HomeRemote 家电遥控 · 隐私政策
EFFECTIVE: 2026.10.05本页是 HomeRemote 家电遥控（iOS / Android）这一个 App 的完整隐私政策，由 NEZHA 2 CAPITAL INC（美国纽约）运营。它只说明这一个 App；我们的其他产品和官网 nezha2capital.com 本身各有自己的隐私政策，见隐私中心。服务条款见服务条款。
一、先说最重要的
HomeRemote 没有自己的账号，不需要注册。你添加的设备、房间和设置只保存在你自己的手机上，配对信息、登录令牌和密钥存放在手机系统的安全存储里（iOS 钥匙串 / Android 加密存储）。我们的服务器不保存你的任何设备、账号或位置信息。App 控制设备有三条路：在你家的局域网里直接和设备通信；通过 Apple「家庭」（仅 iPhone / iPad）；或者直接连接你授权的厂商账号的服务器。本 App 不接入任何广告、分析或崩溃上报服务（安卓版扫码组件自带的诊断统计见第六节）。
二、手机上保存哪些信息
下面这些信息都只存在你的手机上，不会上传给我们，一直保留到你在 App 里删除它们或删除 App 为止（手机系统自己的备份，例如 iCloud 备份，可能包含其中一部分）：
- 设备与房间：你添加的设备的名称、所在房间、类型、品牌、型号和功能，以及重新连接它所需的信息——局域网 IP 地址（设备换过地址的话，还有它的上一个地址）、设备的标识（如 MAC 地址、蓝牙地址、序列号、设备自己报出的唯一设备名、它作为 Apple「家庭」配件的编号，或厂商账号里的设备编号）、设备在网络上广播的名称（其中可能带有设备主人起的名字）。这些标识用来在路由器给设备换了地址之后，仍然认出它是同一台。还有你给家和房间起的名字。
- 回家 / 离家模式：你为每台设备选的处理方式。
- 配对信息与厂商凭据（存于安全存储）：电视的配对码或预共享密钥、配对 Cookie，或电视发给本 App 的令牌；你连接的厂商账号的登录令牌或 API 密钥；以及为连接 Android TV 在本机生成的一张证书（私钥只存在这部手机上，不会被导出）。音响不需要任何凭据。
- Apple「家庭」里的配件（仅 iPhone / iPad）：只保存你选择加入的配件的名称、厂商、型号和标识。
- 家的位置（只在你设置离家提醒时）：你设为「家」的经纬度和提醒范围（100–2000 米）。
- 偏好设置：界面语言、温度单位。
- 不再列出的设备：你在「添加设备」的搜索结果里选了「不再列出这台设备」的那些设备——它们自己报出的唯一设备名或 MAC 地址（没有的话是它在路由器登记的名称，再没有的话是它的局域网 IP 地址）和当时显示的名字，用来让以后的搜索不再列出它们。可以在搜索结果里随时全部恢复。
三、权限与用途
- 本地网络：查找你家网络上的电视、音响等设备，并在你选择连接后与它们通信。查找在这几种时候进行：你在「添加设备」页面搜索时；你在设备页点「重新连接」而设备仍然没有应答时；以及已保存的设备连续两次没有应答（或它原来的地址上应答的像是别的设备）时，App 可能会自己查找一次，看它是不是被路由器换了地址——同一台设备最多每 10 分钟找一次，App 每次运行期间、在它恢复应答之前最多 3 次。在那之前，已保存的设备第一次没有应答时，App 会先只「听」几秒钟设备自己在网络上公布的服务（不发出任何查询），看它是不是在别的地址上公布自己——同一台设备最多每 2 分钟一次。查找针对手机当时连着的那个 Wi-Fi 网络。App 不读取 Wi-Fi 名称，查找时也不使用位置，无法确认它是不是你家的网络；所以 App 自己发起的查找（包括只「听」的那一种），只在手机当前的局域网地址和这台设备保存的地址（或它的上一个地址）属于同一个地址段（前三段数字相同，例如都是 192.168.1.x）时才进行——在地址段不同的网络上（例如使用 10.x 地址的公司或酒店 Wi-Fi），或者手机没有连着 Wi-Fi 时，App 不会自己查找。如果别处的网络碰巧和你家用同一个地址段，App 分辨不出来。你自己在「添加设备」页搜索或点「重新连接」时，查找的就是手机当时连着的网络。每次查找做这几件事：
- 接收设备自己在网络上公布的服务：电视、音响和智能家居设备的，以及网络打印机和支持 Apple「家庭」（HomeKit）的配件的——后两类只用来告诉你找到了什么。
- 向网络发出一次标准的设备查询（SSDP），设备会回复自己的名称和型号（iPhone 版要等 Apple 批准组播权限后才有这一项）。
- 检查与手机同一网段里（最多 254 个地址）哪些设备开着电视、音响等常用的端口，这样待机后不再公布自己的电视也能找到——这一步只看能否连上，连上后立刻断开，不发送任何内容。
- 向手机所在网段的每个地址发送回声请求（就是常说的 ping），看哪些地址上有设备，这样一个端口都不开的设备也能找到；网络较大时最多覆盖手机周围的 1022 个地址，其中有回应的设备再做上一项的端口检查。请求里只带 App 的名字「HomeRemote」，不带其他内容。
- 向家庭网络自己的名称服务（通常就是你的路由器）询问已找到的设备各自登记的名称（设备向路由器申请地址时报的名字），用来告诉你它是什么。只问已经找到的地址；这个询问只发给网络里的这台路由器，App 不会把它发到互联网。
- 对能投屏的电视或音响，读取它在家庭网络上提供的自我描述：名称、厂商、型号和它的唯一设备名（一串不随地址变化的编号）。已添加的电视或音响连上后，如果 App 还不知道它的唯一设备名，也会读一次这份描述。
- 对找到的、又不是电视或音响的设备，像浏览器那样打开一次它自己的网页首页，只读页面标题、服务器名称和 https 证书上的名称，用来告诉你它是什么（例如「路由器」「打印机」）。
- 相机：只在你点「打开相机扫码」时使用，用来扫描设备上的配对二维码。二维码在手机上识别，不拍照保存、不上传。本 App 不使用麦克风。
- Apple「家庭」（HomeKit，仅 iPhone / iPad）：在你打开「苹果“家庭”App（Apple Home）里的设备」时才请求。App 读取你已经在「家庭」App 里添加的家、房间、配件和它们的状态，用来在这里列出和控制它们；这些数据只在手机上处理，不发给我们，也不用于广告或任何分析。「家庭」里摄像头的画面由系统组件播放，只在你打开设备页观看时才取流，声音默认关闭，不录像、不保存。
- 位置（包括「始终允许」）：只用于「走出家门自动提醒」，而且只在你在「设置 → 回家 / 离家模式」里点「把现在的位置设为家」之后才请求。App 读取一次当前位置作为「家」，之后由系统在后台留意你是否离开这个范围；离开时，手机上会弹出一条本地通知，提醒你打开 App 检查还开着的设备。位置只保存在你的手机上，本 App 从不把它发送给我们或任何第三方，也不包含在家庭共享里。关掉「离家时提醒我」会停止监测，已记录的家的位置仍留在手机上（重新打开时沿用）；在同一处点「清除家的位置」就能把它删除，删除 App 也会一并删除。
- 通知：只用于上面那条离家提醒，是手机本地通知。本 App 不注册推送，也不接收任何远程推送。
四、你连接的厂商账号
你可以把自己在以下厂商的账号连到 HomeRemote（以你安装的版本里列出的为准）。连上以后，App 在手机上直接调用该厂商的服务器读取设备状态、发送控制命令；账号的令牌或密钥只存在你手机的安全存储里，除下面写明的 SmartThings 令牌转发外，只发给该厂商自己的服务器。设备名称、状态等数据由这些厂商按各自的隐私政策处理。购买完整版后，你打开 App 或回到首页时，App 最多每 30 分钟向你已连接的这些账号要一次设备列表（你从 Apple「家庭」添加过设备的话，也同时在手机上读取「家庭」里的配件），看有没有还没添加的设备，有的话在首页告诉你；这份列表只显示在手机上，不发给我们。你点「不用了」的设备记在这部手机上，之后不再提示。
- SmartThings：你在 App 内弹出的 SmartThings 官方登录页登录并同意授权，我们看不到你的 SmartThings 密码。换取和续期登录令牌的请求可能经过我们部署在 Cloudflare 上的一个转发服务：它只替本 App 补上应用凭证，把 SmartThings 的回复原样交回手机，不保存令牌，也不记录请求内容；Cloudflare 作为托管方会按其政策处理 IP 地址等连接信息。读取和控制设备的请求始终由手机直接发给 SmartThings。
- LG ThinQ（只在较早的版本里）：较早的版本可以连接 LG ThinQ 账号，用的是你在 LG 网站生成的个人访问令牌和你选的账号所在国家 / 地区，每次请求还会带上 App 为这部手机随机生成的一个标识（不含个人信息）。新版本不再连接 LG ThinQ：更新后，已经添加的 LG 家电会显示为不再支持；移除最后一台时，手机上保存的令牌一并删除。
- Sensibo：你在 Sensibo 网站生成的 API 密钥（按 Sensibo 接口的要求放在请求地址里发送）。
- Govee：你在 Govee App 里申请的 API 密钥。
五、家庭共享
「设置 → 设备共享」可以把这个家分享给家人，不经过我们的服务器：
- App 把要分享的内容加密成一段口令，由你通过系统分享发给家人（会经过你选的聊天软件）；打开它需要一个 12 位共享码，请当面或打电话告诉对方。共享码只显示一次，哪里都不保存。加密方式：用共享码经 PBKDF2-HMAC-SHA256 派生密钥，再用 AES-256-GCM 加密。
- 口令里包含：有设备的房间和它们的名称、家的名称（如果你改过）、所分享设备的记录（包括局域网 IP 地址和设备标识），以及能在两部手机上同时使用的凭据——电视的配对信息、Sensibo 与 Govee 的 API 密钥（较早的版本还包含 LG ThinQ 的令牌和国家 / 地区）。
- 不包含：SmartThings 等每部手机要各自登录的账号令牌（家人在自己手机上登录一次即可）、Apple「家庭」里的配件、Android TV 的配对、回家 / 离家模式、家的位置。
- 同时拿到口令和共享码的人，就能取得上面这些信息和凭据、控制这些设备。请只分享给你信任的家人，口令和共享码分开发送。想收回时，到对应厂商重新生成密钥或令牌，或在电视的设置里删除已配对的 HomeRemote。
六、本 App 不收集的信息与第三方组件
本 App 不收集：姓名、邮箱、电话号码、通讯录、相册、录音、健康数据、广告标识符。本 App 不接入任何广告网络、分析 SDK 或崩溃上报服务，也不追踪你。下面这些由系统或第三方提供的组件，按各自的政策处理数据：
- Apple：「家庭」（HomeKit）、定位和本地通知由 iOS 提供，按 Apple 的隐私政策处理。
- Google（仅 Android 版）：扫码使用 Google ML Kit，二维码在手机上识别；按 Google 的说明，ML Kit 会向 Google 发送设备型号、系统版本、App 版本、一个不用于识别个人的安装标识和性能数据，用于诊断和使用统计。定位由 Google Play 服务提供。
- App Store / Google Play：下载与「完整版」的购买由商店处理，我们不接触你的付款信息；购买记录只保存在你的手机和商店账户里，不经过我们的任何服务器。
- Cloudflare：托管上面第四节说的 SmartThings 令牌转发服务。
七、删除你的数据
HomeRemote 没有账号，所以没有「注销账号」这一步。你的数据都在你自己的手机上，我们无法替你导出或删除，删除完全由你掌握：
- 移除设备（设备页右上角「…」→「移除设备」）：删除这台设备的记录、它在模式里的设置，以及它的配对信息或令牌。（Android TV 例外：本机证书会保留；要让电视不再信任这部手机，请在电视的设置里删除已配对的 HomeRemote。）
- 断开厂商账号（「添加设备」→「从其他 App 添加」→ 对应账号 → 断开）：删除手机上保存的该账号令牌或密钥。断开只影响这部手机；要彻底撤销授权，请到厂商那边移除 HomeRemote（例如在 SmartThings App 的「已关联服务」里移除），或删除、重新生成你的 API 密钥与令牌。
- 清除家的位置（「设置 → 回家 / 离家模式」→「清除家的位置」）：停止离家监测，并删除手机上保存的家的经纬度和提醒范围。
- 删除 App：手机上的设备、房间、模式和家的位置随之删除。iOS 钥匙串里的条目在删除 App 后可能仍被系统保留；想确保凭据一并清除，请先在 App 里移除设备、断开账号，再删除 App。
- 已经发给家人的共享口令我们无法收回；请按第五节的方法让其中的凭据失效。
八、信息共享
我们的服务器上没有你的设备、账号或位置数据，因此没有可供出售或共享的个人信息；第四、六节列出的厂商与系统组件，按各自的政策处理你与它们之间的数据。只有当你主动给我们发邮件时，我们才会持有你的邮箱和邮件内容，并只用于回复你；除法律要求或为保护安全所必需外，不会交给任何第三方。
九、安全措施
配对信息、登录令牌和密钥存放在手机系统的安全存储中（iOS 钥匙串 / Android 加密存储）；与各厂商服务器的通信使用 HTTPS；家庭共享的内容用 AES-256-GCM 加密。局域网里部分设备的协议本身不加密（见第三节）。没有任何软件能保证绝对安全，请在你信任的家庭网络上使用。
十、你的权利
因为我们的服务器上没有你的数据，查看、导出、更正和删除都在你自己的手机上完成（见第七节）。如果你给我们发过邮件，可以要求我们删除往来邮件及其中的个人信息，我们会在合理期限内（一般不超过 30 天）处理。
十一、年龄
本 App 不面向 13 岁以下儿童。
十二、政策更新
我们可能不时修改本页。修改后会更新页面顶部的生效日期；涉及数据处理方式的重大变更，会在产品内或官网显著位置提示。修改后继续使用本产品，即表示你接受修订后的政策。
十三、联系我们
隐私相关的问题或请求，请发送邮件至 support@nezha2capital.com（标题请保留「[HomeRemote]」）。