Privacy policy

Pipln runs the EastSea voting-node registration service. This policy covers the wallet, node, website, public gateway, updates and privacy requests. Effective October 15, 2026.

1. Local keys and the public network

Private keys stay on your device. Addresses, balances, transactions, rewards, voting public keys, node identifiers and registration events are public on chain and may remain public indefinitely. Leaving the network or deleting the app does not erase earlier blocks, archives or copies held by others.

Peers, relays and the public address-discovery network can see connection IP addresses. RPC nodes can see the addresses you query. The Mac wallet normally asks its own node first; a remote fallback or the public gateway receives the query when used.

2. Registration and repeated Apple checks

Registering a voting node encrypts the Apple DeviceCheck token to the authenticated registrar key. Relaying validators receive ciphertext and cannot read the token. Pipln's registrar decrypts it and sends it to Apple Inc. (USA) over HTTPS to check genuine hardware and prior registration. This happens at initial registration and during daily re-attestation while participating. Apple also receives a request identifier and time, and the registrar's connection IP address.

Apple keeps a per-device registration bit associated with the developer's apps; it can survive reinstalling the app. We do not control Apple's retention or promise that deleting our records clears this bit. Refusing DeviceCheck prevents voting-node registration and daily eligibility checks; the wallet remains available. Touch ID authorizes a signature and is not itself privacy consent.

3. What the registrar keeps, and for how long

The registrar uses the raw token in request memory and does not write it to its registration store. On your Mac, a protected local token file is refreshed about hourly while the app runs. The registrar persists the voting public key, operator address, node identifier, beacon address and original registration time to prevent duplicate registration and permit re-attestation. This store has no automatic expiry or deletion timer; records remain until an operator removes them or retires the service.

Registration token hashes used to prevent simultaneous requests are removed when the request finishes. Successful daily checks keep voting-key and token-hash rate limits in memory for the current and two preceding periods; older entries are pruned on a later successful check, and all are lost when the process exits. The registration store does not retain client IP addresses. We have not verified a fixed retention period for operational logs, backups or providers' logs, and do not promise deletion after 30 days.

4. Region sharing and aggregate presence

By default, each app node shares a coarse UN M49 sub-region, such as Eastern Asia. Until you choose a country, the app takes it from your Mac's region setting (system locale). You can pick a different country or turn sharing off in Settings > Live network privacy, and the first-run notice offers the same off choice. An earlier off choice stays off. The country stays on this Mac and only selects its M49 parent; unlisted areas remain unknown. No region is inferred from relay location, GPS or IP geolocation. Turning sharing off leaves this Mac unplaced without removing its qualifying total or role contribution. The choice is not stored on chain.

Public presence RPC and gossip carry only unverified cohort counts for declared validators and Mac nodes after at least 10 connected minutes; readers and old peers of unknown kind are excluded. Versions are reported as unknown. They expose no per-node list, observer identity, country code or exact observation time. Times use fixed 10-minute windows. Total, role and version counts retain a minimum of three Macs, including complementary suppression of small role remainders. Within a qualifying overall cohort, one sharing Mac’s coarse region is publicly shown; others may infer it is you. Positive unknown or legacy world residuals remain visible to keep the region partition complete. An overall cohort smaller than three has no published breakdowns. Missing counts are withheld or unreported, not zero. These are observations, not a census of distinct Macs, and aggregation does not guarantee anonymity. Operation quality is unavailable in this public protocol. Already received aggregate copies cannot be recalled.

The current producer knows only its own endpoint’s region setting and treats other peers’ regions as unknown. A singleton region can become public at the next frozen release window when the overall cohort qualifies. Clearing both region and country choices stops placing this Mac in future releases; the wallet clears both when sharing is turned off. A separately opted-in RPC region remains until explicitly cleared. Previously received broad relay-era observations remain broad regions and are not expanded into invented sub-regions.

5. Website, gateway and updates

Cloudflare hosts the website and carries public-gateway requests. It can receive your IP address, request time, URL and browser information; gateway requests can include the queried public address. The page adds no analytics or tracking cookies. Your language choice is stored in localStorage on your device.

On macOS, Sparkle checks for updates about hourly and downloads releases from GitHub and its download services. Those services can receive your IP address and app/version information from requests. Sparkle is the updater in the app, not a separate EastSea analytics service; its optional system profiling is disabled, including a previously saved opt-in. Apple, Cloudflare, GitHub and Google are US-based providers and may process data in other countries. Their processing locations and retention depend on their services; EastSea cannot promise to erase provider-controlled logs.

6. Diagnostics, email and deletion requests

The diagnostic report is copied to your clipboard only; the app does not upload it automatically. There is no separate remote usage-analytics upload. If you send a report or privacy request, we receive your email address, message and any attachments. [email protected] uses Cloudflare Email Routing to forward mail to the operator's Gmail mailbox, so Cloudflare and Google handle those messages.

Email [email protected] to request access, correction, deletion or a stop to processing of data we control. Identify the relevant public address or node key and the records you mean; never send a private key or DeviceCheck token. We will explain what can be deleted and any reason for retaining it. Removing a registrar binding can prevent future daily checks; it does not reset Apple's bit. We cannot erase public chain history or recall other participants' copies, and cannot promise deletion of provider-controlled records. Local files and preferences can be removed on your device.

7. Contact and changes

Privacy contact: Pipln privacy officer, [email protected]. Updated policies are published here with an effective date; material changes are also explained in the app.

개인정보 처리방침

Pipln(개인사업자)은 동해(EastSea) 투표 노드 등록 서비스를 운영합니다. 이 방침은 지갑, 노드, 웹사이트, 공개 게이트웨이, 업데이트와 개인정보 문의를 다룹니다. 시행일: 2026년 10월 15일.

1. 기기의 키와 공개 네트워크

개인키는 이용자의 기기에 남습니다. 주소, 잔액, 거래, 보상, 투표 공개키, 노드 식별자와 등록 이벤트는 체인에 공개되며 무기한 공개될 수 있습니다. 네트워크를 떠나거나 앱을 삭제해도 과거 블록, 아카이브와 다른 사람이 보관한 사본은 지워지지 않습니다.

피어, 릴레이와 공개 주소 탐색 네트워크는 연결 IP 주소를 볼 수 있습니다. RPC 응답 노드는 조회한 주소를 볼 수 있습니다. Mac 지갑은 보통 자기 노드에 먼저 묻지만, 원격 대체 노드나 공개 게이트웨이를 이용하면 그곳이 조회를 받습니다.

2. 등록과 반복되는 Apple 확인

투표 노드 등록 시 Apple DeviceCheck 토큰을 인증된 등록기의 키로 암호화합니다. 요청을 중계하는 검증자는 암호문만 받아 토큰을 읽을 수 없습니다. Pipln 등록기가 복호화한 토큰을 HTTPS로 Apple Inc.(미국)에 보내 정품 기기와 기존 등록 여부를 확인합니다. 최초 등록 때와 참여 중 매일 재인증 때 전송합니다. Apple은 요청 식별자, 시각과 등록기의 연결 IP 주소도 받습니다.

Apple은 개발자의 앱에 연결된 기기별 등록 비트를 보관하며, 이 비트는 앱 재설치 후에도 남을 수 있습니다. Apple의 보유기간을 우리가 통제하지 않으며, 우리 기록을 삭제하면 비트도 지워진다고 약속하지 않습니다. DeviceCheck를 거절하면 투표 노드 등록과 일일 자격 확인은 불가능하지만 지갑은 이용할 수 있습니다. Touch ID는 서명을 승인하며 그 자체가 개인정보 동의는 아닙니다.

3. 등록기가 보관하는 항목과 기간

등록기는 원토큰을 요청 처리 메모리에서 사용하고 등록 저장소에 쓰지 않습니다. Mac에서는 앱이 실행되는 동안 보호된 로컬 토큰 파일을 약 한 시간마다 갱신합니다. 등록기는 중복 등록 방지와 재인증을 위해 투표 공개키, 운영자 주소, 노드 식별자, 비콘 주소와 최초 등록 시각을 지속 저장합니다. 이 저장소에는 자동 만료나 삭제 타이머가 없으며, 운영자가 삭제하거나 서비스를 종료할 때까지 기록이 남습니다.

동시 요청을 막기 위한 등록 토큰 해시는 요청이 끝나면 제거합니다. 성공한 일일 확인의 투표키·토큰 해시 제한 기록은 현재 기간과 앞선 두 기간에 대해 메모리에 보관합니다. 더 오래된 항목은 이후 확인 성공 때 정리되고 프로세스 종료 시 모두 사라집니다. 등록 저장소는 이용자 IP 주소를 보관하지 않습니다. 운영 로그, 백업과 제공업체 로그의 고정 보유기간은 검증되지 않았으며 30일 후 삭제를 약속하지 않습니다.

4. 지역 공유와 접속 집계

앱 노드는 기본적으로 동아시아 같은 대략적인 유엔 M49 하위 지역을 공유합니다. 국가를 고르지 않았다면 앱은 Mac의 지역 설정(시스템 로케일)에서 지역을 정합니다. 설정 > 실시간 네트워크 개인정보에서 다른 국가를 고르거나 공유를 끌 수 있고, 처음 실행할 때의 안내에서도 끌 수 있습니다. 이전에 끈 선택은 계속 꺼진 상태로 유지됩니다. 국가는 이 Mac에 남고 해당 M49 상위 하위 지역을 고르는 데만 쓰이며, 목록에 없는 지역은 알 수 없음으로 남습니다. 중계 서버 위치, GPS나 IP 위치 정보로 지역을 추정하지 않습니다. 공유를 끄면 이 Mac의 지역을 표시하지 않지만 자격을 갖춘 전체 수와 역할 집계에는 계속 포함됩니다. 선택은 체인에 저장하지 않습니다.

공개 접속 RPC와 가십은 10분 이상 연결된, 종류를 선언한 검증자와 Mac 노드의 미검증 관측 집계만 전달합니다. 리더와 종류를 알 수 없는 구형 피어는 제외합니다. 버전은 알 수 없음으로 표시합니다. 개별 노드 목록, 관측자 신원, 국가 코드나 정확한 관측 시간은 공개하지 않습니다. 시간은 고정된 10분 구간을 사용합니다. 전체·역할·버전 집계는 3대 이상 기준을 유지하며, 작은 역할 잔여 집계도 다른 집계와 합쳐 숨깁니다. 전체 관측 집계가 기준을 충족하면 지역을 공유하는 Mac이 1대인 대략적인 지역도 공개되므로 다른 사람이 그 Mac이 내 것이라고 추정할 수 있습니다. 지역 집계의 합이 전체 수와 일치하도록 알 수 없음이나 구형 전체 지역의 양수 잔여 집계는 유지합니다. 전체가 3대 미만이면 세부 집계를 공개하지 않습니다. 없는 수는 비공개 또는 미보고이며 0이 아닙니다. 이는 서로 다른 Mac의 전수조사가 아닌 관측값이며 집계가 익명성을 보장하지는 않습니다. 이 공개 프로토콜에는 운영 품질 정보가 없으며, 이미 전달된 집계 사본을 회수할 수 없습니다.

현재 집계 생성자는 자신의 엔드포인트의 지역 설정만 알고, 다른 피어의 지역은 알 수 없음으로 처리합니다. 전체 관측 집계가 기준을 충족하면 다음 고정 공개 구간에 Mac 1대의 지역도 공개될 수 있습니다. 지역과 국가 선택을 모두 해제하면 이후 공개에서 이 Mac의 지역을 표시하지 않으며, 지갑에서 공유를 끄면 둘 다 해제됩니다. RPC로 별도로 동의한 지역은 명시적으로 해제할 때까지 유지됩니다. 이전 중계 서버 시대에 받은 넓은 지역 관측값은 그대로 두며 더 세부적인 지역을 만들어내지 않습니다.

5. 웹사이트, 게이트웨이와 업데이트

Cloudflare는 웹사이트를 호스팅하고 공개 게이트웨이 요청을 전달합니다. IP 주소, 요청 시각, URL과 브라우저 정보를 받을 수 있으며, 게이트웨이 요청에는 조회한 공개 주소가 포함될 수 있습니다. 이 페이지는 분석 도구나 추적 쿠키를 추가하지 않습니다. 언어 선택은 이용자 기기의 localStorage에 저장합니다.

macOS의 Sparkle은 약 한 시간마다 업데이트를 확인하고 GitHub와 그 다운로드 서비스에서 배포본을 받습니다. 이 서비스는 요청에서 IP 주소와 앱·버전 정보를 받을 수 있습니다. Sparkle은 앱에 포함된 업데이트 도구이며 별도의 동해 분석 서비스가 아닙니다. 선택적인 시스템 프로파일 전송은 이전에 저장된 동의를 포함해 비활성화되어 있습니다. Apple, Cloudflare, GitHub와 Google은 미국 기반 제공업체이며 다른 국가에서도 데이터를 처리할 수 있습니다. 처리 장소와 보유기간은 각 서비스에 따르며, 동해는 제공업체가 관리하는 로그의 삭제를 약속할 수 없습니다.

6. 진단, 이메일과 삭제 요청

진단 보고서는 클립보드에만 복사되며 앱이 자동으로 업로드하지 않습니다. 별도의 원격 사용 분석 업로드는 없습니다. 보고서나 개인정보 문의를 보내면 이메일 주소, 메시지와 첨부파일을 받습니다. [email protected]는 Cloudflare Email Routing을 통해 운영자의 Gmail 사서함으로 전달되므로 Cloudflare와 Google도 해당 메일을 처리합니다.

우리가 관리하는 데이터의 열람·정정·삭제·처리 정지는 [email protected]로 요청하세요. 관련 공개 주소나 노드 키와 원하는 기록을 알려주시고, 개인키나 DeviceCheck 토큰은 보내지 마세요. 삭제 가능한 항목과 보관해야 하는 이유를 설명하겠습니다. 등록기 연결 기록을 삭제하면 향후 일일 확인이 불가능할 수 있으며 Apple의 비트는 초기화되지 않습니다. 공개 체인 이력이나 다른 참여자의 사본을 지우거나 회수할 수 없으며 제공업체 관리 기록의 삭제도 약속할 수 없습니다. 로컬 파일과 설정은 이용자 기기에서 제거할 수 있습니다.

7. 연락처와 변경

개인정보 문의: Pipln 개인정보 보호담당자, [email protected]. 방침을 바꾸면 시행일과 함께 이 페이지에 게시하고 중요한 변경은 앱에서도 설명합니다.

プライバシーポリシー

PiplnはEastSeaの投票ノード登録サービスを運営します。この方針はウォレット、ノード、ウェブサイト、公開ゲートウェイ、更新とプライバシーに関する問い合わせを対象とします。施行日：2026年10月15日。

1. 端末の鍵と公開ネットワーク

秘密鍵は端末に残ります。アドレス、残高、取引、報酬、投票公開鍵、ノード識別子と登録イベントはチェーン上で公開され、無期限に公開される可能性があります。ネットワークから離れたりアプリを削除しても、過去のブロック、アーカイブや他者のコピーは消えません。

ピア、リレーと公開アドレス探索ネットワークは接続IPアドレスを確認できます。RPCに応答するノードは照会したアドレスを確認できます。Macのウォレットは通常まず自分のノードに問い合わせますが、リモートの代替ノードや公開ゲートウェイを使うと、そこが照会を受け取ります。

2. 登録と繰り返されるAppleの確認

投票ノードの登録時、Apple DeviceCheckトークンを認証済み登録サービスの鍵で暗号化します。中継する検証者は暗号文のみを受け取り、トークンを読めません。Piplnの登録サービスが復号し、HTTPSでApple Inc.（米国）に送り、正規ハードウェアと登録済みかどうかを確認します。初回登録時と、参加中の毎日の再認証時に行われます。Appleはリクエスト識別子、時刻と登録サービスの接続IPアドレスも受け取ります。

Appleは開発者のアプリに関連する端末ごとの登録ビットを保持し、アプリの再インストール後も残る場合があります。当社はAppleの保持期間を管理せず、当社の記録の削除でこのビットも消えるとは約束しません。DeviceCheckを拒否すると投票ノード登録と日次の資格確認はできませんが、ウォレットは利用できます。Touch IDは署名を承認するもので、それ自体がプライバシーへの同意ではありません。

3. 登録サービスが保持する情報と期間

登録サービスは生のトークンをリクエスト処理のメモリ内で使用し、登録ストアには書き込みません。Macではアプリの実行中、保護されたローカルトークンファイルを約1時間ごとに更新します。重複登録を防ぎ再認証を可能にするため、投票公開鍵、運営者アドレス、ノード識別子、ビーコンアドレスと初回登録時刻を永続保存します。このストアには自動期限や削除タイマーがなく、運営者が削除するかサービスを終了するまで記録が残ります。

同時リクエストを防ぐ登録トークンのハッシュは、リクエスト終了時に除去します。成功した日次確認の投票鍵とトークンハッシュの制限記録は、現在と過去2期間分をメモリ内に保持します。古い項目はその後の確認成功時に整理され、プロセス終了時にはすべて消えます。登録ストアは利用者のIPアドレスを保持しません。運用ログ、バックアップや提供者のログの固定保持期間は検証されておらず、30日後の削除は約束しません。

4. 地域の共有と接続集計

アプリのノードは初期設定で、東アジアのような大まかな国連M49小地域を共有します。国を選んでいない場合、アプリはMacの地域設定（システムロケール）から決めます。「設定 > ライブネットワークのプライバシー」で別の国を選ぶか共有をオフにでき、初回起動時の案内でもオフにできます。以前にオフを選んだ場合は、そのままオフになります。国はこのMacに残り、対応するM49小地域を選ぶためだけに使われます。未掲載の地域は不明のままです。中継サーバーの所在地、GPSやIP位置情報から地域を推定しません。共有をオフにするとこのMacの地域は表示されませんが、条件を満たす全体数と役割の集計には含まれます。選択はチェーンに保存しません。

公開presence RPCとgossipは、10分以上接続した種類申告済みのバリデーターとMacノードの未検証の観測集計だけを伝えます。リーダーと種類不明の旧ピアは除外します。バージョンは不明と表示します。個別ノード一覧、観測者の身元、国コードや正確な観測時刻は公開しません。時刻は固定の10分区間です。全体・役割・バージョン集計は3台以上の基準を維持し、小さな役割の残数も他の集計に統合して隠します。全体の観測集団が基準を満たす場合、地域を共有するMacが1台だけの大まかな地域も公開され、他の人があなたのMacだと推測する可能性があります。地域集計が全体数と一致するよう、不明や旧世界全体の正の残数は保持します。全体が3台未満なら内訳を公開しません。欠けた数は非公開または未報告であり、ゼロではありません。これは異なるMacの全数調査ではなく観測値であり、集計は匿名性を保証しません。この公開プロトコルには稼働品質情報がなく、受信済みの集計コピーは回収できません。

現在の生成側が知るのは自身のエンドポイントの地域設定だけで、他のピアの地域は不明として扱います。全体の観測集団が基準を満たすと、次の固定公開区間でMac1台の地域も公開されます。地域と国の選択を両方解除すると、その後の公開でこのMacの地域を表示しません。ウォレットで共有をオフにすると両方を解除します。RPCで別途同意した地域は明示的に解除するまで残ります。以前の中継時代に受信した広い地域の観測値はそのまま保持し、より細かい地域を捏造しません。

5. ウェブサイト、ゲートウェイと更新

Cloudflareはウェブサイトをホストし、公開ゲートウェイのリクエストを中継します。IPアドレス、リクエスト時刻、URLとブラウザ情報を受け取ることがあり、ゲートウェイのリクエストには照会した公開アドレスが含まれる場合があります。このページは分析ツールや追跡Cookieを追加しません。言語の選択は端末のlocalStorageに保存します。

macOSのSparkleは約1時間ごとに更新を確認し、GitHubとそのダウンロードサービスからリリースを取得します。これらのサービスはリクエストからIPアドレスとアプリ・バージョン情報を受け取ることがあります。Sparkleはアプリ内の更新ツールであり、別のEastSea分析サービスではありません。任意のシステムプロファイル送信は、以前の同意設定も含め無効です。Apple、Cloudflare、GitHubとGoogleは米国を拠点とし、他国でデータを処理する場合もあります。処理場所と保持期間は各サービスによるため、EastSeaは提供者管理のログの削除を約束できません。

6. 診断、メールと削除請求

診断レポートはクリップボードにコピーするだけで、アプリが自動アップロードすることはありません。別途のリモート利用分析のアップロードもありません。レポートや問い合わせを送ると、当社はメールアドレス、本文と添付ファイルを受け取ります。[email protected]はCloudflare Email Routingで運営者のGmailに転送されるため、CloudflareとGoogleもメールを処理します。

当社が管理するデータの閲覧、訂正、削除や処理停止は[email protected]にメールで請求してください。関連する公開アドレスまたはノード鍵と対象の記録を示し、秘密鍵やDeviceCheckトークンは送らないでください。削除できる情報と保持が必要な理由を説明します。登録サービスの関連付け記録を削除すると、今後の日次確認ができなくなる場合があり、Appleのビットもリセットされません。公開チェーン履歴や他の参加者のコピーを消去・回収できず、提供者管理の記録の削除も約束できません。ローカルファイルと設定は端末で削除できます。

7. 連絡先と変更

プライバシー窓口：Piplnプライバシー担当、[email protected]。変更した方針は施行日とともにこのページに掲載し、重要な変更はアプリ内でも説明します。

隐私政策

Pipln运营EastSea投票节点注册服务。本政策涵盖钱包、节点、网站、公共网关、更新和隐私请求。生效日期：2026年10月15日。

1. 本地密钥与公共网络

私钥保留在你的设备上。地址、余额、交易、奖励、投票公钥、节点标识符和注册事件在链上公开，可能无限期保持公开。退出网络或删除应用不会删除历史区块、存档或他人保存的副本。

对等节点、中继和公共地址发现网络可以看到连接IP地址。响应RPC的节点可以看到你查询的地址。Mac钱包通常先查询本机节点；使用远程备用节点或公共网关时，对方会收到查询。

2. 注册与重复的Apple验证

注册投票节点时，Apple DeviceCheck令牌使用经过认证的注册服务密钥加密。中转验证者只能收到密文，无法读取令牌。Pipln注册服务解密后，通过HTTPS将令牌发送给Apple Inc.（美国），以验证正版硬件和既有注册。首次注册时及参与期间每日重新认证时都会发送。Apple还会收到请求标识符、时间和注册服务的连接IP地址。

Apple保存与开发者应用关联的设备注册位，重新安装应用后仍可能保留。我们不控制Apple的保留期限，也不承诺删除我们的记录会清除此位。拒绝DeviceCheck会使投票节点注册和每日资格检查无法进行，但仍可使用钱包。Touch ID用于授权签名，本身不代表隐私同意。

3. 注册服务保存的内容与期限

注册服务在请求处理内存中使用原始令牌，不将其写入注册存储。Mac上的受保护本地令牌文件会在应用运行时约每小时刷新。为防止重复注册并允许重新认证，注册服务持久保存投票公钥、运营者地址、节点标识符、信标地址和首次注册时间。该存储没有自动到期或删除计时器，记录会保留至运营者删除或服务终止。

用于阻止并发注册请求的令牌哈希会在请求结束后移除。成功的每日检查将投票密钥和令牌哈希限流记录保存在内存中，涵盖当前及前两个周期；更早的记录在后续检查成功时清理，进程退出时全部消失。注册存储不保存用户IP地址。运营日志、备份和服务提供方日志的固定保留期限尚未验证，我们不承诺30天后删除。

4. 地区共享与在线汇总

应用节点默认共享大致的联合国M49次区域，例如东亚。未选择国家时，应用根据这台Mac的地区设置（系统区域）确定。你可以在“设置 > 实时网络隐私”中选择其他国家或关闭共享，首次运行的提示中也可以关闭。之前选择关闭的设置会保持关闭。国家保留在此Mac上，仅用于选择对应的M49次区域；未列出的地区保持未知。不从中继位置、GPS或IP定位推断地区。关闭共享后，此Mac不显示地区，但仍计入符合条件的总数和角色汇总。选择不存储到链上。

公开presence RPC和gossip只传递已声明类型且连接至少10分钟的验证节点与Mac节点的未验证观测群体数量。读取客户端和类型未知的旧对等节点被排除，版本显示为未知。不公开单个节点列表、观测者身份、国家代码或精确观测时间。时间采用固定的10分钟窗口。总数、角色和版本数量维持至少3台Mac的门槛，小规模角色余数也会与其他数量合并隐藏。总观测群体达到门槛时，只有1台共享地区的Mac所在的大致地区也会公开，因此他人可能推断那台Mac属于你。未知或旧世界范围的正数余量会保留，确保地区数量之和与总数一致。总数不足3台时不公开任何细分数量。缺失数量表示隐藏或未报告，并非零。这是观测值，不是不同Mac的普查，汇总不保证匿名。此公开协议不提供运行质量信息，已收到的汇总副本无法收回。

当前生成方只知道自身端点的地区设置，将其他对等节点的地区视为未知。总观测群体达到门槛后，下一固定公开窗口可能公布单台Mac的地区。清除地区和国家两项选择后，未来公开不再显示此Mac的地区；钱包关闭共享时会清除两项。通过RPC单独同意的地区会保留，直到明确清除。以前中继时期收到的大范围地区观测保留原状，不据此编造更细的次区域。

5. 网站、网关与更新

Cloudflare托管网站并传递公共网关请求，可能收到IP地址、请求时间、URL和浏览器信息；网关请求可能包含查询的公开地址。此页面不添加分析工具或追踪Cookie。语言选择存储在你设备的localStorage中。

macOS上的Sparkle约每小时检查更新，并从GitHub及其下载服务获取发行版。这些服务可能从请求中收到IP地址和应用、版本信息。Sparkle是应用内的更新工具，不是独立的EastSea分析服务；可选系统配置资料发送已禁用，包括以前保存的同意设置。Apple、Cloudflare、GitHub和Google是美国服务提供方，也可能在其他国家处理数据。处理地点及保留期限取决于各项服务，EastSea无法承诺删除提供方控制的日志。

6. 诊断、邮件与删除请求

诊断报告仅复制到剪贴板，应用不会自动上传，也没有单独的远程使用分析上传。如果你发送报告或隐私请求，我们会收到你的邮件地址、正文和附件。[email protected]通过Cloudflare Email Routing转发至运营者的Gmail邮箱，因此Cloudflare和Google也会处理这些邮件。

若要请求访问、更正、删除或停止处理我们控制的数据，请发送邮件至[email protected]。说明相关公开地址或节点密钥及所需记录，切勿发送私钥或DeviceCheck令牌。我们会解释哪些内容可删除及需要保留的原因。删除注册服务的绑定记录可能阻止今后的每日检查，并不会重置Apple的注册位。我们无法删除公共链历史或收回其他参与者的副本，也无法承诺删除提供方控制的记录。本地文件及偏好可在你自己的设备上移除。

7. 联系与变更

隐私联系人：Pipln隐私负责人，[email protected]。更新的政策会在此处发布并注明生效日期，重大变化也会在应用中说明。

Política de privacidad

Pipln opera el servicio de registro de nodos de votación de EastSea. Esta política cubre la cartera, el nodo, el sitio web, la pasarela pública, las actualizaciones y las solicitudes de privacidad. Vigente desde el 15 de octubre de 2026.

1. Claves locales y red pública

Las claves privadas permanecen en tu dispositivo. Las direcciones, saldos, transacciones, recompensas, claves públicas de votación, identificadores de nodos y eventos de registro son públicos en la cadena y pueden seguir siendo públicos indefinidamente. Salir de la red o borrar la app no elimina bloques anteriores, archivos ni copias de terceros.

Los pares, relés y la red pública de descubrimiento de direcciones pueden ver las direcciones IP de conexión. Los nodos RPC pueden ver las direcciones que consultas. La cartera de Mac suele consultar primero su propio nodo; al usar un nodo remoto alternativo o la pasarela pública, este recibe la consulta.

2. Registro y verificaciones repetidas con Apple

Al registrar un nodo de votación, el token de Apple DeviceCheck se cifra con la clave autenticada del registrador. Los validadores intermediarios reciben texto cifrado y no pueden leerlo. El registrador de Pipln lo descifra y lo envía a Apple Inc. (EE. UU.) mediante HTTPS para comprobar el hardware y registros previos. Esto ocurre en el registro inicial y en la verificación diaria mientras participas. Apple también recibe un identificador y la hora de la solicitud, y la IP de conexión del registrador.

Apple conserva un bit de registro por dispositivo asociado a las apps del desarrollador; puede sobrevivir a una reinstalación. No controlamos su plazo de conservación ni prometemos que borrar nuestros registros elimine ese bit. Rechazar DeviceCheck impide registrar el nodo de votación y verificar su elegibilidad diaria; la cartera sigue disponible. Touch ID autoriza una firma y no constituye por sí mismo consentimiento de privacidad.

3. Qué conserva el registrador y durante cuánto tiempo

El registrador usa el token original en la memoria de la solicitud y no lo escribe en su almacén de registros. En tu Mac, un archivo local protegido se actualiza aproximadamente cada hora mientras la app está abierta. Para impedir registros duplicados y permitir verificaciones posteriores, el registrador conserva de forma persistente la clave pública de votación, dirección del operador, identificador del nodo, dirección de baliza y hora del primer registro. Este almacén no tiene caducidad ni borrado automático: los registros permanecen hasta que el operador los elimina o retira el servicio.

Los hashes de tokens para impedir solicitudes de registro simultáneas se eliminan al terminar la solicitud. Las verificaciones diarias satisfactorias guardan límites por clave y hash del token en memoria para el período actual y los dos anteriores; las entradas más antiguas se depuran tras otra verificación satisfactoria, y todas desaparecen al cerrar el proceso. El almacén de registros no conserva IP de clientes. No hemos verificado un plazo fijo para registros operativos, copias de seguridad o registros de proveedores, y no prometemos borrarlos a los 30 días.

4. Región compartida y presencia agregada

De forma predeterminada, cada nodo de la app comparte una subregión amplia M49 de la ONU, como Asia oriental. Mientras no elijas un país, la app la toma de la configuración de región de tu Mac (configuración regional del sistema). Puedes elegir otro país o desactivar la opción en Settings > Live network privacy, y el aviso del primer inicio ofrece la misma opción de desactivarla. Una desactivación anterior se mantiene. El país permanece en esta Mac y solo selecciona su subregión M49 correspondiente; las áreas no incluidas quedan desconocidas. No se infiere la región de la ubicación del repetidor, GPS ni geolocalización IP. Desactivar la opción deja esta Mac sin ubicación publicada, sin quitar su contribución válida al total y al rol. La elección no se guarda en la cadena.

El RPC y gossip públicos de presencia solo transmiten observaciones agregadas no verificadas de validadores y nodos Mac con tipo declarado, conectados durante al menos 10 minutos; excluyen lectores y pares antiguos de tipo desconocido. Las versiones se indican como desconocidas. No publican listas por nodo, identidad del observador, códigos de país ni horas exactas. Usan ventanas fijas de 10 minutos. Los totales, roles y versiones mantienen el mínimo de tres Macs, incluida la supresión complementaria de restos pequeños por rol. En un grupo total que cumple el mínimo se publica la región amplia aunque solo haya una Mac que la comparta; otras personas podrían deducir que es la tuya. Los restos positivos desconocidos o del grupo mundial antiguo se conservan para que las regiones sumen el total. Un grupo total menor de tres no publica desgloses. Una cifra ausente está retenida o no informada, no es cero. Son observaciones, no un censo de Macs distintas, y agregar no garantiza anonimato. Este protocolo público no informa calidad operativa. No se pueden retirar copias agregadas ya recibidas.

El productor actual solo conoce la configuración de región de su propio extremo y trata las regiones de otros pares como desconocidas. Una región con una sola Mac puede publicarse en la siguiente ventana fija si el grupo total cumple el mínimo. Borrar ambas elecciones, región y país, deja esta Mac sin ubicación en publicaciones futuras; la cartera borra ambas al desactivar compartir. Una región aceptada por RPC de forma separada permanece hasta borrarla explícitamente. Las observaciones amplias recibidas en la época de repetidores se mantienen amplias y no se expanden a subregiones inventadas.

5. Sitio web, pasarela y actualizaciones

Cloudflare aloja el sitio web y transporta las solicitudes de la pasarela pública. Puede recibir tu IP, hora, URL e información del navegador; las solicitudes de la pasarela pueden incluir la dirección pública consultada. La página no añade herramientas de análisis ni cookies de seguimiento. Tu elección de idioma se guarda en el localStorage del dispositivo.

En macOS, Sparkle busca actualizaciones aproximadamente cada hora y descarga versiones desde GitHub y sus servicios de descarga. Estos servicios pueden recibir tu IP e información de la app y su versión en las solicitudes. Sparkle es el actualizador de la app, no un servicio separado de análisis de EastSea; el envío opcional del perfil del sistema está desactivado, incluso si había una autorización anterior. Apple, Cloudflare, GitHub y Google son proveedores con sede en EE. UU. y pueden procesar datos en otros países. La ubicación y conservación dependen de sus servicios; EastSea no puede prometer borrar registros controlados por proveedores.

6. Diagnósticos, correo y solicitudes de borrado

El informe de diagnóstico solo se copia al portapapeles; la app no lo sube automáticamente. No hay una carga separada de análisis remoto de uso. Si envías un informe o solicitud, recibimos tu correo, mensaje y adjuntos. [email protected] usa Cloudflare Email Routing para reenviar los mensajes al Gmail del operador, por lo que Cloudflare y Google también los procesan.

Escribe a [email protected] para solicitar acceso, corrección, borrado o cese del tratamiento de datos que controlamos. Indica la dirección pública o clave del nodo y los registros afectados; nunca envíes una clave privada ni un token de DeviceCheck. Explicaremos qué se puede borrar y cualquier motivo para conservarlo. Borrar un vínculo del registrador puede impedir futuras verificaciones diarias y no restablece el bit de Apple. No podemos borrar el historial público de la cadena ni recuperar copias de otros participantes, y no prometemos borrar registros de proveedores. Los archivos y preferencias locales se pueden eliminar en tu dispositivo.

7. Contacto y cambios

Contacto: responsable de privacidad de Pipln, [email protected]. Publicamos las políticas actualizadas aquí con su fecha de entrada en vigor; los cambios sustanciales también se explican en la app.