arkPass 隐私政策

概述

arkPass 是一款将您的隐私置于一切之上的密码管理器。本隐私政策解释了 arkPass 如何处理和保护您的数据 — 包括应用建立网络连接的少数几种情况。

数据收集与处理

arkPass 不收集、不跟踪、不共享任何个人数据给第三方。

• 无分析 — 我们不使用 Google Analytics、Firebase 或其他分析 SDK
• 无遥测 — 应用不发送任何诊断数据
• 无广告 — 我们不显示广告，不使用广告 SDK
• 无第三方跟踪 — 我们不与任何跟踪服务集成
• 不出售数据 — 您的数据永远不会出售或共享给第三方
• 无需账户 — 您无需注册即可使用 arkPass；我们不知道您是谁

数据存储

您的数据 — 密码、支付卡、笔记、身份信息和自定义字段 — 本地存储在您设备的加密数据库中。

您的主密码永远不会被传输或存储 — 既不在服务器上，也不在设备磁盘上。它仅用于派生加密密钥，该密钥仅在保险库解锁期间存在于 RAM 中。

如果您启用同步，您的加密条目将被传输并存储在服务器上。服务器仅存储密文 — 用仅存在于您设备上的密钥加密的不透明数据。服务器运营方没有解密密钥，无法读取您保险库的内容。

方面	描述
条目加密	XChaCha20-Poly1305 (IETF) — 每个条目单独加密
密钥派生	Argon2id — 3 次迭代，64 MB 内存，在设备上
本地数据库加密	SQLCipher (AES-256) — 磁盘上的额外层
数据密钥 (dataKey)	仅在设备 RAM 中 — 从不在服务器上，从不在磁盘上以明文形式
密钥管理	Android Keystore（硬件 enclave，当设备支持时）
传输	HTTPS；未加密流量在系统级别被阻止
自动锁定	在可配置的不活动时间后
尝试限制	5 次失败尝试后，时间锁定 5、10、20、40、80 秒

加密

arkPass 采用零知识架构（端到端加密）。我们精确描述它，而非用口号，因为在密码管理器中细节至关重要：

• Argon2id — 数据密钥由您的主密码通过抗硬件攻击的函数派生（3 次迭代，64 MB 内存）。整个操作在您的设备上进行。
• XChaCha20-Poly1305 (IETF) — 每个条目用数据密钥单独加密，并验证内容真实性。
• SQLCipher (AES-256) — 本地数据库文件额外加密，作为第二层。
• Android Keystore — 需要在会话之间保留的密钥（生物识别解锁、PIN、自动填充）存储在系统 keystore 中，在设备支持的硬件中。
• 自动锁定 — 保险库在可配置的不活动时间后自动锁定，密钥从内存中清除。
• 尝试限制 — 5 次主密码输入失败后，激活时间锁定，延迟递增（5、10、20、40、80 秒）。

在应用早期版本中创建的旧保险库可能使用 PBKDF2 和 AES-256-GCM。arkPass 仍可打开它们，但所有新保险库均使用 Argon2id 和 XChaCha20-Poly1305 创建。

arkPass 何时连接网络

arkPass 完全离线运行。它建立连接的情况恰好有三种 — 全部在您的控制之下。

1. 服务器同步（可选，默认关闭）

如果您配置了服务器 — arkDisk 或您自己的 Nextcloud 配合 arkPass 服务器应用 — 应用将发送和接收加密的保险库数据。

• 条目在传输前在设备上加密 — 服务器仅接收密文
• 应用仅连接到您提供的地址 — 没有中间人、中继或桥接服务器
• 服务器存储：条目标识符、密文、修改日期和删除状态 — 仅此而已
• 同步是增量的 — 仅传输已更改的条目

服务器登录凭据（地址、用户名、应用密码）存储在您设备上由 Android Keystore 保护的保险库中。

2. 通过您服务器的代理获取网站图标（可选）

为了在每个条目旁显示可识别的图标，arkPass 可以通过您自己的服务器获取它，由服务器代表您发起请求。在这种模式下，任何外部方都不会知道您为哪些服务有条目。

3. 直接下载图标（可选，默认关闭）

如果您的服务器上的代理不可用，arkPass 可以直接从条目所属的网站下载 favicon.ico。

这有隐私代价，因此默认关闭。启用此选项后，您有条目的每个网站都会看到来自您 IP 地址的请求 — 揭示该地址有人在那个网站有账户。您可以随时开启和关闭它：设置 → 安全 → "直接下载网站图标"。

arkPass 从不使用外部图标服务（如 Google API），因为那意味着将您的整个服务列表泄露给一家公司。

自动填充

当您将 arkPass 用作自动填充服务时，Android 系统会将待填充表单的结构传递给应用。arkPass 将其与您的保险库在本地、设备上进行匹配。表单结构、应用名称和网站地址都不会被传输到任何地方。

匹配区分子域名 — example.com 的条目不会在 login.example.com 上被建议，除非您有单独的条目。

填充支付卡数据需要重新输入 CVC 代码。

剪贴板

当您复制密码、一次性代码或卡号时，arkPass 将其放入系统剪贴板，标记为敏感内容，这样 Android 就不会在剪贴板预览中显示它。剪贴板在可配置的时间后自动清除（默认 30 秒），除非您在此期间复制了其他内容 — 在这种情况下 arkPass 不会覆盖您的内容。

然而，剪贴板是系统级机制。arkPass 限制了暴露，但无法完全消除。

数据导出

您可以将保险库导出为 CSV 或 JSON 文件。

导出文件未加密 — 这正是导出的意义。应用在执行操作前会就此警告您，并要求您的主密码。

文件保存在应用的私有缓存目录中，并在两分钟后自动删除。从您分享或将其保存到其他地方的那一刻起，它就脱离了 arkPass 的控制，您对其安全负责。

备份

保险库数据库和整个凭据存储被排除在 Android 云备份和设备间数据传输之外。

这是有意的决定：恢复的备份无论如何都不会有相应的 Android Keystore 密钥，而云备份中的加密保险库是不必要的风险。

如果您想在另一台设备上拥有数据，请使用同步或导出。

应用权限

arkPass 请求最小集合：

权限	用途
INTERNET	与您的服务器可选同步和可选图标下载。没有它，应用完全离线运行
USE_BIOMETRIC	保险库的生物识别解锁
BIND_AUTOFILL_SERVICE	自动填充服务权限，以便系统可以连接到它。您通过选择 arkPass 作为您的填充提供方来授予它
com.arkpass.android.permission.WIDGET	由应用自身定义的权限，在签名级别，以便没有其他应用可以调用主屏幕小部件

arkPass 不请求访问联系人、位置、相机、设备存储、电话或已安装应用列表。

生物识别解锁和 PIN 是可选的 — 保险库始终可以仅用主密码打开。

我们不收集什么

• 我们不要求账户或注册 — 我们不知道您是谁
• 我们不收集崩溃报告、使用统计或设备标识符
• 我们不使用广告标识符，不向广告商传输数据
• 我们不出售、不出租、不向第三方转让任何东西，在任何情况下

儿童隐私

arkPass 是通用工具，不针对儿童。我们不会有意处理儿童数据。由于应用完全不收集个人数据，我们不应用依赖年龄的处理。

您的权利

根据 GDPR，您有权访问、更正、删除和移植您的数据。

在 arkPass 中您直接行使它们：您的数据位于您的设备和您的服务器上，因此您可以随时查看、修改、导出或删除它们 — 无需请求我们的许可。卸载应用会删除本地保险库。我们不保留任何副本，因此无法恢复、检索或披露任何内容。

本隐私政策的变更

重大变更将在此页面上发布，并附上更新日期，在应用的发布说明中提及。

联系

MB „ARKDISK"，公司代码 307515162，维尔纽斯，立陶宛

隐私问题：info@arkdisk.com