隐私
Colitu 保留哪些数据、绝不记录什么，以及各类数据的保存期限。
VPN 服务器不会记录什么
| 数据 | 是否存储？ |
|---|---|
| 您的流量内容 | 绝不 |
| 您访问的网站和 IP 地址 | 不存储 |
| 您的 DNS 查询 | 不存储。我们的广告拦截 DNS 服务器已关闭查询日志和统计。应用默认使用公共解析器（Cloudflare、Google），它们收到的查询来自 VPN 服务器的 IP 地址，而不是您的。 |
| 您在 VPN 服务器上的 IP 地址 | 不存储；仅在内存中用于该连接 |
VPN 服务器会记录什么
每位用户的流量用量： 以约 15 秒为窗口，记录每位用户在每台服务器上的字节数，保留 90 天，用于配额和公平使用；此后只保留每个计费周期的总量。这能显示账户何时活跃以及用了多少，但看不出流量去了哪里。
账户和网站
| 数据 | 保存期限 | 用途 |
|---|---|---|
| 电子邮件地址、密码哈希（Argon2id）、语言、账户日期 | 直到账户被删除；删除时，邮件地址会被占位符替换，密码也将无法再使用 | 账户与登录 |
| 电子邮件验证码和密码重置码（地址、验证码哈希、IP 地址） | 7 天 | 验证电子邮件地址、重置密码 |
| 登录事件（IP 地址、国家、浏览器或应用） | 180 天 | 账户安全、防止滥用 |
| 注册时和最近一次登录时的 IP 地址与国家 | 注册：180 天。最近一次登录：若 180 天内没有登录，则会被清除 | 账户安全、区域性规则 |
| 因区域性规则被拒绝的注册与登录（IP 地址、国家） | 90 天 | 执行区域性规则 |
| 网页会话（IP 地址、国家、浏览器、登录方式） | 会话结束（退出登录、过期或被撤销）30 天后删除 | 登录、账户页面上的会话列表 |
| 应用登录令牌（仅以哈希形式存储，与某台设备绑定） | 过期或被撤销 30 天后删除 | 保持应用处于登录状态 |
| 两步验证（加密的验证器密钥、一次性恢复码的哈希、有效期 5 分钟的登录步骤） | 密钥和恢复码保留到您关闭该功能或账户被删除为止；登录步骤在过期 1 天后删除 | 账户安全 |
| 通行密钥（公钥、凭据 ID、您设定的名称、签名计数器、创建日期和最近使用日期；私钥和任何生物特征数据从不离开您的设备；有效期 5 分钟的一次性验证请求） | 直到您移除该通行密钥或账户被删除；验证请求在 5 分钟后过期并被删除 | 无密码登录与账户安全 |
| VPN 连接凭据（每台服务器一份，与某台设备或某个订阅链接绑定的随机密钥） | 设备或链接使用期间保留；被移除或替换 30 天后删除 | VPN 访问 |
| 订阅链接（您设定的名称、创建日期、最近使用日期和到期日期、“可能被共享”标记；链接本身仅以哈希形式存储）。使用链接的 IP 地址不会被存储；只保留每条链接每天使用过的不同网络数量的匿名近似计数，保留 48 小时 | 直到您撤销链接或删除账户（过期的链接会自动撤销）；网络数量计数在 48 小时后自动删除 | 每台设备一条链接，以及共享链接警告 |
| 电视登录请求（设备名称、IP 地址、国家） | 有效期 10 分钟的验证码过期 1 天后删除 | 二维码登录 |
| 设备（名称、平台、应用和操作系统版本、最近的 IP 地址和国家、硬件标识符的带密钥哈希） | 设备在账户中期间保留。已移除设备的名称、IP 地址、国家和硬件哈希在 30 天后清除；180 天未出现的设备的 IP 地址和国家会被清除 | 设备数量上限、账户安全 |
| 被拒绝的设备添加与试用尝试（IP 地址、设备详情） | 180 天 | 设备数量上限、防止滥用 |
| 免费套餐与试用的滥用检查（电子邮件地址、硬件 ID 和网络的 HMAC-SHA256 带密钥哈希；密钥不存放在数据库中） | 网络：30 天。电子邮件和硬件 ID：账户存在期间，以及账户删除后的 180 天。此项更改之前写入的无密钥 SHA-256 哈希最迟在写入 180 天后删除 | 防止重复创建免费账户 |
| 试用促销码的滥用检查（规范化后的电子邮件地址、设备硬件 ID 和网络——IPv4 /32 与 /24 或 IPv6 /64 与 /48——的 HMAC-SHA256 带密钥哈希；密钥不存放在数据库中） | 网络：35 天。电子邮件和硬件 ID：365 天，账户删除后同样保留 | 每人只能使用一个试用码 |
| 从原有服务迁移的请求（Telegram ID 和名称、备注、IP 地址） | 最后一次变更 30 天后删除。已批准的请求只保留 Telegram ID 的带密钥哈希，保留 2 年 | 迁移旧订阅；防止同一订阅被迁移两次 |
| 注册来源标签（例如“github”、“app:android”），来自网站入口链接中的 utm/ref 标签、引导您来的网站名称（例如 github.com）或应用；不存储 cookie、跟踪像素或网址。首次 VPN 连接的时间。 | 随账户一同删除 | 以汇总方式衡量哪些渠道带来真实用户，以及首次连接需要多长时间 |
| 您的邀请码；通过邀请链接开通的账户与邀请人账户之间的关联、邀请状态（待定、已获得、无效及原因）以及已赠送的 Premium 天数。邀请人永远看不到被邀请人的姓名或电子邮件。 | 任一账户被删除时删除 | 发放邀请奖励；防止滥用（相同的 IP 地址或设备、一次性电子邮件）；以汇总方式衡量通过邀请产生的注册 |
| 应用的匿名使用统计：连接结果和失败类型、连接与恢复耗时（以区间计数表示）、意外断开、Adaptive Connect 的协议切换、测得的到服务器的延迟以及自动模式的服务器选择、所用功能和断网保护（kill switch）状态；当前所用网络的类型，以及该网络的国家和互联网服务提供商编号（ASN）（来自 VPN 关闭时收到的签名标签）。服务器只保存按日合计的数据，其中网络（国家 + ASN）和服务器分别存放在不同的表中；不存储账户、设备、IP 地址或所访问的网站。可在应用设置中关闭。 | 合计值无限期保留（无法关联到个人） | 衡量并改进连接质量、Adaptive Connect 和功能使用情况 |
| 您对应用内问卷的回答：推荐评分（0–10）、如果没有 Colitu 您会有何感受、您未续订 Premium 的原因、可选的评论和平台；您关闭的问卷（30 天内最多询问一次问卷） | 账户被删除时，与账户的关联和评论会被移除；只保留匿名评分 | 以汇总方式衡量满意度（NPS）、产品与市场的契合度以及离开的原因 |
| 您对已解决的支持会话给出的 1–5 分评分和可选评论；该会话首次回复和解决的时间 | 随支持会话一同删除 | 以汇总方式衡量支持质量（满意度、响应和解决时间） |
| 某台设备在哪台服务器上哪些传输协议可用以及速度如何（不含 IP 地址） | 每次报告都会覆盖 | 优先尝试可用的传输协议 |
| 套餐、付款和订单（金额、支付方式类型、服务商的交易 ID、服务商的通知） | 在会计和税法要求的期限内保留，账户删除后同样保留；该期限届满后的自动删除尚未实现 | 计费、退款、法定义务 |
| 支持会话及附件，包括应用附上的应用日志（地址和机密信息已屏蔽） | 已关闭的会话：最后一条消息 2 年后删除 | 支持、处理投诉 |
| Colitu Bot 对话（文本、IP 地址、“是否有帮助”反馈） | 180 天 | 回答问题 |
| 电子邮件投递记录（收件人地址、邮件类型） | 90 天 | 解决投递问题 |
| 新闻邮件订阅（电子邮件地址、语言、确认时间）；仅在您通过邮件中的链接确认后 | 直到您退订；未确认的注册在 7 天后删除 | 公告、发布说明和优惠邮件（经您同意） |
| 网站和 API 访问日志（IP 地址、请求的地址、浏览器） | 14 天 | 运行和保护本服务 |
| 我们网站上的 DNS 泄漏测试 | 仅在内存中，10 分钟 | 显示测试结果 |
| 审计日志（管理员操作，以及部分账户操作，例如按账户 ID 记录的账户删除） | 无限期；删除账户时您可选填的原因：180 天 | 操作的问责 |
删除与尚存的不足： 一项每小时运行的任务会执行上述期限。删除账户会立即清除您的登录历史、IP 地址、会话、设备详情，以及 隐私政策 中列出的其他记录；计费记录、带密钥的滥用检查哈希（180 天）、流量用量（90 天）和已关闭的客服对话（2 年）会按所示期限保留。套餐、付款和订单记录以及审计日志目前尚无自动删除。备份使用公钥加密；解密密钥目前仍在同一台服务器上，删除之前生成的加密备份在这些备份被删除之前仍会保留数据（35 天后自动删除的机制正在引入中）。其余问题的修复已列入 路线图。
账户数据库位于土耳其的一台服务器上。Colitu 由 COLITU LIMITED 运营，该公司在英格兰和威尔士注册（128 City Road, London EC1V 2NX, United Kingdom）。
不经过 VPN 的流量
区域性网站仅当隐私模式关闭时，Android、Windows、iOS 和 Linux 应用会将部分区域性网站（内置列表中的域名和 IP 段）直接发送、不经过 VPN，以便拒绝外国 IP 地址的服务能够继续正常使用；当所选服务器位于同一区域时，此规则不适用。对于这部分流量，网站和您的互联网服务提供商能看到您的真实 IP 地址。新安装默认开启隐私模式（Windows 和 Android 2.7.0、iOS 5.6.0、Linux 1.3.0 及更高版本），因此默认情况下所有流量都经过 VPN；此前已安装的版本保持原有设置。
本地网络流量、更新检查以及对服务器的延迟测量。
详情：分流。
第三方
- 支付服务商（仅限付费套餐）：订单号、金额、套餐和付款方式。Colitu 不会发送您的电子邮件或 IP 地址。
- Resend（账户邮件）和 Brevo（客服邮箱的回复）。
- DeepSeek（Colitu Bot）：您的问题和最近几条消息；不含账户详情，但您输入的任何内容都会被传递过去。
- 没有分析或崩溃上报： Colitu 的所有应用（Android、iOS、Windows、Linux）都不包含分析、广告或崩溃上报库；iOS 应用自 5.4.1 版本起不再包含。
- Colitu 应用和浏览器扩展可能会发送 匿名使用统计，您可以在设置中关闭（Firefox 扩展中默认关闭，需您手动开启）：仅包含连接成功率、耗时和使用过的功能等数字。服务器按日、平台和版本保留总量；不会发送或存储账户、设备、IP 地址或访问过的网站。这不是第三方分析库。
- Cloudflare： DNS 托管、应用中的默认 DNS 解析器，以及两台服务器上少数域名的出口。
- 托管服务商 运行我们的服务器，并对其具有技术访问权限。
国家/地区是如何确定的？
IP 地址所属的国家/地区是在我们服务器上运行的本地数据库（DB-IP）中查询的。为此不会将您的 IP 地址发送给第三方。
您的权利
您可以申请获取账户中个人数据的副本、要求我们更正数据，或要求我们删除您的账户。只需联系客服即可。详情：账户管理。
还需要帮助吗？
Colitu Bot 数秒内即可回复，我们的支持团队提供三种语言的帮助。