Dmessenger 隱私政策

生效日期：2026-09-10 · 最後修訂：2026-11-01

Dmessenger 是一款端對端加密的即時通訊 app，由 Nadrix（下稱「我們」）開發並營運。這份政策說明 app 會處理哪些資料、放在哪裡、誰看得到。我們的做法可以用一句話概括：能不收的就不收；收了的，我們自己也讀不到。

1. 不需要帳號

使用 Dmessenger 不需要註冊，也不需要提供手機號碼、電子郵件或任何個人資料。你的身分在你的裝置上產生：一組私鑰與一個由公鑰導出的地址（dm1… 開頭）。這個地址就是你的聊天 ID，我們無法把它對應到任何真實身分。

2. 留在你裝置上的資料

以下資料只存在你的手機裡，不會上傳：

• 私鑰與 12 個字的助記詞。助記詞是唯一的恢復途徑；我們沒有備份，忘記密碼也無法幫你救回（見第 8 節）。
• 訊息、附件（照片、語音、檔案）與加密會話。這些用你的密碼派生出的金鑰（Argon2id）加密後存放，沒有密碼打不開。
• 聯絡人名單、群組名稱與你幫聯絡人取的暱稱。存在你的裝置上、未加密（它們是名單，不是訊息內容；跟下一點同一類）。另有一份加密的名單備份放在伺服器上，見第 3 節。
• 本機偏好：你自己的顯示名與頭像、主題、桌布、通知開關。⚠️ 這一類偏好在裝置上是未加密的，解鎖 app 之前就讀得到（身分清單上顯示的名字就是這樣來的）。訊息內容、助記詞與加密會話不在此列，它們始終是加密的。
• Face ID／Touch ID 解鎖（可選）：開啟後，解鎖 vault 的金鑰會存進 iOS 鑰匙圈，受生物辨識保護、只在這台裝置、不進 iCloud。密碼本身從不儲存。

刪除身分（登出後，在身分清單上左滑該身分 → 刪除，需輸入密碼）會把以上資料全部從裝置上清除。

3. 伺服器看得到什麼

訊息經由我們營運的中繼伺服器（relay，位於新加坡）轉送。中繼只搬運密文，看不到訊息內容、附件內容，也看不到寄件者是誰（寄件者身分藏在加密層裡）。

中繼會處理與保存以下資料：

資料	為什麼	留多久
你的公鑰包（公鑰與一次性預鑰）	讓別人能對你發起加密通道	只要你還在使用就會留在伺服器上；目前沒有從伺服器移除公鑰包的功能。每天另存一份備份（見下方「伺服器備份」）
加密後的信封：收件地址、密文、大小、時間	轉送給收件者	收件者取走後即刪除；沒人取走的信封在 7 天後的下一次清理時刪除（每小時清理一次）。群組訊息那一份共用的密文，最後一位收件者取走、或 7 天到了就刪。信封不在任何備份裡
推播 token（只在你開啟通知時）	讓 Apple 能叫醒你的手機	你關閉通知或登出時刪除
加密的名單備份	換手機用助記詞恢復時，把好友與群組帶回來	每次名單變動就換成新的一份；一年沒有更新才刪除；目前沒有從伺服器手動刪除它的功能。被換掉或刪除的那份，在伺服器備份裡最多再留 7 天

中繼因此看得到的元資料是：

• 哪個地址在什麼時候收到多大的一封信，以及這封是一般訊息、好友請求還是群組邀請（用來決定通知文案）；
• 哪幾封不是你寫的內容，而是 app 自動送的（已讀回執、加密金鑰、群組名單這類，伺服器不會為它們推播）；
• 哪一封是一條新加密通道的第一封；
• 一則群組訊息送給了哪幾個地址：群組訊息的密文只上傳一份、一次交給伺服器，伺服器把它分給那幾個信箱（它不存群組名單，也不知道那是不是一個群；一封一封送的時候，它從同一條連線也看得出來）；
• 你的地址什麼時候連著線上（app 開著時會跟伺服器保持連線，以便即時收信）。伺服器不把上線時間寫成紀錄，只留下最後一次更新公鑰包、名單備份或推播 token 的時間。

它看不到是誰寄的、寫了什麼。我們目前沒有隱藏寄件者（sealed sender）或洋蔥路由這類流量分析防護；這是現階段刻意的取捨，寫在這裡讓你知道。

名單備份：內容是你的好友地址與狀態、你取的暱稱、對方自報的名字、置頂／靜音／歸檔設定、封鎖名單、群組（名稱、管理員、成員地址）。它在你的裝置上就先加密，金鑰從你的身分導出，只有你的助記詞解得開；伺服器只看得到「這個地址有一份多大的備份、什麼時候更新」。訊息、附件、聊天記錄不在備份裡，換手機後聊天記錄留在舊手機。

伺服器備份：為了在伺服器硬碟損壞時不讓你的好友名單跟著消失，中繼每天把公鑰包與加密的名單備份另存一份，最多保留 7 份（7 天）。備份跟原本一樣是密文，我們一樣打不開；訊息、信封、推播 token 都不在備份裡。

連線紀錄：中繼的資料庫不記錄 IP 位址。任何網路伺服器在連線期間都會知道你的 IP，我們不把它與你的地址關聯、也不用它做任何分析。

4. 推播通知

通知預設關閉。開啟後，伺服器會把一個由 Apple 發給這台裝置的推播 token 綁到你的地址。有新東西時，伺服器透過 Apple 推播服務送一則通知；通知只包含種類（「你有新訊息」「你有新的好友請求」「你有新的群組邀請」），不包含內容，也不包含寄件者。Apple 因此只知道「這台裝置收到了一則 Dmessenger 通知」。

關掉通知會把 token 從伺服器移除。把某個對話設成靜音只影響 app 內的提示音與角標；伺服器不知道你靜音了誰，系統通知仍會送來。

5. 你的顯示名

你在個人資料裡設定的顯示名，會放在加密訊息裡送給你的聯絡人與同群成員，讓他們知道怎麼稱呼你；伺服器看不到。對方如果已經幫你取了暱稱，看到的會是他取的那個。陌生人送來好友請求時，你不會看到他的顯示名，只會看到地址與留言。

6. 裝置權限

• 相簿與相機：只在你挑照片或拍照的那一刻使用；只有你選中的那一張會被讀取，和訊息一樣加密後送出。
• 麥克風：只在你按下麥克風到按停止之間錄音；錄下的語音和訊息一樣加密後送出。
• Face ID／Touch ID：只用來解鎖你的身分（第 2 節）。

以上內容都不會以任何未加密的形式離開你的裝置。

7. 我們不做的事

• 沒有分析、沒有廣告、沒有第三方追蹤或崩潰回報 SDK。app 裡唯一會連線的對象是我們的中繼伺服器與 Apple 推播服務。
• 不販售、不分享任何資料——我們手上也沒有可分享的東西。
• 不隱瞞關係狀態的變化：如果你拒絕、封鎖或刪除了某人，他之後傳訊息給你時，他的 app 會顯示「未送達」與原因。這是刻意的取捨：我們寧可讓人知道訊息沒送到，也不讓他以為是網路壞了。封鎖或刪除的當下不會通知對方。
• 不保存已送達的訊息；訊息與聊天記錄沒有雲端備份、沒有跨裝置同步。換手機用助記詞恢復身分時，聊天記錄不會跟過去，這是設計使然。

8. 忘記密碼

密碼從不離開你的裝置，我們沒有重設機制，也沒有後門。忘記密碼時，唯一的辦法是用 12 個字的助記詞重設；重設後身分與聯絡人保留，但這台裝置上的聊天記錄會清空（舊記錄是用舊密碼派生的金鑰鎖著的，沒有任何人能打開）。

9. 訊息過期與刪除

• 你可以為每個對話設定訊息計時器，到期的訊息會在雙方裝置上刪除。
• 「對所有人刪除」會請對方裝置刪掉那則訊息（送出後 24 小時內）；這是對對方 app 的請求，我們無法保證對方裝置一定執行。
• 伺服器上沒有可以刪除的訊息副本——送達的當下就刪了。

10. 兒童

Dmessenger 不是為 13 歲以下的兒童設計的，我們也無從得知使用者的年齡（我們不收年齡，也不收任何個人資料）。

11. 政策變更

政策若有變更會更新這一頁與頂端的修訂日期。涉及資料處理方式的重大變更會在 app 的更新說明裡提到。

12. 聯絡我們

• 一般問題：support@nadrix.io
• 檢舉濫用：abuse@nadrix.io

請注意：因為我們讀不到任何訊息內容，處理檢舉時只能依據你提供的說明與截圖。