隱私政策
生效日期：2026 年 8 月 9 日
一、先說結論
不登入也能完整遊玩。Google 帳號登入只在 zizizhuji.pages.dev 與 zizizhuji.netlify.app 提供，且完全選用；學校管理的 Google Workspace 帳號能否使用，依該網域管理員政策而定。Vercel 版本維持復原金鑰。
帳號同步在應用程式資料庫保存以伺服器祕密金鑰做 HMAC 的 Google 帳號識別、隨機帳號 ID、帳號與存檔的對應、同步版本／時間，以及遊戲進度 zzj_meta。登入流程只取 Google credential 的穩定帳號識別，不擷取或另存 Google 提供的 email（電子郵件）、姓名、avatar（頭像）或 token。
二、本機資料
遊戲會把 zzj_meta 儲存在目前瀏覽器的 localStorage；啟用 Google 同步後，本機進度仍會保留，雲端另存一份綁定存檔。內容包含答題進度、XP、字珠、錯題、收藏、養成與學習偏好，也包含使用者自行填入的角色名稱、誓詞、班級代碼與排行榜暱稱。這些欄位若存在於 zzj_meta，會隨存檔同步；請使用綽號，不要輸入真實姓名、電子郵件或其他敏感資料。家長限制、音效等裝置設定只保存在本機，不會跟著 Google 帳號同步。
三、雲端存檔
- 未登入時，只有在你主動按下「同步到雲端」後，完整
zzj_meta才會以復原金鑰保存至 Cloudflare D1。 - 登入並完成首次綁定後，只有目前版本允許的
zzj_meta結構會自動或手動同步；未知欄位，以及 email、token、credential、secret、password、authorization、JWT、OAuth、hd、sub、picture、avatar 等 raw Google／OIDC claim 動態鍵名及其大小寫／駝峰／分隔符變體不會寫入存檔，Google 個人檔案也不會由登入流程寫入。這項過濾只判斷動態鍵名，不會辨識合法固定角色名稱、誓詞、班級代碼或暱稱欄位內的文字內容，因此仍請勿在這些欄位輸入敏感資料。 - 復原金鑰的讀寫 token 只以雜湊形式保存於伺服器；瀏覽器仍會保存完整金鑰供你復原，請把它視為密碼妥善保管。
- 已登入且已有雲端存檔時，你可以用雙步確認重新產生備援金鑰；系統會原子更換讀寫 token，舊金鑰立即失效，並把新完整金鑰保存在目前瀏覽器。
- 重新產生金鑰採每帳號每小時 5 次、全站每 24 小時 100 次的持久上限。每帳號計數鍵只使用隨機帳號 ID 的 HMAC，不保存 Google 識別或原始帳號 ID；過期計數由後續請求清除，全站上限已滿時不會為新帳號建立計數列。
- 為節省免費額度，本機變更停止 30 秒後才排程同步，每個帳號至少間隔 60 秒才會再次嘗試寫入。
四、登入驗證
Google Identity Services 會把短效 credential 送到目前網站的同源後端驗證；Netlify 只以短效 HMAC 證明請求來自本站，再代理到 Pages 的共用帳號後端。後端只取穩定帳號識別並以 HMAC 假名化，用於辨認同一帳號；不要求、使用或保存電子郵件、驗證狀態、姓名、頭像、Workspace 網域、credential 或 Google token。登入狀態使用 7 天效期、Secure、HttpOnly、SameSite=Lax 的工作階段 Cookie，前端 JavaScript 無法讀取；過期 session 會在後續登入時清除。
為顯示官方登入按鈕，帳號同步畫面會從 accounts.google.com 動態載入 Google Identity Services 程式。這是無法由本站自行釘選 SRI 版本的必要第三方信任邊界；Content Security Policy 只允許該 Google 官方來源，不允許其他未列入的外部程式。
為控制免費服務額度，驗證成功後、建立工作階段前，系統會以 HMAC 假名化帳號識別記錄 10 分鐘限流計數，並記錄不含帳號識別的全站 24 小時計數；上限分別為 10 次與 500 次。計數到期後由後續登入清除。每個帳號最多保留 5 個有效工作階段，超過時刪除最舊者。
五、服務紀錄與流量分析
Cloudflare 等代管服務可能為資安、除錯與流量管理短暫處理 IP 位址、瀏覽器資訊與請求時間。排行榜、班級共修與通知等功能各自依畫面說明啟用；它們的獨立伺服器紀錄不會自動改成 Google 帳號資料，但前述角色名稱、班級代碼與暱稱若已保存在 zzj_meta，仍會隨帳號存檔同步。
主遊戲頁會自動載入第三方 GoatCounter 作為匿名成效分析，用來統計頁面路徑、來源網站、時間、瀏覽器與作業系統類型、語言、螢幕寬度及來源國家／地區等彙總資訊。GoatCounter 不在瀏覽器設定 Cookie 或 localStorage，也不將原始 IP 位址或完整 User-Agent 寫入其資料庫；為辨識重複造訪，站點名稱、IP 與 User-Agent 的對應最長可在記憶體保留 8 小時。彙總統計會保留在本站的 GoatCounter 帳號中，管理者刪除帳號與資料後，備份最長可再保留 30 天。這些分析資料不會與 Google 登入帳號或遊戲存檔合併。
為防止大量建立雲端存檔消耗免費額度，新增存檔時會把 IP 位址連同每小時輪替區段，以伺服器祕密金鑰做 HMAC 後暫存為限流計數；不保存原始 IP。計數到期後不再使用，並由後續新增存檔請求清除。
六、選擇、保留與刪除
- 你可以隨時登出；登出不會刪除這台裝置的本機進度。
- 你可以在「雲端存檔」中刪除帳號與該帳號的雲端存檔；刪除後無法從雲端復原，本機
zzj_meta仍保留。 - 為確保舊復原金鑰不能在刪除後重新建立同一存檔，系統會無期限保留「六碼存檔代碼的固定 SHA-256 雜湊」與撤銷時間。六碼代碼屬低熵識別，這筆紀錄不作為匿名個資使用；不保留原始代碼、讀寫 token、Google 識別或遊戲內容，單憑此雜湊也不能讀取或還原存檔。
- 你可以用瀏覽器的網站資料設定清除本機資料。
- 若首次綁定時本機與雲端都有資料，畫面會列出答題數、XP、字珠及更新時間，由你選擇保留其中一份；系統不會自動合併。
七、兒少使用
本站是學習工具，不要求學生提供真實姓名或電子郵件。未成年使用者如要啟用 Google 帳號同步，建議由家長陪同確認本隱私政策；學校管理的 Google Workspace 帳號仍受該網域管理員政策管控。
八、政策更新
若資料項目或用途有實質變更，我們會同步更新本頁的生效日期與說明，不會用舊同意擴張成不相干的用途。