一、我們如何收集和使用您的資訊
（一）本地音樂庫資料 本地存儲
本產品以本地音樂庫為核心。導入目錄、歌曲資訊、歌單、最近播放記錄及設定，預設保存在當前設備本地，不會自動上傳至任何外部伺服器。
（二）媒體文件解析 本地讀取
我們的應用程式會讀取您音訊文件中的標籤（ID3/Vorbis 等）、歌詞（LRC/嵌入式）及封面圖片，用於在應用程式內展示和管理您的音樂庫。所有解析均在本地設備完成，不外傳。
（三）匿名使用遙測 匿名 · 可選 預設關閉
為改善應用程式品質，只有在您開啟「匿名使用資料」後，我們才會生成不含任何個人識別資訊的隨機設備 ID（UUID v4），並透過 PostHog 收集以下匿名事件：
| 收集項目 | 用途 | 是否含 PII |
|---|---|---|
| 功能使用事件（播放格式、使用引擎、功能開關） | 產品改進 | 否 |
| 應用程式生命週期（開啟 / 關閉） | 活躍度分析 | 否 |
| 音訊引擎錯誤類型 | 穩定性改進 | 否 |
| OS 版本、CPU 架構、記憶體分段（≤4GB / ≤8GB …） | 相容性最佳化 | 否 |
| 應用程式版本號 | 版本分佈 | 否 |
我們從不收集：歌曲標題、演出者名稱、文件路徑、歌詞內容、IP 位址（於伺服器端截斷丟棄）。
您可在「設定 → 隱私 → 使用分析」中隨時關閉此功能。
（四）崩潰與錯誤報告 匿名
如果目前發佈版本配置了 Sentry，應用程式可能會自動捕獲崩潰事件與未處理例外，以協助我們快速修復問題。Sentry 收集的資訊包含：匿名設備 ID（若匿名使用資料已開啟）、堆疊追蹤、錯誤類別、OS 版本與應用程式版本。不包含任何音樂庫內容、使用者姓名或聯絡資訊。
（五）本地診斷日誌 本地存儲
我們在本地保存 crash dump 文件與 lifecycle 診斷快照（保留最近 5 個 crash dump，lifecycle 快照超過 24 小時自動清理）。這些資料僅用於本地恢復，不主動傳送至外部。
（六）功能旗標遠端設定 匿名
在發佈版本明確配置 ConfigCat SDK 時，我們使用 ConfigCat 進行功能旗標管理（例如控制實驗性功能的開關）。ConfigCat 僅接收匿名設備 ID、平台類型（Windows 桌面）及應用程式名稱，不接收任何個人識別資訊；未配置時只使用本地預設值。
（七）用戶主動導出 本地生成
只有當您主動點擊「導出資料快照」功能時，我們才會生成包含您音樂庫資訊的 JSON 文件。導出路徑完全由您自行選擇。
（八）不收集的資訊
我們不收集：設備識別碼（IMEI/MAC 等）、位置資訊、通訊錄、相機 / 麥克風資料、廣告識別碼。本產品不含任何廣告 SDK，不進行任何形式的行為追蹤或個性化廣告投放。
二、第三方 SDK 與服務揭露
以下是本應用程式整合的第三方 SDK，及各自的資料處理說明：
| SDK / 服務 | 用途 | 傳送資料 | 隱私政策 |
|---|---|---|---|
| PostHog （透過 seek.music.blrra.com 反向代理） |
匿名使用分析 | 匿名設備 UUID、功能事件、OS/版本資訊 | posthog.com/privacy |
| Sentry | 崩潰報告 / 錯誤監控 | 匿名設備 UUID、堆疊追蹤、錯誤類別、OS/版本 | sentry.io/privacy |
| ConfigCat | 功能旗標 / 遠端設定 | 匿名設備 UUID、平台類型（windows_desktop） | configcat.com/privacy |
上述所有服務均不接收歌曲名稱、演出者、文件路徑、歌詞、IP 位址或任何個人識別資訊。PostHog 的遙測可在「設定 → 隱私 → 使用分析」中完全停用。
三、應用程式能力（Capabilities）聲明
本應用程式在 Windows 應用程式套件（MSIX）中聲明了以下能力，以下說明各能力的實際用途：
| 能力名稱 | 使用原因（最低範圍原則） |
|---|---|
| musicLibrary | 存取 Windows 音樂媒體庫資料夾，以掃描並導入您的本地音樂集合。 |
| removableStorage | 支援從隨身碟、行動硬碟等可移除媒體讀取音樂文件。 |
| internetClient | 必要：連接 Sentry（崩潰報告）、PostHog（使用分析）、ConfigCat（功能旗標），以及用戶主動配置的 Subsonic / Jellyfin 伺服器、Last.fm 封面 / 元數據、歌詞來源。 |
| privateNetworkClientServer | 必要：在家庭 / 辦公室私人網路中探索並連接 Subsonic、Jellyfin 伺服器及 DLNA 渲染器。 |
我們嚴格遵循「最低權限」原則，僅請求應用程式功能運作所必需的能力，不申請相機、麥克風、聯絡人、位置或帳戶存取等無關能力。
四、Cookie 及同類技術
本產品為 Windows 桌面應用程式，不使用瀏覽器 Cookie。我們僅使用操作系統本地存儲（SQLite 資料庫及文件系統）保存您的設定和音樂庫資料。只有在您開啟使用分析或發佈版本明確配置遠端旗標時，才會建立匿名設備 UUID（存放於 %AppData%/MusicX/analytics/device_id）。
五、資訊的共享、轉讓與公開披露
我們不向任何第三方出售、出租或公開披露您的個人資訊。只有在您開啟使用分析，或目前發佈版本明確配置遠端旗標／崩潰報告時，相關匿名資料才會傳送至上述第三方 SDK。
用戶主動配置的第三方服務連接
若您主動在設定中配置以下服務，相關資料處理以各服務商隱私政策為準：
- Subsonic / Jellyfin 家庭媒體伺服器（需您提供伺服器地址和憑據）
- DLNA / AirPlay 無線串流（本地網路內）
- Last.fm / Spotify 元數據抓取（需您授權）
- WebDAV 雲端磁碟（需您提供伺服器地址和憑據）
除您開啟的分析／崩潰報告及發佈版本明確配置的遠端旗標外，其他上述連接均由您主動發起；核心播放與本地曲庫管理不需要網路。
六、我們如何保護您的資料
- 所有本地資料（音樂庫、設定、診斷日誌）存儲於設備的應用程式資料目錄，受 Windows 存取控制保護。
- 雲端服務憑據（如 Jellyfin / WebDAV 密碼）使用 Windows Credential Manager 加密存儲，不以明文保存。
- 不建立任何未經您授權的外部網路連接。
- 診斷日誌文件定期自動清理，避免資料積累。
- 傳送至 PostHog 的流量通過我們自建的反向代理（seek.music.blrra.com），IP 位址在進入 PostHog 前已截斷丟棄。
七、您的權利
（一）查閱與刪除
您可以隨時在應用程式內查看、管理您的音樂庫資料、播放記錄和設定。如需完整刪除所有本地資料，可在「設定 → 關於 → 清除所有資料」中操作，或直接解除安裝應用程式。
（二）關閉使用分析
前往「設定 → 隱私 → 使用分析」，可隨時停用 PostHog 遙測。停用後，應用程式將不再向外部傳送任何使用事件。
（三）導出
您可以隨時透過「導出資料快照」功能將您的資料以 JSON 格式導出，以便遷移或備份。
（四）停止使用
您可以隨時解除安裝本產品以停止使用。解除安裝後，應用程式在設備上存儲的所有資料將根據作業系統行為被清除。
八、兒童個人資訊的處理
本產品為面向一般成人的桌面音樂播放器，不針對兒童設計也不主動收集兒童個人資訊。如您為未成年人的監護人，請依您的判斷決定是否允許使用本應用程式。
九、本政策如何更新
如本隱私權政策發生重大變更（例如新增資料收集類型、改變資料用途），我們將在本頁面更新內容並修改頂部的更新日期。對於重大變更，我們還會在應用程式內透過彈出視窗或通知提示您。
十、如何聯繫我們
開發者：BLRRA LTD
電子郵件：blr931@proton.me
我們將在收到您的請求後 15 個工作日內予以回覆。