听澜盒隐私政策（安卓 / 电视 / Windows / Linux 版）

更新日期：2026.10.6

听澜盒 是由 邓顺子（以下简称"我们"）提供的音乐播放客户端，用于连接您自己的音乐服务器（Navidrome / Subsonic、Emby、Jellyfin、飞牛 fnOS 音乐、Audiobookshelf、WebDAV、SMB）、您的百度网盘，或播放您设备上的本地音乐。本政策说明我们在上述版本中如何收集、使用、存储、共享和保护您的个人信息，以及您享有的权利。请您在使用前仔细阅读，特别是加粗的内容。

我们实际收集的信息逐项列在已收集个人信息清单，与第三方共享的情况列在与第三方共享个人信息清单；另请参阅用户协议与会员服务协议。

1. 基本说明

1.1 播放功能无需注册或登录即可使用。只有当您选择登录、购买会员、扫码登录其他设备或提交反馈时，我们才会处理下文所述的相应信息。

1.2 我们不提供任何音乐内容。您添加的音乐服务器由您自行搭建或选择。为完成您发起的操作，应用会把登录凭证、播放上报（scrobble）、收藏、播放进度等信息直接发送给您自己的服务器，这些信息只发往该服务器，不会发送给我们。您的服务器不属于我们的第三方合作方。

1.3 我们的服务器为 www.http5.cn，位于中国大陆境内。

1.4 首次启动时，应用会弹窗请您阅读并同意本政策与用户协议。在您同意之前，应用不收集本政策所列的任何个人信息，也不向我们的服务器发起任何网络请求。如您不同意，应用将退出。之后您可以在「设置 → 关于 → 隐私与协议 → 撤回隐私政策同意」撤回同意：应用随即退出，下次启动时会再次征求您的同意；撤回同意不会删除您设备上的本地数据。

2. 我们如何收集和使用您的个人信息

2.1 邮箱登录（可选）

当您选择登录时，需要提供邮箱地址，我们会向该邮箱发送验证码，以确认邮箱由您本人持有。邮箱地址用于标识您的听澜盒账号，以及发放、查询会员权益。验证码邮件通过阿里云邮件推送服务发送，发送时会把您的邮箱地址和邮件内容（验证码）交给该服务。您也可以不输入邮箱，改用一台已登录的安卓手机扫码登录（见 2.5）。不登录就不会收集邮箱地址，也不影响基础播放功能。

2.2 设备标识（哈希值）、设备名称与平台

在您登录、打开扫码登录界面、打开会员中心或设备管理、提交反馈时，应用会处理以下信息：

· 设备标识：安卓读取 Android ID，Windows 读取系统的 MachineId（注册表 SQMClient 项），Linux 读取 /etc/machine-id。应用在本机把「固定前缀 + 原始标识」计算为 SHA-256 哈希值，只上传哈希值，原始标识不会上传；读取不到时改用随机生成的标识。

· 设备名称：安卓为品牌 + 型号，Windows 为计算机名，Linux 为主机名。

· 平台：android / tv / windows / linux。

用途：会员的设备名额管理（每份永久会员含 5 台设备名额）、在「设备管理」中列出您的设备、解绑设备、签发离线会员凭证。我们的服务器按设备保存：设备标识哈希值、平台、设备名称、首次绑定时间、最近使用时间。

2.3 登录状态与离线会员凭证

登录后，登录令牌保存在您设备的系统安全存储中（安卓为 Keystore，Windows 为 DPAPI，Linux 为 Secret Service；Linux 上没有可用的密钥环时，退回保存在应用的本地设置文件中）。为了让会员功能在离线时也能使用，我们的服务器会签发一份离线会员凭证保存在您的设备上，内容包括账号 ID、设备标识哈希值、会员状态与有效期（最长 30 天）。

2.4 购买会员

当您购买会员时，我们会生成并保存订单信息：订单号、商品、金额、支付渠道、订单状态、支付时间、支付宝交易号，以及支付宝在付款通知中返回的买家账号标识（已由支付宝脱敏）；同时保存会员权益记录和设备解绑记录。用途：发放会员权益、对账、退款与售后，以及履行法律规定的账簿记录义务。付款在支付宝自己的页面上完成，应用不收集您的银行卡号、支付密码或支付宝账号的登录信息。

2.5 扫码登录与设置同步（可选）

已登录的安卓手机可以扫描电视、平板或电脑上显示的二维码，让那台设备登录同一账号。

· 相机只在扫码界面使用，画面在手机本机识别，不保存、不上传。

· 确认界面有一个「同步」开关（默认开启，可以关闭）。开启时，手机会把它的服务器列表（地址、用户名、密码、访问令牌）、应用设置（包括您填写的第三方接口密钥）、电台列表和自定义服务器图标发给新设备。这些数据在手机上端到端加密（X25519 密钥协商 + AES-256-GCM），我们的服务器只中转它无法解密的密文：对方设备收到后立即清除，未被接收的在二维码 5 分钟有效期结束时清除；扫码登录记录在 1 天内删除。

· 我们的服务器会比较两台设备的公网 IP 地址，在二者不在同一网络时向您显示提醒。

2.6 反馈与举报

当您在「设置 → 反馈与举报」中提交内容时，我们会收集：分类、正文、联系方式（默认填入账号邮箱，可以修改）、应用版本、系统版本与设备型号，可获取时还会附上设备标识哈希值、设备名称和账号 ID。这些信息保存在我们的服务器上，用于处理该工单，并向您返回工单号。您不提交，就不会产生这些信息。

2.7 网络与安全日志

您的设备访问我们的服务器时，服务器会记录 IP 地址和请求时间，用于保障安全、防止滥用和限制请求频率（例如限制验证码发送、登录尝试、设备解绑的次数）。

2.8 只保存在您设备上的信息

以下信息只保存在您的设备上，不会发送给我们：音乐服务器地址与账号密码、播放记录（最多 5000 条，仅用于在本机生成听歌统计和推荐）、播放队列、搜索记录、下载与缓存、曲库快照、您在本机编辑的歌词、应用设置、窗口位置。

调试日志默认关闭，开启后也只保存在内存中，不会上传（您可以手动复制）。安卓版将应用数据排除在系统云备份之外。加密的 .key 配置导出文件只在您主动选择导出时生成，保存在您选择的位置，并用您设置的口令加密。

2.9 我们不做的事

应用不含广告，不集成统计分析、崩溃上报 SDK。检查更新只向 GitHub 或 GitCode 查询最新版本、下载安装包（对方可获得您的 IP 地址），不发送账号、设备标识或其他信息，可在「关于」中关闭自动检查，详见与第三方共享个人信息清单。应用不获取位置、通讯录、电话状态、已安装应用列表，不读取剪贴板，不使用麦克风。

3. 设备权限

安卓版申请的权限及用途如下。所有权限都可以拒绝，拒绝只影响对应的功能。

· 网络（INTERNET）：连接您的音乐服务器和我们的服务器。

· 网络状态（ACCESS_NETWORK_STATE）：感知网络变化，以便选用最合适的服务器地址。

· 前台服务、媒体播放前台服务、保持唤醒（FOREGROUND_SERVICE / FOREGROUND_SERVICE_MEDIA_PLAYBACK / WAKE_LOCK）：后台与锁屏播放。

· 通知（POST_NOTIFICATIONS）：显示播放控制通知。

· 读取音频（READ_MEDIA_AUDIO；安卓 12 及以下为 READ_EXTERNAL_STORAGE）：仅在您添加本地音乐来源时申请，用于扫描设备上的音频文件，扫描在本机完成。

· 所有文件访问（MANAGE_EXTERNAL_STORAGE，安卓 11 及以上）：仅在您添加本地音乐文件夹时说明用途后申请，用于读取音乐文件旁边的封面图片、歌词（.lrc）、CUE 分轨文件和元数据文件，以及在您编辑元数据时把改动写进音乐文件或写成旁边的同名文件、在您整理文件夹时新建 / 重命名 / 移动 / 删除其中的文件。只读写您选择的音乐文件夹，全部在本机完成，不上传；拒绝后仍可扫描和播放音频文件。

· 悬浮窗（SYSTEM_ALERT_WINDOW）：仅在您打开「悬浮歌词」时说明用途后引导您到系统设置手动授权，用于在其它应用上方显示当前歌词；不读取屏幕内容，未授权不影响其它功能。

· 组播（CHANGE_WIFI_MULTICAST_STATE）：仅在「投屏接收」开启时使用（电视 / 车机默认开启，其它设备默认关闭），用于收到同一局域网内手机发来的投屏搜索；无需您授权，不读取其它设备的数据。

· 相机（CAMERA）：仅在您扫码让另一台设备登录时使用。

Windows 与 Linux 版不申请特殊权限；应用读取系统的 MachineId / machine-id，仅用于计算 2.2 所述的设备标识哈希值。

4. 第三方共享与第三方 SDK

除下列情形及法律法规另有规定外，我们不会向任何第三方共享、转让或公开披露您的个人信息，也不会出售您的个人信息。逐项说明见与第三方共享个人信息清单。第三方可能因版本升级、策略调整等原因改变其处理的信息，请以其公示的说明为准。

您自行配置的第三方服务

下列服务只有在您主动设置后才会使用（除特别说明外默认关闭）。数据由您的设备直接发送给对应的服务商，不经过我们，由该服务商按其自身的隐私政策处理：

· 第三方歌词 / 封面接口（LrcApi 协议，地址由您填写，可能包含您自己的密钥）：发送歌曲名、歌手、专辑。

· 歌词翻译（默认关闭；由您选择翻译引擎并填写您自己的密钥，Google 翻译无需密钥）：把歌词文本与目标语言发送给您选择的服务商：百度翻译（fanyi-api.baidu.com）、微软 Azure 翻译、腾讯云机器翻译、彩云小译、华为云机器翻译、Google 翻译、DeepL，或您填写地址的 OpenAI 兼容大模型接口。

· 自定义 DNS（按服务器地址设置，默认关闭；开启后默认使用阿里公共 DNS 的 DoH）：把要解析的域名发送给您选择的解析服务：阿里（dns.alidns.com）、腾讯（doh.pub）、Cloudflare、Google DNS，或 UDP 223.5.5.5 / 119.29.29.29 / 180.76.76.76 / 1.1.1.1 / 8.8.8.8。

· 飞牛 FN Connect（您用 FN ID 添加飞牛服务器时；开启了自动切换地址的会员，在应用启动、网络变化时也会查询）：应用直接向飞牛官方的 FN Connect 服务（fnos.net / 5ddd.com）发送您填写的 FN ID，查询您的飞牛设备当前的访问地址。这是您在使用飞牛自己的服务，与连接您自己的音乐服务器相同。

· 百度网盘（您添加百度网盘音源并授权后）：应用直接访问百度网盘开放平台（pan.baidu.com / d.pcs.baidu.com），读取您网盘「我的应用数据/听澜盒」目录的文件列表与文件内容（用于播放、封面、歌词）以及网盘昵称、会员等级，不访问该目录以外的文件。授权采用设备码方式，由您在手机上扫码或输入授权码确认。授权和令牌续期需经我们的服务器中转：换取令牌要用百度分配给听澜盒的应用密钥，该密钥只在服务器上；服务器把令牌原样交给应用、不保存，只按听澜盒账号记录当日授权次数以防滥用，因此使用百度网盘需要登录听澜盒账号。令牌保存在本机，导出配置或扫码同步时不会带走。您可以随时在百度账号设置中撤销授权，或在应用中删除该音源。

· Emby / Jellyfin 局域网发现：仅当您在添加服务器界面点「扫描」时，在局域网内发送 UDP 广播，数据不会离开局域网。

· 投屏接收（电视 / 车机默认开启，其它设备默认关闭，可在「设置 → 投屏接收」关闭）：开启后，应用在局域网内广播本设备的名称（默认含设备型号或电脑名，可修改）并接收投屏请求。手机投来的歌曲地址、歌名和封面地址只用于在本机播放，投屏结束后不保存，也不会发送给我们；数据不会离开局域网。

· 支付宝收银台页面：在系统浏览器或另一部手机中打开，见上方第 1 项。

5. 管理您的个人信息

5.1 查阅

您可以在「设置 → 账号与会员」查看您的邮箱、会员状态和设备；「设备管理」中列出了已绑定的设备。

5.2 更正

邮箱地址就是您的登录身份。如需使用其他邮箱，可直接用该邮箱登录（一个邮箱对应一个账号）；如果您的账号已绑定鸿蒙版听澜盒账号，可在鸿蒙版应用中更换邮箱；也可以联系我们处理。

5.3 注销账号

您可以在「设置 → 账号与会员 → 注销账号」注销账号（需要再次确认）。注销后，我们会删除您的邮箱、设备记录、登录会话、验证码以及解绑、更换邮箱等记录；会员权益记录做匿名化处理；付款订单按法律要求保留（例如《电子商务法》要求交易记录自交易完成之日起保存不少于三年），期满后删除或匿名化。注销后会员权益随之失效，且不予退款。

5.4 解绑设备

您可以在「设备管理」中解绑设备，每 30 天最多解绑 3 次；被解绑的设备会退出登录。

5.5 退出登录

您可以在「设置 → 账号与会员 → 退出登录」退出本机的登录。

5.6 撤回同意

您可以在「设置 → 关于 → 隐私与协议 → 撤回隐私政策同意」撤回对本政策的同意，详见 1.4。撤回不影响撤回前基于您的同意已进行的处理。

5.7 本机数据

只保存在您设备上的数据，可以通过卸载应用或在系统设置中清除应用存储来删除。

5.8 响应时间

您也可以通过第 10 节的方式联系我们行使上述权利，我们会在 15 个工作日内答复。

6. 存储地点与期限

6.1 我们收集的信息存储在中国大陆境内的服务器上。如您在中国大陆以外使用本应用，您的信息将传输至中国大陆境内的服务器存储和处理。

6.2 我们只在实现处理目的所必需的期限内保存您的信息：账号相关信息保存至您注销账号；付款订单按 5.3 所述期限保存；扫码登录与同步数据按 2.5 所述时限清除；反馈工单与安全日志在处理所需的期限内保存。法律法规另有规定的，从其规定。

6.3 如我们停止运营本应用，将以应用内通知或公告的方式告知您，并删除或匿名化您的个人信息。

7. 信息安全

我们采取以下措施保护您的信息：与我们服务器之间的通信使用 HTTPS 加密；设备标识只以哈希值上传；登录令牌保存在系统安全存储中；扫码同步的数据端到端加密，我们的服务器无法解密。如不幸发生个人信息安全事件，我们会按法律法规的要求及时告知您并采取补救措施。

8. 未成年人

如您是未满 14 周岁的未成年人，请在监护人的同意和指导下使用本应用。我们不会在明知的情况下收集儿童的个人信息；如发现误收集，我们会尽快删除。

9. 本政策的变更

我们可能根据法律法规或产品功能的变化修订本政策，修订后的版本会在本页面公布。发生重大变更时，我们会在应用内以弹窗方式告知您，并再次征求您的同意。

10. 如何联系我们

如您对本政策或您的个人信息有任何疑问、意见或请求，可通过以下方式联系我们，我们会在 15 个工作日内答复：

邮箱：tlntindeng01@gmail.com

如果您对我们的答复不满意，特别是当个人信息处理行为损害了您的合法权益时，您还可以向有管辖权的人民法院提起诉讼，或向行业自律协会、政府相关管理机构投诉。

聽瀾盒私隱政策（Android / 電視 / Windows / Linux 版）

更新日期：2026.10.6

聽瀾盒 是由 鄧順子（以下簡稱「我們」）提供的音樂播放用戶端，用於連接您自己的音樂伺服器（Navidrome / Subsonic、Emby、Jellyfin、飛牛 fnOS 音樂、Audiobookshelf、WebDAV、SMB）、您的百度網盤，或播放您裝置上的本地音樂。本政策說明我們在上述版本中如何收集、使用、儲存、共享和保護您的個人資料，以及您享有的權利。請您在使用前仔細閱讀，特別是加粗的內容。

我們實際收集的資料逐項列於已收集個人資料清單，與第三方共享的情況列於與第三方共享個人資料清單；另請參閱用戶協議與會員服務協議。

1. 基本說明

1.1 播放功能無需註冊或登入即可使用。只有當您選擇登入、購買會員、掃碼登入其他裝置或提交反饋時，我們才會處理下文所述的相應資料。

1.2 我們不提供任何音樂內容。您添加的音樂伺服器由您自行架設或選擇。為完成您發起的操作，應用會把登入憑證、播放上報（scrobble）、收藏、播放進度等資料直接發送至您自己的伺服器，這些資料只發往該伺服器，不會發送給我們。您的伺服器不屬於我們的第三方合作方。

1.3 我們的伺服器為 www.http5.cn，位於中國內地。

1.4 首次啟動時，應用會彈出視窗請您閱讀並同意本政策與用戶協議。在您同意之前，應用不收集本政策所列的任何個人資料，亦不會向我們的伺服器發出任何網絡請求。如您不同意，應用將會退出。之後您可以在「設定 → 關於 → 私隱與協議 → 撤回私隱政策同意」撤回同意：應用隨即退出，下次啟動時會再次徵求您的同意；撤回同意不會刪除您裝置上的本地數據。

2. 我們如何收集和使用您的個人資料

2.1 電郵登入（可選）

當您選擇登入時，需要提供電郵地址，我們會向該電郵發送驗證碼，以確認電郵由您本人持有。電郵地址用於識別您的聽瀾盒帳號，以及發放、查詢會員權益。驗證碼電郵透過阿里雲郵件推送服務發送，發送時會把您的電郵地址和郵件內容（驗證碼）交給該服務。您亦可以不輸入電郵，改用一部已登入的 Android 手機掃碼登入（見 2.5）。不登入就不會收集電郵地址，亦不影響基礎播放功能。

2.2 裝置識別碼（雜湊值）、裝置名稱與平台

在您登入、打開掃碼登入介面、打開會員中心或裝置管理、提交反饋時，應用會處理以下資料：

· 裝置識別碼：Android 讀取 Android ID，Windows 讀取系統的 MachineId（登錄檔 SQMClient 項），Linux 讀取 /etc/machine-id。應用在本機把「固定前綴 + 原始識別碼」計算為 SHA-256 雜湊值，只上傳雜湊值，原始識別碼不會上傳；讀取不到時改用隨機產生的識別碼。

· 裝置名稱：Android 為品牌 + 型號，Windows 為電腦名稱，Linux 為主機名稱。

· 平台：android / tv / windows / linux。

用途：會員的裝置名額管理（每份永久會員包含 5 部裝置名額）、在「裝置管理」中列出您的裝置、解除綁定裝置、簽發離線會員憑證。我們的伺服器按裝置保存：裝置識別碼雜湊值、平台、裝置名稱、首次綁定時間、最近使用時間。

2.3 登入狀態與離線會員憑證

登入後，登入令牌保存在您裝置的系統安全儲存區中（Android 為 Keystore，Windows 為 DPAPI，Linux 為 Secret Service；Linux 上沒有可用的密鑰環時，改為保存在應用的本地設定檔中）。為了讓會員功能在離線時亦可使用，我們的伺服器會簽發一份離線會員憑證保存在您的裝置上，內容包括帳號 ID、裝置識別碼雜湊值、會員狀態與有效期（最長 30 天）。

2.4 購買會員

當您購買會員時，我們會產生並保存訂單資料：訂單號、商品、金額、支付渠道、訂單狀態、支付時間、支付寶交易號，以及支付寶在付款通知中返回的買家帳號識別資料（已由支付寶遮蔽處理）；同時保存會員權益記錄和裝置解除綁定記錄。用途：發放會員權益、對帳、退款與售後，以及履行法律規定的帳簿記錄義務。付款在支付寶自己的頁面上完成，應用不收集您的銀行卡號、支付密碼或支付寶帳號的登入資料。

2.5 掃碼登入與設定同步（可選）

已登入的 Android 手機可以掃描電視、平板或電腦上顯示的二維碼，讓那部裝置登入同一帳號。

· 相機只在掃碼介面使用，畫面在手機本機識別，不保存、不上傳。

· 確認介面有一個「同步」開關（預設開啟，可以關閉）。開啟時，手機會把它的伺服器列表（位址、用戶名稱、密碼、存取令牌）、應用設定（包括您填寫的第三方介面密鑰）、電台列表和自訂伺服器圖示發送給新裝置。這些數據在手機上端對端加密（X25519 密鑰協商 + AES-256-GCM），我們的伺服器只轉送它無法解密的密文：對方裝置收到後立即清除，未被接收的在二維碼 5 分鐘有效期結束時清除；掃碼登入記錄在 1 天內刪除。

· 我們的伺服器會比較兩部裝置的公網 IP 位址，在兩者不在同一網絡時向您顯示提示。

2.6 意見回饋與檢舉

當您在「設定 → 意見回饋與檢舉」中提交內容時，我們會收集：分類、正文、聯絡方式（預設填入帳號電郵，可以修改）、應用版本、系統版本與裝置型號，可取得時還會附上裝置識別碼雜湊值、裝置名稱和帳號 ID。這些資料保存在我們的伺服器上，用於處理該工單，並向您返回工單號。您不提交，就不會產生這些資料。

2.7 網絡與安全日誌

您的裝置存取我們的伺服器時，伺服器會記錄 IP 位址和請求時間，用於保障安全、防止濫用和限制請求頻率（例如限制驗證碼發送、登入嘗試、裝置解除綁定的次數）。

2.8 只保存在您裝置上的資料

以下資料只保存在您的裝置上，不會發送給我們：音樂伺服器位址與帳號密碼、播放記錄（最多 5000 條，僅用於在本機產生聽歌統計和推薦）、播放佇列、搜尋記錄、下載與快取、曲庫快照、您在本機編輯的歌詞、應用設定、視窗位置。

除錯日誌預設關閉，開啟後亦只保存在記憶體中，不會上傳（您可以手動複製）。Android 版將應用數據排除在系統雲端備份之外。加密的 .key 設定匯出檔只在您主動選擇匯出時產生，保存在您選擇的位置，並以您設定的密碼短語加密。

2.9 我們不做的事

應用不含廣告，不整合統計分析、當機報告 SDK。檢查更新只向 GitHub 或 GitCode 查詢最新版本、下載安裝包（對方可取得您的 IP 位址），不發送帳戶、裝置標識或其他資料，可在「關於」中關閉自動檢查，詳見與第三方共享個人資料清單。應用不取得位置、通訊錄、電話狀態、已安裝應用列表，不讀取剪貼簿，不使用咪高峰。

3. 裝置權限

Android 版申請的權限及用途如下。所有權限均可拒絕，拒絕只影響相應的功能。

· 網絡（INTERNET）：連接您的音樂伺服器和我們的伺服器。

· 網絡狀態（ACCESS_NETWORK_STATE）：感知網絡變化，以便選用最合適的伺服器位址。

· 前台服務、媒體播放前台服務、保持喚醒（FOREGROUND_SERVICE / FOREGROUND_SERVICE_MEDIA_PLAYBACK / WAKE_LOCK）：背景與鎖定畫面播放。

· 通知（POST_NOTIFICATIONS）：顯示播放控制通知。

· 讀取音訊（READ_MEDIA_AUDIO；Android 12 及以下為 READ_EXTERNAL_STORAGE）：僅在您添加本地音樂來源時申請，用於掃描裝置上的音訊檔案，掃描在本機完成。

· 所有檔案存取權（MANAGE_EXTERNAL_STORAGE，Android 11 及以上）：僅在您添加本地音樂資料夾時說明用途後申請，用於讀取音樂檔案旁邊的封面圖片、歌詞（.lrc）、CUE 分軌檔案和中繼資料檔案，以及在您編輯中繼資料時把改動寫進音樂檔案或寫成旁邊的同名檔案、在您整理資料夾時新增 / 重新命名 / 移動 / 刪除其中的檔案。只讀寫您選擇的音樂資料夾，全部在本機完成，不上傳；拒絕後仍可掃描和播放音訊檔案。

· 浮動視窗（SYSTEM_ALERT_WINDOW）：僅在您開啟「懸浮歌詞」時說明用途後引導您到系統設定手動授權，用於在其他應用上方顯示目前歌詞；不讀取螢幕內容，未授權不影響其他功能。

· 多點傳送（CHANGE_WIFI_MULTICAST_STATE）：僅在「投屏接收」開啟時使用（電視 / 車機預設開啟，其他裝置預設關閉），用於收到同一區域網絡內手機發來的投屏搜尋；無需您授權，不讀取其他裝置的資料。

· 相機（CAMERA）：僅在您掃碼讓另一部裝置登入時使用。

Windows 與 Linux 版不申請特殊權限；應用讀取系統的 MachineId / machine-id，僅用於計算 2.2 所述的裝置識別碼雜湊值。

4. 第三方共享與第三方 SDK

除下列情形及法律法規另有規定外，我們不會向任何第三方共享、轉讓或公開披露您的個人資料，亦不會出售您的個人資料。逐項說明見與第三方共享個人資料清單。第三方可能因版本升級、策略調整等原因改變其處理的資料，請以其公佈的說明為準。

您自行設定的第三方服務

下列服務只有在您主動設定後才會使用（除特別說明外預設關閉）。數據由您的裝置直接發送給相應的服務商，不經過我們，由該服務商按其自身的私隱政策處理：

· 第三方歌詞 / 封面介面（LrcApi 協定，位址由您填寫，可能包含您自己的密鑰）：發送歌曲名稱、歌手、專輯。

· 歌詞翻譯（預設關閉；由您選擇翻譯引擎並填寫您自己的密鑰，Google 翻譯無需密鑰）：把歌詞文字與目標語言發送給您選擇的服務商：百度翻譯（fanyi-api.baidu.com）、微軟 Azure 翻譯、騰訊雲機器翻譯、彩雲小譯、華為雲機器翻譯、Google 翻譯、DeepL，或您填寫位址的 OpenAI 相容大模型介面。

· 自訂 DNS（按伺服器位址設定，預設關閉；開啟後預設使用阿里公共 DNS 的 DoH）：把要解析的網域名稱發送給您選擇的解析服務：阿里（dns.alidns.com）、騰訊（doh.pub）、Cloudflare、Google DNS，或 UDP 223.5.5.5 / 119.29.29.29 / 180.76.76.76 / 1.1.1.1 / 8.8.8.8。

· 飛牛 FN Connect（您以 FN ID 添加飛牛伺服器時；開啟了自動切換位址的會員，在應用啟動、網絡變化時亦會查詢）：應用直接向飛牛官方的 FN Connect 服務（fnos.net / 5ddd.com）發送您填寫的 FN ID，查詢您的飛牛裝置目前的存取位址。這是您在使用飛牛自身的服務，與連接您自己的音樂伺服器相同。

· 百度網盤（您新增百度網盤音源並授權後）：應用直接存取百度網盤開放平台（pan.baidu.com / d.pcs.baidu.com），讀取您網盤「我的应用数据/听澜盒」目錄的檔案列表與檔案內容（用於播放、封面、歌詞）以及網盤暱稱、會員等級，不存取該目錄以外的檔案。授權採用裝置碼方式，由您在手機上掃碼或輸入授權碼確認。授權及令牌續期需經我們的伺服器中轉：換取令牌要用百度分配給聽瀾盒的應用密鑰，該密鑰只在伺服器上；伺服器把令牌原樣交給應用、不保存，只按聽瀾盒帳號記錄當日授權次數以防濫用，因此使用百度網盤需要登入聽瀾盒帳號。令牌儲存在本機，匯出設定或掃碼同步時不會帶走。您可以隨時在百度帳號設定中撤銷授權，或在應用中刪除該音源。

· Emby / Jellyfin 區域網絡探索：僅當您在添加伺服器介面點「掃描」時，在區域網絡內發送 UDP 廣播，數據不會離開區域網絡。

· 投屏接收（電視 / 車機預設開啟，其他裝置預設關閉，可在「設定 → 投屏接收」關閉）：開啟後，應用在區域網絡內廣播本裝置的名稱（預設含裝置型號或電腦名稱，可修改）並接收投屏請求。手機投來的歌曲位址、歌名和封面位址只用於在本機播放，投屏結束後不保存，也不會發送給我們；數據不會離開區域網絡。

· 支付寶收銀台頁面：在系統瀏覽器或另一部手機中打開，見上方第 1 項。

5. 管理您的個人資料

5.1 查閱

您可以在「設定 → 帳戶與會員」查看您的電郵、會員狀態和裝置；「裝置管理」中列出了已綁定的裝置。

5.2 更正

電郵地址就是您的登入身份。如需使用其他電郵，可直接以該電郵登入（一個電郵對應一個帳號）；如果您的帳號已綁定鴻蒙版聽瀾盒帳號，可在鴻蒙版應用中更換電郵；亦可以聯絡我們處理。

5.3 註銷帳號

您可以在「設定 → 帳戶與會員 → 註銷帳號」註銷帳號（需要再次確認）。註銷後，我們會刪除您的電郵、裝置記錄、登入工作階段、驗證碼以及解除綁定、更換電郵等記錄；會員權益記錄作匿名化處理；付款訂單按法律要求保留（例如中國內地《電子商務法》要求交易記錄自交易完成之日起保存不少於三年），期滿後刪除或匿名化。註銷後會員權益隨之失效，且不予退款。

5.4 解除綁定裝置

您可以在「裝置管理」中解除綁定裝置，每 30 天最多 3 次；被解除綁定的裝置會登出。

5.5 登出

您可以在「設定 → 帳戶與會員 → 登出」登出本機。

5.6 撤回同意

您可以在「設定 → 關於 → 私隱與協議 → 撤回私隱政策同意」撤回對本政策的同意，詳見 1.4。撤回不影響撤回前基於您的同意已進行的處理。

5.7 本機數據

只保存在您裝置上的數據，可以透過解除安裝應用或在系統設定中清除應用儲存空間來刪除。

5.8 回覆時間

您亦可以透過第 10 節的方式聯絡我們行使上述權利，我們會在 15 個工作天內回覆。

6. 儲存地點與期限

6.1 我們收集的資料儲存在中國內地的伺服器上。如您在中國內地以外使用本應用，您的資料將傳輸至中國內地的伺服器儲存和處理。

6.2 我們只在實現處理目的所必需的期限內保存您的資料：帳號相關資料保存至您註銷帳號；付款訂單按 5.3 所述期限保存；掃碼登入與同步數據按 2.5 所述時限清除；反饋工單與安全日誌在處理所需的期限內保存。法律法規另有規定的，從其規定。

6.3 如我們停止營運本應用，將以應用內通知或公告的方式告知您，並刪除或匿名化您的個人資料。

7. 資料安全

我們採取以下措施保護您的資料：與我們伺服器之間的通訊使用 HTTPS 加密；裝置識別碼只以雜湊值上傳；登入令牌保存在系統安全儲存區中；掃碼同步的數據端對端加密，我們的伺服器無法解密。如不幸發生個人資料安全事件，我們會按法律法規的要求及時通知您並採取補救措施。

8. 未成年人

如您是未滿 14 周歲的未成年人，請在監護人的同意和指導下使用本應用。我們不會在明知的情況下收集兒童的個人資料；如發現誤收集，我們會盡快刪除。

9. 本政策的變更

我們可能根據法律法規或產品功能的變化修訂本政策，修訂後的版本會在本頁面公佈。發生重大變更時，我們會在應用內以彈出視窗方式通知您，並再次徵求您的同意。

10. 如何聯絡我們

如您對本政策或您的個人資料有任何疑問、意見或請求，可透過以下方式聯絡我們，我們會在 15 個工作天內回覆：

電郵：tlntindeng01@gmail.com

如果您對我們的回覆不滿意，特別是當個人資料處理行為損害了您的合法權益時，您還可以向有管轄權的法院提起訴訟，或向行業自律組織、相關政府機構投訴。

本繁體中文版本僅供參考，如與簡體中文版本有出入，以簡體中文版本為準。

SonaWave Privacy Policy (Android / TV / Windows / Linux)

Last updated: 2026.10.6

SonaWave is a music player provided by Deng Shunzi ("we", "us"). It connects to your own music servers (Navidrome / Subsonic, Emby, Jellyfin, fnOS Music, Audiobookshelf, WebDAV, SMB) and your Baidu Netdisk, or plays local music on your device. This policy explains how these editions collect, use, store, share and protect your personal information, and what rights you have. Please read it before using the app, especially the parts in bold.

Every item we collect is listed in the List of Personal Information Collected, and sharing with third parties in the List of Personal Information Shared with Third Parties. See also the User Agreement and the Membership Service Agreement.

1. The Basics

1.1 Playback works without registering or signing in. We only process the information described below when you choose to sign in, buy a membership, sign in another device by QR code, or submit feedback.

1.2 We do not provide any music. The music servers you add are set up or chosen by you. To carry out what you ask, the app sends sign-in credentials, play reports (scrobbles), favourites, playback progress and similar data directly to your own server. That data goes only to that server, never to us. Your server is not a third party of ours.

1.3 Our server is www.http5.cn, located in mainland China.

1.4 On first launch the app asks you to read and accept this policy and the User Agreement. Until you accept, the app collects none of the personal information listed here and makes no network requests to our server. If you decline, the app exits. You can later withdraw consent in Settings → About → Privacy & agreements → Withdraw privacy consent: the app exits and asks again on the next launch. Withdrawing consent does not delete local data on your device.

2. How We Collect and Use Your Personal Information

2.1 Email sign-in (optional)

If you choose to sign in, you provide an email address, and we send a verification code to it to confirm that it is yours. The email address identifies your SonaWave account and is used to grant and look up membership. Verification emails are delivered through Alibaba Cloud DirectMail, which receives your email address and the email content (the code). Instead of entering an email, you can also sign in by scanning a QR code with an Android phone that is already signed in (see 2.5). If you never sign in, no email address is collected, and basic playback is unaffected.

2.2 Device identifier (hashed), device name and platform

When you sign in, open the QR sign-in screen, open Membership or Devices, or submit feedback, the app processes the following:

· Device identifier: on Android the Android ID; on Windows the system MachineId (registry key SQMClient); on Linux /etc/machine-id. The app computes, on the device, a SHA-256 hash of a fixed prefix plus that raw ID. Only the hash is sent; the raw ID is never uploaded. If the ID cannot be read, a randomly generated ID is used instead.

· Device name: on Android the brand and model; on Windows the computer name; on Linux the hostname.

· Platform: android / tv / windows / linux.

Purpose: managing membership device seats (each lifetime membership covers 5 devices), listing your devices under Devices, unbinding devices, and issuing the offline membership certificate. For each device our server stores the hash, platform, device name, first binding time and last used time.

2.3 Sign-in session and offline membership certificate

After you sign in, the sign-in tokens are kept in the system's secure storage on your device (Android Keystore, Windows DPAPI, Linux Secret Service; on Linux without an available keyring they fall back to the app's local settings file). So that membership also works offline, our server issues an offline membership certificate that is stored on your device. It contains your account ID, the device identifier hash, your membership status and a validity period of up to 30 days.

2.4 Buying a membership

When you buy a membership we create and keep an order record: order number, product, amount, payment channel, status, payment time, Alipay trade number, and the buyer account identifier that Alipay returns in its payment notification (masked by Alipay). We also keep membership entitlement records and device unbinding records. Purpose: delivering the membership, reconciliation, refunds and after-sales support, and legal bookkeeping obligations. You pay on Alipay's own pages; the app does not collect your bank card number, payment password or Alipay sign-in credentials.

2.5 QR sign-in and settings sync (optional)

An Android phone that is signed in can scan the QR code shown on a TV, tablet or computer to sign that device in to the same account.

· The camera is used only on the scan screen. Frames are recognised on the phone and are never saved or uploaded.

· The confirmation screen has a "Sync" switch (on by default; you can turn it off). If it is on, the phone sends its server list (addresses, usernames, passwords, access tokens), app settings (including any third-party API keys you entered), radio list and custom server icons to the new device. This data is end-to-end encrypted on the phone (X25519 key agreement + AES-256-GCM). Our server only relays ciphertext it cannot decrypt, deletes it as soon as the other device has received it, or when the QR code's 5-minute validity ends if it was never received, and deletes the sign-in record within 1 day.

· Our server compares the public IP addresses of the two devices so it can warn you when they are not on the same network.

2.6 Feedback and reports

When you submit something in Settings → Feedback & report, we collect the category, message, contact details (pre-filled with your account email; you can change it), app version, OS version and device model, and, where available, the device identifier hash, device name and account ID. This is stored on our server to handle the ticket, and we return a ticket number to you. Nothing is produced unless you submit.

2.7 Network and security logs

When your device contacts our server, the server records the IP address and request time for security, abuse prevention and rate limiting (for example, limits on sending codes, sign-in attempts and device unbinding).

2.8 Information kept only on your device

The following stays on your device and is never sent to us: music server addresses and credentials, play history (up to 5,000 entries, used only on the device for listening statistics and recommendations), play queue, search history, downloads and cache, library snapshots, lyrics you edited locally, app settings and window position.

The debug log is off by default; when on, it is kept only in memory and never uploaded (you can copy it yourself). The Android app excludes its data from system cloud backup. An encrypted .key profile export is created only when you choose to export, saved where you choose, and encrypted with the passphrase you set.

2.9 What we do not do

The app has no ads and no analytics or crash-reporting SDK. Update checks only ask GitHub or GitCode for the latest version and download the installer (they can see your IP address); no account, device identifier or other data is sent, and automatic checks can be turned off under About. See the List of Personal Information Shared with Third Parties. The app does not access location, contacts, phone state or the list of installed apps, does not read the clipboard, and does not use the microphone.

3. Device Permissions

The Android app requests the permissions below. You can refuse any of them; refusing only affects the related feature.

· Network (INTERNET): to connect to your music servers and our server.

· Network state (ACCESS_NETWORK_STATE): to detect network changes and pick the best server address.

· Foreground service, media playback foreground service, wake lock (FOREGROUND_SERVICE / FOREGROUND_SERVICE_MEDIA_PLAYBACK / WAKE_LOCK): background and lock-screen playback.

· Notifications (POST_NOTIFICATIONS): the playback control notification.

· Read audio (READ_MEDIA_AUDIO; READ_EXTERNAL_STORAGE on Android 12 and below): requested only when you add a local music source, to scan audio files on the device; scanning happens on the device.

· All files access (MANAGE_EXTERNAL_STORAGE, Android 11 and above): requested, after explaining why, only when you add a local music folder. It lets the app read the cover images, lyrics (.lrc), CUE sheets and metadata files next to your music, save your metadata edits into the music files or as same-name files next to them, and create / rename / move / delete files when you organize folders. Only the music folders you choose are read or written, all on the device, nothing is uploaded; if you refuse, audio files can still be scanned and played.

· Display over other apps (SYSTEM_ALERT_WINDOW): only when you turn on floating lyrics, after explaining why, the app takes you to system settings to grant it yourself. It is used to show the current lyric line above other apps; screen content is never read, and other features work without it.

· Multicast (CHANGE_WIFI_MULTICAST_STATE): used only while "Cast receiver" is on (on by default on TVs / car units, off on other devices), to receive cast searches from phones on the same local network. It needs no grant from you and reads no data from other devices.

· Camera (CAMERA): only when you scan a QR code to sign in another device.

The Windows and Linux apps request no special permissions. They read the system MachineId / machine-id only to compute the hashed device identifier described in 2.2.

4. Third-Party Sharing and SDKs

Apart from the cases below and where the law requires otherwise, we do not share, transfer or publicly disclose your personal information to any third party, and we never sell it. Item-by-item details are in the List of Personal Information Shared with Third Parties. Third parties may change the data they process through version upgrades or policy changes; their own published statements prevail.

Third-party services you configure yourself

The services below are used only after you set them up (off by default unless noted). Data goes directly from your device to that provider, not through us, and is handled under the provider's own privacy policy:

· Third-party lyrics / cover API (LrcApi protocol, at an address you enter, which may include your own key): song title, artist, album.

· Lyrics translation (off by default; you pick an engine and enter your own key; Google needs no key): lyric text and target language are sent to the provider you choose: Baidu Translate (fanyi-api.baidu.com), Microsoft Azure Translator, Tencent Cloud Machine Translation, Caiyun Xiaoyi, Huawei Cloud Machine Translation, Google Translate, DeepL, or an OpenAI-compatible large-model API at an address you enter.

· Custom DNS (per server address, off by default; when enabled the default is Alibaba public DNS over HTTPS): the domain name being resolved is sent to the resolver you choose: Alibaba (dns.alidns.com), Tencent (doh.pub), Cloudflare, Google DNS, or UDP 223.5.5.5 / 119.29.29.29 / 180.76.76.76 / 1.1.1.1 / 8.8.8.8.

· fnOS FN Connect (when you add a fnOS server by its FN ID; for members with automatic address switching, also at launch and when the network changes): the app sends the FN ID you entered directly to fnOS's own FN Connect service (fnos.net / 5ddd.com) to look up your fnOS device's current address. This is you using fnOS's own service, the same as connecting to your own music server.

· Baidu Netdisk (after you add Baidu Netdisk as a source and authorize it): the app connects directly to the Baidu Netdisk Open Platform (pan.baidu.com / d.pcs.baidu.com) and reads the file list and file contents (for playback, covers and lyrics) of the "我的应用数据/听澜盒" (My App Data) folder in your netdisk, plus your netdisk nickname and membership level. Nothing outside that folder is accessed. Authorization uses a device code that you confirm on your phone by scanning or entering a code. Authorization and token renewal pass through our server, because obtaining a token needs the app secret Baidu issued to SonaWave, which is kept only on the server. The server hands the token to the app as-is and does not store it; it only counts authorizations per SonaWave account per day to prevent abuse, so using Baidu Netdisk requires a SonaWave account. Tokens are stored on your device and are not included in config exports or QR sync. You can revoke the authorization at any time in your Baidu account settings, or delete the source in the app.

· Emby / Jellyfin LAN discovery: only when you tap "Scan" on the add-server screen; a UDP broadcast inside your local network, and nothing leaves the LAN.

· Cast receiver (on by default on TVs / car units, off on other devices; turn it off in Settings → Cast receiver): while on, the app announces this device's name on your local network (by default it includes the device model or computer name; you can change it) and accepts cast requests. The song address, title and cover address a phone casts are only used to play on this device, are not kept after casting ends and are never sent to us; nothing leaves the LAN.

· Alipay cashier pages: opened in your system browser or on another phone; see item 1 above.

5. Managing Your Personal Information

5.1 Access

Settings → Account & membership shows your email, membership status and devices; Devices lists the devices bound to your account.

5.2 Correction

Your email address is your sign-in identity. To use a different email, sign in with that email (one email is one account). If your account is bound to a HarmonyOS SonaWave account, you can change the email in the HarmonyOS app. You can also contact us.

5.3 Deleting your account

Go to Settings → Account & membership → Delete account (you will be asked to confirm). We then delete your email, device records, sessions, verification codes, and unbinding and email-change records; membership records are anonymised; payment orders are retained as the law requires (for example, China's E-Commerce Law requires transaction records to be kept for at least three years from completion of the transaction) and are then deleted or anonymised. Deleting your account ends your membership, and it is not refunded.

5.4 Unbinding a device

You can unbind devices under Devices, up to 3 times every 30 days. The unbound device is signed out.

5.5 Signing out

Settings → Account & membership → Sign out signs this device out.

5.6 Withdrawing consent

Settings → About → Privacy & agreements → Withdraw privacy consent withdraws your consent to this policy; see 1.4. Withdrawal does not affect processing carried out on the basis of your consent before it was withdrawn.

5.7 Data on your device

Data kept only on your device can be removed by uninstalling the app or clearing its storage in system settings.

5.8 Response time

You can also exercise these rights by contacting us as described in Section 10. We reply within 15 working days.

6. Where and How Long We Store Information

6.1 The information we collect is stored on servers in mainland China. If you use the app outside mainland China, your information is transferred to and processed on servers in mainland China.

6.2 We keep information only as long as necessary for its purpose: account data until you delete your account; payment orders for the period described in 5.3; QR sign-in and sync data is cleared as described in 2.5; feedback tickets and security logs for as long as needed to handle them. Where laws or regulations require otherwise, they prevail.

6.3 If we stop operating the app, we will tell you by an in-app notice or announcement and delete or anonymise your personal information.

7. Security

We protect your information as follows: traffic to our server is encrypted with HTTPS; device identifiers are uploaded only as hashes; sign-in tokens are kept in system secure storage; QR sync data is end-to-end encrypted and our server cannot decrypt it. If a personal information security incident occurs, we will notify you and take remedial action as required by law.

8. Minors

If you are under 14, please use the app only with the consent and guidance of your guardian. We do not knowingly collect personal information from children; if we find that we have, we will delete it promptly.

9. Changes to This Policy

We may revise this policy as laws or the app's features change, and will publish the revised version on this page. For material changes we will notify you through an in-app dialog and ask for your consent again.

10. How to Contact Us

If you have any questions, comments or requests about this policy or your personal information, contact us as below. We reply within 15 working days.

Email: tlntindeng01@gmail.com

If you are not satisfied with our reply, especially where our processing of personal information has harmed your lawful rights and interests, you may also file a lawsuit with a court with jurisdiction, or complain to an industry self-regulatory body or the relevant government authority.

This English version is provided for convenience. If it differs from the Simplified Chinese version, the Simplified Chinese version prevails.