Tessin 隐私政策

TRASIMENE SAS，61 rue de Lyon, 75012 Paris：contact@trasimene.com。根据《欧盟第 2016/679 号条例》（GDPR）和法国《信息与自由法》（loi Informatique et Libertés），您对自己的个人数据享有各项权利。数据保护联系人可通过同一电子邮件地址联系。

用户账户：电子邮件地址、姓名、经过哈希处理的密码（bcrypt，TRASIMENE SAS 无法读取），或者，如果您使用 Google 或 Apple 登录，则为该服务传给我们的标识符；注册日期、唯一标识符、账户所属应用（Tessin）、语言、新闻通讯偏好，以及您添加的个人资料照片（如有）。在您登录时和打开应用时，我们的服务器会记录平台、应用版本、手机型号，以及在 Android 上安装该应用的商店；服务器借助安装在服务器上的地理位置数据库，仅一次性地根据您的 IP 地址推断账户所在国家，不保留该地址。由于一个账户同一时间只能在一台设备上登录，我们的服务器会保存该设备的标识符：在 iPhone 上，是由应用随机生成的标识符；在 Android 上，是根据 Android ID 和应用名称计算出的指纹，我们每款应用的指纹各不相同。

账户安全与日志：我们的服务器会保存您账户的安全记录（注册、成功或被拒绝的登录、退出登录、重置密码：日期、IP 地址、浏览器或应用）。与所有在线服务一样，服务器也会保存技术日志：对于每个请求，记录 IP 地址、时间、所请求的地址，以及在 Google Cloud 平台日志中的浏览器或应用。在 Android 上，注册和登录时，应用会附上一个 Google Play Integrity 令牌，该令牌经 Google 验证，用于证明应用和设备是真实的。

保险库：您在保险库中保存密码（标签、用户名、电子邮件地址、密码、相关网站或应用、备注）、笔记（标题和内容）、照片和文档。应用通过加密连接（HTTPS）将其发送到我们的服务器。您的密码、附于密码的备注、笔记内容和文件在我们的服务器上以 AES-256-GCM 加密，所用密钥专属于您的账户，随机生成并保存在 Google Secret Manager 中，从不发送到您的手机。这一加密由持有密钥的我们的服务器完成：正因如此，您才能在手机上和 trasimene.com 上打开保险库、通过链接分享项目、导出保险库，并在某个密码出现在泄露中时收到提醒。我们的服务器仅在向您显示项目、填写表单、检查泄露、提供分享链接或准备导出所需的时间内，在内存中解密您的项目。对这些密钥的访问仅限于 TRASIMENE SAS 的系统和获得授权的人员，且任何管理功能都无法访问您保险库的内容。为便于即时搜索和显示，您记录中的标签、用户名、电子邮件地址、网站和应用，笔记的标题，文件的名称、类型和大小，用于校验每个文件完整性的指纹（SHA-256），以及泄露检查的结果，在保存时不使用该密钥，而是与我们的所有数据一样受 Google Cloud 加密保护。我们绝不出售或共享您保险库的内容。

在您的手机上，保险库内容不会被长期保存：使用期间保存在内存中，锁定时即被移除。在 iPhone 上，您打开的文档会被临时复制到一个受保护的文件中，关闭时删除。如果您从应用中导出照片或文档，会在您的手机上保存一份未加密的副本：在 iPhone 上，保存在您选择的位置；在 Android 上，保存在下载文件夹中。保险库通过手机的生物识别（指纹、面容）打开，如无法使用，则通过手机的锁屏密码打开；生物识别由手机验证，我们无法访问。在 Android 上，如果您的手机既没有生物识别也没有锁屏密码，应用会要求输入您的 Tessin 账户密码，由我们的服务器验证；对于使用 Google 或 Apple 创建、没有密码的账户，此时需要设置屏幕锁定。保险库在 5 分钟无操作后重新锁定。在 Android 上，保险库界面无法被截屏或录屏。

导出保险库：您可以在 trasimene.com 上的 Tessin 账户空间中导出整个保险库：CSV 或 JSON 文件格式的密码和笔记，以及您的照片和文档。导出前，网站会要求您确认身份（您的账户密码，或者对于 Google 或 Apple 账户，近期的一次登录）。导出由我们的服务器准备，服务器在内存中解密您的项目；所得文件未加密：请妥善保管。在订阅结束后的 30 天内仍可导出（见第 04 条）。

自动填充：如果您在手机设置中启用该功能，Tessin 会在其他应用和网站中建议您的登录信息，并可以保存您在其中输入的登录信息。该功能仅限订阅用户使用；在订阅结束后的 30 天内，它会继续填充您的登录信息，但不再保存。

• 为填写表单，Tessin 会读取当前界面中的字段提示（账号、密码）、应用名称或网站地址。在您通过验证后（手机的生物识别，如无法使用，则为您的 Tessin 账户密码，由我们的服务器验证），它会将网站名称或应用标识符发送到我们的服务器，以查找相应的登录信息。为某个应用保存的记录只会向同一应用建议，为某个网站保存的记录只会向同一网站建议。
• 为向您建议登录信息，手机系统可能会在您通过验证之前显示已保存的用户名；密码只有在验证之后才会提供。
• 保存时，在您通过验证并确认后，Tessin 会将网站或应用、所输入的用户名和密码发送到我们的服务器。
• 在 Android 上，当一个非浏览器应用请求某个网站的登录信息时，我们的服务器会向 Google（Digital Asset Links）核实该网站是否正式声明了该应用。Google 会收到网站名称、应用标识符及其证书的指纹，不含您账户的任何数据；核实结果在手机上保留 24 小时。
• 在 Android 上，Tessin 还会读取 Chrome 的一项设置，以告诉您 Tessin 的自动填充是否在 Chrome 中启用；读取的内容不会被发送。它不会在您的手机上记录应用或网站。
• 在 iPhone 上，系统会保存您保险库中的网站和用户名列表（从不保存密码），以便在键盘上方向您建议；该列表会在退出登录、删除账户以及您的访问权限结束时清除。
• 在 iPhone 上，如果您启用 Tessin 的 Safari 扩展，它会在您访问的页面上运行。当您提交登录表单时，它会在手机内存中保存用户名、密码和相关网站 5 分钟，以便提议您保存。只有在通过Face ID、Touch ID 或手机密码验证后，您点按“保存”，这些信息才会发送到我们的服务器；此时记录中只保留网站地址（例如 https://exemple.fr），不包含页面地址的其余部分。当您打开该扩展时，它会在同样的验证后发送当前标签页的网站名称，以向您建议相应的登录信息。

链接分享：您可以为保险库中的密码、笔记或文件创建链接。任何持有该链接的人都可以打开该项目，无需账户且没有时间限制，直到您撤销链接或删除该项目：此时我们的服务器会用您账户的密钥解密该项目并向此人显示。对于密码，链接会显示密码、用户名、网站和附带的备注。链接只会向您显示一次；我们只保存其指纹，以及相关项目、其标签或文件名的副本、打开次数和最后一次打开的日期。已撤销的链接无法再打开，但会保留在此记录中，直至您的账户被删除或保险库内容被清除。当某个链接的打开次数达到 25 次时，您会在应用中以及通过通知收到提醒。

泄露提醒：只要您处于订阅状态，我们的服务器就会每周以及每次保存或修改密码时，通过公共服务 Pwned Passwords（Have I Been Pwned）检查您的密码是否出现在已知的数据泄露中。密码在内存中解密，我们的服务器计算其指纹（SHA-1），只发送该指纹的前 5 个字符：该服务返回以这些字符开头的指纹列表，并加入虚假条目，比对在我们的服务器上完成。您的密码、其完整指纹以及您的电子邮件地址都不会发送给该服务。每个密码只保存所发现的出现次数和检查日期。每周检查的范围是您保险库中最近修改的 200 个密码；其他密码会被标记为“尚未检查”。如果在泄露中发现某个密码，您会通过通知以及发送到您账户地址的电子邮件收到提醒，每 24 小时最多一次。

密码生成器：所建议的密码在您的手机上创建；我们的服务器只提供生成器的规则（长度、字符类型）。您从 Tessin 复制的密码会在一分钟后从剪贴板中清除。

通知：应用会提议一次允许通知。我们的服务器会记录您设备的通知令牌（Android 上为 Firebase，iPhone 上为 Apple 和 Firebase）及其标识符，并用它向您发送 Tessin 的消息：泄露提醒、打开次数很多的分享链接、保险库即将清除、订阅、账户以及有关 Tessin 的信息。您未允许的通知不会显示；您可以随时在手机设置中关闭。应用内显示的消息保留 7 天。

电子邮件：我们以 Tessin 的名义给您发送电子邮件，用于确认您的地址、重置您的密码、提醒您发生泄露、通知您保险库即将被清除、确认在 trasimene.com 上的订阅或您的撤销、确认删除您的账户、在删除长期不活跃的账户之前通知您，以及每年提醒您订阅即将续订。这些电子邮件由我们的服务商 Resend 发送。

新闻通讯：只有一份新闻通讯，即 Trasimene 团队的新闻通讯（新闻和建议），为我们所有应用共用。注册时，无论在应用中还是在 trasimene.com 上，“新闻通讯”复选框都处于勾选状态；您可以取消勾选，并可随时在您的账户设置（应用或 trasimene.com）中或通过每期邮件中的链接退订。您的地址，以及（如果您从账户中订阅）您的姓名，存在于我们在 Resend 的发送列表中。

应用内使用情况统计：为了解哪些界面有用并改进应用，应用会向 Firebase Analytics（Google）发送所显示的界面、使用流程中的步骤（注册、登录、权限请求、订阅界面、购买、删除账户）和保险库的使用步骤（所保存项目的类型、生成的密码，以及在 Android 上在应用或网站中使用的填充，不含其名称），以及手机型号和系统版本。Firebase Analytics 会将这些数据与您的账户标识符关联，在 Android 上还会与上文所述的设备标识符关联。在 Android 上，注册也会报告给它，可用于衡量我们的 Google Ads 广告活动。您保险库的内容绝不包含在内。此项统计自安装起即启用；您可以随时在应用中关闭：打开“我的账户”标签页，进入您的个人资料，关闭“使用情况分析”开关。应用在 iPhone 上不请求跟踪授权，在 Android 上停用广告标识符的收集。

内部统计：应用还会在首次打开时、打开时（在 Android 上每天一次，在 iPhone 上每次回到前台时）以及每次使用保险库的某些功能时（打开、解锁、复制密码、自动填充、生成密码），直接向我们的服务器发送事件类型、设备标识符、应用和系统版本、型号、语言和日期，不含任何保险库内容；我们的服务器使用同一地理位置数据库，根据 IP 地址推断国家，不保留该地址，并在您登录后将这些事件与您的账户关联。我们的服务器还会在您的账户上统计密码、笔记或文件的查看次数（仅限操作类型）。最后，当通知服务或 Firebase 报告应用被卸载时，服务器会在您的账户上记录此事。此内部统计不受“使用情况分析”设置的影响。

错误报告：发生崩溃或错误时，应用会向 Firebase Crashlytics（Google）、Sentry 发送报告，并在崩溃后的下一次启动时向我们的服务器发送报告：错误跟踪信息、当时显示的界面、型号、版本、设备标识符，不含您的姓名或电子邮件地址。这些报告用于修复故障，因此不受任何设置的影响。

安装来源：首次启动时，应用会向我们的服务器发送其安装来源，以了解是哪个广告活动或网站让您发现了 Tessin。在 iPhone 上，这是 Apple 提供的归因令牌（AdServices）：当安装来自 Apple Search Ads 的广告时，我们的服务器会向 Apple 用该令牌换取广告活动、广告组、关键词和国家。Apple 的这项服务不需要任何跟踪授权。在 Android 上，这是 Google Play 提供的安装引荐来源（来源、广告活动，以及点击标识符（如有）），在注册时也会发送。该来源会与设备的首次打开事件一起记录，13 个月后清除，并复制到您的账户中，随账户一起清除。

离开问卷：如果您说明取消订阅或删除账户的原因，您的回答（所选原因、可选评论、平台）会与您的账户一起保存，并随账户一起清除。

客户支持：如果您从应用或从您在 trasimene.com 上的 Tessin 账户空间联系客服，我们会收到您的姓名、电子邮件地址、主题、留言以及您添加的附件（最多两个，每个 5 MB），以及技术信息（设备标识符、平台、型号、系统版本、应用版本、时区，以及在 Android 上的安全补丁级别）。您的留言会以电子邮件形式送达我们，并附有一份由我们的服务器根据您的账户生成的信息卡（订阅、账户、设备、之前的请求）；该请求（姓名、电子邮件地址、主题、留言、平台、应用版本）会被保留以便跟进。如果没有已登录的账户，请直接写信至 contact@trasimene.com。

付款：TRASIMENE SAS 不存储任何银行卡数据。在 App Store 或 Google Play 上订阅的服务由 Apple 或 Google 管理；在 trasimene.com 上订阅的服务由 RevenueCat 管理，并在 Stripe 以银行卡付款，您的银行卡数据不会经过我们的服务器。RevenueCat 会收到您的 Tessin 账户标识符，以便将订阅与您的账户关联，并向我们传送您的订阅事件（购买、续订、取消、到期、金额）。您的付款记录（日期、套餐、价格、所用商店）在您的账户删除后仍会保留（见第 04 条）。

设备上的权限：在 Android 上，包括互联网和网络状态、通知、生物识别、Google Play 购买、自动填充服务和凭据管理器（由您在设置中启用），以及读取 Chrome 的一项设置。在 iPhone 上，包括通知、Face ID 或Touch ID、向您的照片添加图片（用于您导出的图片）、自动填充扩展和 Safari 扩展（由您在设置中启用）。照片和文档通过系统的选择器添加到保险库，选择器只提供对您所选项目的访问。Tessin 不请求位置信息、您的应用列表，也不请求访问您的联系人、相机、麦克风或通知。这些数据绝不会被转售。

如果有人向您发送了指向其 Tessin 保险库中某个项目的链接，页面无需账户即可打开。在您请求显示之前，内容一直处于隐藏状态；每次显示或下载都会增加创建该链接的人可以看到的打开次数。与任何访问一样，您的 IP 地址和浏览器会在我们的技术日志中保留 30 天。该页面使用 trasimene.com 网站隐私政策中所述的 Cookie：分析和营销 Cookie 仅在您同意时使用，并且发送给我们统计工具的地址中会去除链接代码。法律依据：我们确保服务安全的正当利益。您可以通过致函 contact@trasimene.com 行使您的权利。

• 履行合同（GDPR 第 6.1.b 条）：用户账户、保险库的保存和加密、导出、自动填充、链接分享、泄露提醒、生成器、订阅管理、订阅结束后 30 天的查看以及清除前的提前通知、服务通知和电子邮件、客户支持。
• 同意（GDPR 第 6.1.a 条）：trasimene.com 网站的分析和营销 Cookie（见第 06 条）。
• 正当利益（GDPR 第 6.1.f 条）：平台安全和欺诈防范（安全记录、技术日志、Play Integrity、Digital Asset Links 核实、被封禁账户的标识符）、错误报告（Firebase Crashlytics、Sentry）、应用使用情况统计（可通过“使用情况分析”开关拒绝）、内部统计、安装来源、离开问卷；对于打开分享链接的人，为服务安全。
• 向我们的客户进行营销（法国《邮政和电子通信法典》（Code des postes et des communications électroniques）第 L34-5 条；正当利益，GDPR 第 6.1.f 条）：发送新闻通讯，介绍与您所使用的服务类似的服务。您可以在注册时取消勾选复选框予以拒绝，之后也可以随时通过每期邮件中的链接或在您的账户设置中拒绝。
• 法律义务（GDPR 第 6.1.c 条）：保留您的付款记录，包括在您的账户删除之后，保留 10 年，即会计凭证的保存期限（法国《商法典》（Code de commerce）第 L123-22 条）。

• 账户：直至您将其删除。连续 3 年没有任何登录的账户将被删除；我们会在 30 天前通过电子邮件通知您。
• 订阅期间的保险库：只要订阅持续有效。
• 订阅结束后的保险库：在 30 天内，您仍可在手机上和 trasimene.com 上访问保险库，以阅读和复制您的项目、从 trasimene.com 导出、下载您的照片和文档、删除它们以及关闭您的分享链接；在此期间，您的链接对其接收者保持开放。在清除前至少 7 天，我们会通过电子邮件以及通知提醒您。随后，保险库的内容（密码、笔记、照片、文档、分享链接）将被永久清除。在这封电子邮件发出之前，内容绝不会被清除：如果电子邮件延迟发出，清除日期会相应推迟。您的账户本身不会被删除；如果您在清除前重新订阅，任何内容都不会被清除。
• 分享链接：在被撤销、项目被删除、账户被删除或保险库被清除之前保持开放；其记录保留至账户被删除或保险库被清除。
• 泄露检查结果：每次检查时替换，在密码更改或不再属于所检查的 200 个密码时清除，并随保险库一起清除。
• 账户安全记录：7 天。
• 技术日志：滚动 30 天。
• 内部统计和发送到我们服务器的崩溃报告：最长 13 个月，包括在登录任何账户之前发送的事件；查看计数器：35 天。
• 应用内显示的消息：7 天。
• 客户支持请求：最后一次往来后 3 年，包括在账户删除之后。
• 离开问卷以及复制到账户中的安装来源：直至账户被清除。
• 付款记录：10 年，包括在账户删除之后。
• 封禁：如因违反使用条款而被封禁，用于执行封禁的标识符（电子邮件地址、账户标识符、Google 或 Apple 标识符、设备标识符）将保留 5 年，即使在账户删除之后亦然。
• 新闻通讯：直至您退订；之后我们会保留退订记录，以便不再给您发送邮件，直至您的账户被删除。
• 删除账户：见第 12 条。

TRASIMENE SAS 使用以下服务提供商，它们代表 TRASIMENE SAS 处理数据，并受符合 GDPR 的数据处理协议约束：

• Google Cloud：在 europe-west1 区域（比利时，欧盟）托管 API、数据库和保险库的加密文件（Cloud Storage）；保险库密钥保存在 Secret Manager 中，由 Google 加密并自动复制以保持可用；技术日志（Cloud Logging），https://cloud.google.com/security/compliance/gdpr
• Firebase（Google LLC）：用于通知的 Cloud Messaging（设备令牌、所发送通知的标题和正文），用于使用情况统计的 Analytics，以及用于崩溃报告的 Crashlytics，https://firebase.google.com/support/privacy
• Sentry（Functional Software Inc.）：应用、网站和 API 的错误报告；应用和网站相关数据使用位于欧盟的服务器，https://sentry.io/privacy
• RevenueCat Inc.：管理在 App Store、Google Play 和 trasimene.com 上的订阅（账户标识符、购买、订阅状态），https://www.revenuecat.com/privacy
• Stripe Inc.：通过 RevenueCat 在 trasimene.com 上进行银行卡付款；银行卡数据在 Stripe 处输入，从不经过我们的服务器，https://stripe.com/privacy
• Resend Inc.：发送我们的电子邮件（地址确认、提醒、保险库清除前的提前通知、订阅、新闻通讯），https://resend.com/legal/privacy-policy
• Infomaniak Network SA（瑞士）：contact@trasimene.com 邮箱服务，您发给客服的消息会送达此处，https://www.infomaniak.com/fr/cgv/politique-de-confidentialite
• Have I Been Pwned（Troy Hunt，澳大利亚），Pwned Passwords 服务：只接收您密码 SHA-1 指纹的前 5 个字符，不接收其他任何内容；密码从不离开我们的服务器，https://haveibeenpwned.com/Privacy

在提供服务的范围内，以其自身名义处理数据的接收方：

• Apple Inc.：App Store、iPhone 上的通知（APNs）、使用 Apple 账户登录以及对来自 Apple Search Ads 的安装进行归因（AdServices），https://www.apple.com/legal/privacy
• Google LLC：Google Play、使用 Google 账户登录、Play Integrity（向我们的服务器证明设备和 Android 应用是真实的）、Google Play 安装引荐来源以及 Digital Asset Links（见“自动填充”），https://policies.google.com/privacy
• 您将分享链接发送给的人。

Tessin 应用不使用 Cookie。trasimene.com 上的 Tessin 页面（介绍、购买、Tessin 账户空间、在线保险库、分享链接页面）使用 trasimene.com 网站隐私政策中所述的 Cookie：无需同意的必要 Cookie，以及经同意使用的分析和营销 Cookie，您可随时通过页面底部的“管理 cookie”按钮进行管理。

根据 GDPR 第 15 至 22 条，您享有以下权利：

访问权（第 15 条）· 更正权（第 16 条）· 删除权（第 17 条）· 数据可携权（第 20 条）· 反对权（第 21 条）· 限制处理权（第 18 条）· 随时撤回同意的权利。

行使您的权利：contact@trasimene.com，或通过您登录后账户空间中的客服（应用或 https://trasimene.com/apps/tessin/support），30 天内答复。可能会要求提供身份证明。请注明相关应用（Tessin）和账户的电子邮件地址：您在我们其他应用中可能拥有的账户均为独立账户。如需自行取回保险库内容，请使用您在 trasimene.com 上的 Tessin 账户空间中的导出功能（见“导出保险库”）。

如果您认为对您数据的处理不符合法规，您有权向国家信息与自由委员会（CNIL）投诉：3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07，https://www.cnil.fr

您的账户数据和保险库的加密内容托管在欧盟境内（Google Cloud，比利时）。保险库密钥保存在 Google Secret Manager 中，后者会对其加密并自动复制到 Google Cloud 的多个区域（包括欧盟以外的区域），以保持可用。我们服务器的技术日志由 Google Cloud 保存，不承诺所在区域。部分服务提供商在欧盟以外处理数据：Have I Been Pwned 在澳大利亚；Sentry（美国公司，应用和网站数据存储在欧盟境内）、RevenueCat、Stripe、Resend、Google（Firebase、Play Integrity、使用 Google 账户登录、Digital Asset Links）和 Apple（通知、使用 Apple 账户登录、Apple Search Ads 归因）在美国。Infomaniak 在瑞士处理数据，瑞士是欧盟委员会认可提供同等保护的国家。这些传输受到欧盟委员会批准的标准合同条款、欧盟-美国数据隐私框架（如服务提供商已获该框架认证）或充分性认定的保障。

本服务仅限成年人使用；未成年人须取得亲权持有人的明确同意（见服务条款）。根据法国《信息与自由法》第 45 条（article 45 de la loi Informatique et Libertés），未满 15 周岁的未成年人不能单独同意处理其个人数据：须由未成年人与亲权持有人共同同意。亲权持有人可代未成年人行使 GDPR 权利，方式为致函 contact@trasimene.com。

根据法国《信息与自由法》第 85 条（article 85 de la loi Informatique et Libertés），您可就本人去世后个人数据的留存、删除和披露设定指示，并可随时通过致函 contact@trasimene.com 予以修改。在没有指示的情况下，您的继承人可依照法律规定的条件行使某些权利。没有您的指示，保险库的内容不会交给任何人；凭证明文件，您的继承人可以要求删除您的账户。

您可以在应用中从个人资料或订阅界面，或在 trasimene.com 上您的 Tessin 账户空间的设置中，删除您的 Tessin 账户；操作步骤见 https://trasimene.com/apps/tessin/delete-account 页面。删除仅涉及您的 Tessin 账户。请记得在删除账户之前导出您的保险库：一经确认，您将无法再访问它。

您提出请求后，访问权限会立即被切断：您会在所有设备上退出登录，任何人都无法再登录您的账户；您的分享链接将无法再打开；您的通知令牌会被移除；您的新闻通讯订阅会被撤销，除非您在我们这里的其他账户订阅了新闻通讯。我们会通过电子邮件向您确认删除，并注明最终清除的日期。

在 30 天内不会清除其他任何内容。30 天期满后，属于您账户的所有内容都会被清除：您保险库的内容（密码、笔记、照片、文档）及其加密密钥、您的分享链接、个人资料照片、安全记录、偏好设置、与您账户关联的使用情况统计和错误报告，最后是账户记录本身。如第 04 条所述，以下内容会继续保留：您的付款记录（10 年）、您发送给客服的消息（最后一次往来后 3 年），以及在封禁情况下用于执行封禁的标识符（5 年）。未与您的账户关联的内部统计事件（例如应用的首次打开）会在 13 个月后清除。

删除账户不会停止在 App Store 或 trasimene.com 上的订阅：请先在您订阅的渠道取消订阅（见 https://trasimene.com/apps/tessin/delete-account 页面）。对于 Google Play 订阅，我们在删除时也会请求 Google 取消；之后请确认 Google Play 中已显示取消。