隱私政策

最後更新：2026 年 10 月 18 日

一句話：LumePane 應用程式內不做遙測、不做埋點。應用程式裡沒有分析 SDK，也不會上報你怎麼用它。發碼服務確實保留幾個聚合計數——就在下一段，這是這裡唯一稱得上「統計」的東西。

我們保留的計數。發碼服務統計六類事件：下單頁點擊、建單、付款、取碼、成功頁顯示、短碼領取——按天、並按 ?src= 投放標籤分別計。這些計數不含任何識別碼：沒有 IP 位址、沒有 Cookie、沒有裝置號，也沒有任何能與人關聯的東西。它們存在的目的，是讓我們判斷哪條渠道值得投入。

濫用防護是另一回事。發往下單頁、成功頁與取碼頁的請求都有限流。限流鍵使用用戶端 IP 位址的截斷 SHA-256，並會自動過期：成功頁與取碼頁約 15 分鐘，啟用約 10 分鐘。取碼嘗試還會寫入一筆稽核紀錄，包含該截斷雜湊、訂單號的截斷雜湊與結果；紀錄最多保留 30 天，以便調查濫用。限流鍵與稽核紀錄不屬於上面的聚合計數。

一、我們蒐集什麼

不蒐集任何關於你的使用資料。沒有埋點、沒有事件回報、沒有當機記錄回報、沒有裝置指紋、沒有廣告識別碼、沒有使用者輪廓分析。

授權只會在兩種情況下連網：短碼的一次性領取（DP-XXXX-XXXX-XXXX），以及首次啟用時的一次性裝置登記。短碼領取只送出兩樣東西：

裝置登記：啟動碼驗簽通過後，應用程式會聯絡我們自己的伺服器一次，登記這台 Mac——只上傳一個在本機由主機板識別碼與機型識別碼算出的不可逆 SHA-256 摘要，絕不上傳序號或明文機型字串。該摘要對同一台 Mac 是穩定的，五台 Mac 的上限正是靠它才能執行；它是假名化的，不是匿名的。之後每次啟動都在本機驗簽。

• 短碼——付款後下單頁顯示的那 12 位字元；
• 隨機產生的裝置識別碼——第一次領取短碼時在本機產生的 UUID，存放在 macOS 鑰匙圈。它用於領取短碼與綁定本機授權紀錄。它不含硬體序號、MAC 位址、顯示器 EDID、機器名稱、Apple ID 或任何帳號資訊。

這個請求只是讓發碼服務把短碼換成該訂單對應的長簽章啟動碼。以 DP- 開頭的長碼之後完全離線驗證，用的是應用程式內嵌的公鑰。首次啟用時，應用程式還會按上面的說明登記這台 Mac 一次；之後每次啟動都在本機驗簽。那個隨機識別碼無法回溯到你的裝置型號。

目前狀態：購買通道已開通。付款透過我們自建的收單與發碼服務以加密貨幣完成。DP- 啟動碼離線驗證。只有兩件事會用到授權網路：領取短碼，以及首次啟用時的裝置登記。兩者都發往我們自己的服務，不經過第三方。

二、我們不蒐集什麼

下面這些資料應用程式會用到、但只在你本機處理，永遠不上傳：

• 顯示器型號、廠商 ID、型號 ID、EDID 全文與物理色域；
• 解析度、更新率、目前伽瑪表、亮度與色溫數值；
• 磁碟容量、快取目錄大小、掃描結果與清理紀錄；
• 視窗標題與視窗位置（視窗佈局與工作階段回復需要，要你授權輔助使用後才讀得到）；
• 滾輪事件與快速鍵按鍵（捲動平滑、滑鼠映射需要）。

另外這些我們根本不碰：

• 不上傳顯示器型號、EDID 或序號——從來沒有這類程式路徑；
• 不上傳使用時長、功能點擊次數或啟動次數；
• 不記錄鍵盤輸入。捲動平滑只讀取滾輪事件的位移量；鍵盤只用於判斷「按住 ⌘ 時繞過平滑」這一個狀態；
• 不申請麥克風、螢幕錄製與全磁碟存取權限。儲存空間掃描是唯讀的，受系統保護的目錄依 macOS 規則直接跳過；
• 不擷取畫面與聲音。應用程式裡沒有任何攝影機或麥克風呼叫。（Info.plist 裡沒有任何 NS*UsageDescription 鍵。）

三、真正連網的只有三件事

除了下面三項，應用程式不會主動發起任何網路請求。全部走 HTTPS，不使用明文 HTTP。

1. 檢查更新

應用程式會向 appcast.xml 請求一次版本清單，用來判斷有沒有新版本。這份清單與本網站一起託管在 GitHub Pages。這個請求裡不含授權碼、不含裝置識別碼、不含任何使用資料。它預設是關閉的：只有你在「一般」面板裡主動開啟自動檢查（此後每天最多一次），或者手動點一次「檢查更新」，才會送出這個請求。

託管方 GitHub 與任何網站伺服器一樣，會看到你的 IP 位址、請求時間與用戶端識別碼。這是託管服務的例行存取記錄，不是我們額外蒐集的。

2. 檢查授權

只有在你啟用時才會發生。長簽章碼（DP-…）用應用程式內建的公鑰在本機離線驗證——驗簽本身從不發請求。短碼（DP-XXXX-XXXX-XXXX）只在領取時與我們自己的發碼服務交換一次：

• 領取短碼：傳送短碼與上面說的隨機裝置識別碼，並取回長簽章碼；
• 登記這台 Mac：首次啟用時，把啟動碼與本機算出的裝置摘要傳送一次，長碼因此才能限制在五台 Mac 上；同一個碼在同一台 Mac 上會被識別，不會佔用第二個名額；
• 長簽章碼：用內建公鑰離線驗證。無帳號、無伺服器、無定期回連——不會因為你離線而失效。

我們刻意做成離線優先：複查失敗、斷網、伺服器故障都不會改變你的授權狀態，只會記下一筆錯誤；萬一複查長期不通，還有 7 天寬限期照常使用。還沒啟用之前，應用程式不會送出任何授權請求，也不需要填任何帳號。

目前狀態：這一步已生效。長 DP- 碼離線驗證。授權請求只有兩項：首次啟用時的一次性裝置登記，以及你如果用短碼的話上面的短碼領取；兩者都發往我們自己的服務。啟用之前，應用程式不會送出任何授權請求，也不需要帳號。

3. 開啟購買頁或官網

點「購買」或「前往官網」時，網址會在你的預設瀏覽器裡開啟。付款在你的瀏覽器中完成，不經過應用程式。購買入口是由發碼服務提供的下單頁，使用你已有的瀏覽器，不安裝任何東西。

四、你的資料存在哪裡

• 授權紀錄（授權碼、執行個體編號、啟用與複查時間）：macOS 系統鑰匙圈，服務名稱 com.neeson.displaypilot.license。不是明文 plist。
• 應用程式設定（試用起始日期、介面偏好、快速鍵綁定、自動化規則、護眼排程）：~/Library/Preferences/com.neeson.displaypilot.plist。
• 清理隔離區與操作台帳：~/Library/Application Support/com.neeson.displaypilot/Clean/。被清理的檔案先移進這裡的隔離區，隨時可還原；永久刪除要等 30 天後才會提供。
• 系統權限：輔助使用授權由 macOS 管理，可在「系統設定 → 隱私權與安全性 → 輔助使用」裡隨時撤銷。

刪除方式：結束應用程式後，把上面兩個目錄／檔案刪掉即可；想要更徹底，再在鑰匙圈存取裡刪掉那一筆紀錄。應用程式不在系統裡安裝任何背景服務或常駐程式，解除安裝不留下常駐元件。

五、第三方

• 我們的發碼服務（Cloudflare Workers）：提供下單頁、把你的付款與鏈上記錄比對、簽發啟動碼，並處理短碼領取。它能看到訂單號、鏈上交易雜湊與金額，以及——取決於路徑——隨機裝置識別碼（領取短碼）或一次性裝置摘要（啟用）；它看不到你的姓名或帳號，也不會為你建立輪廓。如果你透過會收集電子郵件的通路購買，或使用取碼表單，它還會處理該電子郵件地址：郵件隨訂單記錄一起保存（訂單記錄我們一直保留，取碼才能長期可用），用於重新發碼；同時保存其截斷的 SHA-256 雜湊並寫進已簽名的啟動碼，使取碼表單無需比對原始位址即可對應到你的訂單。
• 公共區塊鏈 API（例如 TronGrid 與公共 RPC 端點）：發碼服務讀取公開鏈上資料以確認你的轉帳，不會向它們傳送個人資料。
• GitHub：託管本網站、更新來源與下載包。作為託管方，它會保留一般存取日誌（IP、時間、請求路徑）。

除此之外，本應用程式與本站沒有任何分析服務、廣告聯播網、社交外掛或第三方字型。

六、兒童

LumePane 是面向 Mac 使用者的桌面工具，不針對兒童設計，也不會有意蒐集兒童的任何資訊。

七、政策變更

如果未來的版本改變了應用程式的連網行為（例如新增雲端同步），這份政策會先更新，並在更新記錄裡寫明改了什麼。我們不會用「繼續使用即視為同意」來悄悄擴大蒐集範圍。

八、聯絡方式

對這份政策有疑問，或想核對你被保存了哪些授權資訊，請在GitHub 上開一條 issue。