Flimmer
简体中文

隐私

最后更新：2026 年 10 月 2 日

本译文仅为方便阅读而提供；如有歧义，以英文版本为准。

Flimmer 是一款播放器。其账户服务只保存同步账户所需的数据；您的视频和服务提供商的完整目录从不经过我们的服务器。

简要说明。我们保存您的电子邮箱以便登录，并保存个人资料、收藏、关注的剧集和观看进度，以便在您选择开启服务提供商恢复后，将这些内容带到新手机上；否则，服务提供商凭据和随机生成的媒体库命名空间将保留在这台 iPhone 上，重新安装后无法重新关联。如果您选择发送反馈，我们会保存消息以及您选择附加的诊断信息。我们不使用跟踪器、广告或第三方数据收集 SDK。我们只统计少量匿名里程碑，例如首次启动、连接服务提供商、首次播放电影，以及每个应用版本的崩溃次数。这些总数不含账户、设备标识符或自由文本，您可以在设置中关闭。您的视频从不经过我们的服务器。

您无需创建账户。Flimmer 无需账户即可播放您自己的服务提供商内容。以这种方式使用时，任何可识别您身份的信息都不会传到我们的服务器：没有账户、邮箱、个人资料、收藏、观看记录，甚至没有您发给我们的消息。这样的设备只发送上述匿名里程碑计数，以及获取本周热门电影和剧集的请求。前者对所有人都相同，不携带标识符，可在同一位置关闭；后者不携带任何关于您的信息。保存的媒体库只留在该设备上：重新安装会丢失，另一台设备也无法看到。只有希望这些内容跟随您时才需要登录，届时以下说明才适用。

我们收集什么

数据用途
电子邮箱 它就是您的账户。我们会通过邮件发送六位数验证码供您登录。如果您使用“通过 Apple 登录”并隐藏邮箱，我们只能看到 Apple 的中转邮箱地址。
个人资料 您选择的名称和表情符号，让家庭成员的内容各自独立。系统会在有限范围内保留随机生成的个人资料创建请求 ID，作为重试记录；如果该个人资料被删除，记录会暂时保留为删除标记，防止因响应丢失而重试时重新创建它。
通过 Apple 登录的授权 如果您使用“通过 Apple 登录”，Apple 会向我们的账户服务提供刷新令牌，以便在您删除 Flimmer 账户时，将 Flimmer 与您的 Apple 账户断开连接。我们会加密存储该令牌，绝不使用它读取任何其他 Apple 数据。
收藏和播放进度 包括您的服务提供商中某项内容的标识符和标题、可选的封面图片 URL，以及已播放的秒数。应用会先从图片 URL 中移除已知的服务提供商主机和凭据信息。当另一台设备通过服务提供商恢复取得相同的目录命名空间时，这些数据便能支持“继续观看”。记录中还包含随机目录命名空间，防止两个无关服务提供商的 ID 混淆。该命名空间并非由服务提供商地址、用户名、密码或设备派生而来。
您关注的剧集 对于您在服务提供商中关注或曾关注的每部剧集，我们保存其标识符、标题、上述可选封面图片 URL、您是否仍在关注，以及您已查看到剧集列表的哪个位置，避免您在一台设备上已看过的内容在另一台设备上仍显示为“新内容”。取消关注会保留为一条说明此状态的记录，使其他设备也停止关注；与其他数据一样，该记录会随账户一起删除。无需账户也能关注剧集；只有已登录设备发送更改时，这些数据才会保存到服务器。新剧集提醒由您的 iPhone 或 iPad 根据自己的服务提供商返回的信息生成，并由系统显示。Flimmer 没有推送服务，提醒内容也不会传到我们的服务器。提醒在我们这里留下的唯一记录，是下文所述打开过提醒的安装数量匿名计数，您可以将其关闭。
服务提供商地址和登录信息 — 仅在您要求时 勾选“在我的账户中记住”会保存服务提供商地址、用户名和经 AES-GCM 加密的密码，让您在新设备上只需登录，无需重新输入。同一个随机目录命名空间也会保存，以便新设备安全地打开同步的媒体库。保持关闭时，凭据绝不会离开您的 iPhone。
短期安全记录 我们保留计数器和一次性重放记录，防止登录验证码、Apple 登录及 API 被滥用。其键包含由规范化邮箱别名、客户端 IP 地址、账户 ID 或 Apple 不透明主体标识派生的单向 SHA-256 值，以及随机租约持有者、计数和时间戳。这些是经过假名化的运行标识符，而非匿名数据，绝不用于广告、分析或跨服务跟踪。我们不会在这些记录中保存原始客户端 IP 地址。
反馈 — 仅在您发送时 包括您的消息、类别、应用和系统版本、设备型号、发送时所在的页面，以及您选择附加的连接日志。服务提供商响应只保留状态、耗时和固定类别；日志不含服务提供商地址、凭据、标题、流 ID 或原始响应文本。保存前会移除不可见控制字符和双向格式字符，防止导出的报告伪造或重新排列操作人员看到的内容。
匿名里程碑计数 只有总数：多少次安装完成了首次启动、连接服务提供商、建立媒体库、播放内容、登录或继续以访客身份使用、关注剧集或打开新剧集提醒，以及每个应用版本出现多少次崩溃或卡死。每项按日期、平台和应用版本计数。不含账户、设备标识符、安装标识符、位置、自由文本，也不含服务提供商或观看内容的信息。我们不会随这些计数保存您的 IP 地址。可在 Flimmer 的“设置 → 匿名统计”中关闭。

我们不收集什么

关于服务提供商凭据保险库的坦诚说明

如果勾选“在我的账户中记住”，服务提供商密码会在保存前使用 AES-GCM 加密。密钥由我们的服务器持有，因此服务器能够解密它。这能防范数据库泄露，却无法防范我们自身。我们会在您作出选择时于应用中明确说明，而且此功能完全可选。如果您不接受这一取舍，请保持关闭；应用的工作方式完全相同，凭据仍留在 iPhone 的钥匙串中。

通过手机设置 Apple TV

用电视遥控器输入服务器地址和密码很麻烦，因此 Apple TV 会显示配对码，由手机完成输入。如果手机向 Apple TV 发送服务提供商登录信息，它会在离开手机前，使用电视生成且从未以可读取形式交给我们的密钥，专门为那一台电视加密。我们的服务器只负责转交加密数据，在电视领取后立即删除，无论如何也会在五分钟后删除，并且不持有任何能解密的密钥。这是唯一可以严格说“我们无法读取”的地方，原因在于电视上显示的配对码是电视自身密钥的指纹：手机会拒绝任何与屏幕上所见配对码不匹配的密钥。

如果手机已登录，我们的服务器会为 Apple TV 创建独立的新 Flimmer 会话。手机的登录会话绝不会复制到电视，您也可以单独让电视退出登录。使用该会话前，电视会显示手机将其登录到哪个账户，并等待您确认；如果不是您的账户，按一个按钮即可拒绝登录，电视不会保留随之收到的任何信息，包括账户和服务提供商登录信息。电视原本已有的内容，例如有人用遥控器输入的服务提供商登录信息，不会改变。除非登录确实完成，否则电视此前保存的收藏和播放进度不会发送到该账户：这些内容先在电视本机迁入账户，只有您接受后才会上传。

手机无需安装 Flimmer。用任何手机的相机扫描电视服务提供商页面上的配对码，都会打开我们网站上的设置页面。页面会先显示配对码，要求您确认眼前电视上显示的是相同配对码；如果链接是别人发来的，请就此停止，因为显示该码的人将收到登录信息。随后您输入服务提供商登录信息，浏览器会在发送前，专门为显示该码的电视加密。页面自身的代码利用浏览器内置加密功能完成与应用相同的加密。我们的服务器只中转加密登录信息，最多保留五分钟，且不持有任何能解密的密钥。页面不从其他网站加载内容，不设置 Cookie，也不在手机上存储任何数据；它只能发送服务提供商登录信息，绝不能让电视登录 Flimmer 账户。配对码和电视密钥位于浏览器加载页面时不会发送的链接部分；之后，页面会将配对码，而绝不将密钥，放入传送登录信息的请求中。服务器据此查找配对，并在这五分钟内仅以带密钥的单向哈希形式保留它。两者都不会写入日志。与本服务的其他部分一样，您的 IP 地址只会短暂用于防止滥用，不会以可读取形式保存。

Flimmer 自身不会请求相机权限。扫描由手机自带的相机应用完成并打开该页面；如果安装了 Flimmer，页面会提供转到应用的选项。您也可以直接在应用中输入十二个字符。

首页可以显示您自己的服务提供商所提供的电影和剧集中，本周热门的内容。应用向我们的服务器请求每周列表，请求不含账户、标题、目录内容或观看信息；最多包含一个国家/地区代码，而服务器目前会忽略它。所有人收到的列表都相同。服务器根据公开数据生成列表：维基媒体基金会发布的维基百科文章阅读次数，以及 Wikidata 数据，两者均采用 CC0 公有领域贡献声明。服务器不会将您的任何请求信息发送给这些服务。列表与服务提供商目录的匹配在设备上完成。与本服务的其他部分一样，IP 地址只会短暂用于防止滥用，既不会写入日志，也不会以可读取形式保存。

数据保存在哪里

数据位于 Cloudflare 网络上，存储在西欧托管的数据库中。应用与服务器之间的通信使用 HTTPS 加密。服务提供商凭据始终保存在 iPhone 的钥匙串中。如果选择“在我的账户中记住”，地址、用户名和加密后的密码也会保存在账户数据库中。使用“通过 Apple 登录”时，其刷新令牌也会经 AES-GCM 加密后保存在账户数据库中。Apple 签发的令牌会在 Flimmer 完成账户关联之前加密，因此即使登录被拒绝或中断，也能在不保留明文的情况下完成清理。

运行日志

Cloudflare 的持久调用日志和跟踪已关闭，因为其中包含请求 URL，而 Flimmer 的 URL 可能包含个人资料 ID 或同步游标。账户 Worker 只保留经过刻意最小化处理的运行事件类别、状态数字和错误类别，不保留请求 URL、正文、邮箱、账户或个人资料 ID、游标、验证码、令牌、服务提供商身份或凭据。Cloudflare 仍会短暂处理每个 HTTPS 请求，以提供服务。

保留时间

同步的媒体库会保留到您删除对应个人资料或账户为止。取消收藏会在服务器留下隐藏的删除标记；我们保留该标记，防止长期离线的手机意外恢复已取消的收藏。标记会随个人资料或账户一起删除。登录验证码使用后即删除，十分钟后失效。定期执行且每次处理数量有限的清理任务会删除过期验证码，通常在下一次每 15 分钟执行的任务中完成；若有积压，可能需要多次执行。会话在 90 天未使用后过期，每个账户最多保留最近使用或创建的 20 个会话，过期记录由同一清理任务删除。Apple TV 配对有效期为五分钟，只交付一次，随后删除；在电视上取消会立即删除，遗留配对也由同一有限批量清理任务移除。个人资料创建重试记录最多保留 30 天，每个账户仅保留最新 100 条；删除个人资料后留下的删除标记也只存在于这一有限期限内。反馈每个账户最多保留最新 100 条报告，除此之外会一直保留到删除账户。按 IP 计数的防滥用计数器在一小时窗口结束后停止接受请求；全局邮件和验证计数器采用 24 小时窗口，Apple 登录计数器采用一小时窗口。其单向键会一直保留到有限批量清理任务删除至少 24 小时前的记录，因此积压时可能需要额外的 15 分钟清理周期。Apple 身份令牌重放哈希会保留至令牌短暂有效期结束及下一次有限批量清理。登录、关联、删除或撤销授权时使用的单向邮箱身份与 Apple 主体协调租约，通常随请求结束而删除；中断请求的租约会在五分钟后失效，并由清理任务移除。如果您删除账户时 Apple 暂时不可用，或我们清理无法完成的登录所产生的授权时遇到同样情况，加密刷新令牌会被保留，但不附带 Apple 主体、Flimmer 用户 ID 或账户外键。单向主体标签仅用于避免在并发登录后撤销仍然有效的 Apple 授权。该记录最多重试 30 天，随后销毁。匿名里程碑计数最多保留 400 天，然后删除；其中不含任何可与您关联的信息，因此删除账户不会、也无需删除这些计数。

删除全部数据

打开 Flimmer，前往设置 → 删除账户。此操作会删除账户、个人资料、个人资料重试和删除标记记录、收藏、当前或曾经关注的剧集、播放进度、已存储的服务提供商凭据，以及发送过的反馈。删除立即生效且无法恢复。短期假名化的按 IP 或全局防滥用计数器、协调租约和已消耗的 Apple 重放哈希不属于账户所有的记录，按上述保留规则过期。如果使用过“通过 Apple 登录”，我们还会请求 Apple 撤销 Flimmer 的访问权限。如果旧账户没有可供撤销的令牌，应用会提示您在 Apple 账户设置中移除 Flimmer；这绝不会延迟删除 Flimmer 数据。您也可以通过邮件要求我们删除 Flimmer 数据，但 Apple 的手动账户控制只能由您本人使用。如果另一项操作正在更改同一 Apple 授权，删除流程会在清除任何数据前要求重试，而不会在该操作尚未结束时报告成功。

儿童

Flimmer 并非面向儿童，我们不会在知情情况下收集儿童的任何信息。应用中的个人资料可标记为儿童资料，无论其他设置如何，都将隐藏成人类别。

您的权利

如果您位于欧洲经济区（EEA）或英国，GDPR 赋予您查看、更正、导出或删除我们持有的关于您的数据，以及反对其处理方式的权利。“删除账户”按钮可用于删除数据；其他请求请通过邮件联系我们，我们会回复。我们存储少量数据的法律依据是履行您所请求的服务。我们的合法设立地位于挪威。

政策变更

如果本政策发生重要变更，我们会在应用内告知，而不是悄悄修改此页面。

联系方式

support@dyrland.ai