法律條款
私隱政策
我們不記錄你的瀏覽內容、DNS 查詢與流量目的地。這份政策逐項說明我們實際收集哪些欄位、為甚麼收集、保留多久、與誰分享，以及你如何行使權利。
1. 適用範圍與責任主體
本政策由 TP VPN LLC（註冊地址：注册地址待填，下稱「我們」）發佈，適用於 tpvpn.com 官網、TP VPN 流動與桌面客戶端，以及由客戶端連線的 VPN 節點網絡（合稱「服務」）。
就歐盟《通用數據保障條例》（GDPR）及英國 GDPR 而言，我們是上述處理活動的資料控制者。歐盟/英國代表（如適用）：DPO 或欧盟代表待填。
2. 我們不收集甚麼（no-log 的工程定義）
「不記錄日誌」是個被用濫的詞。我們把它寫成可核對的工程紅線 —— 下面這些欄位在我們的資料庫 schema 裏根本不存在，因此不可能被查詢、匯出或交出：
- 瀏覽內容與存取記錄 —— 你打開了哪些網站、App 或頁面，我們不收集、不推斷、不保留。
- DNS 查詢 —— 我們不記錄你解析過哪些域名。
- 隧道內的目的地址 —— 目標 IP、域名、TLS SNI 一律不收集。節點只做加密轉發，不做內容檢查（無 DPI）。
- 客戶端真實 IP 原文 —— 不寫入任何資料表。詳見下一節。
- 通訊錄、短訊、相簿、精確定位 —— 客戶端不申請這些系統權限，也就無從收集。
- 為廣告或分析目的建立的用戶剖析檔案 —— 我們不做廣告業務，不向廣告網絡提供任何資料。
clientIp、dstAddr 之類的欄位，構建會直接失敗。政策與資料模型不允許漂移。3. 關於你的 IP 地址
建立連線時，網絡協議本身必然要把你的 IP 送達我們的接入伺服器 —— 任何服務供應商聲稱「從未見過你的 IP」都是不誠實的。我們能承諾的是它之後發生了甚麼：
- 接入時，你的 IP 僅在記憶體中被解析為國家與城市（GeoIP 查表）。
- 解析結果
entryCountry/entryCity寫入工作階段記錄，用於路由選擇、容量規劃和你在 App 裏看到的「當前入口」。 - IP 原文隨請求處理結束一併丟棄，不寫入資料庫、不進日誌檔案、不進備份。
兩點必須講清楚，以免這段被讀成比事實更強的承諾：
- 邊緣設施在傳輸過程中會短暫處理 IP。 完成 TLS 握手、路由數據封包、抵禦 DDoS 都必須用到它。這些是瞬時的傳輸處理，不產生與你帳號關聯的持久記錄。
- 登入與 API 速率限制會用到短時計數。 為了防止撞庫和暴力破解，我們在記憶體中維持有效期以分鐘計的計數器；它不寫入資料庫，也不與你的帳號檔案關聯，窗口結束即消失。
4. 我們實際收集哪些資料
下表逐項列出我們持有的資料。它與我們的資料模型一一對應 —— 沒有列出的欄位，就是我們沒有的。
| 類別 | 具體資料項 | 為甚麼需要 |
|---|---|---|
| 帳號身份 | 身份服務供應商簽發的用戶識別碼（Privy DID）；你的 @handle 與顯示名稱；你的電郵地址（若你以電郵登入或留了聯絡電郵）；其餘登入方式的經遮蔽的識別資料（錢包地址前後若干位、Telegram 用戶名稱等）；註冊國家；帳號狀態 | 識別你的帳號、恢復存取、發送帳單與安全通知、把訂閱權益關聯到正確的人 |
| 裝置 | 裝置名稱、平台（iOS/Android/Windows/macOS/Linux）、機型、系統版本、App 版本、你的 WireGuard 公鑰、最後活躍時間 | 派發隧道配置、執行套餐的裝置數上限、讓你在 App 裏管理與移除裝置 |
| 工作階段與連線 | 開始/結束時間、所連節點、協議、上下行位元組總量、握手延遲、入口國家與城市、出口國家；連線/斷線/驗證失敗/被強制斷線事件 | 顯示連線狀態、執行公平使用閾值、故障排除、節點容量規劃 |
| 流量計量 | 按小時彙總的上下行位元組數（按帳號、節點、協議維度） | 公平使用閾值核算與容量規劃。只有位元組數，沒有任何目的地資訊 |
| 訂單與支付 | 訂單編號、套餐、金額與貨幣、付款通道、通道方交易參考編號、支付與退款狀態 | 完成交易、開通權益、處理退款、履行稅務與會計上的法定保存義務 |
| 推薦與推廣 | 邀請關係（誰邀請了誰）、發放的獎勵天數與狀態；你使用過的折扣碼或兌換碼 | 發放推薦獎勵、核銷優惠、防止騙取獎勵。只記錄帳號之間的邀請關係，不記錄你從哪個頁面點進來、也不做跨站追蹤 |
| 支援工單 | 工單主題、分類、往來訊息，以及你在工單中主動提供的任何內容 | 回答你的問題。請不要在工單裏貼上密碼、私鑰或助記詞 |
| 風險與濫用 | 風險事件類型（如異常多裝置、拒付、撞庫、流量濫用）、評分、證據摘要 | 保護帳號與網絡。證據摘要只含元數據與第三方投訴內容，不含你的流量內容或目的地 |
| 後台操作審計 | 我們員工的操作記錄：管理員識別碼、動作、對象、變更前後快照、員工端 IP | 內部問責。這是對我們自己的約束 —— 任何員工查看或改動你的帳號都會留痕，且記錄只增不改不刪 |
關於你的加密密鑰
WireGuard 密鑰對在你的裝置本地生成。私鑰永不離開裝置，我們從未持有過它；上載給我們的只有公鑰。你可以隨時在 App 內一鍵重設密鑰。
官網的 Cookie 與本地儲存
tpvpn.com 不使用廣告 Cookie，不接入任何跨站追蹤腳本或第三方分析 SDK。本站在你的瀏覽器裏存放的全部內容如下 —— 這張表是完整無遺的：
| 名稱 | 類型 | 內容 | 存活時間 | 是否發送給我們 |
|---|---|---|---|---|
tpvpn.lang | Cookie（第一方） | 您手動選擇的介面語言（en / zh / zh-hk / es / hi），僅在您切換語言後寫入 | 1 年 | 是——隨請求自動發送，僅用於按所選語言顯示頁面 |
tpvpn.theme | 本地儲存 | 深淺色主題偏好 | 直到你清除瀏覽器資料 | 否 |
tpvpn.session | 本地儲存 | 你登入後的工作階段權杖 | 直到你登出或清除瀏覽器資料 | 是 —— 僅在你已登入時，隨你自己發起的請求發送，用於證明「這是你」 |
tpvpn_ref / tpvpn.ref | Cookie（第一方）+ 本地儲存 | 邀請人的公開 @handle 與寫入時間。只有一個公開用戶名稱，不含任何身份資料 | 30 天，或下單完成後立即清除 | 是 —— Cookie 會隨對本站的請求自動發送，用於把這筆訂單的推薦獎勵記到邀請人名下 |
tpvpn.checkout | 工作階段儲存（sessionStorage） | 結帳時產生的隨機冪等鍵，用於防止同一筆訂單被重複建立；不含任何身份資料 | 關閉瀏覽器分頁即清除 | 是 —— 僅隨您自己發起的下單請求發送（Idempotency-Key 請求標頭） |
__stripe_mid / __stripe_sid | Cookie（第一方，由 Stripe.js 寫入，僅在結帳頁載入） | Stripe 用於識別欺詐交易的隨機裝置識別碼與工作階段識別碼 | 1 年 / 30 分鐘 | 否 —— 僅發送給付款處理方 Stripe，見 §7 處理者表 |
privy:token / privy:refresh_token / privy:id_token | 本地儲存（由 Privy SDK 寫入，僅在帳戶、結帳與兌換頁載入） | Privy 簽發的存取權杖、重新整理權杖與身份權杖 | 存取權杖短時有效；重新整理權杖直到您登出或清除瀏覽器資料 | 存取權杖會發送給我們用於建立工作階段；其餘僅發送給身份服務方 Privy |
推薦歸因項只在你透過某人的邀請連結（tpvpn.com/@用戶名稱）瀏覽本站時才會寫入。你直接瀏覽本站不會產生它。它是第一方的，不會被任何第三方讀取，也不用於給你投放廣告或跨站追蹤你 —— 它唯一的作用是讓邀請你的人拿到應得的獎勵天數。
你可以隨時清除瀏覽器資料來刪除以上全部內容；這只會讓你需要重新登入、並使推薦歸因失效，不影響你的訂閱權益。若你不希望產生推薦歸因，直接瀏覽本站而不經邀請連結即可。
5. 處理目的與法律依據
| 處理目的 | 涉及的資料 | GDPR 法律依據 |
|---|---|---|
| 提供服務：帳號、隧道配置、節點路由選擇、裝置管理 | 帳號身份、裝置、工作階段 | 履行合約（第 6(1)(b) 條） |
| 計費、開通與撤銷權益、退款 | 訂單與支付、帳號身份 | 履行合約（第 6(1)(b) 條） |
| 公平使用閾值核算與網絡容量規劃 | 流量計量（位元組總量） | 履行合約與合法利益（第 6(1)(b)、6(1)(f) 條） |
| 防範濫用、欺詐與帳號盜用；執行可接受使用政策 | 風險與濫用、連線事件、裝置 | 合法利益（第 6(1)(f) 條）：保護網絡與其他用戶 |
| 發放推薦獎勵與優惠核銷 | 推薦與推廣、訂單與支付 | 履行合約（第 6(1)(b) 條）：獎勵是你與邀請人各自權益的一部分 |
| 客服與工單處理 | 支援工單、帳號身份 | 履行合約（第 6(1)(b) 條） |
| 財務與稅務記錄、回應有效法律程序 | 訂單與支付、審計記錄 | 法定義務（第 6(1)(c) 條） |
| 可選的當機與效能診斷、產品更新電郵 | 當機堆疊（已關閉個人資料收集）、電郵 | 同意（第 6(1)(a) 條），可隨時撤回 |
6. 保留期限
下表是我們為每類資料設定的保留上限。到期資料由定時清理任務自動刪除，不需要你提出申請：
| 資料 | 保留期 | 說明 |
|---|---|---|
| 連線事件日誌（連線/斷線/驗證失敗/強制斷線） | 30 天 | 故障排除與濫用調查所需的最短窗口 |
| 工作階段記錄（不含 IP 原文） | 90 天 | 支撐用量申訴、裝置管理與計費爭議處理 |
| 流量小時彙總（僅位元組數） | 13 個月 | 跨年同比的容量規劃，不含任何目的地資訊 |
| 後台操作審計日誌 | 3 年 | 員工問責記錄，只增不改不刪 |
| 帳號與裝置資料 | 帳號存續期間，刪除後按下條執行 | 見「帳號刪除」 |
| 訂單、支付與退款記錄 | 交易發生後 7 年（或適用稅法要求的更長期限） | 法定財務保存義務，不因帳號刪除而清除 |
| 支援工單 | 結案後 24 個月 | 便於回溯同類問題；你可以要求提前刪除 |
帳號刪除
你可以隨時從網頁發起帳號刪除：前往帳號刪除頁。我們會在 30 天的冷靜期後執行刪除（期間你可以撤銷），此後個人資料、裝置、工作階段與工單被清除，備份媒體上的殘留副本隨備份輪替在 90 天內徹底消失。僅有兩類資料會保留：法定保存期內的交易記錄（已與你的身份最小化關聯），以及為防止被封禁帳號立即重開而保留的、不可逆雜湊後的封禁標記。
7. 第三方處理者與資料披露
我們只在必要範圍內讓下列服務供應商接觸資料，且都簽有資料處理協議（DPA），要求其僅按我們的指示處理資料：
| 服務供應商類別 | 接觸到的資料 | 說明 |
|---|---|---|
| 身份認證（Privy） | 你的登入憑證（電郵、錢包地址、Apple/Telegram 帳號、Passkey 憑證） | 登入憑證由 Privy 保管並完成驗證，我們從不接觸密碼、私鑰或 Passkey 憑證。 我們本地儲存其簽發的用戶識別碼、你的電郵地址，以及其餘登入方式的遮蔽後的顯示值 |
| 支付（Stripe、Paddle、Apple 內購、Google Play 結帳、加密貨幣通道） | 姓名/帳單資訊、付款憑證、金額 | 我們從不接觸完整卡號。 通道回傳給我們的只有交易參考編號與狀態 |
| 基礎設施（機房、雲端服務供應商、CDN、DDoS 防護） | 傳輸中的連線元數據 | 為完成傳輸與抵禦攻擊所必需；不為我們生成持久的用戶級記錄 |
| 交易電郵送達 | 你的電郵地址與電郵正文（驗證碼、工單回覆、帳單通知） | 僅用於送達，不用於市場推廣轉售 |
其他披露情形
- 有效法律程序：見下方「執法與第三方請求」。
- 主體變更：若發生合併、收購或資產出售，你的資料可能作為交易資產轉移。我們會在轉移生效前透過站內與電郵通知，並保證受讓方受不低於本政策的約束；不接受的用戶可在生效前刪除帳號。
- 經你同意：上述之外的任何披露都需要你明確同意。
8. 跨境資料傳輸
我們的節點網絡遍佈多個國家，控制面與備份也可能位於你所在國家/地區之外。當資料從歐洲經濟區、英國或瑞士轉出時，我們依賴以下機制之一：歐盟委員會的充分性認定；或與接收方簽訂的標準合約條款（SCCs）及英國附錄，並在必要時疊加加密與存取控制等補充措施。
需要留意的是：你選擇連線哪個國家的節點，就意味着你的流量會經由該國的基礎設施轉發。 這是 VPN 的工作原理，也在你的控制之下 —— 你隨時可以換一個國家的節點。
9. 安全措施
- 隧道加密使用 WireGuard（Noise 協議框架、ChaCha20-Poly1305），密鑰對在你的裝置本地生成。
- 官網與控制面全站 TLS 1.3 + HSTS；節點與控制面之間使用帶輪替的憑證認證。
- 客戶端憑證存放於系統 Keychain / Keystore，不以明文存放於設定檔。
- 內部存取遵循最小權限：按角色劃分權限點，敏感操作強制二次確認，全部寫入操作均入審計記錄，管理後台強制兩步驗證。
- 你的電郵等識別資料在我們的內部工具中預設以遮蔽方式顯示（
c***@gmail.com）；查看完整值需要更高一級權限，且該次查看本身會被寫入審計日誌。
沒有任何系統能保證絕對安全。若發生涉及你個人資料的安全事件，我們將按適用法律規定的時限通知主管監管機構，並在該事件可能對你造成高風險時直接通知你。
10. 你的權利（GDPR / 英國 GDPR）
- 查閱權
- 獲取我們持有的關於你的個人資料副本。
- 更正權
- 更正不準確或不完整的資料；帳號資料大多可在 App 內直接修改。
- 刪除權
- 刪除你的資料。可從 帳號刪除頁 自助發起。
- 限制處理權
- 在爭議解決期間要求我們暫停處理。
- 資料可攜權
- 以結構化、通用、機器可讀的格式（JSON）獲取你提供給我們的資料。
- 反對權
- 對基於合法利益的處理提出反對；我們會重新評估或停止，除非存在壓倒性的正當理由。
- 撤回同意
- 隨時撤回基於同意的處理（如當機診斷、產品電郵），不影響撤回前的處理合法性。
- 投訴權
- 向你常居地、工作地或涉嫌違規發生地的資料保護監管機構投訴。
如何行使
發電郵至 legal@tpvpn.com 或 support@tpvpn.com，寫明你的 @handle 與訴求。為防止他人冒用，我們會要求你透過帳號已綁定的登入方式完成一次驗證，而不是索取額外的身份證明文件。我們在一個月內答覆；請求複雜或數量較多時可延長兩個月，我們會在首月內告知你原因。行使權利免費；對明顯無依據或過度重複的請求，我們可能收取合理費用或拒絕，並說明理由。
11. 美國各州私隱權（CCPA/CPRA 等）
若你是加利福尼亞州居民，或居住在已生效綜合私隱立法的其他州（維珍尼亞、科羅拉多、康涅狄格、猶他、德薩斯等），你享有以下權利：知情權（我們收集/使用/披露了哪些類別的個人資料）、刪除權、更正權、不受歧視權（行使權利不會導致更高價格或更差服務）。
| CCPA 個人資料類別 | 我們是否收集 | 舉例 |
|---|---|---|
| 識別碼 | 是 | @handle、身份服務供應商簽發的識別碼、電郵地址 |
| 商業資訊 | 是 | 訂單記錄、訂閱狀態 |
| 網絡活動資訊 | 部分 | 僅工作階段元數據與位元組總量；不含瀏覽歷史、搜尋記錄、與網站的互動 |
| 地理位置 | 僅粗略 | 由 IP 在記憶體中解析出的國家/城市；不收集精確定位 |
| 推斷資訊 | 是 | 用於防濫用的風險評分 |
| 敏感個人資料 | 否 | 不收集種族、宗教、健康、精確定位、通訊內容等 |
| 生物識別、教育、就業資訊 | 否 | — |
我們在過去 12 個月內沒有、將來也不打算出售或「共享」（CPRA 意義上的跨語境行為廣告）任何個人資料，也不收集敏感個人資料用於推斷特徵。 因此我們沒有「Do Not Sell or Share」的選擇退出機制可提供 —— 沒有可退出的東西。你仍可發電郵至 legal@tpvpn.com 要求書面確認。授權代理人可代你提交請求，需附書面授權。
12. 兒童私隱
本服務不面向兒童。我們不允許 13 歲以下的人使用；在歐洲經濟區、英國及其他適用更高年齡門檻的地區，最低年齡為 16 歲（或當地法律規定的資訊社會服務同意年齡）。我們不會有意收集這些年齡以下人士的個人資料。
若你是家長或監護人，認為孩子在未經你同意的情況下向我們提供了個人資料，請聯絡 legal@tpvpn.com。經核實後我們會刪除相關帳號與資料。
13. 執法與第三方資料請求
- 我們只回應送達至我們註冊地法域、且形式與實體上均有效的法律程序；不接受非正式的電郵索取。跨境請求應透過司法協助（MLAT）等正式渠道提出。
- 我們逐項審查請求範圍，對寬泛或不成比例的要求提出異議，只提供法律要求的最小集。
- 在法律允許且不存在有效保密令的情況下，我們會在披露前通知受影響的用戶，使其有機會尋求救濟。
14. 政策變更
本頁頂部始終顯示當前版本號、生效日期與最近更新日期。涉及實質性變更（新增資料類別、延長保留期、新增披露對象）時，我們會在生效前至少 30 天透過 App 內通知與電郵告知你；僅為澄清措辭或修正筆誤的修訂即時生效。歷史版本可向法務電郵索取。
15. 聯絡我們
- 私隱與資料權利：legal@tpvpn.com
- 一般支援：support@tpvpn.com（工作時間內約 24 小時回應）
- 濫用舉報：abuse@tpvpn.com
- 註冊主體與地址：TP VPN LLC，注册地址待填
- 歐盟/英國代表（如適用）：DPO 或欧盟代表待填
修訂記錄
- v1.0.2 · 2026-09-02 · §4 儲存表補充結帳冪等鍵、Stripe.js 與 Privy SDK 寫入的鍵
- v1.0.1 · 2026-09-02 · 新增繁體中文（香港）譯本