云听音乐隐私政策

1. 概览

云听音乐是一款面向 iPhone、iPad 和 Apple TV 的本地优先个人音乐播放器，用于播放你自己的音频文件。App 可以连接你主动选择的存储位置，包括 Google Drive、OneDrive、百度网盘、光鸭网盘、夸克网盘、Navidrome、Subsonic、飞牛音乐、WebDAV、SMB、FTP 和 Wi-Fi 传歌。云听音乐不提供音乐曲库、公开音乐分享平台、广告系统、分析 SDK 或开发者运营的云端存储服务。

各平台支持的来源和功能可能不同。Wi-Fi 传歌和系统照片选择器仅在支持的设备上提供。

2. 在设备上处理的数据

App 可能在本机处理存储账号配置、OAuth 令牌、服务器地址、用户名、密码、资料库索引、文件名、路径、文件大小、修改时间、艺人、专辑、类型、歌单、收藏、歌词、封面、播放队列、播放状态、缓存记录、下载内容和 Wi-Fi 传歌文件。使用敏感凭证的场景会通过系统 Keychain 本地保存。资料库元数据、缓存和下载文件保存在 App 沙盒中。

如果你通过系统照片选择器选择封面或其他图片，云听音乐只读取你明确选择的项目。App 也可能读取 App 沙盒占用空间和设备可用空间，用于显示缓存/下载占用，并在空间不足时避免继续下载。

仅在你主动启用 iCloud 同步并确认同步说明后，云听音乐才会通过你的私有 iCloud 账号同步支持音源的配置、选定文件和文件夹的标识或路径、第 5 节所述凭据，以及在 App 内创建的个人歌单、歌单中的歌曲引用和顺序。

歌曲信息修改（如标题、艺人、专辑）和自定义封面仅保留在本机，不通过 iCloud 同步。音频文件、下载、缓存、收藏、播放历史、播放状态、通用设置、设备筛选、索引游标以及由服务器管理的歌单不会由此功能上传。

3. 第三方服务与局域网访问

连接 Google Drive 时，云听音乐请求 https://www.googleapis.com/auth/drive.readonly、openid、profile 和 email。App 使用这些权限读取你选择的 Google Drive 文件，并在 App 内显示所选 Google 账号。

连接 OneDrive 时，云听音乐请求 offline_access、Files.Read 和 User.Read。连接百度网盘时，云听音乐使用服务方的 basic 和 netdisk 范围。这些登录都是可选的存储连接，不用于创建云听音乐账号。

使用 WebDAV、SMB、FTP、Navidrome、Subsonic、飞牛音乐或 Wi-Fi 传歌时，数据会在你的设备与你选择的服务器、电脑或浏览器之间传输。FTP 是未加密协议，请只在可信网络中使用。

光鸭网盘登录

当你连接光鸭网盘时，登录所需的手机号、短信验证码和验证会话信息会由设备直接发送给光鸭。如果使用光鸭官方登录页，你在页面中输入的信息由光鸭及其采用的人机验证服务处理。内嵌登录浏览器使用临时网站存储（包括 Cookie），而非持久浏览器会话。

登录成功并完成账号校验后，云听音乐将签发的访问令牌和可用刷新令牌保存在系统 Keychain 中，将过期信息与账号资料保存在 App 本地存储中。App 会读取光鸭账号标识、昵称和头像地址，用于识别和显示该连接。发往 account.guangyapan.com 和 api.guangyapan.com 的请求会携带本地保存的随机生成设备标识及客户端、请求头信息，用于登录、安全校验、刷新令牌、查询账号和访问文件。退出登录会清除该连接的本地令牌；随机生成的服务设备标识可能仍保留在 App 设置中。这些登录属于可选的存储连接，不用于创建云听音乐账号。凭据同步见第 5 节。

可选的 LRCLIB 歌词服务

LRCLIB 是实验性在线歌词服务，默认关闭。只有你在设置中主动启用后，当音源提供的歌词、本地歌词或内嵌歌词不可用时，云听音乐才可能通过 HTTPS 将歌曲标题、艺人，以及可用的专辑名称和时长直接发送给 lrclib.net，以查找歌词。查询可能发生在播放、锁屏歌词加载或歌词下载时。请求的 User-Agent 包含 App 名称和版本，服务方也能看到连接的 IP 地址。这些歌词请求不包含音频文件、封面、文件路径或存储账号凭据。

匹配到的歌词可能缓存在本机。你可以随时在设置中关闭 LRCLIB；关闭后会停止 LRCLIB 请求，并停止使用其缓存歌词。服务方根据其自身条款和政策处理请求。详情参见 LRCLIB 文档。

飞牛音乐连接

连接飞牛音乐时，云听音乐直接访问你提供的 NAS 或服务器地址。登录请求包含用户名、密码的 SHA-256 值，以及为该连接随机生成并保存在本机的设备标识。

密码保存在系统 Keychain 中；服务器地址、用户名和连接设置保存在本机。这些信息用于登录并访问你的曲库、歌单、封面和歌词。

可选的 ListenBrainz 收听记录

ListenBrainz 为可选功能，默认关闭。连接账号不会自动开启上报。连接时，用户令牌会直接发送给 ListenBrainz 以验证账号，并与账号名一起保存在本机 Keychain 中，不通过 iCloud 同步。启用上报后，该令牌也用于验证上报请求。

主动启用后，云听音乐会发送之后新开始播放歌曲的正在播放信息和符合条件的收听记录，不导入已有本地历史。请求通过 HTTPS 发送，包含歌曲标题、艺术家、可选的专辑和时长、收听记录的开始播放时间，以及 NetMusic 客户端名称和版本。服务方也能看到连接的 IP 地址。请求不包含音频文件、文件路径或存储服务器地址。

ListenBrainz 的收听历史是公开的。待发送记录及所属账号保存在本机，供稍后重试。

ListenBrainz 根据其服务条款和 MetaBrainz 隐私政策处理这些请求。

ListenBrainz 听歌统计

在 iPhone 和 iPad 上启用 ListenBrainz 后，听歌统计还会展示该账号公开的本周、本月和本年统计。HTTPS 请求包含账号名，不附带用户令牌。统计缓存在本机供离线查看，不通过 iCloud 同步。

本地原始收听记录会保留；关闭 ListenBrainz 后恢复本地统计展示。更换账号或断开连接会清除本机的远端统计缓存。

4. 开发者接收的数据

云听音乐不会把你的文件、资料库、播放记录、账号凭证、OAuth 令牌、存储标识或设备标识发送到开发者运营的服务器。云听音乐不出售个人数据，不跨 App 或网站追踪用户，不把数据用于广告，不进行数据经纪，不基于数据做信用或资格判断，也不会使用用户数据训练 AI 模型。

5. 共享与服务提供方

云听音乐只会在你主动使用某项功能所必需的范围内传输数据。例如，OAuth 和文件请求会发送给你连接的存储服务方，局域网流量会发送给你选择的服务器或浏览器。第三方服务方会按照其自身条款和隐私政策处理数据。云听音乐不会把你的数据出租或出售给广告商、分析服务商或数据经纪商。

在启用 iCloud 同步并确认说明后，允许同步的内容会直接传输到你的 Apple 账号下的 CloudKit 私有数据库。WebDAV、SMB、FTP、Navidrome、Subsonic 和飞牛音乐的用户名与密码，以及百度网盘（Baidu Netdisk）、Google Drive、OneDrive 和光鸭网盘的访问令牌、可用的刷新令牌及过期信息，会通过 CloudKit 记录的加密字段传输，并与匹配的来源和凭据版本绑定。Apple TV 将恢复的凭据保存在本机系统 Keychain 中。仅在 Apple TV 上输入或刷新的凭据不会通过此机制上传。

对于夸克网盘，通过 CloudKit 记录加密字段传输的授权资料还包括访问令牌、刷新令牌、可用的客户端令牌、账号及授权设备标识，以及令牌有效期和更新时间信息。夸克凭据缓存在本机系统 Keychain 中，并通过 CloudKit 在其他设备恢复，不通过 iCloud Keychain 同步。

此凭据同步用于让登录同一 Apple 账号的设备（包括 Apple TV）恢复你已授权的存储连接并访问音乐。它不会传输你的网盘账号登录密码，也不会将音频文件上传到 iCloud。

在支持的平台上，其他受支持的长期凭据（包括光鸭网盘令牌）也会使用 iCloud Keychain。Apple TV 通过 CloudKit 加密字段接收受支持的凭据。访问仍取决于授权有效性：Google Drive、OneDrive 和光鸭网盘可在支持时刷新令牌；当前百度网盘登录在授权过期后，需要在 iPhone 或 iPad 上重新授权并同步。开发者不运营中转同步服务器，也不能通过云听音乐的服务器读取这些内容。

6. Google API Services 用户数据政策

云听音乐对从 Google API 获得的信息的使用和转移遵守 Google API Services User Data Policy，包括 Limited Use 要求。Google 用户数据只用于用户可见的存储浏览、播放、下载/缓存、账号显示，以及经你同意后通过第 5 节所述 iCloud 同步恢复跨设备连接，不会用于广告、画像、转售或其他未披露目的。

7. 权限用途

本地网络权限用于发现和连接用户配置的 SMB、WebDAV、FTP、Navidrome、Subsonic 和飞牛音乐服务，并在局域网中提供 Wi-Fi 传歌网页。后台音频用于在 App 进入后台或设备锁屏时继续播放。照片选择器只用于你主动选择的图片。

8. 保留、控制与删除

你可以在 App 内移除存储账号、退出登录、清理缓存、删除下载内容、删除 Wi-Fi 传歌文件和移除资料库条目。移除账号会清除该连接的本地凭证，但不会删除第三方存储服务中的文件。你也可以在相应服务方的账号设置中撤销 OAuth 访问权限。

对于 iCloud 同步，你可以仅在当前设备关闭同步，而不删除云端内容；也可以通过 App 内的二次确认删除 iCloud 中的同步内容与同步型 Keychain 凭证。执行全局删除时，本设备上的音乐和其他本地内容会保留。iCloud 中会保留一个不含音乐、来源、凭证、歌单或元数据内容的最小重置标记，唯一用途是阻止仍离线的旧设备重新建立已删除的数据集。

卸载 App 会从设备中移除 App 沙盒数据；Keychain 和 iCloud 中数据的保留与同步还受你的 Apple 账号和系统设置控制。你可以在卸载 App 前使用 App 内的全局删除操作移除同步内容与同步凭证。

在 Apple TV 上关闭同步只会停止此设备的同步，不会删除已存入 iCloud 的凭据。如需删除同步数据集，请使用 iPhone 或 iPad 的 iCloud 同步设置中的全局删除功能。这包括 CloudKit 加密字段中的服务器密码、网盘授权令牌及已同步的 Keychain 凭据，本地音乐会保留。Apple 根据其隐私政策和你的账户设置处理 iCloud 数据。

关闭 ListenBrainz 会停止上报并清除待发送记录；断开连接还会删除本机保存的账号和令牌。这些操作不会删除 ListenBrainz 已保存的公开历史，请通过 ListenBrainz 管理或删除。

云听音乐不直接上报 Navidrome 歌曲，包括已下载或缓存的歌曲。Navidrome 服务器中配置的 ListenBrainz 上报需要单独管理，云听音乐的开关不会控制服务器设置。

9. 未成年人

云听音乐面向一般用户，不专门面向儿童。我们不会有意收集儿童个人信息。

10. 联系方式

如需隐私咨询、支持或数据删除协助，请通过 [email protected] 联系云听音乐维护者。