Trebia 隐私政策

TRASIMENE SAS，61 rue de Lyon, 75012 Paris：contact@trasimene.com。根据《欧盟第 2016/679 号条例》（GDPR）和法国《信息与自由法》（loi Informatique et Libertés），您对自己的个人数据享有各项权利。数据保护联系人可通过同一电子邮件地址联系。

账户：电子邮件地址、姓名、经过哈希处理的密码（bcrypt，TRASIMENE SAS 无法读取），或者，如果您使用 Google 账户登录，或在 iPhone 和 trasimene.com 上使用 Apple 账户登录，则为该服务连同您的电子邮件地址和姓名一起传给我们的标识符；注册日期、唯一标识符、账户所属应用（Trebia）、语言、偏好设置（通知、新闻通讯、使用情况分析），以及您添加的个人资料照片（如有）。

在注册时、每次登录时以及每次会话续期时，我们的服务器还会记录平台、应用版本、设备型号，以及在 Android 上安装应用的商店。我们的服务器借助安装在服务器上的地理位置数据库，仅一次性地根据您的 IP 地址推断账户所在国家，不保留该地址；当连接经过我们的某台 VPN 服务器时，则从不进行这种推断（因为此时的地址是服务器的地址）。

由于一个账户同一时间只能在一台设备上登录，我们的服务器会保存已登录设备的标识符：在 Android 上，是根据手机的 Android ID 计算出的 Trebia 专属指纹；在 iPhone 上，是安装时随机生成并保存在手机钥匙串中的标识符。

账户安全与日志：您账户的安全记录（注册、登录、登录失败、更改密码：日期、IP 地址以及设备或浏览器的技术描述），可在您的个人资料中查看；我们服务器的技术日志（IP 地址、设备或浏览器的技术描述、每个请求的日期和地址）。在 Android 上，注册和登录时，应用会附上一个 Google Play Integrity 令牌，该令牌经 Google 验证，用于证明应用和设备是真实的。

通知：应用会在您首次进入应用时，仅提议一次允许通知。在您登录期间，我们的服务器会记录您设备的通知令牌（Firebase Cloud Messaging，以及在 iPhone 上的 Apple 通知服务），以便向您发送 Trebia 的消息（账户、订阅、服务信息）。这些消息仅在您允许通知时显示；您可以随时在手机设置中关闭。

根据 IP 地址推断的大致位置：VPN 界面会在连接前后显示地图以及在互联网上可见的 IP 地址。为此，应用会向我们的服务器查询与其联系服务器时所用 IP 地址相对应的位置：即您的公网 IP 地址，或在 VPN 连接后为 VPN 服务器的 IP 地址。我们的服务器借助安装在我们这里的地理位置数据库（DB-IP Lite，db-ip.com，采用 CC BY 4.0 许可），推断出国家、地区、城市、大致坐标，以及（如数据库有记录）互联网接入服务商。为此不会向任何外部服务发送地址，我们的服务器也不保留查询结果。地图在 Android 上由 Google Maps 提供，在 iPhone 上由地图（Apple）提供，它们会收到所显示区域的底图请求。最后显示的 IP 地址、城市和坐标会保存在手机上以便即时显示，并在您退出账户登录时清除。应用从不请求访问手机的位置信息。

应用内使用情况统计：为了解哪些界面有用并改进应用，应用会向 Firebase Analytics（Google）发送所显示的界面和使用流程中的步骤（注册、登录、订阅、VPN 的连接与断开以及所选服务器的国家）、手机型号和系统版本；Firebase Analytics 会将这些数据与您的账户标识符关联，在 Android 上还会与上文所述的设备标识符关联。在 Android 上，注册还会以一个事件的形式报告给 Firebase Analytics，Google Ads 可能会用它来衡量我们的广告活动。您的流量内容绝不包含在内。此项统计自安装起即启用；您可以随时在应用中关闭：打开“我的账户”标签页，进入您的个人资料，关闭“使用情况分析”开关。此设置不会关闭下文所述的内部统计和错误报告。应用在 iPhone 上不请求跟踪授权，在 Android 上不使用广告标识符。

错误报告：发生崩溃或错误时，Sentry 和 Firebase Crashlytics 会收到技术跟踪信息、设备型号、系统和应用版本以及设备的技术标识符，不包含您的姓名或电子邮件地址。错误报告用于修复故障，因此不受“使用情况分析”设置的影响。

内部统计：首次打开时、每次打开应用时（在 Android 上每天一次，在 iPhone 上每次回到前台时）、每次打开 VPN 界面时以及崩溃之后，应用会向我们的服务器发送事件类型、平台、设备标识符、应用和系统版本、设备型号、语言和日期；如为崩溃，还包括当时显示的界面、错误类型和一条不超过 256 个字符的消息。我们的服务器使用同一地理位置数据库，根据 IP 地址推断国家，不保留该地址，并在您登录时将这些事件与您的账户关联。

安装来源：首次启动时，应用会向我们的服务器发送其安装来源，以了解是哪个广告活动或网站让您发现了 Trebia。在 iPhone 上，这是 Apple 提供的归因令牌（AdServices）：当安装来自 Apple Search Ads 的广告时，我们的服务器会向 Apple 用该令牌换取广告活动、广告组、关键词和国家；Apple 的这项服务不需要任何跟踪授权。在 Android 上，这是 Google Play 提供的安装引荐来源（来源、广告活动，以及点击标识符（如有）），在您注册时也会附上。该来源会与设备的首次打开事件一起记录，13 个月后清除，并复制到您的账户中，随账户一起清除。

客户支持：如果您从应用或从您在 trasimene.com 上的 Trebia 账户空间联系客服，我们会收到您的姓名、电子邮件地址、主题、留言以及您添加的附件（最多一份文档和一张图片），以及技术信息：设备标识符、型号、系统版本、应用版本、时区，以及在 Android 上的安全补丁级别。为处理您的请求，我们的服务器会在您的留言中附上您账户的摘要：套餐、状态、订阅的价格和商店、订阅日期和到期日期、注册日期、登录方式、电子邮件地址是否已验证、国家、语言、安装商店以及之前的请求次数。所有内容都会发送到我们的邮箱 contact@trasimene.com；该请求（姓名、电子邮件地址、主题、留言、平台、版本）也会被记录以便跟进。如果您直接通过电子邮件联系我们，我们会收到您邮件中的内容。

取消订阅和删除账户的原因：如果您说明想要取消订阅的原因（在打开订阅管理之前）或删除账户的原因，我们会记录所选的原因和您的评论，并与您的账户关联，用于改进服务。这些回答是可选的。

新闻通讯：只有一份新闻通讯，即 Trasimene 团队的新闻通讯（新闻和建议），为我们所有应用共用。通过电子邮件注册时，“新闻通讯”复选框默认处于勾选状态；您可以取消勾选。如果保持勾选，在您的地址确认后，您的电子邮件地址和姓名将加入我们在 Resend 的发送列表。您可以随时通过每期新闻通讯中的链接，或通过个人资料中的“新闻通讯”开关退订。

付款：TRASIMENE SAS 不存储任何银行卡数据。在 App Store 或 Google Play 上订阅的服务由 Apple 或 Google 管理；在 trasimene.com 上订阅的服务由 RevenueCat 管理，并通过我们通过 PCI-DSS 认证的支付服务商 Stripe 付款。一打开应用，RevenueCat 就会收到一个匿名标识符，以便向您显示套餐及其价格；登录后，它会收到您的 Trebia 账户标识符，以便将订阅与您的账户关联，并向我们传送您的订阅事件（购买、续订、取消、到期、支付价格）。

设备上的权限：在 Android 上，包括互联网和网络状态（安装时授予）、系统的 VPN 授权、在隧道处于活动状态期间以常驻通知提示的前台服务运行，以及通知。在 iPhone 上，包括添加 VPN 配置和通知。Trebia 不请求位置信息、您的应用列表，也不请求访问您的文件、联系人、照片或通知；如果您选择个人资料照片或附件，只会读取您所选的图片。这些数据绝不会被转售。

Trebia 使用 WireGuard® 协议将您设备的流量加密传输至您选择的 VPN 服务器，并隐藏您的 IP 地址：您访问的网站和服务看到的是该服务器的地址。设备的所有流量都经过隧道；在 Android 上，仅 Google Play 和 Google Play 服务被排除在外，以确保购买正常进行。Trebia 不筛选也不屏蔽任何网站。当您使用它时：

• 内容和所访问的网站：我们不读取、不记录也不保留您的流量内容，以及您访问的网站列表。
• 您的连接记录：对于每次连接，我们的服务器会记录所选服务器、您设备的 WireGuard 公钥、隧道中分配给您设备的地址、连接时间、应用发送的最后一次在线信号的时间（隧道处于活动状态期间大约每 4 至 5 分钟一次）以及断开时间。这些信息用于开启和关闭您对服务器的访问、在服务器之间分配负载、在休眠后重新建立隧道，以及向您显示最近一次连接。它们会在您的访问结束 72 小时后自动清除，访问结束即您断开连接之时，或最迟为连接开启后 7 天。您的公网 IP 地址不会记录在此记录中。
• 为统计而计数的连接：每次开启连接也会被记录，用于我们的使用统计（账户、应用、平台、时间）。该记录在 72 小时后清除；之后我们只保留数字，例如每天的 VPN 连接数和用户数，不含任何账户标识符。
• 数据量：订阅没有任何流量限制。我们的服务器会按月累计记录每个账户收发的数据量，用于在内部监控服务的负载和成本；该记录不会导致对您的订阅采取任何限制或措施。每个月度累计值保留 13 个月。
• 加密密钥：WireGuard 密钥对在每次连接时于您的设备上创建。只有公钥会发送到我们的服务器；私钥不会离开您的设备。在 iPhone 上，私钥保存在钥匙串中，同时保存的还有隧道访问令牌（有效期 7 天），使 iPhone 无需打开应用即可重新建立连接。
• 您的真实 IP 地址：只要隧道处于开启状态，VPN 服务器就会像所有 WireGuard 服务器一样，知道您的设备用于连接的公网 IP 地址。该地址只保留在服务器的内存中，我们不会记录。
• 网站名称解析：在隧道中发出的 DNS 请求（将网站名称转换为地址）会发送到 Cloudflare 的公共解析器（1.1.1.1 和 1.0.0.1）。这些请求来自我们 VPN 服务器的 IP 地址，而不是您的地址。我们不接收也不保留这些请求。
• 您在 trasimene.com 上的 Trebia 账户空间：在 trasimene.com 上登录您的 Trebia 账户后，您可以看到您的设备（型号和平台）、最近一次连接 VPN 的日期、隧道是否处于活动状态，以及所用服务器的国家和城市；其中不显示您的 IP 地址和流量用量。
• 服务器：流量仅经过由 TRASIMENE SAS 自行安装和管理的 WireGuard 服务器，这些服务器运行在向 Google Cloud 租用的虚拟机上，位于应用中列出的国家（见第 09 条）。当您选择位于欧盟以外的服务器时，您的流量会从该国接入互联网。
• 不作任何商业变现：我们不会出于广告或商业目的出售、共享或转发您的流量。
• 自动连接：对于订阅用户，该功能默认开启。在 Android 上，VPN 会在打开应用时连接；它不会随手机启动。在 iPhone 上，系统的“按需”规则会在网络可用时立即重新建立隧道，无需打开应用。您可以随时在 VPN 界面中关闭该功能。在 iPhone 上，当您退出账户登录、删除账户，以及确认您的订阅已结束时，应用会从手机中移除该规则和 VPN 配置。

• 履行合同（GDPR 第 6.1.b 条）：用户账户、提供 VPN（连接记录、密钥、trasimene.com 上的 Trebia 账户空间）、在 VPN 界面中显示的大致位置、订阅管理、服务通知和电子邮件、客户支持。
• 同意（GDPR 第 6.1.a 条）：trasimene.com 网站的分析和营销 Cookie（见第 06 条）。
• 正当利益（GDPR 第 6.1.f 条）：平台安全和欺诈防范（Play Integrity、安全记录、技术日志、已登录设备、被封禁账户的标识符）、错误报告（Sentry、Firebase Crashlytics）、应用内使用情况统计（可通过“使用情况分析”开关拒绝）、内部统计、为统计而计数的连接、安装来源、对收发数据量的监控（服务的负载和成本）、取消订阅和删除账户的原因。
• 向我们的客户进行营销（法国《邮政和电子通信法典》（Code des postes et des communications électroniques）第 L34-5 条；正当利益，GDPR 第 6.1.f 条）：发送新闻通讯，介绍与您所使用的服务类似的服务。您可以在注册时取消勾选复选框予以拒绝，之后也可以随时通过每期邮件中的链接或在您的个人资料中拒绝。
• 法律义务（GDPR 第 6.1.c 条）：保留您的付款记录（日期、套餐、价格、所用商店），包括在您的账户删除之后，保留 10 年，即会计凭证的保存期限（法国《商法典》（Code de commerce）第 L123-22 条）。

• 账户：直至您将其删除。连续 3 年没有任何登录的账户将被删除；我们会在 30 天前通过电子邮件通知您。
• VPN 连接记录：在访问结束（断开连接，或最迟为连接开启后 7 天）72 小时后清除。
• 为统计而计数的连接：72 小时；之后仅保留不含账户标识符的数字。
• 收发数据量：每个月度累计值，13 个月。
• 账户安全记录：7 天。
• 我们服务器的技术日志：滚动 30 天。
• 应用内显示的通知：7 天。
• 内部统计和发送到我们服务器的崩溃报告：13 个月，包括在登录任何账户之前发送的事件，例如首次打开。
• 复制到账户中的安装来源、取消订阅和删除账户的原因：直至账户被清除。
• 客户支持请求：最后一次往来后 3 年，包括在账户删除之后。
• 付款记录：10 年，包括在账户删除之后。
• 封禁：如因违反使用条款而被封禁，用于执行封禁的标识符（电子邮件地址、账户标识符、Google 或 Apple 标识符、设备标识符）将保留 5 年，即使在账户删除之后亦然。
• 新闻通讯：直至退订；之后您的地址仍会以已退订状态保留记录，以确保不再向您发送任何内容，直至您的账户被清除。
• 删除账户：见第 12 条。

TRASIMENE SAS 使用以下服务提供商，它们代表 TRASIMENE SAS 处理数据，并受符合 GDPR 的数据处理协议约束：

• Google Cloud：在 europe-west1 区域（比利时，欧盟）托管 API 和数据（账户、VPN 连接记录、数据量），技术日志（Cloud Logging），以及位于 19 个国家的 VPN 服务器机器（见第 09 条），https://cloud.google.com/security/compliance/gdpr
• Firebase（Google LLC）：用于通知的 Cloud Messaging（设备令牌、所发送通知的标题和正文），用于使用情况统计的 Analytics，以及用于崩溃报告的 Crashlytics，https://firebase.google.com/support/privacy
• Sentry（Functional Software Inc.）：应用和 API 的错误报告；应用相关数据使用位于欧盟的服务器，https://sentry.io/privacy
• RevenueCat Inc.：管理在 App Store、Google Play 和 trasimene.com 上的订阅（账户标识符、购买、订阅状态），https://www.revenuecat.com/privacy
• Stripe Inc.：通过 RevenueCat 在 trasimene.com 上进行银行卡付款；银行卡数据在 Stripe 处输入，从不经过我们的服务器，https://stripe.com/privacy
• Resend Inc.：发送我们的电子邮件（地址确认、账户、订阅、新闻通讯）；对于新闻通讯，您的地址和姓名存在于我们在 Resend 的发送列表中，https://resend.com/legal/privacy-policy
• Infomaniak Network SA（瑞士）：contact@trasimene.com 邮箱服务，您发给客服的消息会送达此处，https://www.infomaniak.com/fr/cgv/politique-de-confidentialite

在提供服务的范围内，以其自身名义处理数据的接收方：

• Apple Inc.：App Store、iPhone 上的通知、使用 Apple 账户登录、对来自 Apple Search Ads 的安装进行归因（AdServices），以及在 iPhone 上为 VPN 界面提供地图的地图应用，https://www.apple.com/legal/privacy
• Google LLC：Google Play、使用 Google 账户登录、Play Integrity（向我们的服务器证明设备和 Android 应用是真实的）、Google Play 安装引荐来源，以及在 Android 上为 VPN 界面提供地图的 Google Maps，https://policies.google.com/privacy
• Cloudflare, Inc.：解析在 VPN 隧道中请求的网站名称（公共解析器 1.1.1.1 和 1.0.0.1），这些请求来自我们 VPN 服务器的地址，绝不来自您的地址，https://developers.cloudflare.com/1.1.1.1/privacy/public-dns-resolver/

Trebia 应用不使用 Cookie。trasimene.com 上的 Trebia 页面（介绍、购买、Trebia 账户空间）使用 trasimene.com 网站隐私政策中所述的 Cookie：无需同意的必要 Cookie，以及经同意使用的分析和营销 Cookie，您可随时通过页面底部的“管理 cookie”按钮进行管理。

根据 GDPR 第 15 至 22 条，您享有以下权利：

访问权（第 15 条）· 更正权（第 16 条）· 删除权（第 17 条）· 数据可携权（第 20 条）· 反对权（第 21 条）· 限制处理权（第 18 条）· 随时撤回同意的权利。

行使您的权利：contact@trasimene.com，或通过您登录后账户空间中的客服（在应用中，或在 trasimene.com 上登录您的 Trebia 账户后，参见 https://trasimene.com/apps/trebia/support），30 天内答复。可能会要求提供身份证明。请注明相关应用（Trebia）和账户的电子邮件地址：您在我们其他应用中可能拥有的账户均为独立账户。

如果您认为对您数据的处理不符合法规，您有权向国家信息与自由委员会（CNIL）投诉：3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07，https://www.cnil.fr

您的账户数据、VPN 连接记录和每月数据量托管在欧盟境内（Google Cloud，比利时）。我们服务器的技术日志由 Google Cloud 保存，不承诺所在区域。部分服务提供商在欧盟以外处理数据：Sentry（美国公司，应用数据存储在欧盟境内）、RevenueCat、Stripe、Resend、Google（Firebase、Play Integrity、Maps、使用 Google 账户登录）和 Apple（通知、使用 Apple 账户登录、Apple Search Ads 归因、地图）在美国处理数据。Infomaniak 在瑞士处理数据，瑞士是欧盟委员会认可提供同等保护的国家。这些传输受到欧盟委员会批准的标准合同条款、欧盟-美国数据隐私框架（如服务提供商已获该框架认证）或充分性认定的保障。Cloudflare 的 DNS 解析器可能从位于欧盟以外的服务器作出响应：它们只接收所请求的网站名称，且来自我们 VPN 服务器的地址，不含任何可识别您身份的信息。

Trebia 允许您在 19 个国家中选择 VPN 服务器：欧盟境内为法国、德国、荷兰、波兰和芬兰；欧盟以外为英国、瑞士、美国、加拿大、巴西、南非、卡塔尔、印度、新加坡、印度尼西亚、日本、韩国、台湾和澳大利亚。当您选择欧盟以外的服务器时，您的加密流量会经过这台向 Google Cloud 租用、由 TRASIMENE SAS 管理的机器，该机器在连接期间知道您的 IP 地址，随后流量从该国接入互联网；而您的连接记录仍记录在欧盟境内。

本服务仅限成年人使用；未成年人须取得亲权持有人的明确同意（见服务条款）。根据法国《信息与自由法》第 45 条（article 45 de la loi Informatique et Libertés），未满 15 周岁的未成年人不能单独同意处理其个人数据：须由未成年人与亲权持有人共同同意。亲权持有人可代未成年人行使 GDPR 权利，方式为致函 contact@trasimene.com。

根据法国《信息与自由法》第 85 条（article 85 de la loi Informatique et Libertés），您可就本人去世后个人数据的留存、删除和披露设定指示，并可随时通过致函 contact@trasimene.com 予以修改。在没有指示的情况下，您的继承人可依照法律规定的条件行使某些权利。

您可以在应用中（“我的账户”标签页，然后进入您的个人资料，点按“删除我的账户”；订阅界面上也有同样的链接）或在 trasimene.com 上您的 Trebia 账户空间中（“设置”，然后“删除我的账户”）删除您的 Trebia 账户。操作步骤见 https://trasimene.com/apps/trebia/delete-account 页面。删除仅涉及您的 Trebia 账户：使用同一地址在我们其他应用中创建的账户仍保持有效。

确认后，您会立即在所有设备上退出登录，访问权限也会被切断，包括您对 VPN 的访问；在 iPhone 上，应用会从手机中移除 VPN 配置。您的通知令牌会被清除，如果您在我们这里的其他账户均未订阅新闻通讯，您的新闻通讯订阅也会被撤销。您的 VPN 连接记录会在您的访问被切断 72 小时后清除。其余数据（账户记录、个人资料照片、每月数据量、安全记录、与账户关联的内部统计和崩溃报告、安装来源、取消订阅和删除账户的原因）在提出请求 30 天后清除，账户记录最后清除；在这 30 天内，任何人都无法再登录您的账户。我们会发送一封电子邮件确认删除，并注明最终清除的日期。

我们会保留您的付款记录（10 年）、您发送给客服的消息（最后一次往来后 3 年），以及在封禁情况下用于执行封禁的标识符（5 年）。未与您的账户关联的内部统计事件（例如应用的首次打开）会在 13 个月后清除。

删除账户不会停止在 App Store 或 trasimene.com 上的订阅：请先在您订阅的渠道取消订阅（见 https://trasimene.com/apps/trebia/delete-account 页面）。对于 Google Play 订阅，我们在删除时也会请求 Google 取消；之后请确认 Google Play 中已显示取消。