本页内容
本政策说明 PadRemote AI 官网、移动 App、电脑端 Host、连接协调服务与账号服务如何处理你的数据，以及你可以如何管理、删除数据及联系我们。
1. 运营者与联系方式
PadRemote AI 由 牛奶股份有限公司（统一编号 53535550，以下简称“我们”）提供。隐私问题、数据查询、更正或删除请求，请发送至 Brian@sakilu.com。
本政策更新及生效日期：2026 年 10 月 14 日。适用于本官网、PadRemote AI App、Host，以及我们提供的协调、通知与账号服务；你自行使用的 AI、Git 远程仓库及其他外部服务另依各服务商政策处理数据。
2. 处理目的与数据来源
我们为提供账号登录、订阅与使用权确认、远程开发、配对连接、文件与终端操作、可选的语音和通知功能，以及维护安全、防止滥用、排除故障与回复你的请求，处理下列数据。数据来自你输入或选择的内容、你的设备与 Host、你选用的登录服务与 App 商店，以及建立连接所需的网络信息。
手机与平板 App 须登录 PadRemote AI 账号才能连接（见第 4 节）；桌面版与网页版 App 不需要账号。目前产品与官网没有广告、广告标识符追踪或出售个人数据的功能。数据处理基于提供你所请求服务的必要性、你启用可选功能时的选择，以及适用法律允许或要求的范围。
3. 项目、文件与 AI 工具
项目路径、文件、Git 差异、终端输入输出及附件，在 App 与你自己的 Host 之间通过加密 WebRTC 连接传输，优先直连。直连无法建立时，App 会自动改经协调服务的 TURN 中继转发；中继只转发端到端加密（DTLS）的数据，无法解密，也不保存这些项目内容。文件、Git 仓库与 AI CLI 历史仍可能保存在你的开发电脑。
你发送 AI 指令或让 AI 读取文件时，电脑上已登录的 AI 工具会依其设置，把输入、文件或必要上下文交给所选供应商。供应商的保存、训练用途及删除方式取决于你的账号、方案与该服务政策；加密直连不会阻止你选用的 AI 工具向其服务商发送数据。
上传的附件保存在项目的附件库，直到你删除。删除附件库中的文件，不会自动删除你另存、发送给 AI 或备份的副本。终端和 AI 进程使用开发电脑登录账号的权限；项目文件访问限制不等于 shell 沙箱。
4. 账号、订阅、配对与本地状态
账号与登录：账号以 Email 识别，可用 Email 验证码、“通过 Apple 登录”（iOS）或“使用 Google 登录”登录。Email 与登录数据由 Amazon Cognito 保存，验证码邮件经 Amazon SES 发送。使用 Apple 或 Google 登录时，我们验证该服务签发的身份令牌，只取用其中已验证的 Email 来对应账号，不另外保存令牌；选择 Apple“隐藏邮件地址”时，收到的是 Apple 的转发地址，会成为另一个账号。App 在设备的安全存储中保存登录状态；使用 Apple 登录时也保存 Apple 提供的用户标识符，供删除账号时处理 Apple 授权。
设备与连接许可：每个账号最多登记 5 台手机／平板。账号数据库保存账号的随机标识符、设备公钥、平台与设备类型名称，以及由设备标识符加上账号专属随机值计算的哈希值（不保存原始设备标识符），用于签发连接许可、限制设备数量与防止滥用。每次连接前，App 向账号服务取得短期连接许可，Host 以此确认账号有使用权，并区隔不同账号的终端；许可记录包含账号与设备标识符及签发时间，不含项目、文件或终端内容。
订阅与购买：订阅通过 App Store 或 Google Play 付款，我们不会取得你的支付卡号或商店账号密码。购买时，App 附上账号专属的随机代号，让商店交易能对应到账号。商店确认购买后，我们向 Apple 或 Google 核实，并保存交易标识符、方案、试用与自动续订状态、到期时间，以及退款、取消等商店事件，用来判断使用权。我们也可能给予特定账号免费使用权（例如商店审核或亲友），并保存给予原因与期间。
协调与 STUN 服务会处理 Host 公钥／连接代码、来源 IP、网络候选地址与连接状态，用于配对、寻找直连路径、限流与防止滥用。配对密码由 Host 验证，协调服务不取得明文密码、Host 身份私钥或你的 AI 登录凭据。二维码含连接代码，不含配对密码。
若勾选记住连接，App 使用操作系统安全存储保存 Host 地址及密码；你可在连接页面忘记凭据。语言、工作区状态、编辑／提示草稿、常用指令与使用次数存于设备本地。这些本地数据不会因忘记连接而全部删除，也不会自动传至协调服务。
5. 相机、录音与语音识别
相机权限用于扫描连接二维码，扫描图像在设备上处理，PadRemote AI 不保存或上传该图像。你可以拒绝相机权限并手动输入代码。Android 扫码使用 Google ML Kit；其 SDK 会向 Google 发送安装标识符、设备／App 信息及性能、使用与错误诊断。iOS 扫码使用 Apple Vision，不应把 Android 的 SDK 数据行为视为 iOS 的行为。详见 Google ML Kit 数据披露。
只有你在 App 点击麦克风开始语音输入时才录音；拒绝麦克风权限仍可使用文字输入。语音输入需要有效的 PadRemote AI 订阅（含 7 天免费试用）。录音在 App 内以应用层端对端加密，直接以流式传输发送到我们自行运营、位于台湾台北的语音识别服务器，不经过你的 Host。传输途中会经过 Cloudflare 网络，Cloudflare 只能看到加密后的数据，无法解读录音内容。服务器会确认你的账号使用权，并处理连接所需的 IP 等网络信息。
服务器在内存中识别并校正文字，识别完成后立即删除音频：录音不写入磁盘、不保存，也不用于训练模型。识别文字回传到你的设备，服务器不保留。文字会先显示在 App 的“确认语音输入”界面，由你修改后选择“仅粘贴”或“发送”；进入终端后，就和你输入的其他文字一样，由电脑上的终端与 AI 工具处理（见第 3 节）。
6. 通知与推送
完成通知默认关闭。你启用通知且平台支持时，App 会取得 Apple APNs 或 Google FCM 推送 token，交给 Host 保存。前台通知在设备本地显示；后台推送由 Host 经协调服务转交 Apple 或 Google。
后台推送包含设备 token、通知标题、项目名称、AI 工具名称与项目代号，不含终端完整输出、文件或指令。协调服务为投递处理这些数据，不建立推送内容历史库。第三方推送服务仍依其政策处理数据。你可在 App 设置关闭通知；Host 撤销连接或清除设置也会清除其保存的推送 token。敏感的项目名称可能出现在系统通知，请自行管理锁屏预览。
7. 诊断、官网与下载
App 与 Host 的本地诊断记录包含版本、时间、连接／进程事件、错误代码及性能计数，用于排查问题；不以保存密码、文件内容或终端全文为目的，也不自动上传给我们。你可以查看、导出或清除；若将导出文件发送给我们，该副本会用于处理你的支持请求。
问题反馈与连接诊断反馈只在你按下“发送”后才会传送。内容包含你填写的说明、你选取的截图或文件、可选的联系邮箱、App 版本、平台与语言、连接诊断文字（IP 地址已遮蔽），以及（若保持勾选）本地诊断日志；不含密码与终端内容。协调服务仅转发邮件给发行者、不保存，发行者只用于处理该条反馈。
官网使用浏览器 localStorage 记住语言选择，未加入第三方分析或广告程序。清除本站存储空间即可移除语言设置。网站与连接基础设施仍可能处理 IP、请求时间、网址、浏览器／网络信息及安全或错误记录。
Host 更新查询与安装文件、App 斜线指令清单使用 GitHub。这些请求不需要发送项目内容，但下载服务可见 IP 及一般 HTTP 标头。
连接服务日志实际记录什么？
正式服务器保留的是服务运行日志，不是用户操作或逐次配对历史。2026 年 9 月 27 日核查当前保留的近期日志，内容为：
- 协调程序：服务版本、启动时的运行模式（例如仅直连），以及启动或运行失败的错误信息。程序没有逐条写入配对成功、Host 代码或配对双方的历史记录。
- HTTPS／STUN 组件：日志时间、消息级别、服务组件、服务器监听地址／端口、支持的协议、STUN 能力提示，以及 HTTPS 证书到期与更新计划。此次核查未见用户 IP 或逐次配对记录；日志中出现的 IPv4 为服务器监听设置
0.0.0.0。正式服务器未启用逐条 HTTP 访问日志，但组件遇到异常时仍可能输出网络错误诊断，不能把本次样本理解为任何情况下都不会产生日志。 - 不属于日志的临时状态：IP、Host 公钥／代码、配对与限流状态会在内存中用于建立连接；处理这些信息不等于将它们全部写入日志或创建用户数据库。
这些日志不记录通过 P2P 传输的项目文件、Git 内容、终端指令／输出或 AI 对话，无法用于还原你的工作内容。
8. 数据保存在哪里、由谁删除
下列凭据、诊断、项目与附件的保存期限，是你自己的 App 或 Host 的本地行为，不是我们服务器保存的数据。我们的服务器保存两类数据：连接服务日志，以及账号与订阅记录（见第 4 节）；两者都不含你的项目、文件、Git、终端或 AI 对话内容。语音识别服务器只在内存中处理录音，识别后立即删除，不保存录音或识别文字（见第 5 节）。若你另行发邮件联系我们，我们也会收到你主动提供的邮件内容；这不代表我们能访问你的设备或项目。
- App／Host 本地诊断：各自以 7 天、10 MB 为清理上限，在程序运行时轮替；可手动清除。已导出的副本需另行删除。
- 本地凭据、偏好与草稿：保存至你使用相应清除功能或删除相关设备数据。安全存储与系统备份的保存方式依平台而异，请先使用“忘记凭据”，不要只依赖卸载。
- 项目、附件与 AI 历史：由你及所选 AI／备份服务管理；卸载 App 或撤销配对不会自动删除开发电脑上的内容。
- 协调服务：活跃连接与限流数据在内存中，随断开连接、超时或服务重启清除；这与基础设施日志不同。
- 正式服务器服务日志：使用容量轮替，每个日志文件上限 10 MB、最多 3 个文件；达到轮替上限时淘汰旧文件。这是容量限制，不是固定几天删除，也不代表保存了用户的连接或工作历史。
- 账号与登录数据：Email 与登录数据保存在 Amazon Cognito，直到你删除账号。
- 删除账号：你可以在 App“设置”中删除账号。删除后，App 随即删除 Cognito 中的 Email 与登录数据（若因网络中断未完成，可发邮件请我们删除）；账号数据库中的账号标记为已删除，设备撤销并清除设备名称，免费使用权撤销，登录身份的对应删除，商店购买记录解除与该账号的关联，之后可在新账号恢复购买。之后再登录会建立新的账号。
- 删除账号后保留的记录：不含 Email 的交易、账务、连接许可与审计记录，依账务、税务、防止欺诈及法定留存需要保存，不再需要时删除或去标识化。删除账号不会取消 App Store 或 Google Play 的订阅，请到商店取消。
- 你主动发送的联系资料及其他基础设施日志：依维持服务、安全调查、问题处理及法定留存需要保存；不再需要时删除或去标识化。不同基础设施与服务商的日志轮替、备份机制不同，本政策不承诺所有服务器日志均于相同固定天数内删除。你可以联系我们查询适用于你请求的数据类别及保存情况。
9. 接收对象与跨境处理
网站、协调服务与账号服务使用 AWS；网站通过 CloudFront 分发，账号、订阅数据库与登录服务位于 AWS 东京区域（ap-northeast-1）。语音识别服务器由我们自行运营，位于台湾台北；语音连接经 Cloudflare 网络转发，Cloudflare 只能看到加密数据。依你使用的功能，数据亦可能由 Google（ML Kit／FCM／Google 登录／Google Play）、Apple（APNs／通过 Apple 登录／App Store）、GitHub、Cloudflare，以及你选择的 AI 供应商处理。网络与服务商基础设施可能位于你所在国家／地区以外；本地项目内容不会仅因使用 AWS 托管就自动上传到 AWS。
我们仅为上述服务目的、处理你的请求，或在法律要求及保障服务安全所必要的范围内提供数据，不将个人数据出售给广告商。第三方各自的处理方式请参阅 AWS、Google、Apple、GitHub、Cloudflare 的隐私政策，以及你选用 AI 服务的政策。
10. 你的选择与权利
你可拒绝相机或麦克风权限、停用通知、忘记连接凭据、在 Host 撤销配对、管理附件，或清除本地诊断。拒绝非必要功能不影响其他可用功能；若不提供配对与网络连接所需信息，则无法使用远程连接服务。
就我们实际持有的连接日志、账号与订阅记录，以及你主动发送的联系资料，依适用法律，你可请求查询或查阅、取得副本、补充或更正、停止收集／处理／使用，以及删除个人数据；基于同意的处理可撤回同意。请发送邮件至 Brian@sakilu.com，说明请求类型、账号 Email、使用的平台与大致时间。我们会在必要范围内确认身份并依适用法律处理；若有法定保留理由或数据不在我们控制范围，会说明限制。
请勿发送配对密码、私钥、AI 登录信息或完整项目。仅存在你设备／Host 的数据须由你在本地管理；第三方独立持有的数据可能需向该服务商提出请求。你可以随时在 App“设置”中自行删除账号（见第 8 节）；无法使用 App 时，也可以发邮件请我们处理。
11. 安全、儿童与政策更新
我们使用加密传输、配对验证及访问控制降低风险；你仍需保护设备、Host 密码、开发电脑账号与 AI 凭据。任何网络或存储系统均无法保证绝对安全。
本产品是开发工具，并非以儿童为对象。我们不保存用户的年龄或儿童身份数据，也无法查看或代为删除用户设备、Host 或 AI 服务中的内容。若隐私疑虑涉及我们持有的连接日志、账号与订阅记录，或用户主动发送给我们的联系资料，可通过上述邮箱提出；我们仅能核查实际持有且可识别的数据，并依适用法律处理。设备与 Host 内的数据应由用户或监护人在本地管理，第三方服务数据则需向该服务商提出请求。
功能、供应商或数据处理方式改变时，我们会更新本页及日期；重大变更会通过官网或产品内适当方式通知，依法需要时另行取得同意。