隐私政策
生效日期：2026 年 10 月 7 日
- 我们不读取、也不接收你的提示词、代码、文件名或任何工作内容。
- 不登录也能听；这时播放器了解到的一切都只留在你的设备上。
- 没有广告，不出售数据，不跨站追踪。使用统计是匿名的，可以关闭。
- 登录后，收听记录默认同步到账号；你可以关闭、导出或删除它。
- 你随时可以导出全部数据，或删除账号。
1. 我们是谁
escape.fm（网站和网页播放器、编程助手插件、iPhone App 及其 Apple Watch App 和小组件、Mac App、Apple TV App、Apple Vision Pro App）由在香港注册的 ILLUSION Tech Limited 运营（下称"我们"）。与隐私有关的任何问题，请写信到 hello@escape.fm。
2. 我们收集什么，为什么
留在你设备上的
播放器把选曲需要的东西存在你的设备上（浏览器的本地存储或 App 的存储）：口味、最近的收听记录、听过的曲目、留住的此刻、插件的配对密钥，以及你打开调试模式时的调试记录。除非你登录并开着收听记录，这些都不上传；清除本网站的数据或删除 App，就都删掉了。
你的设备访问我们的服务器时，IP 地址会经过 Cloudflare。我们不留访问日志，IP 地址只用来防止滥用，为此最多保留一天。
每首曲子都从我们服务器签发的地址播放，地址几个小时后就失效。为了防止曲库被批量下载，我们按天记录哪些曲子被请求过：登录时按账号；未登录时按播放器自己生成的随机标识，以及你的网络地址（加密封存、无法还原，当天结束即删除）。按账号或随机标识的记录 7 天后删除。
你的账号
登录后，我们保存：
- 邮箱地址，用来登录和发送验证码。
- 用 Apple、Google 或 GitHub 登录时：对方提供的账号编号、邮箱（可能是 Apple 的私密中转地址），以及你愿意分享的名字和头像。我们只请求基本资料，不保存对方的令牌，也不读取你在那里的其他数据；Apple 发来的变更通知（例如你停止使用"通过 Apple 登录"），我们会照办。
- 登录会话：开始和到期的时间，以及登录时的 IP 地址和浏览器，用来让你安全地保持登录。
- 在电视上登录：电视的登录代码等你确认的这段时间里，电视给自己起的名字（比如“客厅”），用来问你是否在那台电视上登录。它和代码存在一起，随代码一起删除。同样存着的，还有电视发出请求时的大致位置：Cloudflare 按它的网络地址给出的城市和国家或地区（从不存地址本身），用来让你看出那是不是你面前的电视。
- 账号信息：所在方案、你选择显示的名字、你选的或画的印记，以及你最近一次活跃的日期。
- 关联的设备：你关联的每台电脑，包括它的名称（电脑本身的名字，或关联它的浏览器和系统）、关联时间和最近一次上报的时间，以及有哪些编程助手（例如 Claude Code、Codex 或 Cursor）从它上报过、各在什么时候。这些上报的其他内容不会跟设备记在一起。Mac App 还会告诉我们这台 Mac 的名字，以及有没有人在用、人是否已离开或让它睡眠、从什么时候起，好让我们只在你不在电脑前时提醒你，也让音乐陪你收工；它从不告诉我们你在电脑上做什么。
- 通知（你在 iPhone App 里允许时）：Apple 分配给手机的推送令牌和手机的语言，只用来告诉你有编程助手在等你，或者我们回了你的信。通知里只有助手和电脑的名字，或者一句有回信了，不含你的工作。
- 写给 escape.fm 的信（你在你的页面里写信时）：你写的内容和我们的回信；除非你在寄出前关掉，还有 App 的版本、系统、设备型号和语言，寄出前会照原样给你看。只有我们的团队会读。
- App Store 购买记录（你在 App 里购买 Plus 时）：每项订阅经 Apple 签名的这些信息：Apple 给它的标识符、是哪种方案、付费到什么时候、是否已退款，以及是你自己的还是家人共享给你的；还有一个随机令牌，把你的购买和你的 escape.fm 账号连在一起。续订和退款由 Apple 的 App Store 服务器通知告诉我们。我们从不知道你是怎么付款的，只有 Apple 知道。
编程助手插件
Claude Code、Codex、Cursor、Gemini CLI、Copilot CLI、Qwen Code、Droid、CodeBuddy、WorkBuddy、Muse Code 和 OpenClaw 的插件在你的电脑上运行。任务状态变化时，它们只发送：一个用来区分你同时开着的几个任务的匿名标识、工作类型（例如"排查纠错"）、助手的状态（你在输入、它在运行、它在等你、空闲）、时间，以及是哪个插件、哪个版本。它们还会报告助手的每一次操作是成功还是失败，以及每种操作（改文件、跑命令、跑测试、查找、提交）各做了几次，但从不报告那一次操作是什么。
工作类型在你的电脑上判断，你输入的内容不会离开电脑；工具的结果，插件只看成功与否。为了分辨跑测试和提交，插件会在你的电脑上看一眼命令行命令，命令不会离开电脑。文件名和路径，插件不读。我们只保留每个任务最新的状态，任务结束或 30 分钟没有上报就删除；另外记下你的工作最近一次停下的时间，好让音乐跟着你的工作走。
云端 Agent
如果你关联了 Muse、ChatGPT 或 Grok 这样的云端 Agent，它只告诉我们它在为你工作、在等你，还是已完成，以及它是哪个 Agent；从不涉及任务的任何内容。你随时可以在你的页面上取消关联。
收听记录和留住的此刻
登录后，收听记录默认开启并同步到账号。它只在音乐播放时记录：放了什么、何时开始、放了多久、怎么结束、当时所在的场景（例如"傍晚"）、按了几下那颗心、在哪种播放器上（网页、手机、Mac 或电视）、当时是否在下雨或下雪（仅限 App，且开着天气时），以及当时的工作类型和助手状态；由此生成的每日汇总；听过的曲目，好让同一首不再放给你；还有你按下那颗心留住的此刻（曲目、时间和场景，例如"傍晚"，从不记心情）。开启时，即使没有打开播放器，服务器也会根据插件的上报记下全天的工作类型和助手状态，只有状态名称和时间，从不记任何内容。根据同样的上报，它还记下每个 Agent 何时在干活、你何时给它发了消息（从不记内容）、每种操作各做了几次，以及云端 Agent 何时在干活，用来算出你和 AI 一起的时间和你的 Agent 干了什么。它记下时区偏移来判断记录属于哪一天，但从不记录位置。
记录里没有提示词、代码、文件名或其他设备信息。它用于每日海报、今后的年度报告和为你选曲。关闭后立即停止上传，关闭期间的记录以后也不会上传，按下那颗心也什么都不保存。
每日海报和它的链接在你的设备上生成，只有日期、时长和次数，没有任何能认出你的信息。是否分享由你决定；分享之后，由你分享到的平台处理。
代码行数、token 和花费，只在你打开时
有两项统计默认关闭，要在你的页面上打开。代码行数：插件在你的电脑上用 git 数出 Agent 所在文件夹里增删的行数和提交次数，只发送这些数字。Token 和花费：在 Agent 会在你电脑上给出它们的地方，插件只发送这些数字。从不发送文件名、提交信息、代码或说过的任何话。关掉任何一项，就不再发送、不再保存；已经保存的随收听记录保留，直到你删除。
在手机上
iPhone App 保存的数据和播放器同类，锁屏播放时也会记录。为了让音乐贴合你在做的事，它会读取下面这些信号，只在手机上用、不发给我们（需要权限的，只在你允许后读取）：
- 运动与健身：你是静止、走路还是跑步，以及步速。
- 健康（打开"心情（来自健康）"时）：你最近记录的心情和昨晚的睡眠。你的心情不会显示出来，我们不保存，也不发送到任何地方。
- 专注模式（你把 escape.fm 加到某个专注模式时）：正开着哪个专注模式，例如睡眠。
- 手机的状态（不需要权限）：声音从哪里放出（耳机、隔空播放还是车载，从音频设备的名称判断），以及手机是否锁定、在充电或静静放着。
离开手机的只有本政策别处写到的：收听记录、使用统计、推送令牌，以及 App 是否在屏幕上、你是否在睡觉、健身或跑步（这时不发通知）。
大致位置：太阳、月亮和天气
为了映出你所在之处的太阳和月亮，我们的服务器会用 Cloudflare 根据 IP 地址得出的大致位置（城市级别）。它只用于这一次回答，不保存、不记录、不转交他人；播放器也从不向浏览器索取你的位置。
在 iPhone 和 Mac 的 App 里，如果你允许"使用 App 期间"访问位置，设备的大致位置（精确到约 10 公里）只会发给 Apple 的 WeatherKit，用来显示天气。我们的服务器从不接收它，App 也不保存。你可以在"你的那一页"的"窗外的天气"或系统设置里关闭。
使用统计
播放器和 App 会发送匿名的计数：用了哪些功能、出了哪些错，以及浏览器和系统的类别、Cloudflare 判断的所在国家。其中没有账号、邮箱、IP 地址、配对密钥或工作内容；唯一的编号是每天更换的随机数，不同日子无法连起来。每首曲子放完时，我们会在匿名计数里记一笔这首曲子被怎样收听（怎么结束、大约听了多久、场景、工作类型、时段和播放器种类），按天保存约 13 个月，从不与任何人关联。插件不为此多发内容，我们只不带编号地统计每天用到了哪些插件。浏览器开启"全局隐私控制"（GPC）时一律不发送；账号面板或"你的那一页"里的"关闭使用统计"也能关掉它。
网站还用了 Cloudflare 网页分析，统计访问量和页面速度。它不用 Cookie，不识别你，也不跨网站追踪你。
Cookie
一个 Cookie 用来保持登录；用 Google 或 GitHub 登录时，还会短暂用到另一个，防止登录被伪造。两者都是必需的；没有用于统计或广告的 Cookie。
我们不收集的
提示词、对话、代码、文件或其他工作内容；精确位置；通讯录；广告标识。
3. 法律依据
- 履行合同：提供你在用的服务，从登录、插件到收听记录和通知。
- 你的同意：手机上的运动与健身、健康、专注模式、位置和通知权限，随时可以在"设置"里撤回。
- 正当利益：用匿名统计改进 escape.fm，以及保障安全、防止滥用。你可以反对，也可以关闭统计。
- 法律义务：法律要求我们保留或披露某些信息时。
我们不出售你的信息，不用它投放广告，也不用它训练模型。
4. 谁替我们处理
- Cloudflare：托管、数据库和存储、音频分发、验证码邮件和网站分析。
- Apple：通过 Apple 登录、推送通知、App Store 购买及其通知，以及 App 里的 WeatherKit。
- Google 和 GitHub：只在你选择用它们登录时。
登录服务按各自的隐私政策处理登录过程。除此之外，我们不向任何人提供你的信息，除非法律要求。
5. 跨境传输
我们的服务商在全球运营网络，你的数据可能在你所在的国家或地区之外处理，并受它们提供的合同保障约束。
6. 保留多久
| 内容 | 保留期限 |
|---|---|
| 插件上报的任务状态和每一步的成败 | 任务结束，或 30 分钟没有上报 |
| 验证码（电视的代码连同电视的名字和大致位置），以及交给 App 的登录凭证 | 最多 10 分钟 |
| 登录会话 | 直到你退出登录，或 7 天不用 |
| 你的设备正在放的曲目 | 你的最后一台设备断开后不久清除 |
| 账号、关联的设备、工作最近一次停下的时间 | 直到你删除它们，或删除账号 |
| 推送令牌 | 直到你在这台手机上退出登录、关闭通知或删除账号 |
| 写给 escape.fm 的信和我们的回信 | 直到你删除账号 |
| App Store 购买记录 | 直到你删除账号（Apple 另有自己的记录；订阅要在 App Store 里取消） |
| 被请求过的曲子（按账号或播放器的随机标识） | 7 天；按网络地址的，加密封存，只保留当天 |
| 账号里的收听记录和留住的此刻，以及你的 Agent 的工作、步数和你打开的统计 | 13 个月（记录特别多时，最早的会提前删除） |
| 每日汇总和听过的曲目 | 直到你删除收听记录，或删除账号 |
| 使用统计 | 3 个月 |
| 你设备上的数据 | 最近的收听记录最长 13 个月；其余直到你清除本网站数据、删除收听记录或删除 App。开着收听记录登录时，留住的此刻会移到账号里。 |
7. 你的权利
你可以查阅、导出、更正或删除你的信息，撤回同意，或反对我们的某种用法。大部分在 App 里就能做：
- 导出：账号面板里的"导出"会给你一份文件，包含我们保存的关于你账号的全部内容。
- 删除收听记录：立即从我们的服务器和当前设备上彻底删除。其他设备上的副本要在那台设备上清除，但不会再被上传。
- 删除账号：立即彻底删除我们服务器上与账号有关的一切，也会停止 escape.fm 对"通过 Apple 登录"的使用。
- 解除设备关联：在账号面板里操作。
- 关掉某项功能：收听记录和使用统计各有开关；插件可以卸载，或设置
ESCAPE_FM_DISABLE=1；手机权限在"设置"里关闭。
其他请求（包括更正），请写信到 hello@escape.fm。你也可以向数据保护机构投诉，例如香港的个人资料私隐专员公署，或你所在地的机构。
8. 安全
所有传输都经过加密。账号没有密码；插件密钥和验证码在服务器上以无法还原的形式保存。没有哪种方式绝对安全；如果发生影响你的安全事件，我们会及时告知。
9. 未成年人
escape.fm 面向 16 周岁及以上的人。如果你认为有未成年人向我们提供了个人信息，请联系我们删除。
10. 本政策的变更
政策有变化时，我们会更新本页和生效日期。如果变更扩大了收集的范围，会在生效前在网站上明显提示。
11. 联系我们
ILLUSION Tech Limited（香港），hello@escape.fm。
本政策以英文撰写，中文为译本；两者不一致时以英文版为准。