KinoFlow 隐私政策
版本：1.0.0 生效日期：2026 年 5 月 20 日 最近更新：2026 年 5 月 20 日
中文版为本隐私政策的法律效力版本。 英文版仅供参考，如有歧义以中文版为准。
一、引言与定义
欢迎使用 KinoFlow。本隐私政策（以下简称"本政策"）旨在向您说明我们如何收集、使用、存储、共享和保护您的个人信息，以及您享有的相关权利。
运营主体：上海奇诺云联科技有限公司（以下简称"我们"或"公司"） 注册地址：上海自贸区临港新片区天娇路336号3幢218室 联系邮箱：privacy@kinoflow.cn
关键术语定义
| 术语 | 含义 |
|---|---|
| KinoFlow | 由本公司运营的云盘媒体库管理服务，包括网站（kinoflow.cn）及相关客户端 |
| 服务 | KinoFlow 提供的全部功能，包括云盘扫描、影视识别、媒体库管理、播放器对接等 |
| 个人信息 | 以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息 |
| 用户 / 您 | 注册并使用 KinoFlow 服务的自然人 |
| 云盘 | 您接入 KinoFlow 的第三方云存储服务（如 115 网盘） |
适用范围
本政策适用于您通过 KinoFlow 网站、API 及兼容播放器（如 Infuse、VidHub）使用我们服务的全过程。
二、我们收集的信息
我们遵循"最小必要"原则收集信息。以下按类别详细说明：
2.1 账号信息
| 信息项 | 说明 | 收集方式 |
|---|---|---|
| 电子邮箱地址 | 您注册和登录的唯一标识符，也用于接收验证码和重要通知 | 用户主动提供 |
| 语言偏好 | 中文或英文界面选择 | 用户主动设置 |
注意：KinoFlow 采用纯邮箱验证码（OTP）登录方式，不收集也不存储任何密码。
2.2 设备与会话信息
| 信息项 | 说明 | 收集方式 |
|---|---|---|
| IP 地址 | 用于安全防护和异常登录检测 | 自动收集 |
| User-Agent | 浏览器或客户端标识信息 | 自动收集 |
| 设备名称 | 如"Chrome"、"Infuse"，用于会话管理界面展示 | 自动收集 |
| 设备平台 | 如 macOS、iOS、Android、Windows | 自动收集 |
上述信息用于维护您的登录会话（有效期 30 天，滑动续期）并允许您管理活跃设备。
2.3 云盘连接凭证
KinoFlow 支持两种云盘连接模式，分别收集不同类型的凭证信息：
2.3.1 官方授权模式（OAuth）凭证
| 信息项 | 说明 | 收集方式 |
|---|---|---|
| 云盘 OAuth Token | 云盘平台颁发的访问令牌，用于读取您的云盘文件列表 | 用户通过 OAuth 授权流程授权获取 |
| 云盘账号 ID | 您在云盘平台的唯一标识 | OAuth 授权流程自动获取 |
| 云盘账号昵称 | 用于界面展示 | OAuth 授权流程自动获取 |
2.3.2 凭证代理模式凭证
| 信息项 | 说明 | 收集方式 |
|---|---|---|
| 扫码登录凭证 | 通过您在手机端扫码流程获得的会话凭证，用于读取您的云盘文件列表 | 用户扫码后自行授权提供 |
| 云盘账号 ID | 您在云盘平台的唯一标识 | 扫码流程自动获取 |
| 云盘账号昵称 | 用于界面展示 | 扫码流程自动获取 |
敏感个人信息提示：扫码登录凭证属于敏感个人信息，因其等价于您在云盘平台的登录状态。我们将在收集前通过单独弹窗征得您的明确同意，充分告知凭证用途和相关风险。
安全说明
以下安全措施适用于所有类型的云盘凭证（OAuth Token 和扫码凭证）：
- 所有凭证使用 AES-256-GCM 算法加密后存储，密钥通过独立环境变量管理，不存在于代码仓库中
- 凭证明文永远不会出现在日志中，也永远不会传递给前端
- 凭证仅用于读取您云盘的文件列表和元数据，绝不用于其他目的
2.4 云盘文件索引
| 信息项 | 说明 | 收集方式 |
|---|---|---|
| 文件名、路径 | 仅限视频和字幕文件 | 自动扫描用户授权的目录 |
| 文件大小、扩展名 | 用于文件类型识别 | 自动采集 |
| 文件 ID（file_id） | 云盘平台分配的唯一标识，作为索引锚点 | 自动采集 |
| 文件哈希值 | 如云盘 API 提供 | 自动采集 |
| 时间戳 | 首次发现时间、最后同步时间、云盘创建/修改时间 | 自动记录 |
注意：
- KinoFlow 仅读取文件元数据（名称、大小等列表信息），绝不读取文件内容，也绝不修改、重命名、移动或删除您云盘中的任何文件（INV-001 只读原则）。
- KinoFlow 不会读取您云盘中的
.nfo文件、图片文件或其他非视频/字幕文件。我们的元数据完全来源于 TMDB 等公开数据库，不从您的云盘文件中提取（INV-004、INV-005）。
2.5 媒体库数据
| 信息项 | 说明 | 收集方式 |
|---|---|---|
| TMDB 匹配结果 | 您的文件与 TMDB 影视条目的对应关系 | 系统自动识别生成 |
| 媒体元数据 | 标题、海报、简介、评分、导演、演员等（来源于 TMDB） | 从 TMDB 获取并缓存 |
2.6 播放行为数据
| 信息项 | 说明 | 收集方式 |
|---|---|---|
| 播放进度 | 当前播放位置，用于断点续播 | 播放器通过 Emby 协议自动上报 |
| 观看记录 | 已观看/未观看状态、观看次数 | 自动记录 |
| 收藏状态 | 用户标记的收藏影视 | 用户主动操作 |
2.7 纠错数据
| 信息项 | 说明 | 收集方式 |
|---|---|---|
| 手动匹配操作 | 用户对系统识别结果的纠正 | 用户主动操作 |
| 纠错投票 | 对文件名与影视条目对应关系的确认或否定 | 用户主动操作 |
2.8 支付信息
| 信息项 | 说明 | 收集方式 |
|---|---|---|
| 订单号 | KinoFlow 系统生成 | 系统生成 |
| 套餐类型、金额 | 您选择的订阅方案和实际支付金额 | 用户发起支付时记录 |
| 支付方式 | 微信支付或支付宝 | 用户选择 |
| 支付状态 | 待支付/已支付/已退款 | 支付平台回调更新 |
注意：具体的支付处理（银行卡信息、支付密码等）由微信支付或支付宝完成，KinoFlow 不收集也不存储您的支付账户敏感信息。
三、我们如何使用信息
我们收集的信息仅用于以下目的：
3.1 提供核心服务
- 云盘文件扫描与索引
- 影视内容自动识别与匹配
- 构建和维护您的个人媒体库
- 通过 Emby 协议向播放器输出结构化数据
- 断点续播、观看记录同步
- 外挂字幕关联
3.2 账号验证与安全
- 发送邮箱 OTP 验证码
- 会话管理与设备管理
- 异常登录检测与防护
3.3 订阅与支付管理
- 处理订阅购买、续费、升级
- 计算和管理媒体单元配额
- 处理退款
3.4 服务改进与问题排查
- 通过 Sentry 收集应用错误信息，用于定位和修复技术问题
- 分析服务运行指标以提升稳定性和性能
3.5 跨用户数据聚合（重要披露）
为提升全平台的影视识别准确率，KinoFlow 使用以下跨用户数据聚合机制：
-
文件名哈希缓存（filename_cache）：当一位用户手动匹配了某个文件名对应的影视条目后，系统会将文件名的 SHA256 哈希值（非文件名原文）与匹配结果关联存储。其他拥有相同文件名的用户可自动获益，无需重复识别。
-
纠错投票共识：多位用户对同一文件名哈希的匹配结果进行投票，通过共识算法确定最准确的匹配。投票数据基于文件名哈希聚合，不包含任何个人身份信息。
-
全局去重：相同哈希值的文件仅执行一次 AI 识别，结果全局共享，节省资源消耗（INV-011）。
3.6 未来用途披露
我们计划在后续版本中引入以下功能，届时将使用您的播放行为数据：
- 智能推荐（V3 阶段）：基于您的观看偏好（类型、时长、评分倾向等）进行个性化影视推荐
- 协同过滤（V4 阶段）：结合跨用户行为模式（匿名化处理后）提升推荐精度
承诺：上述功能正式上线前，我们将更新本隐私政策并通过邮件通知您，您可以选择是否同意参与。在未获得您同意之前，您的播放行为数据不会用于上述用途。
四、信息共享与第三方服务
我们在提供服务过程中需要与以下第三方服务协作：
| 第三方服务 | 共享数据 | 用途 | 数据安全措施 |
|---|---|---|---|
| 123 网盘 | 用户 OAuth Token（官方授权模式） | 读取用户云盘文件列表和元数据 | Token 加密传输（HTTPS）+ 加密存储（AES-256-GCM），仅服务端持有 |
| 115 网盘 | 用户扫码凭证（凭证代理模式） | 读取用户云盘文件列表和元数据 | 凭证加密传输（HTTPS）+ 加密存储（AES-256-GCM），仅服务端持有 |
| TMDB（The Movie Database） | 文件标题关键词（不含个人信息） | 影视元数据查询与匹配 | 仅发送搜索关键词，无用户标识 |
| LLM 服务商（待定） | 视频文件名（不含个人信息） | 文件名智能解析 | 仅发送文件名，无用户标识 |
| 微信支付 | 订单金额、支付状态 | 支付处理 | 走微信支付官方加密通道 |
| 支付宝 | 订单金额、支付状态 | 支付处理 | 走支付宝官方加密通道 |
| 腾讯云 / 天翼云 | TMDB 影视海报（经 WebP 压缩处理，不含用户数据） | 自建图片 CDN 加速 | KinoFlow 从 TMDB 下载公开海报图片，压缩为 WebP 格式后通过自建 CDN 分发，不直接暴露 TMDB 原始链接（INV-009） |
| 邮件服务商（待定） | 用户邮箱地址 + 验证码 | 发送 OTP 验证码和通知邮件 | 加密传输 |
| Sentry | 应用错误上下文（可能含会话标识） | 崩溃追踪与故障排查 | 不主动发送个人信息 |
明确声明
- 我们不会向任何第三方出售您的个人信息。
- 我们不使用任何广告追踪技术。
- 我们不会在服务中嵌入第三方广告 SDK。
- 除上表列出的必要合作方外，我们不会与其他第三方共享您的个人信息，法律法规要求或政府主管部门依法要求除外。
五、数据存储与安全
5.1 数据存储位置
您的个人信息存储在中国大陆境内的自建服务器上。
在提供服务过程中，以下场景涉及向境外服务发送数据请求，但不包含个人信息：
- 向 TMDB（美国）发送影视搜索关键词（仅文件标题关键词，不含用户标识）
- 向 Sentry（美国）发送应用错误报告（可能包含会话标识符，已做脱敏处理）
- 如未来选用境外 LLM 服务商，将仅发送文件名用于智能解析，不含用户标识
除上述情形外，我们不存在跨境数据传输。如未来因业务需要进行涉及个人信息的跨境传输，我们将严格遵守《个人信息保护法》等相关法律规定，履行相应的安全评估和审批程序，并事先征得您的单独同意。
5.2 安全措施
我们采取以下技术和管理措施保护您的信息安全：
| 安全措施 | 具体实施 |
|---|---|
| 传输加密 | 全站 HTTPS（TLS 1.2+），所有数据传输均为加密通道 |
| Token 加密 | 云盘 OAuth Token 使用 AES-256-GCM 加密存储 |
| 密钥管理 | 加密密钥通过独立环境变量管理，不存在于代码仓库中 |
| Access Token 哈希 | Emby Access Token 使用 bcrypt（cost=10）或 argon2 哈希存储，明文仅展示一次 |
| OTP 安全 | 验证码不记入日志，10 分钟过期，单次使用，最多尝试 5 次 |
| 暴力防护 | 连续 3 次验证码用尽触发 30 分钟邮箱锁定；IP 级速率限制 |
| 数据隔离 | 用户间数据严格隔离，所有数据库查询强制包含用户身份过滤条件（INV-003） |
| 会话安全 | Cookie 设置 HttpOnly、Secure、SameSite=Lax 属性 |
| CSRF 防护 | OAuth 流程使用 state 参数防止跨站请求伪造 |
5.3 安全事件处理
如发生个人信息安全事件，我们将按照法律法规要求及时向您通知事件基本情况、我们已采取的处置措施和您可自主采取的降低风险的建议。
六、数据保留与删除
6.1 保留期限
| 数据类型 | 保留期限 |
|---|---|
| 账号及个人信息 | 账号存续期间保留 |
| 云盘文件索引 | 云盘连接存续期间保留 |
| 媒体库与匹配数据 | 账号存续期间保留（即使降级为免费用户也不删除） |
| 播放记录与进度 | 账号存续期间保留 |
| 支付记录 | 依据《会计法》要求保留至少 5 年 |
| OTP 验证记录 | 过期后 24 小时内自动清理 |
| 已过期会话 | 定期自动清理 |
6.2 账号注销
您可以随时申请注销账号。注销后，我们将物理删除以下全部数据，此操作不可恢复：
- 所有登录会话（立即失效）
- 云盘连接信息（含加密存储的 OAuth Token）
- 云盘文件索引
- 媒体匹配关系
- 媒体库条目（电影、剧集、季、集）
- 播放进度与观看记录
- 同步任务记录
- Emby Access Token
- 用户记录
注销流程需通过邮箱验证码确认您的身份，系统将在 30 秒内完成异步删除。注销后同一邮箱可重新注册，但已领取过的体验权益不会重置；系统可能保留不可逆哈希形式的试用领取、支付或反滥用必要记录，用于防止重复领取、退款争议和异常使用。
例外：支付记录、权益领取和必要反滥用记录会按法律、账务和平台安全要求保留，并尽量与可直接识别您的信息脱钩。
6.3 断开云盘连接
您可以随时断开云盘连接，此时：
- OAuth Token 将被立即物理删除，不可恢复
- 已索引的文件信息将被物理删除
- 媒体库数据予以保留（可浏览但无法播放，重新连接后可恢复）
七、您的权利
根据《中华人民共和国个人信息保护法》，您享有以下权利：
7.1 知情权与决定权
您有权了解我们对您个人信息的处理情况，并有权决定是否同意我们处理您的个人信息。
7.2 查阅权
您可以通过 KinoFlow 设置页面查看您的账号信息、活跃会话、云盘连接状态、配额使用情况等。
7.3 更正权
您可以更正您的语言偏好设置。如需更正邮箱地址，请联系我们。
7.4 删除权
您可以：
- 注销账号（物理删除所有数据）
- 断开云盘授权（物理删除 Token 和文件索引）
- 管理活跃会话（踢出指定设备）
7.5 撤回同意权
您可以随时撤回对我们处理您个人信息的同意，撤回同意不影响撤回前已进行的处理活动的合法性。
7.6 注销账号权
您可以随时申请注销账号，我们将在 30 秒内完成数据删除，详见第六条。
7.7 投诉举报权
如您认为我们的个人信息处理活动侵害了您的合法权益，您有权向相关监管部门投诉举报。
八、未成年人保护
KinoFlow 服务面向成年用户（18 周岁及以上）。我们不会主动向未成年人提供服务，也不会故意收集未成年人的个人信息。
如果我们发现在未获得可证实的监护人同意的情况下收集了未成年人的个人信息，我们会尽快删除相关数据。
未来如推出家庭账号功能中的儿童模式，我们将制定专门的未成年人个人信息保护补充条款，并严格遵守《未成年人保护法》及相关规定。
九、隐私政策的更新
我们可能会不时更新本政策。更新方式如下：
- 重大变更（如新增信息收集类别、变更信息使用目的、变更数据共享范围等）：我们将通过注册邮箱向您发送通知，并在 KinoFlow 服务内进行醒目提示。
- 非重大变更（如措辞优化、联系方式更新等）：我们将在 KinoFlow 网站上发布更新后的隐私政策。
更新后的隐私政策一经发布即生效。如您在更新后继续使用 KinoFlow 服务，即表示您同意接受更新后的隐私政策。如您不同意更新后的内容，请停止使用并注销账号。
十、联系我们
如您对本隐私政策有任何疑问、建议或投诉，请通过以下方式联系我们：
- 公司名称：上海奇诺云联科技有限公司
- 联系邮箱：privacy@kinoflow.cn
- 通讯地址：上海自贸区临港新片区天娇路336号3幢218室
我们将在收到您的请求后 15 个工作日内予以回复。
附录：法律依据
本政策的制定依据包括但不限于：
- 《中华人民共和国个人信息保护法》
- 《中华人民共和国网络安全法》
- 《中华人民共和国数据安全法》
- 《信息安全技术 个人信息安全规范》（GB/T 35273）