隱私權政策

更新日期：2026-10-27

1. 留在你裝置上的資料

iPhone

• 已配對 Mac 的列表（名稱、ID、公鑰指紋、會合服務位址）和你的設定，保存在 App 自己的儲存空間裡。
• 這支手機的私鑰保存在 Secure Enclave（裝置不支援時保存在僅限本機的鑰匙圈），不會離開手機。
• 相機只在掃描配對行動條碼時使用。辨識在手機上完成，畫面不保存、不上傳。
• Face ID 由 iOS 處理，App 只知道驗證是否通過，拿不到你的臉部資料。

Mac

• 這台 Mac 的私鑰、已配對手機的公鑰和名稱、手機的即時動態推播權杖、DuoDesk Host 的設定，保存在 ~/Library/Application Support/DuoDesk/。
• 連線記錄保存在 ~/Library/Logs/DuoDesk/：啟動、配對、連線和中斷連線的時間與原因，配對手機的名稱，以及連線方式等排解問題用的細節。它用來排解問題，超過 1 MB 會自動輪替，只留在你的 Mac 上，不會上傳。
• 「螢幕錄影」和「輔助使用」權限只在配對過的 iPhone 連線時使用：擷取畫面傳給那支 iPhone，執行它傳來的操作。畫面不會被錄下或保存。

2. iPhone 和 Mac 之間的連線

• 每台裝置有自己的金鑰對。配對時，iPhone 掃描只顯示在 Mac 螢幕上的行動條碼，從此雙方只認對方的公鑰（釘選），沒配對過的裝置連不上。
• 工作階段使用 QUIC，加密協定是 TLS 1.3。畫面、觸控和鍵盤輸入、剪貼板同步、顯示器選擇等工作階段內容都在這條加密連線裡，只有你的 iPhone 和你的 Mac 能解開。
• 連線優先走點對點直連（區域網路，或經打洞穿過路由器）；直連不通時，加密後的封包經 Cloudflare 中繼（見第 4 節）。如果兩台裝置都安裝了 Tailscale，直連也可能經過 Tailscale 網路。

配對和連線的技術細節請見運作方式。

3. 會合服務

我們在 Cloudflare Workers 上執行一個會合服務（rv.spailab.com），幫 iPhone 找到 Mac，並交換建立直連需要的資訊。它不經手工作階段內容。

它能看到什麼

• Mac 在線上時：DuoDesk Host 和服務保持一條連線。服務能看到 Mac 的 IP 位址、Mac 的 ID 和公鑰（ID 由公鑰算出，用來證明是這台 Mac），以及 Mac 的電腦名稱（就是「系統設定 › 一般 › 共享」裡的名稱，可能包含你的名字）。名稱只在這條連線存在期間保留。
• iPhone 配對或連線時：服務能看到 iPhone 的 IP 位址、要連哪台 Mac、什麼時候連。連線請求由服務原封不動轉給 Mac，服務不解讀其中內容（推播權杖除外，見第 5 節）。請求裡有：兩台裝置的網路位址（區域網路位址和公用位址及連接埠）、一次性的連線憑據、iPhone 公鑰的指紋和簽章；配對時是 iPhone 的公鑰和裝置名稱（iOS 只提供「iPhone」這樣的通用名稱）。這些資訊只在轉發時經過，不保存。
• 在線狀態：知道一台 Mac ID 的人可以向服務查詢它是否在線上，回答只有「線上」或「離線」。

它保存什麼

長期保存的只有即時動態推播需要的兩項，每台 Mac 分開儲存，見第 5 節：

• 推播權杖的 SHA-256 雜湊值（不是權杖本身）和登記時間，每台 Mac 最多 32 個，新的會取代最舊的。
• 這台 Mac 建立的即時動態推播頻道 ID，每個推播環境最多 2 個。

記錄

• 服務自己的記錄只記下事件：Mac 上線、轉發了連線請求、Mac 接受或拒絕（及原因）、耗時、推播時 Apple 回應的狀態。記錄裡只帶 Mac ID 的前 6 個字元，不含 IP 位址、金鑰、權杖或推播內容。
• 為了防止濫用，服務依 IP 位址和 Mac ID 統計每分鐘的請求次數，超過上限的請求會被拒絕。
• Cloudflare 營運這個服務所在的平台，會依它自己的隱私權政策處理請求（包括 IP 位址），並在有限時間內保留平台記錄。

4. Cloudflare 中繼和位址查詢

• 位址查詢（STUN）：每次連線時，兩台裝置會向 Cloudflare 的 STUN 伺服器（stun.cloudflare.com）查詢自己的公用位址，以便直連。Cloudflare 能看到裝置的 IP 位址。
• 中繼（TURN）：直連不通時，加密後的工作階段資料經 Cloudflare TURN（turn.cloudflare.com）轉發。Cloudflare 能看到兩台裝置的 IP 位址和連接埠、傳輸的資料量和時間，看不到內容。中繼憑據在 Mac 接受連線後才簽發，12 小時後失效。

5. 待機模式面板（即時動態）

待機模式面板讓 iPhone 的鎖定畫面和待機模式顯示 Mac 上 Claude Code 和 Codex 的任務狀態與用量。它預設為開啟，可以在 iPhone 上 DuoDesk 的設定裡關閉（「在待機模式中顯示 Claude / Codex 狀態」），也可以在 iPhone 的「設定 › DuoDesk」裡關閉即時動態。

Mac 讀取的資訊

• DuoDesk Host 在 Mac 上以唯讀方式讀取 Claude Code 和 Codex 自己的工作階段檔案，得知哪些任務在執行、哪些在等你處理。這些檔案不會被修改，也不會整份傳出去；離開 Mac 的只有下面「推播的內容」裡列出的摘要。
• 用量：DuoDesk Host 用這台 Mac 上 Claude Code 已有的登入憑據，直接向 Anthropic 查詢你的訂閱用量；Codex 的用量透過這台 Mac 上的 Codex 程式向 OpenAI 查詢。這些請求從你的 Mac 直接傳給 Anthropic 和 OpenAI，不經過我們的伺服器，憑據也不會傳給我們。

推播的內容和路徑

• 推播內容包括：Mac 的名稱；最多 6 個任務，每個任務的標題（工作階段名稱，沒有名稱時是最近一則提示的開頭，最多 28 個字元）、專案檔案夾名稱、狀態和目前步驟（最多 40 個字元）；以及用量百分比和重置時間。
• 這些內容由 Mac 經我們的會合服務交給 Apple 推播通知服務（APNs），再由 Apple 送到你的 iPhone。會合服務只在轉發時經手，不記錄、不保存推播內容。Apple 依其隱私權政策處理推播。
• 推播權杖：iPhone 每次連線到 Mac 時，會附上 iOS 為 DuoDesk 即時動態分配的推播權杖，經會合服務交給 Mac。Mac 接受連線後，服務只保存權杖的雜湊值，用來確保一台 Mac 只能推播給連線過它的手機。

6. 購買（DuoDesk Pro）

• iPhone 上的 DuoDesk 可免費下載，連線到 Mac 需要訂閱 DuoDesk Pro，這是在 App Store 販售的自動續訂型訂閱。Mac 上的 DuoDesk Host 免費。
• 購買、扣款、續訂、取消和退款都由 Apple 透過你的 Apple 帳號處理，適用 Apple 自己的條款和隱私權政策。我們不會收到你的付款資訊。Apple 會提供我們銷售報告（例如在哪些國家或地區賣出多少份訂閱），其中沒有你的姓名、電子郵件或付款資訊。
• 訂閱是否有效，由 App 在 iPhone 上用 Apple 的 StoreKit 判斷。與購買、訂閱有關的資訊都不會傳到我們的伺服器，會合服務既不接收也不檢查。
• DuoDesk 的使用條款即 Apple 的標準終端使用者授權合約（EULA）。

7. 我們不做的事

• 不出售資料，不投放廣告，不建立使用者輪廓。
• App 裡沒有分析統計、當機回報或廣告 SDK。如果你在 iOS「設定 › 隱私權與安全性 › 分析與改進功能」裡選擇與 App 開發者分享，Apple 會依其政策向我們提供匿名的當機報告和使用統計資料。
• 不收集姓名、電子郵件、電話、位置、聯絡人、照片等個人資料。

8. 涉及的第三方

9. 保存期限和刪除

• 裝置上的資料：在 iPhone 上刪除一台 Mac，或刪除 DuoDesk App；在 Mac 上從選單裡移除配對的手機，或解除安裝 DuoDesk Host 並刪除第 1 節提到的兩個檔案夾。
• 會合服務裡的推播權杖雜湊值和頻道 ID：一直保留到被較新的記錄取代。想提前刪除，可以聯絡我們。
• 轉發經過的連線資訊和推播內容：不保存。

10. 其他

• 跨境處理：Cloudflare 和 Apple 在全球營運伺服器，連線資訊和推播可能在你所在國家或地區以外的資料中心處理。
• 兒童：DuoDesk 不以兒童為對象，也不會有意收集任何人的個人資料。
• 本網站：託管在 Cloudflare 上，不使用 Cookie、分析統計或第三方指令碼，我們也沒有開啟存取記錄。Cloudflare 作為託管方，會依它自己的隱私權政策處理存取請求（包括 IP 位址）。
• 政策變更：DuoDesk 處理資料的方式變更時，我們會更新本頁並修改上面的更新日期。

11. 聯絡我們

關於隱私權的問題或刪除請求，請寫信到 duodesksupport@signalplus.com。