Privacidad, explicada con claridad.

Reach (la «App») es una herramienta de escritorio remoto con dos partes: Reach Viewer para iPhone y iPad, disponible en la App Store como «Reach Remote», y Reach Host para Mac. Reach está publicado por KMWORKS, INC. («nosotros»), responsable de esta política. Explica cómo tratan tus datos las aplicaciones y el servicio opcional que las respalda.

Hay dos rutas disponibles sin iniciar sesión. Ninguna envía la imagen de la pantalla, el audio, las entradas ni los candidatos de conexión a través de nuestra infraestructura.

• Nearby / LAN — Reach Viewer encuentra tu Mac mediante Bonjour/mDNS en la misma red y establece una conexión QUIC directa y cifrada. De forma predeterminada, la primera conexión confirma un código de emparejamiento mostrado en el Mac. Los datos de la sesión no salen de tu red.
• Manual Direct IP — introduces tú mismo la dirección y el puerto del Host (UDP 8443 de forma predeterminada; normalmente necesitarás una regla de reenvío de puertos en el router), y la App conecta directamente. No se usan ni el servicio de señalización ni un relay.

Al margen de esas rutas, cuando el emparejamiento del Host está activo y el acceso remoto está habilitado en el Mac, Reach Host publica un pequeño registro con metadatos de conexión en CloudKit de Apple para que tus dispositivos se reconozcan. Reach Viewer puede publicar un registro de confianza correspondiente. Ambos se describen a continuación.

Reach Host escribe un CKRecord en la base de datos pública de CloudKit del contenedor de iCloud de Reach. La aplicación busca el registro utilizando tu código de emparejamiento como identificador. Esto no convierte el almacenamiento en privado ni garantiza que solo quien tenga el código pueda leerlo: el alcance de la base de datos es público, no tu contenedor privado. Aunque Apple opera el almacenamiento, consideramos que estos datos salen de tu dispositivo.

El registro contiene:

• Nombre de tu Host: el nombre que macOS asigna al dispositivo en la red
• La clave de identidad pública del host y su huella digital de certificado TLS
• La dirección IP externa y el puerto del host, cuando está configurado
• Candidatos de conexión directa: los puntos finales LAN y WAN utilizados para configurar QUIC
• La marca de tiempo de publicación y la versión del esquema del registro CloudKit
• Metadatos de la capacidad de preconexión: códecs compatibles, si el audio del sistema es compatible, la resolución predeterminada anunciada y la versión de carga útil de la capacidad
• Nombre de tu registro de usuario de iCloud: un identificador estable limitado al contenedor iCloud de Reach. No siempre está presente; solo se escribe si iCloud Auto-Trust está activado y se ha confirmado la cuenta iCloud, para que Viewer reconozca los Hosts que pertenecen a la misma cuenta iCloud

Si has iniciado sesión en iCloud, Reach Viewer puede publicar un registro de confianza correspondiente en la misma base de datos pública al intentar conectarse. El registro contiene la huella de la clave pública del Viewer, una marca de tiempo y el nombre del registro de usuario de iCloud que asigna CloudKit. Solo si iCloud Auto-Trust está activado expresamente en el Mac y se comprueba que el Viewer, que aún no es de confianza, usa el mismo Apple ID, ese registro permite establecer confianza en la primera conexión sin código de emparejamiento. Un Viewer que ya es de confianza se reconecta con su huella guardada y no necesita este registro de CloudKit. La eliminación manual de la confianza prevalece sobre la confianza automática: para volver a confiar en la misma huella, debes introducir expresamente un nuevo código de emparejamiento. Tras la validación y el guardado correcto de la confianza local, el Mac solicita eliminar el registro. Si CloudKit no logra eliminarlo, puede volver a intentarlo después de otra conexión establecida correctamente para esa entrada de confianza; no se garantiza su eliminación física inmediata ni definitiva. Quitar ese Viewer de los dispositivos de confianza del Mac revoca la confianza local en el Mac, y es una acción distinta de eliminar el registro de CloudKit.

La aplicación utiliza estos metadatos para el descubrimiento de dispositivos y la verificación de confianza. Reach Host solicita la eliminación del registro de host relevante cuando detiene el emparejamiento o la publicación remota, o restablece el código de emparejamiento. Los errores de red o CloudKit pueden retrasar o impedir esa operación. “Olvida Mac” En Reach Viewer elimina los detalles de conexión guardados y la confianza local en ese dispositivo; no elimina el registro CloudKit de Mac. Eliminar la aplicación o cambiar la configuración de iCloud no garantiza la eliminación de todos los registros de esta base de datos pública.

Una cuenta Reach desbloquea las dos rutas de Internet — Internet directo, Que realiza el recorrido NAT a través de un perfil de conexión guardado, y Relay (retransmisión) — Y permite que los dispositivos de la misma cuenta confíen entre sí sin un código de emparejamiento. Una cuenta no crea por sí misma una ruta: la conectividad aún requiere un candidato directo marcable o un relé configurado.

Se inicia sesión por correo electrónico. Enviamos un enlace o código de un solo uso; no hay contraseñas. Si inicias sesión, nuestro backend guarda la siguiente información vinculada a tu cuenta:

• Tu dirección de correo electrónico — Utilizado solo para iniciar sesión.
• Un registro de cuenta - El identificador de cuenta y el correo electrónico, un par de claves de firma de cuenta en el servidor y los metadatos necesarios para administrar el estado de inicio de sesión: tiempos de creación y verificación, un contador de generación de sesiones y el rol de cuenta.
• Registro de dispositivos — para cada dispositivo registrado: identificador, nombre, tipo (Host Mac o Viewer de iPhone/iPad), identificadores criptográficos (clave pública, huella de la clave y huella del certificado TLS), y fechas de registro, última detección y revocación. Para un Host Mac se guardan también la dirección y el puerto accesibles y una lista de candidatos de conexión directa, para que tus otros dispositivos puedan conectarse a él.
• Estado de inicio de sesión — tokens de sesión y de renovación de corta duración, guardados como hashes, con sus fechas de caducidad y rotación. El token de alta entropía del enlace de inicio de sesión solo se almacena como hash. En cambio, el código alternativo de seis dígitos para otro dispositivo se guarda como el propio código en la misma fila de inicio de sesión pendiente y de corta duración, junto con el correo, un hash de contexto, las fechas de caducidad y uso y un contador de intentos que limita los ataques por fuerza bruta.
• Recuperación de la renovación de tokens — los identificadores de operación, hashes de tokens, fechas de caducidad y una respuesta cifrada de renovación permiten reintentar con seguridad una rotación interrumpida. Estos registros no guardan tokens de sesión en texto sin cifrar.
• Derechos derivados de compras — al vincular tus compras de la App Store con la cuenta, se guardan el plan, las fechas de caducidad y actualización, y el identificador de la transacción original de Apple.
• Claves de acceso (passkeys) — si inicias sesión con una clave de acceso, se guardan el desafío WebAuthn y la credencial pública de esa clave (ID de credencial, clave pública, contador de firmas y transportes).
• Contadores para prevenir abusos — recuentos de solicitudes de corta duración indexados por dirección IP y correo electrónico normalizado, que se conservan por separado para proteger el acceso.
• Cuentas para la revisión de la App Store — en una cuenta usada solo durante la revisión de la App Store, el registro de cuenta guarda además un hash del código de acceso de revisión, el número de intentos fallidos y el inicio del intervalo en el que se cuentan.

Esta información permite iniciar sesión, confiar en dispositivos, establecer conexiones, verificar derechos de compra y proteger el servicio. El contenido de pantalla, audio y entrada no se guarda en la base de datos de cuentas. La telemetría operativa, los registros de solicitudes y los datos efímeros de señalización se describen aparte más abajo. Consulta «Servicios de terceros» para conocer la infraestructura que procesa estos datos.

El backend se ejecuta en Cloudflare. Esta política no promete una región de procesamiento específica.

En los intentos de Internet Direct y Relay con sesión iniciada, la señalización intercambia candidatos de conexión como direcciones IP y puertos. Procesa los datos de esos candidatos, la vinculación entre intento y autenticación, la IP pública de Viewer cuando está disponible y el estado de limitación de solicitudes.

Cada candidato es válido durante un máximo de 60 segundos desde su publicación. Volver a publicarlo puede actualizar el plazo total del intento. La cancelación y la caducidad eliminan los candidatos y el estado relacionado; esto no garantiza el borrado físico inmediato tras una conexión correcta ni exactamente a los 60 segundos. El estado de autenticación necesario para un socket Host activo puede mantenerse mientras ese socket siga abierto. Los marcadores breves de cancelación que impiden reabrir el intento y los contadores de protección del servicio tienen plazos distintos.

El servicio de señalización no recibe ni almacena contenido de pantalla, audio o entrada. El contenido de la sesión viaja a través de una conexión directa o la ruta Cloudflare TURN que se describe a continuación.

Cuando una ruta directa es difícil de abrir, por ejemplo, detrás de CGNAT, cortafuegos restrictivos o algunas redes móviles, Reach puede transmitir la sesión a través de Cloudflare TURN. Configuras tu propia cuenta Cloudflare y sus credenciales en Reach Host; se aplican los cargos y las políticas de esa cuenta.

Con la configuración automática del token de cuenta, el Mac solicita una clave TURN de la API de Cloudflare. Esto envía el ID de cuenta Cloudflare, el token y un nombre de clave que puede incluir el nombre de Mac. La clave TURN generada, o una clave que ingrese manualmente, se almacena en el Mac Keychain y se utiliza para obtener credenciales de sesión de corta duración. Estas solicitudes de credenciales van directamente desde el Mac al Cloudflare, no a través del servidor de cuentas Reach.

El vídeo, el audio y la entrada permanecen encriptados con TLS 1.3 sobre QUIC mientras atraviesan el relé. Cloudflare procesa paquetes cifrados y los metadatos de red necesarios para proporcionar su servicio. La latencia de conexión depende de la ruta de la red y del relé.

Informes de uso opcionales Cloudflare

Cuando habilita los informes de uso y selecciona Actualizar, el Mac llama directamente a la API GraphQL de Cloudflare. La solicitud incluye el ID de cuenta, el rango de tiempo, el ID de clave opcional TURN y el token API; la respuesta proporciona bytes de entrada y salida agregados. Los resultados de toda la cuenta pueden incluir el uso de TURN de servicios que no sean Reach. Almacenar un token solo no ejecuta una consulta de uso.

El token para consultar el uso se guarda en una entrada de Keychain exclusiva del dispositivo, separada de las credenciales TURN de la sesión. El interruptor, el Account ID y el alcance mostrado son preferencias locales; los resultados obtenidos permanecen solo en la memoria mientras la App está abierta. Si desactivas los informes o cambias de cuenta Reach, se borran los resultados anteriores sin eliminar automáticamente las credenciales Cloudflare guardadas. Quitar las credenciales en Host no revoca las claves ni los tokens que ya emitió tu cuenta Cloudflare; gestiona esa revocación en Cloudflare.

Puedes eliminar tu cuenta Reach en la aplicación. La base de datos de la cuenta elimina el registro de la cuenta, los dispositivos registrados, las sesiones y los registros de recuperación de actualización de tokens, los códigos de inicio de sesión pendientes, las claves de acceso y los desafíos de WebAuthn asociados juntos. También se incluyen los desafíos de WebAuthn previas a la cuenta con la misma dirección de correo electrónico.

Los contadores de prevención de abuso y los registros operativos están fuera de esta solicitud de eliminación de cuenta. Los contadores siguen sus ventanas de límite de velocidad configuradas y procedimientos de limpieza; los registros operativos se conservan por separado en Cloudflare. Esta política no promete un período de retención fijo para los registros operativos.

Los enlaces y códigos de inicio de sesión caducados o consumidos no se pueden reutilizar para la autenticación. Los registros de inicio de sesión caducados, WebAuthn y recuperación de actualización, y las sesiones cuya vida útil de actualización ha finalizado, son elegibles para la limpieza programada. El horario de limpieza o una operación fallida pueden hacer que la eliminación física ocurra después de la expiración.

Puedes quitar dispositivos individuales de la cuenta por separado. Cerrar sesión no elimina la cuenta. Las preferencias de conexión locales, los preajustes, los registros de confianza y las credenciales de Cloudflare tienen controles de eliminación independientes. Eliminar una cuenta de Reach no elimina los registros públicos de CloudKit de Apple ni las claves de tu propia cuenta de Cloudflare.

Reach Host solicita permiso de Grabación de pantalla de macOS para capturar el monitor que eliges, y permiso de Accesibilidad para aplicar las entradas que envías desde Viewer. La restauración opcional de ventanas también usa Accesibilidad para leer y cambiar la posición y el tamaño de las ventanas compatibles.

El audio del sistema se captura mediante ScreenCaptureKit. Reach Host no solicita acceso al micrófono e ignora sus muestras; necesita acceso a Grabación de pantalla y al audio del sistema. La captura se realiza en el Mac y solo se transmite a Viewers autenticados para esa sesión.

En el modo Direct Touch, Viewer muestra un control del cursor para mover el puntero con precisión de píxel. Para hacerlo, Reach Host envía la posición del cursor del Mac —coordenadas normalizadas, monitor al que pertenece y marca de tiempo— al Viewer conectado y autenticado por la misma sesión QUIC cifrada que el vídeo y las entradas. No se envía a un servicio de análisis independiente ni se almacena como historial de movimientos. Con Relay, los paquetes cifrados de la sesión pasan por Cloudflare.

Puedes desactivarlo en «Reach Host → Devices & Trust → Advanced → Cursor Telemetry». Entonces Host deja de enviar la posición y solicita a los Viewers compatibles que eliminen cualquier control del cursor que permanezca en pantalla.

Reach Viewer utiliza el permiso de red local para descubrir Macs cercanos a través de Bonjour/mDNS y para comunicarse directamente con un Mac en la red local. Introducir manualmente la dirección IP de ese Mac no reemplaza este permiso. La IP directa manual a una dirección fuera de la red local es un caso separado y requiere una dirección y un puerto accesibles.

Reach Host usa Sparkle para buscar nuevas versiones al iniciarse y periódicamente mientras está abierto. Cada comprobación envía una solicitud HTTPS normal al canal de actualizaciones alojado en GitHub Pages. Como en cualquier solicitud HTTPS, la dirección IP y la cabecera User-Agent son visibles para ese servicio, pero no se envían identificadores de cuenta, datos de telemetría ni otra información que identifique a la persona. Reach Viewer se actualiza mediante la App Store y está sujeto a las políticas habituales de Apple para ella.

Reach no utiliza identificadores publicitarios (IDFA) ni SDK de publicidad y elaboración de perfiles. Las aplicaciones no incluyen Crashlytics, Sentry o Google Analytics. Los diagnósticos locales se pueden proporcionar cuando decide compartir un informe. Los informes de uso opcionales Cloudflare, descritos anteriormente, y los registros operativos de backend, a continuación, son funciones separadas.

Para operar y proteger el servicio, el backend registra eventos operativos y registros de solicitudes en Cloudflare y, cuando se configura, envía métricas a Analytics Engine. Las categorías principales incluyen:

• Nombres y tiempos de eventos del ciclo de vida de la conexión, identificadores de intento, etiquetas de región, rol (host o visor), resultado y latencia
• Versión y número de compilación de la aplicación, tipo de socket, ruta de reconexión y un seudónimo estable del Host derivado mediante SHA-256 en los eventos de registro del socket Host o de registro bloqueado. Los eventos relacionados de desactivación de emergencia también incluyen el punto de acceso de la solicitud del Worker. Estos campos adicionales no acompañan a todas las invitaciones ni a todos los cierres de socket.
• Recuentos de grupos y limpiezas, motivos y estado de liberación de las concesiones de socket, clases de error y prefijos breves de correlación. Los registros de restauración de dispositivos incluyen los ocho primeros caracteres de los identificadores de cuenta y dispositivo.
• Cuando se utiliza el enlace de compra, los registros operativos de verificación de compra, como los primeros ocho caracteres del identificador de la cuenta, el identificador del producto, el entorno de verificación y el resultado de la aplicación

Un seudónimo no contiene el nombre del dispositivo o el correo electrónico de la cuenta en sí, pero puede vincular eventos del mismo host. El estado de limitación de velocidad también se mantiene para la protección del servicio. Los diagnósticos locales pueden incluir la ruta de conexión seleccionada. El código actual que reenvía eventos de ciclo de vida de conexión a Analytics Engine no llena un campo separado de tipo de ruta.

Estos registros respaldan la fiabilidad de la conexión, el diagnóstico de fallas, la protección del servicio y la verificación de la compra. Excluyen la pantalla, el audio y el contenido de entrada. No los vendemos ni los usamos para publicidad o creación de perfiles de usuarios. Cloudflare procesa estos datos operativos como proveedor de servicios.

• Preferencias de conexión: pantalla seleccionada, resolución, códec, velocidad de fotogramas, velocidad de bits, alternadores de dirección de desplazamiento, telemetría del cursor activada o desactivada, y la última ruta elegida para cada Mac
• Preajustes del espacio de trabajo: nombres, diseño y por pantalla Mac e identificadores de pantalla, opciones de ruta, tamaño y resolución, preferencia de restauración de ventanas y tiempos de creación y actualización se almacenan en la configuración local del Viewer.
• Detalles de conexión guardados: la dirección y el puerto que ingresó para un host IP directo, y el código de emparejamiento para un Mac con el que se ha emparejado
• Registros de confianza: huellas criptográficas de los Hosts con los que te has emparejado y de los Viewers en los que confía tu Host
• Tokens de sesión de cuenta, si ha iniciado sesión, en el llavero seguro del dispositivo
• Cloudflare credenciales, si están configuradas: las claves de relé y los tokens de informe opcionales se almacenan en el Mac Keychain. Creación de claves, generación de credenciales de sesión e informes de uso, llame a Cloudflare directamente como se describió anteriormente.
• Registros de diagnóstico: guardados temporalmente para la solución de problemas, nunca se han subido a menos que elijas compartir un informe

Opción para recordar la posición de las ventanas de las aplicaciones

Si activas «Remember app window positions» en un preajuste y concedes Accesibilidad en el Mac, Reach mantiene en la memoria del proceso Mac, antes de retirar una pantalla virtual Reach, referencias a las ventanas compatibles que siguen abiertas, su posición y tamaño normalizados y si se pueden redimensionar. Usa esa instantánea para devolver las ventanas que aún estén abiertas cuando se vuelva a crear la pantalla. Los títulos de las ventanas y los identificadores de documentos no se guardan como campos de la instantánea, que no se escribe ni en el disco ni en un servidor de Reach. Desaparece cuando termina el proceso Host; desactivar la restauración de esa pantalla también la borra. La opción activada o desactivada del preajuste permanece en los ajustes de Viewer.

Eliminar la aplicación iPhone o iPad elimina sus datos de contenedor de aplicaciones. Los elementos Keychain se gestionan por separado, por lo que la desinstalación por sí sola no garantiza la eliminación de todas las credenciales. En el Mac, eliminar el paquete de aplicaciones Reach Host no elimina automáticamente su configuración, archivos de soporte de aplicaciones o elementos Keychain; elimínelos a mano si desea una pizarra limpia.

reachremote.app es un sitio estático alojado en Cloudflare Pages. Los estilos, scripts e imágenes propios del sitio se sirven desde este sitio. Cloudflare añade ofuscación de direcciones de correo electrónico y scripts de verificación del navegador en el dominio público. Las páginas públicas también incluyen la baliza de Cloudflare Web Analytics para métricas de visitas y rendimiento de las páginas. Las funciones de seguridad de Cloudflare pueden usar cookies necesarias. No usamos rastreadores publicitarios. Cloudflare también procesa metadatos habituales de las solicitudes, como la dirección IP y User-Agent, al atender las solicitudes web.

El idioma del sitio se indica en la ruta de la URL. Los enlaces antiguos con ?lang=en llevan a la página inglesa correspondiente. La opción de configuración de Cloudflare se guarda en el parámetro de consulta setup. Este sitio no recopila tokens API ni códigos de emparejamiento. Al seleccionar la descarga para Mac, se consulta la API GitHub Releases para obtener el DMG más reciente y luego se abre la descarga en GitHub. Los destinos externos, incluidos GitHub y la App Store, tienen sus propias políticas de privacidad.

• Cloudflare — sirve el sitio web y procesa datos opcionales de cuenta, correo de inicio de sesión, señalización y funcionamiento. También ofrece Relay TURN, creación de claves y API opcionales para consultar el uso con tu propia cuenta. El contenido de la sesión en los paquetes retransmitidos está cifrado entre tus dispositivos.
• Apple (CloudKit) — guarda los metadatos de emparejamiento descritos arriba para que tus dispositivos puedan encontrarse entre sí.
• Apple (App Store) — Distribuye Reach Viewer y procesa las compras, suscripciones y verificaciones de compras aplicables bajo las políticas estándar de App Store de Apple.
• GitHub — aloja el canal de actualizaciones de Reach Host (appcast) en GitHub Pages y distribuye el instalador de Host mediante GitHub Releases. Al buscar o descargar una actualización, GitHub procesa metadatos normales de la solicitud HTTPS, como la dirección IP y User-Agent.

Estos servicios procesan los datos necesarios para sus respectivas funciones. Reach no vende datos a redes publicitarias o corredores de datos.

Todas las rutas —Nearby / LAN, Manual Direct IP, Internet Direct y Relay— están cifradas con TLS 1.3 sobre QUIC y protegidas mediante fijación de la huella del certificado. Un Viewer solo se conecta a un Host cuya huella ya considera de confianza: puede haberse registrado al emparejarlo, figurar para ese dispositivo en el registro de dispositivos de la cuenta Reach o haberse fijado durante una primera conexión directa autorizada expresamente (confianza en el primer uso). Si la huella cambia después, la conexión se rechaza. No podemos descifrar este tráfico en ninguna ruta.

Reach no está dirigido a niños menores de 13 años, y no recopilamos información de niños a sabiendas. El emparejamiento y los metadatos de la cuenta son compatibles con las funciones de servicio descritas anteriormente y no se utilizan para publicidad o creación de perfiles de usuarios.

Podemos actualizar esta política de vez en cuando. Los cambios se publican en esta página y la fecha en la parte superior se actualiza. Lo revisamos cada vez que el modelo de confianza o el flujo de datos cambian.

Preguntas sobre esta política de privacidad: support@reachremote.app. Informes de errores y preguntas públicas: Github.com/SGT-Cho/Reach.