隐私政策

局域网内容不会被存储

在同一网络下的设备之间传输文件或交换文本时，无需账号，Relayium 也不会存储内容。为帮助设备直接连接，信令服务会临时处理 IP 地址、房间成员、设备名、在线状态、能力信息及 WebRTC 协商等连接元数据。

账号会存储什么（仅在你登录时）

同一网络（局域网）内的会话无需账号。为浏览器或 CLI 跨网络会话创建配对码时，创建端必须登录；持码加入的一端无需账号。创建暂存下载链接同样需要登录。如果你登录，我们只存储运行账号所必需的最少信息：

• 你的邮箱地址和显示名。
• 你使用的登录方式（通过 Apple 登录、Google、邮箱魔法链接，或邮箱+密码）。魔法链接令牌只以哈希形式存储，绝不明文保存；如果你设置了密码，我们只存储其 bcrypt 哈希值，绝不存储密码本身。如果你使用「通过 Apple 登录」并选择 Apple 的私密邮件转发，我们只会看到该转发地址。
• 登录会话，保存在安全的 httpOnly cookie 中。
• 你注册的设备，以一个随机设备 id 和设备名（例如你的平台名称）的形式。对于已认证的 App、浏览器安装或 CLI，我们还只保留服务器最后一次有效观察到的公网 IP，作为仅账号本人可见的设备识别提示。新的有效观察会替换旧地址并启动独立计时；没有有效 IP 的请求不会延长该时间。地址会在 30 天后清除。另有一条短期设备授权记录，会在你决定是否批准登录时显示请求端 IP；管理员操作则把管理员 IP 写入安全审计记录（默认最长保留两年）。

暂存传输（下载链接）

使用可选的暂存下载链接功能时，文件在离开你的设备之前就已在本机以 AES-256-GCM 加密。所有能创建或打开这类链接的客户端都是如此：浏览器、命令行工具，以及我们的 macOS 与 iOS 原生 App，都在本地完成加解密，没有任何一方会上传服务器可读的内容。解密密钥仅存在于链接的 URL 片段（# 部分）中，绝不发送至服务器。这意味着：

• 服务器仅存储密文，无法读取你的文件内容、文件名或密钥。
• 我们记录密文大小和时间戳（上传时间、有效期）用于配额管理和清理。
• 密文在到期或首次完整下载（阅后即焚）时自动删除，以较早发生者为准。

我们无法读取的内容

以下内容不会以明文到达 Relayium 服务器，服务器也无法解密：

• 你的文件内容。
• 你的文件名。
• 你的实时文本消息正文。
• 你的加密密钥。

跨网络中继（TURN）

浏览器的跨网络文件与文本会话按设计使用 TURN。TURN 只承载端到端加密的密文和传输元数据。CLI 配对码会话（文件、文本和 pair）在服务器为该码签发中继时使用 TURN。两种会话的归属都取决于中继：Relayium 运营的中继节点上报计费用量时，为执行配额并防止滥用，我们把这些中继字节总量与时间戳归属到配对码创建端的账号，但不检查消息或文件明文。Relayium 的 coturn TURN 服务器配置为计费模式时，也可参与额度记账，但须通过认证、账号归属校验及记账接收：它们旧的用量采集已停用，可选的计量采集默认关闭。如果配置为影子模式，这项采集会记录按分配统计的测量值，随配对码创建端的账号保存，但从不写入计费账本、用量周期或任何配额。在已配置的计费模式和影子模式下，按分配保存的账号关联记录包括中继与分配标识、用户名哈希、回执序号与哈希、累计及已接收字节数、状态和时间戳，用于归属、对账及防止重复计量。这些记录在账号存续期间保留。账号被彻底清除时，会删除关联的用量账本记录，并把分配记录脱敏为防重放记录：保留中继与分配标识，清除账号关联、用户名哈希、流量计数和时间戳。实时文本要求双方同时在线；Relayium 不提供离线投递或服务器端消息历史，但任一端都可能复制或保留收到的内容。

用量计量与配额

有付费套餐，服务就必须统计每个账号用了多少。在你登录期间，我们会按账号持续记录你经由 Relayium 上传和下载的字节量、你的暂存链接当前占用的密文大小，以及中继上报、归属到你所创建配对码的计费中继字节总量。这些计数会在产生它们的那次传输结束后继续保留——我们按月以账号为单位保存累计值，同时保存上文说明的按分配计量记录——因为正是它们在执行你套餐所含的用量、存储与中继配额，也是我们计费与账户记录的依据。付费订阅按套餐收取固定价格，不是按字节计费。

• 会记录的包括字节量、暂存对象大小、测量发生的时间，以及上文说明的按分配计量元数据，并与你的账号关联。
• 不会记录的：你的文件内容、文件名与消息正文始终加密，我们无法读取。除账号用量计量外，我们还保存三项第一方、无标识符的跨网络配对月度聚合动作数：成功铸码、某个有效码首次接纳连接，以及首次变为两个已接纳端。每项聚合只包含 UTC 月份、上述三个固定阶段之一和非负整数计数，绝不包含标识符、事件明细、精确时间戳或内容元数据。
• 这三项产品交互总数是有界、尽力写入的动作数下界，不是独立用户数、同期群或精确转化率。页面上的比率只用同月动作总数相除，并不是同期群转化。我们的 App 与网站不含任何广告或第三方分析 SDK；这些聚合与账号用量计数都绝不会用于跨其他 App 或网站追踪你。
• 你随时可以在 App 或网页的账号页面查看与自己账号关联的用量。无标识符聚合只显示在管理员总览中；数据库不按账号保存这些聚合，也不含将其连接到账号的字段。

Cookie 与本地存储

我们使用一个会话 cookie 来保持你的登录状态。浏览器本地存储会保存：一个用于识别已注册设备的随机设备 id；启用本机历史时最近最多 20 条实时传输记录（文件名、大小、方向、对端名称和时间）；以及让你能在同一浏览器的「我的文件」中重新复制自己所建链接的解密密钥。这些本机历史和密钥材料都不会同步到服务器。历史面板可以清空记录或关闭记录功能；退出登录会同时清除传输历史和暂存链接密钥。清除本站的浏览器数据也会移除它们，此后遗失的下载链接密钥无法由我们恢复。我们不使用广告或追踪 cookie。

浏览器还会单独保存用于选择大文件更快路径的本机中继性能记录：最多 30 条，仅使用过去 24 小时内的记录；下次打开或使用这份历史时会删除过期记录。每条只包含加盐后的中继标识哈希、传输类型、粗略网络类别、分钟、量化后的速度和数据量区间，以及往返时间，不包含文件名、文件内容、对端标识或 IP 地址。这些记录独立于可选的传输历史面板，关闭该面板的记录功能或退出登录不会清除它们；清除本站浏览器数据会移除它们。派生的速度估计及其上界会通过信令与另一位参与者交换，以协商中继；本机保存的记录本身不会上传。

第三方服务

只有在你选择使用时，才会涉及少数第三方：

• Google——如果你用 Google 登录，我们会获取你的邮箱和基本资料以创建账号。
• Apple——如果你使用「通过 Apple 登录」，我们会获取一个稳定标识符，以及你选择分享的邮箱（或 Apple 的私密转发地址）。
• Stripe——我们在网页端订阅的支付处理方，详见「支付」。
• Apple——通过 Apple 的 App Store 购买订阅时的处理方，详见「支付」。
• 邮件发送服务商——用于发送账号邮件，如魔法链接登录与验证邮件。

支付

只有在你购买付费套餐时才会涉及支付数据。我们绝不接收或存储你的完整卡号。

• 在网页端，支付由 Stripe 处理。卡片信息提交给 Stripe，而非我们；我们只拿到一个客户标识和由此产生的订阅状态。
• 在原生 App 内，订阅是通过 Apple 的 App Store 购买的，而不是向我们购买。Apple 从你的 Apple ID 处理支付，我们绝不会看到你的支付方式。App 会把 Apple 签名的交易记录发给我们，我们保存其中关于这笔购买的内容：你购买的订阅商品、Apple 为该订阅分配的标识符，以及订阅状态、计费周期与续订或到期日期。我们还会生成一个随机令牌，把 App Store 购买与你的 Relayium 账号关联起来；App 在购买时把该令牌交给 Apple，它再随签名交易回到我们这里——两边的记录就此对上，而这一匹配过程不会额外引入任何指向你个人的标识符。
• 就你的账号而言，我们只存储你当前的套餐、订阅状态、计费周期、周期起止日期，以及支付服务商为该订阅提供的引用标识——绝不存储卡片数据。

Android、macOS 与 iOS 上的 Relayium App

我们的原生 App 会处理少量网站不涉及的设备级数据，而且各平台处理的数据并不相同。下面每一条都写明它描述的是哪个平台。

• 本设备在账号中显示或向对端公布的标签。Android 会读取厂商提供的 Build.MODEL 字符串（例如市场销售时的手机型号），并把它用于登录及附近/实时发现，因此它可能比笼统的「Android」更具体。在 macOS 上，App 会读取 Mac「共享」设置中的电脑名称并作为该标签——使用邮箱与密码登录时随请求发送，便于你在账号中区分各台设备并注销其中一台；在同一网络配对时，也会公布给同一房间内的其他设备。macOS 通常会以你的全名生成该名称，因此重命名这台 Mac 就会改变发送出去的内容。在 iOS 上，这个标签是通用的，绝不会是你自己起的名字：App 读取硬件型号后只发送设备族——「iPhone」「iPad」或「iPod touch」——除此之外别无内容，发送场合与上述两处相同。因此不会有任何个人姓名经由这条路径从 iPhone 或 iPad 到达我们。
• 安装标识符，仅限 macOS。它是 App 在那台 Mac 上生成的 32 字节随机值，保存在本机钥匙串中，通过浏览器登录时发送，使你重新登录后回到这台 Mac 已有的设备条目，而不是新增一条。它是随机的，绝不由硬件推导——不含序列号、MAC 地址或主机名——因此它只标识某一次安装，而不透露这台机器的任何信息。iOS App 没有需要接续的浏览器登录流程，因此不会生成这样的标识符：目前它既不向我们发送安装标识符，也不发送任何从设备本身读取的标识符。你账号设备列表中的随机设备 id 是我们为你的账号签发的（见上文），并非由你的手机推导而来。
• 本地 App 数据，以及这些 App 不做的事。在 Android 上，「设备收件箱」会把收到的文件和消息、本地历史记录，以及打开它们所需的私钥保存在 Relayium 的 App 私有存储中。删除一条历史记录会移除该设备上的本地条目；在 Android「设置 › 应用 › Relayium › 存储」中选择「清除数据」，或卸载 Relayium，会移除这些 App 私有副本和密钥。你明确另存到其他位置的副本不受影响。Relayium 会把这些 App 私有收件箱数据排除在 Android 云备份和设备间迁移之外。在 macOS 和 iOS 上，两个 App 都不注册推送令牌，也不接收推送通知：在 macOS 上，传输完成或收件箱有新投递，都由 macOS 在那台 Mac 本地提示，且这些横幅刻意不含文件名、链接或配对码；而 iOS App 根本不具备推送能力，也不会向 Apple 的推送服务注册任何东西。iOS App 申请摄像头只有一个用途——读取另一台设备正在显示的配对二维码，免得你手动输入加入码——而且这完全发生在你的设备上：画面及其中的配对码当场用于加入这次配对，摄像头看到的任何内容都不会被 App 保存，也不会作为摄像头数据发送给我们。macOS App 完全不申请摄像头权限；两个 Apple 平台的 App 也都没有你相册的访问权限：在 iOS 上选择要发送的照片时，是系统自带的选择器在 App 之外运行，只把你选中的项目交给 App。所有这些 App 都不会跨其他 App 或网站追踪你，也都不含广告或第三方分析 SDK。

数据保留与删除

账号数据会在账号存在期间保留，但设备 IP 适用上文更短的期限。你可以随时在账号设置中（网页或 App 内）删除你的账号及其数据。删除会进入 30 天宽限期，期间你可重新登录撤销；之后在线数据库中的账号及个人数据将被永久移除。因计费和防滥用而必须保留的汇总用量计数会被匿名化，不再与你关联。加密数据库备份仍可能保有较旧副本，直至其有界的备份轮转期结束；我们不会就地改写历史备份，而恢复出的备份必须先执行同样的删除与保留期清理，才能重新投入服务。

你的权利

你可以访问、更正、导出或删除你的账号数据，并可反对或限制某些处理。其中大部分你可以自行在账号设置中完成；其他事项请发邮件至 support@relayium.com。我们不出售你的个人数据。在适用 GDPR 或类似法律的情况下，我们处理这少量数据的依据是履行你所请求的服务，以及我们在保障其安全、防止滥用方面的合法利益。

儿童

Relayium 并非面向儿童。我们不会在知情的情况下收集 13 岁以下（或你所在地数字同意最低年龄以下）任何人的个人数据。如果你认为有儿童向我们提供了数据，请联系 support@relayium.com，我们会将其删除。

本政策的变更

随着服务演进，我们可能会更新本政策。届时我们会更新上方的「最后更新」日期。

联系我们

有隐私方面的疑问？请发邮件至 support@relayium.com。