隱私政策

能收集的很少，就照實說

這份政策很短，因為我們能收集的東西很少。以下清單，一項不漏；技術面的完整界限在〈威脅模型〉，想親手驗證請到〈公開驗證〉。

最後更新：2026-09-19

身份：沒有帳號這件事

默·Tacet 沒有註冊表單、沒有 email、沒有姓名。你的身份是一組伺服器端隨機產生的匿名編號，與你的密語之間只有一個不可逆的雜湊相連。同一組密語只能對應一個帳戶；我們無法、也永遠不會知道是誰在使用它。

密語本身不存在我們任何系統裡：線上傳送的是它經過雜湊的值（自 2026-09-10 起以記憶體困難的 Argon2id 派生，較早帳戶下次登入一次後自動升級），伺服器存放的是再雜湊一次的結果。設計上無法由這些雜湊還原密語，因此也沒有「忘記密語」的重設服務。

我們收集的

加密內文你的日記在裝置上以 AES-GCM 加密後才上傳。我們儲存的是密文，結構上無法閱讀任何內容。

密語雜湊密語經兩次雜湊後的值（登入憑證自 2026-09-10 起由 Argon2id 派生，較早帳戶登入一次後自動升級）。用於登入對位，與「同一組密語不開第二個帳戶」的檢查。無法由它還原密語。

鹽與包裹解開日記金鑰所需的加密材料（隨機鹽、加密過的金鑰包裹）。解開它們需要你的密語或復原套件。

復原套件雜湊復原套件只以雜湊存放，無法由雜湊還原套件本身。

配額計數備份筆數與位元組用量。用於免費上限（100 則）的執行，僅此而已。

時間戳帳戶建立時間、篇章的收受時間。

分享連結建立分享時另存：分享代碼的雜湊、加密包裹與密文快照、效期（免費預設 7 天）。分享代碼的原值只出現在建立當下，之後線上恆為雜湊。

IP 日誌由 Cloudflare 邊緣層記錄，用於限流與防濫用。我們不將它與內容做任何連結（內容本來也讀不到）。

許願內容在 App 內「許願」送出的期望文字（≤500 字）。與你的日記、帳戶編號、IP 都不連結；只在「送出當下是否已登入」記一個是否標記（不存是哪個帳戶）。送出後無法刪回。

年卡意願登記（已退役）付費開放前，介紹頁曾開放匿名意願登記：一個依先後產生的匿名序號，加上選填的留言（≤500 字）。序號是純計數回饋，不是候補名額，也不具任何兌換效力：創始價以結帳頁的折扣碼先搶先贏。登記入口已隨付費開放收起，此前送出的匿名序號與留言仍長期保留（送出後無法刪回的契約不變），且不含任何可辨識你的欄位。

語言偏好你在說明頁或 App 內明示選擇的介面語言（zh/en/ja），存於你裝置的第一方 cookie（tacet_lang）與本機儲存，供跨頁瀏覽與回訪記住。它會隨同源請求一併送出，但我們的伺服器不讀取、不存儲，也不與你的日記、帳戶編號或 IP 連結。

各項資料保留多久

原則：內容類資料只為了提供你要求的功能而存在；你刪除即抹除。以下照實列出每一項的實際保留面，不含任何模板話。

加密內文與附件留在伺服器直到你自己刪除或刪除帳戶；刪除立即抹除，沒有保留期，也沒有我們主動的清理。本機垃圾桶只是你裝置上的緩衝：刪除先進本機垃圾桶，30 天後才從本機移除，期間內你隨時救回；伺服器端的刪除標記則在你刪除時就已生效。

帳戶與登入憑證由你刪除帳戶時抹除，立即生效。唯一例外：從未綁定、也從未上傳任何一篇的空殼帳戶，會在 48 小時後被自動清理，防止匿名灌帳。綁定過的帳戶絕不在此列。

登入 session登入憑證最長 180 天，閒置 30 天即失效。2026-09-10 前建立的登入憑證已於 2026-09-17 一次性全量過期（強制重新登入一次）；重新登入時，帳戶若還未完成 Argon2id 憑證升級，該次登入憑證最長 7 天（新版 App 的雙欄登入），登入本身即觸發升級，升級完成後的登入憑證回復最長 180 天。仍執行舊版（單欄）App 的裝置不在此限：該請求形態伺服器無法分辨，登入憑證仍是最長 180 天；App 會自動更新，更新後的下次登入即走 7 天短帽。到期或失效後從資料庫清除，不會殘留。

分享連結效期內（免費預設 7 天）可讀；過期或被撤銷後，資料列會在清除週期中移除，讀取立即失效。

限流計數每個端點的限流記錄只以 IP 對應一個 60 秒固定視窗（自首筆請求起算，整窗重置），不是持久紀錄。

錯誤密語鎖定復原流程的防爆破鎖定（同 IP 連續錯 3 次）只鎖 10 分鐘，鎖定解除即清除。

許願與年卡意願不可刪回是它們的契約：匿名留言、意願登記（含已退役的歷史登記列）長期保留，供產品改善評估。它們不含任何可辨識你的欄位。

邊緣日誌請求日誌由 Cloudflare 在邊緣層記錄，只保留數小時（Cloudflare 的公開政策）；我們沒有啟用任何延長保留。

我們不收集的

身份資料email、姓名、電話、住址、付款帳戶，都不在伺服器上。

日記內容不是「承諾不看」，是結構上讀不到。伺服器收到的從來不是文字。

第三方腳本本服務（含說明頁）不含任何外部 JavaScript，沒有統計、沒有廣告、沒有追蹤。

行為畫像沒有廣告投放，也沒有可以拿去投放的資料。

內文如何被保護

金鑰在你的裝置上產生：由密語經 Argon2id（記憶體困難金鑰派生；較早帳戶為 PBKDF2 60 萬次迭代，下次登入後自動升級）派生包裹金鑰，內文以 AES-GCM 加密後才離開裝置。伺服器由頭到尾只接觸密文。

「伺服器讀不了」這句話的精確界限（包括對惡意伺服器成立的條件）寫在〈威脅模型〉；你的加密備份可以隨時在〈公開驗證〉頁親手解開複驗。

解密金鑰會留在你的裝置上（這是本機模式的代價，〈威脅模型〉照實寫明）。綁定帳戶一律開啟「開啟時鎖定」：金鑰立即以你的 PIN 加密封存，裝置儲存區不再留有任何可用的解密金鑰，下次開啟需輸入 PIN 解鎖。此設定只作用在這台裝置，與登入共用同一組 PIN；綁定帳戶無法關閉（純本地模式不在此列）。舊帳戶在完成一次 PIN 設定（App 內強制引導）之前，裝置儲存區仍短暫留有金鑰。

登出這台裝置時，你也可以選擇一併清除它上面的日記資料：App 內「裝置與登入」的登出確認步驟提供「同時清除這台裝置上的資料」選項，勾選後篇章、圖片附件與本機金鑰會立即從這台裝置移除；不勾選（預設）則字留在這台裝置，只屬於你。

離線與快取

Tacet 可加入裝置的主畫面當作應用使用。為了讓斷網時仍能開啟，瀏覽器會在本機快取應用程式本體（HTML、CSS、JavaScript）。這份快取由與頁面同源的 Service Worker 管理：只快取程式本體，永不快取你的任何日記內文、金鑰或密碼；線上開啟時一律向伺服器確認最新版本，快取只在離線時作為後備。說明頁（包括本頁）與分享讀取頁從不進快取。清除瀏覽器資料即可一併移除這份快取。

付費時的例外

年費方案以 Polar 收款。收據需要 email，它只存在 Polar，不在我們的資料庫。兌換付款後，付款憑證的雜湊會與你的匿名帳戶連結：「此身份已付費」將可連結。日記內容仍然不可讀。這是付費的結構性例外，寫在這裡，不藏在別處。

付款資料只交給 Polar：Polar 是商家記錄（merchant of record），卡號等付款資訊只進 Polar 的結帳系統，我們不儲存、也不接觸；退款、稅務與付款爭議由 Polar 依其政策承載。付費狀態只改變備份與分享的額度上限，與日記內容零關聯：帳戶編號依舊是伺服器端隨機產生，內文加密在裝置上完成後才上傳，這一點付費與否都不變。

分享連結

分享是繫綁帳戶後的功能（純本地模式無此選項）。你把某一篇以分享連結發布時，伺服器保存的是：分享代碼的雜湊、加密包裹與該篇的密文快照。讀者需要同時持有連結與你的分享密語才能在瀏覽器本地解開；伺服器兩者都讀不到內容。分享是快照：之後的編輯與刪除不會同步，效期依方案分級（免費預設 7 天；年卡可選最長 90 天），你也可以隨時在應用內撤銷。

任何人持有連結就能通報：只需連結本身，不需要分享密語，我們無法、也從不利用通報解開內容。通報經雜湊比對屬實後，該連結立即失去讀取通路（讀取端顯示「已因檢舉而下架」）；通報記錄（雜湊、選填說明）會在連結清除後一併移除。我們無法、也永遠不會從通報中讀出任何被分享的內容。

刪除

你可以在應用內隨時刪除帳戶：帳戶列、全部加密備份、登入憑證立即抹除，沒有保留期；你建立的分享連結與其通報紀錄一併清除。我們也永不代替你刪除任何一篇；刪除永遠由你決定、由你操作。

服務與營運者

本服務「默·Tacet」（tacet.ink）由位於台灣的個人營運。服務相關聯絡：support@tacet.ink；條款見〈服務條款〉。

基礎設施

本服務運行於 Cloudflare（Workers、D1、Pages、R2），傳輸全程 TLS。資料處理位置由 Cloudflare 邊緣網路決定。

把「誰會碰觸你的資料」正式列一遍，只有這兩家：

Cloudflare本服務的全部執行與儲存基礎：程式在 Workers 上執行，密文與帳戶雜湊存在 D1，加密備份的圖片附件存在 R2，網頁由 Pages 遞送，限流與日誌在邊緣層。你的日記內容到達 Cloudflare 之前就已加密，Cloudflare 也讀不到內容。

Polar付費時的收款平台（現已開放：年卡結帳與收據由 Polar 遞送）：收據的 email 只存在 Polar，不進我們的資料庫。

收款 email 由 Polar 依其隱私政策保存；除此之外，沒有其他第三方接觸你的資料。

你的權利

匿名設計本身就是最強的資料保護：我們無法知道你是誰，也就無法洩漏、轉售或交出你的日記。在匿名的前提下，你仍然擁有這些實際可行的權利：

查詢你的筆數、容量與方案等聚合用量，在應用內的安全設定即可查看；帳戶編號就在同一頁，可用來對帳。

刪除在應用內刪除帳戶（安全設定），帳戶列與全部密文立即抹除；動線說明見上方的「刪除」節。

可攜Markdown、JSON、加密備份三種格式隨時匯出，永久免費；加密備份可在公開驗證頁離線複驗。

行使存取／可攜等請求privacy@tacet.ink

無法做的有些權利在匿名架構下結構上不可執行，照實說明：我們沒有 email 也無法辨認你，所以無法替某個身份更正或單獨刪除許願、年卡意願登記（含已退役的歷史登記列）等匿名紀錄；密語遺失也沒有客服重設。能做的刪除動線，都開在應用內。

法律依據

我們的營運地與法律主體在台灣，服務的準據法是台灣法律（見〈服務條款〉）。台灣的個人資料保護法（個資法）是我們處理資料的基本依據：只收集為提供服務所必需的資料（最小化原則），以誠實與明確的方式告知（本頁），並在你要求的範圍內提供查詢與刪除。資料的跨國處理由 Cloudflare 全球基礎設施承載，這是所有網站服務的既有面，照實寫明，不做超出實際情況的承諾。

我們以 GDPR 的標準自我要求：最小化收集、加密、明確的保留期限、可執行的刪除與可攜動線。需要說明的是，歐盟的 GDPR 並未直接適用於位於台灣、且無歐盟據點的營運者（台灣不在歐盟的充分性認定名單內），所以本頁寫的是「以 GDPR 標準自我要求＋說明管轄」，而不是「符合 GDPR」。這句話是品牌調性的一部分：不宣稱沒有的東西。

萬一發生資料外洩

最壞情境其實就是威脅模型的第一行：存放加密內文與雜湊的資料庫被偷走，偷到的只是一箱密文。即便如此，我們仍會照實處理：在確認事件的合理時間內於威脅模型頁與介紹頁公告事實（影響面、內容是否可能被讀取、你能做的事），並聯絡 Cloudflare 協同調查。由於沒有 email 名單，我們無法逐一通知；請依賴公告而非主動提醒。我們也建議用戶把密語強度當作自己的第一道防線：密語夠強，密文被偷也解不開。

邊界聲明

默·Tacet 是一本書寫工具，不是醫療、心理治療或危機介入服務，也無法提供任何緊急協助。如果你正處於危險或極度困難的時刻，請聯絡你所在地區的專業求助管道。

政策變更

這份政策若有實質變更，會更新此頁並更改「最後更新」日期。沒有帳號系統也沒有 email 名單，我們無法主動通知你；把這頁存進書籤，隔一段時間回來看，是我們能建議的全部。