vpvd 隐私政策

本文为英文版的机器翻译，仅为方便阅读而提供；只有英文版和俄文版具有约束力，如两者之间存在任何不一致，以英文版为准。

修订日期：2026年10月15日。本服务由自然人（以下称“我们”）运营。数据方面的问题请联系：privacy@vpvd.io。

• 合同（第 6(1)(b) 条）：账号、登录、评论、投票、举报和通知。没有这些数据，服务无法运行。
• 正当利益（第 6(1)(f) 条）：反垃圾信息和防刷票（地址指纹、近似重复签名、设备密钥）、打开统计、备份和安全。我们的利益是让服务在没有垃圾信息和刷票的情况下运行；您可以反对此类处理（第 6 节）。
• 同意（第 6(1)(a) 条）：您开启的电子邮件通知。您可以随时在设置中撤回。

在合辑中引用默认允许：这是带反对权的正当利益，而不是同意（使用条款第 4.4 条）。

• Telegram。 我们存储您的 Telegram 数字 ID，以便下次识别您。我们不存储也不显示您的 Telegram 名称、用户名或头像。
• 电子邮件。 我们以小写形式存储该地址，用于一次性登录链接，以及（如果您启用）回复通知。登录链接的有效期为 15 分钟；只存储其哈希值。

您的账号还包括：显示名称（默认为中性的 user_xxxxxxxx，您可以更改）、注册日期、声望、账号状态、通知设置（开/关、免打扰时段、时区）、“允许在摘要中引用我的评论”标记，以及徽章和高级权益（如有）。

会话。 登录后，浏览器会获得一个带有随机令牌的 vpvd_session cookie。数据库中只保留令牌的哈希值以及创建时间和最后使用时间。会话 cookie 自登录起有效 30 天，之后您需要重新登录。“退出登录”和“在所有设备上退出登录”会立即删除服务器上的会话。

• 存储内容：文本（最多 500 个字符）、类似“匿名 #3fa”的标签、带每日盐的地址哈希、创建时间和过期时间、“登录后保留”令牌的哈希值。
• 该标签由每日密钥、地址哈希和评论串共同生成：在同一个评论串内，您可以区分两个人；跨评论串则无法关联同一个人。
• 删除：该表按 10 分钟为一个切片进行分区，过期的切片会被整体丢弃。评论在恰好 30 分钟后从视图中消失，并在 40 分钟内从数据库中消失。
• 匿名评论不包含在备份中。
• 例外：举报。 如果匿名评论在过期前被举报，其副本（文本、标签、地址哈希、时间）会保留在审核案件中，否则违法内容会连同证据一起消失。该副本的保留时间与案件相同（第 4 节）。
• 作者的浏览器会获得一个同样有效期为 30 分钟的 vpvd_claim cookie。如果您在此期间登录，就可以保留您的匿名评论：它们会成为您账号下的永久评论。
• 坦率地说：“从网站上消失”并不等于“没有人看到过”。其他人可以在这 30 分钟内阅读、复制或截屏。

为了实施速率限制和反垃圾，服务器计算 HMAC(daily salt, address)。对于 IPv6，使用 /64 网段，因为网络服务提供商会把整个网段分配给一个用户。每个 UTC 日有一个盐，存储在数据库中。

• 该哈希在一天之内是稳定的，在不同日期之间不同，因此不同日期的哈希无法相互关联。
• 该哈希是假名化的，而不是匿名的：在当天的盐存在期间，能够访问数据库的人可以测试某个哈希是否与给定地址匹配。盐会在 30 天后删除；此后这种测试就不可能了。
• 该哈希会保留超过一天的情形有：匿名评论（30 分钟）、无账号的评论串投票、已关闭评论的媒体的举报、无账号的举报，以及审核案件中的匿名评论副本。
• 该哈希只在一处与账号关联：一条“此账号在这一天使用了此哈希”的记录，在登录、评论、评论投票和评论串投票时写入。它仅用于找出从同一地址刷票的账号群组，并在 30 天后删除。

国家/地区是通过我们服务器上的本地 GeoIP 数据库根据地址得出的，不使用外部服务。只存储两个字母的国家/地区代码，且仅存于汇总数据中（2.6）。所用数据库为 DB-IP 的 IP to Country Lite，依据 CC BY 4.0 授权。

未登录时在投票中投票使用另一个 cookie vpvd_device，带有随机令牌，有效期 1 年；仅在您首次这样投票时设置。数据库中保存的不是令牌本身，而是投票密钥：令牌与讨论标识一起计算的哈希值，因此同一设备在不同讨论中的投票无法相互关联。为实施投票限额，投票旁会记录使用当日盐值计算的设备和地址指纹；盐值在 30 天后删除，关联随之消失。

• 当您在网站上打开讨论页面、在扩展中点击“打开讨论”，或从机器人接收评论串时，计为一次浏览。访问任何其他网站都不算浏览，服务器也不会得知。
• 只存储按（评论串、日期、来源、国家/地区）汇总的数据：浏览次数和一个概率性的不同浏览者计数器（HyperLogLog）。进入计数器的是 HMAC(daily salt, viewer key)；密钥本身（账号、设备、地址）从不存储。盐会在次日删除，此后即使已知某个密钥，也无法对照计数器进行检查。
• 不存在“这个人打开了那个评论串”的记录。
• 每个评论串的汇总数据保留 3 个月，媒体和主题的汇总数据保留 25 个月。

创建讨论时，服务器会一次性获取网页从开头到 <head> 结尾的部分（最多 256 KB），并且只提取标题（og:title 或 <title>）。文章正文、图片和其他网页内容从不被读取或存储。

谁创建了讨论不会与评论串一起存储，只存储来源（网站、扩展或机器人）。

站内收件箱。 无论通知设置如何，对您评论的回复或对您的提及都会在您的收件箱中添加一行：接收者、哪条评论、其作者、到达时间以及您将其标记为已读的时间。文本不会被复制到其中——它是从评论本身显示的，因此任何被审核隐藏或被作者删除的内容都会从收件箱中消失。收件箱中的记录在 90 天后删除。

Telegram 通知由我们的机器人通过 Telegram Bot API 发送。目前本服务不发送电子邮件：通过电子邮件的登录和邮件通知尚未接入。邮件服务提供商将在启用它们之前于第 7 节中说明；它将收到收件人地址和邮件文本。

自动化决定（GDPR 第 22 条）。 有两项决定由系统在没有人的情况下作出：分类器认为很可能是垃圾信息或侮辱的匿名评论被拒绝，以及累计举报超过阈值 hide_at 的投票问题被隐藏。对永久评论的决定由人作出：分类器只是连同自己的评分把案件放入审核队列。每一项自动化决定都可以复核：匿名作者能看到拒绝理由并可以重新提交评论（登录后按普通评论处理），被隐藏的问题可由审核员在收到发往 abuse@vpvd.io 的请求后恢复，因评分过低而折叠可通过投票解除。对您而言，唯一可见的后果是文本是否被其他人看到。

• vpvd_session：已登录的会话，自登录起 30 天。
• vpvd_claim：使您能够在登录后保留您的匿名评论，30 分钟。
• vpvd_dev：用于匿名操作限额的设备密钥，1 年。仅在您首次发布匿名评论或在未登录状态下创建讨论时设置。
• vpvd_device：未登录时的投票密钥，1 年。仅在您首次未登录投票时设置（第 2.5 节）。

vpvd_dev 和 vpvd_device 有效期为一年，同样不需要同意：它们是严格必要的 cookie。没有设备密钥，匿名评论的每日上限无法运行；没有投票密钥，投票无法防止同一设备刷票。该密钥不与您的身份关联，也不跨评论串关联（投票时与讨论标识混合），不用于广告或分析，并随 cookie 一起删除；服务器只保存其哈希。因此不需要同意：2002/58/EC 指令第 5(3) 条将技术上必要的 cookie 排除在同意范围之外。

您的主题选择（浅色或深色）保存在浏览器的 localStorage 中，从不发送到服务器。

没有 cookie 横幅，因为没有需要征得同意的 cookie。如果这一情况发生变化，本政策会先行更新。

• 无需您的任何操作。 扩展每小时从我们的服务器下载一个对所有用户都相同的文件：地址规范化规则，以及一个紧凑的过滤器（布隆过滤器），其中包含有讨论的网页的指纹。该请求不携带 cookie、标识符或关于您标签页的信息。
• 网页检查。 当前标签页的地址在浏览器内部被规范化并计算哈希，然后与已下载的过滤器进行比对。匹配时，图标上会出现一个圆点。地址和结果都不会被发送到任何地方。
• 在您点击时。 当您点击“打开讨论”或“发起讨论”时，该网页的地址会被发送到我们的服务器；如果您已在 vpvd 网站上登录，还会一并发送您的 vpvd 会话 cookie。从弹出窗口打开评论串会使浏览统计加一（2.6）：会发送评论串 ID，并且如果您已登录，还会发送您的会话 cookie，这仅仅是为了不重复计算同一个浏览者。网页地址不是该请求的一部分。
• 它不做什么。 它不读取或修改网页内容（没有内容脚本）。它不保留浏览历史。它不使用分析、广告 ID 或第三方服务。它不下载或执行远程代码：所有代码，包括 WebAssembly 模块，都随扩展包一起发布。
• 权限： tabs，用于读取当前标签页地址以进行本地检查；storage，用于保存已下载的过滤器；alarms，用于每小时刷新过滤器；仅对一个地址（我们的 API 服务器）的主机访问权限。
• 设备上的存储。 过滤器和规则存放在扩展存储中，并随扩展一起被移除。

• 登录方式（Telegram ID、电子邮箱）、所有会话、通知设置以及您的收件箱（回复和提及）会被删除；在其他人的收件箱中，您显示为“已删除用户”；
• 显示名称被替换为“已删除用户”，评论与账号解除关联；
• 按您的选择，您评论的文本及其编辑历史或者保留在“已删除用户”名下，或者被清除；
• 您的评论不再在摘要中被引用，已经发布的引用在技术上可行时会应请求移除。

因举报而立案的案件中保留的审核决定和副本，在处理违规行为需要或法律要求的期间内保留。目前还没有按固定期限自动删除；我们计划将保留期限定为结案后 2 年。已删除的数据会在 5 周内从备份中清除。

其他权利。 您可以询问我们持有哪些关于您的数据、更正或删除这些数据、反对处理，并以机器可读格式（JSON）获取您自己提供的数据副本。请写信至 privacy@vpvd.io：答复免费，并在 30 天内送达。显示名称、通知设置和禁止引用可以由您在设置中更改；撤回同意和反对立即生效，不影响此前的处理。

向监管机构投诉。 您可以向 Autoriteit Persoonsgegevens（荷兰数据保护机构，autoriteitpersoonsgegevens.nl）投诉，或向您居住、工作或您认为发生侵权的欧盟国家的监管机构投诉。事先联系我们并非必需，但写至 privacy@vpvd.io 通常更快。

仅与地址指纹或设备密钥关联的数据是假名化的。 我们不会把它与您的账号一起保存，而没有额外信息——只有我们持有的当日盐值，以及您浏览器中的地址或令牌——它无法与您对应（GDPR 第 4(5) 和 11 条）。这是假名数据，而不是匿名数据：同时取得数据库和盐值的人，理论上有可能通过穷举来检验某个具体地址。因此我们把这类指纹视为个人数据，并与其他数据一样对其负责。

参与运行本服务的第三方：

• Telegram：Telegram 登录和机器人。“使用 Telegram 登录”按钮是一个 Telegram 小组件，仅在登录页面上从 Telegram 的服务器加载，因此 Telegram 会看到您打开了该页面。当您使用 Telegram 登录或向机器人发送消息时，Telegram 按其自身条款处理数据。
• Timeweb（荷兰）：承载 vpvd.io 网站流量的中间服务器。它不保留请求日志或错误日志，因此访客的 IP 地址不会存储在那里。
• Cloudflare R2：存储加密备份（见上文）。
• 我们自己的服务器：运行本服务；不是第三方云主机。
• Cloudflare：通往服务器的隧道，以及 DDoS 防护/CDN。所有网站流量都经过它，Cloudflare 在其边缘节点上（TLS 在此终止）在技术上能看到访问者的 IP 和请求内容。Cloudflare 看不到浏览器扩展的本地检查（第 5 节）。

只有在适用法律要求且仅在其要求的范围内，我们才会向公共机关披露数据。

向欧盟以外传输。 数据库、服务文件和备份实际位于欧盟：荷兰和西欧地区。数据在三种情况下离开欧盟。Cloudflare（美国）在其边缘终止 TLS，并看到 IP 地址和请求内容；传输依据欧盟—美国数据隐私框架，不适用时依据标准合同条款（SCC）。Cloudflare R2 将备份存放在西欧，但提供商位于美国，依据相同。如果您通过 Telegram 登录或给机器人发消息，Telegram 作为独立控制者按其自身条件在欧盟以外（阿联酋和英属维尔京群岛）处理数据；我们无法控制该处理。您可以向 privacy@vpvd.io 索取传输保障的副本。

如果数据泄露影响到您的数据，我们会在网站上公告，并且在我们有办法联系您时直接告知您。