网云穿客户端隐私政策

河南图奕网络科技有限公司（以下称“我们”）是网云穿客户端相关个人信息的处理者。我们重视您的个人信息和业务数据安全。本政策适用于 Windows 图形客户端以及 Linux、macOS 命令行客户端；官网、控制台、支付或图奕统一基础设施平台存在单独规则的，相应场景还适用其已向您展示的规则。

本政策依据合法、正当、必要、诚信和目的明确原则编写。我们不会将您的隧道内容用于广告画像，也不会要求与基本功能无关的通讯录、精确位置、相册、摄像头或麦克风权限。

1. 我们如何收集和使用信息

1.1 登录、账号与安全验证

当您登录客户端时，我们会处理统一平台返回的用户标识、账号或昵称、已绑定手机号、登录方式、会话令牌、登录时间、IP 地址、结果和安全审计标识，用于身份验证、账号展示、会话交换、防止盗用和处理安全事件。

短信验证码由短信服务能力用于验证手机号；微信扫码登录会使用微信返回的授权结果。新微信用户需要绑定手机号时，我们会处理您输入的手机号及验证码验证结果。客户端不会读取您的微信密码或短信内容。

Windows 客户端把登录会话保存在当前 Windows 用户的本地应用数据目录，并使用 Windows 数据保护能力加密敏感会话信息。您退出账号或清除客户端数据后，本地会话将被删除；服务器端记录按本政策和法律要求处理。

1.2 隧道、域名与访问控制

为创建和运行内网穿透，我们会处理隧道标识、名称、协议、公网入口、目标主机和端口、接入节点、带宽与连接额度、域名绑定、证书引用、访问规则、令牌状态及启停结果。这些信息用于下发连接配置、路由流量、执行访问控制、展示状态和排查故障。

连接建立和运行期间，我们及接入节点会处理连接时间、来源 IP、目标入口、协议、上下行流量、连接数量、断开原因、错误码和必要的安全事件。若您启用“真实访客 IP 透传”，来源 IP 会按协议传递给您配置的本地服务。

隧道传输的数据会经过接入节点转发。除实现传输、安全防护、故障处理或法律要求所必需的情形外，我们不会以提供服务之外的目的读取或持久化您的业务内容。您应当对经隧道处理的第三方信息具有合法处理依据。

1.3 本地文件共享

启用文件共享时，客户端会在本机读取您主动选择的目录、文件名、文件大小、修改时间和访问结果，以生成本地文件页面并响应访客请求。文件内容通过您启用的本地服务和隧道传输；我们不会默认把所选目录整体上传到云端。

本地目录路径和文件共享配置保存在当前设备。请不要选择包含无权公开、敏感或受保密义务约束内容的目录，并根据需要启用访问验证和来源限制。

1.4 设备、运行与诊断

为兼容、稳定运行和故障排查，客户端会处理设备安装标识、设备名称、操作系统及版本、CPU 架构、客户端版本、网络地址、代理配置的非凭据部分、本机服务可达性、节点连通性、延迟、错误码、重连状态和操作时间。

无界面客户端前台运行且未指定标识时，会根据操作系统、CPU 架构和设备名称生成不可逆散列的稳定实例标识；安装系统服务时则为每个命名实例生成独立随机标识。它们用于在控制台区分连接设备。前台模式可通过 WYC_CLIENT_INSTANCE_ID 自行指定标识，并通过 WYC_CLIENT_DEVICE_NAME 修改展示名称。

Windows 客户端会把运行日志保存在本机 %LOCALAPPDATA%\Wangyunchuan\logs，单个主日志达到约 4 MB 时轮换，并保留一个上一版本日志；发生未处理的原生异常时，可能在 %LOCALAPPDATA%\Wangyunchuan\crash-dumps 生成崩溃转储，默认最多保留 5 个。日志或转储可能包含设备名、文件路径、错误上下文和当时的客户端配置摘要，但设计上不会主动记录密码、短信验证码、完整访问令牌或支付凭据。

本地日志和崩溃转储不会自动上传。 只有在您主动提供给客服、明确同意上传，或后续版本另行向您说明并取得必要同意后，我们才会接收这些材料。您可以在客户端“日志目录”中查看并自行删除。

Windows 客户端意外退出后，会弹窗询问是否发送崩溃报告。仅在您选择“是”后，才发送报告编号、客户端版本、操作系统类型、CPU 架构、退出代码和脱敏后的代码位置（源文件名与行号）；不包含账号、令牌、内网地址、文件路径、普通日志或内存转储。选择“否”时，本机暂存的报告会被删除。

1.5 设备管理与在线统计

您在控制台绑定设备后，我们会处理设备与账号的绑定关系、在线状态、最近连接时间和客户端版本，使您可以在控制台查看设备并对其上的隧道执行启动、停止和配置同步等管理操作。管理指令仅对已绑定到您账号的设备生效，并会校验账号与资源归属。

为展示设备在线分布和统计服务质量，服务器会依据客户端连接时的公网 IP，在本地离线地理库（DB-IP 城市库）中推断国家、省份和城市级的大致位置。该过程不向第三方发送您的 IP，也不使用 GPS 或其他精确定位能力。

1.6 软件更新

Windows 安装版使用 update.too1.net 提供的 OneUpdate 统一分发服务和本机 OneUpdate Agent。更新检查会处理应用标识、稳定的安装标识、设备名称、Windows 版本、CPU 架构、当前应用版本、安装范围、更新组件版本、支持能力、服务端观察到的公网 IP，以及检查、下载、安装、健康确认或回滚结果。硬件清单默认不采集。

这些信息用于确定适配版本和灰度范围、下载并校验更新、确认新版本健康、回滚失败版本、防止重放或降级攻击以及统计更新质量。Windows、Linux 和 macOS 的首版无界面客户端均不接入 OneUpdate Agent，因此不会产生上述 OneUpdate 设备遥测。

1.7 订单、支付和客户支持

您购买服务时，我们会处理订单号、商品、金额、支付渠道、支付或退款状态及服务开通结果。实际支付由图奕统一收银台及您选择的支付机构完成；网云穿不保存完整银行卡号、支付密码或第三方支付账户密码。

您联系服务支持或请求排障时，我们会处理您主动提供的联系方式、问题描述、截图、日志、诊断材料和沟通记录，用于响应请求、定位问题和改进服务。请在提交前删除与问题无关的第三方信息和凭据。

2. 处理依据

我们会根据具体场景，基于您的同意，为订立或履行您作为一方当事人的合同所必需，履行法定义务，应对突发网络安全事件，或在法律允许的其他情形下处理个人信息。对于依赖同意的处理，您可以撤回同意；撤回不影响撤回前处理活动的合法性。

若我们需要处理敏感个人信息、向其他个人信息处理者提供信息、公开信息、改变处理目的，或进行法律要求单独同意的其他活动，我们会依法另行告知并取得相应同意。

3. 本地权限与后台运行

客户端可能根据您的操作使用网络访问、本机端口监听、所选文件夹读取、开机启动、托盘后台运行、写入本地配置和日志、写入剪贴板以及打开系统浏览器等能力。客户端仅在实现相应功能时使用这些能力；不会因为您拒绝非必要能力而拒绝与该能力无关的基本功能。

4. 委托处理、共享、转让与公开

为提供服务，我们可能委托受约束的基础设施提供方处理最少必要信息，包括：

1. 图奕统一基础设施平台（platform.too1.net）：统一账号、短信验证、微信扫码登录、会话交换、统一收银台、支付结果核对与原路退款；
2. OneUpdate（update.too1.net）：Windows 安装包分发、版本检查、设备更新状态和健康确认；
3. 支付机构：经图奕统一收银台完成付款与退款，网云穿只接收核对订单所需的交易结果；
4. 七牛云对象存储与内容分发：保存和分发官网、控制台图片资源及节点程序制品，不用于存储隧道传输内容；
5. 云主机、机房与网络线路服务提供方：承载业务服务器和接入节点，转发隧道流量；
6. 阿里云云解析 DNS：为平台域名维护解析记录，不向其提供您的账号身份信息；
7. 经您主动选择的客服、审计或安全响应渠道：处理您提交的问题描述和诊断材料。

我们会通过合同、权限控制和安全措施约束受托方仅按约定目的处理信息。未经合法依据或您的单独同意，我们不会向无关第三方出售个人信息，不会公开披露，也不会转让给其他个人信息处理者。发生合并、分立、重组、资产转让或破产清算等主体变更时，我们会依法告知接收方信息，并要求其继续受本政策约束；处理目的或方式发生变化时，将依法重新取得同意。

5. 存储地点与期限

原则上，我们在中华人民共和国境内存储在境内收集和产生的个人信息。当前客户端业务不以向境外提供个人信息为默认目的；如未来确需跨境，我们会依法完成相应程序并另行告知。

我们仅在实现目的所需的最短期限内保存信息，并按以下标准确定期限：

• 账号和基础配置：账号存续及提供服务期间。账号注销通过图奕统一平台办理；注销或停用后，网云穿停止该账号的登录和服务，账号资料在法律、争议处理或安全审计要求的期限届满后删除或匿名化；
• 订单、结算、发票和退款记录：按照财税、会计、消费者权益保护及争议处理的法定期限保存；
• 网络运行与安全日志（连接、HTTP 访问、安全事件和节点监控历史）：不少于 186 日；
• 隧道流量明细：在线可查询 90 日，归档后合计保存 365 日；按日汇总保存 3 年，按月汇总保存 5 年；
• 技术错误记录及您同意发送的崩溃报告：30 日；
• 客服与排障材料：问题处理完成并经过合理复核期后删除或匿名化；
• OneUpdate 安装和更新记录：在保障版本安全、处理回滚与审计所需期间保存，账号或应用终止后按平台规则清理；
• 本地会话、日志和崩溃转储：保存在您的设备上，直至您退出、删除、卸载时选择清理，或被客户端轮换机制覆盖。

保存期限届满后，我们会删除或匿名化信息；法律要求继续保存时，我们将限制其访问和其他处理。

6. 安全措施与事件处理

我们采用 HTTPS 或隧道链路保护、令牌最小权限、敏感信息加密或哈希、访问控制、审计、限流、更新包完整性校验与签名、健康确认、回滚、备份和应急响应等措施。任何系统都无法保证绝对安全，请您妥善保护账号与令牌，并及时安装安全更新。

发生或可能发生个人信息泄露、篡改、丢失时，我们会立即采取补救措施，并依法向有关部门和受影响个人告知事件类型、可能影响、已采取或拟采取的措施、您的防范建议及联系方式；法律允许不通知个人的情形除外。

7. 您的权利

您可以通过客户端、控制台账号中心、官网支持页或本政策末尾公布的个人信息保护邮箱依法行使查阅、复制、更正、补充、删除、限制或拒绝处理、撤回同意、注销账号以及要求解释处理规则等权利。为保护账号和他人信息，我们可能先核验您的身份。

如果我们拒绝您的合理请求，会向您说明理由。您也可以通过公开的个人信息保护或支持联系方式投诉，或依法向履行个人信息保护职责的部门反映。

8. 未成年人

网云穿面向具有网络配置和安全管理能力的用户，不以不满十四周岁的未成年人为目标用户。未成年人应在监护人指导下使用；如果我们发现未经监护人同意处理了不满十四周岁未成年人的个人信息，将依法删除或采取其他必要措施。

9. 政策更新

我们可能因功能、处理活动或法律要求变化而更新本政策。对处理目的、信息类型、共享对象、您的权利或其他重大权益产生实质影响的变更，会通过安装页、客户端、官网、控制台或其他适当方式显著提示，并在依法需要时重新取得同意。

10. 联系我们

个人信息处理者及运营主体：河南图奕网络科技有限公司。

您可以通过网云穿官网支持页或本页末尾公布的个人信息保护邮箱联系我们。主体信息、个人信息保护邮箱、支持邮箱和安全响应邮箱以本页末尾实时公布的信息为准。我们将在核验身份后，按照法律规定的期限处理您的请求。