資料刪除與匯出說明

1. 匯出

從「資料與帳號管理」可匯出版本化 JSON 或可閱讀 Markdown。匯出包含正式旅程、revision、來源與不含內容的 audit 摘要，不包含聊天原文、邀請密鑰、登入憑證或禁止的預約機密。

2. 封存與復原

封存會停止一般編輯但保留資料與 audit，可由主揪復原。封存不是刪除，也不會改寫既有 revision。

3. 永久刪除旅程

• 主揪近期重新驗證並輸入明確確認文字後，可排程永久刪除。
• 排程後有 30 天寬限，可在到期前取消。
• 到期 cleanup 可重入地移除旅程內容與關聯資料；完成後不能復原。
• 系統只保留主體識別碼雜湊、刪除時間與根主體筆數，不保留旅程內容。

4. 聊天與衍生資料

原始聊天最晚在旅程結束後 30 天清除；正式旅程、決策與 audit 由結構化資料維持。第三方處理者只收到完成當前功能必要的最小資料，並依各自受約束的保留政策處理。

5. 刪除帳號

• 帳號仍擁有旅程時會 fail closed；必須先轉移所有權或完成旅程刪除。
• 完成前置處理後，帳號刪除立即撤銷 session、登入連結與外部 Agent grant。
• 必要 audit actor 會匿名化，不保存信箱、姓名或旅程內容。

6. 分析與 consent

拒絕或撤回分析會立即停止新的 GA4 事件。為證明 consent 歷程，Mina Go 仍保存不可逆 subject HMAC、動作、時間與法律文件版本；不保存原始 consent cookie。

7. 法定與安全保留

為防止詐欺、證明刪除、安全稽核或遵守強制法律，部分最小紀錄可能在內容刪除後保留至既定期限。這些紀錄不能用來重建旅程，並受相同存取與安全控制。