隐私政策

注册时:您选择的用户名(公开)、显示名称、密码(我们仅存储该密码的强单向哈希值——绝不存储密码本身,也绝不记录在日志中)、恢复邮箱、需要验证时使用的电话号码、出生日期(仅在注册时核对一次以确认您的年龄,随后即被丢弃:我们只保留您是否已满 18 周岁;如果未满,则只保留您年满 18 周岁的月份),以及根据您注册时的 IP 地址确认的所在国家。

当您为账户或某个产品接受我们的服务条款、隐私政策和使用规范时:您接受的版本以及接受时间。只要您的账户存在,我们就会保留这项记录。

如果您添加了通行密钥:我们会收集其公钥、设备类型(硬件密钥、设备绑定或同步型)以及您为其设置的标签——绝不会收集任何可用于重建私钥的信息,私钥也绝不会离开您的设备。

LIECOSYS Email 尚未上线,因此您预留的地址不会发送或接收任何邮件。LIECOSYS Email 上线后,如果您启用它:您预留的 @liecosys.xyz 地址,以及您通过它发送和接收的邮件,还有一个系统生成的邮件凭证——加密存储,且绝不等同于您的账户密码——仅用于连接该邮箱。

如果您使用 LIECOSYS Messaging:您的可触达性偏好(谁可以向您发送请求——任何人凭用户名,或仅限联系人代码)、您发送或收到的联系人请求及其状态,以及您的联系人。您的消息在发送之前就在您的设备上进行端到端加密,所用密钥只存在于对话中的设备上,因此我们无法读取。我们保存的是:加密后的消息,经过填充以隐藏其长度,且不记录由哪个账户或设备发送,以及每条消息所属的对话和到达时间;每条消息正在等待哪台设备,以及何时送达、何时已读;您的 Messaging 设备的名称和公钥,包括少量一次性公钥,供联系人与您开始加密对话;以及几分钟内即被删除的短期连接记录。我们还会保存一份您消息历史的加密副本,我们无法读取它,其用途是让您的另一台 Messaging 设备能够加载历史记录。该副本会在您的账户被永久删除时一并删除。加密消息会一直保存,直到对话双方都删除了各自的账户。如果您验证了联系人的安全码,我们还会保存一份您已验证联系人的加密列表,我们无法读取它,其用途是让您的其他设备也知道这些验证结果。该列表会在您的账户被永久删除时一并删除。如果您举报一条消息:我们会收到您举报的那条消息及其前后最多 10 条消息,每条都附有其真实发送者的证明,以及您选择的举报原因和您添加的任何说明。只有在您选择举报时,这些内容才会离开您的设备,并且我们以加密方式保存。被举报的人永远不会被告知是谁举报了他们。

如果您使用 LIECOSYS Notes:我们只保存加密密文——您的笔记内容在离开您的设备之前就已在设备上加密,加密密钥我们从不接收,因此我们无法读取它。我们持有的只是密文本身、每台设备的封装密钥副本(我们同样无法解封)、您的设备公钥及您为其设置的标签,以及您已使用的加密存储空间的汇总字节数。当同一篇笔记在您的多台设备上同时打开时,编辑内容经由我们的服务器在设备之间传递,全程保持加密;我们只保留几分钟内即被删除的短期连接记录。

如果您使用 LIECOSYS Drive:我们只保存加密密文——您的文件内容在离开您的设备之前就已在设备上加密,加密密钥我们从不接收,因此我们无法读取它。我们持有的只是密文本身、每台设备的封装密钥副本(我们同样无法解封)、您的设备公钥及您为其设置的标签,以及您已使用的加密存储空间的汇总字节数。

LIECOSYS Photos 目前已暂停。如果您在暂停之前使用过它,我们仍然只保存加密密文——您的照片和视频内容在离开您的设备之前就已在设备上加密,加密密钥我们从不接收,因此我们无法读取它。我们持有的只是密文本身、每台设备的封装密钥副本(我们同样无法解封)、您的设备公钥及您为其设置的标签,以及您已使用的加密存储空间的汇总字节数——该存储空间与 LIECOSYS Drive 共用。

如果您在手机或电脑上安装 LIECOSYS 应用(目前为 LIECOSYS Photos 安卓版):该应用会统计安装量。首次启动时,它会在设备上生成一个随机安装 ID,该 ID 不与您的账户关联;之后每周最多一次,将该 ID 连同应用名称、应用版本和操作系统版本发送给我们。我们只保存该 ID 的单向哈希值,以及它首次和最近一次出现的周份,绝不保存您的 IP 地址或设备的任何其他信息;您的 IP 地址仅用于防止滥用,时长约一分钟。停止发送的安装记录会在 120 天后删除。我们只保留累计安装总数,并可能公开显示向下取整后的数字。您可以在应用设置中关闭此功能,关闭时该安装的记录也会一并删除。

如果您属于一个组织账户:该组织的名称、其成员列表,以及您在其中的角色(所有者、管理员或成员),记录方式与个人账户活动相同。

如果您通过 Sign in with LIECOSYS 授权第三方应用:仅该应用具体授予的权限范围所请求的数据——至少是您的用户名和邮箱——会直接分享给该应用,绝不会超出您在授权提示中明确批准的范围。

如果您或您的组织为付费功能付款——LIECOSYS Organizations、Sign in with LIECOSYS 集成、LIECOSYS Notes 存储升级,或 LIECOSYS Drive 存储升级(与 LIECOSYS Photos 共用):我们的支付处理商会直接收集您的账单信息,包括您的银行卡信息——LIECOSYS 本身绝不会看到或存储您的完整卡号。我们仅接收并保留管理订阅所需的最低限度账单记录:套餐、金额、时间戳,以及处理商签发的交易参考号。

如果您的组织申请组织验证:您提交的法定实体名称、注册号和税号,以及您上传的证明文件。该文件存储在私有、访问受限的位置,仅用于审核申请,绝不公开。

使用期间:登录时间戳和每次会话的 IP 地址,作为安全日志保留。

当您访问 liecosys.xyz 或我们的注册页面时:所访问的页面、把您带来的网站(只记录其域名,绝不记录完整链接)、链接中的推广活动标签、您所在的国家(根据您的 IP 地址判断,IP 地址本身不会被存储),以及您的设备类型和操作系统。我们还会统计每一个注册步骤,以及我们服务器上的错误和缓慢响应。这些数据都不带任何标识符,也不含您的 IP 地址。如果您接受分析 Cookie,一个随机的访问 ID 会把同一次访问中的各个页面关联起来,您的浏览器还会上报每个页面的加载和响应速度;如果页面崩溃,还会上报错误类型以及出错位于我们代码中的哪个位置,但绝不包含错误信息本身。

出于账户安全考虑:仅在您注册或登录时,我们会收集一组设备与浏览器信号,并将其合并为一份内部安全画像。我们绝不会在其他页面上收集这些信号,也绝不会跨其他网站收集。它让我们能够识别某次登录是否来自您的常用设备,还是来自陌生设备,并借此检测诸如”同一设备被用于创建多个账户”之类的模式。我们不会公开具体信号或其组合方式——公开这些细节本身就等于提供了规避它的方法;详见原因。这确实是针对与安全相关的设备行为所做的画像分析,我们不会否认这一点——但这些信息仅保留在 LIECOSYS 内部。它仅用于账户安全、滥用防范和多账户检测,绝不会被出售,也绝不会向任何广告商、数据经纪商或其他外部方开放。

出于防范滥用的目的,在您注册、登录,或进行会触及他人的操作(发送联系人请求、邀请他人、分享、创建组织、更改用户名)时:我们会检查您的 IP 地址是否出现在 Tor 出口节点、VPN 和数据中心的公开列表中。这些列表被复制到我们自己的服务器上,因此您的 IP 地址永远不会被发送给其他任何人进行检查。您的浏览器还会以取整后的数字统计注册和登录表单填写方式的几项粗略信息——大约用了多长时间、按了多少次键、粘贴了几次、是否使用了自动填充,以及打字节奏有多均匀。它从不记录您按了哪些键,也不记录您输入的任何内容。这些信息与注册后多快进行某项操作一起,构成一个风险分数。我们只保存加密后的分数和简短的原因代码,并在 30 天后删除。分数较高可能意味着需要额外验证、在几天内限制您进行这些操作的频率,或暂停这些操作直到有人审核该账户。使用 VPN 或 Tor 绝不会阻止您注册、登录或读取您的数据。

如果您发送版权通知:您的姓名和电子邮件地址(加密保存),以及您举报的链接、您对作品的描述和您确认的两项声明。我们绝不会把您的姓名或电子邮件告诉账户所有者。如果某份版权通知指向您的某个链接:是哪个链接、处理决定,以及您发送的任何反通知。您的反通知会转交给投诉人,但不包含您的姓名或用户名。请见版权政策。

如果您发送反馈或举报某个账户:您所写的内容、它涉及的页面或用户名,以及您选择提供的电子邮件地址(加密存储)。我们不会将您的 IP 地址与之一起存储。

您的数据用于运行您的账户:验证您的身份、保护您的会话安全、确认您达到持有账户的年龄要求、检测滥用行为,并向您发送与安全相关的通知,例如账户遭遇多次失败登录尝试的提醒。

我们会统计公开网站和注册页面的访问情况,以了解访客从哪里来、有多少人继续创建了账户,以及页面是否加载迅速、运行正常。在我们看到任何数字之前,每个计数都会加入随机统计噪声(一种称为差分隐私的技术),过小的计数会被舍弃,因此无法从我们查看的数据中辨认出任何一位访客。我们不会统计您在 LIECOSYS 应用内的操作。

我们对您数据的每一种使用都有其法律依据。

为您提供您注册的服务:您的账户、登录、存储、消息以及任何付费功能。我们需要这些数据才能按照我们的条款提供服务。

为保护账户和阻止滥用:安全日志、设备信号、风险评分和滥用检查。保障 LIECOSYS 及其用户的安全属于正当利益,我们只使用该目的所需的数据。您可以通过 privacy@liecosys.xyz 提出反对,我们会结合您的具体情况,权衡您的反对意见与安全方面的理由。

为履行法律义务:账单和税务记录,以及对具有约束力的法院命令的回应。

不含任何标识符的网站访问统计:基于了解网站是否正常运行的正当利益,并加入随机噪声,确保无法识别任何个人。

分析 Cookie 及其关联的数据:基于您的同意,您可以随时在“Cookie 偏好”中撤回。

我们绝不会以明文存储您的密码,绝不会持续存储精确位置信息,绝不会追踪您在 LIECOSYS 之外的一般浏览记录,也绝不会出售您的数据或与广告商共享——无论在哪个国家,无论在何种情况下都是如此。这也包括上文所述的设备与安全信号:我们收集这些信号是为了保护账户,而不是为了建立营销画像,任何外部方——无论是广告商、数据经纪商还是其他方——都绝不会获得对这些信号的访问权限。

任何政府或法律的用户数据请求,起点都是拒绝。没有任何请求会被自动批准、按既定政策批准,每一项请求都由专人亲自审核——不存在任何委托或自动化的批准途径,任何情况下都不例外。

只有一种情况我们会主动采取行动,无需任何人提出请求:如果某份举报显示存在儿童性虐待材料,或有儿童正面临紧迫危险,我们会亲自将该举报转交给儿童保护热线和警方。任何举报中的其他内容都绝不会被转交,并且每一起此类案件都会计入我们的透明度报告。

只有在请求的法律依据明确且经过核实后——即一份我们没有合法途径可以挑战的、有效且具有约束力的法院命令——请求才会被纳入考虑。即便如此,披露仍需针对该具体请求逐案进行个人签署批准,每次都是如此,绝不存在概括性授权。所披露的内容仅限于法院强制要求的最低限度。

每一项被执行的请求都会在我们的透明度报告中公开。这一标准不会因请求方国家而改变——无论请求来自美国、欧盟、中国还是其他任何地方,都适用完全相同的标准。

liecosys.xyz 和我们的账户页面只设置正常运行所需的 Cookie:一个用于保持登录状态,几个用于记住您的语言、主题和 Cookie 偏好等选择,还有一个只存在一分钟、用于在页面之间传递提示信息。只有在您同意的情况下,我们才会再添加一个:一个匿名的访问 ID,关闭浏览器后即失效。它会把同一次访问中的各个页面关联起来,并让您的浏览器上报页面速度和崩溃情况。它绝不会识别您的身份,绝不会跟踪您到其他网站,也绝不会被用来建立您的个人画像。拒绝后,除了网站正常运行所需的 Cookie 之外不会设置任何内容。您可以随时通过页脚中的“Cookie 偏好设置”链接更改此选择,撤回同意会删除该访问 ID。

这一选择在任何地方都以相同方式适用——LIECOSYS 不会仅在法律要求的地区征求同意,而在其他地区默认追踪。

您有权请求获取您的数据副本、更正数据,或删除您的账户。您可以随时通过 myaccount.liecosys.xyz 导出您的资料、恢复联系方式、会话记录、通行密钥和账户活动的副本,或永久删除您的账户——无需提交申请或等待。如需更正您的资料或恢复信息,请使用同一控制面板中的”资料”部分。已删除的账户会进入 30 天的恢复期,之后数据才会被永久删除;此后 90 天,您的用户名才会释放供他人使用。

自助导出功能目前尚不包含您的邮箱或组织成员数据——如果您在此期间需要获取其中任一项的副本,请发邮件至 privacy@liecosys.xyz。

如有任何关于您数据的请求(获取副本、更正、删除、了解我们服务商的名称,或提出问题),请发送邮件至 privacy@liecosys.xyz。我们会在 30 天内答复。

如果您认为我们处理您数据的方式有误,您可以向数据保护机构投诉,无论您身在哪个国家。您无需先联系我们。

注册 IP 和每次会话的 IP 地址将作为安全日志保留 90 天,随后删除。审计日志条目——登录尝试、令牌签发、资料变更、会话活动——将在活跃存储中保留 90 天,并在冷存储中最多保留 1 年,用于安全调查目的,此后删除。

您的邮箱——地址、邮件和邮件凭证——会随您的账户一起删除,遵循"您的权利"中所述的同一个 30 天恢复期。曾经开通过邮箱的地址,永远不会分配给其他账户。

行为风险分数及其原因代码以加密形式存储,并在 30 天后删除。

每次会话的设备与浏览器安全信号在会话有效期间保留,并在会话结束后再保留 90 天,随后移至加密冷存储,并在会话结束 1 年后删除。

网站分析数据:原始计数以及通过访问 ID 关联起来的页面会在 30 天内删除,通常在两天内。加入噪声后的每日数据保留 30 天,加入噪声后的月度总数保留 24 个月。

如果您的账户在一项正在进行的滥用调查中被标记,相关数据可能会在这些期限之后依法保留,直至调查结束。

付费功能的账单记录会根据税务和会计要求保留所需的时长,此后删除。

当一个电话号码离开您的账户时——无论是被移除、被替换,还是您的账户被删除——我们会将它的密钥指纹(绝不是号码本身)保留 12 个月,以防同一个号码被用来反复创建账户。之后它会被清除。

版权通知:发送人的姓名和电子邮件在通知结案 24 个月后删除,记录的其余部分在结案 36 个月后删除。

反馈和滥用举报:电子邮件地址在举报结案 12 个月后删除(反馈则在您发送 12 个月后删除),举报本身在 24 个月后删除。尚未处理完的举报会一直保留到处理完毕。

被举报的消息:举报一结案即删除。如果举报已被转交给儿童保护热线和警方,这些消息会在转交后保留 90 天,只有在警方书面要求时才会保留更久。举报本身的记录(谁举报了谁、何时举报以及处理结果,不含消息内容)在 24 个月后删除。

我们每次查看账户信息的记录保留 1 年。

我们的主数据库存放您的账户以及我们的服务为其保存的数据,托管在韩国。加密文件(例如来自 Drive 和 Photos 的文件)以及加密归档保存在我们的对象存储服务商处,该服务商可能将其存储在其他国家。您上传的文件会先在您的设备上加密,因此无论它们存放在哪里,我们都无法读取。

我们使用外部服务商完成以下工作,并列出每一家处理数据的地点:托管和数据库(韩国);加密文件的对象存储(可能在多个国家);为我们的网站提供服务并拦截机器人的边缘网络(全球,离您最近的节点);电子邮件发送(欧盟);支付处理(我们的记录商户,位于英国);短信发送(尚未上线);以及密钥管理(欧盟)。每一家都受合同约束,只能为运行其负责的那部分服务而处理数据。如需了解其中任何一家的名称,请发送邮件至 privacy@liecosys.xyz。

这些都与您居住在哪里无关。每个账户都以同样的方式存储和处理。

由于我们的服务商位于多个国家,您的数据可能会在您居住国以外的地方被处理。如果某个服务商所在的国家没有同等的数据保护法律,我们会依据要求其以同等标准保护您数据的合同条款,例如欧盟委员会的标准合同条款。无论您的数据流向何处,您所获得的保护都不会改变。

密码从不被存储——仅存储其强单向哈希值。数据在传输过程中经过加密。LIECOSYS 从上线之初就被设计为能够同时抵御经典计算攻击和未来的量子计算攻击,而不是事后才升级——因为今天被截获的数据,在量子计算机成熟之后仍然可能被解密。

其他用户永远无法接触到您的数据。您的消息、笔记、文件和照片都在您的设备上加密,所以连我们也无法读取——除非对话中的某人选择向我们举报某条消息,而且我们也只能看到他们发送的内容。除此之外,LIECOSYS 唯一能查看的是基本账户信息,而且只有在某个账户需要安全方面的帮助、处理滥用举报或法律请求时才会查看。每一次查看都会被记录。

安全密码、它的诱饵账户以及 Seal 保护的是您的数据,而不是您的人身安全。面对知道这些功能存在的人、检查您设备的人,或将您的账户与其他记录进行比对的人,它们无法奏效。服务条款说明了这对您意味着什么。

本页描述的是我们保护的内容以及我们的承诺,而非其背后的确切机制。这是有意为之——详见原因。

如果我们持有的个人数据因安全事件而泄露,我们会在确认后的 72 小时内,通过发送到恢复邮箱的电子邮件和 LIECOSYS 内的通知,告知每一个受影响的账户。通知会说明泄露了什么、我们采取了哪些措施,以及您应该怎么做。在法律要求的情况下,我们也会向数据保护机构报告该事件。这适用于每一次安全事件,而不仅仅是法律要求我们报告的那些。

您必须年满 13 周岁才能创建 LIECOSYS 账户。18 周岁以下用户的账户暂未开放:我们正在先为年轻用户构建保护措施。您的年龄由我们的服务器根据您注册时输入的出生日期核对,该出生日期不会被保留。

如果有迹象表明某个账户可能属于未满 18 周岁的人,该账户会在专人核实期间(72 小时内)获得为年轻用户提供的保护:只有已经是其联系人的人才能给它发消息或与它共享内容,而且它无法创建公开链接。在 Messages 对话中发出的举报会立即启动这一流程。其他任何举报都会先由专人查看,因此无法单凭一份举报就限制某人。如果账户持有人是成年人,这些保护会被解除。如果持有人未满 18 周岁,该账户会被暂停,直到面向年轻用户的账户开放。账户中的任何内容都不会被删除,我们会通过电子邮件告知持有人。

对于持有人在未满 18 周岁时创建的账户,未成年人保护会在其年满 18 周岁的当月结束,我们会发送电子邮件告知其成人设置已经开放。除非持有人自己更改,否则其隐私设置不会改变。

本政策具有版本控制。重大变更会在生效前以新的版本号公布,并会在您下次打开 LIECOSYS 产品时请您接受。