Quyền riêng tư và ghi logBảy hồ sơ tồn tại. Đây là toàn bộ những hồ sơ đó.
Đây không phải chính sách về việc chúng tôi bảo vệ dữ liệu của quý khách cẩn thận đến mức nào — mà là bảng kê về việc có bao ít dữ liệu từng được tạo ra. Một lời hứa bảo vệ hồ sơ có thể bị ghi đè bởi một lệnh. Một hồ sơ không tồn tại thì không thể bị ghi đè.
Những gì tồn tại
Toàn bộ lược đồ, và mốc thời gian của từng dòng.
Đây chính là danh sách mà khu vực khách hàng của quý khách hiển thị, và cũng là danh sách mà chúng tôi giao cho tòa án. Nếu ba danh sách đó từng khác nhau, một trong số chúng chỉ là một câu chuyện bịa — vì vậy chỉ có duy nhất một danh sách.
Chưa từng tạo
Danh sách thực sự phát huy tác dụng.
Mỗi mục ở đây là một hạng mục mà hệ thống được thiết kế để không tạo ra ngay từ đầu, chứ không phải thứ chúng tôi xóa khi có yêu cầu. Sự khác biệt nằm ở toàn bộ điểm này: xóa bỏ là một chính sách có thể bị buộc phải đảo ngược, còn sự vắng mặt là một sự thật thuộc về cấu trúc hệ thống.
- Giấy tờ tùy thân do chính phủ cấp, dưới mọi hình thức, ở mọi cấp gói
- Họ tên hợp pháp, địa chỉ, quốc gia hoặc số điện thoại của quý khách
- Thông tin thẻ thanh toán, thông tin ngân hàng hoặc bất kỳ hồ sơ KYC nào
- Một hồ sơ các địa chỉ quý khách đăng nhập từ
- Lịch sử IP, lịch sử phiên hoặc dấu vân tay thiết bị
- Netflow chi tiết đủ để dựng lại ai đã liên lạc với ai
- Nội dung ổ đĩa, bộ nhớ, cơ sở dữ liệu hoặc bản sao lưu của quý khách
- Khóa mã hóa, thao tác bàn phím trên console hoặc ảnh chụp màn hình
- Nhật ký truy vấn DNS cho các resolver do chúng tôi vận hành
Các quyết định đằng sau lược đồ
Mỗi điều này đều khiến chúng tôi phải trả một cái giá về vận hành. Chúng được liệt kê kèm chi phí, bởi một quyết định về quyền riêng tư miễn phí là một quyết định mà không ai thực sự phải cân nhắc.
- Không cần giấy tờ khi đăng ký
- Một địa chỉ email, và không gì khác Khiến chúng tôi mất khả năng khôi phục tài khoản cho người đã mất cả mật khẩu lẫn email. Đó là gánh nặng hỗ trợ có thật và chúng tôi chấp nhận điều đó.
- Log truy cập theo bộ đếm 24 giờ
- Được luân chuyển và hủy bỏ, không lưu trữ Khiến chúng tôi mất khả năng điều tra bất cứ điều gì cũ hơn một ngày. Mọi nhà cung cấp lưu giữ chín mươi ngày làm vậy chính vì sự tiện lợi này.
- Bộ đếm, không bao giờ là netflow
- Bit trên giây, không phải ai gửi cho ai Điều này khiến chúng tôi mất khả năng điều tra tấn công chi tiết. Chúng tôi có thể thấy một cổng bị quá tải; nhưng cố tình không thể tái dựng một cuộc trao đổi.
- Không lưu lịch sử địa chỉ đăng nhập
- Ngay cả vì lý do bảo mật của quý khách cũng không Khiến quý khách mất đi cảnh báo “thiết bị mới” mà các dịch vụ khác cung cấp. Tính năng đó thực chất là lịch sử vị trí của quý khách, do chúng tôi lưu giữ, và chúng tôi thà không giữ nó.
- Không phân tích truy cập, không bên thứ ba
- Không tag manager, không pixel, không phông chữ CDN Điều này khiến chúng tôi không biết trang nào chuyển đổi tốt. Mọi tài nguyên trên trang này đều được phục vụ từ chính trang này; không có gì quý khách tải ở đây tiết lộ cho bên khác rằng quý khách đã ghé qua.
- Cookie chỉ khi quý khách thao tác
- Một phiên làm việc, và mã CSRF trên các biểu mẫu Chỉ đọc trang giới thiệu không thiết lập bất kỳ điều gì cả. Không có banner xin sự đồng ý ở đây vì không có gì cần đồng ý.
Loại bỏ nó
Đóng tài khoản đồng nghĩa với xóa hoàn toàn tài khoản. Không có xóa tạm/khôi phục lại.
-
01
Ngay lập tức
Dòng dữ liệu bị xóa, cùng với các mã hash của nó
Địa chỉ email, mã băm mật khẩu, sổ cái và hồ sơ dịch vụ được xóa trong một giao dịch duy nhất. Không phải đánh dấu ngừng hoạt động — mà là xóa hẳn.
-
02
Trong vòng 24 giờ
Bất kỳ nhật ký truy cập nào có tên quý khách cũng sẽ hết hạn
Vẫn theo đúng đồng hồ đếm như trước nay. Đóng tài khoản không làm nó nhanh hơn, và không có gì làm nó nhanh hơn cả — chính đặc tính này khiến nó đáng giá.
-
03
Trong vòng 30 ngày
Sao lưu tự động cuốn trôi
Các bản sao lưu mã hóa được luân chuyển theo lịch riêng của chúng. Đây là nơi duy nhất một bản ghi đã xóa còn tồn tại trong thời gian ngắn, và giả vờ điều ngược lại sẽ là không trung thực.
-
04
Vĩnh viễn
Không có gì được giữ lại phòng khi cần
Không bản sao ẩn, không dữ liệu phân tích ẩn danh, không danh sách tiếp thị. Một tài khoản đã đóng không để lại gì có thể liên kết ngược về một cá nhân.
Trong trường hợp có nghĩa vụ lưu trữ theo luật định áp dụng cho một thực thể cụ thể — hồ sơ kế toán, tại một số khu vực pháp lý tám — mức tối thiểu được giữ lại là một số tiền và một ngày tháng, không kèm bên đối tác. Những nghĩa vụ đó ràng buộc sổ sách kế toán, không phải danh tính người đã thanh toán, và danh tính đó vốn dĩ chưa từng được thu thập ngay từ đầu.
Những câu hỏi khó nói.
Có thể đọc được ổ đĩa của tôi không?
Về mặt kỹ thuật, một đơn vị vận hành hypervisor hoàn toàn có thể sao chép ổ đĩa của máy khách mà họ đang chạy, và bất kỳ nhà cung cấp nào tuyên bố ngược lại đều hoặc là hiểu sai hệ thống của chính mình, hoặc là nói dối. Điều chúng tôi không làm là giữ khóa của một ổ đĩa mà quý khách đã mã hóa, và cũng vì lý do đó, chúng tôi không có nội dung ở tầng lưu trữ. Hãy mã hóa dữ liệu khi lưu trữ bằng một khóa mà chúng tôi không bao giờ thấy, khi đó câu trả lời về mặt kỹ thuật sẽ vững chắc như câu trả lời về mặt chính sách.
Quý vị có lưu giữ địa chỉ IP không?
Chúng xuất hiện trong nhật ký truy cập HTTP trong 24 giờ, sau đó tệp nhật ký bị hủy tự động theo bộ đếm thời gian. Không có lịch sử IP riêng, không có bản ghi vị trí đăng nhập và không có dấu vân tay thiết bị. Không có nơi nào trong hệ thống liên kết một địa chỉ với một tài khoản sau khi ngày đó đã trôi qua.
Còn thanh toán bằng tiền mã hóa thì sao?
Blockchain là một sổ cái công khai và chúng tôi không thể biến nó thành riêng tư. Điều chúng tôi ghi nhận chỉ là một khoản thanh toán với số tiền nhất định đã đến vào một ngày nhất định. Chúng tôi không gộp nhóm địa chỉ, không thực hiện phân tích chuỗi khối và không bổ sung bất cứ điều gì vào sổ cái công khai mà trước đó chưa có. Việc chọn một loại tài sản bảo mật quyền riêng tư là quyết định quý khách có thể thực hiện trên trang thanh toán của chúng tôi, và đó là lựa chọn mạnh nhất mà quý khách có thể có.
Có banner xin đồng ý vì lý do GDPR không?
Không, vì không có gì cần xin sự đồng ý. Không có công cụ phân tích, không có định danh quảng cáo, không có bất kỳ yêu cầu bên thứ ba nào, và cookie chỉ được đặt khi quý khách đăng nhập hoặc gửi một biểu mẫu. Một banner xin phép để không làm gì cả chỉ là hình thức, và ngành này đã có quá đủ những thứ như vậy.
Bộ phận hỗ trợ nhìn thấy dữ liệu nào?
Bất cứ nội dung gì quý khách viết trong tin nhắn, cộng với hồ sơ tài khoản mà chính quý khách có thể xem được. Thư từ trao đổi được lưu giữ trong 90 ngày sau khi cuộc trò chuyện kết thúc rồi bị xóa. Lời khuyên thường trực của chúng tôi là hãy viết ít hơn mức cảm thấy tự nhiên trong một yêu cầu hỗ trợ — đây là nơi mà khách hàng thường xuyên tạo ra một hồ sơ vốn không cần phải tồn tại.
Còn ai khác có quyền truy cập?
Không có bên xử lý thanh toán bên thứ ba, không nhà cung cấp phân tích, không CDN đứng trước khu vực tài khoản, và không thuê ngoài hỗ trợ khách hàng. Hạ tầng do chính các pháp nhân sở hữu nó vận hành, và đó cũng chính là điều mà warrant canary tái khẳng định mỗi quý.
Làm sao để tôi xác minh những điều này?
Một số điều quý khách có thể kiểm tra trực tiếp: mở công cụ dành cho lập trình viên và xác nhận rằng không có yêu cầu nào rời khỏi tên miền này, và các trang giới thiệu không đặt bất kỳ cookie nào. Thời hạn lưu giữ dữ liệu thì quý khách không thể kiểm tra từ bên ngoài, đó là lý do vì sao báo cáo minh bạch công bố kết quả của các yêu cầu, và vì sao warrant canary được ký xác thực chứ không chỉ được tuyên bố suông.
Điều duy nhất trang này gửi đi nơi khác
Đã thêm ngày 29 tháng 7 năm 2026
Mỗi trang chỉ tải một script first-party gửi dữ liệu đến /api/h.php trên tên miền này. Điểm cuối đó chuyển tiếp, từ máy chủ của chúng tôi chứ không phải từ trình duyệt của quý khách, đến một bộ đếm dùng chung với các trang khác mà công ty này vận hành. Đây là thứ giúp đếm số lượt truy cập trực tiếp trở nên khả thi, và là điều duy nhất rời khỏi trang này.
Gồm những gì: địa chỉ của quý khách, được băm ở đầu nhận và không bao giờ lưu ở dạng thô; quốc gia mà địa chỉ đó xác định; chuỗi user-agent mà trình duyệt vẫn gửi đi; và trang quý khách đang truy cập. Điều không: bất kỳ loại cookie nào, một định danh tồn tại sau lượt truy cập, tài khoản của quý khách, hay bất cứ điều gì quý khách đã nhập.
Nó trả về ngay lập tức và không làm gì cả nếu trình duyệt của quý khách gửi Do Not Track. Bật tính năng đó trong trình duyệt chính là công tắc, và chúng tôi muốn chỉ thẳng vào nó hơn là giấu đi.