本政策说明野草VPN（“我们”）在您使用官网、用户面板、官方客户端和节点服务时，实际收集哪些信息、为什么收集、保存多久、和谁共享。我们按“最少够用”的原则收集数据。
简要说明：我们不记录您访问了哪些网站、不记录您的浏览内容和 DNS 查询，也不出售您的数据。注册只需要邮箱和密码，不收集手机号、实名信息、通讯录或位置。为了计费、限制设备数和防止滥用，我们会保存账号、套餐、流量用量和必要的网络地址记录，具体见下文。
1. 我们不收集的信息
- 您通过节点访问的网站、域名、IP、应用和内容，DNS 查询记录；
- 手机号、身份证件、真实姓名、通讯录、短信、照片、精确位置；
- 其他应用里的数据。客户端只在您点击连接时建立 VPN 隧道，不读取其他应用的内容。
2. 我们收集的信息和用途
| 信息 | 用途 | 保存在哪里、保存多久 |
|---|---|---|
| 邮箱、密码（只保存加密后的哈希，看不到明文）、注册时间 | 登录、找回账号、联系您 | 账号存在期间 |
| 套餐、到期时间、流量上限、已用流量（上传/下载合计） | 计费、到期和流量提醒 | 账号存在期间 |
| 按日统计的流量用量（每天在各倍率节点上用了多少，不含访问内容） | 流量明细、核对计费 | 账号存在期间 |
| 同时在线的设备（以网络地址区分）、在线设备数、最后在线时间 | 执行套餐的设备数限制 | 在线网络地址只保存在内存缓存中，约 5 分钟不活跃即自动过期；数据库只保存“在线设备数”和“最后在线时间” |
| 登录凭证（会话令牌）、最后登录时间 | 保持登录状态，在“个人中心”管理已登录的设备 | 到您退出登录或令牌失效 |
| 订单记录（套餐、金额、时间、订单号、付款状态） | 开通服务、对账、处理退款 | 账号存在期间，注销时一并删除（全站每日收入汇总不含个人信息，会继续保留） |
| 邀请关系、邀请奖励记录 | 发放邀请奖励、防止重复发放 | 账号存在期间 |
| 邀请资格判断记录：好友的注册方式（邀请码或邀请链接）、按日流量统计中的用量与首末使用时间、审核状态与原因 | 判断“有效好友”、发放和收回邀请奖励 | 账号存在期间 |
| 注册、登录、客户端启动时的网络地址，及据此查到的网络归属（运营商／机房的自治系统号 ASN，使用离线数据库在本服务器查询，不发给第三方） | 防止自己邀请自己、批量注册刷邀请奖励（比对同一网络、机房／代理网络） | 完整网络地址 30 天后清除，只保留网段（IPv4 /24、IPv6 /64）；网段记录 90 天后删除 |
| 已计为有效好友的设备标识哈希（来自免费试用记录，见下方） | 保证同一台设备只能当一次有效好友 | 与免费试用记录相同 |
| 工单内容 | 客服沟通 | 账号存在期间（见第 4 节关于通知工具的说明） |
| 免费试用记录：账号、领取时间、领取时的网络地址（IPv4 地址，或 IPv6 的 /64 前缀）、客户端版本、平台；设备标识的哈希值（见下一行） | 保证每个账号、每台设备只能领一次，每个网络地址每天领取次数有限 | 长期保存，注销账号后也会保留，否则同一台设备注销后可以无限重复领取 |
| 设备标识的哈希值：Android 为 ANDROID_ID、Widevine 设备 ID、系统版本指纹与机型；Windows 为 MachineGuid、主板 SMBIOS UUID、系统盘卷序列号 | 只用于判断“这台设备领过试用没有” | 客户端先在本机做 SHA-256 加盐哈希再提交，原始标识不会离开您的设备，我们也无法从哈希反推出原始标识。只在您点击“领取免费试用”时提交 |
| 注册、登录、验证码相关的网络地址计数 | 限制同一网络地址的注册次数和请求频率，防止批量注册和暴力破解 | 只保存在缓存中：注册计数 60 分钟、验证码 5 分钟、频率计数几十秒到几分钟后自动过期 |
3. 服务器日志
- 节点：节点程序不记录您访问的目标地址和内容。只有在连接异常（例如握手失败）或超出设备数被拒绝时，会记录来源网络地址、时间和账号标识，用于排查故障和执行设备数限制。这些日志保存在节点本机，按固定大小循环覆盖，通常只保留几天。
- 官网、下载页和备用接口：网页服务器记录访问日志（网络地址、时间、访问的页面、浏览器标识），用于排查故障和防御攻击，保留 14 天后自动删除。
- 面板应用日志：记录节点连接、试用领取被拒等运行事件，部分事件包含网络地址，用于排查故障和发现滥用，保留 14 天后自动删除。
- 主机流量统计：我们统计每台服务器的总流量，用于控制服务器流量额度，这个统计不区分用户。
4. 第三方服务和数据共享
- 不出售、不出租您的个人信息，我们自己挑选广告时也不做个性化（只按广告位、使用档位和您的广告偏好挑选）。第三方广告联播网会直接收到您的 IP 与设备信息并按其政策处理，见第 10 节。
- Cloudflare：官网、用户面板和接口通过 Cloudflare 提供加速和防护，Cloudflare 会处理您访问这些页面时的网络地址和请求信息。连接节点（VPN 流量本身）不经过 Cloudflare。为了在部分网络下保持可用，我们另有一个不经过 Cloudflare 的备用接口，直接由我们的服务器处理。
- 客服通知：为了及时回复，您提交的工单内容（标题、内容、账号邮箱）会通过 Telegram 推送给我们的客服人员。
- 支付机构：付款由您选择的支付渠道处理，我们只收到订单号和付款结果，不保存您的银行卡号或支付账户信息。支付渠道会按其自己的隐私政策处理数据。
- 法律要求：只有在法律明确要求、并经过正当程序时，我们才可能提供必要的信息。由于我们不记录访问内容，我们也无法提供您浏览过什么。
5. 客户端权限
- VPN（Android VpnService）：建立加密隧道，必需。
- 网络访问：连接节点和面板，必需。
- 通知：显示连接状态、客服回复和更新提醒，可在系统设置中关闭。
- 安装应用（Android）：仅在您点击“立即更新”时用于安装野草VPN 新版本，安装前会校验数字签名，系统会再次请您确认。
- Windows 客户端连接时会修改系统代理设置，断开或退出时自动恢复。
- 登录凭证、设置和节点列表保存在您的设备上，卸载客户端即删除。
6. 数据安全
- 客户端与面板之间的通信全程使用 HTTPS 加密；VPN 流量使用加密协议传输。
- 密码只保存哈希值；服务器只开放必要端口，管理权限仅限少数运营人员。
- 任何系统都无法保证绝对安全。如果发生可能影响您的安全事件，我们会通过面板公告通知。
7. 您的权利
- 查看：您可以在用户面板查看账号信息、套餐、流量明细、订单和工单。
- 修改：可以在个人中心修改密码；需要更改邮箱请提交工单。
- 注销：通过工单申请注销，我们会在 30 天内删除账号及其订单、流量统计、邀请码和工单。免费试用记录（含设备哈希和领取时的网络地址）为防止重复领取会继续保留。
8. 未成年人
本服务面向成年人。未满 18 周岁的用户请在监护人同意和指导下使用。
9. 政策更新
我们可能因功能或数据处理方式的变化更新本政策，更新后会在本页公布并修改生效日期；涉及收集新类型数据的重大变更，会在用户面板公告。
10. 野草浏览器（App 内免费浏览器）
野草VPN Android App（1.2.0 起）里的“野草浏览器”可以在不开启 VPN 的情况下免费浏览境外网站，有速度与每日流量上限，并会显示广告（已购买付费套餐的用户不显示广告，免费试用期间显示少量广告）。以下说明这个功能额外处理的数据。
我们会收集的数据
- 设备识别码（不可还原的哈希）：由手机的设备信息（ANDROID_ID、DRM 设备标识、机型）在手机上先做哈希后再上传，服务器再加盐计算出一个随机样式的设备编号。我们拿不到原始的设备标识，也无法用它找出您是谁。
- 使用档位与额度：您目前的档位（未登录 / 已登录无套餐 / 付费）、每天用掉的流量总数（只有总数，不分网站）、看广告领取的奖励记录。
- 广告事件：哪个广告位显示了哪一则广告、是否完整显示、是否被点击或关闭。不包含您正在浏览的网址。
- App 与系统版本：App 版本、Android 版本、WebView 版本，用来排查问题与决定能显示的广告格式。
- 网络信息（防滥用）：建立会话时来源 IP 的网段（IPv4 取前 24 位、IPv6 取前 64 位），保存 7 天；连接免费节点时节点回报的来源 IP，只在内存数据库保存约 1 天，用来发现一个设备在很多地方同时使用等滥用行为。
- 您的选择：是否确认已满 18 周岁、您选择隐藏的广告类别、浏览器设置。
- 每日签到（App 1.3.2 起，需要登录野草VPN 账号）：签到时我们记录账号编号的加盐哈希、设备编号、签到日期（北京时间）、连续签到天数、领到的流量、档位，以及网络地址的网段（IPv4 前 24 位、IPv6 前 64 位，不保存完整 IP）。这些记录用来防止重复领取与作弊。网段 7 天后清除，签到记录 90 天后删除。
- 书签同步（App 1.3.2 起，默认关闭，需要登录并在设置里主动开启）：开启后，您的书签（网址与标题）会以账号编号的加盐哈希为索引保存在我们的服务器上，以便在登录同一账号的其他设备上找回。只同步书签，不同步历史记录；书签不会用于广告或其他用途。您可以随时在设置里关闭同步，并选择「关闭同步并删除云端书签」立即删除服务器上的副本。
- 省流量模式、广告与跟踪拦截、阅读模式、画中画与后台播放（App 1.3.2 起）：都在您的手机上完成。省流量模式在手机上把图片改为请求较小尺寸、把 YouTube 视频默认调为 360p；拦截功能用 App 内置的跟踪器域名清单在手机上拦截网页里的第三方跟踪器与广告请求（野草浏览器自己的广告位不受影响）。这些功能不会把您访问的网址或网页内容发送给我们。
- 成人网站导航（18+）（App 1.3.3 起）：只有在您确认已满 18 周岁、且没有在“广告偏好”里隐藏成人类别时，新标签页才会显示一组“成人（18+）”网站捷径；无痕标签页不显示。是否显示完全在您的设备上判断，图示内建在 App 里，打开新标签页不会连到这些网站。您点按其中一个捷径时，我们会记录一次匿名统计（“成人分组”、位置与网站代码），不记录您之后浏览的网址或内容；您可以随时在“年龄确认”改为未满 18 周岁，或在“广告偏好”隐藏成人类别来关闭这一组。
- 如果您已登录野草VPN 账号：App 会向账号服务器取得一份套餐状态证明（只有“有没有有效套餐”“是否为试用”“到期时间”，以及账号编号的加盐哈希），用来决定是否显示广告与是否使用免费节点。不会把您的邮箱或账号编号传给浏览器服务。
我们不会收集的数据
- 浏览记录、网址、搜索关键词、网页内容、表单内容、下载内容。历史记录只存在您的手机上；书签默认也只存在您的手机上，除非您主动开启下面的「书签同步」。
- 免费节点不记录您访问的网址（日志只记录错误）。
中国大陆网站直连：在默认的“自动”线路模式下，访问中国大陆网站时直接连线，不经过我们的服务器，也不计入免费流量；域名解析由手机向公共 DNS 查询。如果您在浏览器设置里把线路模式改成“全部走线路”，中国大陆网站也会经过免费节点并计入流量；改成“关闭线路”则所有网站都直接连线。
广告请求不经过代理：广告（包括我们自己的广告服务器与广告图片 / 视频）是由您的手机直接连线载入的，不经过我们的翻墙节点。因此广告服务器与广告素材主机会看到您的真实 IP 地址。广告流量不计入每日免费流量。
第三方广告联播网：从 App 1.3.0 起，野草浏览器除了直接向我们购买的广告与野草VPN 自己的推广外，也可能显示第三方广告联播网的广告，目前合作的是 Adsterra（底部横幅）与 ExoClick（底部横幅、开屏）。
- 联播网广告在 App 内一个独立的隔离环境（广告沙箱）里显示，由您的手机直接连线到联播网的服务器载入，不经过我们的节点。
- 广告沙箱无法读取您在野草浏览器里的浏览记录、网址、Cookie、登录状态或其他浏览数据；联播网在沙箱里设置的 Cookie 只存在沙箱内。
- 联播网会收到您的真实 IP 地址、User-Agent（设备与浏览器型号），以及您与广告的互动（显示、点击等），并按各自的隐私政策处理，可能用于选择广告与防作弊：Adsterra 隐私政策、ExoClick 隐私政策。
- 我们不会把您的账号、设备编号或浏览记录提供给联播网。
- 成人类广告只在您确认已满 18 周岁后才会显示（只在开屏广告位），您可以随时在“广告偏好”里隐藏。
- 已购买付费 VPN 套餐的用户不显示任何联播网广告。
直接向我们购买广告的广告主只会拿到汇总报表，看不到任何单一用户的数据。广告相关统计也会以匿名方式发送到 PostHog 与 Google Analytics，详见第 11 节。
点击广告后打开的网页属于一般浏览，经由我们的节点载入，计入每日流量。
| 数据 | 保存期间 |
|---|---|
| 广告原始事件 | 30 天 |
| 广告请求记录 | 2 天 |
| 广告汇总统计（不含个人数据） | 2 年 |
| 会话记录（含 IP 网段） | 7 天 |
| 节点回报的来源 IP | 约 1 天（内存数据库） |
| 每日流量统计 | 90 天 |
| 奖励记录 | 90 天 |
| 签到记录（IP 网段 7 天后清除） | 90 天 |
| 云端书签（仅开启书签同步时） | 到您关闭同步并选择删除，或删除账号为止 |
您可以
- 在浏览器菜单“清除浏览数据”，清除手机上的 Cookie、网站数据、缓存和历史记录。
- 在“广告偏好”隐藏受限类别的广告，或修改年龄确认。
- 不想看广告：购买任意付费套餐后，野草浏览器不再显示广告（免费试用期间仍有少量广告）。
11. 匿名使用统计
为了解 App 的使用情况、发现连接问题并改进服务，野草VPN App（Android 1.3.0 及以后版本）会收集匿名使用统计：
- 收集的内容：App 版本、操作系统版本、平台（Android／Windows）、网络类型（Wi-Fi／移动网络）、运营商类别（移动／联通／电信，只记类别，不记号码）、功能使用情况（例如是否连接成功、连接耗时、选择的节点、是否领取试用、是否点击升级、App 内更新是否成功、野草浏览器的使用时长与页面成功／失败次数、签到与省流量／拦截等功能的使用情况（例如是否开启、拦截了多少个请求，不含网址））、广告展示与点击情况（哪个广告位、哪条广告，不含你访问的网址）、错误与崩溃信息（已去除网址和数字串）。
- 识别方式：用设备标识经过加密哈希生成的匿名编号，无法还原成设备号；登录后会附带账号的匿名哈希值，用于统计付费转化，不包含邮箱、密码、订阅链接。
- 不会收集：浏览记录、访问的网址或域名、搜索内容、DNS 查询、连接目的地、你在「分应用代理」里选的应用、剪贴板（下面「安装来源识别」的 YC# 来源代码除外）、工单内容、设备 IMEI／MAC／广告 ID。
- 使用的服务：
- PostHog（PostHog Inc.，数据存放在欧盟德国法兰克福）：通过我们自己的服务器转发，PostHog 看不到你的 IP 地址，我们也关闭了 IP 地理定位。
- Google Analytics（Google LLC）：App 直接发送到 Google 的统计服务器，Google 会看到你的网络 IP 地址并用来推算大致地区（Google 表示 Google Analytics 4 不记录、不保存 IP 地址）。我们不向 Google 发送账号信息。必要时会改经我们的服务器转发。
- 服务器端统计：订单付款、注册、试用开通、套餐到期这些事件，会由我们的服务器以匿名编号发送到上述统计服务，用于统计收入与续费（不含邮箱和付款信息）。
- 保存期限：PostHog 最长 1 年；Google Analytics 14 个月；App 本机未发送的记录最多保存 7 天。
- 用途：了解功能使用情况、发现连接与崩溃问题、衡量广告效果与付费转化，用于改进服务。不用于个性化广告，也不出售给任何人。
- 始终开启：匿名使用统计是 App 运行的一部分，App 内不提供关闭开关。统计是匿名的：我们不保存你的 IP 地址（转发给 PostHog 时会去掉 IP；Google Analytics 由 Google 处理，见上文），也不收集上面列出的「不会收集」的内容。我们可以在服务器端随时整体停止收集。广告计费所需的展示／点击记录（发送到我们自己的广告服务器）另见上文第 10 节「野草浏览器」。
- 安装来源识别（广告下载页）：如果你是点广告进入我们的下载页，点「下载」时页面会把一段来源代码（以
YC#开头，只含广告平台、广告位编号、广告平台的点击编号和一个随机编号）复制到剪贴板，并记录这次点击的网络地址、浏览器 UA、机型、时间和一个 6 位领取码。App 第一次打开时会读取一次剪贴板：只有以YC#开头的内容才会连同匿名设备编号发送到我们的服务器，然后从剪贴板清除；其他内容会被立即忽略，不保存、不发送（Android 12 及以上系统会提示「已读取剪贴板」）。读不到时，我们会用同一网络地址＋机型在 30 分钟内对应下载点击，或由你在 App 内手动输入 6 位领取码。识别结果只用于统计广告成效，并在首次打开、领取试用、付款时向该广告平台（ExoClick）回传一次「转化」——只回传广告平台自己的点击编号和付款金额，不含邮箱、账号或设备信息。下载点击与首次打开时记录的网络地址和 UA 30 天后删除。 - 删除数据：如果你希望删除与你账号关联的统计数据，请通过下方第 12 节的方式联系我们，我们会在 30 天内删除与该账号匿名哈希关联的记录。
12. 联系我们
对本政策有疑问，或想行使上述权利，请在官方客户端“在线客服”或用户面板“工单”中联系我们。