未寄隐私政策

一、应用在本地处理的数据

1. 你主动填写的信件数据：收件人昵称、标题、正文、情绪标签、封存日期、提前破封理由和灰烬备注。
2. 应用生成的本地记录：随机信件编号、创建和更新时间、封存与开启时间、破封与烧毁时间、信件状态及永久烧毁标记，用于展示抽屉、判断到期状态和执行烧毁规则。
3. 隐私同意和必要设置：本政策同意版本和同意时间、应用锁设置、视觉偏好。应用锁只保存由 PIN 派生的验证值、随机盐和必要参数，不保存 PIN 明文。
4. 你主动导入或导出的备份：备份包含信件内容、信件时间与状态记录及烧毁标记，不包含应用锁 PIN、PIN 验证值或隐私同意记录。应用只处理你通过系统文件选择器明确选择的文件，不会自行扫描设备文件。

未寄不会主动读取通讯录、短信、通话记录、位置、相册、相机或麦克风，不接入广告、用户画像或第三方行为分析服务。

二、本地存储与加密

信件正文、收件人、标题、情绪标签、破封理由和灰烬备注在写入应用私有存储前使用 AES-256-GCM 加密。内容密钥由设备 HUKS 密钥保护。随机信件编号、状态和必要时间信息保存在应用沙箱内，用于列表、倒计时和状态流转。

应用锁是界面访问控制，不替代设备锁。应用窗口启用系统隐私模式，减少截屏或录屏泄露内容的风险。

卸载应用或在系统设置中清除应用数据，通常会删除沙箱内的信件、密钥、设置和隐私同意记录；如无可用备份，数据将无法恢复。

三、系统权限与文件选择

未寄仅声明系统隐私窗口权限，用于保护窗口内容；该权限由系统管理。应用不申请网络权限，不在后台运行，也不接入广告、统计、推送、第三方账号登录或云同步 SDK。

仅在你主动导出或导入备份时，未寄会调用系统文件选择器。应用只访问你明确选择的保存位置或备份文件，不会自行扫描设备文件。若你选择第三方或云端文件提供方，相关文件可能由该服务按其隐私政策处理。

四、加密备份、导入与烧毁

只有在你主动操作时，未寄才会导出或导入备份。导出时，信件数据会使用你设置的口令，通过 PBKDF2-HMAC-SHA256 派生密钥并以 AES-256-GCM 整体加密，保存为 .unsent 文件；应用不保存备份口令。遗失口令可能导致备份无法恢复。

烧毁信件时，应用会删除正文密钥、清空正文，并保留不含正文的加密灰烬记录和永久烧毁标记。本机后续导入较早备份时，该标记会阻止同一封信恢复正文。

应用无法删除你此前导出到沙箱外的旧备份。如果旧备份生成于烧毁前，又被导入一台从未保存该烧毁标记的设备，正文仍可能存在。因此需要由你自行删除烧毁前的旧备份。烧毁后生成的新备份不包含已烧毁正文，并会携带永久烧毁标记。

五、共享、转让与公开披露

由于未寄没有开发者业务服务器，我们不会接收、出售或向第三方共享你的信件数据，也不会将其用于广告投放或用户画像。

你主动将加密备份保存到第三方存储服务、传输给他人，或使用设备厂商提供的系统备份功能时，相关文件或应用数据可能由对应服务处理，其处理规则以该服务的隐私政策和你的系统设置为准。

六、你的权利与数据删除

你可以在应用内查看和管理信件、开启到期信件、提前破封并留下记录、烧毁正文、移除灰烬记录，以及导入或导出加密备份。涉及破封、烧毁和移除灰烬等重要操作时，应用会明确提示后果并再次确认。

你可以在设置中重新查看本政策。若不再同意本政策，可以停止使用并通过系统设置清除应用数据或卸载应用。已经导出的备份需要由你在保存位置另行删除。如需查询、投诉或行使其他法定权利，可通过本政策末尾的邮箱联系我们。

七、数据安全与保存期限

我们通过应用沙箱、HUKS 设备密钥、内容加密、独立正文密钥、加密备份、格式校验、永久烧毁标记和系统隐私窗口等措施保护数据。你应妥善保管设备解锁凭据、应用锁 PIN、备份文件和备份口令。

应用沙箱内的数据会在你使用期间持续保存在本机，直到你主动删除、清除应用数据或卸载应用；你导出的备份由你决定保存期限。任何安全措施都无法完全排除设备丢失、系统漏洞、恶意软件或用户主动共享造成的风险。

八、未成年人保护

未寄是通用的本地私密写作工具，不以未成年人为主要服务对象。未成年人应在监护人指导下阅读本政策并使用写信、封存、应用锁和备份功能，不应在信件中保存不必要的敏感个人信息。

九、政策更新与联系我们

功能、权限或数据处理方式发生重要变化时，我们会更新本政策，并通过应用内页面或应用市场信息进行说明。需要重新确认时，应用会在启动阶段再次展示隐私提示。

运营主体：北京联安行信息技术有限公司
联系邮箱：support@topeid.com