法律信息

隐私

这份声明很短，因为设计本身就短：TinyRocket 在你自己的 Mac 上检查链接，而应用不会发送本页面没有列出的任何东西。 It covers this website, buying and support, the app’s license and trial requests, optional Cloud Check, and Flight Check when that service is available.

Flash Media Solutions, Inc. 是数据控制者。 关于本页面的任何内容，请使用联系表单。

本网站存储了什么

• 下载无需注册。 下载页面不索取邮箱、账户或等候名单登记；和这里的每个页面一样，它仍然使用下文所述的短时效网页会话和匿名页面计数。
• 支持对话，短暂保存。 你通过联系表单发送的消息，会与我们的回复一起加密保存，好让对话保持完整。 已回复并关闭的会话在最后一条消息之后 30 天删除；未回复的请求会保持打开以便我们回复，但最迟在 7 年后删除。 由真人标记为需要保留的争议、拒付或滥用记录，只在该理由仍然成立期间保留；除非法律要求保留该记录，否则删除请求会移除支持工作台中的在线副本。 回复由真人撰写；运行在本就承载这些邮件的同一套基础设施上的 AI 工具可能会翻译消息并提议一份初稿，而你写的任何内容都不会被用来训练任何东西。 一封普通的支持通知只包含一个指向加密工作台的链接，不含你的姓名、地址或消息正文。 直接先发到支持邮箱的邮件，会在 Amazon S3 中保留一份原始来件副本，最多七天。带附件的消息，以及在工作台不可用期间收到的消息，还会转发到所有者邮箱以便人工处理。
• 你浏览这些页面期间的一个网页会话。 访问本站会创建一条短时效的会话记录，其中包含你的 IP 地址、一个浏览器标识、一个时间戳，以及一段加密的会话数据。 如果表单带着错误返回，你输入的值可能会保存在那个会话里，以便表单能重新填好，而不必让你把所有内容再打一遍。 它的存在是为了让联系表单能够防御跨站请求伪造。它在两小时无活动后过期，陈旧的记录由每夜的隐私清理从物理上移除。
• 一个不归属于任何人的页面访问计数。 网页服务器记录的是：不含查询串的请求路径、请求时间、响应状态和大小，以及显示的是哪种语言。 你的 IP 地址、浏览器的身份，以及你从哪个页面而来，都在这条记录写下之前就已丢弃——不是先存下再忽略，而是根本没有写下来。 另有一份独立的安全日志，为可疑路径保留同样的、不含身份的字段；两份日志都按大小轮转，轮转后的日志文件在 30 天后删除。
• 短时效的滥用计数器。 表单、许可证查询、结账和应用端点使用基于 IP 地址、单向邮箱哈希或单向机器指纹的临时计数器，以拖慢自动化滥用。 计数器在其短暂的时间窗口结束时停止生效，过期的数据库记录会由下一次每夜隐私清理从物理上移除。

我们确实会看一份来自 Google 的报告：Search Console 提供本站出现在 Google 结果中的搜索词组、点击数、展示次数、平均排名和日期。 那是 Google 在报告它自己的搜索结果，不是本站在盯着你——它不需要页面上有任何代码，也不会在你的浏览器里设置任何东西。 导入的每日记录不含访客标识，并在 18 个月后删除。

当你购买时

• 一条许可证记录：购买者姓名和邮箱、许可证密钥、订单和付款编号、购买的席位数、金额和币种、应用语言和版本权益、购买与联系时间戳，以及任何退款、撤销或保留状态。 它的存在是为了让我们能重新发送你的许可证、管理席位，并履行退款承诺。
• 付款通过 Stripe 进行。 Stripe 收取完整的支付凭据；TinyRocket 从不收到完整的银行卡或银行信息。 我们保留收据：买了什么、什么时候买的、花了多少钱。一次仅限所有者的支持查询可以向 Stripe 请求支付卡品牌、末四位、手续费和退款状态；该响应只停留在请求内存中，不会保存在本地。
• 登录你的许可证页面使用的是发送到你邮箱的六位验证码，它在几分钟内过期。 没有密码需要存储。过期的验证码记录会由下一次隐私清理移除。
• 每一台占用席位的 Mac都以应用在该机器上算出的加盐单向、假名化指纹记录。 这条记录还可以保存你在应用里看到的可选 Mac 名称，以及最后一次出现和停用的时间。我们无法把指纹还原成硬件标识符，而一个沉寂十八个月的席位会自动释放回你手上。
• 在许可证存续期间一直保留。 沉寂 7 年之后，我们会先用邮件提醒你，然后把记录中的个人信息移除，只保留会计条目——与删除请求所做的匿名化处理相同。 点开这个签名链接并确认，即可继续留存你的许可证和联系信息；保留期计时从那天重新开始。

Cookie 与浏览器设置

• tinyrocket-session——上文所述的浏览会话。两小时后过期。
• XSRF-TOKEN——让联系表单可以安全提交的防伪造令牌。随会话一同过期。
• locale——你选择的语言，好让本站翻到下一页时不会忘记。只是一个语言代码，保存一年。
• theme 和 motion——保存在你浏览器本地存储中的可选显示偏好。它们从不离开你的浏览器。

这里没有分析 Cookie、没有广告 Cookie，也没有任何第三方 Cookie，所以既没有什么需要征求你同意，也没有横幅要你点掉。 这不仅仅是一句承诺：本站会发送一条 Content-Security-Policy，指示你的浏览器拒绝来自本域名之外任何地方的脚本、图片、字体或连接，所以这里的任何东西都不可能——哪怕出于失误——加载第三方追踪器。

应用会发送什么

• 标准链接检查不发送任何链接。 它们在你的 Mac 上运行，依据的是你硬盘上的威胁数据。
• 试用会发送一个加盐单向的机器指纹。 我们把它连同试用开始时间和最后联系时间一起存储，这样重新安装应用并不会让试用重新开始。 一个基于 IP 地址的短时效计数器限制新的试用记录；它在当天结束时停止生效，其记录会由下一次每夜清理移除。 试用记录会在其试用期与最后一次签到中较晚的那一个已沉寂两年之后删除。
• 应用更新和威胁数据更新采用定时获取。 应用会请求更新源、你安装新版本时的更新包本身，以及经过签名的威胁数据文件——清单及其签名、已知恶意域名列表、短链接服务列表和仿冒品牌列表，还有公共后缀列表；这些请求不包含被检查的链接、许可证、邮箱或应用账户。 服务器必然要收到一个网络地址才能把文件送回，但它的访问日志会在写下路径、时间、状态和大小之前，丢弃这个地址和每一个请求头。
• 许可证请求和登录请求只发送它们所需要的内容。 激活和停用会发送许可证密钥、单向机器指纹和一个可选的 Mac 名称；邮箱登录还会发送邮箱、一个短时效验证码和应用语言；机器列表使用许可证密钥。
• 在应用内购买会发送席位数和应用语言。 Stripe 收取付款信息；应用保留一个随机领取令牌，并在付款后用它连同 Stripe 会话编号来领取许可证。
• 问题报告只在你提交时才会发送。 它包含你的邮箱和问题描述；应用版本、macOS 版本、Mac 机型、当前的默认链接处理程序、目标浏览器、威胁数据版本、权益状态和应用语言，这些都会显示出来供你确认；还有一段可选的近期日志摘录。它不会发送你的许可证密钥。
• Cloud Check 从不发送你点按的 URL。 在检查之前，应用会用它试用时所用的同一个单向机器指纹换取一个短时效当日令牌，该请求中不含任何被检查的链接；令牌与机器之间的签发对应关系不作存储。许可证密钥绝不会出现在这次交换中。 应用还会大约每周一次在后台悄悄续订这个令牌；那次续订在内容上与上述交换完全相同，不携带任何被检查的链接，成功的结果会作为凭据在你的 Mac 上保留最多 30 天。 当你要求进行一次检查时，应用会在本地移除完整主机名中的子域名、路径、查询串、片段和用户信息。请求只携带规范化的公共可注册域名和那个假名化令牌，不含你点按的 URL、许可证、邮箱或应用账户。该服务不会联系目的网站。 当日令牌的设计避免了存储浏览历史，但它并非密码学意义上的匿名：一个掌握令牌密钥和试用记录的运营方，有可能把令牌关联起来。
• Flight Check sends one exact address only after you consent to that link. Unlike local checking and Cloud Check, the exact full address, including its subdomain, path, query and fragment, goes directly from the app to TinyRocket’s isolated scanner. The scanner endpoint necessarily receives your network address and request timing so it can answer; TinyRocket’s site authorization service receives a URL-free entitlement request, and neither that service nor Cloud Check receives the exact address or report. The scanner runs one top-level navigation in a fresh remote browser and may follow server or client redirects and request page subresources. The destination and contacted third parties see the scanner rather than your browser, but they may keep their own request logs under their policies and TinyRocket cannot erase those observations. TinyRocket captures the redirect chain, DNS and TLS facts, response headers, page text and DOM, a sanitized screenshot, network metadata, and bounded attempted-download evidence. No personal browser cookies, saved credentials or existing session are sent. The scanner will not enter credentials, submit forms, approve prompts, launch external apps or run downloaded files. The visit may consume a password-reset, sign-in, invitation, unsubscribe or other one-time link, fire analytics, notify a sender, contact third parties, or cause effects from a GET request. The app therefore shows the exact address, processor, region, fields and retention and requires fresh authority and lawful-use confirmation before every submission; there is no standing consent. The scanner signs and encrypts the report and sanitized artifacts to a one-time key created by the app. Only that TinyRocket app process holds the decryption key, and the decrypted report remains in memory unless you explicitly export it. After verified delivery the app discards its one-time proof and decryption keys and requests acknowledgement and deletion. Target-derived data in TinyRocket-controlled systems is cryptographically erased after acknowledged delivery or within 60 minutes of scanner acceptance, whichever comes first. The deadline cannot be extended by a retry, failure or cancellation. URL-free quota, cost and security receipts remain under the account and accounting retention rules described on this page. Flight Check is processed by Amazon Web Services, Inc. (AWS) in US East (N. Virginia), region us-east-1, under the AWS Service Terms, which incorporate the AWS Data Processing Addendum. AWS publishes its subprocessor list. A Flight Check report describes one bounded visit from one scanner vantage. It cannot prove that a page is safe; a site may cloak, change, require a login or behave differently on your Mac.
• 域名年龄来自公共注册库。 当 Cloud Check 报告一个域名有多老时，它会询问公共域名注册库（RDAP），并只保留公共可注册域名、它的注册日期，以及我们询问的时间——最多保留 30 天，绝不与令牌、网络地址或你点按的 URL 放在一起。
• 危险域名检查可能会向 Google 发送一段部分指纹。 我们的服务器上保存着一份 Google Web Risk 恶意网站列表的本地副本，以截断指纹而非名称的形式存储，并在不联系任何人的情况下用这份副本核对你的域名。只有当某个域名的指纹匹配上时，我们的服务器才会请 Google 确认，而这个问题携带的是指纹的前四个字节——绝不是域名本身、你点按的链接、你的令牌或你的地址。四个字节无法还原成一个域名，不过一个本就怀疑某个特定域名的人，可以拿它来验证自己的怀疑。这个问题由我们的服务器发出，所以你的 Mac 从不与 Google 接触。 Google 的回答会在我们的服务器上保留到 Google 设定的到期时间，以免同一个问题被问两次。建议由 Google 提供。

还有谁参与其中

• Amazon Web Services hosts this site and carries the support mail; the drafting assistant described above runs on that same infrastructure, and nothing you write trains anything. AWS also operates the isolated Flight Check processing described above in US East (N. Virginia), us-east-1.
• Google 通过其 Web Risk 服务提供上文所述的恶意网站列表。当某个域名与我们本地的那份列表匹配时，它会从我们的服务器收到一段四字节指纹——绝不会收到域名、链接、令牌或你的地址，也绝不会收到来自你 Mac 的请求。
• Stripe 处理付款并保管完整的支付凭据。TinyRocket 收到的是交易和收据事实，并可为上文所述的仅限所有者的支持查询请求有限的支付方式信息。

备份与已删除的数据

每夜的数据库快照——其中敏感列本就已加密：姓名、邮箱、许可证密钥、支持正文——仅用于灾难恢复，因此从在线数据库中移除的记录，可能仍留在更早的快照里，直到该快照过期。 十四份本地快照每夜轮转。异地快照遵循存储桶另行配置的生命周期；如果恢复了某个备份，必须先运行保留和删除任务，才能恢复正常服务。

你的权利

你可以要求我们提供一份我们所持有的关于你的信息的副本，也可以要求更正或删除。 通过联系表单提出的请求，会在 30 天内免费处理。 如果你在英国或欧盟，你还可以向你所在地的数据保护机构投诉。

变更

顶部的日期标记本声明的每一次实质性变更。 一项请求必须先出现在这份清单和应用的同意界面上，TinyRocket 才能发送它。