最近更新:
本译文仅为方便阅读而提供；如与英文版本不一致，以英文版本为准。
1. 适用范围与我们是谁
本隐私政策适用于 colitu.com 及其子域名（包括 docs.colitu.com）、适用于 Android、Windows、Linux（测试版）和 iOS 的 Colitu 应用，以及 Colitu VPN 服务（统称“本服务”）。本服务由在英格兰和威尔士注册的公司 COLITU LIMITED 运营，注册地址为 128 City Road, London EC1V 2NX, United Kingdom；COLITU LIMITED 是您个人数据的控制者。账户数据库运行在位于土耳其的一台服务器上；VPN 服务器分布在多个国家。本政策背后的技术细节见我们的安全白皮书；处理记录见数据处理政策。
2. VPN 服务器不会记录的内容
VPN 服务器不会记录：
- 您的流量内容；
- 您连接的网站、域名和 IP 地址；
- 您的 DNS 查询。我们的广告拦截 DNS 解析器已关闭查询日志和统计功能。应用默认使用公共解析器（Cloudflare、Google），这些解析器收到的查询来自 VPN 服务器的 IP 地址，而不是您的 IP 地址；
- 您的 IP 地址。它仅在内存中用于建立连接；
- 连接日志。
在 VPN 一侧，我们记录的只有每位用户在每台服务器上的流量数据量，以约 15 秒为一个时间窗口。这些记录用于配额和公平使用，保存 90 天；之后只保留每个计费周期的合计值。它们能显示某个账户何时处于活跃状态以及使用了多少数据，但无法显示流量去往何处。因此，Colitu 不承诺完全匿名。
3. 我们存储的数据及保存期限
此列表是完整的，与安全白皮书中的“日志与数据清单”一节一致。
| 数据 | 保存期限 | 用途 |
|---|---|---|
| 电子邮件地址、密码哈希（Argon2id）、语言、账户日期 | 直到账户被删除；删除时，邮件地址会被占位符替换，密码也将无法再使用 | 账户与登录 |
| 电子邮件验证码和密码重置码（地址、验证码哈希、IP 地址） | 7 天 | 验证电子邮件地址、重置密码 |
| 登录事件（IP 地址、国家、浏览器或应用） | 180 天 | 账户安全、防止滥用 |
| 注册时和最近一次登录时的 IP 地址与国家 | 注册：180 天。最近一次登录：若 180 天内没有登录，则会被清除 | 账户安全、区域性规则 |
| 因区域性规则被拒绝的注册与登录（IP 地址、国家） | 90 天 | 执行区域性规则 |
| 网页会话（IP 地址、国家、浏览器、登录方式） | 会话结束（退出登录、过期或被撤销）30 天后删除 | 登录、账户页面上的会话列表 |
| 应用登录令牌（仅以哈希形式存储，与某台设备绑定） | 过期或被撤销 30 天后删除 | 保持应用处于登录状态 |
| 两步验证（加密的验证器密钥、一次性恢复码的哈希、有效期 5 分钟的登录步骤） | 密钥和恢复码保留到您关闭该功能或账户被删除为止；登录步骤在过期 1 天后删除 | 账户安全 |
| 通行密钥（公钥、凭据 ID、您设定的名称、签名计数器、创建日期和最近使用日期；私钥和任何生物特征数据从不离开您的设备；有效期 5 分钟的一次性验证请求） | 直到您移除该通行密钥或账户被删除；验证请求在 5 分钟后过期并被删除 | 无密码登录与账户安全 |
| VPN 连接凭据（每台服务器一份，与某台设备或某个订阅链接绑定的随机密钥） | 设备或链接使用期间保留；被移除或替换 30 天后删除 | VPN 访问 |
| 订阅链接（您设定的名称、创建日期、最近使用日期和到期日期、“可能被共享”标记；链接本身仅以哈希形式存储）。使用链接的 IP 地址不会被存储；只保留每条链接每天使用过的不同网络数量的匿名近似计数，保留 48 小时 | 直到您撤销链接或删除账户（过期的链接会自动撤销）；网络数量计数在 48 小时后自动删除 | 每台设备一条链接，以及共享链接警告 |
| 电视登录请求（设备名称、IP 地址、国家） | 有效期 10 分钟的验证码过期 1 天后删除 | 二维码登录 |
| 设备（名称、平台、应用和操作系统版本、最近的 IP 地址和国家、硬件标识符的带密钥哈希） | 设备在账户中期间保留。已移除设备的名称、IP 地址、国家和硬件哈希在 30 天后清除；180 天未出现的设备的 IP 地址和国家会被清除 | 设备数量上限、账户安全 |
| 被拒绝的设备添加与试用尝试（IP 地址、设备详情） | 180 天 | 设备数量上限、防止滥用 |
| 免费套餐与试用的滥用检查（电子邮件地址、硬件 ID 和网络的 HMAC-SHA256 带密钥哈希；密钥不存放在数据库中） | 网络：30 天。电子邮件和硬件 ID：账户存在期间，以及账户删除后的 180 天。此项更改之前写入的无密钥 SHA-256 哈希最迟在写入 180 天后删除 | 防止重复创建免费账户 |
| 试用促销码的滥用检查（规范化后的电子邮件地址、设备硬件 ID 和网络——IPv4 /32 与 /24 或 IPv6 /64 与 /48——的 HMAC-SHA256 带密钥哈希；密钥不存放在数据库中） | 网络：35 天。电子邮件和硬件 ID：365 天，账户删除后同样保留 | 每人只能使用一个试用码 |
| 从原有服务迁移的请求（Telegram ID 和名称、备注、IP 地址） | 最后一次变更 30 天后删除。已批准的请求只保留 Telegram ID 的带密钥哈希，保留 2 年 | 迁移旧订阅；防止同一订阅被迁移两次 |
| 每位用户在每台服务器上的流量数据量（以约 15 秒为一个时间窗口） | 90 天；之后只保留每个计费周期的合计值（随账户一同删除） | 配额、公平使用、容量规划；每日汇总的产品统计（仅为数字，无法关联到个人） |
| 注册来源标签（例如“github”、“app:android”），来自网站入口链接中的 utm/ref 标签、引导您来的网站名称（例如 github.com）或应用；不存储 cookie、跟踪像素或网址。首次 VPN 连接的时间。 | 随账户一同删除 | 以汇总方式衡量哪些渠道带来真实用户，以及首次连接需要多长时间 |
| 您的邀请码；通过邀请链接开通的账户与邀请人账户之间的关联、邀请状态（待定、已获得、无效及原因）以及已赠送的 Premium 天数。邀请人永远看不到被邀请人的姓名或电子邮件。 | 任一账户被删除时删除 | 发放邀请奖励；防止滥用（相同的 IP 地址或设备、一次性电子邮件）；以汇总方式衡量通过邀请产生的注册 |
| 应用的匿名使用统计：连接结果和失败类型、连接与恢复耗时（以区间计数表示）、意外断开、Adaptive Connect 的协议切换、测得的到服务器的延迟以及自动模式的服务器选择、所用功能和断网保护（kill switch）状态；当前所用网络的类型，以及该网络的国家和互联网服务提供商编号（ASN）（来自 VPN 关闭时收到的签名标签）。服务器只保存按日合计的数据，其中网络（国家 + ASN）和服务器分别存放在不同的表中；不存储账户、设备、IP 地址或所访问的网站。可在应用设置中关闭。 | 合计值无限期保留（无法关联到个人） | 衡量并改进连接质量、Adaptive Connect 和功能使用情况 |
| 您对应用内问卷的回答：推荐评分（0–10）、如果没有 Colitu 您会有何感受、您未续订 Premium 的原因、可选的评论和平台；您关闭的问卷（30 天内最多询问一次问卷） | 账户被删除时，与账户的关联和评论会被移除；只保留匿名评分 | 以汇总方式衡量满意度（NPS）、产品与市场的契合度以及离开的原因 |
| 您对已解决的支持会话给出的 1–5 分评分和可选评论；该会话首次回复和解决的时间 | 随支持会话一同删除 | 以汇总方式衡量支持质量（满意度、响应和解决时间） |
| 某台设备在哪台服务器上哪些传输协议可用以及速度如何（不含 IP 地址） | 每次报告都会覆盖 | 优先尝试可用的传输协议 |
| 套餐、付款和订单（金额、支付方式类型、服务商的交易 ID、服务商的通知） | 在会计和税法要求的期限内保留，账户删除后同样保留；该期限届满后的自动删除尚未实现 | 计费、退款、法定义务 |
| 支持会话及附件，包括应用附上的应用日志（地址和机密信息已屏蔽） | 已关闭的会话：最后一条消息 2 年后删除 | 支持、处理投诉 |
| Colitu Bot 对话（文本、IP 地址、“是否有帮助”反馈） | 180 天 | 回答问题 |
| 电子邮件投递记录（收件人地址、邮件类型） | 90 天 | 解决投递问题 |
| 新闻邮件订阅（电子邮件地址、语言、确认时间）；仅在您通过邮件中的链接确认后 | 直到您退订；未确认的注册在 7 天后删除 | 公告、发布说明和优惠邮件（经您同意） |
| 网站和 API 访问日志（IP 地址、请求的地址、浏览器） | 14 天 | 运行和保护本服务 |
| 我们网站上的 DNS 泄漏测试 | 仅在内存中，10 分钟 | 显示测试结果 |
| 审计日志（管理员操作，以及部分账户操作，例如按账户 ID 记录的账户删除） | 无限期；删除账户时您可选填的原因：180 天 | 操作的问责 |
支付记录只会为购买付费套餐的客户产生。银行卡号、CVV 码、银行账户信息和加密货币钱包密钥绝不会到达 Colitu；它们只在支付服务商的页面上输入。
4. 账户删除、备份与尚存的不足
过期记录由每小时运行一次的自动任务按第 3 条中的期限删除。我们坦率说明目前尚存的不足；修复计划列在我们的路线图中：
- 套餐、支付和订单记录以及审计日志目前还没有自动删除。
- 数据库备份使用 age 以公钥加密，因此创建备份只需要该公钥。与之对应的解密密钥目前仍与数据库存放在同一台服务器上。备份 35 天后自动删除的机制正在引入；在其生效之前，较早的备份可能会把您已删除的数据保留更长时间。
您可以在网站的账户设置中自行删除账户。删除会立即生效：
立即删除： 您的电子邮件地址（以占位符替换）和密码；两步验证密钥和恢复码；通行密钥（公钥和名称）；账户记录中的 IP 地址、国家、注册来源标签、首次连接时间和管理员备注；登录事件；网页会话、应用令牌和订阅链接；VPN 连接凭据；设备名称、密钥、IP 地址、国家和硬件哈希；被拒绝的设备添加与试用尝试；验证码和重置码；邮件投递记录；Colitu Bot 对话；电视登录请求；迁移请求；各周期的流量合计、服务器和传输协议偏好、传输协议报告；免费套餐成员资格、待使用的促销码、邀请码和邀请记录，以及账户封禁。问卷回答会与账户分离，仅作为不含评论的匿名评分保留。
保留及原因：
- 套餐、付款和订单记录：在会计和税法要求的期限内保留（这些记录所引用的、已清空的账户记录和设备行——ID、日期、平台、应用版本——也随之保留）。
- 滥用检查的带密钥哈希：电子邮件和硬件 ID 保留 180 天，网络保留 30 天，因此已删除的账户无法立即再次领取新的免费套餐。
- 流量数据量记录：写入 90 天后删除。
- 支持会话：未关闭的会被关闭；最后一条消息 2 年后删除（用于投诉和争议）。
- 审计日志条目（按账户 ID 记录，例如删除操作本身）：无限期保留；可选填的删除原因保留 180 天。已获批准的迁移的 Telegram ID 哈希：2 年。删除确认邮件的投递记录：90 天。
备份： 删除之前创建的加密数据库备份会保留这些数据，直到这些备份被删除。备份 35 天后自动删除的机制正在引入；在其生效之前，较早的备份可能会保留更长时间。
如果您希望在法律允许的范围内更早清除剩余记录，请写信至 privacy@colitu.com。
5. 法律依据
我们处理数据的依据包括：订立并履行与您的合同（账户、VPN 访问、计费）、我们的合法利益（本服务的安全、防止滥用和欺诈、改进本服务）、履行法律义务（会计记录），以及在需要时取得您的同意。新闻邮件仅在您同意后发送：在您通过邮件中的链接确认之前，您不会被订阅；每封新闻邮件都带有一键退订链接；退订后，您的地址会从列表中删除。
6. 应用、遥测与 VPN 之外的流量
- Colitu 应用（Android、iOS、Windows、Linux）均不包含分析、广告或崩溃报告库；iOS 应用自 5.4.1 版本起就不再包含这类库。
- Colitu 应用和浏览器扩展可能会发送匿名使用统计，您可以在设置中关闭（在 Firefox 扩展中，该功能在您开启之前保持关闭）：仅包含连接成功率、耗时和所用功能等数字。服务器按日期、平台和版本保存合计值；不会发送或存储账户、设备、IP 地址或所访问的网站。这不是第三方分析库。连接结果和 Adaptive Connect 事件也以同样的匿名方式收集，其中网络（国家和互联网服务提供商）与服务器分别存放在不同的表中。详情见：匿名使用统计。
- 所有应用都会与设备绑定，向 Colitu 报告哪些传输协议在哪台服务器上可用以及速度如何，以便优先尝试可用的传输协议。
- 当您提交支持请求时，应用会附上最近的应用日志，其中的地址和机密信息已被屏蔽。
VPN 之外的区域性网站。 部分区域性网站（内置列表中的域名和 IP 段）会在隧道之外直接打开，以便拒绝境外 IP 地址的服务仍能正常使用；其中一些服务会拒绝来自境外 IP 地址的连接。当您连接到该区域的服务器时，此规则不适用。Android、Windows 和 iOS 应用默认这样做。对于这部分流量，网站和您的互联网服务提供商能看到您的真实 IP 地址。在 Windows、Android 和 iOS 应用中，您可以通过隐私模式关闭此规则。Linux 应用不适用此规则。
应用还会在隧道之外向服务器发送更新检查、更新下载和延迟测量；Windows 应用通过 Cloudflare 或 Google 的 DNS-over-HTTPS 解析服务器主机名。在默认代理模式下，Windows 和 Linux 应用不覆盖忽略系统代理的应用、系统 DNS 解析器、浏览器 UDP 流量（QUIC/WebRTC）和 IPv6；TUN 模式则可覆盖这些流量。详情见：安全白皮书。
7. 与第三方共享
我们不会出售您的数据，也不会为广告目的共享数据。以下各方会收到数据：
| 接收方 | 接收的数据 |
|---|---|
| 支付服务商（仅限购买了付费套餐的客户） | 订单号、金额、币种、套餐说明和支付方式。银行卡或银行信息在服务商的页面上输入。我们不会发送您的电子邮件地址或 IP 地址。 |
| Resend（电子邮件） | 您的电子邮件地址以及账户邮件的内容（验证码、收据）。 |
| Brevo（邮件中继） | 从我们的支持邮箱发出的回复，包括收件人地址和回复正文。 |
| DeepSeek（Colitu Bot） | 您的问题以及与机器人对话的最后几条消息。不会发送账户信息，但您输入的任何内容都会被传递。 |
| Cloudflare | 托管我们的 DNS 记录，并为 docs.colitu.com 提供代理（因此能看到文档站访客的 IP 地址和请求）。它还提供应用中的默认 DNS 解析器，并且是两台 VPN 服务器上一小组固定域名的出口，在这种情况下它看到的元数据与 VPN 服务器所见相同。 |
| 托管服务提供商 | 运行我们的服务器并拥有对服务器的技术访问权限；服务器磁盘未加密。 |
收到具有法律约束力的请求时，我们只能提供我们持有的数据，即第 3 条所列的数据。我们不持有流量内容或浏览历史。流量数据量记录可能会显示某个账户何时在某台服务器上处于活跃状态。
8. 国际传输
账户数据库位于土耳其的一台服务器上。VPN 服务器位于服务器页面所示的国家，上述服务提供商可能在其他国家处理数据。数据在传输过程中经过加密，对我们服务器的访问仅限于 Colitu 团队。
9. 安全
- 密码使用 Argon2id 进行哈希；绝不以明文存储。
- 在您注册或设置新密码时，我们会检查该密码是否出现在已知的数据泄露事件中：只会向 Have I Been Pwned（Pwned Passwords）发送密码 SHA-1 哈希的前 5 个字符；密码本身、完整哈希、您的电子邮件地址和 IP 地址都不会被发送。使用临时（一次性）电子邮件地址的注册会被拒绝；该检查在我们的服务器上依据公开的域名列表进行，不会向外发送任何个人数据。
- 网站和 API 连接使用 TLS；控制平面与 VPN 服务器之间使用双向 TLS。
- 支付、电子邮件和 AI 服务商的凭据在数据库中使用 AES-256-GCM 加密。VPN 连接凭据和服务器密钥目前在数据库中未加密存储；已计划对其加密。
- 管理面板位于独立的地址，采用基于角色的权限和审计日志。管理员账户必须启用两步验证（TOTP）。
- 滥用检查只存储以服务器机密为密钥生成的 HMAC-SHA256 哈希，该机密不存放在数据库中。
- 服务器磁盘未加密，目前尚未进行独立的安全审计。
完整细节：安全白皮书。
10. 您的权利
您有权访问您的个人数据，要求更正或删除，反对处理，并以可移植的格式获取副本。目前尚无自助数据导出功能；我们会人工处理这些请求。请使用您账户的电子邮件地址写信至 privacy@colitu.com，以便我们核实您的身份；您也可以使用应用中的支持板块。我们会在 30 天内答复。您可以自行删除账户（第 4 条）。
11. 儿童
本服务不面向 16 岁以下的人士。如果我们发现自己在处理该年龄以下人士的数据，我们会删除相应的账户和数据。
12. Cookie
本网站仅使用登录、安全和语言选择所需的 cookie，以及用于 Colitu Bot 等功能的少量浏览器存储项；在 docs.colitu.com 上，Cloudflare 可能会设置安全 cookie。我们不使用广告或跟踪 cookie。详情见：Cookie 政策。
13. 变更
我们可能会更新本政策。重大变更会在生效之前通过网站或电子邮件告知。当前版本始终发布在本页面。
14. 联系方式
隐私问题：privacy@colitu.com。安全报告：security@colitu.com
有疑问？请写信至 support@colitu.com。