1. 我們是誰與適用範圍
本政策涵蓋 Revault 的網站、網頁應用程式，以及原生 iOS 和 Android 應用程式。「我們」指下方所列的營運者。Apple、Google、付款服務供應商，以及你選用的儲存服務，也會依各自的政策處理資訊。
Kehtra (Pty) Ltd10 The Bay, La Lucia, 4051, KZN, ZAsupport@revaults.app2. 免帳號的行動應用程式
如果你選擇傳送意見回饋、功能建議或錯誤回報，Revault 會收到你的訊息、其類別、你的平台、App 版本，以及你輸入的任何聯絡電子郵件。管理員可以讀取這些內容；它們不會以你的保險庫金鑰加密。系統不會自動附加任何保險庫內容、金鑰或安裝識別碼。意見回饋最多保留 180 天，除非提前刪除。每日加鹽的網路雜湊值用於限制濫用，並會在兩天後到期。
原生應用程式不需要 Revault 帳號、電子郵件地址、密碼或網頁登入。保險庫在裝置上建立並加密。僅在本機使用保險庫時，不會將你的檔案上傳到 Revault 的伺服器。
雲端同步為選用功能，新安裝時預設為關閉。iOS 直接連接到你私人的 iCloud CloudKit 資料庫。Android 在你授權存取後，直接連接到 Google Drive 的隱藏 appDataFolder。這些服務收到的是加密檔案、加密中繼資料 (metadata) 和包裝後的金鑰。你的保險庫解鎖圖形、裝置解鎖密語、原始主金鑰和復原密語都不會透過同步上傳。
Revault Cloud 是用於跨平台同步的選用 Pro 儲存服務。加密區段與加密檔案中繼資料會連結到匿名化的計費安裝。此服務可看到儲存識別碼、大小、檢查碼、修訂版本與傳輸活動，但不會收到未封裝的保險庫金鑰或復原詞組。另一組隨機連線碼負責授權儲存空間存取；連接其他裝置時也需要復原詞組。Pro 到期後，現有雲端資料仍可讀取以供復原。
Apple 或 Google 可能會將雲端活動與你的平台帳號關聯，並觀察到密文大小、識別碼、時間，以及其他營運中繼資料 (metadata)。Revault 不會收到你的 Apple 或 Google 密碼。關閉同步會保留本機保險庫，且不會自動刪除既有的雲端副本。原生 iCloud、Android Drive 和 Revault 的網頁雲端是各自獨立的儲存空間。
3. 網站與網頁帳號
網頁應用程式使用密碼金鑰 (passkey)。帳號與驗證紀錄包括產生的帳號識別碼、密碼金鑰公開金鑰和憑證識別碼、工作階段紀錄，以及 IP 位址和 user-agent 字串等安全資訊。我們使用這些資料來驗證請求、落實擁有權與限制、防止濫用，以及營運服務。你的密碼金鑰私密金鑰會保留在你的驗證器中。
網頁雲端儲存空間包含加密的保險庫紀錄、加密的檔案中繼資料 (metadata)、包裝後的加密金鑰，以及加密的檔案區段。服務端可以觀察到帳號關聯、物件識別碼、數量、大小、時間戳記、上傳狀態和分享設定。在沒有相應密語的情況下，通常無法解密保險庫內容。
網站使用必要的工作階段 Cookie、分頁工作階段狀態、用於設定與裝置密語的瀏覽器儲存空間，以及用於已快取密文和上傳佇列的 IndexedDB 或類似儲存空間。這些用於支援驗證、離線存取和可續傳的上傳。瀏覽器儲存空間可能被清除或回收；無痕瀏覽可能在私人工作階段結束時捨棄這些資料。
4. 加密、匯出與分享
加密會在雲端上傳之前於你的裝置上進行。Revault 在金鑰包裝和串流加密中使用 AES-256-GCM，搭配 PBKDF2-SHA-256 與 HKDF-SHA-256。完整設計與限制請參閱安全模型。
手機遷移會建立一個獨立加密的傳輸檔案，以及另一把傳輸金鑰。匯入時會驗證封包，並在接收裝置上建立全新的保險庫金鑰。來源保險庫會保留。不需要傳輸中繼站或 Revault 帳號。同時持有傳輸檔案和其金鑰的人，可以重複使用該副本；請在確認匯入後刪除兩者。
原生的檔案與保險庫快照分享，會建立一份使用全新金鑰和識別碼、獨立加密的副本。iOS 對 iOS 的分享可以使用私人的唯讀 CloudKit 邀請。涉及 Android 的分享，則使用 Revault 的伺服器儲存加密部分，直到寄件者選定的到期時間為止，最長 30 天。邀請與解密金鑰是分開的；金鑰絕不會上傳。伺服器看得到密文大小、檢查碼、時間戳記和雜湊後的存取權杖。每日加鹽的網路分組用於實施濫用限制。寄件者可以限制存取工作階段，並停用應用程式內匯出；這些控制無法防止螢幕截圖、被修改的用戶端或已保留的副本。撤銷會阻止之後的下載，但無法移除收件者已儲存的副本。
標籤會與檔案中繼資料 (metadata) 一起加密。行動版搜尋僅在已解鎖的保險庫內使用解密後的檔名和標籤；不會上傳任何搜尋索引或查詢。選用的照片與影片最佳化會在加密之前於你的裝置上執行。它只影響新匯入的副本，使用暫時的私人工作檔案，且不會動到來源檔案。最佳化設定和分享管理紀錄會依保險庫加密，並保留在這台裝置上。選用的每保險庫稽核紀錄預設為關閉，在本機加密，保留最近 500 筆互動，並可清除或停用。它們不會同步，也不含金鑰、解鎖圖形或檔案內容。啟用紀錄功能後建立的新受控分享，也會在分享服務上記錄最多 100 筆存取工作階段時間戳記，寄件者可透過其管理權限查看。停用本機紀錄只會影響之後的分享；既有分享的紀錄會保留，直到該分享被撤銷或到期並清理為止。
持有分享網頁連結的人，可以使用連結中的密語存取該檔案。服務端會儲存加密的分享副本，以及傳送它並落實其設定所需的營運資訊。任何擁有完整連結的人，都有可能開啟或複製該檔案。撤銷連結無法收回已下載的副本。
匯出的解密檔案、螢幕截圖、剪貼簿內容，以及在其他應用程式中開啟的檔案，都不在加密保險庫的保護範圍內。從瀏覽器個別上傳到 S3 相容儲存貯體的檔案，會以密文形式直接送到你選擇的儲存端點；該服務供應商會看到連線與物件中繼資料 (metadata)。儲存貯體憑證在你的裝置上處理，不會傳送到 Revault 的 API。
加密無法保護已解鎖的檔案免受遭入侵的裝置或惡意軟體的威脅。沒有任何系統能保證匿名性、可用性或鑑識層級的清除。Revault 尚未經過獨立安全稽核。
選用的入侵警示
如果你為行動版保險庫啟用入侵警示並授予相機權限，前景中的應用程式可能會使用前置鏡頭，拍下多次不相符的解鎖圖形嘗試。系統的相機指示燈仍會顯示。最近十張照片和嘗試紀錄會在本機為該保險庫加密，顯示在其稽核檢視中，並可在設定中清除或停用。它們不會被上傳、同步，或加入相簿。不相符的嘗試無法辨識是針對哪個保險庫。啟用此選項前，請考量使用你裝置的人的隱私。
5. 付款與選用分析
網頁付款使用 Polar。行動版購買（若有提供）使用 Apple 的 App Store 或 Google Play。付款服務供應商依各自的政策處理付款工具。Revault 不需要你的完整卡號即可驗證購買。
帳單紀錄可能包含產品與交易識別碼、購買權杖或已簽署的交易資料、訂閱狀態、幣別、金額、退款、時間戳記，以及化名的安裝或客戶識別碼。這些資料用於購買驗證、恢復權益、會計、防範詐欺和財務報告。行動版帳單的安裝識別碼不是 Revault 保險庫帳號，也不會授予你的原生雲端存取權。
網站和原生 App 預設都會啟用使用情況分析。Mixpanel 會收到列入允許清單的頁面、下載、新手引導、保險庫操作、匯入、分享、同步和購買事件，以及一組隨機的分析識別碼、平台、語言、App 版本和事件時間。不包含保險庫識別碼、內容、檔名、保險庫或資料夾名稱、標籤、圖形、金鑰、分享連結、密語、電子郵件地址或廣告識別碼。網站事件由伺服器端傳送；原生 App 則透過 Revault API 傳送事件。以 IP 為基礎的地理位置補充功能已停用。財務紀錄和另外取得同意的付費牆實驗則另行處理。
6. 服務供應商與資訊揭露
啟用時，Mixpanel 會處理使用情況分析。Cloudflare 提供網頁傳送、API 基礎架構和網頁物件儲存。所設定的資料庫服務保存網頁帳號、加密中繼資料和帳務紀錄。Polar、Apple 和 Google 會處理你所使用的付款或雲端功能。你所設定的儲存供應商，則會收到你傳送給它的上傳內容。
基礎架構供應商可能會在你所在國家以外的國家處理請求、IP 位址、記錄和營運中繼資料 (metadata)。其所在地和政策各不相同。必要時，我們會採用可行的合約與技術保障措施；加密並不會消除帳號或營運資料的國際傳輸考量。
為遵守有效的法律義務、調查濫用行為、保護使用者或維持服務，我們可能在必要時揭露所持有的資訊。這類揭露不可能包含我們並未持有的保險庫明文內容。如果你聯絡支援團隊，請只提供調查所需的資訊；絕不要傳送你的保險庫解鎖圖形、復原密語或私密加密金鑰。
服務供應商政策： Mixpanel · Cloudflare, Polar, Apple，以及 Google.
7. 保留與刪除
本機加密保險庫會保留，直到你刪除它們，或作業系統移除應用程式資料為止。在解除安裝或清除儲存空間之前，請將加密備份和復原金鑰另外保存。移除應用程式或瀏覽器資料時，綁定裝置的密語可能會遺失。
網頁帳號和加密的雲端資料會保留，用以提供你的帳號和儲存服務，直到被刪除或不再為此目的所需。上傳清理與刪除可能以非同步方式完成。基於安全、帳單、稽核、爭議及法律要求的紀錄，可能會因這些目的而保留較長時間；刪除保險庫並不會刪除付款紀錄。
選用的付費牆事件會依設定的期間保留（預設為 90 天）；撤回同意後，會移除該安裝所儲存的選用事件。這不會刪除法律或營運上必要的交易紀錄。
原生雲端同步在邏輯刪除之後，可能仍會保留加密的修訂歷程、備份，或其他裝置上的副本。「安全退出」會移除其他保險庫的本機存取權和快取資料，但不會清除它們的原生雲端副本。請透過應用程式及相關平台的儲存空間控制項管理雲端副本。我們無法代你刪除個人雲端帳號中的密文。
8. 你的選擇與隱私權利
你可以在 App 設定中關閉原生 App 的使用分析。這會停止產生新事件、清除本機分析識別碼，並取消待處理的原生傳送。已送出的事件不會被刪除；如需刪除，請聯絡我們。每個 App 安裝都有各自的偏好設定。瀏覽器的 Do Not Track 與 Global Privacy Control 訊號會停用網站分析。你可以在不同步的情況下使用原生保險庫、關閉同步、匯出備份、刪除本機保險庫，並管理瀏覽器儲存空間。無需帳號的使用方式，並不會阻止 Apple 或 Google 在你使用其雲端或購買服務時處理資訊。
視你所在的地區而定，你可能享有存取、更正、刪除、限制處理、反對處理或取得可攜式個人資訊副本的權利，也可以撤回同意，而不影響先前合法的處理。在適用的情況下，提供你所要求的服務是我們的契約依據；安全與防止濫用屬於正當利益；必要的財務紀錄符合法律義務；你可以透過上述選項控制使用情況分析。
請聯絡上方列出的營運者提出請求。我們可能需要對帳號擁有權進行適度的驗證。請勿提供保險庫密語作為證明。我們無法重建遺失的加密金鑰，也無法憑從未收到的名稱辨識僅存在本機的保險庫。你也可以向當地的資料保護主管機關提出申訴。
9. 兒童與政策更新
Revault 並非針對低於其所在地可獨立同意資料處理年齡的兒童。如果家長或監護人認為孩子提交了個人資訊，可以聯絡營運者。
當處理方式或功能變更時，我們會更新本頁面並修改上方的日期。如有重大變更，在可行的情況下，我們會透過適當的服務通知告知。需要同意的新增選用處理，不會僅因更新本政策而啟用。