隐私政策

由谁负责

Submarine 由 Sina Xhpm（sinaxhpm.com）开发，位于 submarine.sinaxhpm.com 的同步服务也由其运营（旧版应用使用 api.sinaxhpm.com）。应用的源代码公开在 github.com/SinaXhpm/Submarine（MIT 许可证），因此本政策中关于应用的说法，都可以在代码中核实。

留在你设备上的内容

• 你的配置文件（服务器、登录凭据、SSH 密钥、隧道、笔记、命令、已知主机密钥，以及你选择从登录提示中保存的密码）保存在应用的数据文件夹中。它们使用 AES-256-GCM 加密，所用的密钥由你的配置文件密码通过 Argon2id 生成。配置文件密码从不保存，也从不发送到任何地方。它无法找回：如果你忘了它，配置文件就无法打开。
• 快速解锁（可选，默认关闭）：如果你开启 Windows Hello 或 Android 指纹解锁，配置文件的密钥会用系统（TPM 或 Android Keystore）持有的一个密钥封装。指纹或 PIN 由系统验证；应用从来看不到它。
• 设置（例如窗口位置、上次使用的配置文件名称和颜色主题），以及只针对本设备的选择（远程桌面的速度和画质、是否共享剪贴板、与 RDP 服务器共享的文件夹或驱动器，以及哪些服务器总是打开使用单独登录的终端），都保存在应用自身的设置中，不加密，并且从不同步。
• 剪贴板只在你粘贴时才会被读取。你粘贴的内容会发送到你粘贴到的那台服务器，无论是在终端中，还是在远程桌面的标签页中。开启 Share the clipboard（共享剪贴板）时（RDP 和 VNC 服务器默认开启），在远程桌面上复制的文本会被放到本设备的剪贴板上。剪贴板中的任何内容都从不发送给我们。
• “远程桌面连接”（Windows）会通过一个临时的 .rdp 文件收到服务器保存的密码。文件中的密码使用 Windows DPAPI 针对你的 Windows 用户加密，文件被读取后即删除。如果你让 RDP 应用自己记住登录信息，那么保存它的是 Windows，而不是 Submarine。
• 应用中的活动日志保存在内存中，应用关闭后即消失。

应用会连接到哪里

• 你自己的服务器。应用只连接你添加或打开的主机，使用 SSH、SFTP、Telnet、VNC 或 RDP，并经过你设置的代理或跳板机（如有）。你输入和传输的内容会发送到那台服务器，而不是发给我们。对于远程桌面，这包括你粘贴进去的剪贴板文本；如果你选择用内置 RDP 客户端共享本电脑的某个文件夹或驱动器，也包括该文件夹或驱动器。普通 Telnet 和普通 VNC 不加密，应用会对此作出提示。
• 同步服务，仅在你登录云同步时连接（见下文）。你也可以改为让应用连接你自己的服务器；那样的话，数据由该服务器的运营者处理。
• GitHub，用于查找新版本。在配置文件列表打开时，以及你点击“Check for updates”（检查更新）时，应用会查询 GitHub 上公开的发布版本列表（api.github.com），看是否有新版本。该请求只包含应用的名称和版本号（submarine-app/x.y.z），不含其他任何内容；和任何网络请求一样，GitHub 能看到你的 IP 地址。
• 你点击的链接会在系统浏览器中打开。

除此之外，没有任何内容会离开你的设备。应用中不含任何第三方统计分析、广告或跟踪代码。

可选的云同步（Cloud sync）：同步服务器保存的内容

如果你创建了账户，服务器会保存：

始终未经验证的注册会在 7 天后删除。

该服务位于 Cloudflare 之后，由 Cloudflare 为它处理 HTTPS 连接，并把请求转发给服务器。因此，Cloudflare 会代表本服务处理 IP 地址、请求头和请求内容，其中包括你的登录信息和已经加密的记录。服务器通过其托管服务商的邮件系统发送验证邮件和重置邮件。

我们不会出售你的数据，不会与广告商共享，不会将其用于广告、统计分析或用户画像，也不会将其与任何其他信息合并。

本网站

本网站不使用 Cookie、统计分析、广告，也不使用第三方脚本或字体。和任何网站一样，Cloudflare 和托管服务商为了向你提供页面，会处理你的 IP 地址、你请求的页面以及你的浏览器信息；托管服务商还会在有限的时间内保留标准的服务器日志。

如果你在本网站上删除账户，你输入的内容只会通过 HTTPS 发送给同步服务，页面本身不会保存这些内容。

删除你的数据

• 删除你的账户：在应用中（0.4 及以上版本）依次选择 Cloud sync →（已登录）→ Delete account…，或者在本网站的删除账户页面上操作。你需要用账户密码进行确认。这会立即删除：你所有配置文件的云端副本、你用于共享的密钥、你共享出去的每个配置文件（你共享给的人将失去访问权限）、你在他人共享中的成员身份、你的会话，以及你账户的日志条目。你写入他人共享配置文件的记录会保留在该配置文件中，且不注明写入者。你设备上的配置文件不受影响。
• 此后写入的日志行（删除操作本身的记录，其中不含邮箱地址；以及之后针对该邮箱地址的任何登录尝试）最多保留 90 天。在服务器软件更新前后所做的备份只会短暂保留。
• 删除单个配置文件的云端副本：在应用的配置文件列表中，打开该配置文件的菜单，选择 Delete from cloud…（从云端删除）。
• 删除设备上的内容：卸载应用即可（如果是 Windows 便携版，则删除程序旁边的那个文件夹）。
• 如果你使用的是旧版本，或者已经无法打开应用，请联系我们（见下文）；在你能证明该账户属于你之后，我们会将其删除。

安全

与同步服务之间的所有通信都使用 HTTPS。你的配置文件密码和共享密码短语从不离开你的设备，能打开你配置文件的密钥也从不以服务器能打开的形式保存在服务器上。服务器会限制登录尝试次数，在多次输错密码后暂停密码登录一段时间，并且在执行最敏感的操作（更换用于共享的密钥、删除账户）时要求你再次输入密码。安全页面详细说明了这些内容。

儿童

Submarine 是面向系统管理员和开发者的工具。它不以儿童为对象，我们也不会在知情的情况下收集儿童的数据。

本政策的变更

本政策变更时，页面顶部的日期也会随之更新。完整的变更历史见代码仓库。

联系方式

如果你对自己的数据有疑问或请求，请在 github.com/SinaXhpm/Submarine/issues 提交 issue（请不要在那里发布私人信息），或通过 sinaxhpm.com 来信联系。