隐私政策

这是译文。如果它与英文版本有出入，以英文版本为准。

1. 我们是谁

MailLoyal 是一款独立的应用程序。对于本政策所描述的少量数据，开发者是数据控制者，可通过 mehmetali@creativetorontonian.ca 联系。

MailLoyal 不运营任何类型的服务器。没有需要创建的 MailLoyal 账户，无需注册，无需登录我们的服务，我们也无法识别你的身份。

2. MailLoyal 在你的设备上存储的内容

以下所有内容仅存储在设备上 App 的私有存储空间中，并会在你删除 App 时一并移除。

MailLoyal 不会读取你设备上的通讯录、照片图库（除了你选择作为附件的那一张图像）、你的位置、你的日历、你的通话或信息记录、你的广告标识符，或任何其他 App 的数据。

3. 哪些内容会离开你的设备，以及发送给谁

共有五个可能的目的地。其中没有一个是 MailLoyal 服务器。

3.1 你的邮件服务器

邮件客户端通常会发送的一切：登录时的用户名和密码、列出和获取邮件的命令、你发送的邮件，以及你更改的旗标。连接始终是加密的——MailLoyal 首先尝试隐式 TLS，然后尝试 STARTTLS，如果两者都不可用，它会停止并告知你。MailLoyal 绝不会退回到未加密的连接，因此你的密码绝不会以明文传输。

你的邮件服务商如何处理这些数据，受其自身的隐私政策约束。

通过电子邮件发送签名（“签名 → 通过电子邮件发送”）属于你发送的邮件之一：它从你自己的账户经由你自己的邮件服务器发送到你选择的地址，与其他任何邮件一样。其中包含你选中的签名（显示在邮件中，并在一个小附件 MailLoyal-signatures.json 中重复一份），以及你输入的备注（如有）。没有任何内容经过 MailLoyal 服务器。当你收到这样的邮件时，MailLoyal 只会从你自己的邮件服务器读取该附件，而且只读入内存；在你查看并轻点“添加”之前，不会有任何内容添加到你的签名中，而且来自邮件的签名绝不会自行成为你的默认签名。在查看屏幕上，签名的标志——它从发件人选择的网址载入，因此在显示时会让该网站知道——会一直隐藏，直到你允许为止。邮件本身与其他任何邮件一样，遵循你的图像设置（§4）。

3.2 自动发现服务器（仅在设置账户时）

添加账户时，MailLoyal 会尝试为你推断服务器设置。它可能会通过 HTTPS 按以下顺序请求下列地址。你输入地址时进行的查询会在第一个作出响应的地址处停止；逐步进行的连接检查可能会请求全部三个地址：

1. https://autoconfig.thunderbird.net/v1.1/<your-domain>——Mozilla ISPDB，一个由 Mozilla 运营的公开邮件服务器设置目录。只会发送你的电子邮件域名（例如 example.com），绝不会发送你的完整地址，也绝不会发送你的密码。
2. https://autoconfig.<your-domain>/mail/config-v1.1.xml?emailaddress=<your address>
3. https://<your-domain>/.well-known/autoconfig/mail/config-v1.1.xml

第 2 步和第 3 步会发往你自己的邮件域名——也就是运营你邮箱的同一机构。第 2 步包含你的完整电子邮件地址，因为 autoconfig 标准就是这样规定的；它会发送给你自己的服务商，而不是我们。

这些请求只在你添加账户期间发生，之后绝不会发生。如果你手动输入服务器设置，则不会发出其中任何请求。

3.3 AI 功能——仅在你开启时

每项 AI 功能都默认关闭。共有四项——签名、回复起草、撰写新邮件，以及改写你已写内容的写作工具——它们发送的内容各不相同，因此各有独立的开关，并各自单独征求同意。开启其中一项绝不会开启另一项。

它们使用你自己的 API 密钥运行。MailLoyal 没有 AI 密钥，也没有自己的 AI 服务。你在“设置 → AI 助手”中输入密钥；它存储在此设备的钥匙串中，请求会直接从你的设备发送到你选择的服务商——Anthropic 或 OpenAI。请求不会经过任何 MailLoyal 服务器，因为根本不存在这样的服务器。

你在该服务商处使用的是你自己的账户和你自己的密钥，请求受该服务商的条款和隐私政策约束。

没有密钥时，签名生成会退回到内置的离线模板，完全不发出任何网络请求；回复起草、撰写新邮件和写作工具也都不会提供——无法为读不到的邮件起草回复，而撰写邮件或改写邮件也都没有离线替代方案。

签名生成只发送你在签名表单中输入的字段：你的姓名、职位、公司、电话号码、网站、电子邮件地址、你输入的任何附加行和免责声明，以及你选择的语气。如果你输入了标志 URL，App 会在你的设备上下载该图像并一同发送，以便签名能够使用你品牌的颜色；下载请求只会发往你输入的地址，如果图像不是 3 MB 以下的 PNG、JPEG、GIF 或 WebP，则会直接略去。

签名编辑器中的使用 AI 更新会发送该签名的 HTML、你输入的更改要求以及上述标志图像——发往你自己的密钥所对应的服务商，并且仅在你轻点“更新”时发送。结果会返回到编辑器中；在你轻点“存储”之前，不会存储任何内容。

回复起草会根据对话和你输入的备注写出回复的初稿。当你轻点撰写草稿时，它会发送：

• 你所回复邮件的文本、其主题和日期，以及发件人的显示名称；
• 除非你为该草稿关闭使用较早的邮件，还会发送同一对话中最多 6 封较早邮件的文本，以及其作者的显示名称和日期——或者，当这些邮件不在此设备上时，发送你所回复邮件底部引用的历史记录，并移除其中署名行和标头行里的电子邮件地址；
• 回复所发往的人的显示名称（例如“Grace Hopper 和另外 2 人”）；
• 你的备注、你选择的语气和长度、今天的日期，以及——如果你保持使用你已写的内容开启——你已在回复中输入的任何内容；
• 你自己的显示名称，仅在未附加签名时发送，以便草稿用它落款。

这是 MailLoyal 唯一会发送并非由你亲自输入的内容的地方，因此有必要准确说明它不发送什么，以及它如何作出决定：

• 引用的历史记录会在发送前从每封邮件中移除，这样每封邮件只发送一次，而不是以副本的副本形式重复发送。隐藏在邮件格式中的文本以及不可见字符也会被移除。
• 不会发送电子邮件地址来代替名称：没有显示名称的人会被称为“一位通信人”。我们不会发送标头、附件、你正在使用哪个账户，或来自其他对话的任何内容。
• 只有当你所回复的人参与了某封较早的邮件时，该邮件才会一并发送，而且绝不会来自你的“草稿”“垃圾邮件”或“废纸篓”。只有当某封邮件的副本位于你的“已发送”文件夹中时，它才算作你的邮件。
• 草稿会返回到写邮件编辑器中，供你阅读和修改。绝不会代你发送任何内容；草稿因不知道某项事实而留下的空缺——显示在 [方括号] 中——会突出显示，并且在未填写的情况下发出之前，“发送”会先询问你。
• 这些邮件是别人写的，他们并未同意这一切。正因如此，此功能在你开启之前一直处于关闭状态；它的同意与签名功能分开，并写明邮件将发往何处；切换 AI 服务商时会再次询问；我们也只发送草稿所需的最少内容。你可以在“设置 → AI 助手”中将其关闭。

MailLoyal 绝不会发送你的邮箱密码、你的联系人、你的文件夹列表，或你选择回复的对话之外的任何邮件。

撰写新邮件会将你的备注变成一封新邮件的初稿。它有自己的开关和自己的同意屏幕，其中写明了服务商；同意回复起草不会开启它，它也不会开启回复起草。它需要你自己的密钥。当你轻点撰写草稿时，它会发送：

• 你的备注、你选择的语气和长度，以及今天的日期；
• 主题，如果你已写了主题（否则草稿会建议一个主题，并且只会填入空白的主题）；
• “收件人”和“抄送”中各人的显示名称——绝不会发送他们的电子邮件地址，绝不会发送“密送”中的任何人，也绝不会发送你自己的地址；
• 如果你保持使用你已写的内容开启，你已在邮件中输入的任何内容；
• 你自己的显示名称，仅在未附加签名时发送。

它不会发送你邮箱中的任何邮件——不会发送任何别人写的内容。与回复一样，草稿会返回到写邮件编辑器中供你阅读和修改，它因不知道某些事实而留下的空缺会突出显示，并且绝不会代你发送任何内容。你可以在“设置 → AI 助手”中将其关闭。

写作工具——编辑器工具栏中的“改进文字”“缩短一些”“修正拼写和语法”“更改语气”和“翻译”——会接收你已写好的邮件，并将改写后的版本交还给你。它们有自己的开关，以及自己的同意屏幕，其中写明了服务商；同意其他三项中的任何一项都不会开启它们，它们也不会开启其他三项中的任何一项。它们需要你自己的密钥。当你选择其中一个工具时，它们会发送：

• 编辑器中的文本——带格式的邮件，或者如果你以纯文本撰写，则为纯文本邮件；
• 你选择了哪个工具，以及随之发送的：你为“更改语气”选择的语气、你为“翻译”选择的语言，或者——对于“更新”——你为要求更改而输入的内容。

这就是请求的全部内容。没有主题，没有收件人，没有你正在回复的邮件，没有引用的对话，也没有你邮箱中的任何其他内容。你写的内容会按原样发送，事先不会缩短，因为改写结果会取代全部内容——所以如果你把别人的文字粘贴到了邮件中，或让 AI 在其中起草了回复，那些文字也属于发送的内容。

在你选择某个工具之前，不会发送任何内容。改写结果会返回到编辑器中供你阅读和修改，只需一次撤销即可恢复你自己的文字，并且绝不会代你发送任何内容。你可以在“设置 → AI 助手”中关闭这些工具。

MailLoyal 不会保留其中任何内容的副本，因为这些内容都不会到达我们这里。

3.4 Google 移动广告——iOS 和 Android

iOS 和 Android 版本会在冷启动时载入一则开屏广告，在收件箱顶部载入一则原生广告，并在你正在阅读的邮件下方载入一个横幅广告。Android 版本还可以载入一则插页式激励广告，仅在你于“设置 → 隐私”中选择暂停广告后才会显示。看完这则可选广告会将横幅广告和原生广告隐藏 30 分钟；取消观看不会限制任何功能。从后台返回 App 不会请求开屏广告。Mac 版本不显示广告，也不包含 Google 的广告 SDK。如果你移除了广告（§3.5），本节所述的一切都不会发生：不会请求广告，不会显示 Google 的隐私消息，也不会启动 Google 的广告 SDK。

每个广告请求都明确标记为非个性化。在 iOS 上，MailLoyal 不会请求“App 跟踪透明度”许可。在 Android 上，它会移除 Google 广告 SDK 读取你设备广告 ID 所需的权限，因此该 SDK 收到的是一串零；Google 仍可能收到应用集 ID（Android 为同一设备上同一开发者的各个 App 提供的标识符），以及在适用情况下与设备上已登录账号相关的标识符。MailLoyal 不会接收你的广告资料或 Google 处理的数据。Google 和参与的广告提供商可能会处理设备标识符和广告标识符、根据你的 IP 地址推断的粗略位置、广告浏览和互动，以及诊断或性能数据，用于广告投放、效果衡量、防范欺诈、频次上限控制和报告。此类处理受 Google 的隐私政策及其用户消息平台所提供的选项约束。

在有要求的情况下，MailLoyal 会在请求广告之前向 Google 的同意服务获取当前的隐私消息。如果同意情况不允许发出广告请求，则不会请求广告。当 Google 要求提供一个常设的隐私选项入口时，它会显示在“设置 → 隐私 → 广告隐私选项”下。

3.5 移除广告——iOS 和 Android

iOS 和 Android 版本在“设置 → 移除广告”下提供两种移除广告的方式：按月订阅和一次性终身购买。在 iOS 上向 Apple 购买，在 Android 上向 Google Play 购买。Mac 版本不显示广告，因此那里不出售任何东西。

在 iOS 上：

• 购买通过 Apple 进行，经由 App Store，使用你的 Apple 账户。你的付款详细信息会发送给 Apple，绝不会发送给 MailLoyal，付款受 Apple 自己的条款和隐私政策约束。
• MailLoyal 不会收到任何购买信息。它没有服务器，因此你的购买、你的 Apple 账户或你的付款方式无处可发，也确实没有发送任何内容。
• App 会向 StoreKit——Apple 在你设备上的购买系统——询问广告是否已被移除。Apple 在设备本身上核验购买。App 会将该答复保存在其本地偏好设置中：哪个方案、何时购买、付费期何时结束、是否续订以及是否来自促销代码，不含任何付款数据——保存它只是为了避免在 App Store 作出答复之前启动广告在屏幕上一闪而过。它还会保存上次提议移除广告的时间，以便该提议最多每三周出现一次。两者都会随 App 一起被移除。
• 恢复购买会向 App Store 查询已使用你的 Apple 账户进行的购买——无论是在另一台 iPhone 或 iPad 上，还是在重新安装之前——并可能要求你登录该账户。
• 促销代码在 App Store 自己的代码输入页面上输入（“移除广告”屏幕上的输入兑换码），由 Apple 核验和兑换。MailLoyal 永远看不到该代码。代码所授予的权益像购买一样属于你的 Apple 账户，App 只记录它来自代码这一点。
• 订阅通过 Apple 管理和取消，可在你的 Apple 账户设置中进行（在 iPhone 上：设置 → 你的姓名 → 订阅），也可在“移除广告”屏幕上的“管理订阅”中进行。获得终身方案——无论是购买还是通过促销代码——都不会取消订阅；请在上述位置取消订阅，以免再次被扣费。只要订阅仍在续订，“移除广告”屏幕就会继续显示“管理订阅”。退款由 Apple 处理。

在 Android 上：

• 购买通过 Google Play 进行，使用你的 Google 账号。你的付款详细信息会发送给 Google，绝不会发送给 MailLoyal，付款受 Google Play 自己的条款和 Google 的隐私政策约束。
• App 不会向任何地方发送购买信息。它没有服务器，因此你的购买、你的 Google 账号或你的付款方式无处可发，也确实没有发送任何内容。不过，作为卖家，MailLoyal 的开发者会在 Google Play 管理中心收到 Google Play 自己对每笔订单的记录——例如订单号、商品、价格、日期和购买国家/地区——这是 Google 向 Google Play 上每个卖家提供的；开发者仅将其用于处理退款请求和会计用途。该记录绝不包含你的付款详细信息。
• App 会向 Google Play 结算系统——Google Play 在你设备上的购买系统——询问广告是否已被移除，并在设备本身上核验每笔购买上的 Google 签名。App 会将该答复保存在与 iOS 相同的本地偏好设置中：哪个方案、何时购买、是否续订、是否来自促销代码以及 Google Play 上次确认它的时间，不含任何付款数据。Google Play 不会告诉 App 付费期何时结束，因此不保存结束日期；相反，Google Play 有一段时间未确认的答复将不再作数。与 iOS 一样，保存它只是为了避免在 Google Play 作出答复之前启动广告在屏幕上一闪而过。它还会保存上次提议移除广告的时间，以便该提议最多每三周出现一次。两者都会随 App 一起被移除。
• 购买会向 Google Play 确认；对于 App 未在三天内确认的购买，Google Play 会予以退款。App 会在发现购买时进行确认，并在有网络时每十二小时在后台确认一次，以免在 MailLoyal 关闭期间完成的付款或兑换的促销代码被退款。它只会向 Google Play 询问你拥有什么，并告诉 Google Play 哪些购买已由 App 兑现；不会发送其他任何内容。
• 恢复购买会再次向 Google Play 查询使用你的 Google 账号进行的购买——无论是在另一台 Android 设备上，还是在重新安装之前。
• 促销代码在 Google Play 自己的兑换页面上输入（“移除广告”屏幕上的输入兑换码会打开该页面），由 Google 核验和兑换。MailLoyal 永远看不到该代码。代码所授予的权益像购买一样属于你的 Google 账号，App 只记录它来自代码这一点。
• 订阅通过 Google Play 管理和取消，可在 Google Play 的“付款和订阅 → 订阅”中进行，也可在“移除广告”屏幕上的“管理订阅”中进行。获得终身方案——无论是购买还是通过促销代码——都不会取消订阅；请在上述位置取消订阅，以免再次被扣费。只要订阅仍在续订，“移除广告”屏幕就会继续显示“管理订阅”。退款请先向 Google Play 申请；48 小时后，Google Play 可能会让你联系开发者，开发者可以在 Google Play 管理中心为订单退款。

广告移除后，无论在哪个平台上，App 都不会请求任何广告，不会显示 Google 的隐私消息，也不会启动 Google 的广告 SDK，因此 §3.4 所述的处理均不会发生。如果你在 App 打开时移除广告，收件箱中的广告和横幅会立即消失，其余各项从下次启动起生效：该次会话中已启动的广告 SDK 会保持载入状态，直到 App 关闭，但不会再向其请求任何内容。

4. 我们绝不会做的事

• 没有 MailLoyal 分析统计。开发者没有集成 Firebase、Sentry、Crashlytics 或任何分析服务。在 iOS 和 Android 上，Google 会收到 §3.4 所述的有限的广告投放和效果衡量数据。
• 不会向我们发送崩溃报告。如果 iOS 或 Android 提出向 Apple 或 Google 发送崩溃报告，那是操作系统自身的功能和政策，而非我们的；我们不会从中收到任何内容。在 iOS 上，Google 移动广告 SDK 的自动崩溃报告已停用；在 Android 上，该 SDK 没有可将其关闭的设置，因此它可能会向 Google 发送其自身崩溃的报告。
• 不请求跨 App 跟踪许可。iOS App 不会请求访问 Apple 的 IDFA，Android App 会移除读取广告 ID 的权限，并且所有广告请求都是非个性化的。
• 没有 MailLoyal 账户，没有云同步。你的账户只存在于你设置它们的那台设备上。
• 不出售数据。我们不持有你数据的任何副本。§3.4 中的广告披露说明了 Google 为运营广告而处理的数据。
• 在“垃圾邮件”中未经询问不显示远程图像。在“垃圾邮件”中，邮件里最可能出现的就是跟踪像素，因此远程图像会一直被阻止，直到你允许为止，这样打开邮件就不会悄悄告诉发件人你已阅读。在其他地方，远程图像会在你打开邮件时载入，除非你开启“设置 → 隐私 → 载入图像前先询问”，这会在所有文件夹中阻止它们。你可以按邮件或按发件人允许显示图像。

5. 通知

通知由 App 本身在你的设备上根据 App 获取的邮件生成。没有推送服务器，没有 Firebase Cloud Messaging，没有来自我们的 Apple 推送通知负载，因此也没有任何第三方会得知你何时收到邮件。

MailLoyal 会在开启通知之前先询问你。如果你选择以后，通知会保持关闭——后台也不会检查邮件——直到你在“设置 → 通知”中将其开启。

在 Android 上，MailLoyal 可以在后台与你的邮件服务器保持连接，以便及时发现新邮件；在此期间 Android 会一直显示一条持续通知“MailLoyal 正在监听新邮件”。只有当新邮件通知已开启、你已允许 MailLoyal 发送通知，并且至少有一个账户设置为通知你时，它才会运行；关闭通知会立即停止它。该连接只通往你自己的邮件服务器，也就是 App 同步所用的那台服务器。当 Android 为其分配的每日额度用完时（在 Android 15 及更高版本上为六小时），或在手机重启之后，MailLoyal 会改为每 15 分钟检查一次新邮件。

在 iOS 上无法建立这样的连接，因此 MailLoyal 使用系统的“后台 App 刷新”——这就是为什么 iOS 界面显示的是获取，而绝不是“推送”，也是为什么 iOS 通知可能会被操作系统延迟。在 Mac 上，MailLoyal 只在打开时检查邮件。

6. 儿童

MailLoyal 是一款通用邮件客户端，并非面向儿童。它没有面向儿童的功能。§3.4 所述的广告已配置为非个性化投放；家长和监护人应查看“设置 → 隐私”中提供的 Google 隐私选项。

7. 你的权利，以及如何行使

由于一切都保存在你的设备上，你可以直接行使每一项权利：

• 查看你的数据——全部都在 App 中。
• 更正数据——“设置 → 该账户”，或邮件本身。
• 删除一个账户——设置 → 该账户 → 从本设备移除账户。这会立即从本地数据库中删除该账户的记录、其缓存的正文和附件，并从系统钥匙串中删除其密码。
• 删除全部内容——移除每个账户，在“设置 → AI 助手”中删除你的 AI 密钥，然后卸载 App。系统会随之移除 App 的容器、其数据库和缓存。App 删除后，系统可能会保留钥匙串项目，这就是为什么先移除账户和密钥很重要。
• 转移到别处——你的邮件以标准格式保存在你的邮件服务器上，任何 IMAP 客户端都可以访问。

在 MailLoyal 中删除数据不会删除你邮件服务器上的邮件；如需删除，请使用你的服务商提供的工具。从 MailLoyal 移除账户只会移除本地副本和存储的凭据。

我们无法代你处理删除或访问请求，因为我们不持有任何内容的副本。如果你写信至 mehmetali@creativetorontonian.ca，我们也会如实这样答复。

8. 安全

• 密码和 API 密钥只存储在平台钥匙串中（iOS 钥匙串，在首次解锁之前受保护且不会同步到设备之外；macOS 钥匙串；Android Keystore，MailLoyal 不参与 Android 的备份），绝不存储在数据库或偏好设置中，绝不写入日志，也绝不出现在你可以拷贝的诊断信息中。
• 每个邮件连接都使用 TLS 加密。App 中任何地方都没有“忽略证书错误”开关。如果服务器出示的证书无法验证，MailLoyal 会停止，向你显示指纹并询问你——并且只为该主机和端口记住你的决定。
• 邮件和签名中的 HTML 在显示或发送之前都会经过清理：脚本、框架和表单会被移除，远程图像遵循 §4 中的规则。通过文件或电子邮件收到的签名会被视为不可信：它会根据允许列表重建；被样式隐藏的文本——设为不可见、透明、极小，或颜色与背景相同——会被显示出来；并且在你选择添加之前，你会看到该签名、其链接指向何处以及其标志从何处载入。
• MailLoyal 本身不会将你的数据备份上传到任何地方。在 Android 上，它选择不参与 Android 的备份和设备间转移，因此无论是 Google 备份还是迁移到新手机，都不会复制你的邮件、设置或密码；在新手机上，你需要重新添加账户。在 iPhone、iPad 和 Mac 上，设备自带的备份——iCloud 云备份或备份到电脑——可能包含 MailLoyal 保存在设备上的邮件和设置，并受存储该备份的一方的条款约束。

没有任何系统是完美的，一旦数据到达你的邮件服务商或你选择的 AI 服务商，MailLoyal 便无法再保护这些数据。

9. 本政策的变更

如果本政策发生变更，顶部的日期会随之更改，当前文本始终可在 https://mailloyal.com/zh-hans/privacy 查看，App 在“设置 → 隐私 → 隐私政策”中链接到该地址。任何会将新内容发送到你设备之外的变更，也会在生效之前在 App 中公告。

10. 联系方式

有关本政策的问题：mehmetali@creativetorontonian.ca。

11. 本网站

本网站不设置任何 Cookie，不运行任何分析统计，也不从任何其他网站载入内容：其字体、样式和脚本全部由本网站提供。如果你选择了颜色主题，该选择会保存在你浏览器的本地存储中，绝不会发送给我们。

与任何网站一样，托管本网站的服务器可能会保留标准的请求日志——IP 地址、请求的页面、时间和浏览器——用于安全目的以及维持网站运行。这些日志不会被用来识别或追踪任何人。