隐私政策

最后更新：2026 年 10 月 18 日

一句话：LumePane 应用内不做遥测、不做埋点。应用里没有分析 SDK，也不会上报你怎么用它。发码服务确实保留几个聚合计数——就在下一段，这是这里唯一称得上「统计」的东西。

我们保留的计数。发码服务统计六类事件：下单页点击、建单、付款、取码、成功页展示、短码领取——按天、并按 ?src= 投放标签分别计。这些计数不含任何标识：没有 IP 地址、没有 Cookie、没有设备号，也没有任何能与人关联的东西。它们存在的目的，是让我们判断哪条渠道值得投入。

滥用防护是另一回事。发往下单页、成功页与取码页的请求都有限流。限流键使用客户端 IP 地址的截断 SHA-256，并会自动过期：成功页与取码页约 15 分钟，激活约 10 分钟。取码尝试还会写入一条审计记录，包含该截断哈希、订单号的截断哈希与结果；记录最多保留 30 天，以便调查滥用。限流键与审计记录不属于上面的聚合计数。

一、我们收集什么

不收集任何关于你的使用数据。没有埋点、没有事件上报、没有崩溃日志上报、没有设备指纹、没有广告标识符、没有用户画像。

授权只会在两种情况下联网：短码的一次性领取（DP-XXXX-XXXX-XXXX），以及首次激活时的一次性设备登记。短码领取只发送两样东西：

设备登记：激活码验签通过后，应用会联系我们自己的服务器一次，登记这台 Mac——只上传一个在本地由主板标识和机型标识算出的不可逆 SHA-256 摘要，绝不上传序列号或明文机型字符串。该摘要对同一台 Mac 是稳定的，五台 Mac 的上限正是靠它才能执行；它是假名化的，不是匿名的。之后每次启动都在本地验签。

• 短码——付款后下单页显示的那 12 位字符；
• 随机生成的设备标识——第一次领取短码时在本地生成的 UUID，存放在 macOS 钥匙串。它用于领取短码和绑定本地授权记录。它不含硬件序列号、MAC 地址、显示器 EDID、机器名、Apple ID 或任何账号信息。

这个请求只是让发码服务把短码换成该订单对应的长签名激活码。以 DP- 开头的长码之后完全离线校验，用的是应用内嵌的公钥。首次激活时，应用还会按上面的说明登记这台 Mac 一次；之后每次启动都在本地验签。那个随机标识无法回溯到你的设备型号。

当前状态：购买通道已开通。付款通过我们自建的收单与发码服务以加密货币完成。DP- 激活码离线校验。只有两件事会用到授权网络：领取短码，以及首次激活时的设备登记。两者都发往我们自己的服务，不经过第三方。

二、我们不收集什么

下面这些数据应用会用到、但只在你本机处理，永远不上传：

• 显示器型号、厂商 ID、型号 ID、EDID 全文与物理色域；
• 分辨率、刷新率、当前伽马表、亮度与色温数值；
• 磁盘容量、缓存目录大小、扫描结果与清理记录；
• 窗口标题与窗口位置（窗口布局与会话恢复需要，要你授权辅助功能后才读得到）；
• 滚轮事件与热键按键（滚动平滑、鼠标映射需要）。

另外这些我们根本不碰：

• 不上传显示器型号、EDID 或序列号——从来没有这类代码路径；
• 不上传使用时长、功能点击次数或启动次数；
• 不记录键盘输入。滚动平滑只读取滚轮事件的位移量；键盘只用于判断「按住 ⌘ 时绕过平滑」这一个状态；
• 不申请麦克风、屏幕录制与全盘访问权限。存储扫描是只读的，受系统保护的目录按 macOS 的规则直接跳过；
• 不采集画面与声音。应用里没有任何摄像头或麦克风调用。（Info.plist 里没有任何 NS*UsageDescription 键。）

三、真正联网的只有三件事

除了下面三项，应用不会主动发起任何网络请求。全部走 HTTPS，不使用明文 HTTP。

1. 检查更新

应用会向 appcast.xml 请求一次版本清单，用于判断有没有新版本。这个清单与本网站一起托管在 GitHub Pages。这个请求里不含授权码、不含设备标识、不含任何使用数据。它默认是关闭的：只有你在「通用」面板里主动打开自动检查（此后每天最多一次），或者手动点一次「检查更新」，才会发出这个请求。

托管方 GitHub 与任何网站服务器一样，会看到你的 IP 地址、请求时间和客户端标识。这是托管服务的常规访问日志，不是我们额外采集的。

2. 校验授权

只有在你激活时才会发生。长签名码（DP-…）用应用内置的公钥在本地离线校验——验签本身从不发请求。短码（DP-XXXX-XXXX-XXXX）只在领取时与我们自己的发码服务交换一次：

• 领取短码：发送短码与上面说的随机设备标识，并取回长签名码；
• 登记这台 Mac：首次激活时，把激活码与本地算出的设备摘要发送一次，长码因此才能限制在五台 Mac 上；同一个码在同一台 Mac 上会被识别，不会占用第二个名额；
• 长签名码：用内置公钥离线校验。无账号、无服务器、无定期回连——不会因为你离线而失效。

我们特意做成离线优先：复核失败、断网、服务器故障都不会改变你的授权状态，只会记下一条错误；万一复核长期不通，还有 7 天宽限期照常使用。没激活之前，应用不会发出任何许可请求，也不需要填任何账号。

当前状态：这一步已生效。长 DP- 码离线校验。授权请求只有两项：首次激活时的一次性设备登记，以及你如果用短码的话上面的短码领取；两者都发往我们自己的服务。激活之前，应用不会发出任何授权请求，也不需要账号。

3. 打开购买页或官网

点「购买」或「访问官网」时，地址会在你的默认浏览器里打开。付款在你的浏览器中完成，不经过应用。购买入口是由发码服务提供的下单页，使用你已有的浏览器，不安装任何东西。

四、你的数据存在哪里

• 授权记录（授权码、实例编号、激活与复核时间）：macOS 系统钥匙串，服务名 com.neeson.displaypilot.license。不是明文 plist。
• 应用设置（试用起始日期、界面偏好、热键绑定、自动化规则、护眼排程）：~/Library/Preferences/com.neeson.displaypilot.plist。
• 清理隔离区与操作台账：~/Library/Application Support/com.neeson.displaypilot/Clean/。被清理的文件先移进这里的隔离区，随时可还原；永久删除要等 30 天后才会提供。
• 系统权限：辅助功能授权由 macOS 管理，可在「系统设置 → 隐私与安全性 → 辅助功能」里随时撤销。

删除方式：退出应用后，把上面两个目录／文件删掉即可；想要更彻底，再在钥匙串访问里删掉那一条记录。应用不在系统里安装任何后台服务或守护进程，卸载不留下常驻组件。

五、第三方

• 我们的发码服务（Cloudflare Workers）：提供下单页、把你的付款与链上记录比对、签发激活码，并处理短码领取。它能看到订单号、链上交易哈希与金额，以及——取决于路径——随机设备标识（领取短码）或一次性设备摘要（激活）；它看不到你的姓名或账号，也不会为你建立画像。如果你通过会收集邮箱的渠道购买，或使用取码表单，它还会处理该邮箱地址：邮箱随订单记录一起保存（订单记录我们一直保留，取码才能长期可用），用于重新发码；同时保存其截断的 SHA-256 哈希并写进已签名的激活码，使取码表单无需比对原始地址即可匹配到你的订单。
• 公共区块链 API（例如 TronGrid 与公共 RPC 端点）：发码服务读取公开链上数据以确认你的转账，不会向它们发送个人数据。
• GitHub：托管本网站、更新源与下载包。作为托管方，它会保留常规访问日志（IP、时间、请求路径）。

除此之外，本应用与本站点没有任何分析服务、广告网络、社交插件或第三方字体。

六、儿童

LumePane 是面向 Mac 用户的桌面工具，不面向儿童设计，也不会有意收集儿童的任何信息。

七、政策变更

如果未来的版本改变了应用的联网行为（例如新增云同步），这份政策会先更新，并在更新日志里写明改了什么。我们不会用「继续使用即视为同意」来悄悄扩大收集范围。

八、联系方式

对这份政策有疑问，或想核对你被保存了哪些授权信息，请在GitHub 上开一条 issue。