隐私政策
你的密钥、你的密码和你的 24 个助记词从不离开你的设备。本页列出其他所有会离开设备的数据、它们去往哪里，以及保存多长时间。
自 2026 年 10 月 12 日起生效。OnWallet 没有第三方分析、没有广告、没有崩溃报告，也没有追踪，并且不出售或出租个人数据。本网站的公开页面使用自行托管的计数器统计页面浏览量；请参阅本网站。
本政策涵盖的范围
三个部分，均由 OpenApps 运营：
- OnWallet 扩展程序，适用于 Chrome、Edge 和 Firefox。
- OnWallet ID（onwallet.si）：保护和恢复钱包的登录服务，以及供其他应用使用的“使用 OnWallet 登录”。
- 远程 MCP 服务器（mcp.openapps.network），AI 应用过去通过它请求付款。它已于 2026 年 10 月 5 日关闭，不再接受任何连接；它保存过的数据见下文说明。
OpenApps 是 Elevated Spaces Pte. Ltd.（UEN 202641668K，60 Paya Lebar Road, #06-28, Paya Lebar Square, Singapore 409051）的商号；该公司是本页所述个人数据的控制者。
XRP Ledger 是一个不由 OnWallet 运营的公共网络。写入其中的任何内容都是公开且永久的。
哪些东西留在你的设备上
扩展程序把以下内容保存在浏览器的扩展程序存储中，从不发送到任何地方：
- 你的密钥和你的 24 个助记词，只存在于用你的密码加密的钱包文件中；
- 你的设置、你添加的代币、你为账户起的名称，以及最近的价格快照（保存 3 天）；
- 你为 Nostr 允许或屏蔽的网站，以及你允许每个网站做的事；
- 这个浏览器用来向 OnWallet ID 证明自身身份的密钥。
扩展程序会在 https 页面中加入 window.nostr，让 Nostr 应用可以请求签名。除非页面调用它，否则它不会读取页面上的任何内容，也不会向任何地方发送任何东西。默认情况下，你在 OnWallet 自己的窗口中批准每个请求。批准某个请求时，你可以选择始终允许该网站的这类请求，之后扩展程序会直接应答，不再询问。资料变更、关注列表和中继列表、删除、登录事件以及解密你自己的数据，总是会询问你。你可以随时在设置 › Nostr（Settings › Nostr）中撤销某个网站已保存的权限。
扩展程序发送什么，发给谁
| 发往哪里 | 发送什么 | 什么时候 |
|---|---|---|
| 由 Ripple 运营的 XRP Ledger 公共服务器（s1.ripple.com、s2.ripple.com；在 Testnet 和 Devnet 上为 rippletest.net 的服务器） | 你的公开账户地址、余额和历史记录查询，以及你签名的交易。与任何网络服务器一样，它们能看到你的 IP 地址。 | 钱包打开期间。价格读取自账本自身的 Mainnet 资金池。 |
| Testnet 和 Devnet 水龙头（rippletest.net） | 你的 Testnet 或 Devnet 地址。 | 仅当你申请测试 XRP 时。 |
| OnWallet ID (onwallet.si) | 这个浏览器的公钥和名称（Chrome、Edge 或 Firefox）、你的邮箱、你输入的验证码、你钱包的一份加密片段、你 Nostr 密钥的加密备份、你 Google Drive 备份的密钥以及该文件的指纹（从不包括文件本身或你的 Drive 访问权限）、你的 Nostr 公钥（如果你把它添加到个人资料中），以及你登录某个应用时批准的内容。 | 仅当你用 OnWallet ID 保护钱包、登录、恢复，或使用“使用 OnWallet 登录”时。 |
| Google (accounts.google.com) | Google 登录，在浏览器自己的登录窗口中进行。 | 仅当你选择用 Google 登录，或选择开启 Google Drive 备份时。 |
| Google Drive (www.googleapis.com) | 一份加密的备份文件，在你 Drive 中 OnWallet 的隐藏应用文件夹里写入和读取，使用的是 Google 授予扩展程序的访问令牌。请参阅 Google Drive 备份。 | 仅当你开启 Google Drive 备份时：在备份创建或核对时，以及你用它恢复时。 |
| 远程 MCP 服务器（mcp.openapps.network） | 这个浏览器的公钥、你批准的连接、你设定的限额，以及你签名的付款。 | 现在不发送任何内容：它不接受任何连接。在 2026 年 10 月 5 日之前，仅当你连接了 AI 应用时。 |
| 商家的网站 | 签名之前，扩展程序会亲自向商家询问价格，请求从你的 IP 地址发出，不带 Cookie。 | 仅针对你批准的付款，并且是在你允许了那一个网站之后。 |
| OnWallet 的 Nostr 中继（relay.opensync.network） | 你的 Nostr 公钥，以及扩展程序仅为该中继签名的一个登录事件（NIP-42：它证明该密钥属于你，并带有中继的挑战值）。中继能看到你的 IP 地址以及该密钥在线，并会转发发送给你这个密钥的邀请。邀请以加密形式送达（礼物封装，即 gift-wrapped，NIP-59），只在扩展程序中打开。不会发送任何回复。 | 仅当你为某个 Nostr 身份开启 OpenMailbox 邀请时，并且只在钱包解锁期间。锁定钱包会关闭连接。 |
指向区块浏览器和其他网站的链接会在普通标签页中打开，而且只在你点击时才打开。
OnWallet ID 保存什么
| 发送什么 | 用途 | 保存多久 |
|---|---|---|
| 你的邮箱地址（已加密），以及你的 Google 账号 ID（如果你用 Google 登录）。Google 邮箱本身不会保存。 | 用于让你登录，以及发送安全邮件。 | 只要你的账户存在，就一直保存。 |
| 你身份验证器应用的密钥（已加密）。 | 用于核对你的身份验证器验证码。 | 只要你的账户存在，就一直保存。 |
| 你钱包三份中的一份，已加密。单凭一份无法重建钱包或动用资金。 | 用于通过你的登录和你的恢复包恢复钱包。 | 直到被替换；被替换的片段会被销毁。 |
| 如果你开启了 Google Drive 备份：打开该备份的密钥（已加密，并与你的钱包片段分开存放）以及该文件的指纹。从不包括文件本身，也从不包括对你 Drive 的访问权限。 | 在使用该备份的恢复结束时，连同你的钱包片段一起交出这把密钥。 | 直到你移除该备份或生成新的备份（旧密钥会被销毁），或删除你的 OnWallet ID。 |
| 你 Nostr 密钥的一份加密备份。 | 用于在恢复后还原它们。 | 最新的两个版本。当新的备份替换旧的备份时，被替换的那一份也会至少保留 72 小时，这样一份不是你创建的备份就无法立即抹掉你的备份。 |
| 你的设备：公钥、浏览器名称，以及每台设备添加或移除的时间。 | 用于了解哪些浏览器可以代表你操作，并在有浏览器被添加时通知你。 | 只要你的账户存在，就一直保存。 |
| 每次登录、恢复和应用登录：时间、IP 地址以及发起请求的浏览器。对于应用登录，还包括该应用、你与它分享的内容（你的邮箱、一个账户地址、你的 Nostr 密钥）以及你选择的地址。 | 用于向你显示并通过邮件告知登录或恢复的详情，让你能阻止不是你发起的操作，以及用于调查滥用行为。 | 只要你的账户存在，就一直保存。安全日志无法编辑或删除：你删除 OnWallet ID 之后，它仍会保留这些记录（时间、IP 地址、浏览器），但其中的任何内容都不再能关联到你的邮箱地址或 Google 账号。 |
| 每一次发起的应用登录：该应用、发起它的页面的 IP 地址和浏览器，以及该页面一次性密钥的哈希值。 | 用于确保只有发起请求的那个浏览器中的 OnWallet 扩展程序才能批准它。 | IP 地址和浏览器信息在请求结束一天后删除，请求本身在 30 天后删除。 |
| 按 IP 地址和按账户计算的计数器。 | 用于限制重复尝试。 | 直到限制的时间窗口结束：一小时到 7 天。 |
OnWallet ID 只在它的登录、恢复和应用登录页面上设置第一方 Cookie。这些 Cookie 是这些页面正常运行所必需的，最长保留 24 小时。网站的其他页面不设置 Cookie；它们唯一的脚本是本网站一节所述的页面浏览计数器。
使用 OnWallet 登录
当某个应用提供“使用 OnWallet 登录”时，它在 onwallet.si 上的登录页面只有一个按钮：在 OnWallet 中批准（Approve in OnWallet）。同一浏览器中的 OnWallet 扩展程序会打开它自己的窗口，你在其中看到该应用、它将返回到哪里以及它请求什么，并用 Touch ID 或密码批准。不需要输入或读出任何验证码，而且批准只在打开登录页面的那个浏览器中有效。
当你用 OnWallet 登录另一个应用时，该应用会收到一个代表你的私有 ID，以及你在批准界面上勾选的内容，仅此而已：你的邮箱、一个账户的公开地址、你的 Nostr 公钥。这个 ID 按网站区分：每次你登录同一个网站的应用时，它都相同（mail.example.com 和 calendar.example.com 属于同一个网站，即 example.com），而在其他每个网站上都不同。由 OnWallet 直接注册、并在一个登录下运营多个产品的应用，会让所有这些产品得到同一个 ID。批准界面会显示该网站或已注册的应用，以及你将返回到哪里。之后，该公司自己的隐私政策适用于它收到的内容。
Google Drive 备份（可选）
你可以选择把钱包的一份恢复片段备份到你自己的 Google Drive 中，这样恢复时就不需要保管文件。除非你开启，否则它是关闭的。
- 只限应用文件夹。OnWallet 只向 Google 申请
drive.appdata权限。这是 OnWallet 在你的 Drive 中为自己的数据创建的一个隐藏文件夹。它不是你的文件：OnWallet 无法查看、列出、打开或更改你 Drive 中的任何其他文件，也从不尝试这样做。 - 一个加密文件。OnWallet 在那里为每个钱包保存一个备份文件。它包含你钱包的一份恢复片段。单凭一份无法重建钱包或动用资金。
- 离开浏览器之前就已加密。没有 OnWallet ID 保存的密钥，这个文件无法打开。OnWallet ID 只在恢复结束时交出这把密钥：在完整登录、身份验证器验证码以及 72 小时等待期之后，等待期间你会收到邮件，并可以阻止恢复。Google 和 OnWallet ID 都无法单独打开这份备份。
- 访问权限留在扩展程序中。Google 授予扩展程序的访问令牌以及文件本身都留在扩展程序中。它们从不发送给 OnWallet ID 或任何其他 OnWallet 服务器；服务器只收到该文件的指纹，用于之后核对备份是否仍是正确的那一份。
- 保存多久。文件会一直保存在你的 Drive 中，直到你移除它。
- 如何移除。在扩展程序中：设置 → 恢复 → 移除 Google Drive 备份（Settings → Recovery → remove Google Drive backup）。这会删除该文件，以及 OnWallet ID 为它保存的密钥。你也可以在 myaccount.google.com/permissions 移除 OnWallet 对你 Drive 的访问权限，并在 Google Drive 中删除隐藏的应用数据（设置 → 管理应用 → OnWallet → 删除隐藏的应用数据）。如果你删除 OnWallet ID，密钥会被销毁，留在你 Drive 中的文件将再也无法打开。
远程 MCP 服务器保存什么
| 发送什么 | 用途 | 保存多久 |
|---|---|---|
| 每个已连接的 AI 应用：它的名称、它把你送回的地址，以及注册它的 IP 地址。 | 用于向你显示是哪个应用在发出请求。 | 只要连接存在，就一直保存。从未使用过的应用会在 30 天后移除。 |
| 每个连接：智能体钱包的公开地址、它的限额和你签署的授权、你经过遮蔽处理的邮箱，以及批准该连接的浏览器。 | 用于对照你设定的限额核对每一笔付款。 | 只要你的账户存在，就一直保存。断开连接会立即使其停止。 |
| 每个付款请求：商家的地址、金额、资产、收款方、AI 应用陈述的理由以及它所说的你发出的请求，以及交易结果。 | 用于在你批准之前向你显示该请求，并保留已付款项的记录。 | 作为付款记录保存。请求头和请求正文可能包含商家的访问密钥，会在请求关闭 1 小时后删除；商家的响应会在获取 1 小时后删除。 |
本网站
onwallet.si 的公开页面（首页、/docs 和 /developers）使用 Umami 统计访问量，这是我们在自己的服务器上运行的计数器，而不是由其他任何人运营的服务。对于每次页面浏览，它记录打开了哪个页面，以及哪个链接把访问者带到这里；对于每次访问，记录浏览器、操作系统、设备类型、屏幕尺寸和语言，以及根据 IP 地址推算的位置（国家、地区和城市）。IP 地址本身不会被存储。来自同一浏览器的访问会通过一个代码归为一组，该代码由 IP 地址、浏览器以及一个每月变化的值生成，因此无法把一个月的访问与下一个月的访问关联起来，也无法与其他任何地方关联。
它不设置 Cookie，也不保存任何能识别读者身份的信息。它不会收到链接中 ? 或 # 之后的部分；设置为发送“Do Not Track”的浏览器完全不会被统计。这些数据都不会被出售或转交他人。
它仅限于这些页面。登录、恢复、暂停和应用登录页面不会加载它，扩展程序完全不含分析代码，这里统计的任何内容都不会与你的 OnWallet ID 或你的钱包关联。
涉及的其他公司
- Resend 发送 OnWallet ID 的邮件。它会收到你的邮箱地址和邮件内容：验证码，以及安全提醒中请求的时间、IP 地址和浏览器。
- Google，仅当你用 Google 登录或开启 Google Drive 备份时。你的备份文件存储在你自己的 Google 账号中，受 Google 的条款约束。
- Ripple 运营扩展程序所连接的 XRP Ledger 公共服务器。
- 我们的托管服务商托管 onwallet.si 和 mcp.openapps.network。网络服务器的访问日志会记录每个请求的 IP 地址和浏览器。
两项服务数据库的加密备份保留 14 天。
我们保存多久
| 发送什么 | 保存多久 |
|---|---|
| 你的邮箱地址（已加密） | 只要你的 OnWallet ID 存在，就一直保存。删除你的 OnWallet ID 会立即删除它。 |
| 你的 Google 账号 ID（如果你用 Google 登录） | 只要你的 OnWallet ID 存在，就一直保存。删除你的 OnWallet ID 会立即删除它。Google 邮箱本身不会保存。 |
| 你的身份验证器密钥、你钱包的片段、Google Drive 备份的密钥以及你的 Nostr 密钥备份 | 只要你的 OnWallet ID 存在，或直到被替换或移除。删除你的 OnWallet ID 会立即销毁它们。 |
| 安全记录（登录、恢复、应用登录以及你账户的变更：时间、IP 地址、浏览器） | 会保留，且无法编辑或删除，以便始终可以调查登录或恢复。你删除 OnWallet ID 之后，其中的任何内容都不再能关联到你的邮箱地址或 Google 账号。 |
| 应用登录请求 | 页面的 IP 地址和浏览器信息在请求结束一天后删除，请求本身在 30 天后删除。 |
| 按 IP 地址和按账户计算的计数器 | 直到限制的时间窗口结束：一小时到 7 天。 |
| 你的 Google Drive 备份文件 | 在你自己的 Drive 中，直到你移除它（请参阅 Google Drive 备份）。 |
| 我们数据库的备份 | 已加密，保留 14 天。从服务中删除的内容会在 14 天内从所有备份中消失。你钱包的片段永远无法从备份中读取：加密它们所用的密钥从不备份。 |
你的选择
- 你可以不使用 OnWallet ID 来使用钱包。这样就不会有任何关于你的信息发送给 OnWallet。钱包只会联系 XRP Ledger 服务器。
- 你可以在扩展程序中从你的账户移除浏览器、从你的个人资料中移除 Nostr 密钥，以及断开任何 AI 应用的连接。
- 你可以在扩展程序中自行删除你的 OnWallet ID：设置 → OnWallet ID → 删除 OnWallet ID（Settings → OnWallet ID → Delete OnWallet ID）。它会先要求你重新登录。它会删除你的邮箱地址、你的 Google 账号 ID、你的身份验证器密钥、OnWallet ID 持有的每个钱包的片段、你的加密 Nostr 密钥备份以及你的应用登录 ID，取消任何正在等待的恢复，并从中移除所有浏览器。OnWallet 的任何人都无法替你删除或更改你的 OnWallet ID。
- 你可以在设置 → 恢复（Settings → Recovery）中移除 Google Drive 备份，或在 myaccount.google.com/permissions 移除 OnWallet 对你 Drive 的访问权限。
- 删除之后，你的钱包仍保留在安装了它们的浏览器中，它们的 24 个助记词仍能还原它们。你的恢复包将不再能与 OnWallet ID 配合使用，Google Drive 备份将再也无法打开，OnWallet ID 也将无法再帮助你恢复钱包。同一个邮箱地址或 Google 账号可以用于新的 OnWallet ID。
- 如需了解 OnWallet ID 或 MCP 服务器保存了哪些关于你的信息，请发邮件至 privacy@onwallet.si。
Chrome Web Store 用户数据
对从 Google API 收到的信息的使用，将遵守 Chrome Web Store 用户数据政策，包括其中的“有限使用”要求。OnWallet 只将扩展程序处理的信息用于提供其单一用途，即自托管钱包。除本页所述情况外，它不会将这些信息转让给他人。它不将这些信息用于广告，也不为确定信用状况或借贷目的而使用或转让这些信息。
Google 用户数据
OnWallet 对从 Google API 收到的信息的使用，以及向任何其他应用的转让，将遵守 Google API 服务用户数据政策，包括其中的“有限使用”要求。这涵盖 OnWallet 处理的两类 Google 用户数据：
- Google 登录：你的 Google 账号 ID，以及你的 Google 邮箱地址（在登录时核对，不会保存）。它们仅用于让你登录 OnWallet ID，以及向你发送它的安全邮件。
- Google Drive（仅限
drive.appdata）：OnWallet 在其隐藏应用文件夹中的备份文件，仅用于创建、核对和还原你的恢复备份。它留在扩展程序中，从不发送到 OnWallet 的服务器。
OnWallet 不将 Google 用户数据用于广告，不出售这些数据，不用它们训练 AI 模型，除本页所述情况外不将其转让给他人，OnWallet 也没有任何人阅读这些数据。
儿童
OnWallet 不面向 16 岁以下的儿童，也不会在知情的情况下保存他们的数据。
变更与联系方式
本政策的变更会以新的日期发布在本页。影响哪些数据离开你设备的变更，还会随新的扩展程序版本一同发布。问题咨询：privacy@onwallet.si。安全问题：security@onwallet.si。