Herkos 隐私政策
最后更新：2026 年 9 月 12 日。规范网址：https://herkos.app/privacy
翻译说明。 这是出于便利提供的译文。如有出入，以英文版为准。
Herkos 是一款面向 Nostr 网络的自由开源邮件客户端，由 Herkos 项目（“我们”）发布。本文说明应用处理哪些数据、这些数据流向何处，以及谁能看到它们。我们希望它被认真阅读，而不是一扫而过：如果其中有任何内容让你感到意外，请写信到 privacy@herkos.email 告诉我们。
简要版本
- Herkos 没有账户系统、没有自己的服务器，也没有任何分析统计。我们收不到你的 邮件、联系人、密钥或使用情况。
- 你的 Nostr 公钥就是你在网络上的身份。你在 Nostr 上发布的一切（个人资料、 中继列表、标签）都与它绑定，并对你使用的中继可见。
- Nostr 用户之间的邮件是端到端加密的（NIP-17）。发往或来自传统电子邮件地址 的邮件会经过桥接服务（bridge），桥接服务可以读取其内容。
- 部分可选功能会向第三方发送数据（推送通知、定时发送）。在你主动开启之前它们 都是关闭的，本文逐一列出了它们。
留在你设备上的数据
- 你的私钥（nsec），在你用它登录时，会保存在操作系统的安全存储中（Android Keystore、iOS/macOS 钥匙串、Windows 凭据管理器、Linux 上的 libsecret、网页版 的加密本地存储）。如果你使用远程签名器（NIP-46 “bunker”）登录，密钥根本不会 到达设备。
- 你的邮箱：解密后的邮件、附件、标签、文件夹和联系人会缓存在本地数据库中， 以便应用离线可用。除操作系统提供的保护外，该数据库本身并未加密；应用锁 （PIN 或生物识别）是便利性的屏障，而非静态加密。在 Android 上，本应用已排除在 云备份和设备间备份之外。
- 应用锁的 PIN：以加盐并经过拉伸的哈希形式存储（PBKDF2），绝不以明文保存。
你可以在设置 → 更多 → 重置应用中清除全部内容，或者通过移除某个账户来清除。
离开你设备的数据，以及去向
| 接收方 | 他们能看到什么 | 何时 |
|---|---|---|
| Nostr 中继（默认列表见设置 → 网络，可编辑） | 你的 IP 地址、公钥、你发布的事件（个人资料、中继列表、Blossom 服务器列表、NIP-32 标签、加密的设置），以及发给你的加密“gift wrap”及其时间。中继无法读取 gift wrap 的内容。 | 应用同步期间始终如此。 |
| Blossom 服务器（可编辑） | 你的 IP 地址和公钥，以及大于 32 KB 的邮件及其附件的加密数据块。解密数据块的密钥只在加密邮件内部传递。 | 当你发送或打开大邮件时。 |
桥接服务（默认为 nostrmail.org 和 uid.ovh，可编辑） |
你发送到传统地址（Gmail、Outlook 等）或从中收到的任何邮件的完整内容，以及你注册的别名 name@bridge。桥接服务是独立运营者，有各自的隐私条款；Herkos 不运营它们。 |
当你使用 @bridge 身份或写信到非 Nostr 地址时。 |
| NIP-05 服务器（你输入的地址所属域名） | 有人询问过 name@domain 是否为 Nostr 用户。 |
当你添加 user@domain 收件人时。 |
推送服务器（api.nmail.li，由上游 Nostr Mail 项目运营；可在构建时配置） |
你的公钥、设备推送令牌（FCM 或 UnifiedPush 端点）、通知语言，以及——因为它代你监视中继——你何时收到邮件（而非邮件内容）。 | 仅当你为某个账户开启通知时。关闭通知会请求服务器删除订阅。 |
定时 DVM（由第三方运营的 Nostr 服务，参见 NostrConfig.schedulerDvm） |
你的公钥、待发布的已加密邮件、其目标中继和计划时间。 | 仅当你使用“稍后发送”时。 |
远程签名器 / NIP-46 中继（relay.nsec.app 及备用） |
你的公钥和加密的签名请求。 | 仅当你使用 bunker 或签名应用登录时。 |
| Google（Firebase Cloud Messaging） | 推送令牌和投递元数据。 | 仅在包含 Google 服务的构建（nmail_standard）中，且仅在开启通知时。FOSS 构建改用 UnifiedPush，从不联系 Google。 |
Herkos 本身不会收到上述任何内容。没有崩溃报告，也没有遥测。
设计上即为公开
Nostr 是一个公开网络。以下内容对任何查询你所用中继的人都是可见的，并与你的公钥 相关联：
- 你的个人资料（名称、头像）以及中继和 Blossom 服务器列表；
- 当你将邮件标为已读、加星标、归档或移入文件夹时，应用发布的 NIP-32 标签事件 ——其中包括自定义文件夹的名称。因此，给你发过邮件并知道其 id 的人可以得知你 是何时读的。我们计划对这些内容加密；在此之前，请知悉这一点。
你的选择与权利
- 上述一切都在你的掌控之中，见设置 → 网络与服务器（中继、私信中继、Blossom 服务器、桥接服务）和设置 → 通知。
- 你可以随时导出密钥、移除账户（这也会请求中继删除你的数据，NIP-62）或重置应用。
- 由于我们不持有任何个人数据，我们无法自行处理访问、更正或删除请求；请向相关中继、 桥接服务或推送服务器的运营者提出。我们会帮助你确定对象。
- Herkos 不适用于 16 岁以下的儿童。
变更
当应用的行为发生变化时，我们会修改本文件，并在顶部记录日期。事实来源是代码仓库中
的 PRIVACY.md；已发布的页面是它的副本。
联系方式：privacy@herkos.email · https://herkos.app
其他语言
English · Español · Català · Deutsch · Français · Italiano · Nederlands · Polski · Português (Portugal) · Português (Brasil) · Suomi · Türkçe · 中文 · 日本語 · 한국어 · Русский · Українська