隐私政策

1. 谁负责你的数据

tapeshelf（tapeshelf.com 上的服务）对本文所述的数据负责，用 GDPR 的话说就是“控制者”：由它决定收集什么、为什么收集。凡是与你的数据有关的事，请写信到 contact@tapeshelf.com。

2. 我们收集什么

你的账号：邮箱地址、密码（只以哈希形式存储，从不存明文）、用户名、显示名称；如果你添加了，还有头像、头图、简介、你在交换中想找的和不想被提议的东西（“想找”和“请勿提议”）、语言和主题。如果你用 Google 登录，我们会收到你 Google 账号的邮箱地址和标识符，绝不会收到你的 Google 密码。

两步验证（如果你开启了）：身份验证器应用的密钥，加密存储；你的恢复码，只以带密钥的哈希形式存储，因此单凭一份数据库副本，两者都无法解开；每个通行密钥的公钥，以及根据设备类型取的名称，例如 iPhone 或 Windows。我们永远不会收到通行密钥的私密部分。

你的视频：你上传的文件，它们的标题、描述、分类和合集，我们从中生成的封面和 16 帧预览，每个文件的指纹（SHA-256 哈希）和技术信息，以及你给收到的视频起的标题和描述（只有你能看到）。我们会删除每个新文件自带的元数据，例如拍摄的地点和时间、相机、作者和注释。2026 年 10 月 18 日之前上传的视频保持原样。

你的操作：请求、提议和交换，好友、关注和屏蔽，消息，通知及其设置，你的下载（哪个视频、什么时候，用于统计每月限额），你提交的举报和针对你的举报。

链接：对你创建的每个限时链接，记录其中的视频、有效期、你选择“仅限一人”时对方的邮箱地址、密码（只存哈希）以及首次打开的时间；对每个交换链接，记录其中的视频和由它发起的交易。如果某个限时链接是发给你的，我们会从发送者那里获得你的邮箱地址，用来给你发送链接和打开它所需的一次性验证码。

支持：你在支持请求中写的内容、你附上的截图（我们会删除其中的元数据），以及你指出的你自己的视频（如果有）。错误报告总会附带技术信息，表单会在你发送前展示出来：浏览器、系统、屏幕和窗口大小、像素比、浏览器和应用的语言、主题、时区、你所在的页面以及应用的版本。

游客：如果你在没有账号的情况下进行交换，我们会创建一条没有姓名、邮箱地址和密码的游客记录。Cookie 中的一个随机密钥把你的浏览器和你的交易关联起来；我们保存它的哈希和一份加密副本，这样交易链接就能在另一台设备上打开这笔交易。我们还会保存你为交易上传的视频及其标题、你随提议发送的留言，以及你提供的邮箱地址（如果有）。这个地址不经过验证，只用于发送交易的进展。

如果你购买 Pro：Paddle 会告诉我们你的订阅状态，包括订阅的标识符、按月还是按年、状态和日期。你的银行卡信息和账单地址留在 Paddle。

技术信息：每次会话的 IP 地址、浏览器和时间（可在“设置 → 安全”中查看），登录失败的尝试，以及短期保存的服务器日志。创建账号时，我们会记住 IP 地址一天，同一地址在这一天内再次注册时需要通过人机验证。新游客在上传第一个视频前要通过人机验证；我们会统计一天内同一 IP 地址发起的交易数量，以加以限制。观看公开视频的游客会在 Cookie 中获得一个随机游客 ID，只用于签发播放令牌。

3. 我们用这些数据做什么

• 运行服务：存储和播放你的视频，传递请求、交换和消息，运行限时链接、交换链接以及与游客的交换。
• 按照你的通知设置，在应用里和通过邮件通知你；给游客发邮件告知其交易的进展，给限时链接的收件人发送链接及其验证码。
• 运行 Pro：把 Paddle 报告的付款与你的账号对应起来，开启和关闭 Pro。
• 保护账号安全、防止滥用：会话、两步验证、频率限制、拦截登录尝试、对重复注册和新游客进行人机验证。
• 回复你的支持请求。
• 审核：处理举报，记录审核操作。
• 以汇总的方式了解网站的使用情况（见“统计分析”）。

法律依据：其中大部分是提供你注册或以游客身份使用的服务所必需的（我们与你之间的合同）；安全、防止滥用和审核基于我们保持 tapeshelf 安全的正当利益；在法律要求时，我们会保留或披露数据。

我们不出售你的数据，不展示广告，也不建立广告画像。

4. Cookie 与本地存储

• vs_access 和 vs_refresh：让你保持登录。
• vs_2fa：在你输入密码和完成两步验证的第二步之间保留五分钟。
• vs_oauth 和 vs_oauth_signup：在你用 Google 登录时保留几分钟。
• vs_guest：没有账号进行交换的游客的密钥。它把浏览器和游客的交易关联起来，保留 400 天；你在这个浏览器中登录或创建账号时会被删除。
• tl_ 加上链接的代码：记住你已输入限时链接的密码或邮箱验证码，直到链接过期。
• gid：给游客的随机 ID，让他们可以观看公开视频。
• 在浏览器的本地存储中：你的主题和语言、你对敏感内容提问的回答，以及正在进行的上传列表。

以上都是网站正常运行所必需的。没有跟踪或广告 Cookie，统计分析也不使用 Cookie。Paddle 的支付页面在你打开时，适用 Paddle 自己的隐私声明。

5. 统计分析

我们用托管在欧盟的 Plausible Analytics 统计访问量。它不设置 Cookie，不存储 IP 地址，也不会跨网站追踪你；我们只能看到总数，例如页面浏览量和访客来源。

6. 还有谁会处理你的数据

• 一家位于德国的托管服务商：服务器、数据库以及存放视频的存储。
• 一家邮件发送服务商：发送我们的邮件，包括发给游客的交易邮件，以及发给限时链接收件人的邮件。
• Paddle.com：作为我们的经销商销售 Pro。你在支付页面输入的信息（例如邮箱、国家和付款信息）会提交给 Paddle，Paddle 作为独立的控制者，按照其隐私声明处理这些信息。
• Cloudflare：只在需要有人通过人机验证（Cloudflare Turnstile）时参与：同一地址重复注册时，以及新游客上传第一个视频前。Cloudflare 会检查 IP 地址和浏览器，以区分真人和机器人。
• Google：只在你选择用 Google 登录时参与。
• Plausible：上文所述的访问统计。

你的账号和视频存储在欧盟的德国。Cloudflare 和 Google 可能在欧盟以外处理它们收到的数据，并采取 GDPR 要求的保障措施。除非法律要求，我们不会与其他任何人共享数据。

7. 浏览器扩展

tapeshelf Video Downloader 是我们的浏览器扩展，在你的浏览器中运行。查找和下载视频都在浏览器里完成：文件从网站直接到你的电脑，你打开了哪些页面、下载了哪些视频，这些信息都不会发给我们。扩展的设置和你的下载历史记录留在你的浏览器里；你可以关闭历史记录，也可以清除它。

只有在你要求时，扩展才会向 tapeshelf 发送数据： - 当你把扩展连接到你的账号时，它会获得一个密钥，这个密钥只能向该账号上传视频。扩展会显示在“设置 → 安全”中，在那里断开连接，这个密钥就会失效。 - 当你点击“保存到我的片架”时，扩展会把这个视频连同你在它的表单中看到的标题和描述一起上传到你的账号。我们的服务器会记下这次连接和上传来自扩展；我们就是这样统计有多少人在使用它。

从本网站下载的版本每天会向 tapeshelf.com 询问一次哪个版本是最新的；这次询问不会带上任何能识别你身份的信息。来自浏览器应用商店的版本由相应的商店负责更新。扩展没有统计分析、广告和跟踪器，代码是开源的。

8. 别人能看到什么

• 你的个人资料：显示名称、用户名、头像、头图和简介，任何有链接的人都能看到。如果你有 Pro，名字旁边会有一个小小的 Pro 标志。有了 Pro，你可以隐藏整个主页：这样你的个人资料、片架和列表只对你和审核员开放，而你已经分享出去的视频仍然留在收到它们的人那里。Pro 结束后，隐藏的主页会重新可见。
• “想找”和“请勿提议”：在与你的每一次交换中都会显示；只有你选择时才会显示在你的主页上。
• 你的公开视频，以及你的私密视频的封面和 16 帧预览。
• 你的好友、粉丝和你关注的人。
• 别人持有的视频上，你的用户名会作为作者显示。
• 限时链接的页面：在链接有效期内，任何有链接的人都能看到你的用户名和头像，以及链接里的视频。限时链接首次被打开时，发送者会收到通知；如果打开的人已登录，通知里会有他的用户名。有人把其中的视频加到自己的片架上时，发送者会收到通知，知道是谁。
• 在与游客的交换中，双方只能看到对方视频的标题、时长、大小、画质和帧预览，以及随提议发送的留言。游客能看到你的用户名；你看到的游客只显示为“游客”。
• 原始文件：可以下载视频的人拿到的是我们存储的文件。对于 2026 年 10 月 18 日起上传的视频，这个文件已不再带有原有的元数据。更早的视频会按上传时的原样下载，带着其中的元数据（例如拍摄的日期或地点）。
• 消息：收件人可以看到；你删除账号后，消息仍对收件人可见，并标注为来自已注销的用户。
• 支持请求：只有你和管理员能看到；回复的署名是“支持团队”。

管理员能看到运行和审核服务所需的内容，包括私密视频，以及在处理举报时的消息。

9. 我们保留多久

• 你的账号：保留到你删除它为止。
• 你删除的视频：立即从网站上消失。在 30 天 内（Pro 为 90 天），你可以从“已删除”中恢复，除非你提前从那里删掉它们或清空了“已删除”；超过期限就无法恢复。被审核员删除的视频，或随账号一起删除的视频，作者无法恢复。
• 已删除视频的文件：在处理与之相关的举报、争议和法律主张所需的时间内保留，之后彻底清除。
• 保存到同一个视频中的编辑：旧版本会在几小时后清除，让正在观看的人能够看完。
• 因违反规则而被删除的文件的指纹（哈希）：会保留，以防这个文件被再次上传。
• 与游客的交换：一旦交易被拒绝、取消、过期或关闭，游客的视频会被删除并从存储中清除；交易如果三天没有新进展就会过期。游客从未发送的草稿会在一天后删除；视频一直没有处理完的草稿，会在一周后删除。交换完成后，游客可以在一周内观看和下载收到的视频；登录或创建账号后，交易和视频会转入账号。游客记录和为交易提供的邮箱会一直保留，直到游客写信到 contact@tapeshelf.com 要求我们删除，或者游客登录（这会关闭该记录并清除邮箱）。
• 限时链接：在过期或被停用 30 天后删除，收件人的邮箱地址和密码哈希也一并删除。通过限时链接进行的下载不会写入下载记录。
• 通知：已读后保留 90 天，最长一年。
• 下载记录：13 个月。
• 会话：保留到你退出登录或会话过期为止，最长一年；已结束会话的记录再保留 30 天。
• 两步验证：身份验证器应用的密钥、通行密钥和恢复码会一直保留，直到你移除它们或关闭两步验证。
• 我们邮件中的链接（确认邮箱地址、重置密码）：其记录在链接被使用或过期 30 天后删除。
• 注册时的 IP 地址（用于人机验证检查）和游客发起新交易时的 IP 地址（用于限制同一地址的交易数量）：一天。
• 来自 Paddle 的付款事件（其标识符）：90 天。你的订阅状态随账号保留；发票和付款记录由 Paddle 按照税法要求保存。
• 未完成的上传：24 小时。
• 数据库备份：14 天，因此已删除的数据可能在备份中最多再留两周。
• 服务器日志：最多 30 天。
• 审核记录：2 年。举报：作为审核记录保留，即使账号已被删除。
• 支持请求：不会定时清除。你删除账号后，它们会留在支持团队那里，标注为来自已注销的用户，其中的截图会被清除。
• 消息：不会定时清除；你删除账号后，消息仍对收件人可见。

10. 你的权利

根据 GDPR，你可以获取自己数据的副本，要求更正或删除数据，限制或反对我们使用数据的方式，并以可携带的形式获取你提供给我们的数据。

• 其中很多事你可以自己完成：在“设置”中查看和修改你的数据，在那里删除账号，以及下载你自己的视频（你上传的视频从不计入下载限额）。游客可以取消进行中的交易，其视频会被立即删除。
• 如需获取数据副本，或有其他与你的数据相关的事，请用你账号的邮箱地址写信到 contact@tapeshelf.com。没有自动导出功能：我们会手工准备副本，并在一个月内回复。
• 如果你住在欧盟，也可以向你所在地的数据保护机构投诉。

11. 本政策的变更

有变化时，我们会更新本页面和顶部的日期。如果变更比较重要，我们会在网站上公告。