怎样读懂免费 VPN 的隐私政策

隐私政策是免费 VPN 必须白纸黑字写明"如何处理你的数据"的唯一文件，同时它也往往是互联网上最少有人读的页面。政策动辄几千字，由律师撰写，目的是保护公司，里面充满"可信赖的合作伙伴""商业目的""依法允许的范围"这类措辞，所以很容易草草略过，也很容易误判。本文给你一套阅读免费 VPN 隐私政策的实用方法：哪些条款分量最重，怎样解读措辞，以及怎样在大约二十分钟内得出"可以""不可以"或"先问清楚"的结论。

本文讲的是怎样读文件，不针对任何具体服务，也不断言任何公司的实际行为。如果想先弄清服务商本来能看到什么，请从 VPN 服务商能看到你的哪些信息 开始。

为什么这份文件对免费服务更重要

VPN 位于你的设备和互联网之间。服务商的服务器处理你的流量，手机上的应用能看到你用了哪些应用和地址。付费服务靠收费赚钱，政策可以很简短。免费服务必须通过别的方式维持运转，而政策正是这种盈利模式要么露面、要么藏起来的地方。

所以阅读时，心里始终放着一个问题：钱从哪里来？政策与这个答案相符吗？ 如果一个服务免费、没有广告、也没有清晰的付费档位，政策就应当说明它为什么养得起自己。反过来，如果政策允许把数据共享给广告商或"合作伙伴"，用途又不明确，那你已经找到它的商业模式了。

读政策并不能告诉你公司是否诚实。它告诉你的是公司保留了做什么的权利，而这恰恰是顾客在安装之前最有用的信息。

阅读之前：把三份文件摆在一起

不要孤立地读政策。把下面三样东西并排打开。

1. 隐私政策本身，从网站和应用内都能找到链接。
2. 应用商店页面上的隐私摘要。 在 Apple App Store 上，这是"App 隐私"部分，采用 Apple 开发者文档中 app privacy details 所规定的格式。Google Play 也有类似的数据安全部分。
3. 服务条款，有时其中包含隐私政策里不再重复的数据授权。

然后做对比。商店摘要和政策讲的应该是同一个故事。如果商店标签列出了"用于跟踪你的数据"，政策里却完全没提广告，那就是其中一个有误。如果政策说数据会共享给"关联公司"，标签却写着不共享任何数据，说明标签不完整。不一致是第一个红旗，而且只要两分钟就能发现。

分量最重的七项条款

隐私政策的大部分是套话。下面七个部分决定你能不能接受它。

1. 收集了什么

要找清单，而不是泛泛的陈述。好的政策会把账户数据（邮箱、支付信息）、设备数据（型号、操作系统、广告标识符）、连接数据（时间戳、你的真实 IP 地址、使用的流量、连接过的服务器）以及内容或浏览数据（网站、DNS 请求）分开写。最后一类对 VPN 来说最敏感。如果政策对此只字不提，或者只用"使用信息"这样的模糊词，就把它当作需要追问的缺口。

2. 为什么收集

好的政策会把每类数据对应到具体用途，比如运行账户、防止滥用或排查故障。差的政策用一句包罗万象的话，比如"为了改进服务和商业目的"。这类笼统的用途几乎什么都允许。

3. 谁会收到

搜索"共享""披露""合作伙伴""关联公司""第三方""服务提供商""广告商"这些词。留意接收方是否按类别说明，政策是否说了会出售数据。一个免费服务如果"不出售个人数据"，却"与广告合作伙伴共享"，那只是在措辞上找到了漏洞，并不是自我克制的承诺。

4. 保存多久

这是最常缺失的一项。找一个具体的期限，比如"连接时间戳在若干天内删除"。"在必要期间内保存"或"在法律允许的期间内保存"这类说法，等于告诉你没有任何可以依靠的上限。

5. 存在哪里，适用哪国法律

找公司的法定名称、注册地，以及服务器或数据处理方所在的地方。国家很重要，因为不同地方对数据保留以及向当局提供数据有不同规定。VPN 管辖地详解 解释了常见标签的含义，以及它们不代表什么。

6. 你的权利以及如何行使

可用的政策会说明你如何申请查看、更正或删除数据，写给谁，对方要多快回复。如果只有一个通用的联系表单，没有删除流程，将来真的需要时就会很麻烦。

7. 变更与联系方式

看公司会怎样通知你政策更新。"我们可能随时更新本政策，您继续使用即视为接受"很常见，但如果政策没有版本日期，也没有联系地址，就不是好兆头。

解读常见措辞

下面是一个简短的措辞对照表。这些措辞是典型写法，并非摘自任何服务。

政策里这样写	实际可能意味着
"我们可能与可信赖的合作伙伴共享数据"	不具名的第三方可能收到你的部分数据
"匿名化或汇总数据"	标识符也许被去掉了，但行为模式仍可能被出售或共享，要问清楚怎么匿名化
"出于商业目的"	一个包罗万象的说法，允许很多用途
"为改进我们的服务"	分析和测试，可能使用外部工具
"我们不保存活动记录"	只是关于浏览内容的声明，连接时间戳和你的真实 IP 要另外核对
"依法要求时"	在被依法强制时，数据可能交给当局，保存了什么决定了能交出什么
"在必要期间内保留"	没有固定的删除日期
"我们可能在国际范围内传输数据"	数据可能在规则不同的地方处理
"继续使用即视为接受"	无需再单独点击，你就同意了变更

单独一句话并不自动意味着坏。组合起来才有意义。匿名化数据、笼统用途、没有保存期限三者同时出现，等于在说"我们想留什么就留什么，想怎么用我们说了算"。

二十分钟阅读流程

给自己限定时间，这样才会真的去做。

1. 0-3 分钟：收集并对比。 打开政策、商店标签和条款，记下不一致之处。
2. 3-6 分钟：读标题。 如果政策连收集、共享、保存期限的清晰标题都没有，这本身就是警告。
3. 6-12 分钟：读上面的七项。 用笔记下来，而不是只留一种不安的感觉。
4. 12-16 分钟：在全文中搜索这些词："advertis""sell""affiliate""partner""retain""log""IP address""timestamp""DNS""location""children""arbitration"（或相应的中文词），把每一处命中的前后句子读完。
5. 16-18 分钟：核对权限。 把应用申请的权限和声明的用途对照。VPN 没有明显理由需要你的通讯录或麦克风。
6. 18-20 分钟：做决定。 使用下面的评分表。

任何时候遇到无法接受的条款，就可以停止阅读。你不需要读完一份政策才有权拒绝它。

一张简单的评分表

每一行打分，然后相加。这些数字用于你自己比较，不是官方评级。

检查项	2 分	1 分	0 分
列出所收集的数据	按类型逐项列出	部分笼统	含糊或没有
说明连接和浏览数据	有清楚的声明和期限	部分说明	没有提
共享情况	按类别说明，不为广告共享	有些模糊的合作方	广告或没有限定的"合作伙伴"
保存期限	具体期限	部分有期限	"在必要期间内"
公司身份与所在地	法律信息完整	部分	没有
你的权利	有清晰流程	只有通用联系方式	没有
商店标签与政策一致	一致	小有出入	互相矛盾

12 到 14 分说明政策至少相当具体；7 到 11 分表示安装之前要先提问；6 分或更低就别碰了。别忘了，写得再好的政策也只是一个承诺，请用 如何测试 VPN 里的办法自己检验服务。

把政策和应用本身对照起来

政策描述的是意图，应用展示的是行为。花几分钟检查两者是否吻合。

• 权限。 把应用申请的权限与政策说的收集内容对比。申请通讯录、精确位置或麦克风，需要给出解释。
• 跟踪提示。 如果应用请求在其他应用和网站之间跟踪你，说明它告诉了你政策里可能被轻描淡写的内容。
• 第三方组件。 在电脑上，有时能看到应用连接了哪些公司。至少要查看应用设置里有没有分析或个性化广告的开关。
• 删除账户。 如果政策承诺按请求删除，确认真的有发起的途径。

针对具体平台的检查，可以看 如何检查 iPhone 上的免费 VPN 应用，更广泛的比较方法在 如何比较 VPN 服务商。

读政策时常犯的错误

• 只读网站上的醒目承诺，从不读全文。
• 把"我们重视您的隐私"当作承诺。它是一句话，不是一条条款。
• 忽略日期。多年前更新的政策可能与当前应用不符。
• 跳过应用内第三方工具的那一节。
• 以为政策长就等于全面。长度和具体是两回事。
• 把隐私政策和服务条款混为一谈。两者都重要，但回答的是不同问题。
• 认为有了好政策，就不用自己检查应用和服务商。
• 安装、登录之后才读政策，而不是之前。

政策没通过检验时怎么办

你有三个合理的选择。其一，用书面形式向公司提一个具体问题，比如"连接时间戳保存多久？"，看对方给出的是具体回答还是重复使用的套话。其二，选择商业模式不依赖你数据的服务，往往是条款清晰的付费服务；XPASS 价格页面 展示了一种预付费的例子，不过任何服务商的政策你都应当用上面的方法自己读。其三，这项任务干脆不用 VPN，改用可信网络上的移动数据。

小结

免费 VPN 的隐私政策值得花二十分钟。先和应用商店的标签对比，再读分量最重的七项（收集什么、为什么收集、谁会收到、保存多久、存在哪里及适用哪国法律、你的权利、变更如何通知），解读含糊措辞，并给所见打分。把政策当作需要检验的声明，而不是保证；同时核对应用申请的权限与政策所述是否吻合。如果文件在重要问题上含糊其辞，这种含糊本身就是你的答案。