隐私说明
草稿 本页为草稿，内容可能调整。
这一页说明 CiteDesk 在您的电脑上保存什么，用到账户和同步时会把什么发给谁，以及应用联网时会请求哪些第三方服务。CiteDesk 与 Zotero 没有隶属关系。
适用范围与阶段
- 这份说明适用于 CiteDesk 应用、官网、用户中心，以及我们运营的登录服务与同步服务。
- 现在是团队内部的删档测试阶段，不是公开发行：官方服务里的数据可能被清空重建。请在本机另留一份重要数据，应用里有导出文献库备份的功能。
保存在您电脑上的数据
- 您的文档是工作区文件夹里的 Markdown 文件。文献库、附件、笔记和批注在应用数据目录里，由您自己的电脑保管。
- 未创建或加入同步空间时，文献库和工作区不会自动上传到同步存储。使用标识符检索、全文查找、网页保存等联网功能时，会按下文所述发送相应信息。
- 登录、退出登录或切换账户不会删除本机的文献和文档。已启用的同步可在登录后继续。
账户
账户由我们运营的登录服务管理。使用账户时会发生这些事：
- 注册和登录时，用户名、邮箱、密码和验证码会发送到 CiteDesk 登录服务，密码不以明文保存。上述信息在浏览器的登录页面输入，CiteDesk 桌面应用不接收其中的密码。
- 登录服务会记录必要的登录记录，例如登录时间、来源地址和设备信息，用来防止账户被冒用。这些记录最长保留 90 天，之后自动删除。
- 应用在您的电脑上保存登录凭据：长期令牌存在应用配置目录里只有您本人可读写的文件中，第一次登录前（或第一次保存同步凭据前）由您选择是否再用系统钥匙串加密（加密后文件拷到别的电脑上无法使用；不加密时文件一旦被拷走或泄露，别人可以用它登录账户），只在应用的主进程里使用，网页部分拿不到。
- 用户中心网站只使用必需的 Cookie 来维持登录状态和防止跨站请求伪造，不用于统计或跟踪。
- 部分邮件（验证邮箱、找回密码、安全通知）由第三方邮件发送服务代发，该服务会收到收件邮箱和邮件内容。
- 登录页和注册页使用第三方人机验证服务，该服务会收到验证所需的浏览器信息和来源地址。
同步
- 登录本身不创建同步空间。首次同步需要您明确创建或加入空间；已启用的同步可在登录后继续。
- 同步有两条路：用您自己的 S3 兼容存储或 WebDAV（数据只在所选存储方和您的设备之间，我们看不到），或者用我们的同步服务。
- 端到端加密默认开启。端到端加密空间中，同步服务可见随机对象标识、对象大小和数量、版本数量与替代关系、删除状态、同次修改涉及的对象、写入和访问时间，以及账户标识和来源地址。服务端无法读取文献字段、笔记和批注文字、附件内容与文件名、工作区正文与路径、分类名与成员、已保存搜索条件、空间名，以及对象之间的归属关系。
- 如果建空间时您选择明文，或者选择由 CiteDesk 保管钥匙，情况不同：明文空间里服务端读得到全部内容；由 CiteDesk 保管钥匙时，数据仍以加密的格式存放，但服务端另存一份主密钥，所以运营方在技术上能解开这个空间的资料。界面在建空间时会写明这一点，选了它就要先绑定认证器。
- 恢复码由您保管。端到端加密的空间丢了恢复码又没有其他已授权的设备，数据找不回来。
- 官方同步服务的对象字节存放在第三方对象存储服务里；客户端经我们服务签发的短时地址直接上传，上传的是同步格式的数据（端到端加密的空间里是密文）。
- 历史版本按保留期保存，现在是 90 天；更早被取代的旧版本由服务端清理。
应用联网时会用到的第三方服务
下面是应用在您使用相应功能时会直接联网的服务。应用不含统计、广告或跟踪代码。
| 服务 | 什么时候 | 发出什么 |
|---|---|---|
| Zotero 的样式与翻译器仓库 | 打开了自动检查更新的设置，在启动时和点「立即更新」时 | 本机已装样式的标识、更新时间和地址，以及检查时间点；不含您的文献 |
| Zotero 的撤稿名单 | 启动时和文献新增、DOI 或 PMID 改动之后 | 名单更新请求；核对时只发 DOI 的 SHA-1 哈希前几位与 PMID 的前几位，DOI 原文不出本机 |
| OpenAlex、Europe PMC、Semantic Scholar、CORE | 使用「查找全文」且启用了相应来源时，默认开启 | 这条文献的 DOI，各来源同时查询 |
| Unpaywall | 使用「查找全文」，并在设置中启用 Unpaywall、填写邮箱后 | 这条文献的 DOI 与您填写的邮箱 |
| arXiv、bioRxiv、medRxiv | 从预印本库获取全文且文献有对应编号或 DOI 时，默认开启 | arXiv 编号，或发给 bioRxiv、medRxiv 的 DOI |
| DOI、ISBN、arXiv、PubMed 等标识符服务和书目库 | 按标识符添加文献时 | 您输入的标识符 |
| 出版商和其他网页 | 从网址添加、在浏览窗口里打开网页、下载附件时 | 网页请求本身（地址，以及网站给您的 Cookie） |
| 我们的登录服务和用户中心 | 登录、使用用户中心时 | 上面「账户」一节写的内容 |
| 我们的同步服务 | 使用同步服务的空间同步时 | 上面「同步」一节写的内容 |
官网
- 官网没有统计、广告和第三方脚本，不设 Cookie。
- 选择语言时，官网仅在当前浏览器中保存语言偏好，用于再次访问官网时选择页面语言，不用于统计或跟踪。
- 下载页、更新日志和公告页会用一小段脚本从用户中心的公开接口读取版本和公告。请求不带 Cookie，不带登录信息。
- 官网的服务器可能在访问日志里记录访问时间、来源地址和请求的页面，用于排查故障。最长保留 90 天，之后自动删除。
反馈与诊断
应用里的反馈功能只发您写的文字，以及您确认要附上的诊断摘要：应用版本、系统与架构、同步状态、待传和待下载的数量、固定的问题代码。反馈不含文献内容、路径、名称或账户标识。为了限制滥用，服务端按来源地址的加盐哈希计数，计数到期后清除。
保存期限与删除
- 账户可以在用户中心注销。注销时先停止这个账户的同步写入，清除同步数据和登录会话，最后删除身份。为了防止被注销的账户被重新开通，我们保留一份无法还原内容的哈希记录。
- 服务器备份里的旧数据会在备份轮转之后消失，注销不等于立刻擦除所有备份。
- 退出登录或注销都不影响您电脑上的文献数据。
- 登录记录、服务器运行日志和访问日志最长保留 90 天，之后自动删除。
- 运营方在管理后台做的操作，以及账户安全通知邮件（修改邮箱、修改密码后发出的通知）的发送，会记入操作日志。操作日志只记动作、结果和哈希后的标识，不含邮箱、密码或文献内容，用于追溯，长期保留，不受这 90 天限制。
- 选择由 CiteDesk 保管钥匙的同步空间，取回钥匙的请求和结果记录保留一年。
- 您提交的反馈文字按运营方设定的期限保留，现在是一年。
您的权利
您可以在用户中心查看和修改自己的资料、管理登录设备和认证器、查看同步空间，并注销账户。按韩国《个人信息保护法》，您有权要求查阅、更正、删除和暂停处理您的个人信息。请通过下面的联系方式提出。
境外传输
使用上述第三方服务意味着您的部分信息（邮件地址、来源地址、验证所需的浏览器信息、官方同步空间的数据）会交给第三方服务商处理，其中可能包括境外的服务商。
联系方式与变更
如果对这份说明或您的个人信息有疑问，或要行使上面的权利，请发邮件到 contact@mail.citedesk.app。这份说明会随服务变化而修改，请以最新的页面为准。