楊桃播放器
繁體中文

隱私權政策

最後更新於

簡短版

  • 楊桃播放器應用程式沒有帳號、沒有廣告，自己也沒有分析統計和當機回報（投放按鈕裡 Google 的軟體，見下文，是 Google 的）。你的來源、觀看紀錄和設定都保存在你的裝置上，除非你開啟同步，見下文。當你用手機填寫電視上的表單，或用手機讓電視登入雲端硬碟時，經過我們服務的內容都經過加密，我們無法讀取。
  • 如果你開啟同步（Pro 的一部分），同步的內容（觀看紀錄、播放進度、待看清單、最近搜尋、來源，以及你選擇的其他內容）會在你的裝置上用只有它們持有的金鑰加密，我們的同步伺服器保存它卻無法讀取，包括我們在內，任何人都無法解密。伺服器能看到的是你的授權 ID、你的裝置什麼時候從哪個位址同步，以及你大約保存了多少內容，詳見同步一節。
  • 如果你從未購買 Pro，除了我們的網站透過 Google Analytics 蒐集的造訪次數和下載次數（見下文）之外，我們不持有任何關於你的資訊。
  • 你自己檔案的媒體庫，或來源沒有提供海報或沒有提供簡介的作品，查找海報和簡介時，應用程式只會將它從檔案名稱（或旁邊的 .nfo 檔案）讀出的片名和年份傳送給我們的授權服務，絕不傳送檔案名稱本身；授權服務會代你向 TheTVDB 查詢，不保存任何關於誰查詢的資訊。如果你為應用程式提供自己的 TMDB 金鑰，它會改用這個金鑰直接從你的裝置向 TMDB 查詢，什麼都不經過我們的服務。你可以為每個來源關閉這項功能。
  • 播放的內容如果來源沒有標出片頭或片尾，應用程式會直接從你的裝置向 TheIntroDB 查詢它們在哪裡，只傳送這部作品在公開資料庫裡的編號、季和集、影片長度，以及應用程式的名稱和版本。你可以在播放器設定裡關閉這項功能。
  • 如果你在 Android 上開始免費試用，我們會保存你裝置 ID 的單向雜湊值，它絕不會與任何電子郵件地址或你本人連結，僅用於讓每台裝置只能試用一次。
  • 如果你購買 Pro，我們會保存你的電子郵件地址、你的授權以及你使用該授權的裝置，以便授權正常運作，並讓你能夠管理它。Stripe 代我們處理付款；我們絕不會看到你完整的卡號。
  • 如果你在 iPhone 或 iPad 上透過 App Store 購買 Pro，付款由 Apple 處理。我們取得的是 Apple 對這筆購買的簽署紀錄，而非你的姓名或電子郵件地址。如果你之後在應用程式中為它新增你的電子郵件，我們會如同對待任何買家一樣保存該地址。
  • 你可以寄信至 support@yonto.app，要求我們提供你的資料副本，或刪除你的資料。

我們是誰

楊桃播放器由一位紐西蘭的個人獨資經營者以 Yonto（楊桃）的名義開發及銷售；該經營者依本政策對你的資料負責。聯絡方式：support@yonto.app。

應用程式

保存在你裝置上的資訊。你的來源及其登入資訊、外掛、觀看紀錄、最近搜尋、播放進度、PIN 碼鎖和你的設定，只儲存在你的裝置上，除非你開啟同步，見下文。它們不會備份到我們這裡，無論是否同步，我們都看不到。為你的檔案查到的海報和簡介會隨來源保存在你的裝置上，並在來源刪除時一併刪除。服務對這些查詢的回答（一部作品的詳情，不含是哪個來源問的）會在你的裝置上最多使用 30 天，並隨新的回答清理，這樣另一個來源或重新加入的來源就不必再問一次。TheIntroDB 提供的片頭和片尾位置會在你的裝置上保存一週，沒有查到時保存一天，清除快取會刪除它們。在 Android 手機或平板、iPhone 或 iPad 上，下載的檔案和你從中下載的來源提供的完全一樣，例如你自己的 Jellyfin、Emby 或 Plex 伺服器、WebDAV 資料夾、雲端硬碟或外掛做的來源，海報和字幕一併放在旁邊，儲存在楊桃播放器自己在裝置上的儲存空間裡；在 iPhone 和 iPad 上，這個儲存空間不會進入 iCloud 和電腦備份。它們和播放時一樣從來源播放它們的地方取得，關於它們的任何資訊都不會傳給我們。它們不會被備份或同步；你移除它們、刪除它們的來源、解除安裝應用程式或清除應用程式資料時，它們都會被刪除。你離線播放的影片看到哪裡，會儲存在裝置上，等可以傳送時再傳給它的伺服器。這些資訊只會在下列情況離開你的裝置：你用手機將來源，或倉庫、外掛的網址傳送到電視時，你用手機讓電視登入雲端硬碟時，以及開啟同步後以加密形式同步時，詳見下文。你看到哪裡也會傳給你新增的伺服器，除非你為它關掉，見下一個清單。

應用程式會傳送什麼，以及傳送給誰。

  • 傳送給你新增的來源。楊桃播放器會與你新增的媒體伺服器、外掛和倉庫通訊，以便瀏覽及播放其中的內容。對於支援的伺服器，它還會把你看了什麼、停在哪裡告訴伺服器，並讀取伺服器自己的已觀看標記和續播位置，除非你為這個來源關掉它。從 Jellyfin、Plex 或 Emby 伺服器播放時，它還會告訴伺服器這台裝置能播什麼（影片和聲音格式、每種能解的最大畫面，以及螢幕能顯示的 HDR 格式），好讓伺服器轉換裝置播不了的內容，除非你為這個來源關掉它。它們會收到並保留什麼，取決於它們自己及其各自的隱私權政策。
  • 檢查更新。楊桃播放器會向 GitHub 詢問最新的版本。除了任何網路請求都會帶有的資訊（例如你的 IP 位址）之外，這個請求不包含任何關於你的資訊。
  • 播放示範媒體庫。其中的短片是 player.yonto.app 上的一般檔案，因此播放時會向網站請求該檔案。除了任何網路請求都會帶有的資訊（例如你的 IP 位址）之外，這個請求不包含任何關於你的資訊。
  • 傳送給授權服務，以顯示 Pro 的價格。在網站有銷售 Pro 的地區，應用程式會在啟動時、你開啟 Yonto Pro 時，以及你的操作需要 Pro 時，顯示 Pro 的價格。為了顯示價格，它會向授權服務查詢目前的優惠，並傳送應用程式首次開啟的日期、它執行的平台（例如 Android TV 或 Mac）以及它的版本。授權服務會使用離線資料庫，從請求的 IP 位址判斷請求來自哪個國家或地區，並僅將這項資訊和上述資料用於選擇要顯示哪個優惠。這些資訊都不會被記錄，也不會與你或你的裝置連結，並會在優惠傳送後立即捨棄；與傳送給授權服務的每個請求一樣，唯一保留的是你 IP 位址的帶金鑰雜湊值，保留約一分鐘，用於限制請求頻率。IP 地理定位由 DB-IP 提供，依 CC BY 4.0 授權使用。
  • 傳送給授權服務，以查找你的檔案的海報和簡介。你自己檔案的媒體庫（一個資料夾、USB 隨身碟、NAS 共用資料夾或雲端硬碟）會為檔案本身沒有描述的每部電影和影集查找海報、簡介、年份、類型及其他資料庫的 ID，除非你在該來源的設定中關閉在線上查找海報和簡介。每部作品會傳送它從檔案名稱和資料夾名稱（或影片旁的 .nfo 檔案）讀出的片名和年份、是電影還是影集、有時為了區分兩部同名影集而傳送的季數和集數、影集配對成功後它每一季的季數（連同服務自己給它的編號，用來數每季有多少集）、影片旁 .nfo 檔案、或檔案名稱和資料夾名稱（例如 {tmdb-603}）提供的 IMDb 或 TMDB ID、應用程式的語言，以及應用程式專為此建立的一個隨機識別碼；它不是你的裝置識別碼，也不與你的授權連結。它絕不傳送檔案名稱、資料夾、路徑或伺服器位址。作品頁面上的標題不對？會以相同方式傳送你在搜尋框中輸入的內容。不是你自己檔案的來源（網站、媒體伺服器或片單）會以相同方式查詢一個片名，但只在該作品的頁面缺少來源提供的海報或簡介時，或它在觀看紀錄或待看清單裡的卡片在這台裝置上沒有圖片時（例如同步從另一台裝置帶來的）才查：傳送來源給出的片名和年份，來源提供 IMDb 或 TMDB 編號時也一併傳送；你可以在該來源的設定中關閉在線上查找海報和簡介。只有在有這個來源的裝置上、並且依那台裝置上該來源的開關，卡片才會去查詢；來源不在這台裝置上的卡片，或來自你自己檔案的卡片，永遠不查詢，保持預留圖。授權服務會代你向 TheTVDB 查詢，因此 TheTVDB 絕不會看到你的 IP 位址，海報也是經由授權服務傳送給你。授權服務會將 TheTVDB 的回答和圖片保存最多 30 天，用來回答提出相同問題的人，其中不含任何關於誰查詢的資訊：它不記錄這些請求，也不將它們與你、你的裝置或授權連結。如同傳送給授權服務的所有請求，它會保存你 IP 位址的金鑰雜湊值，查找時也會保存應用程式隨機識別碼的金鑰雜湊值，保存至當天結束，僅用於限制一個應用程式的查詢頻率。後設資料由 TheTVDB 提供。
  • 以你自己的金鑰傳送給 TMDB。如果你在 設定 → 後設資料 中輸入自己的 TMDB API 金鑰，應用程式會先向 TMDB 驗證它，之後將上述每次查找都改為傳送給 TMDB 而非授權服務，直接從你的裝置、以你的金鑰傳送：相同的片名、年份、編號、季數和語言，但不傳送那個隨機識別碼。和任何網路請求一樣，TMDB 會看到你的 IP 位址，並依其自己的隱私權政策處理這些請求；海報也直接從 TMDB 傳送給你。金鑰只保存在你的裝置上，直到你刪除它，絕不會傳送給我們。本產品使用 TMDB API，但未獲 TMDB 認可或認證。
  • 傳送給 TheIntroDB，以找到片頭或片尾在哪裡。你播放的內容如果來源沒有標出片頭或片尾，楊桃播放器會向 TheIntroDB 查詢它們在哪裡，除非你在 設定 → 播放器 → 跳過片頭和片尾 中關閉 在線上查找片頭片尾時間。它只查詢在公開資料庫（TheTVDB、TMDB 或 IMDb）裡有編號的作品，傳送這個編號、劇集的季數和集數、影片長度，以及應用程式的名稱和版本。它絕不傳送片名、檔案名稱、資料夾、路徑或伺服器位址，也不傳送任何關於你或你的授權的資訊。請求會直接從你的裝置傳送給 TheIntroDB，因此和任何網路請求一樣，TheIntroDB 會看到你的 IP 位址，並依其自己的隱私權政策處理。回答會保存在你的裝置上（見上文），因此一週內重看同一部作品不會再查詢。跳過資料由 TheIntroDB 提供。
  • 傳送給授權服務，僅在你使用 Pro 時。開啟 Pro 時會傳送你的授權金鑰（或電視上顯示的代碼）、一個裝置識別碼、裝置類型（Android TV、Android 或 iPhone）以及裝置名稱（製造商和型號）。裝置識別碼是專為此用途產生的單向雜湊值，取自你裝置的一個識別碼：在 Android 上是系統識別碼，在 iPhone 上則是楊桃播放器建立並保存在裝置上的識別碼。它用於讓授權與該裝置綁定。應用程式大約每個月會將授權送回續期一次，同時傳送同一個裝置識別碼，用來證明續期來自開通這個授權的那台裝置；退款或移除裝置也是透過這個方式生效。在 iPhone 或 iPad 上，購買 Pro 或選擇回復購買項目時，還會傳送 App Store 對這筆購買的簽署紀錄，授權服務會依 Apple 的簽章加以驗證。在 Android TV 或 Android 手機、平板上開始 Pro 試用時，會傳送相同的裝置識別碼、裝置類型和名稱，不傳送其他任何關於你的資訊。為在 App Store 購買的 Pro 新增你的電子郵件時，會傳送該地址、這台裝置的授權權杖，以及（授權來自 App Store 時）App Store 對這筆購買的簽署紀錄，用來證明它是你的，授權服務會寄一封附有連結的電子郵件到該地址，讓你完成新增。你的裝置透過我們的伺服器同步時，在 設定 → 同步 裡移除一台裝置，也會讓它登出 Pro：這台裝置會傳送它的授權權杖和產生它裝置識別碼所用的那個識別碼，以證明要求來自這份授權的裝置，以及我們的同步伺服器看到的被移除裝置的裝置識別碼，授權服務接著把那台裝置從你的授權上移除。除了上文的查詢 Pro 價格和查找你的檔案的片名，以及下文的用手機設定之外，免費版應用程式不會傳送任何資訊給授權服務。
  • 傳給我們的同步伺服器，僅在你使用 Pro 時。還沒有同步的 Pro 裝置，每天一次、以及你開啟 設定 → 同步 時，會詢問我們的同步伺服器它的授權是否已在同步，即使你從未開啟同步也會詢問，以便提示你加入；這只傳送授權權杖和產生它裝置識別碼所用的那個識別碼，其他什麼都不傳。裝置一旦開始同步，不管透過我們的伺服器還是你自己的，就不再詢問。開啟同步後，它會傳送下文同步一節所說的加密內容。免費版應用程式從不詢問。
  • 傳送給授權服務，在你用手機設定電視時。電視上的用手機設定會傳送電視正在顯示的表單（它接受的來源類型及其外掛的欄位），並顯示一個 QR 碼。你的手機從 QR 碼開啟的頁面（位於 tv.yonto.app）會傳回你輸入的內容，其中可能包括伺服器的位址、使用者名稱和密碼。兩者都以只存在於 QR 碼中的金鑰進行端對端加密，你的瀏覽器絕不會將這把金鑰傳送給我們，因此授權服務雖然保存它們，卻無法讀取。授權服務只保存到你的電視取回回覆，或該代碼的十分鐘時限結束為止；無論哪種情況，都會在十分鐘結束後的一分鐘內刪除。伺服器本身的磁碟快照中可能會留有一份加密副本，最長七天，我們同樣無法讀取。這些內容都不會與你的授權或帳號連結，該頁面也不設定任何 Cookie。與任何網路請求一樣，這些請求會帶有你的 IP 位址，授權服務會將其計數一分鐘以限制請求頻率，除此之外不會保存。
  • 傳送給授權服務，在你用手機讓電視登入雲端硬碟時。對於你的電視無法自行登入的雲端硬碟，電視會以相同方式顯示一個 QR 碼，你的手機從 QR 碼開啟的頁面會將你帶到該雲端硬碟自己的登入頁面。當雲端硬碟將你導回時，該頁面會把雲端硬碟給它的內容傳送給你的電視，以相同方式進行端對端加密，保存與刪除方式也同上：那是一組一次性代碼，只有你的電視能將它換成登入憑證。接著由你的電視自行向雲端硬碟取得登入憑證，並只將其保存在電視上。
  • 傳送給 Google，在你新增自己的 Google Drive 時。在 Android 手機和平板上，楊桃播放器會向你裝置上的 Google Play 服務要求以唯讀方式存取你的 Google Drive，由你在 Google 自己的畫面上選擇帳號並同意；在 Android TV 上，你用手機在 Google 自己的頁面上登入，方式同上；在 iPhone、iPad 和 Mac 上，你在 Google 自己的頁面上登入。之後應用程式會向 Google Drive 讀取你的資料夾和檔案以顯示它們，並直接從 Google 播放你選擇的檔案。它對你 Google Drive 的存取權限只留在你的裝置上：絕不會傳送給我們或其他任何人；除了楊桃播放器為任何來源都會保存在你裝置上的內容之外，不保存你 Drive 裡的任何東西。楊桃播放器對從 Google API 取得之資訊的使用，遵守 Google API 服務使用者資料政策，包括其中的有限使用規定。
  • 傳送給 Chromecast，在你投放時。在 Android 手機和平板上，播放器裡的投放按鈕會請 Google Play 服務在你的網路裡尋找可投放的螢幕。投放會告訴螢幕影片在哪裡、你選了哪些字幕，然後由螢幕自己讀取影片。如果來源需要楊桃播放器持有的東西，例如它設定的標頭或伺服器的登入資訊，就由手機透過你的網路把影片提供給螢幕，這些內容留在你的手機上。在 iPhone 和 iPad 上，投放按鈕選單裡的 Chromecast 是 Google 的 Cast 軟體：你選擇它時，它會在你的區域網路裡尋找可投放的螢幕（iOS 此時會請你允許存取區域網路）。依它自己的 App Store 標籤，所有內建這個軟體的應用程式裡，它都會收集診斷資料、你使用按鈕時的使用資料和大致位置，標籤說這些資料不會關聯到你；也觀察到它在應用程式開啟時會向 Google 取得它的傳送端設定。楊桃播放器關閉了它的分析記錄。你觀看的內容不會傳送給我們。
  • 傳送給 AirPlay 螢幕，在你投放時。在 Android 手機和平板上，播放器的投放按鈕還會列出你網路裡的 AirPlay 螢幕，這些由 Yonto Player 自己透過區域網路找到，不涉及任何 Google 軟體。投放時，螢幕會收到影片的位址，然後由螢幕自己讀取影片；來源需要請求標頭或伺服器登入時，則由你的手機提供影片。不會向我們或你選的螢幕以外的任何人傳送任何內容。

同步

同步是 Pro 的一部分，它讓你的觀看紀錄、播放進度、待看清單、最近搜尋（你最近搜尋過的十筆內容）、來源、倉庫和你手動比對的標題，以及你選擇的話外掛和你的 TMDB 金鑰，在你的裝置上保持一致。在 設定 → 同步 裡開啟之前，它是關閉的；每台裝置各自選擇同步什麼，一個來源也可以不參與同步。所以你的搜尋內容只會從開啟了同步、並選了最近搜尋的裝置加密傳送到我們的同步伺服器；同步關閉、使用免費版或關掉這個開關時，什麼都不會傳送。登入資訊、你的授權、主 PIN 碼、下載的內容和裝置上的資料夾從不同步。

誰都讀不了的內容。所有同步的內容在離開裝置之前，都會在你的裝置上用 AES-256-GCM 加密，金鑰在你的裝置上產生。這組金鑰只會在你在兩台裝置上都點選確認之後，密封給接收裝置自己的金鑰，從你的一台裝置傳到另一台；它保存在每台裝置自己的安全儲存空間裡，從不進入備份或雲端鑰匙圈。只有一個例外：在 Android 上，你用 Google 自己的裝置間傳輸從舊手機設定新手機時，金鑰可能會這樣傳到新手機上，不需要兩邊點選；楊桃播放器接著會把新手機當作你帳號下一台獨立的裝置。所以無論是我們的同步伺服器、我們自己，還是取得它副本的任何人，都無法解密你同步的內容：看不到任何片名、搜尋內容、來源、位址、密碼或金鑰。這也表示我們無法替你找回：如果你遺失了所有裝置，又沒有儲存復原金鑰，同步副本就永遠遺失了，不過仍保有自己那一份的裝置會繼續保留它。

我們的同步伺服器保存什麼（sync.player.yonto.app，你透過它同步時）：

  • 你的授權 ID，你的裝置在它之下同步；
  • 每個同步項目的密文，以及旁邊的明文：一個看不出內容的打亂後的 ID、它上次變更的時間和變更它的裝置的隨機 ID、加密它所用的金鑰代數、它是不是刪除紀錄、這筆刪除紀錄是否永久保存，以及它的大小；
  • 每台裝置的：專為同步產生的隨機 ID、裝置類型（例如 Android TV 或 iPhone）、兩個公鑰、它自己一個密值的單向雜湊值、它同步時用過的每個授權權杖裡的裝置識別碼（移除它時，就是讓這些都登出 Pro）、加入時間，以及是否已被移除；
  • 由你的金鑰衍生出的一個值的單向雜湊值，讓伺服器能把你的裝置和其他人區分開來；
  • 裝置加入期間，它的類型和兩個公鑰、另一台裝置的公鑰，以及密封給新裝置的金鑰，連同你各台裝置在同步清單裡各自簽署的項目；改用新金鑰重新開始之後，密封給你每台裝置的新金鑰，直到那台裝置取走為止；
  • 沒有金鑰的裝置在已經同步的帳號上要求從頭開始時，一個等待中的重設：由新金鑰衍生出的單向雜湊值、提出要求的裝置的類型和公鑰，以及要求的時間。

每個請求還帶著裝置的授權權杖和產生它裝置識別碼所用的那個識別碼。伺服器會對這個識別碼做雜湊，核對它和權杖是否相符，這樣從裝置上複製走的權杖沒有它就沒用；權杖和識別碼都不保存，連日誌裡也沒有。為了確認授權有 Pro，它會依裝置向我們的授權服務詢問：回答是「有」時每天一次，回答是「沒有」時 10 分鐘後再問，該問新答案而授權服務連不上時，每個請求都問，直到它回答。授權服務不會記錄這些核對的任何內容。對於等待中的重設，伺服器會把提出要求的裝置的權杖和識別碼轉給授權服務；你的授權有電子郵件時，授權服務會寄一個確認連結到該地址，見下文，伺服器接著會詢問它是否已確認；沒有電子郵件時，伺服器改為等待七天。

從這些資訊，伺服器能看出你的每台裝置什麼時候在使用、你同步了多少項目、每項大約多大、哪些是刪除紀錄，但看不出任何一項是什麼。和任何網路伺服器一樣，它能看到你的裝置同步時的 IP 位址和時間；它只用這個位址在一分鐘內限制請求頻率，不記錄也不保存。這些資訊只用於同步，不會分享給任何人。

保存多久。項目會一直保存，直到被取代、刪除或捨棄。刪除紀錄在伺服器收到後保存 90 天，讓你的其他裝置知道，然後被清除；已刪除來源的刪除紀錄除外，它會保存到你從頭開始為止，這樣它的觀看紀錄不會回來。加入請求在建立一天後刪除。等待中的重設會保存到它完成或被取消，之後一週刪除。改用新金鑰重新開始之後，用舊金鑰加密的所有內容會立即捨棄，你的裝置會用新金鑰重新傳送。伺服器的資料庫每晚複製一次，每份副本滿 14 天就刪除；伺服器的磁碟快照最多保存七天。它們和資料庫本身一樣，我們無法讀取。

刪除。設定 → 同步 裡的從頭開始會從伺服器刪除你帳號的同步副本、裝置和加入請求（備份裡的會在 14 天內刪除），時間是你的授權電子郵件確認之後，或者七天內沒有仍在同步的裝置取消它，七天之後。在 設定 → 同步 裡移除一台裝置會讓它停止同步，並讓它登出 Pro，如上所述；伺服器會保存它被標示為已移除的 ID，讓它一直被拒絕。你也可以寫信到 support@yonto.app，我們會刪除你帳號的同步資料。在所有裝置上關閉同步，加密副本仍會留在伺服器上，直到你從頭開始或要求我們刪除。

你自己的伺服器。如果你選擇你自己的伺服器，你的裝置會透過你自己架設的伺服器同步，而不是我們的；它保存的內容和我們的一樣，由你掌控。透過你自己的伺服器同步的裝置，不會傳送任何東西給我們的同步伺服器。在開始同步之前，Pro 裝置會詢問我們的伺服器你的授權是否已在那裡同步，如上所述。

player.yonto.app

本網站是靜態網站。它使用 Google Analytics 統計造訪次數，Google Analytics 會設定自己的 Cookie（_ga 以及一個以網站評估 ID 命名的 Cookie），並能看到你閱讀了哪些頁面、你選擇了哪個下載（其平台和檔案，以及頁面的語言）、你是否按下「購買 Pro」、你的大致所在位置、你的瀏覽器和裝置類型，以及你的 IP 位址。廣告功能和廣告信號均已關閉，Google 依其自己的隱私權政策使用這些資料，向我們提供統計數字。在歐洲經濟區、英國和瑞士，在你接受橫幅提示之前，它不會設定任何分析 Cookie，在此之前 Google 的代碼只會傳送有限的、不帶 Cookie 的連線偵測（ping）；如果你拒絕，之後的任何頁面都完全不會載入 Google 的代碼。在其他地區，它會統計每次造訪，你可以使用 Google 的瀏覽器外掛程式選擇退出。你的選擇會保存在你的瀏覽器中，因此清除本網站的資料後會再次詢問你。除此之外，它不設定任何 Cookie。如果你選擇了主題，你的瀏覽器會在你的裝置上記住它。本網站由 Amazon Web Services 託管，如同任何託管服務，它能看到自己處理的請求，包括你的 IP 位址。下載和意見回饋按鈕會連到 GitHub，你在那裡提交的 issue 是公開的。

帳號網站和授權服務

當你購買 Pro、登入 account.yonto.app、在應用程式中開啟 Pro，或開始 Pro 試用時，我們會保存：

  • 你的電子郵件地址，以及你使用網站時的語言。
  • 你的授權：它的狀態及其包含的內容。我們只儲存你金鑰的雜湊值，絕不儲存金鑰本身，因此遺失的金鑰只能重新核發，而無法重新寄送。
  • 你的裝置：經雜湊的識別碼、裝置類型和名稱，以及首次和最近一次出現的時間。每台裝置還有一個隨機密鑰，用於產生在你忘記主 PIN 碼時可解除鎖定的解鎖碼；裝置會保留一份副本用來核對解鎖碼，並在裝置被移除或授權被撤銷時刪除這份副本。
  • 試用，如果你開始了試用。如果你開始免費試用，我們會保存你裝置 ID 的單向雜湊值，它絕不會與任何電子郵件地址或你本人連結，只要我們仍提供試用就會保存，僅用於讓每台裝置只能試用一次。試用的授權（該雜湊值、裝置的平台和名稱，以及試用日期）會在試用結束 30 天後刪除；發出請求的 IP 位址會如同任何啟用一樣，在我們的安全日誌中保存 12 個月。
  • App Store 購買，如果你是在那裡購買 Pro：其原始交易 ID 和產品，在另一台裝置上回復購買時，就是靠它找到同一份授權。Apple 不會告訴我們購買者是誰，因此在你從應用程式中新增電子郵件之前，該授權沒有電子郵件地址；在你之後於帳號頁面核發金鑰之前，也沒有金鑰。你新增電子郵件後，我們會如同對待任何買家一樣，保存該電子郵件及其所屬的帳號。Apple 為這筆購買退款時也會通知我們，我們會保存該通知。
  • 同步重設，如果沒有金鑰的裝置在我們的同步伺服器上要求讓同步從頭開始，而你的授權有電子郵件：同步伺服器給這次重設的 ID、提出要求的裝置顯示的代碼、它的裝置類型、要求的時間，以及連結被確認的時間。沒人確認的連結過期一天後刪除，已確認的在確認一週後刪除。
  • 你的訂單：Stripe 的付款 ID、方案、金額和幣別、任何折扣碼，以及是否已退款。我們也會保存 Stripe 傳送給我們的、關於你這筆購買的訂單訊息，其中包括你在結帳時提供的姓名、電子郵件地址和帳單地址，以及你卡片的發卡組織、國家、末四碼和到期日。
  • 安全日誌，記錄你的帳號和授權發生過的事件（例如新增了一台裝置、一次登入，或授權被撤銷及我們提出的原因），以及執行該操作的 IP 位址。
  • 你的工作階段：在你使用帳號網站期間，你所使用的 IP 位址和瀏覽器。
  • 我們的客服人員在協助你時所寫的備註。

Cookie。帳號網站只使用其運作所必需的 Cookie：你登入期間的工作階段 Cookie、在你選擇語言或從本網站的連結前往時記住你語言的 Cookie、在兩小時內將結帳與你的瀏覽器連結的 Cookie，以及保護表單的 Cookie。它也使用 Google Analytics 統計造訪次數，方式和你的選擇都與上文所述的網站相同，差別在於它回報的網址不包含查詢字串、片段，以及登入或電子郵件連結中的權杖，且不回報參照網址。結帳由 Stripe 提供：頁面會將你導向 Stripe，Stripe 會依 Stripe 的隱私權政策設定自己的 Cookie。

電子郵件。我們會以電子郵件寄送你的授權金鑰、你要求的登入連結、確認你為 App Store 授權新增之地址的連結、確認在沒有金鑰的情況下讓同步從頭開始的連結（郵件裡顯示提出要求的裝置上顯示的代碼，連結一小時內有效）、有新裝置加入你的授權時的通知、你的電子郵件地址變更時的通知，以及在我們撤銷你的授權時說明原因的通知（除非法律禁止我們告知）。我們不寄送任何行銷郵件。

我們為何使用這些資訊

  • 為了提供你購買的服務：核發、啟用及續期你的授權，並讓你能夠管理它。
  • 為了讓每台裝置享有一次 Pro 免費試用。
  • 為了維護安全：防止詐欺和濫用（例如被廣泛分享的金鑰），以及調查問題。
  • 為了履行我們的法律義務，例如為稅務目的保存紀錄。

依歐盟及英國 GDPR 的用語，處理的法律依據為與你之間的契約、我們在安全方面的正當利益，以及法律義務。

還有誰會處理這些資訊

  • Stripe，代我們處理付款。對於你提供給 Stripe 的卡片資料及其他付款資料，Stripe 依其自己的隱私權政策對你的資料負責。
  • Apple，處理在 App Store 中的購買。對於該筆付款和你的 Apple 帳號，Apple 依其自己的隱私權政策對你的資料負責。
  • Amazon Web Services，託管我們的伺服器（授權服務和同步伺服器）和網站並遞送我們的電子郵件，且僅依我們的指示處理資料。
  • GitHub，用於下載和意見回饋，如上所述。
  • Google，其 Google Analytics 統計網站、說明文件和帳號網站的造訪次數，如上所述。
  • TheIntroDB，應用程式直接向它查詢作品的片頭和片尾在哪裡；它會收到作品的公開編號、劇集的季數和集數、影片長度、應用程式的名稱和版本，以及你的 IP 位址，如上所述。
  • TMDB，當你為應用程式提供自己的 TMDB 金鑰時，應用程式會直接向它查詢海報和簡介；它會收到所查詢的片名、你的金鑰和你的 IP 位址，如上所述。
  • TheTVDB，我們的授權服務會向它查詢你的檔案中作品、以及來源沒有提供海報或沒有提供簡介的作品的海報和簡介；它從我們的伺服器收到所查詢的片名，絕不會收到你的 IP 位址或其他任何關於你的資訊。

我們不會出售你的資料，也不會與其他任何人分享，除非法律有所要求。這些公司可能會在你所在國家或地區以外處理資料，包括美國和歐盟。

保存期間

  • 你的電子郵件地址、授權和裝置，以及 App Store 購買的交易 ID 和產品：只要你的授權存在就會保存，直到你要求我們刪除為止。
  • 試用裝置經雜湊的 ID：只要我們仍提供試用就會保存，僅用於讓每台裝置只能試用一次。
  • 試用的授權（該雜湊值、裝置的平台和名稱，以及試用日期）：保存至試用結束後 30 天。開始試用時的 IP 位址會如同任何啟用一樣，在安全日誌中保存 12 個月。
  • 訂單及 Stripe 傳來的訂單訊息：依紐西蘭稅法規定，保存至你購買時所屬之紐西蘭稅務年度結束後 7 年（稅務年度於 3 月 31 日結束）。
  • 安全日誌：其中的記錄會保留，記錄中的 IP 位址會在 12 個月後清除。
  • 客服備註：只要你的帳號存在就會保存；並會隨帳號一併刪除。
  • 登入連結和電視代碼：會在幾分鐘內失效，並在一天後刪除。
  • 授權服務上的同步重設要求：未確認的連結過期一天後刪除（連結一小時內有效），已確認的在確認一週後刪除。
  • 你從手機傳送到電視的內容：保存到你的電視取回為止，且絕不超過該代碼十分鐘時限結束後一分鐘，但伺服器磁碟快照中的加密副本除外，該副本最長保存七天。
  • 你同步的內容，在我們的同步伺服器上：見同步一節。加密的項目保存到被取代或刪除為止；刪除紀錄在伺服器收到後保存 90 天，已刪除來源的刪除紀錄保存到你從頭開始為止；加入請求保存一天；等待中的重設保存到完成或取消後一週；每晚的副本保存 14 天。
  • TheIntroDB 提供的片頭和片尾位置：在你的裝置上保存一週，沒有查到時保存一天，直到 清除快取 刪除它們。
  • 為你的檔案、以及來源沒有提供海報或沒有提供簡介的作品查到的海報和簡介：在你的裝置上保存至你刪除該來源為止，服務對它們的回答最多保存 30 天；在授權服務上，TheTVDB 的回答和圖片最多保存 30 天，不含任何關於誰查詢的資訊，用來限制應用程式查詢頻率的金鑰雜湊值保存至當天結束。

你的權利

你可以要求我們：

  • 告訴你我們持有哪些關於你的資料，並提供你一份副本，
  • 更正這些資料，
  • 刪除這些資料，這會刪除你的帳號、授權和裝置，並關閉 Pro，同時刪除我們同步伺服器上你帳號的同步資料。

刪除並不會移除所有資料。你的訂單會依稅法要求的期間保存，Stripe 關於這些訂單的訂單訊息也是如此。安全日誌會保留其中的記錄：這些記錄將不再指向你的帳號，但會保留其中的 IP 位址直到滿 12 個月清除為止，並保留其中所寫的任何內容，例如授權被撤銷的原因。

請用你授權上的電子郵件地址寄信至 support@yonto.app。App Store 購買的授權在你新增電子郵件之前沒有電子郵件地址，因此如果你尚未新增，請改為在來信中附上 Apple 收據上的訂單編號。我們會在 20 個工作天內回覆。

如果你不滿意我們處理你資料的方式，可以向紐西蘭的隱私專員辦公室（Office of the Privacy Commissioner），或你所在地的個人資料保護主管機關提出申訴。

安全

我們只以雜湊值的形式儲存授權金鑰和登入連結，並將我們的管理工具限制在我們自己的網路內使用，且須以雙重驗證登入。沒有任何系統是絕對安全的，如果發生資料外洩而使你面臨風險，我們會通知你。

兒童

楊桃播放器並非以兒童為對象，我們也不會在知情的情況下持有任何未滿 16 歲者的資料。

變更

如果我們變更本政策，頁面頂端的日期也會隨之變更。如果變更屬於重大變更，我們會以電子郵件通知受影響的人。