HomeGlance 隐私政策
一句话版本：你的视频、音频、录像、快照和时间线永远不会上传到我们的服务器，它们只存在你自己的设备上。 我们的服务器只保存让两台设备互相找到对方所需要的最少信息：Apple 用户标识、设备标识、你给摄像头起的名字、运行状态、推送令牌， 以及用于生成推送通知的在场事件（含小尺寸缩略图，7 天后自动删除）。我们不做任何分析、广告或跟踪。
1. 我们收集哪些数据，为什么
| 数据 | 用途 | 保存时长 |
|---|---|---|
| Apple 用户标识（Sign in with Apple 返回的用户 ID） | 标识你的账号，把摄像头归属到账号 | 账号存续期间 |
| 电子邮箱（仅当你在 Apple 登录时选择分享；可能是 Apple 提供的私密转发地址） | 必要时就账号问题与你联系 | 账号存续期间 |
| 设备标识（App 生成的设备 ID、私有网络中的主机名与内网 IP） | 把设备归入你的账号，建立设备之间的加密连接 | 直到该设备被删除 |
| 设备型号、系统版本、App 版本 | 兼容性与故障排查 | 直到该设备被删除 |
| 摄像头名称（你自己起的名字） | 在观看端界面和通知标题里显示 | 直到该摄像头被删除 |
| 运行状态心跳：电量与是否充电、设备热状态、当前是否检测到人、最后一次上报时间（约每 60 秒一次） | 显示在线 / 离线状态，发送「摄像头已离线」提醒 | 只保留最新一次的值 |
| 推送令牌（APNs token）、推送环境、App 版本 | 把通知发到你的观看端设备 | 直到设备被删除或令牌失效 |
| 在场事件：类型（有人出现 / 人离开）、时间戳，以及可选的一张小尺寸缩略图（JPEG，不超过 64 KB） | 生成推送通知，并让通知里能显示缩略图 | 7 天后自动删除 |
| 会话令牌、摄像头令牌、配对令牌 | 验证请求来自你的设备 | 只保存 SHA-256 哈希，不保存原值 |
服务器还会产生常规的访问日志（例如请求时间、接口路径、IP 地址），用于排查故障和防止滥用，最多保留 90 天后自动删除。
2. 我们不收集什么
- 视频与音频：实时画面和对讲声音在你的两台设备之间直接传输，我们没有任何方式查看或录制。
- 录像文件：检测到人时录制的片段保存在摄像头手机本地，只有你的观看端能通过加密连接读取。
- 时间线：在场时间段的数据库保存在摄像头手机本地。
- 快照：观看端保存到相册的快照只在你的手机上。
- 我们不收集位置、通讯录、日历、照片库内容、健康数据，也不使用广告标识符（IDFA）。
在场检测只判断画面里「有没有人」，不做人脸识别，不识别身份，检测过程完全在摄像头手机本机完成。
3. 设备之间如何连接
HomeGlance 在 App 内嵌了 WireGuard，两台设备组成一个只属于你账号的私有网络。加密所用的私钥始终保存在设备上，不会离开设备； 我们的控制服务器只分发公钥和节点信息，用来让设备互相找到对方。
- 直连：两台设备直接建立加密连接，数据不经过任何第三方。
- 中转：网络环境无法打通直连时，加密数据包会经由我们运营的中转服务器转发。中转服务器只看到密文，运营者无法解密你的画面或声音。
控制服务器、后端接口和中转服务器均由我们自建，托管在中国上海。它们不保存视频或音频内容。
4. App 请求的权限
| 权限 | 用途 |
|---|---|
| 相机 | 摄像头模式：采集画面并做本机人体检测；观看模式：扫描配对二维码 |
| 麦克风 | 双向对讲与实时音频 |
| 本地网络 | 在同一局域网内发现并直连另一台设备 |
| 照片（仅添加） | 观看端把快照保存到你的相册 |
| 通知 | 接收事件与离线提醒；摄像头端在被切到后台时提醒你把它切回前台 |
5. 第三方
- Apple：Sign in with Apple 用于登录；Apple 推送通知服务（APNs）用于把通知送到你的设备。通知内容包含摄像头名称、事件类型、时间，以及一个用于下载缩略图的一次性链接。
- 没有分析 SDK，没有崩溃统计第三方，没有广告，没有跨 App 或跨网站跟踪。
- 我们不会把你的数据出售、出租或共享给第三方；只有在法律明确要求时才会披露。
6. App Store 隐私标签对照
| 类别 | 内容 |
|---|---|
| 与你关联的数据（Data Linked to You） |
标识符：Apple 用户 ID、设备 ID 用户内容：摄像头名称、在场事件缩略图（保留 7 天） 联系信息：电子邮箱（仅当你通过 Apple 登录时选择分享） 诊断：性能数据（电量、热状态）、其他诊断数据（设备型号、系统版本、App 版本、在线与在场标记） |
| 不与你关联的数据（Data Not Linked to You） | 无 |
| 用于跟踪你的数据（Data Used to Track You） | 无 |
7. 保留与删除
- 删除一个摄像头：在观看端的摄像头设置页选择解绑。服务器会删除该摄像头的记录、它在私有网络中的节点，并作废相关令牌。该摄像头会回到未配对状态。
- 删除账号：在 App 的账号页选择「删除账号」。服务器会删除你的账号、名下所有设备记录、推送令牌、尚未过期的事件与缩略图，以及全部网络节点。此操作不可恢复。
- 设备上的数据：录像和时间线保存在摄像头手机本地，可以在摄像头端的设置页清理，或直接删除 App。
- 在场事件缩略图无论如何都会在 7 天后从服务器自动删除。
8. 安全
- 与服务器之间的全部通信使用 TLS。
- 设备之间的通信使用 WireGuard 加密，密钥不离开设备。
- 令牌在数据库中只保存哈希值。配对密钥 10 分钟有效，入网密钥一次性、15 分钟有效。
- 访问控制保证：同一账号的观看端只能访问同一账号的摄像头，跨账号不可见，观看端之间也不互通。
没有任何系统能保证绝对安全，但我们会把服务器上保存的数据控制在尽可能少的范围内。
9. 儿童
HomeGlance 不面向 13 岁以下儿童，也不会在知情的情况下收集儿童的个人信息。如果你认为我们意外收到了儿童的信息，请联系我们删除。
10. 你的责任
摄像头会拍摄它所朝向的空间。请遵守你所在地区关于录像和录音的法律，在拍摄他人可能出现的场所取得必要的同意，不要把摄像头对准他人的私密空间。
11. 你的权利
你可以随时通过 App 查看账号下的设备、修改摄像头名称、删除单个摄像头或删除整个账号。 如果你需要一份服务器上与你账号相关的数据副本，或有其它数据方面的请求，请写邮件给我们。
12. 政策变更
本政策如有更新，我们会修改本页并更新顶部的生效日期。涉及重大变更时会在 App 内提示。
13. 联系我们
Yang Cao · homeglance [at] defg.uk