隐私政策

iPhone 实时邮件通知（启用前披露）

此功能尚未公开启用。启用前需确认隐私披露与 App 内显示的服务器地址及实际部署地区一致。 开启 iPhone 新邮件通知并明确同意后，IMAP 邮箱授权码和 Outlook 刷新令牌（refresh token）会发送至 Orvia 独立推送服务器，只用于检查新邮件。当前部署计划所在地为日本大阪；启用前以 App 明示的实际地区为准。中国大陆用户的凭据及提醒所需邮件元数据会因此传输至中国大陆境外。这次同意也适用于后续新增的支持邮箱；服务器地址或地区变更需要重新同意。拒绝托管时继续使用 iOS 后台刷新。 凭据在磁盘上加密，但监听期间服务器内存中会有明文。服务器只处理新邮件发现、静音和通知所需元数据，不存完整邮箱、正文或附件。发件人及开启预览时的有限主题经 Apple APNs 发送；预览默认关闭。静音地址、推送设备 token、不透明设备/账户标识、未读数与投递回执仅用于通知、去重和故障兜底。 Gmail OAuth token 不上传。设备自行订阅 Gmail watch；Google Pub/Sub 的地址和 historyId 会经过服务器，地址仅以带密钥哈希查找设备，地址明文与 historyId 不落盘、不记日志。服务器通过 APNs 静默唤醒设备，设备直接向 Gmail 同步并发本地通知。强制退出 App 后 Gmail 无法通过此路径提醒；关闭一台设备不会停止其他设备的 watch。 关闭通知、系统权限关闭后回到 App、或删除邮箱会请求立即硬删除服务器记录并停止监听。网络失败时设备保留删除需求并重试。Microsoft 不可用时远端订阅可能等原到期时间，但删除的本地映射不会继续发通知。设备 30 天无 PUT 会删除；成功推送回执保留 7 天；数据库不备份。App Attest 验证仅用于合法设备与防重放，不用于广告。Gmail 数据仍受 Limited Use 限制；下次适用 CASA 年度复评应包含网关。

Orvia 不把你的收件箱变成自己的数据

Orvia 不会为了分析、广告、数据交易或训练 Orvia 自有模型而把你的邮箱同步成服务端档案。邮件默认保存在你的 Mac，并直接与你选择的邮箱服务商通信。只有你明确使用的购买、授权、账户恢复或可选云端功能，才会处理完成该功能所必需的最少数据；可选云端 AI 的有限处理与脱敏结果缓存会在下文单独说明。

Classic 是独立买断版，个人 AI 完全可选

Orvia Mail Classic 是官网分发的一次性买断版本，不包含 Orvia 托管云端 AI 或其订阅。邮件正文、附件、索引和本机规则结果默认留在 Mac，邮件收发直接连接邮箱服务商。只有用户主动启用 Personal AI 后——邮箱随启用的连接一并开启，你也可以随时对任一邮箱关闭——完成摘要、回复或写作任务所需的限定文本才会经过本机隐私门禁，发送给用户选择的 Personal AI 连接。Classic 支持的 Personal AI 包括两种：使用你自己的 OpenAI 兼容 API Key 或端点，或登录你自己的 ChatGPT 或 Grok 账户。API 凭据保存在 macOS Keychain；账户连接是本机设备运行时，凭据由提供方运行时保存在 App 容器内，Orvia 不读取、不复制也不同步这些 Token。该路径不经过 Orvia AI Proxy。Classic 还会在购买、License 激活和软件更新时使用必要的联网服务。

Classic Personal AI 连接如何保存凭据

Personal AI 在 Classic 中完全可选。API 配置使用你自己的 OpenAI 兼容 API Key 或端点，其凭据保存在 Orvia 可同步的 Keychain 项目中。ChatGPT 或 Grok 账户连接在设备上运行随 App 打包的官方提供方运行时；账户凭据由提供方运行时保存在 Classic App 容器内并负责刷新，Orvia 不会读取、复制、同步、记录或导出这些 Token。断开 ChatGPT 或 Grok 账户连接会删除该设备上的本地运行时数据。

ChatGPT / Grok 账户数据控制

消费级 ChatGPT 和 Grok 账户的数据控制可能允许提供方使用或保留内容用于训练。在官方 API 能权威返回该状态之前，Orvia 将其视为未知，不声称训练已关闭。这类账户连接按相同的邮箱权限覆盖所有已连接邮箱，包括 Gmail。经由它们发送的邮件（包括 Gmail）受你自己的 ChatGPT 或 Grok 账户条款约束；Orvia 不运营该传输，也不控制提供方的训练与留存。

为什么 App Store 会显示“与你关联的数据”

App Store 标签属于 App Store 版，并把所有可选功能可能涉及的数据合并展示；它不适用于官网独立分发的 Classic。购买记录用于 Apple / RevenueCat 的订阅验证；邮箱地址和用户 ID 用于可选账户与权益恢复；“邮件或短信”是 Apple 的合并类别，Orvia 不访问短信，它对应用户明确开启符合条件的云端 AI 后的脱敏邮件文本；产品交互记录只用于 AI 配额与服务可靠性，不用于广告。

安装级匿名与账户关联的伪匿名数据分开说明

开启使用统计时，Orvia 只发送随机安装标识、平台与分发渠道、版本与构建号、粗粒度方案或权益，以及按邮箱服务商种类汇总的连接数量。不会发送邮箱地址或域名、Provider 账号标识、邮件或联系人数据、附件、OAuth 凭证、交易或 License 标识、设备序列号和原始错误。安装标识单独看不指向身份；通过 Orvia Account、App Store 订阅或 Classic 权益认证后，服务端会把快照关联到不透明的账户或权益身份，因此这部分属于伪匿名而非严格匿名。关闭统计会立即停止新快照并请求删除；临时失败会保留删除任务重试，快照最多保留 90 天。

崩溃与可靠性记录不包含邮箱内容

Release 版本可能发送与随机安装标识关联的最小化运行诊断和崩溃数据，包括平台与分发渠道、版本与构建号、操作阶段与结果、粗粒度耗时和数量区间、受限错误分类，以及符号化所需的已清理异常帧。发送前会删除异常消息、完整路径、URL、凭证、邮箱地址或域名、Provider 账号标识、邮件或联系人数据、附件、交易或 License 标识、设备序列号，以及诊断白名单之外的字段。诊断只用于发现、调查和验证产品可靠性问题，不用于广告或跨 App 追踪；远程诊断可独立停用，不影响本地可靠性记录和核心邮件功能。

我们记录哪些功能被使用

开启「帮助改进 Orvia」时，App 还会把产品使用事件发送到 PostHog（欧盟区），并按同一个随机安装 ID 建立匿名用户档案。事件只记录用了哪些功能、流程如何结束，例如首次启动与更新、打开 App、引导步骤、开始和完成添加邮箱、发送邮件、查看升级页、购买或恢复结果；每条事件只含固定选项值、布尔值、粗粒度的次数或时长区间、平台、分发渠道、App 版本和构建号。事件绝不包含邮箱地址或域名、邮件主题或正文、摘要、译文或其他 AI 结果、联系人、附件或文件名、URL、搜索词、服务商或邮件 ID、凭据、交易或授权码，也不含任何自由文本；所有字段在发送前都会在设备上按白名单检查，并关闭基于 IP 的定位。该档案不关联 Orvia Account、购买记录、邮箱或姓名，不用于广告或跨 App 追踪，只用于了解和改进 Orvia 的使用方式，在 PostHog 中最多保留 365 天。关闭「帮助改进 Orvia」会立即停止发送并丢弃待发事件；如需删除某个安装的事件，请联系 hello@orviamail.com。

每项服务只获得完成其功能所需的数据

邮箱服务商负责同步与发送邮件；Apple 和 RevenueCat 负责 App Store 购买与权益；Waffo Pancake 负责 Classic 结账；事务邮件服务商负责发送用户请求的验证码或通知；只有用户主动开启符合条件的云端 AI 或 Classic Personal AI 时，配置的模型服务商才会收到经过隐私门禁处理的任务限定文本。Orvia 不接入广告网络、数据经纪商或跨 App 追踪 SDK。第三方会按各自条款处理为其提供服务所必需的数据。

官网收集什么

当你登记上线通知时，我们只收集你提交的邮箱地址，用于发送正式上线通知和重要产品更新。你可以随时写信到 hello@orviamail.com 要求删除。

Orvia Mail 访问哪些 Gmail 数据

连接 Gmail 后，Orvia Mail 会访问账号邮箱地址、邮箱标签或文件夹、邮件头、摘要片段、邮件正文、你选择打开的附件、已读/未读、星标和完成邮件客户端功能所需的消息元数据。Gmail 与其它邮箱使用同一套数量与产品规则，按普通邮箱额度添加；是否能连接仍可能受 Google 及账号要求影响。

Gmail 数据如何使用

Orvia Mail 只把原始 Gmail 数据和由其产生的本地搜索索引、分类状态用于用户可见的邮件客户端功能：显示收件箱、渲染邮件、发送邮件、同步已读/未读和星标、本地搜索与分类整理。Orvia Mail 不会建立、传输或出售汇总或匿名化的 Gmail 数据集。

Gmail 数据去向

Orvia Mail 通过 HTTPS/TLS 直接与 Google Gmail API 通信。Gmail OAuth Token 不会发送给 Orvia 服务器或 AI 服务商，邮件收发也不经过 Orvia Mail 自建中转服务器。Gmail 邮件内容默认留在你的 Mac。云端 AI 默认关闭；你开启全局云端 AI 后，Gmail 与其它已连接邮箱一样自动继承，除非你关闭该邮箱。对被允许的 Gmail 邮箱，下文所述的可选云端流程会通过 Orvia AI Proxy 发送完成任务所需的最少脱敏文本，并把脱敏结果缓存用于幂等重试。

远程图片默认被阻止

远程图片和其他由发件人托管的资源默认被阻止。只有用户明确选择加载时，远程主机才可能收到资源 URL、请求时间，以及 IP 地址、用户代理等网络或设备信息。Orvia 无法控制该远程主机的数据保留规则。

本地存储与凭据安全

邮件正文、附件、账户配置、草稿、发件队列、搜索索引和分类偏好保存在当前 macOS 用户可访问的 App 专用本地存储中。邮件 OAuth Token 保存在 macOS Keychain。Orvia 不把 OAuth Token 或完整 Gmail 邮件内容写入运行日志、分析或代理记录。

Gmail 数据保留多久

Gmail 内容和派生本地索引会保留在 Mac 上，直到用户从 Orvia Mail 删除该 Gmail 账户或删除 App 数据。OAuth 凭据保留到账户被删除或用户在 Google 撤销授权。Orvia 服务器不保留完整 Gmail 邮件正文。用于防止重复扣减并保证客户端重试幂等的脱敏 AI 结果缓存和可复用排版模板没有固定删除日期；已验证身份的删除请求会在 30 天内将其与订阅用量记录一并删除。已验证身份的服务端删除请求会在 30 天内完成，法律或安全义务要求保留的有限记录除外。

禁止模型训练

Orvia Mail 不出售 Gmail 数据，不将其提供给数据经纪商，不用于广告、信用或贷款决策，也不使用原始或派生 Gmail 数据来开发、改进或训练通用 AI/ML 模型。Orvia AI Proxy 不允许其模型服务商将 Gmail 数据用于此类训练；任务限定脱敏文本按你所确认的 AI 数据区域对应的模型服务商条款处理。如果你通过自己的 Personal AI 连接（包括 ChatGPT 或 Grok 账户）处理邮件，该提供方的训练与留存由你自己的账户条款决定。

云端功能默认关闭

云端 AI 默认关闭，仅连接 Gmail 不会开启它。你开启全局云端 AI 后，所有已连接邮箱（包括 Gmail）自动继承，除非你关闭某个邮箱；你关闭的邮箱不会被自动重新开启。对被允许的邮箱，只有隐私网关允许该请求时，Orvia 才会发送完成请求所需的最少脱敏文本，不含 OAuth Token。Classic Personal AI 是上文所述的另一条直连服务商路径。

云端 AI 在哪里处理

云端 AI 按你在 Orvia Mail 中确认的 AI 数据区域路由：中国大陆、欧盟、国际或美国，适用于包括 Gmail 在内的全部邮箱。当前该区域配置的服务商是阿里云百炼（通义千问），请求不会跨区域回退。旅行或 VPN 不会改变区域设置；你可以在设置中迁移，迁移期间新的 AI 请求会短暂暂停。

语音稍后处理的音频

语音稍后处理（说出时间来设置稍后提醒）是可选的，只在你点按麦克风（Mac 也可双击 Option）时才开始录音；使用 AI 引擎需要先开启全局云端 AI。Mac 本地引擎使用 Apple 语音识别，优先在设备端处理，也可能回落到 Apple 的语音识别服务，该音频不经过 Orvia。使用 AI 引擎时（Mac 与 iPhone），录音（上限 2 MB，WAV 或 M4A）经 Orvia AI Proxy 发送到你所确认的 AI 数据区域对应的服务商（当前为阿里云百炼（通义千问）），先转写成文字，再从文字中提取时间，请求不会跨区域回退。Orvia 不保存音频和转写文本，也不写入日志；Proxy 只保留结果（时间与置信度）和请求的单向哈希指纹，用于防止重复扣点与幂等重试，保留规则与 AI 任务结果缓存相同：没有固定删除日期，经核实的删除请求会在 30 天内删除。每次 AI 语音请求消耗 1 个 AI 点数，不读取也不发送邮件内容。

每次云端请求都先经过隐私检查与脱敏

符合条件的请求在离开 Mac 前必须经过 Orvia 隐私网关。高风险邮件和无法安全处理的内容会被直接阻止；允许发送的内容会移除无关部分，并用随机占位符替换可恢复的敏感字段。占位符映射只存在于当前 Mac 会话，模型服务商只看到完成任务所需的脱敏文本。如果输出未通过占位符完整性和安全检查，结果不会被采用。

查看隐私脱敏如何工作包含完整流程与交互示例。

配额和授权记录不包含完整邮件正文

为验证订阅、限制额度、防止重复扣减和保持服务可靠性，Orvia 服务可能保存购买事务标识、请求功能、额度、状态、耗时、账户或 License 激活记录，以及用于幂等重试的脱敏模型结果缓存。这些记录不包含邮箱密码、OAuth Token 或完整原始邮件正文，也不用于广告画像。这些缓存没有固定删除日期，会在已验证的删除请求中按保留说明一并删除。

AI 点数与账户钱包

AI 点数是可选功能。每个有效的 Apple Plus 来源按 UTC 自然月提供 1,000 点；在应用内商店列出的渠道还可一次性购买 500、1,200、3,000 点，一次性包不自动续费，默认不过期，实际商品、价格和币种以结账页显示为准。点数由你的 Orvia 账户持有，并在 Classic、Mac App Store 版和 iPhone 之间按各自适用来源共享；恢复购买或关联账户不会补满已用的周期额度，周期额度不结转。钱包记录与你的 Orvia 账户（登录邮箱）关联，只包含订单、交付、余额与用量事实，不包含邮件内容、密码或 OAuth Token，仅用于交付购买、执行额度、防止重复扣费与退款和保持服务可靠；保留规则见本页「保留」说明，为对账或法律义务所需保留的有限记录可能更久。退款按原购买渠道处理（Apple 购买走 Apple 流程，浏览器结账按结账渠道条款），未用点数按原订单回收，不形成用户欠额，也不会从其它订单或未来购买中扣减。删除 Orvia 账户后无法继续使用原钱包；迟到的付款仍进入原订单，不发往新账户。点数不足只会暂停 AI 功能，不影响收发邮件。

Google 有限使用要求

从 Google Workspace API 获得的信息的使用将遵守 Google User Data Policy，包括 Limited Use 要求。

何时可能由人员查看

Orvia 人员不会查看 Gmail 内容，除非用户对具体内容给予明确且可记录的支持授权，或为调查安全滥用、遵守法律所必需。

如何关闭和删除

你可以在设置中关闭云端 AI 和伪匿名使用统计，并在 Settings -> Accounts 删除本地账户数据。在 Orvia 中删除 Gmail 账户会尝试在 Google 撤销该账户的刷新 Token；如果设备离线或撤销失败，你可以在 https://myaccount.google.com/permissions 移除 Orvia 的访问权限。关闭统计会停止新快照并请求删除。完整删除步骤见 data-deletion.html。

你通过反馈表单发送的内容

当你在官网反馈页提交表单时，我们会收到你填写的回复邮箱、称呼、类型、主题、正文和你选择上传的图片，并以邮件形式送达 hello@orviamail.com，仅用于回复和处理这次反馈；图片只作为邮件附件保存，不另行存储。从 App 的「报告问题」进入时，表单会预填 App 版本、构建号、系统版本、分发渠道和语言；如果你开启了「帮助改进 Orvia」，还会预填这台设备的随机安装诊断 ID。这些信息会在提交前完整显示，你可以取消勾选不发送。附带诊断 ID 后，我们可以把这次反馈与该安装的诊断记录对应起来，因此这部分记录会与你的回复邮箱关联。截图可能包含邮件内容，请在上传前遮挡不想分享的信息。如需删除反馈记录，请联系 hello@orviamail.com。

隐私问题怎么联系

如果你想查询、删除官网上线通知邮箱、请求删除服务端订阅、配额、支持或 AI proxy 记录（包括为幂等重试保留的脱敏任务结果缓存与可复用排版模板），或对隐私说明有疑问，请发送邮件到 hello@orviamail.com。涉及 App Store 订阅时请附上 Apple 订阅交易标识，以便定位记录。