隱私權政策

使用者帳號：電子郵件地址、姓名、經雜湊處理的密碼（bcrypt，Trasimene 無法讀取）、註冊日期、唯一識別碼。

服務使用：您帳戶的安全紀錄（IP 位址、瀏覽器、日期，於註冊時及每次登入時記錄，保存 7 天）、假名化掃描事件（假名化裝置 ID、彙總結果）、推播通知（Firebase 或 Apple 權杖，可撤銷）。為提供保護，我們的伺服器也會檢查：您的通知中發現的連結完整網址，包括您的簡訊 App 所發出的通知（Trasimene 不會讀取您的簡訊本身，也不會要求此項權限），先判斷網域名稱，若網站託管於共用平台，再將完整網址交由 Google Safe Browsing 檢查；針對每則被選取的通知，發出該通知的應用程式、其時間與其中包含的已知詐騙清單所列字詞（絕不涉及訊息內文；結果與掃描結果一併最多保留 30 天）；您 SIM 卡的電信業者代碼（絕不涉及您的號碼），以偵測 SIM 卡更換；以及不明應用程式的套件名稱，用於與 Play Store 的公開頁面比對（不與您的身分連結）。

網址掃描器（QR 碼或輸入的網址）：您檢查的每個網址都會傳送至我們的伺服器，由伺服器將其與自身的威脅清單及 Google Safe Browsing 比對。在 iPhone 上，為進行「安全 QR 掃描器」與「仿冒知名品牌的網站」檢測，我們的伺服器會將每次查核的日期與結果與您的裝置連結保存 30 天，並一併保存使用秘密金鑰計算出的網站名稱雜湊值：沒有該金鑰，便無法透過雜湊值找回網站。這屬於假名化處理：Trasimene 持有該金鑰，這些雜湊值仍屬個人資料。當某個網址被判定為危險時，完整網址會以明文形式保存相同期間，以便在檢測結果中向您顯示。由於網址可能包含個人資訊（例如收到的連結中所嵌入的識別碼），只有被判定為危險的網址才會以這種方式保存。這些資料會在 30 天後刪除，刪除您的帳號時亦會刪除。法律依據：履行契約。

已安裝的應用程式（Android）：為了對涉及您應用程式的檢測作出判定，App 會在每次掃描時，針對每個相關應用程式，將其套件名稱與顯示名稱、安裝該應用程式的應用程式、其簽署憑證的指紋以及其首次安裝日期傳送至我們的伺服器。自 1.2.1 版起，App 也會針對每個相關應用程式傳送：技術特性（應用程式版本、目標 Android 版本、宣告的類別（例如「遊戲」）、原生程式碼的大小）；特定敏感權限的狀態，即這些權限是否確實已授予該應用程式（顯示在其他應用程式上層、所有檔案存取權、讀取及寫入共用儲存空間）；以及在您已授予使用情形存取權時，其在過去 24 小時內的使用時間（螢幕使用時間、可見時間，以及在背景執行工作所花費的時間）。我們的伺服器使用這些資料作出判定。伺服器會保存檢測結果，最長保存至手機最後一次傳送掃描後 30 天，並保存在您裝置上看到的應用程式清單（安裝檔的 SHA-256 雜湊值、套件名稱、簽署憑證、來源、日期），於最後一次觀察到後保存 30 天：這份清單可避免重新分析已知的應用程式，並在與其他裝置比對時，找出已知應用程式遭修改的複製版本。不在我們清單中的應用程式，其雜湊值可能作為最後手段提交給 VirusTotal：僅提交雜湊值，絕不提交檔案。法律依據：履行契約；就使用時間而言，為您透過授予使用情形存取權所給予、並可隨時在手機設定中撤回的同意，屆時「背景中的可疑活動」檢測將維持停用狀態。

儲存空間中的檔案（Android）：為了找出危險檔案，App 會檢查位於您的「下載」與「文件」資料夾、手機儲存空間根目錄，以及已插入的記憶卡或 USB 隨身碟中的應用程式安裝檔、壓縮檔，以及副檔名可疑的檔案（依據由我們的伺服器維護的清單）。對於其中每個檔案，App 會將其檔名、大小、最後修改日期及所在資料夾傳送至我們的伺服器；對於安裝檔，App 也會傳送其所含應用程式的名稱及其簽署憑證的指紋。自 1.2.1 版起，App 另會傳送於手機上計算的每個檔案內容的雜湊值（SHA-256），以便與我們的已知惡意軟體資料庫比對。檔案內容及其完整位置絕不會被傳送。雜湊值對應一個特定檔案：持有同一檔案的兩個人會得到相同的雜湊值。這些雜湊值不會提供給任何第三方。我們的伺服器絕不保存安全檔案的雜湊值；對於被判定為危險的檔案，伺服器會將其雜湊值與檢測結果（該結果可能寫明該檔案的名稱）一併保存，以便在該檔案仍在您的裝置上時持續顯示警示，且最長保存至手機最後一次傳送掃描後 30 天。已檢查過的檔案只要未變更，便不會再次傳送。法律依據：履行契約。

位置資訊（Android）：若您授予許可，App 將在所有支援的 Android 版本上存取精確位置與大略位置，包括在 App 未顯示於畫面上時，透過其以常駐通知標示的監控服務進行存取。Android 僅允許具備此項存取權的 App 讀取基地台與 Wi-Fi 存取點，此項讀取用於兩項檢測。「偵測到偽基地台」：每次掃描時，App 會針對手機所連接的每座基地台，將網路類型、訊號強度與基地台識別碼（LAC/CID、TAC/CI 或 NCI）傳送至我們的伺服器。「假冒的 Wi-Fi 惡意網路」：當多個存取點廣播您所連線網路的名稱時，App 會傳送這些存取點的硬體識別碼（BSSID）及其安全性類型。App 絕不讀取手機的緯度或經度，但將這些識別碼與公開的基地台及 Wi-Fi 存取點資料庫比對後，可能得以推定手機的大略位置，有時甚至是精確位置：因此，我們將其視為位置資料，且唯一目的為偵測上述兩種攻擊。我們的伺服器不會記錄這些識別碼；僅保存檢測結果，最長保存至手機最後一次傳送掃描後 30 天。發現異常時，該結果會載明相關基地台（網路類型、訊號強度，以及在適用情況下的識別碼），或相關 Wi-Fi 網路的名稱與相關存取點的 BSSID，以便向您顯示。該詳細資訊會在檢測不再發現該異常時立即刪除。若在傳送過程中發生技術錯誤，這些識別碼可能出現在傳送給我們的次要處理者 Sentry 的錯誤報告中。法律依據：您透過授予存取權所給予的同意。您可隨時在手機設定中拒絕或撤回此同意：屆時這兩項檢測將維持停用狀態，如同手機定位功能關閉時一樣，且不影響其他檢測。

通訊軟體通知（Android）：若您授予 App 通知存取權，App 會為「帳號連結了不明裝置」檢測，檢視受監控通訊軟體（Signal、WhatsApp 與 Telegram，清單由我們的伺服器維護）的通知，以找出通訊軟體在有新裝置連結至您的帳號時所顯示的警示。對於每則通知的標題與內文，App 僅保留雜湊值：每個由一至四個字詞組成的字詞序列都會經由雜湊函式（截斷的 SHA-256）轉換，內文既不保存也不傳送。這些雜湊值針對這些通訊軟體最近 200 則通知保存在記憶體中，並於每次掃描時，連同發出通知的通訊軟體及每則通知的時間一併傳送至我們的伺服器。我們的伺服器會將其與一份宣告裝置連結之語句清單的雜湊值比對，隨即刪除，既不記錄於日誌，也不保存。保存的結果（最長保存至最後一次掃描後 30 天）僅顯示已檢視的通知數量、已辨識的語句數量，以及在已授予使用情形存取權時，近期使用過的受監控通訊軟體。雜湊並非加密：只要計算已知字詞的雜湊值，就可能還原常見的字詞序列。這屬於假名化處理，這些雜湊值仍屬個人資料。法律依據：您透過授予通知存取權所給予的同意；您可隨時在手機設定中撤回，屆時此項檢測將維持停用狀態。對於其訊息出現在這些通知中的人（您的聊天對象），法律依據為正當利益（GDPR 第 6.1.f 條）：維護您帳號的安全，防止裝置在您不知情的情況下被連結至您的帳號。保障措施：透過雜湊值進行假名化處理、不傳送任何文字、比對後立即刪除雜湊值。

數位保險庫：您的密碼，以及筆記與檔案的內容，在我們的伺服器上以 AES-256-GCM 加密，使用您帳戶專屬、隨機產生並保存在 Google Secret Manager 中的金鑰，此金鑰絕不會傳送到您的手機。正是這樣的設計，讓您能從每一台裝置及 trasimene.com 開啟保險庫、透過連結分享項目，並在您的某組密碼出現在外洩事件中時收到提醒（Tessin）：我們的伺服器會在記憶體中解密您的保險庫，僅在提供給您所需的時間內進行，且這些金鑰的存取權僅限於 Trasimene 的系統及獲授權人員。為了即時搜尋與顯示，您筆記的標題、項目的標籤、使用者名稱與網站網址，以及檔案的名稱、類型與大小，並未以此金鑰加密，而是與我們所有的資料一樣，受 Google Cloud 的加密保護。我們絕不販售或分享您保險庫的內容。

付款：Trasimene 不儲存任何卡片資料。所有交易均完全由我們通過 PCI-DSS 認證的付款服務商處理。

我們廣告活動的成效衡量（需經您同意）：當您在 Android App 或 trasimene.com 上以電子郵件地址建立帳戶時，會有一個未勾選的方塊，邀請您協助我們了解哪些廣告為我們帶來新使用者。若您勾選，我們的伺服器會向投放我們廣告活動的廣告平台通報兩個事件：您的帳戶建立，以及訂閱的購買。未經您同意，不會傳送任何訊號。透過 Google 或 Apple 登入建立的帳戶不會傳送任何訊號，除非您之後在帳戶設定中開啟此項衡量；在 iPhone 上建立的帳戶，以及在 App Store 購買的訂閱，皆不會傳送任何訊號。訊號由我們的伺服器發出，而非由您的手機發出：App 不顯示廣告，也未內嵌這些廣告平台的任何工具。註冊時，Meta、TikTok 與 Snapchat 會收到您電子郵件地址的雜湊值（SHA-256）、您的 IP 位址，以及您瀏覽器或手機的技術描述（user-agent）；LinkedIn 會收到您電子郵件地址的雜湊值，以及（若有的話）其廣告的點擊識別碼。訂閱時，這四個廣告平台會收到您電子郵件地址的雜湊值、（若有的話）將您帶來的點擊識別碼，以及支付的金額；不含 IP 位址或 user-agent。Google Analytics 會收到您帳戶的內部識別碼、（若有的話）Google 點擊識別碼，以及訂閱時支付的金額；絕不會收到您的電子郵件地址。雜湊值無法還原為原本的電子郵件地址；已知道此地址的廣告平台可以辨識出它，且這些廣告平台也會依其自身政策，為其自身目的處理這些資料。我們會保存每次通報的紀錄（廣告平台、點擊識別碼、結果），直到您的帳戶刪除為止。法律依據：您的同意（GDPR 第 6.1.a 條）。您可隨時在 Android App 或 trasimene.com 的帳戶設定中（「廣告活動成效衡量」），或來信 contact@trasimene.com 撤回同意：此後不再為您的帳戶傳送任何訊號。

安裝來源：首次啟動時，App 會將其安裝來源傳送至我們的伺服器，讓我們知道是哪個廣告活動或網站讓您發現了 Trasimene。在 iPhone 上，這是由 Apple 提供的歸因權杖（AdServices）：當安裝來自 Apple Search Ads 廣告時，我們的伺服器會向 Apple 以此權杖換取對應的 Apple Search Ads 廣告活動、廣告群組、關鍵字與國家。這項 Apple 服務不需要任何追蹤授權，且 iPhone 不會傳送任何資料給廣告平台。在 Android 上，這是由 Google Play 提供的安裝推薦來源（來源、廣告活動，以及若有的話，點擊識別碼）。此來源會與您的帳戶連結，並隨帳戶一併刪除。法律依據：我們衡量廣告活動成效的正當利益。

應用程式內的使用情形衡量：為了解哪些畫面有人使用並改善 App，App 會將顯示的畫面、使用流程的步驟（註冊、訂閱、開啟保險庫）、手機型號與系統版本傳送至 Firebase Analytics（Google）與 PostHog（伺服器位於歐盟）；PostHog 會將這些資料與您的帳戶識別碼連結。您的檢測內容與保險庫內容絕不包含在內。此項衡量自安裝起即啟用；您可隨時在 App 設定的「分析」區段中，以「使用分析」開關將其關閉。錯誤報告（Sentry 與 Firebase Crashlytics：當機追蹤記錄、型號、版本，不含您的姓名或電子郵件地址）不受此設定影響，因為它們用於修正故障。App 在 iPhone 上不會要求追蹤授權，在 Android 上則停用廣告識別碼的蒐集。法律依據：正當利益（改善服務），並可在設定中拒絕。

我們的伺服器保存的資料：您的流量內容不會被讀取，也不會被記錄。我們的伺服器會保存您的 VPN 連線紀錄（所選伺服器、您裝置的公開金鑰、通道內分配的位址、連線與中斷的時間），在您的存取結束 72 小時後刪除；以及每月交換的資料量，保存 13 個月，以確保服務正常運作。在 48 小時內，伺服器也會保存與您帳戶連結的下列資料：您連上過、列在我們威脅清單與廣告清單中的網站及連線次數；被請求最多次的不存在網站名稱；以及關於您的連線與所請求名稱的數字（數量、連接埠、時長、長度），其中不含任何位址或網站名稱。您的公開 IP 位址不會記錄在此紀錄中。

危險網站警示：通道內所請求的網站名稱會經過我們自有的 DNS 伺服器，這些伺服器不保留任何查詢紀錄，並將其與我們的清單比對（惡意軟體、網路釣魚、命令伺服器、Tor 網路、文字分享網站、廣告與追蹤器）。列於這些清單中的名稱會連同其類別記錄下來，並與您的帳戶連結保存 48 小時，以便在 App 中向您顯示警示；此外還有上文所述、重複次數最多的不存在名稱。您造訪的一般網站絕不會被記錄，也不會保留任何瀏覽紀錄。我們的伺服器會向您警示這些網站，但不會自行中斷對這些網站的連線：名稱解析交由瑞士服務 Quad9 負責，Quad9 會在它那一端排除它已知的惡意網域。Quad9 看到的名稱查詢來自我們伺服器的位址，絕不會來自您的位址。

由 Trasimene 管理的伺服器：您的流量會經過我們自行架設與管理的 WireGuard 伺服器，這些伺服器運行於向 Google Cloud 租用、分布於 19 個國家的虛擬機器上（清單請見「國際傳輸」一段）。只有所請求的網站名稱會從我們伺服器的位址傳送給 Quad9 進行解析（請見「危險網站警示」）。

不牟利：我們絕不為廣告或商業目的販售、分享或轉導您的流量。

自動連線：對訂閱者而言，VPN 自動連線預設為開啟。在 Android 上，首次授權 VPN 後，VPN 會在監控啟動時（例如手機開機時）及開啟 VPN 畫面時重新連線；在 iPhone 上，系統的「隨選」規則會在網路可用時立即重建通道。您可隨時在 VPN 畫面中關閉自動連線。在 iPhone 上，當確認您的訂閱已結束時，App 會從手機移除此規則及 VPN 組態。

裝置端存取：為提供保護，App 使用下列存取權。其中需由手機請求您授權者，可隨時在手機設定中拒絕或撤回；屆時仰賴這些存取權的檢測將維持停用狀態。Android：已安裝應用程式清單與 Wi-Fi 狀態（安裝時授予）；通知（警示及常駐保護通知）；相機（僅限 QR 碼掃描器）；藍牙（藍牙狀態、已連線裝置、附近的藍牙攻擊）；位置資訊（基地台與 Wi-Fi 存取點，請見上方「位置資訊」）；聯絡人與行事曆（僅計數，用於偵測大量刪除）；電話狀態（行動網路類型、SIM 卡更換）；使用情形資料（傳送的資料量、連線次數、雙開應用程式、每個應用程式在過去 24 小時內的使用時間）；通知存取權（通知與 SMS 中的連結、通訊軟體通知的雜湊值，請見上文）；所有檔案存取權（儲存空間中的安裝檔、壓縮檔與可疑檔案，請見上方「儲存空間中的檔案」）。iPhone：通知（警示）；相機（僅限 QR 碼掃描器）；藍牙（附近裝置，用於發現藍牙攻擊：對於偵測到的每台裝置，其訊號強度以及是否廣播名稱或服務；既不傳送其識別碼，也不傳送其名稱）；使用 App 期間的位置資訊，僅用於讀取您所連線 Wi-Fi 網路的名稱與安全性類型，該名稱會與檢測結果一併保存；Face ID（於裝置上解鎖保險庫）。這些資料絕不販售。

履行契約（GDPR 第 6.1.b 條）：使用者帳號管理、提供安全服務、訂閱管理。

同意（GDPR 第 6.1.a 條）：電子報寄送、設置分析與行銷 cookie、我們廣告活動的成效衡量（於註冊時在 Android App 與 trasimene.com 上勾選方塊，可在帳戶設定中撤回同意）、藉由位置資訊存取權（Android）讀取基地台與 Wi-Fi 存取點、藉由通知存取權（Android）產生通訊軟體通知的雜湊值、藉由使用情形存取權（Android）取得應用程式的使用時間。就這三項存取權而言，同意係透過授予存取權而給予，並可隨時透過在手機設定中撤銷該存取權予以撤回。

正當利益（GDPR 第 6.1.f 條）：平台安全、防詐、錯誤報告（Sentry、Firebase Crashlytics）、應用程式的使用情形衡量（請見「應用程式內的使用情形衡量」）、安裝來源（請見「安裝來源」）。

法律義務（GDPR 第 6.1.c 條）：保存您的付款紀錄（日期、方案、價格、使用的商店），包括在您的帳戶刪除後，保存期間依法國商業法與稅法的規定。

Google Cloud（Google LLC）：網站、API 與資料（帳戶、結果、加密保險庫）的主機代管，位於 europe-west1 區域（比利時，歐盟）；保險庫金鑰與機密資訊存放於 Secret Manager，由 Google 加密並自動複寫以確保可用性；VPN 伺服器的機器分布於 19 個國家（請見「國際傳輸」）。https://cloud.google.com/security/compliance/gdpr

Google LLC：以 Google 帳戶登入、Play Integrity（向我們的伺服器證明 Android 裝置與 App 為真品）、Google Play 安裝推薦來源（請見「安裝來源」），以及 Android 上 VPN 畫面中地圖所用的 Google Maps，https://policies.google.com/privacy

Firebase（Google LLC）：Cloud Messaging 用於通知（裝置權杖、所傳送通知的標題與內文），Analytics 用於使用情形衡量，Crashlytics 用於當機報告（請見「應用程式內的使用情形衡量」），https://firebase.google.com/support/privacy

Apple Inc.：iPhone 上的通知（APNs）、以 Apple 帳戶登入、App Attest（向我們的伺服器證明 App 為真品），以及來自 Apple Search Ads 之安裝的歸因（AdServices，請見「安裝來源」），https://www.apple.com/legal/privacy

PostHog Inc.：應用程式的使用情形衡量；伺服器位於歐盟（請見「應用程式內的使用情形衡量」），https://posthog.com/privacy

Sentry（Functional Software Inc.）：App、網站與 API 的錯誤報告；App 與網站的資料存放於歐盟伺服器。在網站上，部分錯誤（10%）會附上頁面的重現畫面，其中的文字與圖片皆經遮蔽，用以找出故障原因。https://sentry.io/privacy

Have I Been Pwned（Troy Hunt，澳洲）：資料外洩監控。針對您監控的每個電子郵件地址，我們的伺服器會透過加密連線，在新增時以及之後每 24 小時，將該地址本身傳送給此服務，以確認其是否出現在已知的外洩事件中。除此之外不會傳送任何資料。對於 Tessin 保險庫中的密碼，僅會將其 SHA-1 雜湊值的前 5 個字元傳送至 Pwned Passwords 服務：密碼絕不會離開我們的伺服器。https://haveibeenpwned.com/Privacy

RevenueCat Inc.：管理在 App Store、Google Play 與 trasimene.com 購買的訂閱（帳戶識別碼、購買項目、訂閱狀態），https://www.revenuecat.com/privacy

Stripe Inc.：透過 RevenueCat 在 trasimene.com 上以卡片付款；卡片資料於 Stripe 端輸入，絕不經過我們的伺服器，https://stripe.com/privacy

VirusTotal（Google LLC）：已安裝 Android 應用程式的信譽查詢（安裝檔的 SHA-256 雜湊值，作為最後手段，絕不傳送檔案本身）、網站名稱的信譽查詢，以及您選擇在 iPhone 上檢查之檔案的信譽查詢（僅限雜湊值），https://support.virustotal.com/hc/en-us/articles/115002168385-Privacy-Policy

Google Safe Browsing（Google LLC）：檢查您掃描的網址及您通知中發現的連結；一般僅檢查網域名稱，若網站託管於共用平台，或您自行掃描該網址，則檢查完整網址，https://safebrowsing.google.com/

Resend Inc.：寄送我們的電子郵件（地址確認、警示、電子報）；就電子報而言，您的電子郵件地址，以及（若您從帳戶訂閱）您的姓名，會列於我們在 Resend 的寄送名單中，https://resend.com/legal/privacy-policy

Infomaniak Network SA（瑞士）：contact@trasimene.com 的電子郵件信箱，您寄給客服的訊息會送達此處，https://www.infomaniak.com/fr/cgv/politique-de-confidentialite

Quad9 Foundation（瑞士）：解析 VPN 通道內所請求的網站名稱，查詢來自 VPN 伺服器的位址，絕不來自您的位址（請見「VPN」），https://quad9.net/privacy/policy

ip-api.com：依據您的公開 IP 位址（若您已連線 VPN，則為 VPN 伺服器的位址），在 VPN 畫面中顯示大致的國家與城市；不會傳送其他任何資料，https://ip-api.com/docs/legal

Meta、TikTok、Snapchat、LinkedIn 與 Google Analytics：在您於 Android App 或 trasimene.com 註冊時給予同意的情況下，衡量我們的廣告活動成效（請見「我們廣告活動的成效衡量」）

必要 cookie（無需同意）：驗證工作階段（NextAuth.js）、語言偏好設定。

分析 cookie（需同意）：Google Analytics 及我們自有的網站受眾衡量，用於改善服務。

行銷 cookie（需同意）：Meta Pixel、TikTok、LinkedIn、X、精準廣告與活動成效衡量。我們的伺服器在您於註冊時給予同意的情況下向廣告平台進行的通報，詳見「我們廣告活動的成效衡量」一段。