍确认的连接读取当前号码；平台不在边上保留旧号码快照。

无法物理收回

如果号码已经在对方屏幕上显示、被复制、拍摄或离线记录，平台无法从对方设备或现实世界物理收回。关闭连接和删除号码只能终止未来读取。

检索返回什么

POST /api/search 只向登录成员返回其有权读取、仍在流通的卡片公开字段、命中片段、最终名次和可选原始余弦值；词法分与融合排序分只在服务端使用，也不生成答案。公开卡片正文可通过独立永久地址匿名读取；其他卡片仍按成员与内容可见性边界读取。没有结果时，成员可以选择把问题发布成新卡片。

检索留存

搜索词、点击、命中片段和结果集合默认不持久化。D1 的 posts 表是卡片事实源；其他检索数据均是可重建索引，不是第二份事实或授权来源。索引不改变原卡正文、权限与展示内容。

当前内容

平台保存发布者当前选择公开、向成员展示或仅向自己展示的标题、正文、状态和必要时间。发布者可以直接编辑或删除自己的卡片，不需要配置手机号。平台不建立供日常浏览的历史版本树。删除会从主数据库清除正文、标签和来源，只保留不含原文的删除占位与最小审计记录。账户手机号是独立的账户设置，不随单张卡片删除。

留存边界

关联快照会保存源/目标卡片 ID、排名、原始分数、向量修订校验和构建时间，以便快速读取；它不保存卡片正文、查询、匹配词、点击或展示次数，并会在卡片或索引变更后失效和重建。读取时仍以当前卡片权限、状态和可见范围为准。关系数据只保存双方明确连接所需的参与方、状态、必要时间和操作人。旧的帖子直接揭示路径和 contacted 动作已移除。

公开图统计

首页公开 active 账户总数和正式连接总数，不返回账户或连接明细。正式连接只统计状态为 confirmed 且双方账户均为 active 的边；手机号是否存在不会改变统计，关闭连接会使它不再计入。

当前基础设施

本版本部署在 Cloudflare Workers 与 D1。若面向特定地区正式运营，应在开放注册和规模化前重新确认数据位置、运营主体与当地要求。

当前版本不提供密码重置和自动营销接口；需要恢复账户时采用人工、可审计流程。