隐私政策

以下五句话就是本政策的实质内容。其后的一切都是细节、限定，以及对边界情形的坦白。

• 我们不会为任何目的，向任何第三方出售、出租、交换或以其他方式披露与您或您使用本服务有关的任何数据。
• 我们不检查、不记录、不分析您互联网流量的内容。
• 我们不将您的流量或由其派生的任何内容用于广告、画像、推荐或训练任何模型。
• 我们不运营、也不允许在我们的基础设施上出现任何广告网络、追踪像素、指纹识别技术或第三方分析服务。
• 我们只收集出售订阅并维持其运行所必需的最少信息，并按第 9 条的期限删除。

「不记录日志」这句话在业内被用出了太多种含义，已经不再传递任何信息。有服务商一边这样说，一边保留着连接元数据；至少有一家一边这样说，一边握有后来交给了调查机关的记录。所以我们不用这句话，改用清单。

以下内容我们一概不保存

• 浏览记录——您通过隧道访问的网站、页面、应用或服务。
• DNS 查询。我们隧道软件的 DNS 日志功能在出厂配置中即为关闭，并保持关闭。
• 连接访问日志。我们隧道软件的 access log 配置为 none，因此逐连接记录根本不会产生。
• 您流量的内容，无论加密与否，任何形式都不保存。
• 任何将某个订阅与其访问目的地相关联的记录——任何时刻、任何时长都不保存。
• 您的姓名、通信地址、出生日期或政府签发的身份证件。我们从不索取，您也不应发送给我们。
• 广告标识符、设备指纹、通讯录、照片、消息、日历、健康数据、生物识别信息，以及在后台采集的精确设备位置。

您的订阅记录

每个订阅我们保存一条记录，内容包括：订阅标识符及您或我们为其选定的名称；所属套餐与所用出口地区；启用或停用状态；到期日期；套餐若设有流量额度与同时在线设备数上限，则含该两项；企业客户用于整理席位的可选分组标签；以及该记录的创建与最后修改时间。

以上均不需要您的身份信息，我们也不会为其附加身份。

Telegram

购买、配置与支持都在我们的 Telegram 机器人中完成。因此我们会保存与机器人对话的 Telegram 用户标识符，用于把一段对话与一个订阅对应起来，以及您选择写给我们的内容。您的 Telegram 用户名、显示名称和头像对机器人可见，因为这是 Telegram 公开的；除回复您所需之外，我们不予保存。

流量计数

套餐设有流量额度时，我们的服务器会按订阅、按节点各保留两个累计字节数——上行一个、下行一个——以便执行额度，也便于您查看已用量。它们是总数，不是历史记录：只记录用了多少，从不记录访问了什么、去了哪里、在什么时候。每个计费周期清零，且不做归档。

同时在线设备数上限

套餐限制同时连接的设备数时，这个数就必须被数出来，而「数」意味着短暂地知道当前有多少个不同地址处于连接状态。我们的服务器从隧道软件的实时统计接口读取当前连接的来源地址——不是从访问日志读取，访问日志是关闭的——为每条观测记录一个时间戳以便计数，并在观测后三十分钟自动丢弃。

该观测从不与任何访问目的地相关联，从不写入日志文件，也不会存续超过这三十分钟。在不设设备数上限的套餐上，这一过程根本不会发生。

支付

我们不自行处理银行卡信息，从不查看也从不存储完整卡号。您以银行卡或本地支付方式付款时，由支付服务商完成交易，并只向我们返回一个确认、一个交易参考号和金额。您以稳定币付款时，我们保存收款地址与交易哈希——两者依其设计本就公开记载于区块链，我们无法删除，因为并非我们写上去的。

支持往来

您写信给我们时，我们在第 9 条允许的期限内保存您写的内容，以便第二条消息能结合第一条来理解。请不要向我们发送您不希望我们掌握的信息。

企业团队账户

当一家机构购买套餐并向其人员发放席位时，由该机构决定谁获得席位、席位如何命名。就数据保护而言，它是其团队成员的处理者（控制者），我们是受其指示行事的受托处理方。数据处理协议可依请求提供。团队成员若对本单位如何配置其席位有疑问，应向本单位提出；我们无法代其作答。

本网站不设置任何 Cookie，也不向 localStorage 或 sessionStorage 写入任何内容——没有偏好，没有标识符，没有计数器。此前它在那里只保存一样东西：您所选择的浅色或深色外观。现在页面只有一种外观，也就没有什么需要记住的了。当页面在 Telegram 内作为我们的小程序打开时，把启动参数放进 sessionStorage 的是 Telegram 自己的代码：我们只读取它们，它们从不会到达我们这里。本网站不加载分析工具、标签管理器、广告或社交像素、任何第三方主机上的字体或脚本，也没有同意横幅——因为没有任何东西需要您同意。这里没有「拒绝」的选项，原因和这里没有「同意」的选项完全相同。

普通的服务器记录

与互联网上的每一台服务器一样，承载本网站的机器和网络服务商必然会看到请求来自哪个地址，否则无法作出响应。我们不保存任何将访问者与其浏览页面相关联的应用层记录。基础设施层可能存在短暂的运行与安全记录；它们不被用于构建任何画像，也不与本政策中的任何其他内容相结合。

连接状态显示

页首的状态显示告诉您互联网当下认为您的连接来自何处——这正是一位访客来到 VPN 网站最想核实的一件事。为此，我们的服务器会根据请求所到达的公网地址推算出大致位置、网络运营商和网络类型。

结果按该地址被刻意截断后的形式缓存十五分钟——IPv4 取前 24 位，IPv6 取前 48 位——而绝不按地址本身缓存。这一截断正是整个设计的要点：以完整地址为键的缓存，就是一份「谁访问过本站」的日志，而那恰恰是我们拒绝拥有的东西。该功能背后没有数据库，也不向磁盘写入任何内容。

本页还能看到什么——并且都展示给您

打开状态显示时，浏览器内会运行一次简短检测，结果立即显示在屏幕上。之所以需要它，是因为出口地址并非全貌：HTTP 代理常常在请求头中转发您的原始地址却不告知您，而只转发网页流量、不转发 UDP 的代理会让您的真实地址对 WebRTC 一览无余。我们两者都查——因为我们能看到的，您访问的任何其他网站同样能看到。

具体是三件事。我们读取随请求到达的转发头，那是您自己的代理选择发给我们的数据。我们向 Cloudflare 运营的 STUN 服务器询问您浏览器的 UDP 路径看起来来自哪个公网地址；Cloudflare 本就终结您与本站的每一个连接，因此这一步不会让他们知道任何新东西。我们还读取您的浏览器向每个页面公布的时区和语言列表。全部不作记录，不与任何其他数据关联，每项结果都就地展示给您。

与您的设备比对（可选）

您可以让页面把上述结果与您设备自认的位置作比对。除非您按下按钮并授予浏览器自身的权限请求，否则不会发生任何事。您的精确坐标留在页面内，绝不外传。一份四舍五入到小数点后两位的副本——约 1.1 公里，足以说出一座城市，不足以说出一条街道——会被一次性发送到我们的服务器以查询地名，并在结果返回后立即丢弃。

我们是一家美国公司，表面上并不受欧洲《通用数据保护条例》管辖。我们仍然沿用它的语汇陈述法律依据，因为这是目前最清晰的一套说法，用来说明一家公司凭什么认为自己有权保存某项信息——也因为第 11 条把该条例赋予的权利给了所有人。

• 为提供您所购买的服务，包括激活、配置与维护您的订阅——履行我们与您之间的合同（GDPR 第 6(1)(b) 条）。
• 为执行套餐额度、维持网络运行并防止对共享基础设施的滥用——我们的正当利益，以及同一节点上每一位其他客户的正当利益（第 6(1)(f) 条）。
• 为在您联系我们时作出答复——履行合同，以及我们在支持客户方面的正当利益。
• 为收取款项并保存法律要求我们保存的会计与税务记录——合同与法定义务（第 6(1)(c) 条）。
• 为在网站上显示连接状态——我们的正当利益在于让访客能自行核实一个 VPN 网站所声称的内容。
• 为将该结果与您设备的位置作比对——您的同意，通过浏览器的权限请求作出，并可随时通过撤销该权限而收回（第 6(1)(a) 条）。

我们不进行会产生法律效果或类似重大影响的自动化决策，也不对您进行画像。

我们不使用任何 Cookie——既没有必要性 Cookie，也没有偏好性或分析性 Cookie。我们的客户端应用不含广告标识符，也不含第三方分析或归因代码。

加利福尼亚州法律要求我们说明如何响应浏览器的 Do Not Track 信号。我们的回答是：这样的信号没有东西可关。我们不会跨站点、跨时间地追踪您，无论在我们自己的站点还是在别人的站点上；因此 Do Not Track 或 Global Privacy Control 信号不会改变我们的任何行为，因为我们的行为本来就已经与这些信号所要求的一致。

我们刻意只依赖极少数外部方。它们都不会收到您的流量、浏览记录或由二者派生的任何内容——因为按照第 3 条，这些记录在我们这里根本不存在，无从转交。

• 主机与网络服务商，提供出口节点所运行的服务器与带宽。它们承载您的流量，与任何中转运营商无异，且无法读取：流量在您的设备与出口之间是加密的。
• 支付服务商与本地支付通道，处理银行卡与银行交易，并只向我们返回一个确认与一个交易参考号。以稳定币付款时根本不存在服务商，交易永久公开记载于相应区块链上，非任何人所能控制。
• Telegram Messenger Inc.，我们的机器人运行于其平台之上。您与 Telegram 之间的关系适用 Telegram 自己的隐私政策，而非本政策。
• 仅供网站连接状态显示使用的地理数据来源：ipwho.is 与 GeoJS；Cloudflare，它本就终结您与本站的连接，会在请求头中给出它对您所在国家的判断，其 STUN 服务器也负责回应上文所述的浏览器检测；RIPE NCC 的 RIPEstat 服务，以及由 IANA 与各区域互联网注册管理机构运营的 RDAP 注册库；以及在启用时使用的 MaxMind GeoLite2 数据库（在我们自己的服务器上查询，地址不会离开我们的基础设施）、ipinfo.io 和 ipregistry。它们各自只会收到被查询的那一个地址。
• OpenStreetMap 基金会的 Nominatim 服务，仅用于可选的设备比对，且收到的始终是已被四舍五入到约 1.1 公里的坐标。

我们也可能向负有保密义务的专业顾问披露信息，或在合并或出售业务时向收购方披露——在后一种情形下，收购方连同数据一并承接本政策，且我们会在转让生效前公开说明。

我们不会为广告、跨情境行为广告或任何类似目的，向任何第三方出售、共享或以其他方式提供个人信息。

• 订阅记录——在订阅有效期内保存，并在到期后最多保留 90 天，以便无需从头开始即可恢复。此后删除。
• 流量计数——每个计费周期清零，不做归档。
• 为同时在线设备数上限而观测到的来源地址——自观测起 30 分钟，随后自动丢弃。
• 网站连接状态缓存——15 分钟，且以截断后的网络前缀而非地址为键。
• 可选比对中来自设备的坐标——完全不保存。
• 支持往来——自对话中最后一条消息起最多 12 个月。
• 支付与会计记录——保存至适用税务与会计法律要求的期限届满，在美国通常为七年。这些记录由我们与支付服务商保存，我们无法应您的要求提前删除。
• 区块链交易——由网络而非我们记录，永久且公开。我们和您都无法抹去。

凡以「最多」表述期限的，一旦保存的理由消失，我们即提前删除。凡法律要求我们就特定法律主张或调查保全某项内容的，我们保存至该义务终止为止，不再延长。

我们是一家美国公司，本服务由位于若干国家的服务器提供——这是必然的，因为「位于另一国家的出口」正是产品本身。因此，您的订阅记录可能在美国以及您所使用节点所在的国家被处理。

无论在何处处理，适用的承诺完全相同。当我们在需要保障措施的情形下将个人数据传输至欧洲经济区、英国或瑞士以外时，我们依据欧盟委员会的标准合同条款或同等机制进行；您可按第 16 条的地址向我们索取相关条款的副本。

以下每一项权利，我们给予每一位用户，无论您住在哪里。不是因为我们所在的每个市场的法律都作此要求——多数并不要求——而是因为取决于您持哪本护照的权利，算不上权利。

• 知悉我们保存了关于您的哪些信息，并取得一份副本。
• 更正不准确的信息。
• 删除信息，唯一的限制是第 9 条中法律对我们施加的留存期限。
• 在对某项处理存在争议期间，限制该项处理。
• 以可携的、机器可读的格式取得您提供给我们的数据。
• 对我们基于正当利益进行的处理提出反对。
• 随时撤回同意，且不影响撤回前已进行的处理。
• 委托授权代理人代为提出请求，并且不因提出请求而受到任何差别对待。
• 若您身处欧洲经济区或英国，可向本国监管机构投诉。我们当然更希望您先来找我们，但选择权在您，我们不会设置障碍。

我们不出售或共享《加利福尼亚州消费者隐私法》所定义的个人信息，在此前的十二个月内也未曾如此。我们不会在明知的情况下出售或共享十六岁以下人士的个人信息。

有一点保留，而且对您有利

我们所保存的大部分内容，是刻意不与真实身份挂钩的。我们从未索取您的姓名，而一个订阅标识符并不能告诉我们您是谁。因此会有这样的情形：我们确实无法把一项请求与某个账户对应起来——一旦如此，我们可能无法执行该请求。

我们不会拿这一点当作方便的托辞。我们会直言无法定位该条记录，说明什么样的信息能让我们继续，并且绝不会要求超出该请求实际所需的身份证明。特别是，我们不会为了让您对一份根本没有身份关联的数据行使权利，而要求您向我们发送身份证件。

如需行使上述任何权利，请发送邮件至 [email protected]，或在机器人中留言。我们将在 30 天内答复；若需要更长时间，我们会告知并说明原因。

对于对我们确有管辖权的法院或机关签发的、有效且具有强制力的法律程序文书，我们会作出回应。我们不会因非正式请求、一封警方来函，或一个对我们并无管辖权的机关的要求而交出信息——无论其措辞多么正式。

我们能够提供的内容，以存在的内容为限。我们无法提供浏览记录、DNS 记录、连接日志或流量内容，因为我们没有，也从未有过。任何命令都无法强制交出一份从未产生的记录。这正是第 3 条如此撰写的原因，而它是一种比任何抗争承诺都强得多的保护。

对于过于宽泛、存在瑕疵，或我们认为不合法的程序文书，我们会提出异议，并且只作出有效命令实际要求的最小范围的回应。在法律允许的情况下，我们会在披露前通知受影响的用户；在被禁止立即通知的情况下，我们会在禁令失效后第一时间通知。

我们打算定期发布透明度报告，记录收到的请求数、配合的请求数，以及拒绝或提出异议的请求数。我们尚未发布过，因为本服务是新的，暂无可报之事；我们宁可直说，也不愿暗示一段并不存在的历史。

您的设备与我们出口节点之间的流量是加密的，我们无法读取。我们的服务器启用全盘加密。管理权限仅限确有需要的人员，受多因素认证保护并定期复核。凭据不在员工之间或系统之间共用。

若发生可能对您造成风险的安全事件，我们将不无故拖延地通知您及相关机关；在该标准适用于我们的情形下，无论如何将在知悉后 72 小时内通知。

没有绝对安全的系统，我们也不作此宣称。VPN 保护的是传输中的流量；它保护不了一台已被入侵的设备、一个重复使用了密码的账户，或一个您自愿以真实姓名登录的服务。

本服务不面向儿童，并且按照《服务条款》的要求，仅向年满 18 周岁者出售。我们不会在明知的情况下收集 13 周岁以下人士的个人信息。

若我们得知保存了 13 周岁以下儿童的信息，将予以删除。认为我们持有此类信息的家长或监护人，请联系 [email protected]，我们会迅速处理。

我们可能更新本政策——为说明新功能、更正内容，或因法律变化。文件顶部的日期即您正在阅读的版本的日期，也是当下生效的版本。

若某项变更实质性地削弱了此处所述的保护，我们会在其生效前在网站上和通过机器人显著说明，而不是改一改日期，指望没人去看。旧版本我们会留存，并可依请求提供。

• 隐私问题与权利请求 — [email protected]
• 法律通知与法律程序文书 — [email protected]
• 举报来自我们网络的滥用行为 — [email protected]
• 支持及其他一切 — 我们的 Telegram 机器人 @gaezo_bot

[OPERATING ENTITY]，[REGISTERED OFFICE ADDRESS], Wilmington, Delaware 19801, United States。

本政策以英文、俄文、中文、波斯文、阿拉伯文和缅甸文发布。具有约束力的是英文版本。其余版本旨在让您能以自己的语言阅读，如有任何不一致，以英文文本为准。