UniPass
下载
法律

隐私政策

生效日期:2025 年 4 月 · 最近更新:2026 年 10 月 14 日

Personal 订阅通过 Creem 结账；既有 Beta 云访问和配额保持不变。

UniPass 是一个本地优先、零知识的密码管理器。我们在设计上就尽一切努力减少我们能看到的数据——因为能看到的数据,就是能被泄漏的数据。

简而言之
  • 本地优先:vault 数据始终先在本地 XChaCha20-Poly1305 加密,再考虑是否离开设备。
  • 只存账户，不碰密码库:使用 UniPass 需要账户,服务端只保存登录所需的数据;免费本地版的密码库记录只留在当前 Mac、iPhone 或 iPad 上。
  • 同步端到端加密:只有在试用或订阅有效期间才会云同步,且只上传密文,我们没有密钥,无法解密。
  • 零遥测:不自动上传使用统计或崩溃报告，不做行为分析。
  • 我们不卖数据,不做广告,不做行为分析。

我们收集哪些数据

你的 UniPass 账户

使用 UniPass 需要账户。注册或登录时,服务端会保存:账户邮箱;在你设备上用 Argon2id 从主密码派生的认证哈希(不可逆;服务端只保存它的 SHA-256 摘要);用只有主密码与 Secret Key 才能派生的密钥加密后的 vault 密钥;密钥派生参数;账户公钥及加密后的对应私钥;每台已登录设备的名称、类型与最近同步时间。若你开启两步验证,服务端还会保存经服务端密钥加密的验证器(TOTP)密钥,以及账户 Passkey 的公开凭据。主密码、Secret Key 与密码库内容绝不在其中。

免费本地版(未试用或订阅)

除上述账户数据外,不会向 UniPass 发送任何密码库数据。密码库记录、文件夹和附件都留在你的当前设备上,服务端也会拒绝没有云访问权限的账户上传密码库。客户端仍可能发起下文所述的 favicon 请求，Mac 端另提供用户主动触发的泄露检查;相关服务会像普通 HTTPS 连接一样看到你的网络 IP。

云同步期间(试用、Personal 或既有 Beta 访问)

账户处于试用期、有效 Personal 订阅或保留既有 Beta 云访问时,云同步会自动运行。除上述账户数据外,只会上传以下内容:

类别是否上传说明
主密码否永不离开设备,服务端只见 Argon2id 派生的 auth_hash(不可逆)。
vault 记录(账号密码、笔记、卡片等)仅密文XChaCha20-Poly1305 加密后的不透明 blob,服务端无密钥可解。
文件夹与附件仅密文文件夹名称、附件内容与附件文件名均已加密;服务端可见附件大小与可选的文件类型提示(例如 image/png)。
Secret Key否注册时生成,保存在设备 Keychain,绝不以明文发送。
Recovery Code否恢复码只显示一次且不会上传;启用恢复后,服务端只保存加密恢复信封与单向验证值。
同步元数据是每条记录的标识、版本号、时间戳、删除状态、所在文件夹、收藏标记与密文大小。
使用统计 / 遥测否未集成任何分析 SDK(无 Sentry / Firebase / GA / Mixpanel)。
崩溃报告否无自动崩溃上报。
客户端 IP临时仅 Web 访问日志按运维需要保留,不写入用户数据库。
Favicon 图标见下登录条目所存网址的主机名只会发给该网站本身,不经第三方图标服务;不会发送用户名、密码、笔记或其他 vault 字段;可在设置中关闭。
密码泄露检查见下仅在你主动运行检查时,向 Have I Been Pwned range API 发送每个密码 SHA-1 哈希的前 5 个字符;不会发送明文密码或完整哈希。

我们不会上传:主密码或任何派生密钥、明文 vault 内容、浏览器历史 / 剪贴板内容 / 文件名。

只有在你主动于 UniPass 应用的「设置 → 账户与订阅」中开始试用或订阅后,云同步才会开始;既有 Beta 账户保留原有云访问。

浏览器扩展

面向 Microsoft Edge 及其他受支持 Chromium 浏览器的 UniPass 扩展是桌面应用的伴侣。它会识别登录表单、在用户主动操作时填充凭据,并仅为在本机显示保存或更新提示而处理用户提交的登录值。凭据只在扩展与本机桌面应用之间通过操作系统的 Native Messaging 通道传递——绝不经网络发给我们。扩展不含任何分析,也不向任何地方发送浏览数据。

第三方服务

  • Favicon 获取(macOS 与 iOS/iPadOS，可在设置中关闭网站图标):登录条目保存了公网网址、且本机没有 7 天内的缓存图标时,UniPass 会直接请求 https://<主机名>/favicon.ico,失败时再请求 https://<主机名>/apple-touch-icon.png;内网地址、IP 和 localhost 不会被请求。该网站因此会收到这次图标请求和你的网络 IP,但不会收到用户名、密码、笔记或其他 vault 字段。0.2.43 及更早版本在直连失败后会回退到 Google Favicon 服务,0.2.45 起已移除。
  • Have I Been Pwned 密码 range API:仅在你主动运行泄露检查后,UniPass 在本地哈希密码,启用响应填充并发送 SHA-1 哈希的前 5 个十六进制字符。明文密码与其余哈希字符不会离开设备;Have I Been Pwned 会收到该前缀和你的网络 IP。
  • UniPass 服务端:由 UniPass 团队运营,经 HTTPS + WebSocket 连接;负责账户登录,并在云同步期间仅交换密文与同步元数据。

UniPass 不使用第三方广告或分析服务。

本机诊断

Mac 可导出本机诊断包，iOS 可预览并复制本机诊断摘要，均不自动上传。摘要仅包含版本、系统、错误类别及同步/购买状态等允许字段，不包含密码、Secret Key、密码库字段或交易原始载荷。请先预览，再自行选择是否分享。

数据存储位置

所有本地数据存储在标准的操作系统用户数据目录:

  • macOS: ~/Library/Application Support/io.loxnet.unipass/
  • iOS/iPadOS:应用沙箱与主应用/AutoFill 共享的 App Group 容器；密钥由系统 Keychain 保护。
  • 独立备份:保存在你选择的位置；移除应用或本机账户不会删除这些备份。

数据库文件使用 SQLCipher 加密,密钥派生自你的主密码。操作系统用户权限(0600)阻止其他用户读取。

数据删除

  • 单条记录:发送到回收站,30 天后自动永久删除,也可手动立即永久删除。
  • 整个本地 vault:使用应用内的本机账户移除流程，先核实未同步变更、冲突和备份。把 Mac 应用移到废纸篓不会删除 Application Support 或 Keychain 数据；iOS 卸载也不保证清除系统 Keychain 凭据，需要完整清理时请联系支持。
  • 服务端数据:在桌面端「设置 → 同步与设备」中可撤销设备,在「设置 → 账户与订阅」中可删除账户(如官网订阅仍会续费,需先取消续费;App Store 订阅需在 Apple 账户中自行取消,删除账户不会取消它);删除账户会清除服务端的账户数据、vault 密文与同步元数据;订阅与付款记录会按退款与账务需要保留,见下文。卸载客户端不会自动删除服务端数据。

儿童隐私

UniPass 不针对 13 岁以下儿童提供服务,且不会有意收集任何未成年人的个人数据。

变更

本隐私政策的修订会在项目发布说明中声明。重大变更会提前通知用户。

联系

经营主体与账单数据处理

UniPass 服务经营主体为上海洛克斯网络科技有限公司，隐私联系邮箱为 business@loxnet.io。

通过 Creem 购买 Personal 订阅时，由 Creem（爱沙尼亚 Armitage Labs OÜ）作为名义销售商处理结账与付款资料。Creem 根据其隐私声明收集买家姓名、邮箱、账单地址、付款及订单资料。UniPass 接收关联账户所需的客户、订单、订阅标识、套餐、付款状态和续费时间，用于交付权益、客服、退款及账务处理。UniPass 不接收完整银行卡号码或安全码，也不向支付服务商发送密码库内容、主密码、Secret Key 或恢复码。

结账页明确的销售方及其支付合作伙伴可能在你所在国家或地区以外处理付款资料。保存的账单事件不包含买家邮箱、银行卡资料、账单地址或密码库内容；关联标识和付款记录按订阅、退款及账务处理需要保留。由 Paddle 处理的交易，其数据处理说明见Paddle 隐私政策。

在 iPhone 或 iPad 上通过 App Store 购买时，付款由 Apple 处理，适用 Apple 隐私政策。UniPass 不接收你的 Apple 账户邮箱、姓名或付款资料，只接收并保存 Apple 签名的交易信息：交易标识、商品、购买和到期时间、价格与币种、店面所在国家或地区、续费与退款状态，以及购买时附带的随机账户令牌。该令牌由 UniPass 为每个账户单独生成，只用于把订阅关联到你的 UniPass 账户，不含可识别你身份的信息。这些记录按订阅、退款及账务处理需要保留。