隐私政策

更新日期：2026 年 11 月 10 日

Waterm 没有账号体系，不做分析统计，没有广告，也不跟踪你。
除非你开启下文所述的 iCloud 同步或 Herdr 通知，你的主机、密码、密钥和终端会话都只保存在你的设备上。SSH 流量只发往你连接的服务器。
部分可选功能会把数据发送到你选择的服务：iCloud 同步发往你自己的 iCloud 账户，Tailscale 发往 Tailscale，云端语音输入发往你选择的语音服务商。
Herdr Agent 通知（Pro，需主动开启）会经过我们运营的一个通知中转服务。它会保存你设备的推送令牌，直到你清除 Waterm 的数据；它从不保存通知内容。

我们是谁

Waterm 由独立开发者殷子良开发（下称“我们”），我们是本政策所述个人信息的处理者，上架后也将在 Waterm 的 App Store 页面上显示为销售者。如有任何隐私问题或请求，请发送邮件至 support@waterm.app。

只保存在设备上的数据

Waterm 会在你的设备上保存主机、用户名、连接设置、已信任的主机密钥、SSH 密钥、密码、口令和会话恢复状态。密码、密钥等机密信息保存在受 iOS 数据保护的文件中，并且不包含在设备备份里。终端输出、回滚内容和剪贴板内容不会发送给我们。例外情况是“Herdr Agent 通知”一节所述的简短回复预览：仅在你开启该通知后，由你的主机经我们的中转服务发送。

连接时，Waterm 直接与你选择的服务器通信，使用你所在网络的 DNS；如果你配置了 Kerberos/GSSAPI，也会用到它。打开终端中输出的链接时，链接会交给你的浏览器处理。HTML 预览（Pro）会在 Waterm 内显示服务器上的文件；如果该文件引用了互联网上的图片、样式或脚本，Waterm 会直接从这些网站加载。

在 Waterm 设置中选择“清除所有数据”会删除这些本地数据。删除 App 也会将其从设备上移除。

iCloud 同步（可选，默认关闭）

如果你开启 iCloud 同步，Waterm 会把你的主机（包括保存的密码）、SSH 密钥和口令、语音输入凭据、设置和主页布局保存在你自己的 iCloud 私有数据库中名为 Waterm 的区域里。我们无法读取这些数据。除非你为 iCloud 开启“高级数据保护”，否则这些数据的加密密钥由 Apple 持有。Apple 的处理方式见 Apple 隐私政策。

Tailscale 登录状态、主机密钥信任、通知配对和会话恢复状态不会同步。关闭同步会保留本地数据。“删除 iCloud 数据”会移除已同步的副本，“清除所有数据”则不会。删除某一项后，你的 iCloud 数据库中会保留一条很小的删除记录，以便其他设备也删除该项。

Tailscale（可选）

Waterm 内置一个在 App 内运行的 Tailscale 客户端，无需安装 VPN 配置。它以独立设备的身份加入你的 tailnet，只会主动连接你选择的设备。登录时，你在系统登录页中向 Tailscale 和你的身份提供商完成认证，Waterm 不会看到该密码。Tailscale Inc. 会收到你的账号身份、本设备的 Tailscale 密钥、网络地址和设备名称“waterm-iphone”。无法直接连接时，加密流量（包括 SSH）可能经由 Tailscale 的中继服务器传输。Tailscale 依据 Tailscale 隐私政策协调你的 tailnet。Waterm 关闭了 Tailscale 的日志上传。“清除所有数据”会退出该客户端并从设备上删除其状态。

语音输入（Pro，可选）

语音输入在你按住按键时最多录制 60 秒音频。转写文字经你确认后才会发送到服务器。

Apple 语音识别：音频由 Apple 处理，可能会发送到 Apple 的服务器，适用 Apple 隐私政策。
豆包（火山引擎）或讯飞：仅在你添加自己的 API 凭据后使用。音频从你的设备直接发送到该服务商位于中国大陆的服务器，适用你与该服务商之间的账户和隐私条款。我们不会收到音频或你的凭据。

麦克风和语音识别权限只在你首次使用语音输入时请求，你可以随时在 iOS 设置中撤回。

Herdr Agent 通知（Pro，可选）

如果你为 Herdr 启用通知，Waterm 会把你的设备与我们在 Cloudflare 上运行的通知中转服务（waterm-push.tuta.cc）配对，并在你确认后通过 SSH 在你选择的主机上安装插件。Agent 完成任务或需要你处理时，主机上的插件会把事件发送给中转服务，中转服务再通过 Apple 推送通知服务转发到你的设备。配对期间，插件还会大约每分钟访问一次中转服务，并可能测试与 Cloudflare 地址的连接，以选择网络线路；这些检测不包含任何通知内容。

数据	来源	中转服务如何处理
设备推送令牌、环境以及发送密钥的哈希值	你的设备	保存至你在 Waterm 中选择“清除所有数据”或 Apple 报告令牌失效为止。
主机、空间和标签页名称；Agent 类型（Claude Code 或 Codex）；状态	你的主机	转交 Apple 投递，不保存。
Agent 会话的哈希值，以及路由、空间、标签页、窗格和终端的不透明 ID	你的主机	随通知转交 Apple，供 Waterm 合并同一会话的通知并打开对应窗格，不保存。
Agent 最新回复的预览，最多 120 个字符	你的主机	作为通知正文转交 Apple，不保存。
事件 ID 和时间	你的主机	最多保留最近 128 个 ID，用于去除重复事件。超过 24 小时的 ID 会在之后有新事件被接受时删除；否则会保留到你选择“清除所有数据”为止。
发起请求的设备或主机的 IP 地址	网络	用于频率限制。插件进行线路检测时，Cloudflare 会据此判断你主机所在的国家或地区和最近的 Cloudflare 数据中心，中转服务会把结果返回给你的主机。我们不保存。

中转服务不记录通知内容、令牌或密钥，请求日志也已关闭。由于中转服务在传输过程中处理消息，其运营者在技术上能够看到经过的内容，但我们不会记录。中转服务由 Cloudflare 托管，适用 Cloudflare 隐私政策；通知由 Apple 投递。

在 Waterm 中选择“清除所有数据”会撤销所有使用该配对的主机的配对，并删除已保存的令牌。此后中转服务只保留一条“配对已撤销”的标记，以防被重新激活。“卸载插件”可让单台主机停止发送通知。删除 Waterm 无法撤销配对，如需删除令牌，请先清除其数据。主机上的插件文件会一直保留，直到你在 Waterm 中卸载插件或自行删除。

购买

Waterm Pro 通过 App Store 销售，付款由 Apple 处理，适用 Apple 隐私政策。Waterm 在你的设备上通过 Apple 的 StoreKit 检查购买状态和免费试用日期，我们没有记录这些信息的服务器。我们会收到 Apple 的标准销售报告，其中不包含能识别你身份的信息。

诊断信息

Waterm 不包含崩溃报告或分析 SDK。诊断报告在你的设备上生成，只有在你主动分享时（例如通过邮件发给我们）才会离开设备。如果你在 iOS 设置中选择与 App 开发者共享崩溃数据，Apple 可能会向我们提供匿名的崩溃报告。

本网站

本网站不使用 Cookie、分析工具或第三方脚本。网站由 Cloudflare 提供服务，Cloudflare 会处理你的 IP 地址和请求信息，用于传送页面和防范滥用。

给我们发邮件

发送至 support@waterm.app 的邮件由我们的邮箱服务商网易在中国大陆存储。我们仅用你的邮箱地址和邮件内容答复你，答复所需期限过后即不再保留，并会应你的要求删除。

我们不出售或共享个人信息，也不将其用于广告。涉及的第三方仅限上文所述、为你所用功能提供服务的各方：Apple、Cloudflare、Tailscale、你选择的语音服务商，以及提供邮箱服务的网易。这些服务可能在美国、中国大陆或其他国家和地区处理数据。

儿童

Waterm 是用于管理服务器的工具，并非面向 13 岁以下儿童。我们不会在知情的情况下收集儿童的信息。

你的选择和权利

由于 Waterm 没有账号体系，我们几乎不持有能识别你身份的信息。你可以直接在 App 中管理自己的数据：清除所有数据（同时会撤销通知配对）、删除 iCloud 数据、逐台主机卸载插件以及删除语音凭据。我们仅为投递你开启的通知而处理上述中转数据，仅为选择通知线路以及防止中转服务和本网站被滥用而使用 IP 地址。你无须提供这些数据；不提供时，Herdr 通知无法使用。我们不会对你进行自动化决策。Cloudflare 和 Apple 依据其各自的数据处理条款为我们处理中转数据，我们只选用保护水平不低于本政策的服务商。根据你所在地的法律，你可能有权查阅、复制、更正、删除个人信息，限制或拒绝相关处理，随时撤回同意（不影响撤回前的处理），并可向数据保护主管机关投诉。如需提出请求，请发送邮件给我们，我们会在 30 天内答复。

变更

如本政策发生变更，我们会更新此页面及其日期。如果变更影响 Waterm 从设备发出的数据，我们还会在 App 的更新说明中写明。