隐私政策

最后更新：2026年10月14日

一览

• 没有账号，我们也不提供内容。 Tunvio 是一款播放器。你的视频流直接来自你自己填写的服务商。
• 我们不索取你的登录凭据。 我们不索取、也不会有意接收密码、服务商地址或频道名称；错误文本会被自动过滤网址和登录凭据，但这种过滤无法做到完美（第 7 节）。获取电影信息和字幕时，我们的代理只会看到一个 ID 或经过清理的标题（第 8 节）；图片本身直接从 TMDB 的图片服务器加载（第 8 节）。如果你使用设备同步，你的播放列表会发送到你自己的存储空间（第 10 节）。
• 凡是你自愿分享的内容，默认均为关闭： 使用数据和崩溃报告、分享的跳过标记、设备同步和设备配对，都只有在你开启后才会启用，并且可以随时再次关闭。
• 我们自己的服务不存储 IP 地址，也不保存访问日志（关于网站服务器 tunv.io，见第 3 节）。
• 付款通过商店或 RevenueCat 完成，我们不会看到任何付款数据。

详细说明见下文。

1. 数据控制者与服务性质

就欧盟《通用数据保护条例》（GDPR）而言，“Tunvio”应用的数据控制者是法律声明（https://tunv.io/impressum）中所列的 Tunvio 项目运营者（以下称“我们”）。数据保护事宜的联系方式：support@tunv.io

Tunvio 仅是一款播放应用。我们不提供任何内容，不托管任何视频流，也不运营任何媒体服务。每一个 IPTV 连接都直接连到你自己作为播放列表填写的服务器（Xtream Codes、M3U 播放列表、直接视频流 URL 或 Stalker Portal）。关于你在选择来源时应承担的责任，请参阅使用条款（https://tunv.io/terms-of-use）。

2. 你设备上的数据

Tunvio 会在你的设备上存储以下内容：

• 播放列表，包含你的服务商的服务器 URL、用户名和密码，以及可选的播放列表名称
• 每个播放列表对应的观看历史、收藏、设置和可选的家长控制 PIN
• 作为缓存的缩略图和 TMDB 元数据（第 8 节）
• 下载和录制内容（如果你创建了的话）
• 每个播放列表中，你在剧集里跳过片头或片尾字幕的位置，以便应用在该处提供“跳过片头”或“下一集”；如果你已开启分享，还包括尚未发送的贡献（第 8 节）
• 用于浏览器购买的匿名购买标识符（第 5 节），以及在你配对设备后生成的家庭标识符和设备标识符（第 5.1 节）

登录凭据、家长控制 PIN、设备同步的登录数据和配对标识符保存在操作系统的加密存储中；在没有此类存储的 Samsung 电视（Tizen）上，则保存在应用的内部存储中。你可以在设置中清除历史记录和收藏；卸载应用会删除全部内容。

例外：你自己的文件夹。 如果你为录制和下载选择了自己的文件夹（例如在 SD 卡上），这些文件就属于该文件夹：卸载后它们仍会保留，并且根据文件夹和平台的不同，其他应用可能读取它们。此时你需要自行删除这些文件。无论如何，我们都无法访问这些文件。

我们不会收到这些数据。只有两种例外，且都由你自己开启：如果你配对设备，我们的配对服务会存储家庭标识符和设备标识符（第 5.1 节）；如果你分享跳过标记，收集到的贡献会发送到我们的跳过标记服务，且与任何播放列表或服务商都没有关联（第 8 节）。如果你使用设备同步，播放列表、历史记录、收藏和设置会发送到你自己的存储空间，而不是发送给我们（第 10 节）。

3. 我们自己的服务器

部分功能使用由我们自己运营的服务器：设备配对（pair.tunv.io）、错误报告（diag.tunv.io）、元数据和跳过标记（tmdb.tunv.io）、字幕（subs.tunv.io），以及更新检查和法律文件（tunv.io）。

• 位置： 配对、错误报告、元数据代理和跳过标记运行在我们位于德国的服务器上。配对、错误报告和跳过标记不涉及任何数据处理者，也不会向第三国传输数据。
• 不存储 IP： 配对、错误报告、元数据、跳过标记和字幕这些服务不保存访问日志。你的 IP 地址仅用于传输请求；它不会被存储，不会与任何标识符关联，也不会被转交给他人。
• 网站服务器 tunv.io（更新检查、法律文件）是网站的普通网络服务器；它可能保留常见的短期访问记录（IP 地址、时间、请求的文件）。应用在这些请求中不会发送任何标识符或播放列表数据。
• 滥用防护： 为了限制请求频率并阻止自动化探测，在配对、元数据、跳过标记和字幕服务中，你的 IP 地址在到达时会被转换为短期有效的假名。其密钥仅存在于内存中，并会定期更换；此后该假名无法再与任何地址关联。诊断服务器为此仅在内存中短暂保存该地址。法律依据是我们对安全运营的正当利益（GDPR 第 6 条第 1 款 f 项，序言第 49 项）。

4. 与你的 IPTV 服务商的连接

Tunvio 直接连接到你填写的服务器。该服务器如何处理数据，由你的服务商负责，而非我们。请查阅你的服务商的隐私政策。

投屏。 如果你投屏到 Chromecast 或 DLNA 设备（在提供该功能的情况下），应用会通过你的本地网络把视频流地址传给该设备；该地址包含你的服务商的地址，对于 Xtream，还包含你的访问数据；随后该设备会自行从你的服务商加载视频流。如果设备上显示海报，TMDB 图片的地址也可能一并传出，该设备随后会直接从 image.tmdb.org 加载（第 8 节）。这些内容都不会经过我们的服务器。

4.1 播放诊断（“出了什么问题？”）

当播放卡顿或失败时，Tunvio 会自动检查原因：向你的服务商的服务器发送几个简短的测试请求（域名解析、建立连接、加密连接、短暂获取视频流，对于 Xtream 和 Stalker，还会使用你保存的登录凭据调用账号接口），这与播放时使用的连接相同。应用还会在你的设备上读取是否有 VPN 或过滤应用正在运行、网络是否报告可访问互联网，以及是否设置了私有 DNS。除非你随问题报告一并发送，否则结果只会保留在你的设备上（第 7.1 节）。

“进一步检查”。 只有当你点按它（且没有启用私有 DNS）时，Tunvio 才会通过加密连接向 Cloudflare 查询（或在其不可用时改用 Google Public DNS）你的服务商的服务器名称是否已知。只发送这个服务器名称，不含登录凭据、路径或设备标识符；与任何连接一样，该服务会看到你的 IP 地址。除非你随问题报告一并发送，否则结果只会保留在你的设备上（第 7.1 节）。法律依据是你的请求（GDPR 第 6 条第 1 款 b 项或 f 项）。适用 Cloudflare（cloudflare.com/privacypolicy）或 Google（policies.google.com/privacy）的隐私声明；数据可能传输到美国。

5. 购买与订阅

Premium 功能是可选的。在不出售任何内容的地方（例如 Samsung 电视），不会为此传输任何数据。

• 通过商店购买： 如果你的应用来自 Apple App Store、Google Play 或 Amazon Appstore，则由商店处理付款。
• 在浏览器中购买： 对于商店之外的版本（例如桌面版），应用会打开由 RevenueCat, Inc. 提供的结账页面；你在那里输入的内容会发送给 RevenueCat 及其支付服务提供商，由其处理付款。
• 无论哪种方式，我们都不会接收或存储付款数据。
• 订阅管理： 为了检查购买是否有效，我们使用 RevenueCat, Inc.（美国）。RevenueCat 会从应用收到一个匿名的、随机生成的用户 ID，以及你所用渠道的购买凭证；不含姓名，不含付款数据；你的电子邮件地址仅作为结账页面的预填内容传给 RevenueCat（见下文）。隐私声明：https://www.revenuecat.com/privacy
• 恢复浏览器购买： 由于没有账号，你要在另一台设备上恢复浏览器购买，需通过结账时使用的电子邮件地址。应用会在你的设备上把它转换为一个派生标识符（哈希值）；查询时只使用该标识符，设备上保留的也只是该标识符。地址本身不会被永久存储。如果你之后再次打开结账页面，该地址会在那里预填。

法律依据是合同的履行（GDPR 第 6 条第 1 款 b 项）。

5.1 在多台设备上使用 Premium（设备配对）

如果你已购买 Premium，可以在其他设备上使用：已付费的设备会显示一个 8 位代码，你在另一台设备上输入它。这两台设备随后属于同一个家庭（最多 7 台设备），并共用一个随机生成的购买身份。这通过我们的服务 pair.tunv.io 完成（第 3 节）。只有当你让它显示代码或输入代码时，应用才会联系该服务，绝不会自动联系，也不会在后台联系。

每个家庭只存储以下内容： 应用为每台设备生成的随机设备标识符（不是操作系统标识符、广告 ID、序列号或 MAC 地址）、作为显示名称的设备型号（例如“Pixel 8”，否则为设备类型，如“Samsung TV”）、配对时间、随机的家庭标识符、家庭的创建时间、是否曾有代码被兑换，以及每日请求代码的计数。代码本身的有效期为 10 分钟，之后会被删除；一旦被兑换，立即作废。

这是我们自己的服务器中唯一会存储长期设备标识符的一个；否则就无法提供可供你移除设备的设备列表。

不存储： IP 地址、电子邮件地址、姓名或账号；也不存储任何与你的购买有关的内容（请求代码时，应用会发送其购买身份，以便识别已有的家庭；单个安装的匿名标识符会被丢弃，也不会检查任何权益）；也不存储任何与播放列表、服务商、频道或片名有关的内容。该服务的日志不含代码，也不含标识符。

配对后的 RevenueCat： 第 5 节中的用户 ID 随后对家庭中的每台设备都相同，即随机的家庭标识符。

保留与删除： 已配对的设备会一直保存，直到你将其移除，没有自动到期。在设置 → Premium 下，你可以看到家庭中的所有设备，并移除其中任何一台；该条目会被立即删除，移除最后一台设备时，家庭也会一并删除。如果你移除自己的设备，它会重新获得属于自己的购买身份。“没有自动到期”的唯一例外：从未有代码被兑换的配对尝试会在 30 天后删除。

法律依据是你的同意（GDPR 第 6 条第 1 款 a 项），通过让它显示代码或输入代码来作出，并通过移除设备来撤回。

6. Firebase（Google）：分析与崩溃报告

仅在 Android 和 iOS 上，Tunvio 才会使用 Google Ireland Ltd. / Google LLC 的 Firebase，并且只有在你同意后才会使用。两者默认均为关闭；我们会在首次启动时询问你，如果你拒绝，最多再询问一次。

• Firebase Analytics： 假名化的使用统计（例如查看过的页面、设备和应用版本、大致地区），通过假名标识符进行分析，用于改进应用。
• Firebase Crashlytics： 崩溃和错误报告（错误发生在程序中何处的技术细节、设备和应用版本），用于修复崩溃。

我们不会在这些报告中添加登录凭据、密码、播放列表名称或播放地址。由系统或所用库产生的错误文本会原样传给 Crashlytics，我们不会对其进行过滤；其中可能包含服务器地址或网址。崩溃报告还带有一段简短的状态描述：同步阶段、内存使用量和最长卡顿时间、播放列表类型、内容库的大小等级，以及元数据查找的进度（按 10% 一档）。数据可能传输到美国；对此，Google 依据欧盟标准合同条款。隐私声明：https://policies.google.com/privacy

法律依据是你的同意（GDPR 第 6 条第 1 款 a 项，TDDDG 第 25 条第 1 款）。你可以随时在 设置 → 数据与存储 → “使用数据与崩溃报告” 下撤回同意，立即生效。

7. 我们自己的错误报告 (diag.tunv.io)

同一个“使用数据与崩溃报告”开关也控制发送到我们诊断服务器的自动错误报告（第 3 节）。它们适用于所有平台，包括电视和桌面。未经你同意，不会发送任何内容。

目的仅限于修复错误：发现错误、将相似错误归类、修复错误，并检查修复是否有效。不做使用分析，不做画像，不做广告。

只传输以下内容：

• 错误的种类和类别（例如播放、登录或同步错误、崩溃、界面卡死；超时、解码器错误、连接数上限；如有 HTTP 状态码，则为其数字）
• 技术环境：播放引擎和解码步骤、内容类型或范围（电视直播、电影、剧集、电视节目单、下载；对于同步、投屏和导出错误，还包括目标或原因的类型，例如所选的同步存储）、播放列表类型（不含服务商），对于合并播放列表，还包括受影响的是一个、部分还是全部来源
• 应用版本和构建类型、平台、操作系统主版本、设备型号、语言和地区设置，以及设备内存的大致档位
• 对于卡死和部分播放错误：在此前几秒内应用被按键操作占用的繁忙程度（粗略等级：低、中或高），以及当时正在运行的内部后台任务的种类（例如读取内容库或电视节目单），只包括任务种类，绝不包括文件、地址、播放列表或数量
• 上一次会话被强制终止后，由操作系统给出的终止类型（例如“无响应”）；如果系统无法给出类型，则说明原因（没有可用记录，或没有匹配的记录），以及最后一次存活迹象与最近的系统记录之间的粗略时间等级（分钟、小时或天）
• 对于启动缓慢或失败的应用：哪个启动步骤最慢或失败（固定的内部名称），以及启动用了多少毫秒；安全模式启动打开时，其触发方式和近期未完成启动的少量计数
• 对于被系统终止的崩溃和卡死：错误在程序中何处发生的技术细节，附带经过脱敏的错误消息和应用界面名称（例如“player”，绝不是某个内容条目）。对于内存和连接崩溃，消息中还带有一行简短的状态：同步阶段、应用的内存使用量（兆字节）、播放列表类型（绝不包括来源数量）、最长卡顿时间（毫秒）、按 10% 一档的元数据查找进度，以及内容库及该查找的大小等级（例如“3,000 至 10,000 条”），绝不包括确切数量
• 从设备时钟读取的事件发生时间（用于对排队的报告排序；它会与报告一起存储）
• 一个每日标识符，每天重新随机生成。它把同一天的报告关联起来；无法跨天识别设备。没有设备 ID 或安装 ID。

设计上不收集： 频道、电影和剧集的标题、搜索词、播放列表名称和用户名、密码及其他登录凭据、MAC 地址和序列号。自由文本形式的错误信息只会过滤地址和登录凭据。地址： 网址、IP 地址和形似登录凭据的字符串在发送前会在设备上被遮盖，我们的服务器还会通过第二道处理去除不带地址写出的主机名，但这道处理无法识别所有主机名（第 7.1 节）。因此，只要能够识别，播放地址和服务器地址就会在设备上被遮盖，并在服务器上被去除。

法律依据是你的同意（GDPR 第 6 条第 1 款 a 项，TDDDG 第 25 条第 1 款），可按第 6 节所述撤回。保留期限： 单条报告会在 90 天后删除；只保留每种错误模式的汇总数字（次数、首次和最近一次出现、受影响的版本），与任何报告或设备都没有关联。关于访问和删除，见第 12 节。

7.1 你自己发送的问题报告

在 设置 → “报告问题” 下，或在播放器中通过“出了什么问题？” → “报告问题”，你可以自行发送报告。它只有在你发送时才会离开你的设备，不会被缓冲，之后也不会重新发送，并且不取决于“使用数据与崩溃报告”开关。发送对话框会提议开启自动报告，这是自愿的，且不会预先选中。

传输的内容： 你的文字、本次会话的技术日志（包括最近的程序错误；你可以事先在 “将发送哪些内容？” 下查看）、问题类型、应用版本、构建类型、平台、操作系统主版本、设备型号、语言和地区设置、播放引擎、播放列表类型、Premium 是否已启用、从设备时钟读取的报告时间，以及（对于从播放器发出的报告）第 4.1 节中的诊断结果，以简短数值的形式提供，不含服务器名称、IP 地址或登录凭据。

文字和日志在发送前会在设备上被自动遮盖：网址（任何带有 https:// 这类协议头的内容）、IPv4 地址、电子邮件地址和形似登录凭据的字符串（例如 password=… 或 user:pass@host）。我们的服务器会重复这一处理，并同时去除不带地址写出的主机名，这是第二道处理，无法识别所有主机名。尽管如此，请不要在文字中填入密码，因为脱敏无法识别出现在普通句子中的密码。

报告不带任何标识符，无法把它与你的设备关联起来，只有一个显示给你的随机参考编号。凭此编号，你可以通过 support@tunv.io 申请访问或删除。法律依据是你通过发送所作出的同意（GDPR 第 6 条第 1 款 a 项）。保留期限：90 天。

8. 元数据与图片 (TMDB)

Tunvio 会为电影和剧集添加来自 The Movie Database（TMDB）的简介、评分、标志、海报和年龄分级。这是内容库显示方式的一部分，没有单独的开关；你可以在设置 → 数据与存储下删除缓存的元数据。

简介、评分和图片地址是通过我们的代理 tmdb.tunv.io（第 3 节）请求的，而不是直接向 TMDB 请求。只传输请求所需的内容：搜索时，是经过清理的标题和（如能识别的话）上映年份；否则是 TMDB ID，对于季，还有季编号；每个请求还会带上应用语言，对于流媒体可用性，还会带上你设备的地区。你正在观看哪一集、时长多久，不会被传输，任何播放列表、登录凭据或播放数据也不会被传输。结果会缓存在代理和你的设备上。

图片文件本身直接来自 TMDB。 海报、背景图、片名标志、分集剧照、流媒体服务标识以及演职人员的照片，由你的设备从 TMDB 的图片服务器 image.tmdb.org 加载，而不是通过我们的代理。因此，TMDB 会收到你的 IP 地址、你的设备发送的 User-Agent（即为当前播放列表设置的那个，默认是通用的媒体播放器字符串），以及所请求图片的文件路径，该路径可以标识是哪张海报或照片；TMDB 可以据此并结合你的 IP 地址得知显示了哪些片名；但不含登录凭据、播放列表或播放数据。只要图片没有（或不再）存储在你的设备上（缓存的图片会保留约一周），并且代理已返回了某个片名的图片地址，就会发生这种情况；与元数据一样，它没有单独的开关。TMDB 如何处理这些数据，由其自己的隐私政策规定，我们对此无法施加影响。

预告片。 如果你点按预告片（Samsung 电视上不可用），应用会打开 YouTube 应用或浏览器。这是你在 Tunvio 之外的操作；从那时起，适用 YouTube（Google）的隐私政策，视频地址也会传给它。

获取分享的跳过标记。 当你播放某一集剧集时，Tunvio 会通过同一个代理查询，其他观众是否已为该季的片头和片尾字幕贡献了标记（见下文）。只传输 TMDB ID 和季编号，不传输具体哪一集、其时长或片名；匹配的那一集由应用在你的设备上选出。它提供的是一个按钮，绝不会自动跳转。

我们这样做的全部法律依据，是我们对便捷显示和播放的正当利益（GDPR 第 6 条第 1 款 f 项）。你可以提出反对（GDPR 第 21 条）：对元数据和图片请求，可通过 support@tunv.io；对获取跳过标记，可通过“设置 → 数据与存储”下的 “显示分享的跳过标记” 开关。TMDB 本身受其自己的条款约束（https://www.themoviedb.org/privacy-policy）；我们与 TMDB 没有任何关联。

通过 Tunvio 代理获取在线字幕（OpenSubtitles）

如果你搜索在线字幕（或开启自动加载，默认关闭），请求会经过我们的代理 subs.tunv.io（第 3 节）。只传输该片名的 TMDB ID 或 IMDB ID（若没有，则为经过清理的片名、年份、季和集编号）以及所请求的语言；不含播放列表、登录凭据或播放数据。代理使用我们的访问权限查询 OpenSubtitles，因此你不需要自己的账号；字幕会缓存在代理和你的设备上。法律依据是我们的正当利益（GDPR 第 6 条第 1 款 f 项）。OpenSubtitles 受其自己的隐私政策约束（https://www.opensubtitles.com）；我们与 OpenSubtitles 没有任何关联。

分享的跳过标记（可选）

你可以自愿为分享的跳过标记作出贡献：当你跳过片头，或在片尾字幕期间转到下一集时，Tunvio 会把该时间点发送到我们自己在德国运营的服务 tmdb.tunv.io/skip，且不含任何个人信息。

仅在同意后。 分享默认关闭，并且独立于“使用数据与崩溃报告”开关。在你第一次跳过片头后，应用会用一个小提示询问你；如果你不回答，它保持关闭，在三次提示都未得到回答后，应用不再询问。你的同意只适用于这台设备，不会通过设备同步带到其他设备。

每次贡献只传输以下内容： 片头或片尾字幕、该剧集的 TMDB ID、季和集编号、该集的时长，以及跳过点（对于片头，是你从哪里跳走、落在哪里；对于片尾字幕，是你在哪里转到下一集），均四舍五入到整秒。

不传输： 片名、服务商、播放列表、你的观看时间，以及任何设备标识符、安装标识符或每日标识符。通过已分享的标记完成的跳过不会被回传。

批量发送，而非即时发送。 贡献会在你的设备上收集（每集每种类型只保留最新一条），并且最多每天发送一次。

IP 地址。 它不会被存储（第 3 节）。为了使一台设备每集每天只计一次，由假名和剧集派生的一个加密值会额外保留到下一次密钥轮换，然后被丢弃。地址和假名都不会写入贡献（正当利益，GDPR 第 6 条第 1 款 f 项）。

存储与发布。 会存储上述数值和接收当天的日期（不含时刻）。只有当来自不同日期的多个独立贡献相互一致时，标记才会向其他人显示，并且只显示为中间值（中位数）加上数量，绝不显示单条贡献。单条贡献会在 180 天后被完全删除。只保留已发布的标记，即中位数、贡献数量和接收天数；如果之后有足够多的新贡献与之相矛盾，它也会被删除。

法律依据是你的同意（GDPR 第 6 条第 1 款 a 项，TDDDG 第 25 条第 1 款）。你可以随时在 设置 → 数据与存储 → “分享跳过标记” 下撤回；从那时起不再发送任何内容，尚未发送的贡献会被删除。获取分享的标记不受影响。已发送的贡献不带任何标识符，因此我们无法把它们与你关联，也无法向你提供访问或逐条删除（GDPR 第 11 条，见第 12 节）。

9. 更新检查 (tunv.io)

在 Android 和 iOS 上，Tunvio 会在启动时以及手动检查时，从 https://tunv.io/app/config.json 加载一个配置文件（第 3 节）。其中只包含有关应用的信息：当前版本和最低支持版本，以及下载或商店地址。不会传输任何有关你的播放列表、你的服务商或内容的信息；关于 IP 地址，见第 3 节。法律依据是我们对应用安全且保持最新的正当利益（GDPR 第 6 条第 1 款 f 项）。

如果你在 Android 上不通过商店自行安装更新，应用可以从该配置文件中指明的地址下载安装文件；该服务器随后会收到你的 IP 地址和常规的请求数据。

法律文件。 当你在应用中打开隐私政策、使用条款、法律声明或无障碍声明时，Tunvio 会在所有平台上尝试从 https://tunv.io/legal/ 加载当前版本（超时限制为 6 秒）；如果失败，则显示随应用附带的副本。只会发出对该文件的请求，不含任何有关播放列表或内容的信息；关于 IP 地址，见第 3 节。法律依据是我们对显示当前文本的正当利益（GDPR 第 6 条第 1 款 f 项）。

10. 设备同步（iCloud / Google Drive / OneDrive / WebDAV）

Tunvio 可以选择在你的各台设备之间同步播放列表、收藏、历史记录和设置。此功能默认关闭；你在设置 → 设备同步下连接它，并选择包含哪些类别。我们不运营任何同步服务器，也绝不会收到这些数据，数据会直接发送到你选择的存储：

• iCloud（iOS）或 Google Drive（Android）：位于你自己账号中应用专用的私有区域，其他应用无法读取。
• Microsoft OneDrive： 你通过设备代码直接登录 Microsoft；你不会在应用中输入密码。Microsoft 会请求访问你的 OneDrive 文件，这是 Microsoft 要求应用创建自己的文件夹所必需的；只会使用那个文件夹。你可以在 account.live.com/consent/Manage 撤回访问权限。
• WebDAV： 你自己选择的服务器，例如你自己的 Nextcloud 或 NAS。地址和登录数据保留在你的设备上（第 2 节）。

你的播放列表（服务器 URL、用户名）和家长控制 PIN 会被包含在内。你的 IPTV 账号的密码不会被上传；在新设备上，你需要输入一次。不过，对于 M3U、直接 URL 和 Stalker 播放列表，访问权限本身就是地址的一部分（播放列表 URL 或 MAC 地址），因此会一并传输。

断开连接后，同步文件会一直保留在你的存储中，直到你将其删除（iCloud：设置 → 你的姓名 → iCloud → 管理账户储存空间；Google Drive：设置 → 管理应用 → 删除隐藏的应用数据；OneDrive：删除应用文件夹；WebDAV：在你的服务器上删除该文件）。

法律依据是你的同意（GDPR 第 6 条第 1 款 a 项），通过连接来作出，并通过断开连接来撤回。适用 Apple（https://www.apple.com/legal/privacy）、Google（https://policies.google.com/privacy）和 Microsoft（https://privacy.microsoft.com/privacystatement）的隐私政策，或你的 WebDAV 服务器运营方的条款。

在家庭网络上同步（LAN）

作为补充或替代，设备可以直接在你的本地网络上同步，包括没有云同步的电视。这同样默认关闭：你用一个 6 位 PIN 把设备配对一次，之后它们直接交换数据，并进行端到端加密；密钥只存在于你的设备上。由于不涉及第三方存储，这里会包含密码。没有服务器，没有互联网连接，没有第三方。法律依据是你的同意（GDPR 第 6 条第 1 款 a 项），通过取消配对或关闭该功能来撤回。

11. 接收方一览

12. 你的权利

根据 GDPR，你享有访问权、更正权、删除权、限制处理权、数据可携带权和反对权，并有权向数据保护监管机构投诉。联系方式：support@tunv.io。你可以随时直接在设置中撤回同意，对将来生效；本地数据由你自己在设置中删除，或通过卸载来删除。

反对权（GDPR 第 21 条）。 凡是我们基于正当利益处理数据的情形（第 3、4.1、8 和 9 节），你都可以基于与你的特定情况有关的理由随时提出反对，方式是发送电子邮件至 support@tunv.io。对于获取分享的跳过标记，使用“显示分享的跳过标记”开关即可。

我们无法归属于你的数据（GDPR 第 11 条）。 自动错误报告（第 7 节）和分享的跳过标记（第 8 节）有意不带任何能让我们将其归属于某个人或设备的标识符。在这些情形下我们无法识别你，因此在此范围内，GDPR 第 15 条至第 20 条规定的权利不适用，除非你提供能够进行归属的额外信息（GDPR 第 11 条第 2 款）。你撤回同意的权利和投诉的权利不受影响。以下情形则不同：

• 你自己发送的问题报告： 凭参考编号，我们可以找到并删除该报告（第 7.1 节）。
• 设备配对： 在这里我们同样不存储姓名或账号，但你可以在设置 → Premium 下看到你家庭的完整记录，并在那里自行删除条目（第 5.1 节）。

13. 变更

当应用发生变化时，我们会更新本政策。当前版本可在 https://tunv.io/privacy-policy 以及应用中的设置 → 关于 → 隐私政策下查看。

---

本网站：访客统计

本节仅适用于网站 tunv.io，不适用于应用。应用本身不包含任何网站统计；应用处理哪些数据，见上文。

我们使用 Umami 统计网站访问量。Umami 是统计软件，由我们自己在自有服务器（stats.tunv.io）上运行，数据不会发送给任何服务提供商。

• 统计的内容： 访问的页面、你来自哪个页面（引荐来源）、浏览器、操作系统、设备类型、屏幕尺寸、语言、国家（根据 IP 地址推断）以及下载按钮（Google Play、APK）的点击。
• 不会发生的事： 不使用 Cookie，不写入你设备的存储空间，不存储你的 IP 地址，不跨网站跟踪，不转交给第三方。我们会尊重你浏览器中的“请勿跟踪”（Do Not Track）设置。
• 法律依据： 我们对了解网站使用情况并改进网站的正当利益（GDPR 第 6 条第 1 款 f 项）。由于既不使用 Cookie，也不使用设备存储空间，因此无需征得同意。
• 你的反对权： 你可以随时反对此项分析，方法是通过法律声明中的联系方式联系我们，或在浏览器中开启“请勿跟踪”。
• 保留期限： 一旦不再为此目的所需，数据即被删除。