隐私说明

笔记和录屏存在你的电脑上。只有当你自己点开「云端备份」，标题、正文和标签这些 文字才会传到服务器；图片、附件、录屏永远不会。

不需要账号也能用本地功能。账号服务管的是「你是谁、你在哪台机器上登录过」。

账号

• 邮箱地址（去掉空格、统一小写后存储；Gmail 的点号和加号别名会被归一）
• 密码的哈希值（scrypt 算法，不存明文密码，也没办法还原）
• 账号状态、注册时间、最后登录时间

设备

• 设备标识：由客户端随机生成的一串 ID
• 设备名称、操作系统平台、应用版本号、最后在线时间

登录会话

• 访问令牌与刷新令牌的 SHA-256 哈希（不存令牌本身）
• 有效期、签发时间、最后使用时间、是否已撤销

云端备份（默认关闭，只有你主动开启才有）

• 笔记标题、正文、标签，以及笔记自身的创建和修改时间
• 每个文档一个版本号，用来判断「你手机上改的和云上的是不是同一份」
• 开启时间、同意过的范围版本号、关闭时间

使用记录

• 固定几类事件：应用启动、功能使用、开启云备份、关闭云备份、检查更新、应用更新 —— 除此之外的类型写不进数据库
• 应用版本号、平台、发生时间

操作审计

• 谁在什么时候做了什么操作、结果如何
• 来源 IP 只存 HMAC 哈希，不存明文 IP，用来判断「这几次操作是不是同一台机器」

你主动提交的反馈

• 反馈类别、正文内容（1 到 4000 字）、你的应用版本号
• 可以不登录匿名提交

• 笔记里的图片、附件、录屏 —— 一次都没有上传过
• 你电脑上的文件路径、文件夹结构
• 硬件序列号、硬盘 ID、完整的设备指纹
• 明文密码
• 明文 IP 地址
• 通讯录、剪贴板、键盘输入、屏幕内容
• 你上了哪门课、看了什么视频、笔记里写了什么内容（云备份正文除外，且只有你主动开启时）

• 邮箱验证码：10 分钟内有效，用掉或过期就作废；同一码错 5 次自动失效
• 登录状态：访问令牌 15 分钟，刷新令牌 30 天。退出登录立即撤销
• 云端备份：你关闭云备份的那一刻起算 30 天后自动清除。 在这 30 天里重新开启，内容还在；超过 30 天就真的没了
• 云端容量上限：100 篇笔记，单篇正文 70000 字。超出的不会传上去
• 注销后的账号：立刻不可登录，云端数据保留 30 天后彻底删除。 到期删除时，设备记录、云端笔记、账号资料和挂在账号上的授权会一起清掉，不可恢复
• 反馈：保留到你反馈的问题处理完，之后仍可能留档用于排查同类问题

服务器在美国加利福尼亚州洛杉矶。也就是说，如果你在中国大陆使用， 你的邮箱、设备信息和（如果开启的）云端备份文字会传输并存储到境外。

这件事我没办法说得更好听——它是事实，而且你该在注册之前就知道。 如果你不希望数据出境，就别开启云端备份：本地所有功能都不需要联网存数据。

• Cloudflare：域名前面的一层 CDN，会看到你的 IP 和请求路径（HTTPS 内容它看不到明文以外的东西， 这层是加密的）
• 腾讯 QQ 邮箱：验证码邮件和改密码邮件通过它发出去，所以你的邮箱地址会经过腾讯的服务器
• GitHub：只有你主动点下载的时候才会访问，它记录的是下载行为，不是账号数据

除此之外不卖给任何人，不接广告 SDK，不做用户画像。

• 随时取回：在客户端里把云端备份拉回本地，内容逐字一致
• 随时清空：一键删掉云端的全部备份，不用等 30 天
• 随时关掉：关掉云备份之后，新内容不会再上传
• 随时解绑设备：在设备管理页把某台机器踢下线，它立刻失效
• 退出全部设备：怀疑账号被别人用了，一键把所有登录状态作废
• 随时注销账号：账号页最下面有「关闭账号」，输一次当前密码就生效，不用找我

如果收集的范围变了（比如以后支持备份图片），我会先改这份说明再改代码， 并且在页面上留更新日期。不会悄悄多收一样东西。

有疑问或者觉得哪里写得不清楚，去反馈页说。