隐私政策

用户账户：邮箱地址、姓名、经哈希处理的密码（bcrypt，Trasimène 无法读取）、注册日期、唯一标识符。

服务使用：访问日志（IP、user-agent、时间戳 保留 30 天）、假名化的扫描事件（假名化设备 ID、汇总结果）、推送通知令牌（Firebase 令牌 可撤销）。 为提供实时保护，我们的服务器还会核验：您的通知和 SMS 中发现的链接域名，以及针对每条被选取的通知，发出该通知的应用、其时间和其中包含的已知诈骗清单所列词语（绝不涉及消息正文；结果与扫描结果一同最多保留 30 天）；您 SIM 卡的运营商代码（绝不涉及您的号码），以便检测 SIM 卡更换；以及未知应用的包名，用于与 Play Store 的公开页面比对（不与您的身份关联）。

网址扫描器（QR 码或输入的网址）：您核验的每个网址都会发送至我们的服务器，由服务器将其与自身的威胁清单及 Google Safe Browsing 进行比对。在 iPhone 上，为进行“安全 QR 码扫描器”和“仿冒知名品牌的网站”检测，我们的服务器会将每次核验的日期和结果与您的设备关联保留 30 天，并一同保留使用秘密密钥计算出的网站名称哈希值：没有该密钥，便无法通过哈希值找回网站。这属于假名化处理：Trasimène 持有该密钥，这些哈希值仍属于个人数据。当某个网址被判定为危险时，完整网址会以明文形式保留相同期限，以便在检测结果中向您显示。由于网址可能包含个人信息（例如收到的链接中嵌入的标识符），只有被判定为危险的网址才会以这种方式保留。这些数据会在 30 天后删除，删除您的账户时亦会删除。法律依据：合同履行。

已安装应用（Android）：为了对涉及您应用的检测作出判定，应用会在每次扫描时，针对每个相关应用，将其包名和显示名称、安装该应用的应用、其签名证书的指纹以及其首次安装日期发送至我们的服务器。自 1.2.1 版本起，应用还会针对每个相关应用发送：技术特征（应用版本、目标 Android 版本、声明的类别（例如“游戏”）、原生代码的大小）；某些敏感权限的状态，即这些权限是否确实已授予该应用（显示在其他应用上层、所有文件访问权限、读取和写入共享存储空间）；以及在您已授予使用情况访问权限时，其在过去 24 小时内的使用时长（屏幕使用时间、可见时间以及在后台工作所花费的时间）。我们的服务器使用这些数据作出判定，并且仅保留检测结果，最长保留至手机最后一次发送扫描后 30 天。法律依据：合同履行；就使用时长而言，为您通过授予使用情况访问权限所给予、并可随时在手机设置中撤回的同意，届时“后台的可疑活动”检测将处于停用状态。

存储中的文件（Android）：为了发现危险文件，应用会检查位于您的“下载”和“文档”文件夹、手机存储根目录以及已插入的存储卡或 U 盘中的应用安装文件、压缩包和扩展名可疑的文件（依据由我们的服务器维护的名单）。对于其中每个文件，应用会将其文件名、大小、最后修改日期及所在文件夹发送至我们的服务器；对于安装文件，应用还会发送其所含应用的名称及其签名证书的指纹。自 1.2.1 版本起，应用另外还会发送在手机上计算的每个文件内容的哈希值（SHA-256），以便与我们的已知恶意软件数据库进行比对。文件内容及其完整位置绝不会被发送。哈希值对应一个特定文件：持有同一文件的两个人会得到相同的哈希值。这些哈希值不会提供给任何第三方。我们的服务器绝不保留安全文件的哈希值；对于被判定为危险的文件，服务器会将其哈希值与检测结果（该结果可能写明该文件的名称）一同保留，以便在该文件仍在您的设备上时持续显示警报，且最长保留至手机最后一次发送扫描后 30 天。已检查过的文件只要未发生变化，便不会再次发送。法律依据：合同履行。

位置信息（Android）：如果您授予许可，应用将在所有受支持的 Android 版本上访问精确位置和大致位置，包括在应用未显示于屏幕时，通过其以常驻通知标示的监控服务进行访问。Android 仅允许拥有此项访问权限的应用读取基站和 Wi-Fi 热点，此项读取用于两项检测。“检测到伪基站”：每次扫描时，应用会针对手机所连接的每个基站，将网络类型、信号强度和基站标识（LAC/CID、TAC/CI 或 NCI）发送至我们的服务器。“假冒的 Wi-Fi 热点”：当多个热点广播您所连接网络的名称时，应用会发送这些热点的硬件标识符（BSSID）及其安全类型。应用绝不会读取手机的纬度或经度，但将这些标识符与公开的基站和 Wi-Fi 热点数据库进行比对，可能足以确定手机的大致位置，有时甚至是精确位置：因此，我们将其视为位置数据，且仅用于检测上述两种攻击。我们的服务器不会记录这些标识符；仅保留检测结果，最长保留至手机最后一次发送扫描后 30 天。发现异常时，该结果会载明相关基站（网络类型、信号强度，以及在适用情况下的标识），或相关 Wi-Fi 网络的名称及相关热点的 BSSID，以便向您显示。该详情会在检测不再发现该异常时立即删除。如果在发送过程中发生技术错误，这些标识符可能会出现在发送给我们的次级处理者 Sentry 的错误报告中。法律依据：您通过授予访问权限所给予的同意。您可以随时在手机设置中拒绝或撤回该同意：届时这两项检测将处于停用状态，与手机定位关闭时相同，且不影响其他检测。

即时通讯通知（Android）：如果您授予应用通知使用权，应用将为“未知设备已关联到账号”检测，查看受监控即时通讯应用（Signal、WhatsApp 和 Telegram，名单由我们的服务器维护）的通知，以识别即时通讯应用在有新设备关联到您的账户时显示的提醒。对于每条通知的标题和正文，应用仅保留哈希值：每个由一至四个词组成的词序列都会经哈希函数（截断的 SHA-256）转换，正文既不保留也不发送。这些哈希值针对这些即时通讯应用最近 200 条通知保存在内存中，并在每次扫描时，连同发出通知的即时通讯应用及每条通知的时间一起发送至我们的服务器。我们的服务器将其与一份宣告设备关联的短语列表的哈希值进行比对，随后立即删除，既不记入日志，也不保留。保留的结果（最长保留至最后一次扫描后 30 天）仅显示已查看的通知数量、已识别的短语数量，以及在已授予使用情况访问权限时，近期使用过的受监控即时通讯应用。哈希不是加密：通过计算已知词语的哈希值，可能还原常见的词序列。这属于假名化处理，这些哈希值仍属于个人数据。法律依据：您通过授予通知使用权所给予的同意；您可以随时在手机设置中撤回，届时该检测将处于停用状态。对于其消息出现在这些通知中的人（您的聊天对象），法律依据为正当利益（GDPR 第 6.1.f 条）：维护您账户的安全，防止设备在您不知情的情况下被关联到您的账户。保障措施：通过哈希值进行假名化处理、不发送任何文本、比对后立即删除哈希值。

数字保险库：您的文件、笔记和密码以 AES-256-GCM 进行静态加密。加密密钥对每个账户唯一，由服务器端在 Google Secret Manager 中管理，并实施严格的访问控制。我们绝不出售或分享您保险库中的内容。

支付：Trasimène 不存储任何银行卡数据。所有交易均由我们通过 PCI-DSS 认证的支付服务商独家处理。

无日志：我们不记录、不检查、也不存储您的流量内容。仅记录连接状态（已连接/已断开）以运行该服务。

DNS 安全过滤：作为一项安全功能，隧道内发出的 DNS 请求由我们自有的服务器解析，并与一份分类威胁列表（恶意软件、钓鱼、命令与控制（C2）、追踪器）进行比对。仅当某个域名匹配该列表时，我们才会记录该域名及其类别，并与您的账户关联 48 小时，且仅用于在应用中显示相应的安全警报。良性域名绝不会被记录，也不会保留任何浏览历史。上游解析由注重隐私的解析器 Quad9 负责。

自有服务器：流量仅经由 Trasimène 运营的服务器（WireGuard）传输，绝不经过第三方。

绝不变现：我们绝不为广告或商业目的出售、分享或重定向您的流量。

自动连接：对于订阅用户，VPN 自动连接默认开启。在 Android 上，首次授权 VPN 后，VPN 会在监控启动时（例如手机开机时）以及打开 VPN 页面时重新连接；在 iPhone 上，系统的“按需”规则会在有网络可用时立即恢复隧道。您可以随时在 VPN 页面中关闭自动连接。在 iPhone 上，当确认您的订阅已结束时，应用会从手机中移除该规则和 VPN 配置。

设备端访问：为提供保护，应用使用以下访问权限。其中需由手机请求您授权的权限，可随时在手机设置中拒绝或撤回；届时依赖这些权限的检测将处于停用状态。Android：已安装应用列表和 Wi-Fi 状态（安装时授予）；通知（警报及常驻保护通知）；摄像头（仅用于 QR 码扫描器）；蓝牙（蓝牙状态、已连接设备、附近的蓝牙攻击）；位置信息（基站和 Wi-Fi 热点，见上文“位置信息”）；通讯录和日历（仅统计数量，用于检测批量删除）；电话状态（移动网络类型、SIM 卡更换）；使用情况数据（发送的数据量、连接次数、双开应用、每个应用在过去 24 小时内的使用时长）；通知使用权（通知和 SMS 中的链接、即时通讯通知的哈希值，见上文）；所有文件访问权限（存储中的安装文件、压缩包和可疑文件，见上文“存储中的文件”）。iPhone：通知（警报）；摄像头（仅用于 QR 码扫描器）；蓝牙（附近设备，用于发现蓝牙攻击：对于检测到的每台设备，其信号强度以及是否广播名称或服务；既不发送其标识符，也不发送其名称）；使用应用期间的位置信息，仅用于读取您所连接 Wi-Fi 网络的名称和安全类型，该名称会与检测结果一同保留；Face ID（在设备上解锁保险库）。这些数据绝不出售。

合同履行（GDPR 第 6.1.b 条）：用户账户管理、安全服务的提供、订阅管理。

同意（GDPR 第 6.1.a 条）：资讯邮件发送、放置分析和营销 cookie、借助位置信息访问权限（Android）读取基站和 Wi-Fi 热点、借助通知使用权（Android）生成即时通讯通知的哈希值、借助使用情况访问权限（Android）获取应用的使用时长。对于这三项访问权限，同意通过授予访问权限作出，并可随时通过在手机设置中撤销该权限予以撤回。

正当利益（GDPR 第 6.1.f 条）：平台安全、欺诈防范、技术监控（Sentry）。

法律义务（GDPR 第 6.1.c 条）：连接日志的留存（法国法律要求 1 年）。

Google Cloud（Google LLC）、数据托管，区域 europe-west1（欧盟）、https://cloud.google.com/security/compliance/gdpr

PostHog Inc.、产品分析，欧盟服务器、https://posthog.com/privacy

Sentry（Functional Software Inc.）、错误监控、https://sentry.io/privacy

Have I Been Pwned（Troy Hunt）：暗网监控 API、不传输任何个人数据（仅传输部分 SHA-1 哈希）

RevenueCat Inc.、应用内订阅管理、https://www.revenuecat.com/privacy

VirusTotal（Google LLC）、APK 和 URL 杀毒分析、https://support.virustotal.com/hc/en-us/articles/115002168385-Privacy-Policy

Google Safe Browsing（Google LLC）、恶意 URL 核查、https://safebrowsing.google.com/

Resend Inc.、事务性邮件发送、https://resend.com/legal/privacy-policy

必要 cookie（无需同意）：身份验证会话（NextAuth.js）、语言偏好。

分析 cookie（需同意）：PostHog、Google Analytics、匿名化受众测量、服务改进。

营销 cookie（需同意）：Meta Pixel、TikTok、LinkedIn、X、定向广告和活动效果测量。