把通讯录存进 TreeLinker 安全吗？

到底有什么离开了手机

关于隐私的回答，只有写成清单才有意义。清单就这些：

• 来自你联系人的、规范化后的电话号码，用来找出其中有谁已经在用 TreeLinker。
• 你把某个人放进 family tree 之后，你为他保存的名字——这样在你重装或在别处登录时，他能带着名字回来。
• 你记录的关系，以及它们构成的 family tree 形状。
• 标签、回忆以及你为回忆附上的照片和地点、时间线条目、群组成员身份和收藏。
• 你自己的资料：姓名、邮箱、电话号码、国家，以及你选填的内容。
• 一个推送令牌，用来把通知送到你的设备。

什么留了下来

联系人备注、住址、邮箱、联系人头像，以及通讯录里其他所有字段，都在设备上读取，从不上传。

来电识别完全在手机上完成匹配。来电号码与你已有的联系人比对，绝不会发送到服务器去询问是谁在打来。产品里不存在任何共享的反向号码库：你没有保存过的来电不会弹出任何卡片，关于对方的任何信息都不会被查询、保存或发送。

真正值得考虑的是分享，而不是存储

人们问的是存储，真正要紧的是分享。把一棵 family tree 或一个标签发给另一位用户，就是把你为其中每个人保存的名字和电话号码一并发过去。在 family tree 里，那些人是亲属；在标签里，可以是任何人——同事、邻居、一串水管工——而当接收方保存该标签时，其中他还没有的人会被添加进他自己的通讯录。

这是对他人号码的真实披露，而且是由你做出的。只与那种你愿意当面把这些号码念给他听的人分享。为投递而暂存的内容在三十天后失效并被删除，无论接收方是否打开过。

来电卡片，房间里的人都看得到

开启来电识别后，浮在来电界面上的卡片会显示你和对方的关系、他的群组和标签、生日，以及你最近一次关于他的备注。它出现在一台正在响铃的手机上，也就是说站在旁边的任何人都能读到那条备注。在你往某个联系人的时间线里写下坦率的内容之前，值得先知道这一点。

这个应用不做的事

一个产品的安全，有一部分在于它从来没有构建过什么。

• 没有广告，也没有为广告做的用户画像。
• 没有第三方分析 SDK，也没有 cookie——它是原生应用，不是浏览器。
• 不出售、不出租、不交换任何数据，对任何人、出于任何目的都不。
• 没有公开的号码目录；除非你主动分享，否则其他用户没有任何途径看到你记录的内容。
• 密码用 bcrypt 哈希保存，绝不以可读形式留存；一切通过 TLS 传输；会话令牌存放在 Android Keystore 中，闲置三十天后失效。

如果你想全部抹掉

目前没有关闭账户存储的开关——你创建的内容会保存到账户里，以便在重装后依然存在。你拥有的控制手段是删除，而且它是彻底的：设置，然后「删除账户」，会把你的数据从设备和服务器上永久抹除。同样的请求也可以在本站的删除账户页面提交。

通讯录权限，以及来电识别所需的那两项可选权限，都可以随时在安卓自身的设置里撤销。