最后更新：2026 年 8 月 24 日
PrivChat 没有服务器。无需创建账号，无需提供手机号或电子邮件，也没有任何在我们控制之下、你的消息会经过的系统。你的对话、你的联系人，以及关于你如何使用应用的任何数据，我们和任何其他人都收不到，因为无处可发。应用存储的一切都加密留在你的设备上。
这不是一个关于良好行为的承诺：它是这个应用构建方式的必然结果。没有一台服务器可以让人来向我们索要你的数据，哪怕我们想交出去也没有。
PrivChat — privchat.wiki
联系邮箱：privchat.wiki@proton.me
《通用数据保护条例》将控制者定义为决定如何处理个人数据的一方。这里没有处理：应用不向我们的任何服务器发送任何东西，因为不存在这样的服务器。我们收不到你的消息、你的联系人、使用统计或崩溃报告，所以没有任何属于你的数据可供我们做出任何决定。第 2 节会详细说明这一点。
我们仍然公布项目名称和一个联系地址，好让人有办法向我们询问或投诉。如果应用有朝一日确实处理了个人数据，本节会在代码之前先改动。
没有。
应用不向其开发者或任何第三方发送任何个人数据、标识符、使用统计或崩溃报告。具体来说，PrivChat 不包含：
应用确实包含来自 Tor Project 的软件才能运行：Tor 客户端，以及——如果你使用伪装流量的网桥——负责伪装的那个程序。二者都来自同一个项目，都是开源的，且都不会向任何人报告你的行为。见下文《网桥与可插拔传输》。
应用所用的库（Android 的界面与摄像头组件、SQLCipher 数据库加密库、Bouncy Castle 加密库、ZXing 二维码读取器，以及 Tor 的 “arti” 实现）全部在设备上运行，不向其作者或我们发送任何信息。
以下所有内容都留在你的手机上，除第 4 节所述情形外绝不离开：
| 内容 | 如何受到保护 |
|---|---|
| 你的加密身份（向你的联系人标识你的密钥） | 用来自 Android 密钥库、并与设备硬件绑定的密钥加密 |
| 你的联系人以及你给他们起的名字 | 存放在用 SQLCipher 加密的数据库中 |
| 你的消息 | 存放在同一个加密数据库中 |
| 你收发的文件 | 在应用的私有存储中加密 |
| Tor 网络运行数据 | 在应用的私有存储中 |
你给联系人起的名字只属于你一个人：它不会出现在任何邀请代码中，也绝不会到达对方那端。
如果你设置了 PIN 码，数据库密钥还会额外从那个 PIN 码派生，这样一来，没有你，就连设备本身也打不开它。附件也是如此：无论如何它们都是加密的，但有了 PIN 码就需要两半——你的 PIN 码和一个设备秘密——而没有 PIN 码时，设备秘密就够了。
备份：应用被配置为把自己排除在 Android 的自动备份之外。你的对话不会被上传到任何云端，连你自己的也不会。
只有你的消息和你发送的文件，且只朝着你要发送给的那个人。
它们以端到端加密的方式传输：它们在你的设备上加密，只有接收者能解密。它们通过 Tor 网络传送，那是一个由世界各地志愿者运营的公共网络。
你需要理解这意味着什么：
如果你所在的地方封锁了 Tor，应用允许你通过网桥进入：不在公开列表上、因而无法按地址过滤的入口中继。在《我的身份 → Tor 网桥》中，你可以在直接连接、随应用附带且无需你提供任何东西的网桥，或者你自己的网桥（如果你有的话）之间选择。
随附的那些是公开的：任何使用 Tor 浏览器的人也都有，所以使用它们不会把你单独标记出来。它们就在你安装的那个安装包里，所以使用它们时，应用不会联系任何服务器。如果你输入自己的网桥，它们会像你的其余数据一样加密存放在本地数据库中；我们看不到它们，而且它们除了用于连接之外绝不会离开你的手机。
还有一个可选的“获取更多网桥”按钮，它会从 Tor Project 获取较新的网桥（其 moat 服务，与 Tor 浏览器的连接助手所用的相同），并把它们添加到你已有的网桥中。它只在你点按时才运行；应用绝不会自行这样做：
有些网桥还会伪装流量，好让审查者在检查数据包时认不出 Tor 协议。这由 Tor Project 自己的一个辅助程序完成，名为 lyrebird，它随应用一同附带：
当你更改网桥设置时，应用会清除 Tor 关于它此前经由哪个入口的内部记录，这样你移除的网桥就不会在手机上留下痕迹。
没有任何中间服务器保管你的消息。如果你要写信的人未连接，消息会留在你的设备上等待，稍后再重试。
| 权限 | 用途 |
|---|---|
| 互联网和网络状态 | 连接到 Tor 网络以收发消息 |
| 摄像头 | 仅用于读取邀请的二维码。不会录制、存储或向任何地方发送任何图像：帧在内存中分析后即被丢弃 |
| 前台服务 | 在应用不在屏幕上时保持连接，以便你能接收消息。按 Android 的要求，它带有一个常驻通知。你可以在“我的身份”中把它关掉 |
| 通知 | 显示那个常驻通知并提醒你有新消息 |
保持设备唤醒（WAKE_LOCK） | 让系统在屏幕关闭时不会中途打断一次发送或接收 |
开机时运行（RECEIVE_BOOT_COMPLETED） | 在手机重启后恢复待发消息的队列，以便任何未送达的内容继续被重试 |
后两项不是由应用直接声明的：它们由管理其后台任务队列的 Android 库（WorkManager）添加。之所以仍然列出，是因为它们会出现在 Android 向你显示的权限列表中，而一份漏掉两个真实权限的清单毫无价值。
要附加文件，应用会使用 Android 系统选择器，它只让我们访问你所选择的那个具体文件。应用不请求访问你的照片或你的存储空间。
由你决定，因为它就在你的设备上：
我们什么都不保留，因为我们从来就没有拥有过任何东西。
PrivChat 不面向 13 岁以下的儿童，且不向任何人收集数据，无论年龄。
《通用数据保护条例》赋予对处理你数据的一方行使访问、更正、删除、反对、限制和可携带的权利。
在本例中，没有任何对象可以向其提出这些请求：我们不处理你的任何个人数据，我们没有保存任何关于你的信息的数据库，即便你要求，我们也无法辨认出你。你直接从应用中通过删除数据来对你的数据行使控制。
如果你仍然想向我们提出问题，可以写信至 privchat.wiki@proton.me。
我们宁愿在这里说清楚，也不愿让你日后才发现：
如果本政策发生变更，页首的日期会被更新，新版本将在同一地址发布。影响数据处理方式的变更还会在应用内另行公告。