# 隐私说明（用户页面草稿，尚未生效）

> DRAFT：供本地Codex落实页面、数据流和设置。以下叙述是拟交付行为，不是当前线上版本已全部具备的能力。上线前须与实际实现核对，填写运营信息与期限并删除不适用条目；未完成时不得将本稿作为已生效政策发布。

服务名称：音乐遥控及本实例的可选云服务

运营者：[待填写实际名称，不从Git提交作者推断]

隐私联系：[待填写有效邮箱或表单]

适用服务地址与地区：[待确认]

版本/生效日期：[待确认]

## 1. 您可以只使用本地遥控

手机与电脑在同一可信Wi-Fi中配对后，可以使用本地播放控制。该功能不要求您注册云账号。音乐由电脑上的播放器播放，本工具不会因您启用社区或同步而把电脑开放为公网遥控服务器。

您可以分别选择在线歌词、云账号/同步和社区。不启用可选功能不会妨碍与其无关的本地遥控。音乐客户端、操作系统和浏览器自己的联网行为不受本工具的开关统一控制。

## 2. 本地处理哪些信息

为了连接和控制您选择的播放器，本工具在本机处理当前歌曲信息、媒体会话、音量/输出状态、配对授权、连接地址及必要设置。配对授权和私钥不作为云同步内容；本地诊断由您主动查看或导出。

您主动保存的歌曲备忘、导入歌词和显示校准默认留在本地。我们不因为您听歌就自动建立并上传完整播放历史。请在导出诊断前核对内容，不要在社区粘贴配对码、授权信息或私人日志。

## 3. 在线歌词

启用在线查找后，本工具会向所选歌词来源发送必要的歌名、歌手、歌曲ID以及可用的专辑/时长，尝试取得匹配版本。首次告知后无需每首歌重复选择；您可随时关闭在线查找或使用本地文件。

界面区分客户端同源、公开匹配、本地导入和估算时序。找到同名歌词不意味着已确认与客户端完全相同。来源服务也可能处理网络连接信息；其规则与本说明并不相同。实际使用的来源名称和说明在设置内列出。

## 4. 云账户

默认使用用户名和密码注册、登录，不要求邮箱。服务处理用户名、成熟 KDF 的密码验证材料、一次性恢复码摘要、必要的安全事件、会话与撤权记录。您主动启用时，另处理经过验证的找回邮箱或 Google 的稳定身份标识。密码、恢复码及令牌不进入普通设置导出、URL 或日志。内部随机登录标识不是已验证邮箱，不用于发信或公开展示。邮箱和登录提供商ID不作为公开昵称展示。使用第三方登录不代表允许我们访问您的邮箱、代码仓库或通讯录。

可选邮箱绑定/找回验证码由已配置且核验的邮件服务发送；默认密码流程不依赖它。Google 是可选绑定/登录，使用系统浏览器，不在具有本地控制桥的 WebView 中完成。验证码提供商接受请求并不代表邮件已经到达。账号页列出实际启用的提供商及其作用。我们不收取无必要的身份证明；若适用地区要求额外资格或身份验证，会在启用相应服务前说明，不能用普通邮箱验证冒充法定实名。

当手机通过已配对电脑的云桥使用账号时，电脑会替该手机安全保存并使用限定用途的云授权。请仅配对可信电脑。云账户授权与本地配对相互独立，社区用户或其他手机不会自动获得您的电脑控制权。

## 5. 您可以选择同步哪些内容

登录后不自动上传已有数据。您可分别开启界面偏好、歌词选择/校准、操作偏好、私人歌曲备忘和私人导入歌词备份。首次同步展示范围与差异；多设备冲突时保留待处理版本，不静默丢弃正在编辑的内容。

歌词绑定和偏移可能包含您关联的歌曲、版本、来源及文档摘要，虽不是完整播放历史，仍可能反映音乐偏好。私人导入歌词备份包含您主动选择的文件正文。只有您有权保存的内容才可上传，私人备份不会自动作为公开歌词资源分发。

不在云同步范围内的内容包括PC配对凭据、内网地址/SSID、音频设备标识、实时音量/静音、当前播放状态、Seek命令、定时任务、账号密钥和私人诊断。导入偏好也不会自动操作电脑。

## 6. 社区公开范围

启用社区后，阅读会向独立云服务发送必要请求。只有您主动提交的昵称、简介、帖子、短评、回复、时间标记、提案或投票按界面说明处理；点击“讨论这首歌”才发送必要歌曲标识。我们不会自动发布“正在听什么”。

提交前界面显示公开内容范围，帖子、短评、回复与简介先审核。私人草稿、私人收藏、屏蔽列表和站内消息仅限本人授权读取；待审内容不向公众提前展示。删除会撤下本服务的公开正文、搜索和通知预览，审核/申诉记录仍依核实后的保留政策处理。举报、申诉和管理员处理材料不作为普通评论公开。社区内容可能被其他用户看到或复制；删除本服务中的内容不能保证删除他人已经独立保存的副本。

## 7. 服务提供商、存储和安全

本实例拟使用Cloudflare Workers/D1处理云业务，并在启用私人文件备份时使用私有R2存储；实际邮件和登录提供商须在本实例说明中填写。相关服务可能在不同地区处理信息，部署和跨境安排以本实例已经核实的提供商清单为准，不承诺所有数据始终留在某个国家。

我们使用HTTPS、访问权限隔离、必要的存储保护和凭据撤销。除非某一功能另外明确说明并已实现验证，我们不宣称私人数据已采用端到端加密；具有必要授权的运营人员和处理服务可能为支持、安全或履行法律义务访问有限信息。

本工具不提供广告或行为遥测。应用尽量减少日志；Cloudflare等基础设施仍可能处理IP等连接信息。每日派生限流标识也不等于完全匿名。

## 8. Cookie和本地存储

本地配对与云账户使用不同的凭据和权限。云登录所需cookie、验证码状态及必要安全存储用于保持会话与防滥用，不用于广告追踪。相关安全服务仅在需要的云页面/动作加载，不在未开启社区时预加载。

您可在设置中退出云账户、撤销设备、清除缓存。清除浏览器数据可能移除本地配对或未同步的本地资料，请先备份；退出云账户不应删除本地音乐原文件。

## 9. 保存期限和删除

本实例上线前必须在此填入经实际配置与测试核验的期限：验证码[期限]、云会话[期限]、同步/私有文件[保存目的与清理期限]、安全日志[期限]、审核/申诉记录[期限]、备份[期限]。不得把开发目标直接当作已实施承诺。

您可关闭某项同步、删除该类别云数据或申请注销。关闭同步只是停止后续传输，不等于已删除既有云副本；界面提供明确的独立删除入口。注销后停止账号授权，并按已公布期限清除数据。依法必须保存或处理争议所需的最少记录将限制用途，并说明适用原因。

备份可能在限定周期后清除；恢复备份时应重新应用已确认的删除/撤销记录。断网时的删除请求会标明未完成，不能显示成“云端已删除”。

## 10. 您的选择、权利和联系方式

您可以查看/更正账号资料，获取数据副本，管理同步类别、登录设备和公开内容，撤回可选功能授权，并按适用规则申请删除。部分操作需要重新验证身份，以防他人删除或导出您的资料；不会要求不必要的额外信息。

通过[隐私联系渠道]提出问题或投诉。处理期限、可联系的监管机构及其他法定权利依据本实例实际适用法律说明，不由本说明排除。

## 11. 未成年人、变更与独立部署

云服务支持的年龄/监护人同意规则须按实际服务地区在上线前确认并展示。不会为了“合规”默认收集出生日期或身份证；需要处理时另做必要性和保护设计。本地模式与云服务资格分开说明。

我们变更数据类别、用途、接收方或公开范围时会明显告知；需要新的选择或同意时重新征求，不通过继续使用默认为所有新增用途授权。说明的历史版本可查看。

本项目开源，其他人可能部署自己的实例。您连接哪一个实例，应查看该实例运营者与隐私说明；本代码仓库并不保证所有第三方部署都使用同一政策。

## 候选版本的数据保护边界（仍待运营者确认）

可选账号远程连接使用同一个社区账号，并增加本人账号与电脑安装身份、显示名称、公钥和可撤销权限的绑定记录。电脑私钥与云设备凭据由本机用户的 DPAPI 保护，不会随普通设置导出。中继只转发经过账号和电脑归属校验的加密控制帧，不保存音乐状态或指令正文；连接授权元数据与必要的防重放记录仍由服务处理。它与私人偏好同步的加密方式不同，不能用远程控制通道的加密结论概括全部云数据。远程功能尚未在实际云服务启用，运营者仍须核对绑定记录、断开会话、防滥用记录及备份的真实保留/删除规则后再启用。

APK 云凭据和私人待办使用 Android Keystore 的平台 AES-GCM；LAN 网页依赖已配对电脑，电脑离线时其云桥不可用。TLS 和云提供商存储保护不是端到端加密，不能宣称运营者不可读取私人同步正文。

邮件验证码目标五分钟、每挑战最多五次尝试；发送有小时/日防滥用限额。邮件临时密文/摘要在有界维护中到期清理。会话 MFA/敏感授权最长十分钟，不随令牌刷新延长。服务暂停不会阻断符合身份权限的数据保护路径。本轮尚未开启生产清理任务，不把源码目标期限说成已执行事实。

公开账号/社区前须另核对运营者、有效联系、地区/未成年人规则、实际提供商及费用、保留/删除/备份期限和监控。当前占位符没有填完，本政策没有正式生效。