没有可以送出去的地方。

PrivChat 没有服务器。无需创建账号，无需提供手机号或电子邮件，也没有任何在我们控制之下、你的消息会经过的系统。你的对话、你的联系人，以及关于你如何使用应用的任何数据，我们和任何其他人都收不到，因为无处可发。应用存储的一切都加密留在你的设备上。

这不是一个关于良好行为的承诺：它是这个应用构建方式的必然结果。没有一台服务器可以让人来向我们索要你的数据，哪怕我们想交出去也没有。

PrivChat — privchat.wiki
联系邮箱：privchat.wiki@proton.me

《通用数据保护条例》将控制者定义为决定如何处理个人数据的一方。这里没有处理：应用不向我们的任何服务器发送任何东西，因为不存在这样的服务器。我们收不到你的消息、你的联系人、使用统计或崩溃报告，所以没有任何属于你的数据可供我们做出任何决定。第 2 节会详细说明这一点。

我们仍然公布项目名称和一个联系地址，好让人有办法向我们询问或投诉。如果应用有朝一日确实处理了个人数据，本节会在代码之前先改动。

没有。

应用不向其开发者或任何第三方发送任何个人数据、标识符、使用统计或崩溃报告。具体来说，PrivChat 不包含：

• 任何分析或使用量测系统；
• 任何崩溃报告或遥测系统；
• 任何广告网络或广告标识符；
• 任何用户账号、注册或登录；
• 任何会自行传输数据的第三方库。

应用确实包含来自 Tor Project 的软件才能运行：Tor 客户端，以及——如果你使用伪装流量的网桥——负责伪装的那个程序。二者都来自同一个项目，都是开源的，且都不会向任何人报告你的行为。见下文《网桥与可插拔传输》。

应用所用的库（Android 的界面与摄像头组件、SQLCipher 数据库加密库、Bouncy Castle 加密库、ZXing 二维码读取器，以及 Tor 的 “arti” 实现）全部在设备上运行，不向其作者或我们发送任何信息。

以下所有内容都留在你的手机上，除第 4 节所述情形外绝不离开：

你给联系人起的名字只属于你一个人：它不会出现在任何邀请代码中，也绝不会到达对方那端。

如果你设置了 PIN 码，数据库密钥还会额外从那个 PIN 码派生，这样一来，没有你，就连设备本身也打不开它。附件也是如此：无论如何它们都是加密的，但有了 PIN 码就需要两半——你的 PIN 码和一个设备秘密——而没有 PIN 码时，设备秘密就够了。

备份：应用被配置为把自己排除在 Android 的自动备份之外。你的对话不会被上传到任何云端，连你自己的也不会。

只有你写下的东西，且只送往它的收件人。发给联系人的消息去往那位联系人。发到群组的消息按成员逐一发出，每人一份，走同样的端到端加密一对一会话。你在频道发布的内容，由持有该频道邀请的人以加密方式拉取。阅读频道不会发送任何个人数据：请求经由匿名的 Tor 链路发出，没有账号也没有标识符，连发布者也无法得知谁在阅读。

它们以端到端加密的方式传输：它们在你的设备上加密，只有接收者能解密。它们通过 Tor 网络传送，那是一个由世界各地志愿者运营的公共网络。

你需要理解这意味着什么：

• 你的流量所经过的 Tor 中继读不到你消息的内容，也不知道它们是发给谁的。
• 你的网络服务商能看到你连接到 Tor 网络，却不知道你和谁交谈或你说了什么。它读不到你的对话，而这并非出于善意：离开你手机的内容已经加密，因此任何可读的内容都不会经过它的网络。
• 那些中继的运营者是独立的第三方。我们与他们没有任何关系，不向他们付费，也不向他们发送任何关于你的东西：应用只是使用一个公共网络，就像它使用互联网一样。

网桥与可插拔传输

如果你所在的地方封锁了 Tor，应用允许你通过网桥进入：不在公开列表上、因而无法按地址过滤的入口中继。在《我的身份 → Tor 网桥》中，你可以在直接连接、随应用附带且无需你提供任何东西的网桥，或者你自己的网桥（如果你有的话）之间选择。

随附的那些是公开的：任何使用 Tor 浏览器的人也都有，所以使用它们不会把你单独标记出来。它们就在你安装的那个安装包里，所以使用它们时，应用不会联系任何服务器。如果你输入自己的网桥，它们会像你的其余数据一样加密存放在本地数据库中；我们看不到它们，而且它们除了用于连接之外绝不会离开你的手机。

还有一个可选的“获取更多网桥”按钮，它会从 Tor Project 获取较新的网桥（其 moat 服务，与 Tor 浏览器的连接助手所用的相同），并把它们添加到你已有的网桥中。它只在你点按时才运行；应用绝不会自行这样做：

• 优先通过 Tor，且连接 Tor Project 的 .onion 服务：这样监视你网络的人看不到你在请求网桥，也无需离开 Tor 网络。
• 只有当 Tor 完全无法连接时——也正是最需要新网桥的时候——才会直接获取。那时监视你网络的人能看出你在连接 Tor Project（但看不到你请求了什么）；应用会在你应用任何内容之前提醒你。
• 获取到的内容只会被添加供你检查：它绝不会替换你原有的网桥，而且在你点按“应用”之前不会生效。

有些网桥还会伪装流量，好让审查者在检查数据包时认不出 Tor 协议。这由 Tor Project 自己的一个辅助程序完成，名为 lyrebird，它随应用一同附带：

• 只有在你使用需要它的网桥时它才运行。在直接连接时它从不启动。
• 它在应用内部运行，拥有相同的权限，并在你移除网桥或关闭应用时停止。
• 它不会自行向任何人发送任何东西：没有遥测，不与我们或 Tor Project 联系。
• 它来自 Tor Project，就是应用已经在用的那个 Tor 客户端背后的同一个项目。它从官方源码的一个固定版本构建，且该构建是可复现的。

当你更改网桥设置时，应用会清除 Tor 关于它此前经由哪个入口的内部记录，这样你移除的网桥就不会在手机上留下痕迹。

没有任何中间服务器保管你的消息。如果你要写信的人未连接，消息会留在你的设备上等待，稍后再重试。

后两项不是由应用直接声明的：它们由管理其后台任务队列的 Android 库（WorkManager）添加。之所以仍然列出，是因为它们会出现在 Android 向你显示的权限列表中，而一份漏掉两个真实权限的清单毫无价值。

要附加文件或相册中的照片，应用会使用 Android 系统选择器，它只提供你所选择的那个具体文件的访问权限。应用不请求访问你的照片或你的存储空间。

此外，你发送的每张图片在发出前都会重新压缩，这个过程会删除照片中隐藏的元数据：拍摄地点的 GPS 坐标、你的手机型号和真实拍摄日期。没有这一步，附加相册照片会向你的联系人泄露你拍照时所在的位置，即使你自己并不知情。文件名也会被替换为生成的名称。应用自身录制的视频消息和语音消息出于同样的原因是干净的：从始至终没有任何环节向其添加位置数据。

由你决定，因为它就在你的设备上：

• 被标记为阅后即焚的消息会在你选定的时间后自动删除（1 小时、24 小时或 7 天）。
• 你随时都可以删除对话和联系人。
• “清除身份并重新开始”选项会销毁 Android 密钥库中的密钥并覆写文件：在那之后，即便设备在手，先前的数据也无法恢复。
• 卸载应用会移除它的全部数据。

我们什么都不保留，因为我们从来就没有拥有过任何东西。

PrivChat 不面向 13 岁以下的儿童，且不向任何人收集数据，无论年龄。

《通用数据保护条例》赋予对处理你数据的一方行使访问、更正、删除、反对、限制和可携带的权利。

在本例中，没有任何对象可以向其提出这些请求：我们不处理你的任何个人数据，我们没有保存任何关于你的信息的数据库，即便你要求，我们也无法辨认出你。你直接从应用中通过删除数据来对你的数据行使控制。

如果你仍然想向我们提出问题，可以写信至 privchat.wiki@proton.me。

我们宁愿在这里说清楚，也不愿让你日后才发现：

• 如果有人拿到你已解锁的手机，他们就能读到你的对话。应用的 PIN 码正是为这种情况而存在。
• 除非你在“我的身份”中启用阻止，否则截屏是允许的。而且没有任何应用能阻止有人用另一部手机拍下你的屏幕。
• 与你交谈的那个人可以保存、复制或转发你写给他的内容。没有任何技术能防止这一点。
• 一个能够同时监视 Tor 网络两端的对手，在理论上可以关联流量的时序，并推断出两个人正在互相书写。即便如此，他们也读不到任何内容：内容在离开你手机时已经加密，只在接收者的手机上解密，所以这样的对手所能得知的是对话这一事实，而绝不是它的内容。这是 Tor 的一个已知限制，而不是本应用的限制。

如果本政策发生变更，页首的日期会被更新，新版本将在同一地址发布。影响数据处理方式的变更还会在应用内另行公告。