隐私政策

用户账户：邮箱地址、姓名、经哈希处理的密码（bcrypt，Trasimene 无法读取）、注册日期、唯一标识符。

服务使用：您账户的安全历史记录（IP 地址、浏览器、日期，于注册时及每次登录时记录，保留 7 天）、假名化的扫描事件（假名化设备 ID、汇总结果）、推送通知（Firebase 或 Apple 令牌，可撤销）。为提供保护，我们的服务器还会核验：在您的通知（包括您的 SMS 应用的通知）中发现的链接的完整网址（Trasimene 不读取您的 SMS 本身，也不申请此项权限），先判断域名，当网站托管于共享平台时，再通过 Google Safe Browsing 核验完整网址；针对每条被选取的通知，发出该通知的应用、其时间和其中包含的已知诈骗清单所列词语（绝不涉及消息正文；结果与扫描结果一同最多保留 30 天）；您 SIM 卡的运营商代码（绝不涉及您的号码），以便检测 SIM 卡更换；以及未知应用的包名，用于与 Play Store 的公开页面比对（不与您的身份关联）。

网址扫描器（QR 码或输入的网址）：您核验的每个网址都会发送至我们的服务器，由服务器将其与自身的威胁清单及 Google Safe Browsing 进行比对。在 iPhone 上，为进行“安全 QR 码扫描器”和“仿冒知名品牌的网站”检测，我们的服务器会将每次核验的日期和结果与您的设备关联保留 30 天，并一同保留使用秘密密钥计算出的网站名称哈希值：没有该密钥，便无法通过哈希值找回网站。这属于假名化处理：Trasimene 持有该密钥，这些哈希值仍属于个人数据。当某个网址被判定为危险时，完整网址会以明文形式保留相同期限，以便在检测结果中向您显示。由于网址可能包含个人信息（例如收到的链接中嵌入的标识符），只有被判定为危险的网址才会以这种方式保留。这些数据会在 30 天后删除，删除您的账户时亦会删除。法律依据：合同履行。

已安装应用（Android）：为了对涉及您应用的检测作出判定，应用会在每次扫描时，针对每个相关应用，将其包名和显示名称、安装该应用的应用、其签名证书的指纹以及其首次安装日期发送至我们的服务器。自 1.2.1 版本起，应用还会针对每个相关应用发送：技术特征（应用版本、目标 Android 版本、声明的类别（例如“游戏”）、原生代码的大小）；某些敏感权限的状态，即这些权限是否确实已授予该应用（显示在其他应用上层、所有文件访问权限、读取和写入共享存储空间）；以及在您已授予使用情况访问权限时，其在过去 24 小时内的使用时长（屏幕使用时间、可见时间以及在后台工作所花费的时间）。我们的服务器使用这些数据作出判定。服务器会保留检测结果，最长保留至手机最后一次发送扫描后 30 天；此外还会保留在您设备上发现的应用清单（安装文件的 SHA-256 哈希值、包名、签名证书、来源、日期），在最后一次发现后保留 30 天：该清单可避免重新分析已知应用，并且通过与其他设备比对，能够发现已知应用被篡改的副本。对于我们清单中没有的未知应用，其哈希值可能会作为最后手段提交给 VirusTotal：仅提交哈希值，绝不提交文件。法律依据：合同履行；就使用时长而言，为您通过授予使用情况访问权限所给予、并可随时在手机设置中撤回的同意，届时“后台的可疑活动”检测将处于停用状态。

存储中的文件（Android）：为了发现危险文件，应用会检查位于您的“下载”和“文档”文件夹、手机存储根目录以及已插入的存储卡或 U 盘中的应用安装文件、压缩包和扩展名可疑的文件（依据由我们的服务器维护的名单）。对于其中每个文件，应用会将其文件名、大小、最后修改日期及所在文件夹发送至我们的服务器；对于安装文件，应用还会发送其所含应用的名称及其签名证书的指纹。自 1.2.1 版本起，应用另外还会发送在手机上计算的每个文件内容的哈希值（SHA-256），以便与我们的已知恶意软件数据库进行比对。文件内容及其完整位置绝不会被发送。哈希值对应一个特定文件：持有同一文件的两个人会得到相同的哈希值。这些哈希值不会提供给任何第三方。我们的服务器绝不保留安全文件的哈希值；对于被判定为危险的文件，服务器会将其哈希值与检测结果（该结果可能写明该文件的名称）一同保留，以便在该文件仍在您的设备上时持续显示警报，且最长保留至手机最后一次发送扫描后 30 天。已检查过的文件只要未发生变化，便不会再次发送。法律依据：合同履行。

位置信息（Android）：如果您授予许可，应用将在所有受支持的 Android 版本上访问精确位置和大致位置，包括在应用未显示于屏幕时，通过其以常驻通知标示的监控服务进行访问。Android 仅允许拥有此项访问权限的应用读取基站和 Wi-Fi 热点，此项读取用于两项检测。“检测到伪基站”：每次扫描时，应用会针对手机所连接的每个基站，将网络类型、信号强度和基站标识（LAC/CID、TAC/CI 或 NCI）发送至我们的服务器。“假冒的 Wi-Fi 热点”：当多个热点广播您所连接网络的名称时，应用会发送这些热点的硬件标识符（BSSID）及其安全类型。应用绝不会读取手机的纬度或经度，但将这些标识符与公开的基站和 Wi-Fi 热点数据库进行比对，可能足以确定手机的大致位置，有时甚至是精确位置：因此，我们将其视为位置数据，且仅用于检测上述两种攻击。我们的服务器不会记录这些标识符；仅保留检测结果，最长保留至手机最后一次发送扫描后 30 天。发现异常时，该结果会载明相关基站（网络类型、信号强度，以及在适用情况下的标识），或相关 Wi-Fi 网络的名称及相关热点的 BSSID，以便向您显示。该详情会在检测不再发现该异常时立即删除。如果在发送过程中发生技术错误，这些标识符可能会出现在发送给我们的次级处理者 Sentry 的错误报告中。法律依据：您通过授予访问权限所给予的同意。您可以随时在手机设置中拒绝或撤回该同意：届时这两项检测将处于停用状态，与手机定位关闭时相同，且不影响其他检测。

即时通讯通知（Android）：如果您授予应用通知使用权，应用将为“未知设备已关联到账号”检测，查看受监控即时通讯应用（Signal、WhatsApp 和 Telegram，名单由我们的服务器维护）的通知，以识别即时通讯应用在有新设备关联到您的账户时显示的提醒。对于每条通知的标题和正文，应用仅保留哈希值：每个由一至四个词组成的词序列都会经哈希函数（截断的 SHA-256）转换，正文既不保留也不发送。这些哈希值针对这些即时通讯应用最近 200 条通知保存在内存中，并在每次扫描时，连同发出通知的即时通讯应用及每条通知的时间一起发送至我们的服务器。我们的服务器将其与一份宣告设备关联的短语列表的哈希值进行比对，随后立即删除，既不记入日志，也不保留。保留的结果（最长保留至最后一次扫描后 30 天）仅显示已查看的通知数量、已识别的短语数量，以及在已授予使用情况访问权限时，近期使用过的受监控即时通讯应用。哈希不是加密：通过计算已知词语的哈希值，可能还原常见的词序列。这属于假名化处理，这些哈希值仍属于个人数据。法律依据：您通过授予通知使用权所给予的同意；您可以随时在手机设置中撤回，届时该检测将处于停用状态。对于其消息出现在这些通知中的人（您的聊天对象），法律依据为正当利益（GDPR 第 6.1.f 条）：维护您账户的安全，防止设备在您不知情的情况下被关联到您的账户。保障措施：通过哈希值进行假名化处理、不发送任何文本、比对后立即删除哈希值。

数字保险库：您的密码以及笔记和文件的内容在我们的服务器上以 AES-256-GCM 加密，使用您账户专属的密钥；该密钥随机生成，保存在 Google Secret Manager 中，绝不会发送到您的手机。正是这种设计，使您能够从您的每台设备以及 trasimene.com 打开保险库、通过链接分享某个项目，并在您的某个密码出现在数据泄露中时收到提醒（Tessin）：我们的服务器会在内存中解密您的保险库，仅持续向您提供内容所需的时间，并且这些密钥的访问权限仅限于 Trasimene 的系统和获得授权的人员。为了即时搜索和显示，您笔记的标题、您条目的标签、用户名和网站地址，以及您文件的名称、类型和大小不使用该密钥加密存储，而是与我们的所有数据一样受 Google Cloud 加密保护。我们绝不出售或分享您保险库中的内容。

支付：Trasimene 不存储任何银行卡数据。所有交易均由我们通过 PCI-DSS 认证的支付服务商独家处理。

我们广告活动的效果衡量（须经您同意）：当您在 Android 应用或 trasimene.com 上使用邮箱地址创建账户时，一个未勾选的复选框会询问您是否愿意帮助我们了解哪些广告带来了新用户。如果您勾选该框，我们的服务器会向投放我们广告活动的广告平台报告两个事件：您账户的创建和订阅的购买。未经您同意，不会发送任何信号。通过 Google 或 Apple 登录创建的账户不会发送任何信号，除非您之后在账户设置中开启该衡量；在 iPhone 上创建的账户以及在 App Store 购买的订阅，均不会发送任何信号。信号从我们的服务器发出，而非从您的手机发出：应用不显示广告，也未嵌入这些广告平台的任何工具。注册时，Meta、TikTok 和 Snapchat 会收到您邮箱地址的哈希值（SHA-256）、您的 IP 地址以及您浏览器或手机的技术描述（user-agent）；LinkedIn 会收到您邮箱地址的哈希值，以及其广告的点击标识符（如有）。订阅时，这四家广告平台会收到您邮箱地址的哈希值、将您引导而来的点击标识符（如有）以及支付金额；不包括 IP 地址或 user-agent。Google Analytics 会收到您账户的内部标识符、Google 点击标识符（如有），以及订阅时的支付金额；绝不包括您的邮箱地址。哈希值无法还原为邮箱地址；已经知道该地址的广告平台可以识别出它，并且这些广告平台也会以其自身名义、依照其自身政策处理这些数据。我们会保留每次报告的记录（广告平台、点击标识符、结果），直至您的账户被删除。法律依据：您的同意（GDPR 第 6.1.a 条）。您可随时在 Android 应用或 trasimene.com 上的账户设置（“广告活动效果衡量”）中撤回同意，也可致函 contact@trasimene.com 撤回：此后将不再为您的账户发送任何信号。

安装来源：首次启动时，应用会将其安装来源发送至我们的服务器，以便我们了解是哪项广告活动或哪个网站让您发现了 Trasimene。在 iPhone 上，这是 Apple 提供的归因令牌（AdServices）：当安装来自 Apple Search Ads 广告时，我们的服务器会向 Apple 用该令牌换取相应的 Apple Search Ads 广告活动、广告组、关键词和国家/地区。Apple 的这项服务不需要任何跟踪权限，也不会从 iPhone 向广告平台发送任何内容。在 Android 上，这是 Google Play 提供的安装引荐来源（来源、广告活动以及点击标识符（如有））。该来源与您的账户关联，并随账户一同删除。法律依据：我们衡量广告活动效果的正当利益。

应用内的使用情况衡量：为了解哪些界面被使用并改进应用，应用会向 Firebase Analytics（Google）和 PostHog（服务器位于欧盟）发送所显示的界面、使用流程中的步骤（注册、订阅、打开保险库）、手机型号和系统版本；PostHog 会将这些数据与您的账户标识符关联。您的检测内容和保险库内容绝不包含在内。该衡量自安装起即处于开启状态；您可随时在应用设置的“分析”部分，通过“使用分析”开关将其关闭。错误报告（Sentry 和 Firebase Crashlytics：崩溃跟踪、型号、版本，不含您的姓名或邮箱地址）不受此设置影响，因为它们用于修复故障。应用在 iPhone 上不请求跟踪权限，并在 Android 上停用广告标识符的收集。法律依据：正当利益（改进服务），您可在设置中拒绝。

我们的服务器保留哪些数据：您的流量内容既不会被读取，也不会被记录。我们的服务器会保留您的 VPN 连接记录（所选服务器、您设备的公钥、隧道内分配的地址、连接和断开的时间），在您的访问结束 72 小时后删除；以及每月交换的数据量，保留 13 个月，以确保服务正常运行。在 48 小时内，服务器还会保留与您账户关联的以下数据：您访问过的、列在我们威胁名单和广告名单中的网站及访问次数；被请求最多的不存在的网站名称；以及关于您的连接和所请求名称的数字（数量、端口、时长、长度），其中不含任何地址或网站名称。您的公网 IP 地址不会记录在该历史记录中。

危险网站提示：隧道内请求的网站名称会经过我们自有的 DNS 服务器，这些服务器不保留任何请求日志，并将这些名称与我们的列表（恶意软件、钓鱼、命令控制服务器、Tor 网络、文本分享网站、广告和追踪器）进行比对。列于这些列表中的名称会连同其类别一起被记录，并与您的账户关联 48 小时，以便在应用中向您显示警报；此外还会记录上文所述的重复次数最多的不存在的名称。您访问的普通网站绝不会被记录，也不会保留任何浏览历史。我们的服务器会向您提示这些网站，但不会自行中止对它们的访问：域名解析交给 Quad9 处理，这家瑞士服务会在它那一端把它已知的恶意域名排除在外。Quad9 看到的是从我们服务器的地址发出的名称请求，绝不会看到您的地址。

由 Trasimene 管理的服务器：您的流量经由我们自行搭建和管理的 WireGuard 服务器传输，这些服务器是在 19 个国家和地区向 Google Cloud 租用的虚拟机（列表见“国际数据传输”一段）。只有所请求的网站名称会从我们服务器的地址发送至 Quad9 进行解析（见“危险网站提示”）。

绝不变现：我们绝不为广告或商业目的出售、分享或重定向您的流量。

自动连接：对于订阅用户，VPN 自动连接默认开启。在 Android 上，首次授权 VPN 后，VPN 会在监控启动时（例如手机开机时）以及打开 VPN 页面时重新连接；在 iPhone 上，系统的“按需”规则会在有网络可用时立即恢复隧道。您可以随时在 VPN 页面中关闭自动连接。在 iPhone 上，当确认您的订阅已结束时，应用会从手机中移除该规则和 VPN 配置。

设备端访问：为提供保护，应用使用以下访问权限。其中需由手机请求您授权的权限，可随时在手机设置中拒绝或撤回；届时依赖这些权限的检测将处于停用状态。Android：已安装应用列表和 Wi-Fi 状态（安装时授予）；通知（警报及常驻保护通知）；摄像头（仅用于 QR 码扫描器）；蓝牙（蓝牙状态、已连接设备、附近的蓝牙攻击）；位置信息（基站和 Wi-Fi 热点，见上文“位置信息”）；通讯录和日历（仅统计数量，用于检测批量删除）；电话状态（移动网络类型、SIM 卡更换）；使用情况数据（发送的数据量、连接次数、双开应用、每个应用在过去 24 小时内的使用时长）；通知使用权（通知和 SMS 中的链接、即时通讯通知的哈希值，见上文）；所有文件访问权限（存储中的安装文件、压缩包和可疑文件，见上文“存储中的文件”）。iPhone：通知（警报）；摄像头（仅用于 QR 码扫描器）；蓝牙（附近设备，用于发现蓝牙攻击：对于检测到的每台设备，其信号强度以及是否广播名称或服务；既不发送其标识符，也不发送其名称）；使用应用期间的位置信息，仅用于读取您所连接 Wi-Fi 网络的名称和安全类型，该名称会与检测结果一同保留；Face ID（在设备上解锁保险库）。这些数据绝不出售。

合同履行（GDPR 第 6.1.b 条）：用户账户管理、安全服务的提供、订阅管理。

同意（GDPR 第 6.1.a 条）：资讯邮件发送、放置分析和营销 cookie、我们广告活动的效果衡量（在 Android 应用和 trasimene.com 上注册时勾选复选框，可在账户设置中撤回同意）、借助位置信息访问权限（Android）读取基站和 Wi-Fi 热点、借助通知使用权（Android）生成即时通讯通知的哈希值、借助使用情况访问权限（Android）获取应用的使用时长。对于这三项访问权限，同意通过授予访问权限作出，并可随时通过在手机设置中撤销该权限予以撤回。

正当利益（GDPR 第 6.1.f 条）：平台安全、欺诈防范、错误报告（Sentry、Firebase Crashlytics）、应用内的使用情况衡量（见“应用内的使用情况衡量”）、安装来源（见“安装来源”）。

法律义务（GDPR 第 6.1.c 条）：保留您的付款记录（日期、方案、价格、所用商店），包括在您的账户删除之后，保留期限为法国商法和税法规定的期限。

Google Cloud（Google LLC）：在 europe-west1 区域（比利时，欧盟）托管网站、API 和数据（账户、结果、加密的保险库）；保险库密钥和机密存放于 Secret Manager，由 Google 加密并自动复制以保持可用；VPN 服务器所用的机器分布于 19 个国家和地区（见“国际数据传输”）。https://cloud.google.com/security/compliance/gdpr

Google LLC：使用 Google 账户登录、Play Integrity（向我们的服务器证明 Android 设备和应用是真实的）、Google Play 安装引荐来源（见“安装来源”），以及 Android 上 VPN 界面中的地图所用的 Google Maps，https://policies.google.com/privacy

Firebase（Google LLC）：Cloud Messaging 用于通知（设备令牌、所发送通知的标题和正文），Analytics 用于使用情况衡量，Crashlytics 用于崩溃报告（见“应用内的使用情况衡量”），https://firebase.google.com/support/privacy

Apple Inc.：iPhone 上的通知（APNs）、使用 Apple 账户登录、App Attest（向我们的服务器证明应用是真实的），以及来自 Apple Search Ads 的安装归因（AdServices，见“安装来源”），https://www.apple.com/legal/privacy

PostHog Inc.：应用内的使用情况衡量；服务器位于欧盟（见“应用内的使用情况衡量”），https://posthog.com/privacy

Sentry（Functional Software Inc.）：应用、网站和 API 的错误报告；应用和网站的服务器位于欧盟。在网站上，部分错误（10%）会附带页面重现，其中的文字和图片均被遮盖，用于查找故障原因。https://sentry.io/privacy

Have I Been Pwned（Troy Hunt，澳大利亚）：数据泄露监控。对于您监控的每个邮箱地址，我们的服务器会在添加时以及此后每 24 小时，通过加密连接向其发送该地址本身，以了解该地址是否出现在已知的数据泄露中。不会向其发送任何其他内容。对于 Tessin 保险库中的密码，仅将其 SHA-1 哈希值的前 5 个字符发送至 Pwned Passwords 服务：密码绝不会离开我们的服务器。https://haveibeenpwned.com/Privacy

RevenueCat Inc.：管理在 App Store、Google Play 和 trasimene.com 上购买的订阅（账户标识符、购买记录、订阅状态），https://www.revenuecat.com/privacy

Stripe Inc.：trasimene.com 上的银行卡支付，经由 RevenueCat 进行；银行卡数据在 Stripe 处输入，绝不会经过我们的服务器，https://stripe.com/privacy

VirusTotal（Google LLC）：已安装 Android 应用的信誉（作为最后手段，发送安装文件的 SHA-256 哈希值，绝不发送文件本身）、网站名称的信誉，以及您在 iPhone 上选择核验的文件的信誉（仅发送哈希值），https://support.virustotal.com/hc/en-us/articles/115002168385-Privacy-Policy

Google Safe Browsing（Google LLC）：核验您扫描的网址以及在您的通知中发现的链接；通常核验域名，当网站托管于共享平台或您亲自扫描该网址时，则核验完整网址，https://safebrowsing.google.com/

Resend Inc.：发送我们的电子邮件（地址确认、警报、资讯邮件）；对于资讯邮件，您的邮箱地址以及（如果您通过账户订阅）您的姓名会列入我们在 Resend 的发送名单，https://resend.com/legal/privacy-policy

Infomaniak Network SA（瑞士）：contact@trasimene.com 的邮箱服务，您发给支持团队的消息会送达此处，https://www.infomaniak.com/fr/cgv/politique-de-confidentialite

Quad9 Foundation（瑞士）：解析 VPN 隧道内请求的网站名称，请求从 VPN 服务器的地址发出，绝不从您的地址发出（见“VPN”），https://quad9.net/privacy/policy

ip-api.com：根据您的公网 IP 地址（如您已连接 VPN，则根据 VPN 服务器的 IP 地址），在 VPN 界面中显示大致的国家和城市；不会发送任何其他内容，https://ip-api.com/docs/legal

Meta、TikTok、Snapchat、LinkedIn 和 Google Analytics：在您于 Android 应用或 trasimene.com 上注册时给予同意的前提下，衡量我们的广告活动（见“我们广告活动的效果衡量”）

必要 cookie（无需同意）：身份验证会话（NextAuth.js）、语言偏好。

分析 Cookie（需同意）：Google Analytics 及我们自有的网站受众测量，用于改进服务。

营销 cookie（需同意）：Meta Pixel、TikTok、LinkedIn、X、定向广告和活动效果测量。我们的服务器在您注册时给予同意的前提下向广告平台所作的报告，详见“我们广告活动的效果衡量”一段。