隐私政策

要点

meetii 从不录制或保存您的通话、聊天、白板内容或实时字幕—这些内容在参与者之间传输，通话结束后即消失。为了让您能呼叫已保存的联系人，我们会存储一份简短的联系人列表（一个昵称、一个随机标识符和您密钥的单向哈希值）以及一个推送令牌；短期保存您邀请他人时使用的邮箱地址；对于经我们中转服务器的通话，保存一份记录其时间、时长和类型的简短日志；并在一到两天内保存用于执行每日免费视频一小时限制的计数器。如果您购买套餐，付款由 Polar 处理，我们绝不会看到您的银行卡信息；我们只保存许可码、相关日期以及已使用的量。详情见下文。

meetii（以下称"本应用"）是一个由个人开发的实验性项目。本政策尽可能清楚、完整地说明本应用处理哪些数据以及为什么—包括那些"我们什么都不存"这种说法会略去的部分。

1. 通话是如何进行的

meetii 通过房间码，使用 WebRTC 直接连接两个人（点对点的视频、音频、文字聊天和白板绘制）。在条件允许时，这些数据直接在双方设备之间传输，完全不经过我们的服务器。当无法建立直连时，加密的音视频会经由 Cloudflare, Inc. 运营的 TURN 中转服务转发——Cloudflare 只转发加密后的流量，无法访问您通话的解密内容。聊天消息和白板笔迹在任何时候都不会被写入任何服务器，我们不会，Cloudflare 也不会——它们仅在通话期间存在于两台设备的内存中。

2. 信令服务器

一台位于 Cloudflare 的小型信令服务器，会短暂协调双方的连接建立过程（交换房间码以及建立通话所需的连接信息）。该服务器不记录也不保存音频、视频、聊天或白板内容。房间码和连接数据仅在会话期间存在，双方断开后即被丢弃。

3. 摄像头与麦克风

本应用会为视频和语音通话请求设备的摄像头和麦克风权限。我们不会录制、保存您的通话，也不会将其传输到我们自己的服务器—您的摄像头和麦克风数据流仅直接发送给（或按第 1 节所述以加密方式中转给）通话对方。两者仅在通话期间启用，退出通话或关闭应用后即释放。您可以随时在浏览器或 Android 系统设置中拒绝或撤销该权限。

3a. 实时字幕与翻译

如果参与者在通话期间开启字幕，将发生以下过程，且仅此而已：

• 讲话者自己的设备使用该设备或浏览器的语音识别服务，将讲话者的语音转换为文字。视设备而定，这一过程在设备本地完成，或由该服务的提供者（例如 Android 和 Chrome 上的 Google、iPhone 和 Safari 上的 Apple、Edge 上的 Microsoft）依据其自身的隐私条款执行。这些内容从不发送给我们。
• 文字像聊天消息一样，通过通话的加密连接直接发送给另一方参与者。
• 在可提供翻译的情况下，由阅读者的设备进行翻译：在 Android 上使用 Google ML Kit 的离线语言模型，这些模型在您同意下载时从 Google 的服务器下载一次；在电脑上使用浏览器内置的翻译功能。
• 字幕仅保存在两台设备的内存中，通话结束后即消失。我们不接收、不保存也不分析字幕，本应用也不提供任何保存字幕的方式。

讲话的一方会看到对方已开启字幕的提示，并可随时将麦克风静音或结束通话。法律依据：应用户请求提供该功能（GDPR 第 6 条第 1 款 (b) 项），以及就另一方参与者而言，我们在提供无障碍、多语言通话服务方面的正当利益（GDPR 第 6 条第 1 款 (f) 项）。

4. 您的身份与联系人：我们存什么，为什么存

为了让您一键呼叫已保存的联系人—而不必每次分享新的代码—meetii 会在我们的服务器上保存一份简短的记录。这是本应用在单次通话之外存储内容的主要地方，因此我们在此明确说明：

• 您的标识符 — 在您设备上生成的随机字符串，不与您的姓名、邮箱、电话号码或任何账号关联。它是您在 meetii 中的地址：您的联系人保存它，来电也被路由到它。
• 您密钥的哈希值 — 您的设备还会生成一个密钥，用于证明该标识符属于您。我们只保存该密钥的单向 SHA-256 哈希值，无法从中还原密钥。
• 您的昵称 — 您自行输入的任何名称，会展示给被您加为联系人的人。由您自己选择；我们不核验。
• 联系状态与时间戳 — 谁邀请了谁、邀请处于待处理、已接受还是已拒绝状态，以及最后一次变更的时间，以便双方的联系人列表保持一致。
• 推送通知令牌（若您开启通知）— 由您的浏览器或 Firebase Cloud Messaging（Android 应用）签发，使我们的服务器能够请求操作系统在来电时让您的手机响铃，或显示联系人发来的简短消息。它不作任何其他用途。
• 中转通话日志 — 对于经我们中转服务器的通话，记录开始时间、时长、语音还是视频，以及通话的房间码，仅保留最近 50 条。日志不含任何关于通话内容的信息。我们保存它是为了执行每日免费视频一小时的限制，以及答复支持请求和投诉。

联系人数据在联系关系存续期间保存，直至任一方删除该联系人。您的标识符、密钥哈希值、昵称和通话日志在您的身份使用期间保存；如您向我们提出要求（第 15 节），我们会将其删除。这些数据均不用于广告或画像分析，不出售，也不与第三方共享。

5. 邀请邮件

当您通过邮件邀请他人时，我们会临时保存收件人的邮箱地址，连同您的昵称和设备令牌，以便发送邀请邮件，并在对方回应时确认邀请关系。无论收件人是否回应，该记录都会在邀请创建后 30 天自动删除。邮件的实际发送由我们的邮件服务商（Resend）完成——见第 10 节。

5a. 把联系人迁移到另一台设备

Android 应用是一个独立程序，拥有与浏览器隔离的独立存储——因此安装后本来会从一份空的联系人列表开始。有两种机制避免这一点：

下载后自动接管。当您点击下载按钮时，我们会保存您的 IP 地址与设备令牌之间的临时关联。新安装的应用在首次启动时读取一次。该关联 10 分钟后失效，并在被读取的瞬间删除。如果同一时间有多人从同一个 IP 地址下载，系统将拒绝交出任何信息，改为要求输入代码——它绝不会去猜，因为把您的身份交给错误的人，等于把您的来电转给了别人。

转移码。在"设置"中您可以生成一个代码（例如 4K7-M2Q），在另一台设备上输入。该码仅可使用一次，一小时后失效。

您的 IP 地址仅用于这一个目的。它不会与其他数据合并，不用于画像分析或统计，也不提供给任何人。法律依据：我们在使服务能够跨您的多台设备正常工作方面的正当利益（GDPR 第 6 条第 1 款 (f) 项）。

6. 付款与套餐

直连通话，以及经中转的语音、聊天和白板，都是免费的且无需套餐，因此大多数人根本不会用到本节内容。以下仅在您购买套餐时适用。

6.1 付款本身

我们绝不会看到、接收或保存您的支付信息。购买流程完全在 Polar Software Inc. 完成，该公司作为登记商户：由 Polar 收集您的银行卡或支付服务信息、处理税务，并签发您的许可码。您在结账过程中提供的数据，由 Polar 依据其自身的隐私政策作为控制者处理—包括您的邮箱地址以及您所选支付方式要求的任何账单信息。这些内容我们一概不会收到，我们也没有任何客户名单。

6.2 关于许可我们存什么

当您在本应用中激活许可码时，我们会为每个码创建一条记录，内容包括：

• 许可码本身，以及 Polar 为其签发的激活 ID，以便已用尽的许可码也能在 Polar 侧停用。
• 日期 — 首次激活的时间，以及到期的时间。
• 时长计数器 — 套餐已使用了多少秒，以及宽限额度是否已被使用。
• 计费通话日志 — 对于每一次使用套餐的通话：开始时间、时长、是经中转还是使用了付费工作区，以及房间码，仅保留最近 200 条 — 以便您和我们都能核查是什么消耗了您的时长。

这条记录以许可码的 SHA-256 哈希值作为索引，不含姓名、邮箱或设备标识符，也不与您的联系人列表关联。当该码已到期或已用尽，并已在 Polar 停用后，该记录即被删除。

6.3 用量如何计算

服务器根据通话本身测量通话时长。您的设备只告知服务器该通话是否经过中转、视频是否开启（是/否），同时附带您的标识符，以及在 Android 应用中第 7 节所述的设备密钥。该上报不包含任何通话内容，除房间外也不包含任何关于您与谁通话的信息。

6.4 呼叫没有套餐的人

只需一方参与者拥有套餐。当您的套餐为某次通话付费时，房间会记录是您的许可在为其付费，另一方参与者在此基础上获准在该房间内接入中转服务器。该记录以房间为单位且是临时的，不含关于另一方参与者的任何信息，通话结束后随房间一同消失。

7. 防滥用机制与免费使用限制

• 请求限制。为防止单一来源冲垮服务，我们按 IP 地址在很短的滚动时间窗内统计请求次数。实际存储的只有一个数字和一个时间戳，计数器在几分钟内失效。
• 每日免费视频一小时。为使免费的一小时限定为每人每天一次，中转视频时长按标识符、按设备、按网络计算：设备仅在 Android 应用中以手机 Android ID 的 SHA-256 哈希值表示（ID 本身从不离开手机），网络以 IP 地址加盐后的 SHA-256 哈希值表示（地址本身不被保存）。这些计数器只包含秒数，并在两天后自动删除。
• 共享月度资源池。服务会保存整个月中转数据的总量—免费与付费分别统计—并读取 Cloudflare 自身的汇总用量统计。这些是面向整个服务的单一数字，不与任何用户关联。达到阈值时，运营者会收到一封只包含这些总量的自动邮件。

7a. 支持请求与诊断

本应用在错误页面和套餐页面上有一个"联系支持"按钮。只有在您点击它时，它才会发送：您的标识符和昵称、房间码和所显示的错误、是否有套餐（是/否 — 绝不发送许可码本身）、应用版本、浏览器的语言和 user-agent 字符串，以及本应用的技术启动日志。它从不发送您的密钥或许可码。报告通过邮件（经由 Resend）发送至运营者的邮箱，并附有一个您可以引用的报告编号。当通话失败时，两台设备还可能发送一份技术连接日志（网络候选类型、时间信息、错误代码 — 不含任何内容），以便诊断故障；这些日志在两天后自动删除。支持邮件仅在解决问题所需的期间内保存，最长 12 个月。

为答复支持请求，运营者可以针对某个标识符或许可码查询第 4 节和第 6.2 节所述的数据（例如联系人数量以及中转或计费通话日志），并可为套餐增加时长。该访问受一个单独的密钥保护，仅用于支持。

8. 存储在您设备上的数据

本应用会在浏览器或应用的本地存储中保存以下内容：

• 您的标识符、密钥和昵称（见第 4 节）
• 您的联系人列表缓存、界面语言、颜色和壁纸
• 您的许可码（若有），以免重新输入
• 您最近使用的房间码（仅限"快速连接"），以及一份用于支持按钮的简短技术启动日志
• 在 Android 上，若您开启了翻译：您同意下载的离线语言模型（可在"设置"中或通过卸载应用将其移除）

除第 4–7 节所述的部分外，这些数据都留在您的设备上。清除浏览器的网站数据（或卸载 Android 应用）即可将其从您的设备上移除。

9. Cookie

meetii 应用和 meetii 网站（meetii.app）均不使用 Cookie。本应用按第 8 节所述使用本地存储。第 10 节所述的访问计数器同样不使用 Cookie；它在本地存储中保存一个随机令牌，以便区分回访与新访问。因此不显示 Cookie 横幅。

10. 第三方服务

• Cloudflare — 提供 TURN 中转（在无法直连时加密转发通话）、信令服务器，以及存储第 4–7 节所述数据的数据库（Durable Objects）。作为常规基础设施运维的一部分，Cloudflare 可能记录连接元数据（例如 IP 地址），但无法访问您通话的解密内容。
• Polar Software Inc. — 套餐购买的登记商户。直接收集您的支付和账单信息并签发许可码；这些信息我们一概不会收到。当您激活许可码时，我们会调用 Polar 的 API。请参阅 Polar 的隐私政策。
• Google Firebase Cloud Messaging（仅 Android 应用）— 投递来电铃声和简短消息，使手机在应用关闭时也能响铃。Google 会收到投递所需的设备令牌。
• 您设备的语音与翻译服务（仅在使用字幕时，第 3a 节）— 您手机或浏览器的语音识别服务（例如 Google、Apple 或 Microsoft），以及在 Android 上的 Google ML Kit，其语言模型从 Google 的服务器下载。这些服务由您设备的平台依据其自身条款提供；我们不向其发送任何内容。
• Resend — 代我们发送邀请邮件（第 5 节）、支持报告和服务警报（第 7 节和第 7a 节）。
• Matt Nae 访问计数器（第一方，自建托管，位于 meetii 网站上）— 记录某个页面被访问过：页面地址与来源 URL、关闭标签页即重置的随机 ID、屏幕尺寸、语言、基本的交互信号（鼠标、滚动、触摸 — 用于区分真实访问与机器人）、页面上的哪个按钮被点击，以及剔除了任何形似个人数据内容的技术性错误信息。它在本地存储中保存一个随机令牌（不是 Cookie），以便区分新访问与回访。您的 IP 地址在存储前会用一个保密的盐值进行哈希处理；您的大致国家（来自 Cloudflare）会与该次访问一并保存。它遵从"请勿跟踪"（Do Not Track）和全球隐私控制（Global Privacy Control），绝不会看到您的摄像头、麦克风、通话、聊天、白板或字幕。

我们不使用任何广告、第三方跟踪、社交媒体或指纹识别服务。

11. 数据保留期限

通话、聊天、白板和字幕内容从不保存。联系人数据（第 4 节）保留至您或您的联系人将其删除；您的标识符、密钥哈希值、昵称和中转通话日志保留至您要求我们删除为止。含邮箱地址的邀请记录（第 5 节）在 30 天后自动删除。许可记录（第 6.2 节）在该码已到期或已用尽并停用后删除。请求限制计数器（第 7 节）在几分钟内失效；免费时长计数器在两天后失效。连接诊断日志（第 7a 节）在两天后删除，支持邮件最长保存 12 个月。访问计数器记录（第 10 节）用于我们自己的运营统计；若您希望定位并删除某条记录，请与我们联系。

12. 儿童隐私

meetii 并非面向儿童，我们不会在明知情况下收集 13 岁以下（或您所在国家规定的最低年龄以下）人士的个人信息。一个昵称，以及在您发送邀请时的一个邮箱地址，是本应用唯一会接触到的个人信息——若您未达到该年龄，请不要使用本应用。

13. 您的权利（GDPR）

由于我们持有的数据有限且已明确列出（第 4–6 节），您可以随时要求查看、更正或删除——其中大部分您已经可以自己在应用中通过删除联系人来移除。对于您无法自行移除的内容（例如尚未到 30 天期限的待处理邀请邮件），请按第 15 节的方式联系我们，我们会毫不拖延地处理。至于与付款本身有关的事项——发票、账单信息、银行卡——控制者为 Polar，相关请求应向其提出；如需协助联系，请告知我们。

14. 本政策的变更

meetii 是一个持续开发中的实验性项目——功能以及支撑这些功能所需的数据都可能变化。每当我们存储的内容发生变化，我们都会更新本页面并标注新的更新日期。请不时回来查看；更新后继续使用本应用即表示接受修订后的政策。

15. 联系方式

隐私相关问题或数据请求：[email protected]

服务提供者详情请见服务条款与服务提供者信息第 12 节。