legal/PRIVACY_POLICY_CN.md

Rama main · réplica de lectura del repositorio original.

# DiceFrame 隐私政策

最后更新日期：2026 年 8 月 21 日
生效日期：2026 年 8 月 21 日
政策版本：1.2

本政策说明 DiceFrame 本地程序、公共插件索引与 DiceFrame Hub 如何处理数据。DiceFrame 是自托管开源软件；实际处理范围取决于部署者选择的模型服务、插件、网络入口和共享方式。

**匿名使用统计默认关闭。只有用户主动打开开关并确认后，DiceFrame 才会发送周期性心跳。拒绝或撤回不会影响本地功能。插件互动和创建联机房间属于用户主动请求的 Hub 交互，与匿名心跳开关分别说明。**

## 1. 默认保存在本地的数据

DiceFrame 通常会在部署目录的 `data` 中保存以下数据：

- 游戏、角色、世界书、规则、场景、地图、对话和处理日志；
- 用户配置、插件配置、已安装插件、主题、缓存和更新状态；
- 模型 API Key、Bot Token、访问凭证等敏感配置；
- Hub 假名化安装身份、公告阅读状态和匿名统计选择。

这些数据默认由部署者控制，不会因为安装 DiceFrame 自动上传给项目维护者。删除程序不一定会自动删除映射到宿主机的 `data` 目录；请由部署者自行备份和清理。

## 2. 可能发生的联网处理

### 2.1 用户配置的模型服务

当用户请求 AI 生成时，DiceFrame 会向用户选择的模型服务发送完成该请求所需的提示词、游戏上下文、角色或世界信息。发送内容和保留规则由所选模型、代理和部署配置决定。项目维护者通常无法读取这些请求，但若部署者使用其控制的代理或服务，情况可能不同。

### 2.2 GitHub、更新、公告和公开目录

检查更新、读取公告、查看仓库或从作者仓库获取插件时，客户端会请求 GitHub、镜像站或插件作者配置的地址。对方服务器通常能够看到网络请求所必需的 IP 地址、时间、User-Agent 和请求路径，并依其隐私政策处理。

浏览 DiceFrame Hub 的公开插件目录本身不创建安装身份。Hub 服务器仍可能为安全、防滥用和基础访问日志处理缩小粒度的网络标识。

### 2.3 插件互动和 Hub 安装身份

首次执行需要身份的 Hub 交互（包括插件安装、点赞、评分、举报或创建联机房间）时，客户端会创建随机安装 ID 和令牌，并把令牌保存在本地。Hub 保存令牌的单向摘要，不要求姓名、邮箱或 DiceFrame 存档。

根据具体操作，可能发送：插件 ID、插件版本、制品哈希、随机事件 ID、安装是否成功、点赞状态、1–5 星评分、预设评价标签、举报理由代码，以及按月轮换密钥处理的粗粒度网络摘要。上述信息用于防重复计数、展示统计、实现用户选择和处理滥用。

这些交互由用户点击相应功能触发，不受“匿名使用统计”开关控制。创建联机房间时，安装 ID 用于单安装速率限制、活动房间上限、后台撤销和封禁；不会随之发送存档正文。清除 Hub 身份会请求删除对应安装身份及其关联互动记录，并删除本地令牌；Hub 离线时需要稍后重试。再次创建联机房间会按需生成新身份，但来源网络和全局限制仍然生效。

### 2.4 可选匿名使用统计

匿名使用统计默认关闭。用户主动开启并确认后，客户端大约每 6 小时向 Hub 发送一次心跳，内容包括：

- DiceFrame 版本；
- 粗粒度操作系统类型（Windows、macOS、Linux 或 unknown）；
- Hub 侧生成的时间桶与假名化安装 ID。

心跳不包含游戏正文、角色、世界书、插件列表、模型配置、API Key、访问密码、聊天记录或日志正文。用户可以在“管理 → 设置 → 高级参数 → DiceFrame Hub 与隐私”随时关闭；关闭后本地立即停止新的心跳。

### 2.5 客户端直连、信令与 STUN

用户主动创建或加入直连房间时，客户端会通过 HTTPS 和 WebSocket 联系链接码所指定的信令服务。创建房间需要前述假名化安装身份，加入方使用房间的一次性凭证，不要求创建 Hub 安装身份。官方 DiceFrame Hub 仅在最长约 5 分钟的握手期内存放房间、一次性令牌摘要和待转发的 SDP/ICE 信令；连接建立后，测试或游戏数据通过 WebRTC DataChannel 在参与者设备之间传输，不由 Hub 转发或存储。

直连游戏只传输协议白名单内的游戏状态、角色创建、玩家行动、幸运或支付决定、离开状态及本人角色卡修改。房主客户端会把每个一次性邀请绑定到该参与者创建的玩家身份，并使用房主本机的游戏引擎和模型配置处理相应操作；参与者设备和房主因此会处理其权限范围内的角色、公开日志、私人消息、地图和行动内容。链接码还包含所选游戏的标识。请只向预期参与者发送链接码；DataChannel 虽使用 DTLS 加密，但参与连接的端点仍能看到其收到的数据。

为安全、防攻击、封禁和故障调查，官方 Hub 会独立处理并记录来源 IP、时间、房间码、房主或加入方角色、连接结果、User-Agent、Origin 以及有限的信令数量和字节计数，默认保留 190 天。Hub 不把鉴权令牌、SDP/ICE 正文或 DataChannel 游戏内容写入安全日志。该处理属于直连功能的安全记录，不受匿名使用统计开关控制；达到容量、CPU、内存或存储保护阈值时，Hub 可以拒绝新的创建或握手并返回重试时间。

WebRTC 会把完成直连所需的网络候选和可用公网地址发送给另一参与者。每个客户端可以独立选择界面列出的第三方 STUN（目前包括 Cloudflare、Metered、Nextcloud 或多服务组合）、完全不使用 STUN，或输入一个或多个第三方/自建 STUN 地址。选择 STUN 后，客户端直接联系相应服务，这些服务通常可以看到来源 IP、请求时间和协议元数据；Hub 不代理这些 STUN 请求。链接码包含一次性加入密钥、游戏标识和房主选择的 STUN 地址列表，接收方仍可在本机改用其他 STUN 或不使用 STUN。双方均无可直达地址且 NAT 严格时，不使用中继可能导致连接失败。

### 2.6 插件、Bot、隧道和公开分享

第三方插件、群聊 Bot、反向代理、隧道和用户公开的房间可能处理额外数据。DiceFrame 无法替独立第三方决定其收集范围。部署者应阅读插件权限和第三方政策，并告知受影响的玩家。

## 3. 处理目的与依据

DiceFrame 仅在相应功能需要的范围内处理数据：

- 完成本地跑团、存档、多人同步和用户请求的模型调用；
- 提供更新、公告、插件目录、安装、点赞、评分和举报；
- 防止重复统计、攻击、滥用和明显异常请求；
- 在用户主动同意后统计版本与平台分布，以改进兼容性和维护优先级。

可选心跳以用户同意为依据；用户主动发起的安装、点赞、评分和删除操作以完成该请求为目的。若适用法律要求其他依据或额外告知，实际部署者和在线服务运营者应另行履行。

## 4. 保存期限

1. 本地数据保存到部署者删除、覆盖或迁移为止。
2. DiceFrame Hub 目前默认保留原始下载与心跳事件不超过 30 天；举报中的粗粒度网络摘要在 30 天后清除；连续 24 个月未活动的安装身份会进入清理。聚合后不再用于识别单个安装的统计结果可能长期保存。
3. 点赞、评分、安装状态和未结举报通常保存到用户删除身份、撤销相应操作、条目删除或服务不再需要为止。
4. 法律义务、安全事件调查、备份轮转或争议处理可能要求在必要范围内延长保存时间。
5. 直连房间和信令通常在完成、断开或最长约 5 分钟后从 Hub 内存移除；直连安全事件默认保留 190 天。一体化部署版本的本机备份目前默认最多保留 14 天，其他部署者应披露自己的备份周期。

## 5. 共享与跨境

项目维护者不会出售 DiceFrame 游戏内容或 Hub 安装身份。数据只会在提供服务所必需、用户主动选择第三方功能、依法配合有权机关或保护安全与合法权利时处理或共享。

GitHub、模型服务商、镜像、Cloudflare、Metered、Nextcloud 以及用户自行填写的 STUN 等第三方可能位于用户所在国家或地区之外。是否发生跨境以及适用保障取决于用户选择的服务和部署位置；使用第三方 STUN 前应查看该服务的所在地与隐私规则，部署者应自行判断并履行当地要求。

## 6. 用户选择与权利

用户可以：

- 不开启或随时关闭匿名使用统计；
- 在高级设置中查看选择状态并清除 Hub 身份；
- 删除本地 `data` 中的存档、配置、缓存和令牌；
- 停止使用某个模型服务、插件、Bot、隧道或镜像；
- 不启用直连、选择不使用 STUN，或改用自己信任/控制的信令与 STUN 服务；
- 就 Hub 数据提出访问、更正、删除、限制或撤回同意请求。

为避免冒领，涉及 Hub 身份的请求可能需要通过仍保存在本机的安装令牌验证。清除后若再次安装、点赞或评分，客户端会按需生成新的随机身份。

## 7. 安全

客户端对本地 Hub 令牌设置受限文件权限，并要求 Hub 使用 HTTPS；Hub 仅保存安装令牌摘要，并对网络摘要使用定期轮换的密钥。直连握手使用短期房间、一次性角色令牌、信令字段白名单、连接/速率/资源上限和 WebRTC 自带的 DTLS 加密。项目也采用最小字段和删除接口等措施。

但互联网和本地设备均不存在绝对安全。用户应使用强访问密码、HTTPS、受支持版本和可信插件，限制公网暴露并妥善备份。不要通过公开 Issue 提交任何秘密或私人内容。

## 8. 未成年人

DiceFrame 面向具备完全民事行为能力的用户。未成年人应在监护人指导下使用。部署者不应明知而通过 Hub 或公开房间收集未满 14 周岁未成年人的敏感个人信息；发现此类情况请停止处理并联系维护者。

## 9. 数据控制者与联系方式

1. 对部署在你或房主设备上的游戏数据、账号、共享链接和服务器日志，控制该设备或服务器的部署者是相应数据处理的决定者。
2. 对官方 Hub 服务（`api.diceframe.com`）运营范围内的数据处理，由 DiceFrame 项目维护者负责。DiceFrame 是开源协作项目，不代表第三方模型服务商、插件作者、GitHub、Cloudflare、NapCat 或其他平台。
3. 隐私询问或删除请求可通过 [GitHub Issues](https://github.com/diceframe/diceframe/issues) 联系。请仅描述问题，不要在公开 Issue 中附上安装令牌、API Key、访问密码、私人聊天或完整存档；需要核验时，维护者会提供更安全的后续方式。

## 10. 政策更新

当处理目的、数据种类或共享方式发生实质变化时，DiceFrame 将更新政策版本，并在软件中重新提示确认。不同语言版本不一致时，以简体中文版本为准。用户不同意更新后的必要条款时，可以停止使用相关在线功能；本地开源许可权利不因此被撤销。