簡要說明

GravesMail 是本機優先的電郵程式。你的電郵會下載到你的電腦，並留在那裏。我不營運任何儲存、讀取或處理你電郵的伺服器。我不收集個人資料。我不顯示廣告。我不出售資料。任何關於你電郵的資料都不會離開你的電腦；郵件伺服器只用於收取和寄出你的電郵。

GravesMail 儲存哪些資料

所有資料都儲存在本機，位於你的使用者設定檔內——Windows 上為 %LocalAppData%\GravesMail，macOS、Linux、iOS 和 Android 上則為各平台的對應位置。以下是所保存的資料及原因：

加密資料庫。你的郵件和幾乎所有相關資料，都存放在一個整體加密的資料庫內：每一封郵件、主旨、寄件者和附件，以及你的聯絡人、日曆、簽名、快速規則和進階規則、安全及封鎖清單、寄件者信譽、垃圾郵件過濾器訓練、已調校的門檻和安全設定。這些資料以往是放在資料庫旁邊的零散檔案；現已整合到資料庫內，保護因而加強。它們並沒有離開你的裝置——你的資料所在的位置完全沒有改變，改變的只是在本機的儲存方式。

留在資料庫以外的檔案，因為在開啟資料庫之前就需要用到它們，或者它們必須在資料庫遺失後仍然存在：

• 資料庫金鑰——存放在你裝置本身的安全金鑰儲存區（Windows 上為 DPAPI，macOS/iOS 上為 Keychain，Android 上為 Keystore，Linux 上為系統的秘密儲存區）。它不可能放在由它解鎖的資料庫裏面。
• 已儲存的帳號認證資料——你的 IMAP/SMTP 密碼和 OAuth2 權杖，以你的裝置金鑰加密，並刻意與郵件資料庫分開存放。
• bmk.wrap——你的備份主密鑰經包裝的副本。它與你的備份放在一起，而不在資料庫內，正是因為備份的存在意義，就是在資料庫遺失後仍然存在。
• 你的 PGP 金鑰圈——以其標準的磁碟格式保存，私密金鑰圈另有自己的包裝金鑰保護。
• backups/——加密的備份檔案（.gravesmail-backup），以備份主密鑰進行 AES-256 加密
• 備份目錄——本機的中繼資料索引，用於即時瀏覽備份內容（絕不傳送）
• 刪除記錄——已刪除郵件的內容，供復原之用（保留期可設定：30–365 日）

隨應用程式提供的檔案——基準垃圾郵件模型、基準 YARA 規則和地理位置查詢表——屬於程式資產，並不是你的資料。它們會在你更新時被取代，亦不納入備份。

沒有任何資料儲存在這個目錄以外。沒有任何資料儲存在遠端伺服器上。

GravesMail 絕不收集哪些資料

• 電郵地址——無論是你的，還是任何寄電郵給你的人的
• 電郵內容——不包括主旨、郵件內文或附件
• 寄件者或收件者資料
• 密碼或認證資料
• 聯絡人清單
• 日曆活動
• IP 位址
• 你的姓名、位置或任何可識別身分的資料
• 使用模式——我不追蹤你多久開啟一次應用程式、閱讀了哪些電郵，或如何處理郵件
• 當機報告或診斷資料——絕不會自動傳送任何東西
• 安裝或註冊資料——根本無需建立帳號

備份私隱

GravesMail 會為你的整個本機設定檔建立加密備份：

• 排程和手動的裝置本機備份（完整和差異）以備份主密鑰進行 AES-256 加密，這條密鑰由 GravesMail 產生和管理。密鑰絕不會以明文儲存——只保存經包裝的副本，既以你裝置的安全金鑰儲存區包裝（因此日常備份無需密碼），亦以你只需設定一次的復原密碼短語包裝。復原密碼短語是必須設定的，並非可有可無，而正是它讓這些備份可以在新裝置或更換後的裝置上還原。我從不會收到密鑰或密碼短語，亦無法替你找回其中任何一項。
• 可攜式密碼備份（「檔案」→「可攜式密碼備份…」）以你選擇的密碼封存，採用 PBKDF2-SHA256 金鑰延伸、600,000 次迭代。如果你遺失了該密碼，備份就無法開啟——這是刻意的設計，而且任何人都開不了，包括我在內。
• 備份中繼資料目錄儲存在本機，絕不傳送。它們讓你無需解密整個備份，就可以即時瀏覽備份內容。
• 操作前快照會在破壞性操作（快速規則掃描、清除、清空回收筒）之前建立，作為安全網。

除非你自行把備份檔案複製到別處，否則所有備份檔案都留在你的電腦上。可攜式密碼備份包含你的整個設定檔——包括已儲存的帳號密碼和解鎖你郵件的金鑰——而保護它的只有你選擇的密碼，因此請把檔案存放在安全的地方。

快速規則私隱

快速規則的資料儲存在你的本機加密資料庫內。你的規則擱置到垃圾郵件陷阱的郵件、規則的符合清單，以及規則定義本身，都絕不會離開你的電腦。當你刪除規則或清除它攔截到的郵件時，有關資料會從你的本機資料庫永久移除。

你的認證資料如何儲存

GravesMail 在每部裝置上都把你所有的郵件和個人資料以靜態加密方式保存。加密金鑰存放在你裝置本身的安全金鑰儲存區——Windows 上為 DPAPI，macOS 和 iOS 上為 Keychain，Android 上為 Keystore，Linux 上為系統的秘密儲存區——因此資料只能在你的裝置上讀取。如果你儲存了電郵認證資料，它們會以同樣方式加密，而且只能在同一部電腦上、由儲存它們的同一位使用者解密。

GravesMail 絕不會把你的認證資料傳送到任何伺服器，唯一例外是為了登入而傳送到你電郵供應商的郵件伺服器。

對於使用 OAuth2 驗證的 Microsoft/Outlook 帳號，GravesMail 採用標準的 Microsoft Identity Platform 流程。驗證權杖以同樣的加密方式儲存在本機。GravesMail 無法取得你的 Microsoft 帳號密碼。

地理位置查詢在本機進行

GravesMail 會查詢收到的郵件的地理來源，作為其中一項垃圾郵件訊號。這項查詢完全在你的裝置上進行，對照的是內嵌在應用程式內的國家/地區與 IP 範圍對照表。沒有 DNS 查詢，沒有外部 API 呼叫，也沒有第三方查詢服務。你的郵件中繼資料絕不會被傳送到任何地方作地理定位。

IP 地理定位資料由 DB-IP（db-ip.com）提供，按 CC BY 4.0 授權。

封鎖外部圖片及追蹤像素防護

預設封鎖外部圖片，以防止寄件者得知你的 IP 位址、你開啟了他們的電郵、何時開啟，以及用甚麼裝置開啟。

追蹤像素（純粹用於已讀回條追蹤的隱形 1×1 圖片）會另行偵測和移除。兩者獨立控制——你可以載入圖片而不載入追蹤器。

端對端加密（OpenPGP）

GravesMail 支援標準的 OpenPGP，用於端對端加密和簽署郵件。一切都在你的裝置上進行：金鑰在本機產生，你的私密金鑰永遠不會離開你的電腦，加密和解密均由應用程式執行。沒有金鑰託管，不會上載到金鑰伺服器，過程中亦沒有經過我的任何服務——我沒有你金鑰的副本，也無法閱讀你的加密郵件。

PGP 會隱藏的：郵件內文和附件。

PGP 不會隱藏的：主旨、收件者/寄件者/副本，以及郵件的傳送時間。這些都以明文傳送，郵件基礎設施（包括你的供應商）仍然看得到。這是 PGP/MIME 本身的限制，所有實作它的用戶端都一樣，包括 Proton——這不是 GravesMail 能夠修正的，我也不會暗示情況並非如此。

PGP 保護的是傳送途中的郵件——防止被截取，亦防止被你的郵件供應商讀取。它不是反鑑識工具。郵件一經解密，就會快取在 GravesMail 的本機加密資料庫內，讓你可以離線搜尋和閱讀；換言之，它在磁碟上是由你的裝置加密保護，而不是由 PGP 保護。

如果你遺失了私密金鑰，以它加密的郵件就永久無法復原。我無法替你找回它——沒有託管副本，而正是同一個設計選擇，令其他人同樣無法閱讀你的郵件。

密碼保護的電郵

當你以密碼保護（無需金鑰）傳送郵件時，郵件內文和每個附件都會在郵件離開之前，先在你的裝置上加密成一個標準的 AES-256 ZIP。封存過程在本機進行——不會為此向我或任何服務上載任何東西，過程中亦沒有伺服器。

密碼只屬於你一人。GravesMail 只向你顯示一次，絕不用電郵傳送，絕不儲存，亦絕不傳輸。我沒有它的副本，也沒有辦法開啟你傳送的內容。你須透過其他渠道把密碼告知收件者——電話、短訊或加密聊天。

保護就只靠密碼，別無其他。沒有到期時間，也沒有遠端撤銷，因為兩者都需要一個我刻意不營運的伺服器。與任何電郵一樣，郵件的主旨、收件者/寄件者和傳送時間仍以明文傳送。

還有一個限制，我直接說明，因為你應該由我口中得知，而不是自己事後才發現：ZIP 格式加密的是檔案的內容，而不是壓縮檔的結構。任何截取到郵件的人仍可看到裏面有多少個檔案，以及它們大約的大小和時間戳記——但看不到名稱（名稱已換成中性的佔位名稱），也看不到內容。如果單憑這些中繼資料，就足以讓人得知你需要保密的事情，那麼這項功能並不適合用於該封郵件。

五個平台的版本

• Windows——Microsoft Store 版本由 Microsoft 簽署
• Linux——即將推出
• macOS——即將推出
• iOS——即將推出
• Android——即將推出

五個平台的私隱特性完全相同。沒有任何平台會把資料傳回，亦沒有任何平台在私隱方面有不同的行為。只有一項功能確實因平台而異，而那是偵測上的限制，不是私隱上的限制：「系統防毒」防護層在 Windows 上使用你已安裝的防毒軟件，在 macOS、Linux 和流動裝置上則無法使用；在這些平台上它會回報「無法使用」，而不會暗示進行過一次它從未執行的掃描。

第三方服務

GravesMail 只會連接你的電郵供應商（透過加密的 TLS/SSL 連線），以及（就 Microsoft 帳號而言）用於 OAuth2 驗證的 Microsoft Identity Platform。GravesMail 不使用任何廣告網絡、分析服務、當機報告服務或追蹤平台。

購買

透過 Microsoft Store 購買 GravesMail 的交易由 Microsoft 處理。GravesWare, LLC 不會收到或儲存付款卡資料。

公開可供查驗

你的資料庫、備份檔案和刪除記錄，全部都是由你掌控的普通本機檔案——在你的磁碟上，在你的使用者設定檔內，你可以看到、複製或刪除它們。沒有任何東西藏在你無法查驗的服務裏，也沒有任何東西會暗中向外回報。

兒童私隱

GravesMail 不會在知情的情況下向任何人收集任何資料，包括 13 歲以下的兒童。由於 GravesMail 預設不收集個人資料，它不會對兒童私隱構成特定風險。

本政策的變更

如果本私隱政策有更新，變更會在本頁公佈，並附上新的「最後更新」日期。由於 GravesMail 不收集電郵地址或聯絡資料，我無法直接通知你有關變更。建議你定期查看本頁。

聯絡方法

摘要