Lyra 隐私政策
Lyra 是一个本地优先的零知识密码管理器。这份政策只写我们的软件实际做的事： 哪些数据留在你的设备上、哪些数据在你选择使用云服务时会离开设备、以及它们以什么形式离开。 没有写在这里的数据收集，就是没有。
1. 一句话结论
- 你的主密码、加密密钥和任何条目明文从不离开你的设备。这不是策略，是软件的结构：服务端没有解密能力。
- 不使用云账号时，Lyra 不向任何服务器发送任何数据，也没有遥测、崩溃上报或使用统计。
- 使用云账号时，服务器只保存密文和为提供同步所必需的元数据（见第 4 节表格）。
2. 桌面应用（不使用云账号）
密码库保存在你设备的应用数据目录：
- macOS：
~/Library/Application Support/com.sumery.lyra/ - Windows：
%APPDATA%\com.sumery.lyra\ - Linux：
$XDG_DATA_HOME/com.sumery.lyra/（默认~/.local/share/…）
社区版将条目以明文保存在这个目录里。任何能读取该目录的人、程序或备份工具都能看到内容。 主密码只用于解锁应用，不保护磁盘上的文件。付费版的加密档案则以 AES-256-GCM 加密后落盘， 密钥由主密码经 Argon2id 派生，磁盘上不存在能解开它的东西。
应用不联网、不写日志文件、不产生崩溃转储。剪贴板复制的密码会在 30 秒后由应用自行清除（只清除它自己写入的内容）。
3. 浏览器扩展
扩展不保存任何密码。每次填充都通过本机通道向同一台电脑上的 Lyra 桌面应用索取凭据，不经过网络。 扩展只读取当前页面登录框的位置与属性，不读取页面其他内容，不上传任何数据。 「接管浏览器自动填充」开关只修改浏览器自身的自动填充设置，随时可关。
4. LyraPass Cloud（可选，需付费或内测邀请）
只有当你在应用里注册或登录云账号，下列数据才会发送到我们的服务器。下表是服务器数据库中实际存在的字段：
| 数据 | 形式 | 用途 |
|---|---|---|
| 邮箱地址 | 明文 | 账号标识、登录、与你联系 |
登录证明 K_login | 由主密码派生的 32 字节值，服务器再经 Argon2id 加盐哈希后保存；不能反推主密码或加密密钥 | 验证登录 |
| 认证槽 | 包装后的数据密钥（密文）、KDF 盐与参数、验证器 | 让你的其他设备用主密码解开同一个密码库 |
| 条目记录 | 密文信封（含条目名称与类型，均在密文内）、版本向量、完整性标签 | 多设备同步 |
| 设备 | 设备类型（桌面 / 移动 / 扩展 / Web）、加密的设备名、创建与最近活动时间、序号水位 | 同步游标、设备管理 |
| 会话 | 刷新令牌的哈希、有效期 | 保持登录 |
| 订阅 | 档位、来源渠道、周期截止时间、渠道侧订单号 | 权益判定 |
| 审计事件 | 事件种类（登录成功 / 失败、设备增删、订阅变化等）与时间 | 安全排查 |
服务器不记录：IP 地址、浏览器或系统指纹、条目明文、主密码、搜索内容、请求日志。 服务器可以看到的元数据是：你有多少条记录、每条多大、何时改动。这是同步服务无法避免的（我们在设计文档里把它登记为残余风险 R3），我们不把它用于任何分析。
数据保存在我们租用的服务器上（当前位于中国大陆）。传输一律走 TLS；应用拒绝向非 TLS 地址发送任何凭据。
5. 身份提供方
内测期间账号注册经由我们自建的 Casdoor 实例（casdoor.apikv.com）完成，它保存你的邮箱、用户名、邀请码与所属分组。
Casdoor 只回答「你是谁、在哪个组」，不接触你的密码库。
6. 支付
付费经由第三方渠道（爱发电、Creem）完成。我们从渠道收到的只有：订单号、对应的账号邮箱或账号标识、档位与周期。 你的银行卡、支付账号信息由渠道保管，我们不接触。各渠道的隐私政策以其自身页面为准。
7. 保留与删除
- 本地数据：完全由你控制；删除应用数据目录即删除一切。
- 云端数据：账号存续期间保留。付费到期后的处理见服务条款第 4 节 —— 超过免费额度的到期账号进入只读期，90 天后云端数据全部删除，账号行保留为「已清空」状态以便邮箱可再次注册。
- 主动删除：向 support@looke.cloud 发邮件，我们在 7 个工作日内删除云端数据。
- 「脱离云端」操作会删除本机的账号绑定，但云端副本仍在，需在账号页或经邮件删除。
8. 你的权利
你可以随时查看、更正邮箱，撤销任一设备，删除账号。请注意：主密码无法找回，我们也无法替你解密任何数据。 丢失主密码意味着云端密文对你也不再可读；这是零知识设计的代价，不是我们可以豁免的限制。
9. 未成年人
Lyra 不面向 14 周岁以下的用户。
10. 变更
政策变更会更新页首的生效日期；涉及数据用途扩大的变更会在应用内提示。
11. 联系
隐私相关问题与漏洞报告：support@looke.cloud。漏洞请勿公开披露。
English summary
Lyra is a local-first, zero-knowledge password manager. Your master password, encryption keys and item plaintext never leave your device; the server has no ability to decrypt. Without a cloud account, the app sends nothing anywhere and has no telemetry. The free Community edition stores your vault in plaintext in the app data directory; the paid edition encrypts it with AES-256-GCM under an Argon2id-derived key. With a cloud account, the server stores only: your email, an Argon2id hash of a password-derived login proof, the wrapped data key, ciphertext records, device/session metadata, subscription state and an audit trail of event kinds. No IP addresses, fingerprints or request logs are stored. Lapsed paid accounts above the free quota become read-only and are deleted after 90 days. Contact: support@looke.cloud.
Sumery · 上思希曼科技工作室 · 桂ICP备2022004535号-5 · 桂公网安备45060002450628号