隐私政策
生效日期 2026-10-18
1. 我们是谁
Back in 5（去去就回）由个人开发者 allen 开发和运营（下称“我们”），不是公司。Back in 5 包括三部分：
- Mac 应用：macOS 菜单栏防盗应用，以公证过的 DMG 在 Mac App Store 之外分发；
- iPhone 应用：在 App Store 上架；
- 中继服务：我们运营的服务器程序，运行在 Cloudflare Workers 和 Durable Objects 上，在 Mac 和手机之间传递状态、报警照片和指令。
联系方式：support@backin5.app
2. 要点
- 没有账号，没有广告，没有统计或追踪 SDK；iPhone 应用不含任何第三方 SDK。我们不出售个人信息。
- 从倒计时开始，摄像头只在内存里保留最近 10 秒。只有电脑被碰到（报警）时才会存盘和拍照。
- 录像只存在你的 Mac 上，不上传。报警照片、Mac 的状态和会话记录会上传到中继，这样手机才能看到。
- 照片、实时画面和录像里，除了离电脑最近（画面中最大）的那张脸，其余人脸都会在 Mac 上打码。
- 中继服务器在中国大陆境外。
3. 个人信息收集清单
3.1 只留在你的 Mac 上
| 信息 | 用途 | 存放位置 | 保存期限 |
|---|
| 摄像头缓冲：最近 10 秒画面，每秒约 8 帧 | 报警时保存“被碰之前的 10 秒” | 只在内存 | 不断被覆盖；警戒结束即丢弃 |
| 报警录像：被碰前 10 秒和之后直到解除，只有画面、没有声音 | 给你留证据 | ~/Movies/Back in 5/ | 7 天，总量最多 20 GB，旧的先删（应用启动和开始警戒时清理）；你可以随时删除 |
| 会话记录：开始和结束时间、触发方式、解除方式、忽略的碰撞次数、警笛时长、照片张数、录像文件名、是否测试 | 面板里的最近记录和“欢迎回来”摘要 | ~/Library/Application Support/BRB/ | 最近 30 次 |
| 运行日志：事件、错误、触发报警的输入类型或按键代码、已配对手机的名称 | 排查问题 | ~/Library/Logs/brb.log | 超过 10 MB 时只留最后 1 MB；可以随时删除 |
| 设置与密钥：屏幕留言、地点、音量、中继密钥和访问令牌、已配对手机的名称 | 让应用工作 | 应用偏好设置（com.allen.brb.mac） | 直到你重置链接或删除应用 |
| 键盘、触控板、运动传感器、屏幕开合角度、是否接着电源 | 实时判断有没有人碰电脑 | 只在内存里实时处理 | 不保存，也不上传（日志只记下触发报警的那一下是什么类型） |
| Touch ID | 解除警戒 | 由 macOS 处理 | 我们拿不到指纹，只知道“通过”或“未通过” |
3.2 Mac 发送到中继
每次开始警戒，Mac 都会连接中继，不管有没有配对 iPhone。 配对了 iPhone 时，空闲时也保持连接。
| 信息 | 用途 | 存放位置 | 保存期限 |
|---|
| Mac 的状态：警戒阶段和时间、地点、屏幕留言、警笛音量、测试模式、摄像头是否开启、触发方式和报警阶段、碰撞次数、最近 40 条事件 | 在手机页面和 iPhone 应用里显示；决定发哪些推送 | 中继 | 只保留最新一份，每次变化时覆盖；直到你重置链接 |
| 配对 iPhone 后另加：电脑名称（例如“Allen 的 MacBook Pro”）、机型、电量、是否在充电、四项自检结果 | 在 iPhone 上显示这台 Mac | 中继 | 同上 |
| 报警照片：目前每次报警最多 3 张 JPEG（中继每次报警最多留 6 张），旁人已打码 | 让你在手机上看到发生了什么 | 中继 | 7 天；可以提前删除 |
| 实时画面：约每秒 8 帧，旁人已打码 | 报警期间实时查看 | 中继只转发，不保存 | 只在报警期间、并且有权限的人正在看时发送 |
| 会话历史：每次警戒的开始和结束时间、地点、类型（正常、报警、测试）、触发和解除方式、提示音和警笛时长、照片时间、事件、录像文件名 | iPhone 上的历史记录 | 中继 | 每台 Mac 最近 30 次，没有时间上限；可以单条删除，或重置链接全部删除 |
| 配对码：6 位数字和二维码字符串，附带电脑名称、机型和访问令牌 | 让 iPhone 配对 | 中继 | 10 分钟有效，只能用一次；过期 1 小时后在下次清理时删除 |
3.3 iPhone 应用发送到中继
| 信息 | 用途 | 存放位置 | 保存期限 |
|---|
| 设备登记：随机的安装 ID、设备名称（iOS 通常只给出“iPhone”）、Apple 推送令牌、实时活动令牌、语言、时区（手机的时区设置，用来按你的当地时间显示报警时间）、通知偏好、是否“静音也响” | 给这台手机发报警推送和实时活动更新 | 中继（每台 Mac 最多 6 台设备） | 直到你在 iPhone 上取消配对、重置链接，或被第 7 台设备替换 |
| 配对时的设备名称 | 告诉 Mac 哪台手机配上了 | 中继转交给 Mac 后，存在 Mac 的设置和日志里 | 中继在 Mac 下次连接时转交，然后删除 |
| 你发出的指令：开始、停止、静音、解除、修改设置（可能含留言文字）、重置 | 控制 Mac | 中继（Mac 离线时排队，最多 8 条） | 送达后删除；“开始”30 秒、其余 10 分钟后作废 |
| 输错配对码时的 IP 地址（IPv6 只取前 64 位）和时间 | 防止猜码：每个地址 10 分钟内最多 8 次 | 中继 | 10 分钟后在下次清理时删除 |
3.4 只留在你的 iPhone 上
| 信息 | 用途 | 存放位置 | 保存期限 |
|---|
| 已配对的 Mac：房间 ID、访问令牌、中继地址、名称、机型、你给它起的名字 | 连接中继 | App Group 共享设置（不在钥匙串里） | 直到取消配对或删除应用 |
| 每台 Mac 的最近状态和最近一次会话 | 小组件、离线时显示 | App Group | 每次更新覆盖；取消配对时删除该 Mac 的配对记录和状态 |
| 报警照片缓存 | 通知、实时活动、小组件 | App Group 的 photos/ 文件夹；iOS 的网络缓存 | 最新 12 张、最多 2 天；网络缓存由 iOS 管理；通知里的照片随通知由 iOS 保存 |
| 设置：解除前是否要面容 ID、通知偏好、随机安装 ID、上次的留言和地点 | 让应用工作 | App Group | 直到删除应用 |
| 实时画面 | 报警期间查看 | 只在内存 | 不保存 |
这些本地数据可能按你的设置包含在 iCloud 或电脑备份里。
3.5 权限
- iPhone 相机：只用来扫 Mac 上的配对二维码。画面不保存，也不上传。
- 面容 ID 或密码：在解除报警或停止警戒前确认是你。由 iOS 处理，我们拿不到生物特征。
- 照片（仅添加）：只在你选择保存报警照片或分享卡片时写入相册。我们不读取你的相册。
- 通知：报警提醒；“静音也响”需要你允许。
- Mac：摄像头；辅助功能（用来察觉键盘和触控板）；合盖不睡眠需要一次性安装的管理员规则。
4. 摄像头与周围的人（敏感个人信息）
报警照片和录像可能拍到人脸。人脸图像属于敏感个人信息。我们这样处理：
- 只有电脑被碰到后才存盘和拍照。平时只有内存里不断被覆盖的 10 秒，路过的人不会被存下来。
- 照片、实时画面和录像在离开摄像头处理流程之前，就在 Mac 上把除最大那张脸以外的所有人脸打码。这一步用 Apple Vision 的人脸检测，只找人脸的位置。Back in 5 不做人脸识别，不提取或保存人脸特征。
- 打码可能漏掉（侧脸、遮挡、光线差）。离电脑最近的人是清楚的，这是为了给你留下证据。
- 警戒时屏幕会用中英文提示：“请勿触碰”，“路过不会被录下，碰它才会录像”。
- 在哪里、什么时候用 Back in 5 由你决定。对于被拍到的其他人，我们只是替你保存和传递这些照片。你要遵守当地关于录像和个人信息的法律，见《用户协议》（使用条款）。
5. 谁能看到
- 持有主人令牌的人：你的 Mac、每台已配对的 iPhone，以及拿到 Mac 面板里“手机页面”链接的人。可以看到状态、照片和历史，报警期间可以看实时画面，iPhone 还能发指令。请不要随意转发这个链接。
- 报警通行证：每次报警生成一个，放在这次报警的推送里。只能看这次报警的照片、经过和实时画面，报警解除后失效。看不到电脑名称、电量和设置。
- 只知道房间 ID 的人：只能看到 Mac 有没有在警戒。
- 我们（中继运营者）和 Cloudflare：服务器上的数据不是端到端加密的，技术上可以访问。我们不查看照片或其他内容，除非为了让服务正常运行、处理滥用，或法律要求。
6. 第三方共享清单
除上表和法律要求外，我们不向任何人提供你的个人信息。
7. 跨境传输（单独同意）
中继服务器（Cloudflare）和 Apple 推送通知服务都在中国大陆境外。只要你使用警戒功能，Mac 就会把第 3.2 节的信息发到中继；配对 iPhone 后，还会有第 3.3 节的信息和推送。
- 境外接收方的名称和联系方式：见第 6 节。
- 目的和方式：运行中继、推送提醒；全部经 HTTPS 或 WSS 加密传输。
- 信息种类：见第 3.2、3.3 节和第 6 节。
- 行使权利的方式：见第 8 节，也可以直接联系我们。
单独同意：使用 Back in 5 的警戒功能之前，请单独确认你同意上述个人信息（包括报警照片中的人脸图像）传输到中国大陆境外。如果不同意，请不要使用警戒功能，或按第 11 节自建中继。你可以随时撤回同意：重置链接并停止使用。撤回不影响撤回之前已经进行的处理。
8. 你的权利，以及如何删除
你有权查阅、复制、更正、删除你的个人信息，撤回同意，要求我们解释处理规则。在欧盟和英国，你还有权限制处理、反对处理、数据可携，并向当地监管机构投诉。
你可以自己完成大部分操作：
- 删除一次会话和它的照片：iPhone 应用“记录”里打开这一条，点“删除”。
- 删除云端的全部照片：iPhone 应用“设置”→“隐私与数据”→“删除我在云端的所有照片”。历史列表会保留。
- 删除中继上关于这台 Mac 的全部数据：在 Mac 面板点“重置链接…”，或 Mac 设置 →“手机”→“取消所有手机的配对…”，或在 iPhone 上这台 Mac 的页面点“重置链接”（Mac 需要在 10 分钟内在线）。之后旧链接失效，所有手机取消配对，中继删除照片、历史、状态和设备登记，只留下一个“已重置”的标记，好让旧链接显示“已重置”。
- 取消配对一台 iPhone：删除这台手机在中继的设备登记和手机上的配对记录。Mac 的照片和历史不会被删除。
- Mac 本地数据：删除
~/Movies/Back in 5/ 里的录像、~/Library/Logs/brb.log 和 ~/Library/Application Support/BRB/。 - iPhone 本地数据：删除应用。
也可以发邮件到 support@backin5.app。因为没有账号，请告诉我们房间 ID（手机页面链接里 /v/ 后面那一段），以便找到对应的数据。我们会在 15 个工作日内答复。最快的方式仍是自己重置链接。
9. 安全措施
- 所有网络传输使用 HTTPS 或 WSS（TLS 加密）。
- 随机生成的密钥：Mac 密钥 32 位，主人令牌 24 位，每次报警的通行证 16 位。房间 ID 是 Mac 密钥的哈希，知道房间 ID 也无法冒充这台 Mac。
- 配对码 10 分钟有效、只能用一次；每个 IP 地址 10 分钟内最多试 8 次；比较时不泄露时间信息。
- 只有主人令牌可以发指令。iPhone 默认在解除报警或停止警戒前要求面容 ID。
- 中继只保留协议规定的字段，并限制长度和数量。实时画面不落盘。
- 人脸打码在 Mac 上完成，然后才上传。
- 局限：服务器上的数据不是端到端加密的。令牌存放在 Mac 和 iPhone 的应用设置里（不在钥匙串），依靠系统本身的保护。如果怀疑链接泄露，请立即重置链接。
10. 儿童
Back in 5 不面向 14 周岁以下的儿童（在其他地区为 13 周岁以下，或当地法律规定的更高年龄）。我们不会有意收集儿童的个人信息。如果你认为孩子用了 Back in 5，请重置链接，或联系我们。
11. 自建中继
你可以部署自己的中继，并用 defaults write com.allen.brb.mac relayHost <你的地址> 让 Mac 使用它（见项目 README）。这样第 3.2、3.3 节的数据只到你的服务器，不到我们这里，由你负责它的运营和合规。iPhone 会使用配对二维码里的中继地址。
12. 我们不做的事
不做广告，不做统计分析，不跨应用追踪，不出售或出租个人信息，不建立用户画像，不做人脸识别，不录声音，不获取定位、通讯录或广告标识符。中继只接触 IP 地址（传输所需、防猜码）。如果你在 iPhone 设置里选择“与 App 开发者共享”，Apple 可能会把崩溃报告等汇总信息提供给我们。
13. 处理依据（欧盟 GDPR）
- 履行合同：提供你要用的功能（警戒、推送、手机查看、历史）。
- 正当利益：安全和防滥用（例如记录输错配对码的 IP）；替你保存报警中拍到的他人照片作为证据。
- 同意：通知权限，以及法律要求同意的跨境传输。
14. 变更
政策有变化时，我们会更新本页和生效日期。重大变化会在应用内或发布说明里告诉你。
15. 联系我们
allen（个人开发者）· support@backin5.app