文件和画面只在你的设备之间传输

个人信息处理者

HM互传由陈少林开发并提供。本政策适用于 HM互传 macOS 端和 HarmonyOS 端在提供局域网文件传输服务过程中对信息的处理。

如对本政策、应用权限、本地数据删除或个人信息处理存在疑问、意见或投诉，可发送邮件至 tppclinksc@gmail.com，或通过 GitHub Issues 联系我们。

我们处理哪些信息

• 局域网设备信息：设备名称、设备类型、系统版本、局域网 IP 地址、当前 Wi-Fi 名称、应用协议版本、随机安装标识和接收状态，用于在同一局域网发现、区分和连接附近设备。这些信息会随局域网发现包发送给同网段内运行 HM互传 的设备。
• 文件传输信息：用户主动选择的文件或文件夹名称、大小、类型、校验值、传输进度和结果，用于完成传输和恢复任务。
• 屏幕投放信息：用户可以在 MatePad 直接发起，或在已配对 Mac 上请求 MatePad 调起系统确认；只有用户在 HarmonyOS 系统屏幕采集界面明确同意后，应用才会处理屏幕画面、分辨率、方向、帧率、码率和会话状态。画面可能包含其他应用内容、通知和个人信息，请在开始前自行关闭不希望展示的内容。
• 投屏网络测试：仅在用户主动点按后，从 MatePad 内存生成固定测试数据并加密发送到已配对 Mac，用于计算局域网吞吐、延迟和抖动。测试不读取用户文件、不采集屏幕、不写入下载目录，也不访问公网。
• 本地设备关系：已配对设备 ID、随机身份指纹、配对时间和最后在线时间，用于识别用户确认过的设备。身份指纹不是账号、广告标识或硬件序列号。
• 本地诊断信息：应用版本、系统版本、协议版本、任务 ID、错误码和脱敏运行事件，用于解释失败和排查问题。

信息保存在哪里

传输任务、历史、配对关系、隐私确认和诊断事件保存在当前设备本地。未完成文件、断点分片和文件夹归档保存在应用私有持久目录，传输、SHA-256 校验和文件夹解压全部成功后，才发布到用户可见的 HMTrans 下载目录。投屏画面只在内存中采集、编码、传输、解码和显示，不写入文件历史、下载目录或数据库。

用于区分安装实例的随机标识和已配对设备指纹保存在应用本地偏好或数据库中，不包含账号密码或设备硬件序列号。未完成任务的私有临时数据默认最多保留 7 天，也可以由用户在设置中立即清除；传输历史不会自动清除。

我们不会做什么

• 不会要求注册或登录账号。
• 不会把文件上传到 HM互传云端或第三方云盘。
• 不会保存、截图、索引、分析或上传屏幕投放画面。
• 不会在不同网络之间提供公网中转。
• 不会出售用户文件、传输历史或配对关系。
• 不会在用户同意隐私政策前启动局域网发现和文件接收服务。

局域网传输的安全边界

六位配对码用于确认你正在连接同一局域网内眼前的设备，随机身份指纹用于后续识别已经确认过的安装实例。v0.3 配对通过 X25519 临时密钥协商和六位码双向证明派生只保存在双方本地的 256 位主密钥，六位码和主密钥不会作为网络 JSON 字段发送；文件元数据、解除配对和投屏媒体分别使用用途隔离子密钥认证。文件内容仍通过本地 TCP 明文传输，并使用 SHA-256 检查完整性；投屏画面及会话控制载荷使用 AES-256-GCM 和每包独立随机数加密与校验。请只在你信任的家庭、个人热点或办公局域网中使用，不要把公共开放 Wi-Fi 当作私密传输环境。

权限说明

• 网络与 Wi-Fi 信息：用于读取当前网络名称和局域网地址、发送 UDP 发现包、建立 TCP 连接。应用不会据此访问公网传输服务。
• 本机设备名称：HarmonyOS 端读取系统“关于本机”中由用户设置的设备显示名称，用于在同一局域网内发现和区分设备，并向运行 HM互传 的 Mac 显示。该名称不用于账号识别，不上传到 HM互传 服务器。
• Mac 位置授权：macOS 可能要求位置授权后才允许读取当前 Wi-Fi 名称。HM互传只读取并展示 SSID，不读取、保存或上传经纬度；拒绝后显示通用“当前局域网”，发现和传输仍可使用。
• 下载目录读写：HarmonyOS 端在用户同意隐私政策后通过系统弹窗申请，仅用于创建和检查 Download/HMTrans，并发布已经完整校验的接收结果。拒绝后仍可发现和发送，接收文件不可用；用户可在设置页重新检查并申请。
• 系统文件/文件夹选择器：只在用户点击选择时调用。应用只读取用户主动选中的文件或文件夹，并立即复制到应用私有持久目录供传输和断点恢复；不扫描其他文件。
• 后台数据传输：仅在存在活动传输且用户开启“后台传输保护”时启动系统长时任务和通知，任务结束后立即停止，空闲时不用于常驻保活。
• 屏幕采集：只在用户从 MatePad 的已连接 Mac 设备卡片点击“投屏”后，由 HarmonyOS 显示系统授权界面。每次会话都必须由用户在 MatePad 上明确允许；配对不能静默录屏或代替系统确认。拒绝后不会启动采集和编码。系统停止录屏、锁屏限制、应用退出或用户停止时会结束会话。v0.3.0 不采集声音，也不接收 Mac 的键盘、鼠标或触控输入。
• 剪贴板：只在用户点击“复制诊断信息”时写入脱敏报告，不读取用户剪贴板。

HM互传使用应用内自己的首次隐私确认流程，不托管或委托第三方隐私确认服务。同意前不会创建 UDP/TCP 服务或广播设备信息；系统权限始终由操作系统弹窗申请。

管理和删除

用户可以在应用内逐条删除传输记录、按设备或全部清空历史、清理未完成任务和临时文件，以及移除已配对设备。删除历史记录不删除已经保存到下载目录的成功文件。投屏可从 MatePad 会话入口或 Mac 观看窗口随时停止；停止后应用释放采集、编码、网络、解码和画面缓冲。

卸载应用会由操作系统清理应用私有数据；已经保存到公共下载目录的文件仍由用户自行管理。

当前版本可以通过关闭接收服务、自动发现和后台传输保护停止相应处理，也可以卸载应用停止全部本地服务。如希望撤回此前同意、查询或删除与本应用有关的本地信息，可通过 tppclinksc@gmail.com 联系我们；我们会在核实请求后尽快回复。由于 HM互传不提供账号或云端服务器，我们无法远程读取或删除只保存在用户设备上的内容，相关内容仍需由用户在应用内或系统中操作。

共享、委托处理和第三方服务

HM互传不接入广告、统计、账号或云存储 SDK，不会向第三方出售个人信息，也不会委托第三方服务器中转或保存用户文件或屏幕画面。用户发起连接、文件传输或投屏时，完成局域网发现、配对和会话所必需的信息会直接发送给用户选择或确认的同一局域网设备。

政策更新

如果处理范围发生实质变化，应用会更新隐私政策版本并再次请求确认。不同意更新后的政策时，局域网发现和传输服务不会启动。