隐私政策

栖家由独立开发者开发和维护（下称“我们”）。对于本网站的服务器日志、天气转发服务和社区插件商店，我们是信息处理者。

对于你用栖家连接的 Home Assistant、你安装的 QiHome OS 及其中的全部家庭数据，你本人是控制者：这些数据存放在你选择的设备或服务器上，我们无法访问，也不会收到任何副本。

• 使用栖家不需要也不提供账号，我们不收集你的姓名、邮箱、电话号码。（只有向社区插件商店发布插件的开发者需要用 GitHub 登录，见第 8 节。）
• 不收集你的设备列表、设备状态、自动化、家庭成员、位置轨迹、文件、摄像头画面或健康数据。
• App、QiHome OS 和本网站都不含广告、统计分析、崩溃上报或第三方追踪 SDK，不做用户画像，不出售或出租任何信息。
• 我们不会把你的信息用于训练任何 AI 模型。

为了让 App 正常工作，以下信息只保存在你的设备本地，不会发送给我们：

• 连接信息：Home Assistant 或 QiHome OS 的地址，以及访问令牌。令牌保存在系统提供的安全存储中：iPhone 和 iPad 的钥匙串（仅本设备）、Mac 的钥匙串、Android Keystore 中的密钥加密（Android 版不参与系统备份）。
• 偏好与记录：收藏、界面与语言设置、App 锁设置、最近 50 条控制记录，以及用于快速启动的最近一次家庭状态缓存（不含令牌）。
• 户型扫描（iPhone、iPad）：你扫描的户型保存在设备上，并同步到你自己的 QiHome OS。
• 小组件、实时活动、控制中心与快捷指令：为显示所需的设备名称与状态会在同一台设备的 App 组件之间共享。

删除某个“家”或卸载 App，上述信息即被清除。

App 只在你允许后使用以下权限，且只用于所述目的。你可以随时在系统设置中撤回。

• 本地网络：发现并连接你家中的 Home Assistant 或 QiHome OS。
• 相机（iPhone、iPad）：扫描 QiHome OS 的配对二维码（画面不保存、不上传）；扫描房间生成户型；以及你选择用照片读取户型时拍摄房间照片，这些照片会发给你选择的模型（见第 7 节）。
• 照片与文件：只在你选择上传时，读取你选中的照片或文件，传到你自己的 QiHome OS。
• 面容 ID / 触控 ID / 指纹：仅用于解锁 App，由系统在设备上完成验证，App 拿不到生物特征信息。
• 位置：显示当地天气（见第 9 节）；如果你打开“在家 / 离家”，App 在手机上判断你是否在家，只把“在家”或“不在家”报告给你自己的 QiHome OS，从不报告位置坐标（Android 版为此需要“始终允许”的位置权限）。
• 健康（Apple 健康 / Android Health Connect，默认关闭）：详见第 5 节。
• 通知：用于提醒（例如家电完成、你设置的阈值）。这些提醒由 App 在设备本地生成。

健康同步默认关闭。开启后，App 只读取你逐项勾选、并在系统中授权的数据类型，在设备上计算每日汇总值（例如当天步数、最近一次心率），再通过加密连接写入你当前连接的 Home Assistant，供你自己的自动化和趋势分析使用。

• 不上传原始样本、时间线或健康档案；不向 Apple 健康或 Health Connect 写入数据。
• 健康数据不会发送给我们或任何第三方，不用于广告、营销或建立画像。
• 你可以随时在 App 中关闭同步，或在“健康” / Health Connect 中撤销权限；已写入 Home Assistant 的汇总值由你在 Home Assistant 中管理和删除。

QiHome OS 运行在你自己的服务器、电脑或家中设备上。设备状态、历史记录、自动化、文件、备份，以及 AI 的对话记忆和操作审计日志，全部保存在那台设备上，我们无法访问。

• 文件：存在 QiHome OS 的家庭文件夹里。“共享”全家可读写；每位家人有自己的文件夹，其他家人看不到，管理员可以打开所有家人的文件夹；录像只有管理员能看；访客和开发者令牌看不到文件。删除的文件在回收站保留 30 天；缩略图在本机生成，60 天未用就删除。新建、移动、删除、上传等操作会连同操作人写进服务的运行日志。QiHome 不会把你的文件发到别处。
• 桌面壁纸：你上传的壁纸（JPEG、PNG 或 WebP，12 MB 以内）只保存在你的 QiHome OS 上，只有你自己能看到；移除或删除这位家人时一并删除。
• 家人、访客与住客：家人的名字、手机的在家 / 离家状态（不含位置）、免打扰设置；访客和民宿住客的名字、日期、可用的房间与设备和用电量（访客链接只保存哈希值）。这些只有管理员能看到。设备的使用时长按设备统计，不按人统计。
• 房间自动化、习惯和预测：根据最近 90 天的房间到访记录和 30 天的事件，在 QiHome OS 本机计算，不需要云端；走动记录是匿名的，不区分是谁。
• 导出与忘记：管理员可以在 QiHome OS 里导出个人数据，或单独删除某类数据（例如事件历史、到访记录、AI 审计日志、改动历史）。导出不包含 AI 密钥、异地备份和地图服务的凭据以及 Home Assistant 令牌。

大语言模型是可选的，默认关闭，由管理员在“栖家智能”里选择：

• 家中的模型（例如 Ollama、LM Studio、llama.cpp，或本地 AI 插件）：请求不离开你的网络。
• 云端模型（例如 OpenAI、Anthropic、DeepSeek、通义千问、Kimi、智谱，或任何兼容接口）：处理你的请求时，相关内容会发送给你选择的服务商。默认只发送设备名称、房间和当前状态；历史记录、日志、摄像头画面各有单独的开关，默认不发送。访问令牌、密码从不发送。
• 用照片读取户型：只有主人点了才会发送 1–10 张房间照片；用云端模型时，你确认一次后照片就会发给它，即使“摄像头画面”开关是关着的。用已配对的 App 读取时，照片从手机直接发给模型，为此这台 App 会拿到模型的 API 密钥。
• 语音：Home Assistant 的语音助手可以把 QiHome 的 AI 当作对话引擎；语音识别和朗读由你在 Home Assistant 里选的服务完成，识别出的文字会发给你选择的模型。

API 密钥只保存在你的服务器上，除上面读取户型的情况外不会交给任何浏览器或 App。每一次发给模型的内容都记录在审计日志中（保留最近 200 条），你可以在“栖家智能”里查看。云端服务商如何处理这些内容，受该服务商自己的条款和隐私政策约束，我们与这些服务商之间没有数据共享。

“轻 AI”（习惯建议、异常提醒）在 QiHome OS 内部用规则和统计完成，不需要模型，也不联网。

MCP（3.0 起）默认关闭。主人打开后，每个外部 AI 应用用自己的令牌接入（“只能看”或“可以控制设备”），令牌只以哈希值保存；它得到的信息受和云端模型相同的隐私开关限制，家人和访客的限制照样生效；开锁、撤防一律拒绝。最近 200 次调用（应用、工具、结果）只保存在内存里。你让栖家助手使用的其他 MCP 服务器，它的令牌只保存在你的 QiHome OS 上，只发给那台服务器；调用时会把模型选择的参数发给它。

• 插件：插件只能做它申请过、你同意过的事；联网只能连它声明过的 https 域名，或你指定的一台局域网主机；插件的密钥由 QiHome 保管，插件拿不到。社区插件只能是声明式插件或在沙箱里运行的 WASM 插件，碰不到文件、网络和系统，也不能用门锁、安防或摄像头的权限。官方插件随 QiHome OS 提供。
• 社区插件商店默认关闭。主人打开“允许社区插件”后，QiHome OS 才会从本网站下载签名过的插件目录和插件，这是普通下载，不附带你家的任何信息，也不统计安装量。你举报一个插件时，只发送插件、版本和你写的话；商店保存最近 5,000 条举报，你的 IP 地址只在内存里用于限制频率。
• 开发者：向商店发布插件的开发者用 GitHub 登录。GitHub 授权只用一次、不保存；商店保存开发者的 GitHub 用户名和 ID、发布者名称和登录会话（只存哈希值），以及提交的插件、版本、审核结果和安装包的哈希。

• 天气：App 在你打开天气功能时，用大致位置请求预报。新西兰境内由本站服务器转发给 MetService；位置在你的设备上就先模糊到约 5 公里，本站日志中也只有这个模糊位置，转发结果只在内存中缓存 10 分钟。其他地区直接请求挪威气象局 MET Norway，坐标精确到约 1 公里。iPhone 和 iPad 显示地名时使用 Apple 的地理编码服务。家庭守护的天气提醒使用 Home Assistant 的天气预报。
• 地图（QiHome OS 地图页，可选）：底图由 QiHome OS 代为请求，你的浏览器不直接连接地图服务商。默认按家的位置选择：在中国用高德，其他地区在填了 Google 密钥时用 Google，否则用无需账号的 OpenFreeMap；也可以由管理员选择 MapTiler、Mapbox 等。为家人位置显示地址时，会把相应坐标发给地图服务商解析，这需要管理员填写密钥并打开“显示地址”开关（默认关闭）。离线地图会从 OpenFreeMap 下载家附近的地图。
• 更新与插件：QiHome OS 检查和下载更新、插件时，会连接本网站和 Home Assistant 的版本服务器（version.home-assistant.io），也可能连接 GitHub 和软件包镜像（如 PyPI）；QiHome Edge 每 6 小时检查一次更新。这些是普通下载请求，不附带你的家庭数据。
• 远程访问与网络工具（可选，由你设置）：Tailscale、Cloudflare Tunnel、Home Assistant Cloud（Nabu Casa）、动态域名服务（Cloudflare、DuckDNS、DNSPod、阿里云）以及查询公网 IP 的服务（ipify、ifconfig.co、ip.3322.net）；HTTPS 证书向 Let’s Encrypt 申请；网速测试使用 Cloudflare。没有任何流量经过我们运营的中转服务器；服务器版的 QiHome Edge 只连接你自己的服务器。
• 登录 Home Assistant：App 用 Home Assistant 账号登录时，以本网站的一个地址作为 App 的身份标识，Home Assistant 可能会访问这个地址来确认身份。
• Home Assistant 自身：Home Assistant 及其集成可能连接设备厂商的云服务或 Home Assistant Cloud（Nabu Casa）；QiHome OS 发到手机的推送通知通过 Home Assistant 的通知服务（例如 Home Assistant 手机 App）送达。这些由你在 Home Assistant 中配置，受各自政策约束。
• 你选择的 AI 服务商和 MCP 服务器：见第 7 节。

• 服务器日志：和几乎所有网站一样，服务器会记录访问日志（IP 地址、时间、请求的页面、浏览器类型、来源页），用于安全防护和排查故障。日志每天轮换，保留 14 天后自动删除，不用于识别个人，也不与其他信息关联。
• 无 Cookie、无统计：本网站不设置 Cookie，不使用统计分析或广告服务，页面不加载任何第三方资源。
• 浏览器本地存储：你选择的语言保存在你的浏览器中，只在本机使用。

App 连接公网地址时必须使用 HTTPS；网络会话不写入磁盘缓存，也不保存 Cookie。令牌保存在系统安全存储中。QiHome OS 以最小权限运行各项服务，敏感设置（如 API 密钥）单独以受限权限保存，开发者和 MCP 令牌只以哈希值保存；开锁、撤防、开车库门等操作不交给 AI 执行。异地备份在你的服务器上先用只有你知道的密码加密（AES-256），再传到你自己的存储。任何系统都无法保证绝对安全；如发现安全问题，请按第 15 节与我们联系。

• App 中的信息保存到你删除“家”或卸载 App 为止。
• QiHome OS 中的信息由你决定保留多久；卸载时数据默认保留，选择彻底删除或删除其数据目录即可全部清除。默认的保留期：事件历史 30 天，房间到访记录 90 天，环境历史 30 天，每日汇总 2 年，AI 审计日志最近 200 条，回收站 30 天；30 天没有上报的手机不再计入在家 / 离家。
• 本网站服务器日志保留 14 天；天气转发结果只在内存中保留 10 分钟。社区插件商店保存最近 5,000 条举报。

依据你所在地区适用的法律（例如中国《个人信息保护法》、欧盟《通用数据保护条例》、新西兰《2020 年隐私法》），你可能享有查阅、更正、删除个人信息、撤回同意、限制或反对处理、获取副本以及向监管机构投诉等权利。

由于我们几乎不持有你的个人信息，大多数权利你都可以直接行使：你的家庭数据在你自己的设备和服务器上，你可以随时查看、导出或删除（QiHome OS 里有导出和单独删除的功能，见第 6 节）；系统权限可以随时在设置中撤回。对于本网站服务器日志和社区插件商店中的开发者信息，你可以按第 15 节联系我们，我们会在核实后 30 天内答复。

栖家面向家庭中的成年人或在监护人同意下使用，我们不会有意收集儿童的个人信息。

本政策可能随功能变化而更新。更新后我们会修改本页顶部的生效日期；如有实质性变化（例如新增发送给第三方的信息），会在 App 更新说明或本网站上明确提示。

如对本政策或你的信息有任何疑问、请求或投诉，请通过本网站公布的联系方式与开发者联系。我们会在收到后尽快答复，最迟不超过 30 天。