隐私说明：我们如何保护您的通讯数据与个人信息

一、我们收集的信息范围与类型

为了向您提供稳定、安全的通讯服务，我们需要收集以下几类必要信息。我们明确区分了「必需信息」与「可选信息」，您有权拒绝提供可选信息，但这可能影响部分功能的正常使用。

1. 账户关联信息（必需）

• 手机号码：用于生成唯一账户标识及实现设备间的同步。
• 设备信息：包括设备型号、操作系统版本、浏览器User-Agent。此信息用于确保客户端兼容性及排查连接故障。
• 网络状态信息：包括IP地址、网络类型（Wi-Fi/移动数据）。IP地址仅用于数据中心的流量调度与安全风控，我们不会将IP地址与您的聊天内容进行关联分析。

2. 通讯数据（必需）

• 消息内容：包括文本、图片、语音、视频及文件。在端到端加密机制下，我们仅存储密文，不存储明文。
• 通话元数据：包括通话双方ID、通话开始与结束时间、通话时长。我们不会记录通话的音频内容。
• 联系人列表：当您使用「检查手机联系人」功能时，我们会将您的通讯录哈希值上传至服务器进行匹配，但不会存储您的完整通讯录。

3. 诊断与性能数据（可选）

• 崩溃日志：当客户端发生异常退出时，我们会收集匿名的崩溃堆栈信息，用于修复Bug。
• 性能指标：包括消息发送耗时、页面渲染帧率等。这些数据以聚合形式呈现，无法追溯到特定个人。

二、信息使用的目的与方式

我们严格遵守「目的限制原则」，所有收集到的信息仅用于以下明确目的，绝不会超出范围使用：

1. 提供核心通讯服务：加密消息的传输、路由及投递。此过程需要处理消息的源地址与目的地址。
2. 保障账户安全：通过分析登录IP、设备指纹等信息，识别并阻止异常登录、撞库攻击及恶意注册行为。例如，当检测到同一账户在短时间内跨多个国家登录时，系统将自动触发二次验证。
3. 优化产品性能：分析聚合后的性能数据，定位代码瓶颈与网络延迟节点。我们承诺，用于性能分析的数据均为去标识化处理后的数据，无法关联到具体用户。
4. 履行法律义务：当收到具有法律效力的调查令或法院判决时，我们将依法提供所要求的数据。在非紧急情况下，我们会提前通知用户（法律禁止的情况除外）。

我们郑重承诺：我们不会出售、出租或交易您的任何个人信息。我们不会利用聊天内容进行任何形式的广告定向投放。

三、Cookie 与本地存储技术说明

为了提升访问速度与保持登录状态，本平台会使用Cookie及浏览器本地存储技术。具体使用情况如下：

1. 严格必需的Cookie

• 会话标识符 (Session ID)：用于维持您的登录状态。此Cookie为HttpOnly类型，无法通过JavaScript读取，有效期为会话结束（关闭浏览器）时失效。
• 防跨站请求伪造 (CSRF) Token：用于防御恶意网站伪造请求，保障账户操作安全。

2. 性能与偏好Cookie

• 语言偏好：记录您选择的界面语言，避免每次访问都需要重新设置。
• 主题模式：记录您选择的浅色/深色模式。

3. 第三方追踪器声明

本平台不包含任何第三方广告追踪Cookie、像素标签或社交媒体分享插件。我们独立部署了访问统计脚本（自建Matomo分析），该脚本数据完全存储于我们自己的服务器，不向任何第三方传输。您可以在浏览器设置中禁用所有Cookie，但请注意，禁用后您将无法登录账户，因为会话维持必须依赖Cookie。

四、第三方数据共享政策

我们仅在以下极其有限的情形下，可能与特定服务提供商共享必要的数据。所有接收数据的第三方均需签署严格的数据保护协议（DPA），并承诺仅代表我们处理数据，不得将数据用于任何其他目的。

除上述场景外，我们不会向任何政府机构、商业实体或个人披露您的数据，除非法律法规有明确的强制性要求。若发生涉及公司合并、收购或资产出售的情况，我们将确保数据接收方继续受本隐私政策的约束。

五、您的权利：访问、修改与删除

根据《个人信息保护法》及GDPR，您对您的个人数据享有以下完全的控制权。您可以通过客户端内的「设置」或联系我们的数据保护官来行使这些权利：

• 访问权：您有权获取我们持有的关于您的个人信息副本。您可以在「设置 -> 账户 -> 数据导出」中自助下载您的账户信息与聊天记录（格式为JSON或HTML）。
• 更正权：若您的个人信息（如手机号码）发生变更，您可以在客户端内直接修改。出于安全考虑，修改手机号码需要重新进行短信验证。
• 删除权（被遗忘权）：您有权要求我们删除您的账户及所有相关数据。删除操作将在15个工作日内完成。请注意，删除账户后，您将无法恢复任何聊天记录。
• 撤回同意权：对于基于您同意而进行的处理活动（例如发送产品通知邮件），您可以随时通过邮件中的「取消订阅」链接撤回同意。
• 限制处理权：当您对数据的准确性提出异议时，您可以要求我们在争议期间限制对相关数据的处理。

六、信息安全保障措施

保护您的数据免受未授权访问、泄露或篡改是我们安全团队的首要任务。我们部署了纵深防御体系，具体措施包括：

• 传输层加密：所有网络通信均强制使用TLS 1.3协议，确保数据在传输过程中无法被窃听或篡改。
• 端到端加密：聊天消息在发送前于您的设备上进行加密，只有接收方持有私钥能够解密。加密算法采用Signal协议推荐的Curve25519、AES-256-GCM及HMAC-SHA256。
• 静态数据加密：存储在服务器磁盘上的所有数据均使用AES-256进行加密，加密密钥存储在独立的硬件安全模块（HSM）中。
• 访问控制：生产环境数据库仅允许经过双因素认证的极少数运维工程师通过堡垒机访问，且所有访问操作均记录详细的审计日志。
• 定期渗透测试：我们聘请独立的第三方安全公司每季度进行一次模拟攻击测试，并针对发现的漏洞在24小时内制定修复计划。

七、政策更新与通知机制

随着法律法规的演变及产品功能的迭代，我们可能会不时修订本隐私政策。我们将通过以下方式通知您重大变更：

1. 站内信通知：当政策发生重大变更时，您下次登录客户端时将会看到弹窗提示，需要您点击「同意」