隱私政策
生效日期：2026 年 10 月 8 日 · English version below
一、我們是誰
本政策適用於「兵國志」網站（swordandstate.com，含論壇、公測報名與帳號登入）及其上提供的遊戲（「兵國志：三國」等，含網頁版與桌面版）。網站與遊戲由 ［發行者法定名稱］（下稱「我們」）營運。隱私相關問題請來信 swordandstate@gmail.com。
二、摘要
- 只看網站不需要註冊帳號。本站網頁遊戲須登入已驗證的 Google／電子郵件帳號才能開啟；遊戲支援帳號雲端存檔，並保留本機備份。
- 你主動登入、報名公測、在論壇發言時，我們才會收到資料：電子郵件、顯示名稱、頭像，以及你寫的內容。
- 論壇的帖子、回覆、顯示名稱與頭像是公開的，任何人都看得到。
- 我們不放廣告、不用廣告追蹤工具（可選擇同意本站的匿名使用統計）、不出售也不分享你的個人資料給廣告商。
- 帳號資料存放在新加坡的資料庫服務（Supabase）。你可以隨時要求查閱或刪除。
三、我們收集哪些資料
| 情境 | 資料 | 來源 |
|---|---|---|
| 登入帳號 | 電子郵件、顯示名稱、頭像網址、登入方式（Google／Apple／Discord／Facebook／X／電子郵件）、帳號編號、註冊與最後登入時間；登入服務會記錄登入時的 IP 位址與瀏覽器資訊，用於安全稽核 | 你選擇的登入服務提供給我們，或你輸入的電子郵件 |
| 公測報名 | 電子郵件、暱稱、策略遊戲經驗、想玩的勢力、主要設備、從哪裡得知本作、給開發者的留言、邀請人暱稱；登入狀態下另記帳號編號 | 你填寫的表單 |
| 論壇 | 帖子與回覆的標題、內文、分類、時間、編輯紀錄；發文當下的顯示名稱與頭像；你按過「同感」的帖子 | 你發布的內容 |
| 公測積分 | 積分總數與每一筆加減分的原因（例如「反饋確認」） | 我們依你的貢獻記錄 |
| 寄信 | 你的電子郵件、寄送時間與是否寄達 | 寄送註冊驗證、重設密碼、登入連結與公測通知時產生 |
選用電子郵件密碼註冊／登入時，密碼經 HTTPS 傳送至 Supabase Auth，由驗證服務雜湊保存；本站不以明文儲存密碼。註冊需完成信箱驗證，也可透過郵件重設密碼。
我們不收集你的真實姓名（除非登入服務提供的顯示名稱就是本名）、電話、地址、付款資料、精確位置或通訊錄，也不讀取你在登入服務上的好友、貼文等其他資料。
四、用途與法律依據
| 用途 | 法律依據（GDPR） |
|---|---|
| 建立與維持帳號、讓你登入、在論壇發言、記錄並顯示積分、兌換積分 | 履行你與我們之間的服務約定 |
| 寄送公測資格、版本更新通知 | 你的同意（報名時勾選；每封信都可退訂，隨時可撤回） |
| 防止灌水、濫用與帳號盜用；處理違規內容；排查錯誤 | 我們維護網站安全的正當利益 |
| 依你的反饋改進遊戲 | 我們改進產品的正當利益 |
| 遵守法律義務、回應主管機關合法要求 | 法律義務 |
我們不會把你的資料用於廣告投放、建立行銷側寫或自動化決策。
五、誰會收到資料
我們只把資料交給替我們提供服務的廠商，它們只能依我們的指示處理：
- Supabase, Inc.：資料庫與帳號登入服務，伺服器位於新加坡。
- 網站代管：Cloudflare, Inc.（Cloudflare Workers）。你載入網頁時，代管商為安全與維運記錄 IP 位址等連線資料。
- 寄信服務：Resend，用於寄送登入連結與公測通知。
- Google Fonts：網站字型由 Google 提供，你的瀏覽器下載字型時，Google 會收到你的 IP 位址與瀏覽器資訊（Google 隱私權政策）。
- 你選擇的登入服務（Google、Apple、Discord、Meta／Facebook、X）：你按下登入時，該服務會知道你登入了本站，並依其自身政策處理。
論壇內容是公開的：帖子、回覆、顯示名稱與頭像，所有訪客與搜尋引擎都看得到。請勿在論壇公開電子郵件、電話等個人資料。
除上述情形與法律要求外，我們不會把你的個人資料提供給任何第三方，也不出售、不分享（加州 CCPA 所稱之 sale、share）任何個人資訊。
六、跨境傳輸
帳號、報名、論壇與積分資料存放在新加坡。若你身處其他國家或地區（例如歐盟、英國、中國大陸、台灣、香港、美國），使用這些功能即代表你的資料會傳輸到新加坡處理。對於歐盟／英國的資料，我們依服務商提供的標準契約條款（SCC）保障傳輸；中國大陸的使用者，我們在你登入或報名前，以本政策告知境外接收方名稱、聯絡方式、處理目的與方式、資料種類，以及你向其行使權利的方式（即本節與第五、八節），並以你主動登入或報名作為單獨同意。
七、保留期間
- 帳號資料、積分：保留到你刪除帳號為止。
- 公測報名：保留到公測結束後 12 個月，之後刪除；你可隨時要求提早刪除。
- 論壇內容：保留到你刪除為止。你刪除帖子時，標題與內文會被清除，其他人的回覆保留；刪除帳號時，你的所有帖子、回覆與「同感」一併刪除。
- 登入稽核紀錄（含 IP）：依 Supabase 的預設期間保留，用於安全調查。
- 寄信紀錄：依寄信服務商的預設期間保留。
八、你的權利與如何刪除
依你所在地的法律——包括歐盟／英國《一般資料保護規則》（GDPR／UK GDPR）、美國加州《消費者隱私法》（CCPA／CPRA）、中國大陸《個人信息保護法》、台灣《個人資料保護法》等——你可以：
- 查閱、取得副本（可攜格式）、更正你的個人資料；
- 要求刪除你的帳號與所有相關資料；
- 限制或反對特定處理；
- 撤回同意（例如退訂公測通知；撤回不影響先前處理的合法性）；
- 向你所在地的資料保護主管機關申訴。
怎麼做：顯示名稱可登入後在右上角帳號選單自行修改（論壇上你過去的帖子會一併更新）；帖子與回覆可自行刪除；退訂請點信末的退訂連結。其他請求（包括刪除帳號、索取資料副本）請用帳號綁定的電子郵件來信 swordandstate@gmail.com，我們在 30 日內處理（法律另有較短期限者從其規定）。為保護你的帳號，我們可能請你確認身分。行使權利不會讓你受到差別待遇。
九、瀏覽器儲存與 Cookie
本站使用一個必要的短效登入 Cookie（__Host-ss_game），讓伺服器確認你已登入後才提供遊戲頁面及檔案。它使用 Secure、HttpOnly 與 SameSite=Lax，最長有效 5 分鐘，遊玩期間驗證登入後續期；登出時清除。Cookie 不包含密碼或 Supabase access token。除下列必要資料外，選擇同意匿名使用統計時，會另存同意偏好和每個分頁的隨機工作階段代碼：
daditu.lang | 你選的繁體或簡體 |
daditu-auth（及同名前綴的鍵） | 登入後的工作階段憑證，讓你不必每頁重新登入；登出即清除 |
歷史測試的作答、錯題與未完成題組保存在 sword-state-history-quiz-v1；收藏、已讀內容與每日5題完成日期及得分保存在 sword-state.learning.v1。收藏、已讀、每日任務及游客測試紀錄僅保存在本機。登入後開始的歷史測試會將題號、選項、伺服器判分與儲存時間連結至你的帳號，保存在 Supabase，用於跨裝置學習進度、錯題複習、五級成長與個人化建議；不屬於匿名造訪統計。離線作答以帳號分開暫存，連線後補傳；未完成題組僅在原裝置恢復。測試紀錄保留至帳號刪除，亦可聯絡 swordandstate@gmail.com 申請刪除。游客舊紀錄不會自動併入帳號。
你可以在瀏覽器設定中清除本站的網站資料，清除後會登出並回到預設的繁體顯示。
可選擇的匿名使用統計
只有你在網站選擇「Allow analytics」後，才收集頁面分類、造訪時間、可見頁面停留時間、裝置類型、瀏覽器大類、最初來源網站的主機名稱與頁面載入時間。遊戲事件（成功進入遊戲、完成第一回合）還需要你開啟遊戲內的「匿名統計」。網站偏好不會自動開啟遊戲設定。
我們不將統計事件連結到帳號，不收集電子郵件、IP 位址、完整瀏覽器識別字串、網址查詢參數、輸入內容、存檔或遊戲狀態。隨機工作階段代碼保存在 sessionStorage，只用於同一分頁中的統計；閒置 30 分鐘後更新。我們尊重瀏覽器的 Do Not Track 和 Global Privacy Control 訊號。
資料存放在本站 Supabase 資料庫，僅管理員能查看彙總報表；原始事件保留窗口為 90 天，每次接收新事件時分批清理過期資料。沒有新事件時清理不會執行。你可隨時在本頁「管理統計偏好」選擇「No thanks」，停止後續收集並清除本分頁代碼。統計數字代表同意收集的工作階段，並非所有訪客或不重複人數。
十、遊戲本身
遊戲採用單機模擬，本站網頁版需要先以 Google 或電子郵件登入已驗證的帳號，伺服器才會提供遊戲頁面與檔案。遊戲的十個手動存檔槽與最新自動存檔會連結至你的帳號，儲存在新加坡的 Supabase 雲端資料庫，供同一帳號跨裝置讀取；存檔功能透過帳號權限隔離玩家資料。本機瀏覽器 IndexedDB／localStorage 仍保留備份，完整自動存檔歷程與戰史時間軸保留在本機。舊版未歸屬帳號的瀏覽器存檔不會自動上傳，須由你在遊戲內選擇匯入；原檔會保留。必要登入驗證會使用短效 Cookie；伺服器亦會短暫使用連線 IP 做驗證請求速率限制，不將該 IP 納入匿名使用統計。
本站網頁版不再提供原先公開的離線遊戲快取；更新時只清除遊戲檔案快取，不清除本機存檔。遊戲內的匿名統計與當機回報仍各自遵循你選擇的同意設定，預設不傳送；網站同意不會自動開啟遊戲設定。
透過 Steam 取得桌面版時，成就與雲端存檔由 Valve 依 Steam 隱私政策 處理。網頁版雲端存檔使用上述 Supabase 服務，與 Steam Cloud 分開處理。
十一、兒童
建立帳號、報名公測或在論壇發言，須年滿 13 歲；若你所在地法律規定更高年齡（例如歐盟部分國家為 16 歲、中國大陸為 14 歲），未滿該年齡者須取得父母或監護人同意。我們不會在知情下收集兒童的個人資料；若你認為兒童曾向我們提供個人資料，請來信，我們會刪除。
十二、安全
所有連線都經 HTTPS 加密。資料庫以列級存取控制（RLS）隔離：你只能讀寫自己的帳號資料與積分，積分只能由我們的後台變更，公測報名名單不對外開放讀取。登入採用 PKCE 流程，我們不保存你在 Google 等服務的密碼。沒有任何系統能保證絕對安全；若發生影響你個人資料的安全事件，我們會依法通知你與主管機關。
十三、政策變更
本政策變更時，我們會更新本頁與生效日期。重大變更（例如新增資料用途或新的接收方）會在網站或電子郵件中事先通知，需要時徵求你的同意。
Privacy Policy
Effective date: 8 October 2026
1. Who we are
This policy covers the Sword & State website (swordandstate.com, including the forum, beta sign-up and account login) and the games offered on it (such as "Sword & State: Three Kingdoms", web and desktop versions). They are operated by [Publisher legal name] ("we", "us"). Privacy contact: swordandstate@gmail.com.
2. Summary
- Browsing the site or playing the game requires no personal data. The game is single-player and saves stay on your device.
- We receive data only when you choose to log in, sign up for the beta, or post on the forum: your email address, display name, avatar and what you write.
- Forum posts, replies, display names and avatars are public.
- We run no ads and no analytics or tracking, and we do not sell or share personal data with advertisers.
- Account data is stored with Supabase in Singapore. You can ask to access or delete it at any time.
3. Data we collect
- Account login: email address, display name, avatar URL, login method (Google, Apple, Discord, Facebook, X or email), account ID, sign-up and last-login times. The login service records your IP address and browser information for security auditing.
- Beta sign-up: email, nickname, strategy-game experience, preferred faction, main device, how you heard of us, your message to the developer, and the inviter's nickname; plus your account ID if you are logged in.
- Forum: titles and bodies of your posts and replies, category, timestamps, edit history; your display name and avatar at the time of posting; which posts you marked "Me too".
- Beta points: your point balance and the reason for each change.
- Email delivery: your email address, send time and delivery status for login links and beta notices.
We do not collect phone numbers, postal addresses, payment details, precise location or contacts, and we do not access your friends, posts or other data held by the login provider.
When you register or sign in with an email and password, your password is sent over HTTPS to Supabase Auth and stored as a hash by the authentication service. This site does not store plaintext passwords. Email registration requires verification; password recovery is available by email.
4. Purposes and legal bases (GDPR)
- Running your account, login, forum participation and beta points — performance of a contract.
- Sending beta invitations and update notices — consent (given at sign-up; unsubscribe from any email, withdraw at any time).
- Preventing spam, abuse and account takeover; moderating content; debugging — legitimate interests in keeping the site secure.
- Improving the game from your feedback — legitimate interests.
- Complying with legal obligations — legal obligation.
We do not use your data for advertising, marketing profiles or automated decision-making.
5. Recipients
- Supabase, Inc. — database and authentication, servers in Singapore.
- Web hosting — Cloudflare, Inc. (Cloudflare Workers), which logs connection data such as IP addresses for security and operations.
- Email provider — Resend, for login links and beta notices.
- Google Fonts — your browser downloads the site's fonts from Google, which receives your IP address and browser information (Google Privacy Policy).
- The login provider you choose (Google, Apple, Discord, Meta/Facebook, X), which learns that you logged in to this site and processes that under its own policy.
Forum content is public and visible to all visitors and search engines. Please do not post personal contact details. Apart from the above and where required by law, we do not disclose personal data to third parties, and we do not "sell" or "share" personal information as defined by the CCPA.
6. International transfers
Account, beta, forum and points data are stored in Singapore. If you are elsewhere (for example the EU, UK, mainland China, Taiwan, Hong Kong or the US), using these features means your data is transferred to Singapore. For EU/UK data we rely on the Standard Contractual Clauses offered by our providers. For users in mainland China, this policy sets out the overseas recipient's identity and contact details, purposes, methods, data categories and how to exercise your rights (Sections 5 and 8), and your act of logging in or signing up constitutes separate consent.
7. Retention
- Account data and points: until you delete your account.
- Beta sign-ups: until 12 months after the beta ends, or earlier on request.
- Forum content: until you delete it. Deleting a post clears its title and body; others' replies remain. Deleting your account deletes all your posts, replies and "Me too" marks.
- Login audit logs (including IP addresses): Supabase's default retention period, for security investigations.
- Email delivery logs: the email provider's default retention period.
8. Your rights and deletion
Depending on where you live — including under the GDPR / UK GDPR, the CCPA/CPRA, China's PIPL and Taiwan's Personal Data Protection Act — you may access, receive a portable copy of, correct or delete your personal data; restrict or object to processing; withdraw consent (without affecting earlier processing); and complain to your data protection authority.
How: you can change your display name from the account menu after logging in (your past forum posts update too) and delete your own posts and replies; unsubscribe via the link in any email. For anything else, including account deletion or a copy of your data, email swordandstate@gmail.com from your account's email address. We respond within 30 days (or sooner where required) and may ask you to verify your identity. You will not be treated differently for exercising your rights.
9. Browser storage and cookies
History quiz answers, wrong answers and the current batch are stored locally under sword-state-history-quiz-v1. Bookmarks, read items and daily practice completion dates and scores use sword-state.learning.v1. These learning records are not uploaded or synced to accounts and can be lost when site data is cleared or devices change.
The web game uses a necessary short-lived, Secure, HttpOnly login cookie (__Host-ss_game) to authorize access to game files. Language and login settings are stored locally. Optional first-party visit statistics are sent only after consent, respect Do Not Track and Global Privacy Control, and do not include account identity or input content. Game statistics require the separate in-game statistics choice. Learning records described above remain local to your browser.
10. The game itself
The game simulates a single-player campaign. The website version requires a verified Google or email account before the server provides game files. Saves, custom content and game settings stay in browser storage and are not automatically uploaded. The website no longer provides the former public offline game cache. Optional in-game statistics and crash reporting follow their own consent settings; website analytics consent does not turn them on.
11. Children
You must be at least 13 to create an account, sign up for the beta or post on the forum. Where local law sets a higher age (for example 16 in some EU countries, 14 in mainland China), users below that age need a parent's or guardian's consent. We do not knowingly collect children's personal data; contact us and we will delete it.
12. Security
All connections use HTTPS. The database uses row-level security: you can read and write only your own account data and points, points can be changed only by our back office, and the beta list is not publicly readable. Login uses the PKCE flow, and we never see your password for Google or other providers. No system is perfectly secure; if a breach affects your personal data, we will notify you and the authorities as required by law.
13. Changes
We will update this page and its effective date when this policy changes, and give advance notice on the site or by email of material changes (such as new purposes or recipients), asking for consent where required.