MovieClaw Cloud
隐私政策
最后更新：2026 年 10 月 8 日（草案）
MovieClaw Cloud（本网站，以下称「我们」）为自部署的 MovieClaw 服务器（以下称「实例」）提供账号、实例认领和官方 MovieClaw App 的推送中继。本政策说明我们收集哪些信息、为什么收集、保存多久，以及你如何删除它们。MovieClaw 软件运行在你自己的机器上， 它保存的片库、观看记录和成员信息都留在你的机器上，我们接触不到，也不在本政策范围内。
我们的原则
- 只有实例管理员登录本网站。家庭成员和 MovieClaw App 从不登录，也从不连接我们的服务器。
- 推送内容端到端加密：内容在你的实例上加密，只有登录过这台实例的设备能解密。我们和推送中继只看得到密文。
- 我们不保存「人 → 手机」的对应关系，不保存设备令牌，不主动给你或你的家人发推送，也不做群发。
- 我们不知道、也不收集你的实例下载了什么、看了什么。
我们收集的信息
账号
- 登录方式：通过 Google 或 GitHub 登录时，我们从对方获得账号的唯一标识、邮箱及其是否已验证、名字和头像； 使用邮箱验证码登录时，我们获得你填写的邮箱。我们只向 Google 申请 openid、email、profile 三项权限。
- 登录会话：你登录的每个浏览器对应一个会话，我们记录它的创建时间、最近使用时间、IP 地址和浏览器标识（User-Agent）， 用于在「账号」里列出你的登录设备、让你踢掉不认识的设备。会话令牌只以哈希形式保存。
- 邮箱验证码：只保存验证码的哈希，10 分钟后失效，输错 5 次作废。
- 产品动态订阅：只在你主动订阅时记录：收信邮箱所属的登录方式、想收的消息（重要动态、版本更新）、订阅时页面的语言、从哪个页面订阅的，以及订阅和修改的时间。 只发到你账号下已验证的邮箱。取消订阅、解绑那个登录方式或删除账号，这条记录随即删除。
实例
- 认领时：实例名称、实例版本、申请的权限，以及发起认领请求的 IP 地址和据此估算的地区。地区显示在批准页上，提醒你核对这次连接是不是自己发起的。
- 连接之后，实例每小时上报一次版本和统计信息，详见下文「你的服务器会发给我们什么」。
推送中继
- 推送中继把实例发来的密文转发给 Apple 推送通知服务（APNs），不保存设备令牌，不保存推送内容。
- 为了执行限额，中继按「实例 × 天」汇总推送计数：各推送类型和优先级的条数、不同设备数（近似计数，不保存设备令牌或其哈希）、每小时峰值、失败次数和原因。 中继每隔几秒把这些计数写进我们的数据库，保留 90 天，用于在官网展示你的实例的推送情况和制定限额。这部分计数是提供服务所必需的，不受实例统计开关控制。
- 中继的日志只记录实例 ID、推送的追踪 ID、设备令牌哈希的前缀和结果，保留 30 天，用于排查故障和处理滥用举报。
你的服务器会发给我们什么
把 MovieClaw 服务器连接到 MovieClaw Cloud 之后，它会和我们通信。下面是它发给我们的全部信息、我们为什么需要，以及你能不能关掉。
| 信息 | 什么时候发 | 为什么需要 | 能不能关 |
|---|---|---|---|
| 服务器名称、版本、申请的权限；发起连接的 IP 地址（据此估算大致地区） | 连接时一次 | 显示在批准页上，让你核对这次连接是不是自己发起的 | 不能，连接必需 |
| MovieClaw 版本、运行环境版本、操作系统和 CPU 架构 | 每小时一次 | 确认这个版本还受支持、再签发推送凭证；版本太旧时提醒你升级；排查推送故障 | 不能，保持连接必需 |
| 能收推送的设备数，按平台和 App 版本汇总（比如「iOS · 0.3.0 · 2 台」） | 每小时一次 | 在本网站显示每台服务器有几台设备能收推送；App 发新版时了解还有多少旧版在用 | 能：服务器的「设置 → MovieClaw Cloud」里关掉统计 |
| 官方推送连不连得通、最近一次推送成功的时间 | 每小时一次 | 推送收不到时，分清是我们的推送服务出了问题，还是你的服务器连不上网 | 能，同上 |
| 每天推送了多少条（按类型和优先级）、发往多少台不同设备（近似数）、失败了多少次和原因 | 推送时由推送中继计数 | 执行每天的推送限额；在本网站显示用量 | 不能，提供推送服务必需；保留 90 天 |
每小时的上报我们只保存最近一次。
不会发给我们的
- 你下载了什么、看了什么：片名、站点、下载器、订阅、媒体库的内容和规模、事件类型（开始下载、已入库……）。
- 家里的人：成员数量、谁收到了哪条推送。
- 设备的身份：设备名、型号、手机 IP。设备令牌只在推送的那一刻经过推送中继，不保存。
- 推送内容：在你的服务器上加密，只有登录过这台服务器的设备能解开，我们和推送中继只看得到密文。
我们如何使用这些信息
让你登录和管理实例；按你的订阅发送产品动态邮件；向实例签发推送凭证；执行推送限额；在官网展示实例状态；排查故障；处理滥用举报。我们不出售任何信息，不用于广告，也不做用户画像。
第三方服务
| 服务 | 用途 | 接触到的信息 |
|---|---|---|
| Google、GitHub | 第三方登录 | 你授权的账号信息 |
| Amazon SES | 发送登录验证码邮件，以及你订阅的产品动态邮件（新加坡区域） | 你的邮箱、验证码或邮件内容 |
| Cloudflare Turnstile | 发验证码前的人机校验 | 浏览器环境、IP 地址 |
| 阿里云 | 运行本网站、API、推送中继和数据库的服务器（新加坡） | 本政策列出的全部信息 |
| Cloudflare | 本网站和 API 的网络加速与防护；存放数据库的加密备份（R2） | 访问时的 IP 地址和请求；备份上传前已加密，Cloudflare 读不到内容 |
| Apple 推送通知服务 | 把推送送到设备 | 设备令牌、密文 |
存放地点与保存期限
- 服务器和数据库位于新加坡（阿里云），本网站和 API 的流量经过 Cloudflare 的网络。
- 会话在空闲 30 天或满 90 天后失效并删除；验证码、登录流程、配对码 10 分钟内有效，过期后每天清理；推送计数保留 90 天；账号和实例信息保存到你删除为止。
- 数据库每小时备份一次，加密后在服务器上保留 14 天、在 Cloudflare R2 保留 35 天，到期自动删除。所以删除账号后，你的信息最晚 35 天后也会从备份中消失。
Cookie 和浏览器本地存储
和登录有关的 cookie 有：__Host-session（登录会话，最长 90 天）、__Host-oauth_state（第三方登录过程中的一次性校验，10 分钟）、__Host-pending（第三方账号还没关联时，等你确认建新账号或绑定已有账号，10 分钟）， 以及 movieclaw_last_login（记住这个浏览器上次用哪种方式登录，在登录页标出「上次使用」，1 年）。 另外，你在本网站切换过语言，或打开过和浏览器语言不同的语言版本时，mc_lang 会记住这种语言（1 年），登录页和控制台按它显示。
发送邮箱验证码后，浏览器的本地存储（localStorage）里会记下最近一次发送的邮箱和时间，用来显示「重新发送」的倒计时。它只留在你的浏览器里，不会发给我们。
本网站不使用任何统计、广告或第三方追踪 cookie 和脚本。
你的权利
- 在「账号」里查看、绑定和解绑登录方式，查看和踢掉登录设备，修改或取消产品动态邮件的订阅。
- 在「实例」里查看每台实例最近一次上报的内容，解绑实例。
- 在「账号」里删除账号：名下实例全部解绑，会话全部失效，登录方式全部删除，个人信息清空。已解绑实例的推送计数在 90 天内自然过期。
联系我们
对本政策有疑问，或需要我们协助处理你的数据，请发邮件到 [email protected]。
政策变更
政策有重要变更时，我们会在官网公告并更新本页顶部的日期。