幾乎沒什麼可告訴你的。

什麼留在你的手機上

所有重要的東西。你的身分、你的訊息、你的聯絡人、你的媒體和你的設定，都存放在你裝置上的加密資料庫裡，從不上傳到任何地方。

你的身分是你第一次開啟應用程式時在手機上產生的三個詞。它不在任何人那裡登記。如果你刪除應用程式，這個身分就沒了。

我們的伺服器看得到什麼

Kryfo 運作著兩個負責傳送訊息的中繼，分別在兩家不同的代管公司，讓訊息也能送達曾經離線的手機。它們看得到什麼，取決於你在應用程式裡選擇哪條路線，而應用程式會在你選擇之前告訴你這一點。

• 私密。 預設路線。訊息經由 Tor 送到我們的兩個中繼，每個都透過它自己的 onion，也送到幾個公共 Nostr 中繼。沒有哪個中繼知道你的位址，其他任何人也不知道。
• 快速。 為了更快而繞過 Tor。它直接連線我們的兩個中繼，它們在你連線期間看得到你連線時使用的位址，但不會記下來。每則訊息都同時送往兩個中繼，所以其中一個停下時訊息不會停。在第一個中繼停機期間，快速路線也會使用幾個公共 Nostr 中繼，而且只經由 Tor，所以它們永遠看不到你的位址。

在兩條路線上，中繼傳送的內容都是加密的，沒有任何中繼能讀取訊息。每段對話都有自己的信箱位址，它既不是你的身分，也不是別人的。訊息會被填充到五種大小之一，所以中繼能大致看出一則訊息有多大，看不出有多長，不過你傳了多少則、什麼時候傳的仍然看得出來。在快速路線上，我們的每個中繼都看得到一個 IP 位址讀寫哪些信箱，而當聊天雙方都用快速路線時，還看得到兩個 IP 位址共用一個信箱。閱後即焚房間、配對碼和你邀請裡的位址在兩條路線上都經由 Tor。如果你在快速路線上有使用者名稱，我們的中繼仍可能透過比對新聊天最初幾則訊息的時間，把使用者名稱和你的 IP 位址連結起來。我們的中繼會把加密訊息保存 14 天，讓離線的手機能補收，然後刪除。

我們的中繼不會把連線記錄寫入磁碟。

向 Tor 專案索取橋接是可選的，只有在你同意之後 Kryfo 才會這麼做。這個請求不經過 Tor，因為你所在的地方可能封鎖了 Tor。它會經過一個內容傳遞網路，所以你的網路業者看到的是一條通往這個網路的連線，而不是通往 Tor 專案的。這個網路和 Tor 專案會看到你連線時使用的位址，以及有人請求了橋接這件事。它們對你的聊天一無所知。另外，Tor 連上之後，Kryfo 大約每週檢查一次它內建的橋接有沒有變動。這次檢查經過 Tor，所以不會讓任何人看到你的 IP 位址，也不需要你同意。更多內容請見Tor 被封鎖時。

使用者名稱

如果你認領一個公開使用者名稱，我們的使用者名稱服務會保存這個名稱、它指向的邀請、你寫的簡短描述，以及認領它的金鑰。它不保存這個使用者名稱是何時被認領的。如果你開啟「在搜尋中顯示我」，它還會保存你為搜尋選擇的名字，以及你的使用者名稱已列入搜尋這件事。你最後一次變更的時間，以及你最後一次開啟或關閉搜尋的時間，會保留約 20 分鐘，用來拒絕重送的變更，之後清除。它不會記錄誰查過你。你在搜尋中輸入的內容會傳送給它用來尋找使用者名稱，但不會被保存。

認領使用者名稱是選用的，除非你自己去認領，否則不會開啟；出現在搜尋中也是如此。你隨時可以刪除你的使用者名稱。這會立即刪除它的項目。伺服器每天保留一份備份，每份備份滿一週即被刪除，所以 8 天後不會再留下已刪除使用者名稱的任何副本。

只有主人開啟了「在搜尋中顯示我」的使用者名稱才會出現，如果他們選了名字，旁邊會顯示這個名字；關掉後，你會立刻從搜尋中消失。應用程式向使用者名稱服務和徽章服務發出的所有請求，在每條路線上都經過 Tor，在快速路線上也一樣，所以它們都永遠看不到你的 IP 位址。

開發者聊天

從 Kryfo 0.5.0 起，聊天清單頂端的「Marios · Kryfo 的開發者」聊天，通往開發這個應用程式的人。Marios 的金鑰內建在 Kryfo 裡，所以別人無法在其中回覆。在你寫下第一則訊息之前，不會建立任何連線，也不會傳送任何內容：沒有問候，沒有應用程式版本，沒有記錄。

Marios 能讀到你在那裡傳送的內容和傳送時間，並像任何聯絡人一樣回覆你。你的三個詞會隨之傳送；你選的臉、你的 onion 位址和你可能有的支持者徽章則不會。「匿名傳送」會改為專門為這個聊天產生新的名字和金鑰，它們只留在你的手機上，不會進入備份，也絕不在別處使用。它隱藏的是你的三個詞，而不是你的寫作風格、你在那裡寫的內容，或你在快速路線上連線時使用的位址。

匿名聊天裡的語音一定會經過變聲。刪除這個聊天，會在你的手機上刪除它，並從 Marios 的手機上收回你傳送的內容，就像收回單則訊息一樣。如果半分鐘內聯絡不上他的手機，應用程式會告訴你有幾則沒能收回。他已經讀過的訊息，就是已經讀過了。

連結預覽

除非你開啟，否則是關閉的。開啟後，由你自己的手機透過 Tor 取得標題，並把它放在加密訊息裡傳送。你連結的網站只會看到一個來自 Tor 網路的請求，別無其他。收到訊息的人永遠不會接觸這個連結。

GIF 搜尋

除非你開啟，否則是關閉的。開啟後，你搜尋的字詞會傳送到我們的伺服器，由它替你向 GIPHY 或 Klipy 查詢。GIF 也會經由我們的伺服器傳回。它們怎麼傳送，取決於你的路線：

• 私密。 經由 Tor，走一條單獨的線路。我們的伺服器看到的是一個來自 Tor 網路的請求，永遠不會是你的位址。
• 快速。 不經過 Tor，直接到我們的伺服器，和你在這條路線上的訊息一樣。我們的伺服器看得到你連線時使用的位址和你搜尋的詞，但兩樣都不記下來。不涉及任何公共中繼。

我們的伺服器不會記錄搜尋了什麼、是誰搜尋的，也不會把任何位址轉交出去。GIPHY 和 Klipy 只看得到我們的伺服器在查詢，以及搜尋字詞和應用程式的語言。它們永遠看不到你的位址、你的手機，或你把 GIF 傳給了誰。你選的 GIF 會放在加密訊息裡傳送，就像照片一樣。

照片和檔案

在 Kryfo 裡拍的照片，會先去掉位置、裝置資訊和時間戳記，再做其他任何事；除非你選擇儲存一份副本，否則它們永遠不會出現在你的相簿裡。照片、影片、語音訊息和大於一則訊息的檔案，在聊天裡所有人的版本都支援時，會經由我們的檔案服務傳送。你的手機用它自己的金鑰封存每個檔案，而金鑰只放在加密訊息裡傳送，所以服務保存的是它打不開的位元組。在兩條路線上都經由 Tor 連到它，它永遠看不到你的位址。它知道檔案的隨機 ID、無條件進位後的大小、有幾個接收者，以及何時上傳和下載。所有接收者都拿到檔案後，檔案就會刪除，任何東西都不會保留超過一週。

通知

預設情況下，Kryfo 不使用任何推播服務。應用程式自己查收訊息，走它傳送時用的同一條路線，應用程式之外沒有人會被告知有訊息在等你。你也可以在「通知」裡改選另外兩種方式之一。

• 透過輔助應用程式。 預設關閉，並且只在私密路線上可用。像 ntfy 這樣的 UnifiedPush 輔助應用程式為你的所有應用程式保持一條連線，有東西送達時，我們的中繼會用一個空請求去敲它：沒有寄件者，沒有數量，沒有內容。之後 Kryfo 照常經由 Tor 收取。我們的中繼為你在輔助應用程式的伺服器上保存十六個位址，最多 30 天。輔助應用程式的伺服器看得到你手機的 IP 位址、你在用 Kryfo，以及它何時被敲，其中混有假的敲門。它永遠不知道訊息說了什麼、是誰傳的、來了多少則。
• Google 推播。 只在 Google Play 版本裡，在裝有 Google Play 服務的手機上。你選擇之前，Google 的任何東西都不會執行。選擇它會向 Google 申請這支手機的一個權杖。我們的中繼把它保存在十六個互相獨立的封存裡，既打不開，也無法彼此關聯。打開它們的推播服務執行在我們的第二台伺服器上。兩台伺服器合起來能夠把這十六個關聯起來並看到權杖，而 Google 能把權杖對應到你的手機和你的 Google 帳號。只查扣其中一台做不到，但兩台都由我們營運，所以我們能做到。如果你在意這一點，請選擇其他方式。Google 看得到這支手機在用 Kryfo、它何時被喚醒（其中混有假的喚醒），以及你手機的 IP 位址，這和 Play 服務一向如此。它永遠看不到是誰寫的、說了什麼、有多少。推播服務不在磁碟上保存任何東西，也不按手機記錄任何東西，而 Firebase 的分析、廣告 ID 和送達統計在應用程式裡都是關閉的。

備份

備份是你手機上的一個檔案，用只有你知道的密碼短語加密。它永遠不會傳給我們。從 Kryfo 0.5.1 起，它也包含你的隱私設定：禁止截圖、變聲、隱藏預覽、防詐盾、介紹、訊息的傳遞方式，以及你選的主題和語言。它永遠不包含 PIN。

捐助

如果你捐款，付款發生在公開的區塊鏈上，這不在我們的控制範圍內，也不在本政策的範圍內。我們不會要求你的姓名或地址，而且除非你自己選擇把兩者連結起來，否則捐款不會與你的 Kryfo 身分產生關聯。

Google Play 版裡的小費透過 Google Play 支付。付款由 Google 處理，我們永遠看不到你的信用卡資料，也看不到你的名字。Google 的銷售報告會向我們顯示每筆小費的訂單編號、金額、日期和國家，在一些國家還有地區、城市或郵遞區號。

本網站

沒有 Cookie，沒有數據分析，沒有第三方指令碼，也不從其他任何地方載入字型。伺服器不記錄訪客。

兒童

Kryfo 不以兒童為對象。關於設計如何限制陌生人聯絡，詳見我們的兒童安全說明。

刪除你的資料

需要刪除的東西很少，而且大部分你都可以自己立即刪除。

• 在你的手機上。 刪除一個聊天，它就會被刪除。設定中危險區域裡的「從這支手機清除 Kryfo」，會刪除 Kryfo 在這支手機上保存的一切。解除安裝應用程式也是一樣。
• 你的使用者名稱。 在應用程式裡開啟你的使用者名稱，選擇「刪除這個使用者名稱」。項目會立即刪除，伺服器每天的備份會在 8 天內消失。
• 開發者聊天。 刪除它，會從 Marios 的手機上收回你傳送的內容。沒能收回的內容，或你透過電子郵件傳送的任何內容，請寫信到 gnosiworks@proton.me。這些內容會被刪除，你也會收到一則簡短的確認。
• 傳給別人的訊息。 它們在對方的手機上，不在我們這裡。在聊天裡收回一則訊息，它也會從對方的手機上消失。
• 中繼和檔案。 我們的中繼會把加密訊息保存 14 天，讓曾經離線的手機仍然能收到，然後自動刪除。幾個公共 Nostr 中繼也會存有副本，每份都標記為 14 天後刪除。沒有任何中繼能讀取它們。我們檔案服務上的大檔案，在所有接收者都拿到後就會刪除，最多保留一週。
• 捐助。 公開區塊鏈上的付款，任何人都無法刪除。

資料請求

如果有人要求我們交出使用者資料，我們幾乎沒有什麼可以交出。我們不持有任何聯絡人清單、手機號碼、電子郵件地址或帳號記錄，因為這些都沒有收集；除了大家傳到開發者聊天裡的內容，我們也不持有任何訊息內容。唯一的例外是 Google 推播：也就是「通知」一節所說的，我們的兩台伺服器合起來能夠關聯的內容。

變更

如果本政策有變，頂部的日期會隨之更新，先前的版本會保留在本網站的 git 歷史記錄裡。

負責人

Marios Staikoglou, Ostender Straße 9, 13353 Berlin，德國。完整資訊請見法律聲明。

問題

請寫信到 gnosiworks@proton.me，或是在 github.com/GnosiWorks/Kryfo 提出問題。

在設定裡，「回報問題」讓你可以從應用程式寫信給我們。「在 Kryfo 裡寫」會把它傳到上面說過的開發者聊天。「傳送電子郵件」會開啟你自己的郵件應用程式，郵件接著會經過你的郵件服務商和我們的（Proton），和任何電子郵件一樣。