Tor 浏览器桌面版、Tor 浏览器 Android 版和 Tor VPN 的隐私政策
生效日期：2025年10月30日
本隐私政策涵盖：
- Android 版 Tor 浏览器
- 桌面版 Tor 浏览器
- Tor VPN
它解释了每个应用程序如何访问、收集、使用和共享用户数据。
1. 开发商与联系信息
开发者：The Tor Project, Inc.
网站：https://www.torproject.org
支持/咨询：https://support.torproject.org/
隐私联系电子邮件：隐私联系
2. 共享隐私原则
所有 Tor 应用的设计都以最大化用户隐私和匿名性为目标：
- 不收集个人或敏感用户数据
- 无跟踪、遥测或分析
- 不关联用户账号或身份
- 开源且隐私设计
3. 应用程序特定数据实践
Tor 浏览器（Android 版和桌面版）
- 不收集 IP 地址、浏览历史、设备 ID 或位置信息
- 所有连接都通过 Tor 网络路由以确保匿名性，但有一个例外：
- 在互联网访问受限或审查的环境中，Tor 浏览器可使用反审查工具，如可插拔传输（例如 Moat）来获取网桥信息。
- 这些工具需要短暂的非 Tor 连接，称为信令通道，以获取连接到 Tor 网络所需的数据。
- 这可能会自动发生，也可能由用户操作触发。
- Tor Project 在这些信令请求期间不会记录任何个人可识别信息。
- 默认仅使用临时会话缓存，在退出或“新建身份”时清除
为提供用户控制权并确保隐私保护功能，Tor VPN 会将特定用户配置的设置存储在设备本地。
此类设置的示例包括：
- 选定的网桥中继或自定义网桥配置
- 出口节点首选项（例如，国家/地区选择）
- 每个应用的路由规则（哪些应用应该或不应该通过 Tor 路由）
这些首选项：
- 仅存储在用户设备上
- 仅用于本地功能和配置
- 可随时通过应用内设置或卸载应用删除
Tor VPN
- 无需用户登录、无跟踪或身份关联
- 无远程遥测或使用情况日志记录
- 仅本地 会话统计（时长、带宽），会话结束后即被丢弃
- 仅本地 会话日志，可在日志视图查看，VPN 停止且应用退出后即被丢弃
- 不会 访问联系人、文件或个人标识符
为提供用户控制权和自定义功能，Tor VPN 会将特定用户配置的设置存储在设备本地。
这些设置绝不会传输给Tor Project或任何第三方，并且不会与用户身份或设备信息关联。
其中包括：
- 选定的网桥中继或自定义网桥配置
- 出口节点首选项（例如，国家/地区选择）
- 每个应用的路由规则（哪些应用应该或不应该通过 Tor 路由）
- 已安装应用列表（本地用于管理每个应用路由）
- 受保护应用列表（执行流量路由异常所需）
- “开机启动”首选项
- 首选手动启动器（如有）
这些设置：
- 仅存储在用户设备上
- 仅用于本地功能和配置
- 可随时通过应用内设置或卸载应用删除
- 从未传输给 Tor 项目或任何第三方
- 不关联用户身份或设备信息
注意：已安装应用和受保护应用的列表对于应用的 VPN 强制执行逻辑是必要的——以确保所有应用都通过 Tor 路由，除非用户明确豁免。
4. 权限（Android 版）
Android 版 Tor 浏览器目前需要以下权限：
INTERNET — 用于连接到 Tor 网络WAKE_LOCK — 防止设备在正在使用（例如视频播放）时进入休眠状态MODIFY_AUDIO_SETTINGS — WebRTC 相关组件所需（注意：WebRTC 在构建时已永久禁用）HIGH_SAMPLING_RATE_SENSORS — 用于某些 JavaScript API；Tor 浏览器因隐私保护对其计时进行限制
这些权限与数据收集无关，仅用于支持从 Firefox（Fenix）基础代码继承的功能。
我们定期对这些继承权限进行审查和审计，确保不会损害用户隐私或造成信息暴露。
Android 版 Tor 浏览器不请求以下权限：
- 联系人
- 位置
- 设备标识符（例如 IMEI、Android ID）
- 外部存储或文件
- 电话通话记录或短信数据
- 用户账号或登录凭据
默认不需要摄像头、麦克风或设备传感器权限。
不过，在特定情况下用户可授予这些权限，例如：
- 使用 URL 栏扫描二维码
- 允许特定网站功能（例如视频会议）
所有此类请求均受 Android 运行时权限模型的约束，用户可选择授予或拒绝上述访问权限，且权限范围和持续时间受到限制。
Tor VPN
Tor VPN需要以下Android权限以正常工作。
这些仅限于 VPN 运行、用户控制和系统集成所必需的。
不会使用任何权限进行遥测、用户跟踪或个人数据收集。
所需权限：
INTERNET — 用于连接到 Tor 网络及路由BIND_VPN_SERVICE — 创建并维持安全的VPN连接ACCESS_NETWORK_STATE / ACCESS_WIFI_STATE — 检测网络可用性及其变化RECEIVE_BOOT_COMPLETED — 可选择在设备启动时启动 Tor VPN（如果用户启用了“开机启动”）QUERY_ALL_PACKAGES — 用于本地显示已安装应用程序的列表，以便进行每个应用程序的路由设置（从不传输或记录）WAKE_LOCK — 防止设备在正在使用VPN时进入休眠状态FOREGROUND_SERVICE / FOREGROUND_SERVICE_SYSTEM_EXEMPTED — 遵守新版Android系统对于长期运行的VPN服务的要求VIBRATE — 仅用于可选的应用内通知（例如，连接状态）POST_NOTIFICATIONS — 用于启用连接状态通知(Android 13+)
这些权限不会用于收集、传输或共享个人数据。
所有权限要么是 VPN 功能所必需的，要么提供由用户控制的仅限本地使用的功能。
我们会定期审核所有权限，以确保它们始终符合我们的隐私保护原则。
Tor VPN不请求以下权限：
- 联系人
- 位置
- 相机，麦克风，或传感器
- 设备标识符（例如 IMEI、Android ID）
- 外部存储或文件
- 电话通话记录或短信数据
- 用户账号或登录凭据
5. 数据共享与第三方
不与第三方共享用户数据，包括广告商、分析提供商等。
在桌面版 Tor 浏览器中，用户可通过 Tor 浏览器主页（about:tor）上的链接手动访问 https://check.torproject.org 以验证其连接。此操作为可选，由用户发起，并通过 Tor 网络路由。系统不会记录或存储任何身份识别信息。该检查不会自动执行，且在 Android 版中不提供。
对于桌面版 Tor 浏览器，可匿名地通过 Tor 网络检查软件更新。这些更新检查包括：
- 通过 Tor 网络检查来自 Tor Project 服务器的软件更新
- 从 Mozilla 的附加组件服务获取扩展更新（例如，对于 NoScript 等捆绑扩展）
- 这些更新请求不关联用户身份或设备信息。
对于 Android 应用，更新是通过应用分发平台（例如 Google Play）而不是直接从 Tor Project 服务器提供。
对于这些情况，如果应用程序通过 Google Play 服务分发，需遵循其条款和政策。这是我们无法控制的。如果你希望通过一种无需登录、不被跟踪、免费且开源的应用商城去获取Tor VPN，F-Droid是不错的选择。
附加组件和扩展：用户可以在 Tor 浏览器中安装额外的扩展。这些扩展可能独立获取更新或屏蔽列表（例如，uBlock Origin 下载过滤列表）。所有此类请求都通过 Tor 网络进行路由，以保持匿名。
不对用户活动、配置或身份进行同步或云备份。
6. 数据保留与删除
然而，用户应注意以下情况，部分数据可能会在本地保留：
用户创建的书签和下载保存到本地设备，不会自动删除。
Tor 网络连接所需的 Tor 状态文件（例如守卫节点和共识信息）。这些数据是非识别性的，仅用于 Tor 功能。
本地浏览器首选项和配置数据，如设置、保存的密码、例外网站、搜索引擎选择、对话框显示首选项及其他本地存储的用户配置信息。
隐私浏览模式 (PBM)行为：
会话数据（例如标签页、站点数据、Cookie、历史记录）在发生以下情况时将被清除：关闭 Android 版 Tor 浏览器，关闭桌面版 Tor 浏览器（启用 PBM ）或使用其“新建身份”功能
7. 儿童隐私
这些应用并非为 13 岁以下的儿童设计。
我们不收集任何用户数据。一旦发现此类数据，我们将立即删除。
8. 安全与匿名性
- 所有流量均已加密并通过 Tor 路由
- 桌面版和 Android 版 Tor 浏览器内置防范跟踪和指纹识别的功能，例如：
- 统一的用户代理字符串
- 屏幕尺寸标准化（仅桌面版）
- 网站内容隔离
- Tor VPN 旨在隔离流量，每个应用使用不同的 Tor 线路
- 代码开放供公众审计
9. 本政策的变更
重大变更将通过以下方式体现：
10. 同意
使用桌面版或Android 版 Tor 浏览器，即表示您同意本政策。
如果您不同意本政策，请勿使用这些应用程序。
11. 《通用数据保护条例》与数据保护
Tor Project 致力于保护用户隐私，并支持欧盟《通用数据保护条例》（GDPR）的原则。
在设计与实际运行中，Tor 浏览器（桌面版和 Android 版）不收集、处理或存储任何个人数据，因此 GDPR 并不适用。
如果您对数据保护或我们的隐私实践有任何疑问，您可以通过 frontdesk@torproject.org 联系我们。