余音 Reverb 隐私政策
最后更新：2026 年 10 月 31 日
余音 Reverb（以下简称“本应用”）是一款播客客户端，提供 Android、macOS、HarmonyOS 三个版本。
本应用不要求注册或登录，不运营接收用户数据的开发者后端。本政策说明本应用在设备本地处理哪些数据、会向哪些第三方地址发出请求，以及数据在什么情况下会离开应用。
一、我们如何处理数据
本应用不提供账号、广告、统计分析、归因、第三方登录、第三方推送、崩溃上报或跨应用追踪，也不运营接收或存储用户数据的后端服务。本地数据不会自动上传给开发者。
本应用会为实现播客功能进行以下必要处理：
- 将搜索词、所选地区或分类发送给 Apple、fyyd、gpodder 等公开播客目录，用于搜索节目、单集和获取热门榜。
- 当你粘贴一个视频页面链接（或视频编号）、或按关键词单集搜索时，向视频站的公开接口请求该视频的标题、封面与音频地址，再从它的内容分发网络直接拉取音频。这类请求不登录任何账号、不带任何用户标识；为取得音频地址，它们以浏览器身份的 User-Agent 与视频站的来源页发出（对方因此会看到这两项与你本来的 IP 地址）。详见第三节「关于视频链接」。
- 直接请求播客发布方或托管方提供的 RSS、封面、音频和逐字稿地址。与一般网络访问一样，对方会看到你的 IP 地址、User-Agent 和所访问的资源，并可能依其政策记录访问日志。
- 在设备本地处理订阅、播放历史、收藏、下载、播放缓存（播过的单集自动留在本机）、听觉印记、批注、收听统计、设置、安装随机标识和运行日志。
- 仅当你主动使用系统分享、导出或备份功能时，将你选择的数据交给目标应用或保存位置。
- 若你在设备系统中开启了备份（如 Android 的云备份/厂商备份/换机迁移，HarmonyOS 的「备份和恢复」/云空间/手机克隆），操作系统会把下述部分应用数据备份到你自己的系统云账号或新设备，详见下方「关于系统级备份」。
关于系统级备份（自 1.0.2 起，适用于 Android 与 HarmonyOS 版；macOS 版无此机制）：应用向系统声明了白名单，操作系统的备份功能只会备份这些数据——订阅列表、收藏、播放历史、下载记录（仅链接与元数据，不含音频文件）、听觉印记、批注（你写下的那一秒与那句话；这一项自 1.0.4 起才进入这份白名单，1.0.3 及更早的系统备份里没有它）、收听时长统计和应用设置。备份由操作系统执行，本应用没有参与上传的代码路径，开发者无法访问备份内容；音频文件（含你下载的与自动缓存的）、逐字稿缓存、封面缓存、榜单缓存与运行日志均不在备份范围内。备份的开启与关闭由你在系统设置中控制，删除备份数据也请通过系统设置操作。系统备份是「备份/恢复」语义，不提供设备间的实时同步。
Android 版使用 AndroidX、OkHttp、Coil 等开源基础库来实现界面、网络、图片、播放和后台任务；这些不是广告、统计、归因、第三方登录、第三方推送、崩溃上报或跨应用追踪 SDK。HarmonyOS 版使用系统能力与本应用自有代码。Android 版还内置开源离线语音识别组件（模型随安装包提供），在本机生成逐字稿，不连接远端识别服务。macOS 版同样在本机生成逐字稿，使用的是操作系统自带的语音识别框架，不连接远端识别服务；它的语言模型不在安装包内，由系统在你首次转录某种语言时按需下载（见第三节）。
我们的官网仅托管静态文件（本政策页面及“推荐订阅清单”OPML）。只有当你主动点击“导入推荐订阅”时，应用才会下载清单；托管方会在网络请求中接触 IP 地址、User-Agent 和请求资源。
二、本应用在你设备上保存哪些数据
以下数据在应用沙箱内处理和保存；除网络请求所必需的内容以及你主动分享或导出的内容外，不会自动上传给开发者：
| 数据 | 用途 |
|---|---|
| 订阅列表 | 记住你订阅的播客 |
| 播放历史与续播位置 | 让你从上次中断处继续收听 |
| 收藏的单集 | 你主动收藏的内容 |
| 已下载的音频文件 | 你主动下载的离线内容（视频来源的单集不提供下载，见第三节「关于视频链接」） |
| 已播放单集的自动缓存（音频文件，Android 与 HarmonyOS 版自 1.0.5 起） | 播过一次的单集留在本机，下次直接本机起播、不再联网；受字节预算与「最久没听的先淘汰」约束，与上面的下载分开存放，可在设置「清除缓存」一键删除 |
| 最新单集、热门榜、频道、封面与逐字稿缓存 | 减少重复请求，加快打开与离线阅读（封面：Android 版由图片库缓存，HarmonyOS 版自 1.0.5 起也落在本机私有目录） |
| 收听时长统计 | 展示你在每个频道上累计收听的时长 |
| 听觉印记 | 你主动为单集盖下的情绪标记 |
| 批注 | 你主动写下的「某一秒 + 一句话」，同条目还保存所属单集的快照，以便那一集从发布方下架后仍能跳回。它进入系统级备份的白名单自 1.0.4 起（1.0.3 及更早不含这一项） |
| 正在播放的一集与待播队列 | 让重启后播放栏、上下一集与排好的队列还在；同条目保存所属单集的快照。不进入任何备份（换机或恢复后不迁移，属一次性排程） |
| 应用设置 | 主题、配色、字号、语言、地区、倍速等偏好 |
| 安装随机标识 | 合并收听统计时避免重复计数 |
| 运行日志 | 排查偶发问题 |
关于安装随机标识：本应用首次启动时会在本机生成一个随机字符串（由时间戳与随机数组成），保存在本地设置中。它不是 IMEI、Android ID、OAID、IDFA 等系统设备标识符，不含硬件信息，也不会自动上传给开发者。收听时长按该标识分设备保存，随完整备份一并导出，以便在另一台设备恢复时按设备合并、避免重复计数；自 1.0.2 起接入的系统级备份（见第一节）会在备份应用设置时一并包含该标识，恢复到多台设备会让它们共用同一标识，对按设备合并的统计口径没有影响。
日志：Android 与 macOS 版会把运行日志写入应用私有目录（单文件约 1.5 MB 上限，仅保留最近两份，写满自动覆盖）；HarmonyOS 版仅在内存中保留最近若干条。日志不记录搜索词、完整 URL 或安装随机标识；可能包含节目或单集标识、网络地址的 scheme/host，以及时间、模块、错误码和事件等排障信息。日志默认不自动上传；只有当你主动点击“分享日志 / 导出日志”时，日志才会离开应用并交给你选择的应用或保存位置。你可在设置中随时清除日志。
三、本应用会连接哪些网络地址
本应用需要联网检索和播放播客。请求由你的设备直接发往公开目录、发布方或托管方，不经过开发者后端：
| 地址 | 用途 | 发送或暴露的信息 |
|---|---|---|
Apple 检索 itunes.apple.com | 搜索节目与单集 | 搜索词、所选地区，以及网络请求常规信息 |
Apple 榜单 rss.marketingtools.apple.com | 获取分类热门榜 | 所选分类、地区，以及网络请求常规信息 |
fyyd.de 公开接口 | 搜索与综合热门榜兜底来源 | 搜索词或榜单条数，以及网络请求常规信息 |
gpodder.net 公开接口 | 搜索兜底来源 | 搜索词，以及网络请求常规信息 |
视频站公开接口 api.bilibili.com | 解析你粘贴的视频页面链接或 BV 号，取标题、封面与音频地址；按关键词单集搜索时也用它取公开搜索结果 | 视频地址或 BV 号、搜索关键词，以及网络请求常规信息（含浏览器身份的 User-Agent 与视频站来源页）；不发送账号、标识符或收听内容。详见下方「关于视频链接」 |
视频短链 b23.tv / bili2233.cn | 仅当你粘贴的是一条短链时，跟随一次跳转取得其中的视频编号 | IP 地址、User-Agent、短链地址 |
| 播客发布方或托管方的 RSS 地址 | 获取节目与单集信息 | IP 地址、User-Agent、所访问的 RSS 地址 |
| 音频、封面图与官方逐字稿地址 | 播放、下载、显示封面、阅读逐字稿；三端都会在你首次播放某一集时，从同一地址把整集取回本机作播放缓存 | IP 地址、User-Agent、所访问的资源地址 |
视频站的内容分发网络（*.bilivideo.com、*.bilivideo.cn 等，含其轮换到的第三方 CDN 节点）与视频站给出的封面图地址（*.hdslb.com 等） | 流式播放视频来源单集的音频、显示其封面；三端都会在你首次播放时把整集取回本机作播放缓存 | IP 地址、User-Agent、所访问的资源地址 |
| 本应用官网的推荐订阅清单 | 仅在你主动导入时下载 | IP 地址、User-Agent、所访问的 OPML 地址 |
GitHub 公开发布页接口 api.github.com 与其资产下载地址（仅 Android 版） | 检查有没有新版本，以及下载新版本安装包。检查有两个触发：打开应用时自动一次，或你在「设置 → 检查更新」里主动点一次 | 只读公开信息：本应用自己的公开仓库地址与当前版本号；不发送账号、标识符、订阅列表或收听内容。详见下方「关于应用内更新」 |
| macOS 逐字稿的语音识别语言模型 | 你首次在 macOS 上转录某种语言时，由操作系统下载该语言的模型；本应用不指定下载地址 | 该次下载由系统发起，本应用不向其中附加你的音频、身份标识或收听内容 |
关于打开应用时的预载：自 1.0.4 起，若上次退出时正在收听（或暂停在）某一集，打开应用会向发布方请求那一集的音频地址并装载到就绪状态——保持暂停，不会自动播放。这样做的目的是让进度与「按下播放即出声」是准确的，代价是打开应用即发生一次对发布方的音频请求（其日志会记录该次访问）。当前版本没有关闭该预载的开关；预载与音频列表里显示的内容一致，不包含搜索词或任何身份标识。
关于视频链接（自 1.0.6 起，三端均有）：你可以粘贴一个视频页面链接（或视频编号），把它当一集来听；也可以按关键词做单集搜索，视频来源的结果会与播客单集并列显示。这类请求不登录账号，也不带任何用户标识；但视频站只对带着浏览器身份与来源页的请求给出音频地址，因此这些请求的 User-Agent 是浏览器身份、并附带来源页，对方因此会看到这两项与你本来的 IP 地址——这与你在浏览器里打开同一页面时对方看到的信息同类。音频地址约两小时失效，所以本应用只在本机保存「视频编号」这类不失效的标识，每次播放或续播时重新解析一次地址。视频来源的单集不提供下载（下载是长期占盘、需要你自己管理的动作），但它与播客单集一样会在首次播放时整集取回本机作自动缓存，受同一份缓存预算与「最久没听的先淘汰」约束，可在设置「清除缓存」一键删除。如果你粘贴的是一集只对付费用户开放的内容，视频站不会给出分段的音频轨（只回一段截短的混流预览），本应用不会拿预览片段顶替整集：这类视频不会出现在搜索结果里，粘贴它的链接也只会提示「没找到」。按关键词搜索时，本应用会为每条视频结果各取一次公开的元信息，用来滤掉播放不了的付费（充电）专属视频——这些请求与上面同类：同一站点、同样的浏览器身份与来源页、不带任何账号或标识。
关于应用内更新（Android 版，自 1.0.5 起）：打开应用时，本应用会向上表那个公开的发布页接口发一次请求，问「最新版是什么」；你也可以随时在「设置 → 检查更新」里主动问一次，结果就显示在那一行下面。它不带任何用户标识，也不需要账号；本应用没有自建服务器，这条请求直接发往 GitHub 的公开接口，由 GitHub 按其政策记录常规访问信息。只有在那次回答里确实有更新的版本时，才会继续下载新版安装包，且默认只在 Wi-Fi 下自动下载——当前网络按用量计费（如蜂窝）时会先问你一次，你同意后才开始。下载完由系统安装器接手安装，安装那一步完全在应用之外；你可以随时点「以后再说」，此后这一版的那一份安装包不会再问。两种情况下会重新问一次：发布了更高的版本；或同一个版本号重新发布了一份字节不同的安装包（这条是为了让「版本号没变、但内容修过」的那一版也能到达你）。从应用商店安装的这一份与公开仓库上那份字节不同，因此可能多问一次，点「以后再说」即可，之后不会再问。主动点「检查更新」不受「以后再说」的限制。Android 只有一份安装包，它同时经大陆应用商店与 GitHub Releases 分发，所以从商店装到本机的用户同样会收到这条更新询问。HarmonyOS 与 macOS 版没有这套机制：前者的更新由应用市场负责，后者是自行分发的桌面应用。
“网络请求常规信息”包括 IP 地址、User-Agent、请求时间和所访问的资源。第三方可能依其自身政策记录这些信息；本应用无法控制其后续处理，请参阅相应服务或发布方的隐私政策。
目录接口只用于发现节目，不转存或代理节目内容。请求不附加本应用账号或广告标识符；播放、下载、封面和逐字稿均直接访问发布方或托管方提供的原始地址。
Android 版可在设备上离线生成逐字稿，识别模型随安装包提供，音频与识别结果不发送给远端识别服务。macOS 版也在本机生成逐字稿，用的是系统自带的语音识别框架：语言模型不在安装包内、由系统按需下载（见上表），音频与识别结果不出这台机器。若发布方在 RSS 中提供官方逐字稿，Android 与 HarmonyOS 版会直接请求该文件；macOS 版当前只在本机生成，不会请求发布方的逐字稿文件。
离线识别组件随那唯一一份 Android 安装包提供，因此经大陆应用商店装到本机的版本同样具备。
四、权限说明
| 权限 | 为什么需要 | 时机 |
|---|---|---|
| 网络访问 | 检索播客、获取节目信息、播放、下载与自动缓存音频 | 使用联网功能时 |
| 获取网络状态 | 读取当前网络类型，用于实现“仅在 Wi-Fi 下载”（避免在蜂窝网络下大流量下载；自 1.0.5 起同一道闸门也管自动缓存，蜂窝下不会替你拉整集；Android 侧还据此判断该网络是否按用量计费） | 使用网络功能时 |
| 无线网络名称（SSID） | 本应用不主动读取，见下方专项说明 | 不适用 |
| 后台运行（长时任务，仅音频播放） | 让你退到后台或锁屏后音频能继续播放 | 播放时 |
| 通知 | 订阅有新一期时提醒你 | 仅在你主动开启“订阅更新提醒”时征求同意，可随时关闭 |
| 唤醒锁（WAKE_LOCK） | 播放期间不让 CPU 休眠，避免声音断续 | 播放时 |
| 写入外部存储（WRITE_EXTERNAL_STORAGE，仅 Android 9 及以下） | 把剪藏卡片或听觉足迹海报保存到相册 | 仅在你主动保存时 |
| 麦克风（RECORD_AUDIO，默认关闭） | 开启“真实频谱”后在本机计算频谱；音频不录制、不保存、不发送 | 仅在你主动开启并授权时 |
| 安装未知应用（REQUEST_INSTALL_PACKAGES） | 让本应用能把已下载到本机的新版本安装包交给系统安装器（见第三节「关于应用内更新」）。本应用不自行安装，也不在这一步决定装哪个应用 | 仅在你下载完成后主动点“立即安装”时，由系统单独征求同意；未授权时应用只会把你送到系统的这一页 |
本应用不申请位置、通讯录、相机、短信、通话记录、日历或读取已安装应用列表权限。也不申请开机广播（RECEIVE_BOOT_COMPLETED，Android）：后台任务组件默认会带进这一项，本应用已显式移除 —— 设备重启后，已排定的更新检查由系统自身的作业调度恢复，不需要应用开机自启动。
Android 只有一份安装包，它同时经大陆应用商店与 GitHub Releases 分发，因此上表的“真实频谱”功能、麦克风权限与“安装未知应用”权限在两个分发处都在；本政策描述的就是这一份包。HarmonyOS 版不含真实频谱功能、麦克风权限与应用内更新。Android 10 及以上通过系统 MediaStore 保存图片，不需要相册写入权限；Android 9 及以下需要上表所列权限。
关于无线网络名称（SSID）的专项说明
本应用自身代码不读取、不保存或传输无线网络名称。Android 版使用 AndroidX Media3 与 AndroidX WorkManager；这些基础库判断网络类型时可能调用 Android 系统接口 ConnectivityManager.getActiveNetworkInfo()，其返回对象在 Wi-Fi 环境下可能附带 SSID。本应用不访问该字段，不将其写入本地文件、备份或日志，也不用于定位或身份识别。
自 2026 年 8 月版本起，本应用在你同意本隐私政策后才初始化相关库。macOS 与 HarmonyOS 版不使用这两个库。
五、数据的导出与分享，由你主动发起
以下操作仅在你主动选择后发生，目标应用或位置由你决定：
- 导出备份 / 导出 OPML 订阅：通过系统文件选择器保存到指定位置。
- 分享日志 / 导出日志：交给你选择的应用或保存位置。
- 保存或分享图片：保存到相册或通过系统分享面板发送。
数据交给其他应用、服务或个人后，其后续处理受相应接收方规则约束。
应用内的导出始终由你主动发起；系统级备份则不同——它由操作系统在后台按你在系统设置中的选择执行，本应用不参与发起，范围与开关同样见第一节「关于系统级备份」。
六、儿童隐私
本应用不针对儿童设计，不提供账号、广告或跨应用追踪。儿童使用联网搜索、播放或下载功能时，同样会发生第三节所述的目录及发布方直连请求；监护人应关注其使用方式与收听内容。
七、数据安全与你的权利
开发者不运营接收用户数据的后端，因此无法代你查询、更正或删除设备本地数据。你可以：
- 删除：在设置中清除缓存、下载、播放历史或日志，在音阁「批注」段逐条删除批注；卸载应用会删除应用沙箱内的数据。若系统备份中存在数据副本，请通过系统设置删除备份数据。
- 导出：通过完整备份或 OPML 导出取得数据副本。
- 访问与更正：直接在应用内查看或修改本地订阅、收藏、历史和设置。
对公开目录、播客发布方、托管方或你主动选择的分享目标所处理的数据，请依据对应第三方规则行使权利。
八、政策变更
本政策如有更新，我们将修改本页面顶部的“最后更新”日期。涉及重大变更时，会在应用内以显著方式提示。
九、联系我们
如对本政策有任何疑问，或希望了解本应用的数据处理细节，请通过电子邮件联系：
我们会在收到邮件后尽快回复。
本页面同时适用于余音 Reverb 的 Android、macOS 与 HarmonyOS 版本。