更新日期：2026-10-10。本页说明当前开发构建的自建中继通道，覆盖 iOS、macOS 和网页客户端。官方服务尚未完成上线；上线前须根据实际运营方式更新政策与商店隐私标签。
快速版本
邮箱、账号信息、文件与剪贴板文本会传输到当前连接的中继服务器。服务器运营者可以访问所存储的数据；使用自建服务时，请确认该服务器由你信任的人运营。
当前 App 没有第三方分析、广告或追踪组件。设备间收发不等于端到端加密，服务器的数据处理方式同样影响隐私。
Kodeoff 的自建中继通道通过你选择的服务器连接设备。开发者不因提供客户端而自动获得你自建服务器上的数据；服务器运营者及其授权管理员则可能访问这些数据。本说明不适用于其他服务器运营者独立制定的政策。
App 内不集成任何第三方 SDK，不包含分析、广告或追踪组件。随 App 附带的隐私清单文件（PrivacyInfo.xcprivacy）按保守口径申报了账号中继涉及的数据类别（如邮箱标识、设备与账号标识、用户文件内容、诊断信息等，均不用于追踪）；这些数据仅经你选择的自建服务器留存，开发者不运营该服务器、不借此获取你的数据。
账号登录与中继收发连接当前选定的服务器。主动打开文档、隐私页或反馈链接时，会通过浏览器访问相应网站。下表说明中继通道处理的数据。
| 数据 | 何时产生 | 去向与存储 |
|---|---|---|
| 服务器地址 | 在高级设置中指定自建服务，或由构建内置默认值 | 保存在构建配置或本机偏好中，用于建立连接；凭据同时记录所属服务器 |
| 邮箱与密码 | 邮箱注册、登录、找回密码 | 传输到你指定的服务器核验；服务器只保存密码的慢哈希（scrypt），不存明文 |
| 账号码（KOD-XXXXX-XXXXX） | 注册时由服务器生成 | 作为账号身份标识存于你的服务器；本机偏好留存一份用于显示 |
| 设备名 | 注册 / 配对新设备时填写（预填本机名称，可修改） | 存于你的服务器，用于在设备列表与投递来源中区分设备 |
| 设备登录凭据（device token） | 登录成功后由服务器签发 | iOS 存于系统钥匙串，macOS 存于本机受限权限的固定文件，网页存于浏览器本地存储；服务器只存其 SHA-256 摘要 |
| 文件与剪贴板文本 | 你在设备间发送时 | 经你的服务器中转并存储，直到你或你的保留策略将其删除 |
| 操作偏好（下载策略、缓存保留天数等） | 使用 App 时 | 只存本机，不出设备 |
| 连接与活动信息 | 请求中继服务时 | 服务器记录设备活动时间，并可能在安全或访问日志中记录来源 IP、请求路径、状态和耗时；反向代理也可能记录访问日志 |
没有追踪组件不代表在线服务不处理用户数据。App Store 隐私标签需覆盖实际发布构建以及开发者和合作方能访问的数据；官方服务上线后不能沿用仅针对用户自建服务的「不收集数据」结论。相关定义见 Apple 的 App 隐私说明。
App 使用 UserDefaults（理由代码 CA92.1）读写自己的偏好，以及磁盘空间 API（理由代码 E174.1）在下载前检查是否能存下文件。空间不足时会停止下载并提示清理；磁盘容量信息不发送到服务器。两项用途与隐私清单一致。
当前尚未确认正式官方服务地址，也未提供已上线的公共演示服务。正式服务上线前，会说明运营主体、联系渠道、服务器所在地区、邮件服务提供方、数据保留和备份删除方式。本页不将未部署的服务描述为已可用。
凭据：设备登录凭据存放在 iOS 系统钥匙串中，受系统加密保护；退出登录或凭据被吊销时，该条目随即删除。
macOS 凭据：保存在 ~/Library/Application Support/Kodeoff/credentials.json，目录权限为 0700、文件权限为 0600；App 不读取钥匙串。文件本身不额外加密，同一系统用户下有权限的程序可能读取它。
网页凭据：保存在当前浏览器的本地存储，退出时清除。请勿在不可信的公共电脑上保持登录。
偏好：服务器地址、设备 ID、账号码、下载策略、缓存保留天数等存于本机偏好（UserDefaults），属于 App 自身设置。
收件缓存：已下载的收件内容与离线列表快照存于 App 沙盒内，默认保留 30 天，超期自动清理；你可在「设置 → 本地缓存」中调整保留天数或一键清空。
照片库：仅在你主动把收到的图片 / 视频保存到「照片」时写入，App 不读取照片库。
本地网络：用于连接你指定的自建中继服务器（例如局域网内的 Mac 或其他主机）。系统弹窗在首次连接时出现；拒绝后无法连接局域网服务器，不影响其他功能。
照片库（仅添加）：用于把你选择保存的图片 / 视频写入「照片」。App 不会读取你的照片。
除以上两项外，App 不申请其他隐私权限。
安全程度取决于你选择的服务器与网络：局域网内的明文 http 可用（iOS 系统仅对本地网络放行明文连接）；跨网络使用应配置 TLS——服务端支持内置 TLS 证书，也可用反向代理终止 TLS。
在未加密链路上，同一网络内的中间人可以看到传输内容；服务器以明文形式存储文件与元数据（凭据只存哈希）。请据此评估你的部署方式。本 App 不做超出以上事实的任何安全宣称。
你的自建服务器：保留策略由你决定——你是服务器的运营方，App 与开发者均不代替你设定。
删除账号：App 内「设置 → 中继账号 → 删除账号」请求清除在线账号、文件、设备记录与凭据。服务器的离线备份和日志需按运营者的保留政策另行处理。
账号记录删除后，若文件清理因存储故障未完成，服务会在启动时和每 10 分钟的维护轮次继续尝试。持续失败需要运营者处理，维护日志会记录尚未清理的目录数量。
退出登录：立即清除本机登录与收件状态，并尝试吊销当前设备凭据；离线时无法保证服务器已收到吊销请求。你可从其他已登录设备移除该设备。退出不删除服务器上供其他设备使用的文件。
清理缓存：「设置 → 本地缓存 → 清理」随时清空本机已下载的收件与快照。
卸载 App：会清除 App 沙盒内的偏好与缓存；iOS 钥匙串中的凭据条目不保证随卸载移除（系统行为），建议卸载前先在 App 内退出登录。
本政策的更新会发布在本页，并同步更新页面顶部的生效日期。
反馈渠道：GitHub Issues（kk0x03/kodeoff-release）。对数据处理方式的疑问可经同一渠道提出。