• 访客。每部手机、每个浏览器第一次打开时，都会生成一个随机设备 ID 和自己的密钥，不需要帐号。访客就是这些。服务器记下设备 ID、它的公钥、访问令牌的哈希、设备名称、一个简短的型号标签（比如“Chrome on macOS”）、语言、最近在线时间；如果你允许通知，还有它的推送订阅。
• 邮箱登录。你填邮箱，我们发一个 6 位验证码，10 分钟内有效。邮件由腾讯云 SES 发出。我们存你的邮箱地址和验证码的带密钥哈希，从不存验证码本身。密码可设可不设；设了也只存加盐的 scrypt 哈希。登录尝试按每小时和每 15 分钟限次，尝试记录最多保留 24 小时。
• 名字。你设的名字（最多 40 个字符）会显示给你所在频道的人，也显示在你发布的示范上。
• 配对设备。扫另一部手机的二维码时，配对密钥就在二维码里。两部手机在同一个帐号下，或通过频道配对时，由服务器生成密钥并经 HTTPS 发给它们。服务器记下哪些设备属于哪个帐号。

我们在加“使用 Google 登录”，作为证明邮箱归你的另一种方式。现在还没上线。上线后：

• Google 发给我们一个签名令牌。我们读取：你的 Google 帐号 ID（sub）、邮箱地址、 Google 是否验证过这个邮箱，以及 Google Workspace 域名（hd，如果有）。未验证的邮箱一律拒绝。令牌里也可能带着你的名字和头像，我们不读也不存。
• 我们把 Google 帐号 ID 和那个邮箱存在你的帐号旁边，只用来登录。Gmail 或 Google Workspace 邮箱会关联到同一邮箱的 pose.video 帐号；其他邮箱要先用邮件验证码确认。
• 随时可以在 设置 › 帐号 里解绑 Google，邮箱验证码登录照常可用。重置帐号会保留这个关联；注销帐号会删掉它。
• 网页上，只有登录页面和 设置 › 帐号 页面会加载 Google 的登录脚本。其他页面不从 Google 加载任何东西。

• 录像（相机或屏幕，带声音）和你导入的视频。手机在录制中和录完后自动上传。默认用任何网络。设置里有个开关，可以让视频上传和转换等到连上 Wi‑Fi（不计流量的网络）或充电时再进行。这些文件存在腾讯云对象存储（COS）硅谷地域（美国）。
• 其余的一切存在我们的数据库里（Azure PostgreSQL，美国西部）：录像封面帧、讲解、标记和标记语音、片段备注、对讲文字、语音和图片、转写、翻译、视频文档、总结、名字和设置。
• 实时预览。已配对的手机或浏览器打开某台相机的取景时，实时画面（开了声音的话还有声音）经附近的直连或经我们的服务器传过去。不会被录下来。
• 数据走 HTTPS 传输。存储的文件不是端到端加密，所以我们的服务器能读取它们，用来播放、转写和总结。
• 遥控。设备之间连不上时，它们之间带签名的录制指令和时钟同步消息会经过 Agora 的实时消息服务。这些消息带设备、会话和录制 ID，不含视频。
• 网页通知。如果你允许对讲通知，服务器会通过你浏览器的推送服务发送（比如 Google、Apple、Mozilla、 Microsoft 的推送服务）。内容是加密给你的浏览器的。

• 频道成员。频道里的录像、对讲消息、转写、翻译和总结，频道成员（最多 16 人）都看得到。成员看的是原片。
• 频道链接和邀请码。谁拿到频道链接（pose.video/c/…）或邀请码，只要还有空位就能加入。只发给你想让进来的人。
• 公开频道。设成公开的频道，任何用邮箱登录的人都能搜到并加入。
• 示范。发布到示范的视频，所有 pose.video 用户（包括访客）都看得到：带声音的视频、封面、标题、字幕、来源链接和你的名字。任何人都能改名、改链接、把它移进示范回收站或恢复。
• 把你的手机当相机。默认情况下，你频道里的其他成员可以在你的手机上开始录像，也可以打开它的实时预览。在 设置 ›“谁能用本机作相机”里修改。手机在录像时一定会显示一条通知；应用开着时还会显示录像画面。
• 除非你找我们帮忙，或为了保持服务运行，我们不看你的内容。

你在频道里发的文字、语音（最长约 30 秒）、图片和视频链接存在我们的服务器上。语音会自动转写，成员能看到翻译。简短的文字消息发送时还会生成一段朗读语音。消息、语音、转写和翻译一直保留，直到频道被删除。发送者或频道所有者可以撤回一条消息，撤回即删除。你发视频链接时，你的手机或浏览器可能会从那个网站（YouTube、哔哩哔哩、Vimeo、小红书、抖音、TikTok、Instagram 或 X）取回标题和封面图。

• 录像。删除录像会先进回收站，7 天内可以恢复。存储的文件会在你删除 7 天后删掉；如果选了“永久删除”，则在那之后 7 天。你没删的录像会一直保留，直到你删。发布成示范的录像，示范在就一直在。
• 示范移进示范回收站后，7 天内可以恢复，之后删除。
• 频道。频道先归档，然后任何成员都能删除。删除频道会删掉它的消息、语音、图片、转写、翻译、总结和成员名单，但不会删掉在频道里拍的录像、讲解和标记，那些要另外删。
• 重置帐号（设置 › 帐号）会让你所有设备登出，删掉密码、你拥有的频道、你的频道成员身份、片段备注和保存的对比。邮箱和名字保留。
• 注销帐号（用邮箱验证码确认）会删除帐号、它的邮箱和登录关联、密码、配对，以及你拥有的频道；你会退出加入的频道，你的设备变回访客。注销不会删除录像（它们留在拍摄的那部手机名下）、示范，以及你在别人频道里发的消息。请先删录像，再“永久删除”。
• 手机上，录像存在应用自己的存储里。你保存到相册的片段放在 Movies/Pose Video/，直到你自己删掉。

网页应用用相机、麦克风或屏幕之前，浏览器都会先问你：打开“录像”页时用相机；录像、语音消息和讲解用麦克风；讲解时你选的话用前置相机；选择录屏时用屏幕；扫二维码时用相机。

不设 cookie，没有统计，没有广告，没有第三方脚本或字体。唯一的例外是上面说的 Google 登录脚本：上线后，只在那几页加载。网页应用的数据存在你的浏览器里：设备密钥和令牌、你的设置、频道状态、对讲消息和图片、等待上传的录像、缩略图、标记、评论、讲解、示范列表，以及你打开或保存的视频的离线副本。登出只会忘掉你在哪些频道；录像、下载的副本、待发消息和设置会留着，直到你在浏览器里清除网站数据。

网站服务器会记录页面请求：IP 地址、时间、路径和请求头。这些日志按 5 × 10 MiB 轮转。应用接口的请求不记在这里。我们的服务器组件会记录事件，比如“频道已删除”“示范已发布”，带设备和频道 ID，从不记消息内容。这些日志最多按 3 × 10 MB 轮转。用频道链接加入时，你的 IP 地址会作为限流的键，约一小时内删除。我们不把日志和任何别的数据拼在一起。