隱私保護，說明清楚。

Reach 包含適用於 iPhone 和 iPad 的Reach Viewer（App Store 名稱為「Reach Remote」）與適用於 Mac 的Reach Host，由KMWORKS, INC.（以下稱「我們」）發行。本政策說明 App 與選用後端如何處理您的資料。

未登入時可使用以下兩種連線方式；它們不會經由我們的基礎設施傳送畫面、音訊、輸入或連線候選資訊。

• Nearby / LAN — Reach Viewer 在同一網路上透過 Bonjour/mDNS 找到 Mac，並建立直接、加密的 QUIC 連線。首次連線預設需要確認 Mac 上顯示的配對碼。工作階段資料不會離開您的網路。
• Manual Direct IP — 您自行輸入 Host 位址與連接埠（預設 UDP 8443，通常需要在路由器上設定連接埠轉送），App 會直接連線。不使用訊號協調服務，也不使用中繼連線。

與這些路由分開：當主機配對處於活動狀態並在Mac上啟用遠端訪問時，Reach Host將主機連線元資料的小記錄釋出到蘋果的CloudKit中，以便您自己的裝置可以相互識別，並且Reach Viewer可以釋出匹配的信任記錄。 兩者都在下面進行了完整的描述。

Reach Host 會將 CKRecord 寫入 Reach iCloud 容器的公開 CloudKit 資料庫。App 以配對碼作為識別碼查找該記錄。但這不代表資料存放在私人空間，也不保證只有持有配對碼的人能讀取；資料庫屬於公開範圍，而非您的私人容器。即使儲存服務由 Apple 營運，我們仍將其視為離開您裝置的資料。

記錄包含：

• 您的主機名——macOS在網路上使用的裝置名稱
• Host 的身分公鑰及其 TLS 憑證指紋
• 已設定時，Host 的外部 IP 位址與連接埠
• 直接連線候選位址：用來建立 QUIC 連線的 LAN 與 WAN 端點
• 發佈時間戳記與 CloudKit 記錄的結構版本
• 連線前的功能中繼資料：支援的編解碼器、是否支援系統音訊、向裝置探索服務通告的預設解析度，以及功能資料的版本
• 您的 iCloud 使用者記錄名稱：僅在 Reach 的 iCloud 容器內有效的穩定識別碼。它不一定存在；只有啟用 iCloud Auto-Trust 並確認 iCloud 帳戶後才會寫入，讓 Viewer 辨識同一 iCloud 帳戶的 Host

登入 iCloud 後，Reach Viewer 可在嘗試連線時向同一個公開資料庫發布對應的信任記錄。記錄包含 Viewer 公開金鑰的指紋、時間戳記，以及 CloudKit 寫入的 iCloud 使用者記錄名稱。只有在 Mac 上明確啟用iCloud Auto-Trust，且確認原本不受信任的 Viewer 使用同一個 Apple ID 時，該記錄才允許 Viewer 首次連線時免輸入配對碼建立信任。已受信任的 Viewer 使用已儲存的指紋重新連線，不需要這筆 CloudKit 信任記錄。手動移除信任優先於自動信任；再次信任相同指紋，必須明確輸入新的配對碼。驗證成功並將本地信任資訊儲存到 Mac 後，Mac 會要求刪除該記錄。如果 CloudKit 刪除失敗，可在該信任記錄對應的後續連線成功建立後重試；不保證立即或最終從儲存空間實際刪除。從 Mac 的受信任裝置中移除該 Viewer 會撤銷 Mac 上的本地信任，這與刪除 CloudKit 記錄是兩項獨立操作。

App 會將這些中繼資料用於裝置探索與信任驗證。當您停止配對、停止遠端發布，或重設配對碼時，Reach Host 會要求刪除相關的 Host 記錄。網路或 CloudKit 錯誤可能延遲或阻止刪除。Reach Viewer 中的「Forget Mac（忘記 Mac）」會移除該裝置儲存的連線資訊和本機信任資料；它不會刪除 Mac 的 CloudKit 記錄。刪除 App 或變更 iCloud 設定，不能保證這個公開資料庫中的所有記錄都被刪除。

Reach Account 可使用兩種網際網路連線方式：Internet Direct 透過已儲存的連線設定進行 NAT 穿透，以及 Relay（中繼連線）。同一帳戶的裝置也可不輸入配對碼就互相信任。但帳戶本身不會建立連線路徑；仍需要可連通的直接連線候選位址，或已設定的中繼連線。

使用電子郵件登入。我們會寄送一次性登入連結或驗證碼；沒有密碼。如果您登入，後端會將以下資料與您的帳戶關聯儲存：

• 您的電子郵件地址 —僅用於登入。
• 帳戶記錄 — 帳戶識別碼和電子郵件地址、由伺服器保存的帳戶簽署金鑰組，以及管理登入狀態所需的中繼資料：建立與驗證時間、工作階段世代計數器及帳戶角色。
• 裝置註冊資料 — 對於每部已註冊裝置：裝置識別碼、名稱、類型（Mac Host，或 iPhone／iPad Viewer）、密碼學識別資訊（公鑰、金鑰指紋、TLS 憑證指紋），以及註冊、最近確認和撤銷時間。Mac Host 的資料還包含可連線的位址與連接埠，以及直接連線候選位址，供其他裝置與其連線。
• 登入狀態 — 短效的工作階段權杖與更新權杖以雜湊值儲存，並記錄到期與輪替時間。高熵的一次性登入連結權杖只儲存雜湊值；但六位數跨裝置備用驗證碼，會以原值保存在同一筆短效待處理登入記錄中，同時保存電子郵件地址、內容脈絡雜湊、到期與使用時間，以及限制暴力猜測的嘗試計數器。
• 權杖重新整理恢復 —操作識別符號、權杖雜湊、到期時間和加密的重新整理響應允許安全地重試中斷的權杖輪換。 這些記錄不儲存明文工作階段權杖。
• 購買使用權 — 當您將 App Store 購買項目與 Reach 帳戶連結時，帳戶會儲存方案、到期與更新時間，以及 Apple 的原始交易識別碼。
• 通行密鑰（Passkeys） — 如果使用通行密鑰登入，系統會儲存 WebAuthn 挑戰及該通行密鑰的公開憑證，包括憑證 ID、公鑰、簽章計數器與傳輸方式。
• 防濫用計數器 — 分開儲存以 IP 位址和正規化電子郵件地址為索引的短期請求計數，用於保護登入介面。
• App Store 審核專用帳戶 — 對於僅供 App Store 審核使用的帳戶，帳戶記錄還會儲存審核登入碼的雜湊值、失敗嘗試次數，以及嘗試計數時間區間的起始時間。

此資訊支援登入、裝置信任、連線設定、購買資格驗證和服務保護。 螢幕、音訊和輸入內容不會儲存在帳戶資料庫中。 操作遙測、請求日誌和短暫訊號資料在下面單獨描述。 請參閱第三方服務，瞭解提供這些功能所需的基礎設施處理。

後端執行在 Cloudflare。 本政策不承諾特定的處理區域。

對於已登入的Internet Direct和Relay嘗試，訊號交換連線候選，如IP地址和埠。 它處理候選有效負載、嘗試身份驗證繫結、存在時的檢視器公共IP地址以及速率限制狀態。

每份連線候選資料自發布起最多有效60秒。重新發布可能更新整次連線嘗試的截止時間。取消或到期處理會清理候選資料及相關狀態，但不保證成功後立即實際刪除，也不保證恰在60秒時刪除。運作中的 Host socket 所需的驗證狀態可在 socket 存續期間保留。防止已取消嘗試重新開始的短期標記和服務保護計數器各有獨立的有效期限。

訊號服務不會接收或儲存螢幕、音訊或輸入內容。 工作階段內容透過以下所述的直接連線或Cloudflare TURN路線傳輸。

當直接路徑難以開啟時——例如在CGNAT、限制性防火牆或某些行動網路後面——Reach可以透過中繼工作階段 Cloudflare TURN。 您在Reach Host中配置您自己的Cloudflare帳戶和憑據；您的Cloudflare費用和政策適用。

透過自動帳戶權杖設定，Mac從Cloudflare的API請求TURN金鑰。 這會傳送Cloudflare帳戶ID、權杖和可以包含Mac名稱的金鑰名稱。 生成的TURN金鑰，或您手動輸入的金鑰，儲存在Mac Keychain中，並用於獲取短期工作階段憑據。 這些憑據請求直接從Mac傳送到Cloudflare，而不是透過Reach帳戶伺服器。

在穿越中繼時，影片、音訊和輸入在QUIC上透過TLS 1.3保持加密。 Cloudflare處理提供其服務所需的加密資料包和網路元資料。 連線延遲取決於網路和中繼路徑。

可選的Cloudflare使用報告

啟用選用的用量報告並選擇 Refresh 後，Mac 會直接呼叫 Cloudflare 的 GraphQL API。請求包含 Account ID、時間範圍、選用的 TURN Key ID 與 API 權杖；回應提供彙總的入站與出站位元組數。帳戶範圍的結果可能包含 Reach 以外服務的 TURN 用量。只儲存權杖不會執行用量查詢。

報告權杖儲存在與TURN工作階段憑據分開的僅裝置的Keychain條目中。 啟用開關、帳戶ID和顯示範圍是本地首選項；獲取的結果僅在應用程式執行時保留在記憶體中。 關閉報告或更改 Reach 帳戶會清除之前的結果，而不會自動刪除已儲存的 Cloudflare 憑據。 在Host中刪除憑據不會撤銷您的Cloudflare帳戶已簽發的金鑰或權杖；在Cloudflare中管理撤銷。

您可以在 App 中刪除 Reach Account。帳戶資料庫會一併刪除帳戶記錄、已註冊裝置、工作階段、權杖更新的復原記錄、待處理登入碼、通行密鑰，以及相關的 WebAuthn 挑戰。使用相同電子郵件地址、在帳戶建立前產生的 WebAuthn 挑戰也包括在內。

防濫用計數器與營運日誌不包含在此帳戶刪除請求範圍內。計數器依設定的速率限制期間與清理程序處理；營運日誌另外保存在 Cloudflare。本政策不保證營運日誌有固定的保留期間。

過期或已使用的登入連結與驗證碼不能再次用於驗證。過期的登入、WebAuthn、Token 更新復原記錄，以及更新有效期已結束的工作階段，都可按排程清理。清理排程或作業失敗可能使實際刪除晚於到期時間。

您可以另外從帳戶移除個別裝置。登出不等於刪除帳戶。本地連線設定、預設、信任記錄和 Cloudflare 認證資訊各有獨立的清除方式。刪除 Reach 帳戶不會刪除 Apple 的公開 CloudKit 記錄，也不會刪除您自己的 Cloudflare 帳戶中的金鑰。

Reach Host 會要求 macOS 的螢幕錄製權限，以擷取所選顯示器，並要求輔助使用權限，以將 Viewer 傳送的輸入送至 Mac。選用的視窗位置還原也會使用輔助使用權限，讀取並變更支援的 App 視窗位置與大小。

系統音訊透過 ScreenCaptureKit 擷取。Reach Host 不要求麥克風權限，並會忽略麥克風取樣；它需要的是螢幕錄製／系統音訊存取權限。擷取在 Mac 上進行，且只串流至該工作階段中已驗證的 Viewer。

在 Direct Touch 模式中，Viewer 會顯示可拖移的游標控制柄，以便精準移動指標。為驅動控制柄，Reach Host 會透過與影片和輸入相同的加密 QUIC 工作階段，將 Mac 游標位置傳送給已連線且已驗證的 Viewer：標準化座標、所屬顯示器與時間戳記。這些資料不會送至獨立的分析服務，也不會儲存為游標移動歷史。使用 Relay 時，加密的工作階段封包會經過 Cloudflare。

您可以在「Reach Host → Devices & Trust → Advanced → Cursor Telemetry」關閉此功能。隨後 Host 會停止傳送游標位置，並通知相容的 Viewer 清除畫面上殘留的控制柄。

Reach Viewer使用本地網路許可權透過Bonjour/mDNS發現附近的Mac，並直接與本地網路上的Mac通訊。 手動輸入Mac的IP地址不會取代此許可權。 手動將IP直接傳輸到本地網路以外的地址是一個單獨的情況，需要可訪問的地址和埠。

Reach Host 使用 Sparkle 更新框架，在啟動時及執行期間定期檢查新版本。檢查更新會向託管在 GitHub Pages 的更新來源傳送標準 HTTPS 請求；與其他 HTTPS 請求一樣，該端點可以看到您的 IP 位址與 User-Agent 標頭，但不會收到帳戶識別碼、遙測資料或其他可識別身分的內容。Reach Viewer 透過 App Store 更新，並受 Apple 的標準 App Store 政策規範。

Reach 不使用廣告識別碼（IDFA），也不整合廣告或使用者剖析 SDK。App 不包含 Crashlytics、Sentry 或 Google Analytics。只有您選擇分享報告時，才會提供本機診斷。前述選用的 Cloudflare 用量報告與下述後端運作記錄是不同的功能。

為了維運及保護服務，後端會在 Cloudflare 記錄運作事件與請求日誌，並在設定後將指標傳送至 Analytics Engine。主要類別包括：

• 連線生命週期事件的名稱與時間、嘗試識別碼、區域標籤、角色（Host 或 Viewer）、結果與延遲
• App 版本與建置編號、通訊端種類、重新連線路徑，以及只在 Host 通訊端註冊或註冊遭阻擋事件中記錄、由 SHA-256 衍生的穩定 Host 假名。相關的緊急停用事件也包含 Worker 請求端點。這些額外欄位不會附加在每次邀請或通訊端關閉事件中。
• 群組與清理計數、通訊端租約釋放的原因與狀態、錯誤類別和簡短關聯前綴。裝置還原日誌包含帳戶與裝置識別碼的前八個字元。
• 當購買資料與帳戶關聯時，購買驗證的營運記錄可能包含帳戶識別碼的前8個字元、產品識別碼、驗證環境及套用結果等資訊。

假名本身不含裝置名稱或帳戶電子郵件，但可關聯同一 Host 的事件。服務保護也會保留速率限制狀態。本機診斷可能包含所選連線路徑。目前將連線生命週期事件轉送至 Analytics Engine 的程式碼，不會填入獨立的路徑種類欄位。

這些記錄用於連線可靠性、故障診斷、服務保護及購買驗證，不包含畫面、音訊或輸入內容。我們不會出售這些記錄，也不會用於廣告或使用者剖析。Cloudflare 以服務提供者身分處理這些運作資料。

• 連線偏好設定——選取的顯示器、解析度、編解碼器、影格率、位元率、捲動方向開關、遊標遙測開關，以及每臺 Mac 最後選擇的連線路徑
• 工作空間預設集 — 名稱、配置、每個畫面對應的 Mac 與顯示器識別碼、連線路徑、大小及解析度選擇、視窗位置還原偏好設定、建立與更新時間，會儲存在 Viewer 的本機設定中。
• 已儲存的連線資訊 — 您為 Direct IP Host 輸入的位址和連接埠，以及已配對 Mac 的配對碼
• 信任記錄 — 已配對 Host 的密碼學指紋，以及您的 Host 所信任的 Viewer 的密碼學指紋
• 帳戶工作階段權杖（若已登入）— 儲存在裝置的安全鑰匙圈中
• Cloudflare 憑證（若已設定）— 中繼金鑰及選用的用量報告權杖儲存在 Mac 鑰匙圈。金鑰建立、工作階段憑證產生及用量報告會如上所述直接呼叫 Cloudflare。
• 診斷日誌 - 臨時保留用於故障診斷，除非您選擇共享報告，否則永遠不會上傳

可選擇記住 App 視窗的位置

在預設集中啟用「Remember app window positions（記住 App 視窗位置）」且 Mac 已授予輔助使用權限時，Reach 會在移除 Reach 虛擬顯示器前，將支援且仍開啟的視窗參照、標準化位置與大小，以及能否調整大小，暫存在 Mac 程序記憶體。重新建立該顯示器後，Reach 會用這份快照還原仍開啟的視窗。視窗標題和文件識別碼不會儲存為快照欄位；快照不會寫入磁碟或 Reach 伺服器。Host 程序結束時快照會消失；關閉該顯示器的視窗還原功能也會清除快照。預設集的開關設定仍儲存在 Viewer 設定中。

刪除iPhone或iPad應用程式會刪除其應用程式容器資料。 Keychain專案是單獨管理的，因此單獨解除安裝並不能保證刪除所有憑據。 在Mac上，刪除Reach Host應用程式捆綁包不會自動刪除其設定、應用程式支援檔案或Keychain專案；如果您想要乾淨利落，請手動刪除這些專案。

reachremote.app 是託管在 Cloudflare Pages 的靜態網站。網站本身的樣式、指令碼和圖片由本站提供。Cloudflare 在公開網域加入電子郵件地址混淆處理及瀏覽器驗證指令碼。公開頁面也包含用於網頁瀏覽量與效能指標的 Cloudflare Web Analytics 信標。Cloudflare 的安全功能可能使用必要的 Cookie。我們不使用廣告追蹤器。Cloudflare 在回應網頁請求時，也會處理 IP 位址、User-Agent 等一般請求中繼資料。

網站語言由網址路徑指定；舊的 ?lang=en 連結會前往相應的英文頁面。Cloudflare 設定目的保存在 setup 查詢參數中。網站不收集 API Token 或配對碼。選取 Mac 安裝檔時，網站會向 GitHub Releases API 查詢最新 DMG，然後開啟 GitHub 的下載連結。GitHub 和 App Store 等外部服務各有自己的隱私權政策。

• Cloudflare —服務於網站並處理可選帳戶、登入電子郵件、訊號和操作資料。 它還在您自己的帳戶下提供TURN中繼、金鑰建立和可選使用API。 中繼資料包中的工作階段內容在您的裝置之間進行加密。
• 蘋果（CloudKit） —儲存上面描述的配對元資料，以便您自己的裝置可以相互發現。
• 蘋果（App Store） — 分發Reach Viewer，並根據 Apple 的標準 App Store 政策處理適用的購買、訂閱和購買驗證。
• GitHub — 在 GitHub Pages 託管 Reach Host 更新來源（appcast），並透過 GitHub Releases 發佈 Host 安裝程式。您檢查或下載更新時，GitHub 會處理 IP 位址和 User-Agent 等標準 HTTPS 請求中繼資料。

這些服務處理其各自角色所需的資料。 Reach不向廣告網路或資料經紀人出售資料。

Nearby / LAN、Manual Direct IP、Internet Direct 和 Relay 的所有路徑均透過 TLS 1.3 上的 QUIC 加密，並使用憑證指紋固定。Viewer 只連線到憑證指紋已受其信任的 Host：指紋可能是配對時記錄的、儲存在該裝置的 Reach 帳戶註冊資訊中的，或在明確授權的首次直接連線時固定的（首次使用時信任）。後續若指紋不符，連線會遭拒。我們無法解密任何路徑上的此類通訊內容。

Reach 並非針對 13 歲以下兒童，我們不會故意收集兒童資訊。配對與帳戶中繼資料用於上述服務功能，不會用於廣告或使用者剖析。

我們可能會不時更新此政策。 更改將釋出在此頁面上，並更新頂部的日期。 每當信任模型或資料流發生變化時，我們都會對其進行修改。

關於本隱私政策的問題： support@reachremote.app。 錯誤報告和公開問題： github.com/SGT-Cho/Reach.