隐私政策

本政策说明源钥 FountKey（以下简称「源钥」「我们」）在提供密码管理、凭据保管与相关服务时，如何收集、使用、存储、共享与保护你的个人信息，以及你可以如何行使权利。

本政策适用于源钥的网站、桌面客户端、移动客户端、浏览器扩展、命令行工具与企业管理后台。我们作为个人信息处理者，依据《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》以及《常见类型移动互联网应用程序必要个人信息范围规定》处理个人信息。

最重要的原则先说在前面：你的密码、Passkey 与保险库条目的明文内容不会被我们收集。我们收到的是经过你的主密码派生的密钥加密后的密文，以及为了让功能正常运行所必需的少量账户与设备元数据。

若你所在组织以组织管理员身份使用团队或企业计划，该组织可能作为独立的个人信息处理者决定其管理员可见信息的范围（例如成员列表、工作邮箱与审计日志）。这一部分由组织与源钥之间的企业协议约定，本政策中的其余条款仍然适用。

账户信息：邮箱地址、显示名称、账号创建时间、验证状态与账号标识符。邮箱地址用于登录、发送安全提醒与必要的服务通知；显示名称用于在团队功能中标识成员，你可以不填。

设备与同步信息：设备标识符、设备名称与类型（桌面、移动、浏览器扩展、命令行）、客户端版本号、最后同步时间、同步状态与密钥版本标识。我们使用这些信息完成端到端加密的密钥协商与增量同步，不用于广告跟踪。

加密数据：加密后的保险库条目、附件、标签与备注的密文，以及与之配套的加密元数据（例如条目数量、更新时间戳、用于校验完整性的认证标签）。这些数据以密文形式存储，我们无法解密。

安全与运行日志：登录时间与来源 IP 的粗粒度信息（默认按城市级模糊定位保存，用于异常登录提醒）、密钥派生失败次数、异常操作记录、崩溃堆栈与性能指标。这些日志默认保留 30 天，团队计划的组织管理员可查看自己范围内的审计事件。

我们不收集：密码明文、密码强度分析结果、你在浏览器中输入的网址历史与表单内容（自动填充仅在本地匹配，命中后才会在你主动触发的动作中填充）、通讯录、相册、位置信息（除非你主动使用与位置相关的功能）、以及用于广告定向的第三方追踪标识。

如果你选择主动填写反馈、提交工单或参与社区讨论，我们会收到你自愿提供的内容与你主动填写的联系方式，用于处理该次沟通，不会将其用于营销邮件。

端到端加密：保险库内容在你的设备本地以 AES-256-GCM 加密后才上传。每个条目使用独立随机 nonce（96 位）与独立认证标签，密文与认证标签一并存储，任何一位被篡改都会导致解密失败而不是返回被修改的内容。

密钥派生：主密码通过 Argon2id（版本号 19，内存代价默认 64 MiB、迭代 3 轮、并行度 4）派生出主密钥；为兼容旧版本，同时保留 PBKDF2-HMAC-SHA256（不少于 600,000 轮）的派生路径，二者均使用随机盐值。较新的客户端默认使用 Argon2id。

密钥分层：主密钥用于包裹（wrap）每台已授权设备的设备密钥，设备密钥用于加密该设备上同步的保险库数据。这样新增或撤销一台设备只需更新一次密钥包裹，无需重新加密全部条目，也便于在紧急情况下快速撤销。

传输与存储安全：客户端与服务器之间全程使用 TLS 1.3 传输加密；静态数据加密存储；生产环境的访问采用最小权限、双因素认证与操作审计。源钥员工无法读取你的保险库内容，也不存在后台「解密查看」入口。

客户端实现：核心加密逻辑以开源形式发布在仓库中，欢迎第三方复核。端侧代码在开源页面公布，便于安全研究者验证零知识声明。

源钥的设计原则是本地优先：解密、搜索、自动填充匹配、密码强度评估与泄露检测的比对都发生在你的设备上。服务器只负责保存密文、同步密文与分发已授权设备的密钥包裹。

泄露检测使用 k-匿名（k=5）方案：客户端只向查询服务发送密码候选值的前 5 位 SHA-1 哈希前缀，服务端返回所有具有相同前缀的候选集合，你的设备在本地完成完整哈希比对。这样服务端无法得知你在检查哪个具体密码，也无法反推出密码本身。

自动填充匹配在你设备上的加密索引中进行；即便你启用了「自动填充会向服务器发送域名以获取匹配规则」的选项，发送的也只是经过哈希处理的域名标识，且你可以随时关闭。

紧急访问功能由你主动开启并指定联系人，被保险库使用公钥加密一份恢复密钥分发给该联系人。等待期内你随时可以取消，恢复密钥不会以明文形式经过我们的服务器。

我们使用的 Cookie 与本地存储分为四类：严格必要、功能、统计与营销。严格必要的项用于会话保持、登录状态维持与 CSRF 防护，无法关闭；其余类别可由你在 Cookie 设置中随时关闭，关闭不影响核心功能。

功能类用于记住界面偏好，例如是否已阅读过某段引导、主题选择、以及是否已关闭帮助中心的浮层。这些内容保存在浏览器本地存储中，不用于识别你的真实身份。

统计类用于了解页面访问与功能使用情况，帮助我们发现页面错误与性能瓶颈。我们使用自托管、经过聚合处理的统计方案，不使用跨站追踪 Cookie。

营销类仅在源钥有明确的合作推广活动时才会出现，且仅在活动期间启用；我们会说明投放方、数据范围与到期时间。你可以通过浏览器设置或页面底部的「Cookie 设置」入口进行管理。

各类 Cookie 的具体名称、用途与有效期见《Cookie 政策》的对照表。

账户存续期间，保险库密文、同步元数据与设备密钥包裹会保留在你选择的同步节点上，以支持多设备访问。你删除单条条目时，对应密文在下次同步时从服务端移除；你删除整个账号时，服务端数据进入滚动清除流程。

删除账号后，加密数据分别在第 1 日、第 7 日与第 30 日被标记清除并从生产存储中移除；加密备份中的副本在备份轮转周期内（最长 30 日）失效。运行日志在 30 日后自动匿名化或删除；安全事件相关的日志在调查结束后 90 日内删除。

账户被暂停时，数据仍予保留，以便你在解除暂停后恢复访问；暂停超过 180 日的账号将被自动关闭并进入同样的清除流程。

法律与安全需要时，我们可能在必要范围内延长特定记录的保留期（例如配合依法进行的调查或处理争议），并在法律允许范围内告知你受影响的范围。

我们使用少量必要的第三方服务协助运行产品，并以书面数据处理协议约束其处理范围：Cloudflare R2 用于加密数据与附件的静态存储，Cloudflare 网络用于分发客户端与网站资源；支付服务商用于处理团队计划的订阅付款；邮件服务商用于发送登录验证与安全提醒。

这些受托处理者仅按我们指示处理数据，不得用于自身目的、不得转委托给第三方（经我们同意的除外）、不得超出约定地域留存。我们会定期审计其安全与合规状态。

我们不出售你的个人信息，也不出租或出借给数据经纪机构。除以下情形外，我们不会向第三方披露你的个人信息：获得你的单独同意；为履行法律法规规定的义务（如依法配合司法或行政机关的合法要求）；或为保护用户与公众的安全权益所必需。

若我们发生合并、重组或资产转让，你的个人信息可能随业务一并转移。转移前我们会以显著方式通知你，新的持有者将继续受本政策约束；若你不同意转移，可终止服务并导出数据。

依据《中华人民共和国个人信息保护法》，你对自己的个人信息享有查阅、复制、更正、删除、可携带（导出）以及撤回同意的权利。实际操作方式如下：查阅与复制可在账号设置中查看并导出加密数据；更正可随时修改条目与账户字段；删除可删除单条条目或注销整个账号。

个人信息处理规则的说明权：你可以要求我们解释处理规则的目的、方式、范围与保存期限。我们通过本文档与帮助中心说明，必要时会另行提供清单或表格。

撤回同意：我们基于同意处理的处理活动（例如发送非必要的邮件），撤回同意不影响撤回前基于同意已进行的处理。撤回的方式通常是点击邮件中的退订链接，或写信告知我们。

自动化决策：源钥不使用对你的个人信息进行自动化决策来产生对个人有重大影响的结论。密码强度评估与泄露检测属于为提供服务而必要的本地计算，不构成法律意义上的自动化决策。

请求处理时限：我们会在收到有效请求后 15 个工作日内答复；涉及个人信息主体权利的复杂请求，最长不超过 30 日并会说明原因。若请求涉及他人信息或与法定保存义务冲突，我们可能无法全部满足，并会说明限制。

源钥面向一般用户提供服务，但不面向未满 14 周岁的未成年人，且我们不会主动收集其个人信息。加密保险库涉及高敏感凭据，需要用户具备独立管理密钥与理解风险的能力。

若你是未满 14 周岁的儿童，请在监护人陪同下使用，并在监护人同意与指导下操作账号。若你是儿童的监护人并发现儿童未经同意向我们提供了个人信息，请通过下方邮箱与我们联系，我们会尽快核实并删除。

我们不会故意向未成年人定向推送营销内容，也不会基于他们的个人信息做商业化画像。

源钥的主要运营与数据处理环节位于中华人民共和国境内，包括存储服务、邮件投递与支付结算环节。默认情况下，我们不会将你的个人信息传输至境外。

若出于技术或业务需要使用境外服务（例如部分开源社区维护者所在的服务节点、或向境外申请安全审计），我们会在完成个人信息出境标准合同备案或通过安全评估后，按法规要求告知你境外接收方的名称、联系方式、处理目的与方式、种类以及你行使权利的方式。

如法律法规对跨境传输提出更严格要求，我们会在必要时调整服务方案，优先保障你的数据在境内处理。

我们采用行业通行的技术与管理措施保护你的信息：传输加密、静态加密、最小权限访问、双因素认证、密钥分层、变更审计与定期安全测试。我们每年至少委托第三方机构对核心加密实现进行一次安全审计，审计报告摘要随产品发布。

我们会持续监测异常登录、暴力破解密钥派生尝试与服务端异常访问告警。发现风险时，我们会先设法阻止影响，再按法律要求评估是否需要通知你与主管部门。

一旦发生可能影响你个人信息安全的个人信息安全事件，我们将按照《中华人民共和国个人信息保护法》及国家网信部门的规定，及时告知受影响个人、报告主管机关并采取补救措施。

本政策可能随产品与法律要求的变化而修订。涉及处理目的、信息类型、共享范围或保存期限等重大变化的，我们会在产品内公告与注册邮箱中提前通知，并在本政策顶部标注最后更新日期。

本政策以中文书写并以中文为准。若我们提供其它语言版本，仅供参考，不改变中文版本的效力。

隐私相关咨询、查阅复制、更正删除、可携带导出与撤回同意等请求，请写信至 [email protected]，并注明你的邮箱地址与请求类型。我们会核验请求人身份后处理，不会向无关第三方披露你的请求内容。

若你认为我们的处理行为侵害了你的权益，可先与我们协商；协商不成的，可向有管辖权的网信部门或人民法院寻求救济。