余音 Reverb 隐私政策
最后更新：2026 年 10 月 9 日
余音 Reverb（以下简称“本应用”）是一款播客客户端，提供 Android、macOS、HarmonyOS 三个版本。
本应用不要求注册或登录，不运营接收用户数据的开发者后端。本政策说明本应用在设备本地处理哪些数据、会向哪些第三方地址发出请求，以及数据在什么情况下会离开应用。
一、我们如何处理数据
本应用不提供账号、广告、统计分析、归因、第三方登录、第三方推送、崩溃上报或跨应用追踪，也不运营接收或存储用户数据的后端服务。本地数据不会自动上传给开发者。
本应用会为实现播客功能进行以下必要处理：
- 将搜索词、所选地区或分类发送给 Apple、fyyd、gpodder 等公开播客目录，用于搜索节目、单集和获取热门榜。
- 直接请求播客发布方或托管方提供的 RSS、封面、音频和逐字稿地址。与一般网络访问一样，对方会看到你的 IP 地址、User-Agent 和所访问的资源，并可能依其政策记录访问日志。
- 在设备本地处理订阅、播放历史、收藏、下载、听觉印记、批注、收听统计、设置、安装随机标识和运行日志。
- 仅当你主动使用系统分享、导出或备份功能时，将你选择的数据交给目标应用或保存位置。
- 若你在设备系统中开启了备份（如 Android 的云备份/厂商备份/换机迁移，HarmonyOS 的「备份和恢复」/云空间/手机克隆），操作系统会把下述部分应用数据备份到你自己的系统云账号或新设备，详见下方「关于系统级备份」。
关于系统级备份（自 1.0.2 起，适用于 Android 与 HarmonyOS 版；macOS 版无此机制）：应用向系统声明了白名单，操作系统的备份功能只会备份这些数据——订阅列表、收藏、播放历史、下载记录（仅链接与元数据，不含音频文件）、听觉印记、批注（你写下的那一秒与那句话；这一项自 1.0.4 起才进入这份白名单，1.0.3 及更早的系统备份里没有它）、收听时长统计和应用设置。备份由操作系统执行，本应用没有参与上传的代码路径，开发者无法访问备份内容；音频文件、逐字稿缓存、榜单缓存与运行日志均不在备份范围内。备份的开启与关闭由你在系统设置中控制，删除备份数据也请通过系统设置操作。系统备份是「备份/恢复」语义，不提供设备间的实时同步。
Android 版使用 AndroidX、OkHttp、Coil 等开源基础库来实现界面、网络、图片、播放和后台任务；这些不是广告、统计、归因、第三方登录、第三方推送、崩溃上报或跨应用追踪 SDK。HarmonyOS 版使用系统能力与本应用自有代码。Android 自分发版本还内置开源离线语音识别组件（模型随安装包提供），在本机生成逐字稿，不连接远端识别服务。macOS 版同样在本机生成逐字稿，使用的是操作系统自带的语音识别框架，不连接远端识别服务；它的语言模型不在安装包内，由系统在你首次转录某种语言时按需下载（见第三节）。
我们的官网仅托管静态文件（本政策页面及“推荐订阅清单”OPML）。只有当你主动点击“导入推荐订阅”时，应用才会下载清单；托管方会在网络请求中接触 IP 地址、User-Agent 和请求资源。
二、本应用在你设备上保存哪些数据
以下数据在应用沙箱内处理和保存；除网络请求所必需的内容以及你主动分享或导出的内容外，不会自动上传给开发者：
| 数据 | 用途 |
|---|---|
| 订阅列表 | 记住你订阅的播客 |
| 播放历史与续播位置 | 让你从上次中断处继续收听 |
| 收藏的单集 | 你主动收藏的内容 |
| 已下载的音频文件 | 你主动下载的离线内容 |
| 最新单集、热门榜、频道、封面与逐字稿缓存 | 减少重复请求，加快打开与离线阅读 |
| 收听时长统计 | 展示你在每个频道上累计收听的时长 |
| 听觉印记 | 你主动为单集盖下的情绪标记 |
| 批注 | 你主动写下的「某一秒 + 一句话」，同条目还保存所属单集的快照，以便那一集从发布方下架后仍能跳回。它进入系统级备份的白名单自 1.0.4 起（1.0.3 及更早不含这一项） |
| 正在播放的一集与待播队列 | 让重启后播放栏、上下一集与排好的队列还在；同条目保存所属单集的快照。不进入任何备份（换机或恢复后不迁移，属一次性排程） |
| 应用设置 | 主题、配色、字号、语言、地区、倍速等偏好 |
| 安装随机标识 | 合并收听统计时避免重复计数 |
| 运行日志 | 排查偶发问题 |
关于安装随机标识：本应用首次启动时会在本机生成一个随机字符串（由时间戳与随机数组成），保存在本地设置中。它不是 IMEI、Android ID、OAID、IDFA 等系统设备标识符，不含硬件信息，也不会自动上传给开发者。收听时长按该标识分设备保存，随完整备份一并导出，以便在另一台设备恢复时按设备合并、避免重复计数；自 1.0.2 起接入的系统级备份（见第一节）会在备份应用设置时一并包含该标识，恢复到多台设备会让它们共用同一标识，对按设备合并的统计口径没有影响。
日志：Android 与 macOS 版会把运行日志写入应用私有目录（单文件约 1.5 MB 上限，仅保留最近两份，写满自动覆盖）；HarmonyOS 版仅在内存中保留最近若干条。日志不记录搜索词、完整 URL 或安装随机标识；可能包含节目或单集标识、网络地址的 scheme/host，以及时间、模块、错误码和事件等排障信息。日志默认不自动上传；只有当你主动点击“分享日志 / 导出日志”时，日志才会离开应用并交给你选择的应用或保存位置。你可在设置中随时清除日志。
三、本应用会连接哪些网络地址
本应用需要联网检索和播放播客。请求由你的设备直接发往公开目录、发布方或托管方，不经过开发者后端：
| 地址 | 用途 | 发送或暴露的信息 |
|---|---|---|
Apple 检索 itunes.apple.com | 搜索节目与单集 | 搜索词、所选地区，以及网络请求常规信息 |
Apple 榜单 rss.marketingtools.apple.com | 获取分类热门榜 | 所选分类、地区，以及网络请求常规信息 |
fyyd.de 公开接口 | 搜索与综合热门榜兜底来源 | 搜索词或榜单条数，以及网络请求常规信息 |
gpodder.net 公开接口 | 搜索兜底来源 | 搜索词，以及网络请求常规信息 |
| 播客发布方或托管方的 RSS 地址 | 获取节目与单集信息 | IP 地址、User-Agent、所访问的 RSS 地址 |
| 音频、封面图与官方逐字稿地址 | 播放、下载、显示封面、阅读逐字稿 | IP 地址、User-Agent、所访问的资源地址 |
| 本应用官网的推荐订阅清单 | 仅在你主动导入时下载 | IP 地址、User-Agent、所访问的 OPML 地址 |
| macOS 逐字稿的语音识别语言模型 | 你首次在 macOS 上转录某种语言时，由操作系统下载该语言的模型；本应用不指定下载地址 | 该次下载由系统发起，本应用不向其中附加你的音频、身份标识或收听内容 |
关于打开应用时的预载：自 1.0.4 起，若上次退出时正在收听（或暂停在）某一集，打开应用会向发布方请求那一集的音频地址并装载到就绪状态——保持暂停，不会自动播放。这样做的目的是让进度与「按下播放即出声」是准确的，代价是打开应用即发生一次对发布方的音频请求（其日志会记录该次访问）。当前版本没有关闭该预载的开关；预载与音频列表里显示的内容一致，不包含搜索词或任何身份标识。
“网络请求常规信息”包括 IP 地址、User-Agent、请求时间和所访问的资源。第三方可能依其自身政策记录这些信息；本应用无法控制其后续处理，请参阅相应服务或发布方的隐私政策。
目录接口只用于发现节目，不转存或代理节目内容。请求不附加本应用账号或广告标识符；播放、下载、封面和逐字稿均直接访问发布方或托管方提供的原始地址。
Android 自分发完整版可在设备上离线生成逐字稿，识别模型随安装包提供，音频与识别结果不发送给远端识别服务。macOS 版也在本机生成逐字稿，用的是系统自带的语音识别框架：语言模型不在安装包内、由系统按需下载（见上表），音频与识别结果不出这台机器。若发布方在 RSS 中提供官方逐字稿，Android 与 HarmonyOS 版会直接请求该文件；macOS 版当前只在本机生成，不会请求发布方的逐字稿文件。大陆应用商店版本不含离线语音识别，只读取发布方提供的官方逐字稿。
四、权限说明
| 权限 | 为什么需要 | 时机 |
|---|---|---|
| 网络访问 | 检索播客、获取节目信息、播放与下载音频 | 使用联网功能时 |
| 获取网络状态 | 读取当前网络类型，用于实现“仅在 Wi-Fi 下载”（避免在蜂窝网络下大流量下载；Android 侧还据此判断该网络是否按用量计费） | 使用网络功能时 |
| 无线网络名称（SSID） | 本应用不主动读取，见下方专项说明 | 不适用 |
| 后台运行（长时任务，仅音频播放） | 让你退到后台或锁屏后音频能继续播放 | 播放时 |
| 通知 | 订阅有新一期时提醒你 | 仅在你主动开启“订阅更新提醒”时征求同意，可随时关闭 |
| 唤醒锁（WAKE_LOCK） | 播放期间不让 CPU 休眠，避免声音断续 | 播放时 |
| 写入外部存储（WRITE_EXTERNAL_STORAGE，仅 Android 9 及以下） | 把剪藏卡片或听觉足迹海报保存到相册 | 仅在你主动保存时 |
| 麦克风（RECORD_AUDIO，仅自分发完整版，默认关闭） | 开启“真实频谱”后在本机计算频谱；音频不录制、不保存、不发送 | 仅在你主动开启并授权时 |
本应用不申请位置、通讯录、相机、短信、通话记录、日历或读取已安装应用列表权限。也不申请开机广播（RECEIVE_BOOT_COMPLETED，Android）：后台任务组件默认会带进这一项，本应用已显式移除 —— 设备重启后，已排定的更新检查由系统自身的作业调度恢复，不需要应用开机自启动。
大陆应用商店版本不含“真实频谱”功能及麦克风权限。Android 10 及以上通过系统 MediaStore 保存图片，不需要相册写入权限；Android 9 及以下需要上表所列权限。
关于无线网络名称（SSID）的专项说明
本应用自身代码不读取、不保存或传输无线网络名称。Android 版使用 AndroidX Media3 与 AndroidX WorkManager；这些基础库判断网络类型时可能调用 Android 系统接口 ConnectivityManager.getActiveNetworkInfo()，其返回对象在 Wi-Fi 环境下可能附带 SSID。本应用不访问该字段，不将其写入本地文件、备份或日志，也不用于定位或身份识别。
自 2026 年 8 月版本起，本应用在你同意本隐私政策后才初始化相关库。macOS 与 HarmonyOS 版不使用这两个库。
五、数据的导出与分享，由你主动发起
以下操作仅在你主动选择后发生，目标应用或位置由你决定：
- 导出备份 / 导出 OPML 订阅：通过系统文件选择器保存到指定位置。
- 分享日志 / 导出日志：交给你选择的应用或保存位置。
- 保存或分享图片：保存到相册或通过系统分享面板发送。
数据交给其他应用、服务或个人后，其后续处理受相应接收方规则约束。
应用内的导出始终由你主动发起；系统级备份则不同——它由操作系统在后台按你在系统设置中的选择执行，本应用不参与发起，范围与开关同样见第一节「关于系统级备份」。
六、儿童隐私
本应用不针对儿童设计，不提供账号、广告或跨应用追踪。儿童使用联网搜索、播放或下载功能时，同样会发生第三节所述的目录及发布方直连请求；监护人应关注其使用方式与收听内容。
七、数据安全与你的权利
开发者不运营接收用户数据的后端，因此无法代你查询、更正或删除设备本地数据。你可以：
- 删除：在设置中清除缓存、下载、播放历史或日志，在音阁「批注」段逐条删除批注；卸载应用会删除应用沙箱内的数据。若系统备份中存在数据副本，请通过系统设置删除备份数据。
- 导出：通过完整备份或 OPML 导出取得数据副本。
- 访问与更正：直接在应用内查看或修改本地订阅、收藏、历史和设置。
对公开目录、播客发布方、托管方或你主动选择的分享目标所处理的数据，请依据对应第三方规则行使权利。
八、政策变更
本政策如有更新，我们将修改本页面顶部的“最后更新”日期。涉及重大变更时，会在应用内以显著方式提示。
九、联系我们
如对本政策有任何疑问，或希望了解本应用的数据处理细节，请通过电子邮件联系：
我们会在收到邮件后尽快回复。
本页面同时适用于余音 Reverb 的 Android、macOS 与 HarmonyOS 版本。