「我們看不到你的照片」是一個可以核對的說法
每個隱私 App 都會說類似的話。多數時候，這是「我們會小心處理你的資料」的行銷縮寫，和「我們在結構上無法存取」不是一回事。這是兩種說法，其中只有一種真的能核對。
核對分成兩部分：Privately 還沒參與時，iPhone 上已經發生的事，以及 Privately 在那之上加了什麼。
任何 App 碰到之前，照片已經加密
從 iPhone 8 起，裝置上的每個檔案，包括每張照片，都由一塊叫 Secure Enclave 的晶片保護。它是獨立於主 CPU 的處理器，單獨處理加密金鑰。照片寫入儲存空間時，會得到自己的加密金鑰。這把金鑰再被另一把金鑰包裹，那把金鑰綁著你的密碼，以及出廠時燒進 Secure Enclave、讀不出來也抽不走的硬體識別碼。手裡拿著手機的人做不到，Apple 也做不到。
鎖上手機，解密這些資料所需的金鑰對系統的其餘部分就不可用。Face ID、Touch ID 或密碼會讓它們重新可用。所以，除了很特殊的硬體攻擊，一台被偷走且仍鎖著的 iPhone 不是一疊可以閱讀的照片檔案。在有人證明自己是你之前，它是加密後的雜訊。
這些都不是 Privately 獨有的。這是 Apple 給這個平台上每個 App 的基線，而且已經在保護你現在的相機膠卷，不管照片有沒有被隱藏。
對建在這之上的 App，「我們看不到你的照片」實際是什麼意思
有了這條基線，App 打破承諾的方式只有一種：把照片移到 Secure Enclave 的保護到不了的地方。伺服器、雲端儲存、分析管道、支援工單。路徑上有網路的，都算。
Privately 不做的，就是這一件。App 裡沒有任何上傳步驟，沒有用來把鎖定照片同步到後端的登入帳號，也沒有一台可能被傳票調取、被入侵，或者只是設定錯誤就把你的照片放上去的伺服器。如果圖庫從不離開這台裝置，「我們看過」在物理上就不可能發生，無論我們想不想看。
這件事也不必只聽我們說。這個網站上的 EXIF 清除工具和照片打碼工具用同樣的方式運行，而且你大約十秒就能自己驗證。打開瀏覽器的開發者工具，看網路面板，放進一張照片，去掉元資料。什麼都不會發出去。同一套結構，只是比原生 App 更容易把除錯器對準。
鎖定相簿補上了系統預設不給你的東西
如果整台裝置已經加密，App 還要加什麼？分離。普通的資料保護把圖庫裡的一切同等加密，問題也正在這裡。孩子的生日照片，和你不想被人隨手翻到的那一張，在同一次解鎖後面。Face ID 通過一次，全部都看得見。
鎖定相簿是第二座、獨立的保險庫。移進去的照片會從圖庫、相機膠卷和 iCloud 照片同步裡消失，解開手機也不會打開它們。它們需要自己的 Face ID、Touch ID 或 PIN。這是「和其他所有東西一起加密」與「加密了，而且不和其他所有東西待在同一個房間」的差別。這段差距的長版本寫在和 iPhone 內建隱藏相簿的比較裡。隱藏相簿用的是本文說的同一套資料保護，但沒有分離這一步。
這不包括什麼
把界限說清楚：上面說的是結構，也就是資料物理上在哪裡，技術上誰能夠到。它沒有談論針對作為系統廠商的 Apple 的法律程序，沒有談論越獄或已被入侵的裝置，也沒有談論相簿開著的時候站在你背後的人。加密解決的是「能不能透過網路夠到」。它從來不是為了解決「密碼是不是也寫在便條上」。
如果想看一張照片在被鎖起來之前就能暴露什麼，我們寫過每張照片預設攜帶的元資料：GPS 座標、裝置型號、時間戳。Secure Enclave 對它們沒有意見，因為那不是它保護的東西。
Privately 可以免費下載。鎖定相簿和其他 Pro 功能是直接的訂閱：沒有免費試用，保險庫裡面也沒有額外推銷。