隐私政策

Tóvox 由 NUBLK LLC（一家怀俄明州有限责任公司，以下称“我们”）运营。NUBLK LLC 还发布 iPhone 版 Tóvox 应用，并将发布 Android 版应用。Tóvox 由 Claymore & Colt Agency 设计。

本政策适用于 Tóvox 网站（tovox.io）、Tóvox 网页应用（chat.tovox.io）、Tóvox Mail 和 Tóvox 应用。它说明我们收集什么、我们能读取和不能读取什么、还有谁参与其中，以及你可以要求我们做什么。

问题和请求：[email protected]。邮寄地址：NUBLK LLC. Registered office: 30 N Gould St, Ste N, Sheridan, WY 82801。

• 你与他人聊天中的消息（包括照片、文件和语音消息）是端到端加密的。我们只以我们无法读取的形式存储它们。
• 有些内容不是端到端加密的：与机构员工的商家聊天、会议、Tóvox Mail、与 Skye 和其他机器人的聊天，以及你发送到我们服务器进行翻译或转成文字的任何内容。第 4 节列出了全部内容。
• 翻译、语音转文字、会议摘要和 Skye 在你的设备上或我们自己运营的服务器上运行，这些服务器不存储你的音频。唯一的例外是 Translate 仅在你同意后才可能使用的一项外部语音服务，详见第 4 节。
• 我们将你的数据存储在我们自己位于美国的硬件上。部分外部服务会保留自己处理的内容的副本；例如，Resend 会将每封电子邮件的副本保留 30 天（第 9 节）。
• 我们不出售你的数据，不展示广告，也不使用广告或分析类 Cookie。

端到端加密是指消息在发送前就在你的设备上锁定，只有聊天中各成员的设备持有打开它的密钥。我们的服务器负责传送和存储，但无法读取。

• 一对一聊天和共享聊天: 每条消息的文字、照片、文件、语音消息、你分享的位置和回复。你登录的每台设备都有自己的密钥，每条消息也都有自己的密钥。自 2026年10月21日起发送的消息还带有发送设备的签名，因此无法在我们的服务器上以你的名义伪造消息；更早的未签名消息会被标记为未验证。
• 会议聊天、文件、字幕和摘要: 文字和文件使用该会议专属的密钥锁定后存储，只有会议成员的设备持有该密钥。谁发言或书写、其名字以及时间，对我们的服务器仍是可读的。有一个例外：为我们自己团队服务的会议助手所写的摘要以可读形式存储（第 4 节）。第 4 节还说明了生成字幕或摘要时会发生什么。

为了让服务正常运作，消息周边的少量信息对我们的服务器仍是可读的：谁在哪个聊天中、谁在何时发送了消息、你使用了自己的哪个名字、文件大小、共享聊天的名称，以及通话后出现在聊天中的“未接来电”和通话时长记录。你的名字、@用户名和头像对使用 Tóvox 的人可见。

你的个人链接（chat.tovox.io/u/your-handle）只显示你的 @用户名，除非你在 Settings（设置）中开启 Public profile（公开资料）：开启后，任何打开你链接的人以及其他应用中的链接预览，也会看到你的名字和头像。除非你主动开启，否则此项为关闭状态，你也可以随时关闭；已经显示过你链接的应用可能会在一段时间内保留旧的预览。

• 语音和视频通话: 一对一通话在两台设备之间加密，通话建立过程由双方签名。无法直接连接时，通话会经过我们自己的中继服务器，我们在向 Vultr 租用的美国服务器上运行它。中继服务器只转发加密的通话，无法收听或观看，因此我们和 Vultr 都无法收听或观看；但它能看到双方设备的 IP 地址、通话发生的时间以及通话传输的数据量。为了找到连接路径，你的设备会向同一台中继服务器查询你的网络地址；不使用任何外部连接检测或中继服务。我们不录制通话。我们会保留每次通话的记录（谁呼叫了谁、语音还是视频、时间、时长、是直接连接还是经过中继，以及如何结束）。
• 会议: 会议在我们自己的会议服务器上进行，我们使用 LiveKit 会议软件，在同一台向 Vultr 租用的美国服务器上运行它（不涉及任何外部视频服务）。声音和视频在往返该服务器的途中是加密的，但不是端到端加密：我们的会议服务器以可读形式处理它们，以便转发给会议中的其他人，因此在会议进行期间，它们在该服务器上是可读的。该服务器还能看到会议参与者的 IP 地址。我们不录制会议。我们会保留会议的名称、主持人、成员、时间和设置。
• 会议字幕: 开启字幕后，你麦克风的声音会被发送到我们自己的语音服务器，转成文字后再发回。音频不会被存储。随后，各行文字会使用会议密钥锁定后存储（第 3 节）。在英语会议中，我们的语音服务器还能识别谁在发言：当有人自我介绍时（例如“Hi, I’m Ana”），它会为该名字保存一个声纹档案，并关联到它正在为其生成字幕的那个人的帐户，用于标注之后的各行文字。你可以要求我们删除声纹档案。
• 会议摘要: 当主持人结束一场有字幕的会议，或有成员要求生成摘要时，字幕文字会被发送到我们自己服务器上的语言模型，由它撰写摘要。字幕文字不会在那里保留或记录，也绝不会发送给外部公司。完成的摘要使用会议密钥锁定后存储。之后，主持人的助手可能会在与该助手的聊天中把笔记发给所有参会者，该聊天不是端到端加密的。成员也可以要求发送一封附有笔记链接的电子邮件：邮件中不包含笔记，打开链接需要登录。
• 为我们自己团队服务的会议助手: 当我们团队中开启了此功能的成员加入会议时，一个记笔记的助手也会一同加入。它会聆听会议并撰写摘要，该摘要以可读形式（不使用会议密钥锁定）与会议一同存储，并发送给会议中拥有自己 Tóvox 助手的人。
• 商家聊天（尚未向所有人开放）: 与 Tóvox 上的机构或其某个部门的聊天不是端到端加密的：该机构的员工可以读取，聊天会在你发送任何内容之前注明这一点。其消息以我们的服务器可以读取的形式存储在服务器上。目前仅支持文字，而且关键词和链接过滤器可能会暂扣某条消息，交由我们的团队审核。每条员工回复都会显示撰写该回复的员工的显示名称；机构的所有者和管理员可以看到哪位员工做了什么。与某个后来并入机构的商家名称之间的旧聊天，仍保持端到端加密。
• Skye 和其他机器人: 与我们的助手 Skye 以及与任何其他机器人的聊天以可读形式存储，因为机器人必须读取它们。Skye 使用我们自己服务器上的语言模型来回答。他人创建的机器人由他们运营，他们可以读取你发给该机器人的内容。
• Tóvox Mail: 邮件存储在我们自己的邮件服务器上，该服务器可以读取邮件。你与其他电子邮件服务之间收发的邮件，按电子邮件的通常方式传输和存储，不是端到端加密的。
• 翻译: 翻译会尽可能在你的设备上进行（网页应用中使用 Chrome 的内置翻译器，iPhone 应用中使用 Apple 的设备端翻译），此时文字绝不会离开你的设备。否则，文字会被发送到我们自己的翻译服务器，服务器读取文字以进行翻译。文字不会在那里存储或记录，也绝不会发送给外部公司。译文只保存在打开的浏览器标签页中。在聊天中，除非你在 Settings（设置）中将其关闭，否则 Auto-translate（自动翻译）为开启状态。在端到端加密消息的文字第一次发送到我们的服务器进行翻译之前，Tóvox 会询问你一次；在你同意之前，只会进行设备端翻译。翻译后的消息会注明是在你的设备上还是在我们的服务器上翻译的。
• 语音转文字: 在网页应用中，聊天、Translate（翻译）和会议字幕中的麦克风会把你的语音发送到我们自己的语音服务器，由服务器转成文字后把文字发回。那里不存储任何内容：既不存储音频，也不存储文字。有一个例外：如果我们的语音服务器不可用，Translate（目前仅向测试人员开放）可以改为把你的语音发送给外部语音转文字公司 Deepgram。它会先询问你（每台设备一次），只有在你同意后才会进行，并且只要你的语音正在发往 Deepgram，就会在麦克风下方显示提示。在 iPhone 应用中，语音在手机本机上使用 Apple 的设备端语音识别转成文字。只有当某种语言在手机上尚未准备好，或准备失败时，iPhone 应用才可以改为把你的语音发送到我们自己的语音服务器，并且仅在你同意之后（每个帐户询问一次）。它绝不会发送给外部公司，那里不存储任何内容，没有网络连接时也不会发送任何内容。
• 通知: 通知只显示“Tóvox”以及几个简单的词：“New message”（新消息）、“Incoming call”（来电）、“Missed call”（未接来电）或一条关于预约通话的简短提示。安全和账户通知（例如 Vigía、营地通知、你的账户上有新设备，或有人请求移除你的设备）只显示“Open Tóvox for details”（打开 Tóvox 查看详情）。它绝不显示谁发来消息或谁在呼叫、聊天或商家的名称、营地通知的内容或消息内容，也不携带任何推送服务能读取的聊天或人员标识符（在浏览器中，同一聊天的通知在加密的通知内共用一个代码，以便浏览器把它们放在一起显示）：你点按通知后，Tóvox 会在你登录之后判断它与什么有关，然后打开消息或通话通知所属的聊天，或在网页版中打开 Vigía 通知的 Vigía 行程；其他安全和账户通知会打开 Tóvox，详情就在那里（iPhone 应用还没有 Vigía，所以在那里 Vigía 通知只会打开 Tóvox）。通知通过你的浏览器或手机的推送服务送达你的设备（第 9 节）。通知里的链接带有一个只为这条通知生成的代码。
• 来自 Tóvox 的电子邮件: 会议邀请、你要求时发送的会议笔记链接、用于验证电子邮件地址的登录验证码，以及 Vigía 安全警报，都以普通电子邮件发送。Vigía 邮件和会议笔记邮件不包含姓名、地点或笔记：它们只说明某位联系人请你照看他们或需要你，或者笔记已准备好，并附上一个需要登录的链接。Vigía 邮件中的链接带有一个代码，它不显示任何行程、地点或姓名。发给同一联系人、关于同一行程的所有邮件都带有同一个代码。当你通过电子邮件邀请他人参加预定的会议时，每封邀请都附有一个日历条目，其中列出所有受邀者的电子邮件地址。我们会随会议保留受邀者的名字，但不保留他们的电子邮件地址。
• 截图提示: 在开启了截图提醒的聊天中，网页应用会在检测到截图按键（例如 Print Screen）时，或在你从聊天的标签页或窗口切换离开时（这可能意味着截图），记录下来并告知聊天中的其他人。
• Vigía 和音乐节营地（尚未向所有人开放）: 一次 Vigía 行程会与你选择的联系人分享你的实时位置、路线、报平安记录以及你录制的任何片段，这些内容会存储在我们的服务器上，以便他们查看。音乐节模式中的营地通知会发送给整个营地，不是端到端加密的。

你可以将聊天中的消息设置为在 5 分钟、1 小时、1 天或 1 周后消失。计时结束时，消息会立即隐藏，随后连同其文件从我们的服务器上删除，通常在几分钟之内。在消息消失之前，聊天中的任何人仍可以复制、转发或拍下该消息。

当你为所有人删除一条消息时，其内容和文件会从我们的服务器上移除，只留下一条“消息已删除”的提示。

• 你的加密密钥在你的设备上生成并保留在那里，下文所述的锁定备份除外。每部手机或每个浏览器都是一台独立的设备，各有自己的密钥。
• 当你在新设备上登录时，你开启了通知的其他设备会收到提醒；Devices & Sessions（设备与会话）会列出你帐户中的每台设备，方便你移除不认识的设备。如果你的帐户开启了设备批准，新设备还必须经你的某台现有设备批准，或使用你的恢复短语批准，才能读取你的消息。
• 密钥备份：如果你设置了备份，你的密钥（以及你已打开过的消息的密钥，以便在新设备上读取历史记录）会在上传前在你的设备上用恢复短语锁定。我们只存储锁定后的副本，无法打开它。Tóvox 可以建议12 个随机单词作为你的恢复短语。如果你同时丢失了恢复短语和所有设备，我们无法恢复你的消息。
• 为了快速打开聊天，应用会在你的设备上保留副本：你打开过的文件仍以加密形式保存在那里；iPhone 应用会把你的聊天保存在手机上，并用一个只保存在手机钥匙串中的密钥锁定，该密钥不包含在手机备份中，并会在你退出登录时被清除。

• 登录: 你使用 Google、Microsoft 或 Apple 登录。我们会从它们那里获得你的名字、电子邮件地址，以及你的头像（如有）。我们绝不会获取或保管你的密码。
• 个人资料: 你的显示名称、@用户名、照片、语言、你添加的任何商家名称（及其照片，以及你为其验证的电子邮件地址或网站域名），以及你最后一次在线的时间（由你选择是否让他人看到）。
• 注册: 你加入时，我们会记录你加入时所在的国家（由 Cloudflare 判断出的两个字母的国家代码，而不是你的 IP 地址）以及你的加入方式（公开注册，或邀请你的管理员）。我们会给你发送一封欢迎邮件，我们的管理员会收到一条有人加入的通知，其中包含时间和加入方式（公开注册或受邀加入），但不包含你的名字、@用户名或国家，这些信息他们在管理页面上查看。
• 你的联系人和设置: 你保存为联系人或信任的人、你屏蔽的人、你的广播列表、你置顶或静音的聊天，以及你的其他设置。
• 设备: 每台设备的：公钥、标签（例如“Chrome on macOS”）、设置它时所用的网址、添加时间、最后使用时间、批准时间（开启设备批准时）或移除时间，以及开启通知时的通知地址。
• 消息和通话: 第 3 节所述的加密消息和文件，以及第 4 节所述的通话和会议记录。
• 位置: 仅在你于聊天中分享位置（在加密消息内）或开始一次 Vigía 行程时收集。我们不会在后台追踪你的位置。
• 技术信息: 你的 IP 地址，我们的服务器和 Cloudflare（第 9 节）在你每次访问时都会看到它。我们用它来限制滥用；为限制而保留的计数器保存在内存中，并在我们的服务器重启时清除。我们的服务器还会保留常规的技术日志（例如错误），用于发现和修复问题。网站还会使用 Cloudflare 根据你的 IP 地址判断出的国家来选择页面显示的语言；为此目的不会存储该国家信息。
• 当你写信给我们时: 你发送的内容和我们的回复。

• 运营 Tóvox：传递消息、通话、会议、邮件、通知和翻译。
• 保障安全：检查设备、制止滥用、执行我们的条款并保护他人。
• 在你联系我们时回复你。
• 履行我们的法律义务。

我们不会出售你的数据，不会将其用于广告，也不会为了向你推销而建立你的画像。

我们在自己的服务器上运营 Tóvox，并在我们租用的服务器上运行通话中继和会议服务器。以下外部服务参与其中，且各自仅限于所列的工作：

• Cloudflare: 我们的网络服务提供商。对 Tóvox 的访问在到达我们服务器的途中会经过 Cloudflare。加密的消息始终保持加密。
• Google、Microsoft 和 Apple: 在你选择它们时用于登录。
• Vultr: 向我们出租位于美国的服务器，我们在其上运行通话中继和会议服务器（第 4 节）。经过它的一对一通话仍保持端到端加密；会议进行期间，会议的声音和视频在那里以可读形式处理。它不存储任何消息，也不存储任何录音或录像。
• 推送服务: 通知通过你浏览器的推送服务（例如 Chrome 中 Google 的、Safari 中 Apple 的或 Firefox 中 Mozilla 的推送服务）发送，iPhone 应用则通过 Apple 的推送服务发送。我们的 Android 应用发布后将使用 Google 的 Firebase Cloud Messaging。浏览器通知是加密的，因此浏览器的推送服务无法读取。iPhone 应用的通知不加密，因此 Apple 可以看到通知文字（只是上面所说的通用措辞，所以能看出是消息、来电、预约通话还是“Open Tóvox for details”）、通知的紧急程度和可以等待送达的时长、一个只为这条通知生成、不登录 Tóvox 就毫无意义的代码，以及有一条通知发送到了你的手机和发送的时间。
• Resend: 发送 Tóvox 的电子邮件：会议邀请、会议笔记链接、电子邮件验证码、Vigía 警报、欢迎邮件以及给管理员的注册通知。Resend 会将每封电子邮件的副本（包括正文）保留 30 天，然后删除，但 Resend 自己的备份会再保留 7 天。Vigía 警报、会议笔记邮件和给管理员的注册邮件不含姓名、地点或笔记；会议邀请和欢迎邮件仍会写明相关人员的姓名。
• Deepgram: 为 Translate 提供语音转文字，仅在我们自己的语音服务器不可用期间，并且仅在你同意之后（第 4 节）。
• OpenStreetMap: 在聊天中分享位置时显示地图，因此它会收到所显示的区域。点按地图会在 Apple Maps 中打开，Apple Maps 随即会收到该位置。Vigía 还使用来自 OpenStreetMap、CARTO、OSRM 项目和 Overpass 服务的地图、地址、路线和周边地点服务。

在法律要求时（例如有效的法院命令）、为保护某人的安全，或为向 National Center for Missing & Exploited Children（NCMEC，美国国家失踪与受剥削儿童中心）报告儿童性虐待材料，我们也会共享数据。我们无法提供端到端加密消息的内容，因为我们无法读取它们。如果 NUBLK LLC 的业务被出售或重组，你的数据将按照本政策转移给新的所有者。

你的数据存储在我们在美国拥有并运营的服务器上。部分外部服务会保留自己处理的内容的副本；例如，Resend 会将每封电子邮件的副本保留 30 天（第 9 节）。我们的通话中继和会议服务器运行在向 Vultr 租用的服务器上，同样位于美国；它不存储任何消息，也不存储任何录音或录像。第 9 节中的外部服务可能会在其他国家处理数据。如果你在美国境外使用 Tóvox，你的数据会在美国处理。

• 消息和文件：直到你或发送者删除它们、消失计时结束，或聊天被删除。
• 通话记录：直到通话中的任意一方删除其帐户。
• 会议记录、字幕和摘要：为会议成员保留。如果你删除帐户，其中你的名字会被移除。
• 你的帐户和个人资料：直到你要求我们删除你的帐户。
• 用于语音转文字的音频，以及发送去翻译的文字：完全不保留。
• 屏蔽或移除的记录，以及我们管理员所做操作的记录：为保护服务而保留。
• 我们报告的儿童性虐待材料：按照美国法律的要求保存一年，然后删除。

• 随时在应用中更改你的名字、用户名、照片、语言和设置。
• 为所有人删除你的消息、退出共享聊天、开启自动消失的消息，以及移除不再使用的设备。
• 在 Settings（设置）中，或在你的浏览器或手机中关闭通知。
• 用你登录所用的电子邮件地址写信到 [email protected]，要求我们提供我们所持有的你的帐户数据副本、更正这些数据，或删除你的帐户。我们可能需要核实是你本人。我们力求在 30 天内答复。

删除帐户会移除你的个人资料、设备、密钥、备份、联系人、通知、声纹档案、机器人和成员身份，以及没有其他人仍在使用的你的照片和文件。你发给他人的消息仍以加密形式保留在他们的聊天中。你的名字会从会议字幕、会议聊天和笔记的发言者和作者标签中移除，但出现在字幕、笔记或摘要正文中的名字会保留。你的登录记录存放在一个登录服务上，我们和我们的关联企业运营的其他应用也使用该服务；如果你希望一并删除，请告诉我们。

根据你所在的地区，你可能依据当地法律享有更多权利。写信给我们，我们会提供帮助。

你必须年满 13 周岁才能使用 Tóvox。我们不会在知情的情况下收集 13 周岁以下儿童的数据。如果我们得知有 13 周岁以下的儿童拥有帐户，我们会将其删除。如果你认为发生了这种情况，请写信到 [email protected]。

我们不使用广告或分析类 Cookie。Tóvox 只在你的设备上存储必需的内容：

• 四个小型 Cookie：你选择的浅色或深色主题、手机菜单位于哪一侧、你在语言菜单中选择的网站语言，以及一条表示你以前访问过本网站的记录（这样你打开的英文链接就不会再次被转到其他语言的页面）。
• 你的登录会话，让你保持登录状态。Tóvox Mail 运行在自己的服务器上，会保留自己的登录会话。
• 你的加密密钥以及第 6 节所述的加密副本。
• 少量偏好设置，例如你是否同意过某项提示。

清除浏览器的网站数据会使你退出登录，并删除此设备的密钥。如果没有密钥备份或其他设备，发送到此设备的消息将再也无法打开。

除了端到端加密，我们还会对消息和通话建立过程进行签名，在你的帐户每增加一台新设备时提醒你，全程使用加密连接，并限制可以访问我们服务器的人员和程序。没有任何系统是绝对安全的；如果你发现问题，请阅读我们的安全页面。

当我们修改本政策时，会更新顶部的日期。对于重要变更，我们会在其生效前通过应用或电子邮件通知你。

隐私问题或与你的数据相关的请求：[email protected]，或邮寄至 NUBLK LLC. Registered office: 30 N Gould St, Ste N, Sheridan, WY 82801。