隐私政策
版本日期：2026 年 10 月 13 日
BetterOne（以下简称“我们”）重视用户隐私。
本《隐私政策》说明 BetterOne Console Server（以下简称“本软件”）在软件使用、许可证激活、网站访问和技术支持过程中可能处理的信息以及相关用途。
1. 基本原则
我们的原则是：
仅处理提供软件、许可证激活、授权管理、安全维护和用户支持所合理需要的信息。
本软件作为 Console Server 运行时，主要业务功能在用户自己的计算机、服务器或 Raspberry Pi 等设备上执行。
当前软件不会自动向许可方上传配置、账户、运行日志或串口通信内容，也不会在后台定期联网验证许可证。只有管理员主动使用在线激活、续期检查或续期码兑换时，软件才会连接许可方的许可证服务器（见第 3 节）。远程客户端连接、用户主动提交支持资料及用户另行部署的代理或监控服务，应分别按其实际用途理解。
2. 软件本地处理的信息
本软件在用户部署设备上处理串口名称、COM 或 /dev/tty* 标识、USB VID/PID、USB 序列号和拓扑位置、网络监听地址、串口参数、协议开关、连接状态及运行诊断信息，用于设备发现、绑定、转发和故障诊断。
SQLite 数据库保存控制台配置、账户、角色、启用状态、登录及密码变更时间、会话版本、API Key 校验数据和审计记录。账户密码保存为带盐的 Argon2id 哈希；API Key 保存用于验证的 HMAC 数据，创建时明文仅返回一次。部署配置包含会话加密密钥和 API Key 校验所需的 pepper，应限制文件访问并妥善备份。
这些本地数据由部署者控制，不会因本地处理而自动发送给 BetterOne。
管理员可以在软件中主动生成“系统诊断信息”，用于联系客服。诊断信息未做脱敏，包含主机名、运行用户名、文件路径、明文的设备标识（主板 UUID、CPU 序列号、操作系统安装 ID 和软件生成的 UUID，许可证的设备身份就是由它们计算而来）、串口与 USB 序列号、网络监听地址、配置摘要和最近的运行日志（日志中可能有客户端 IP 地址、串口设备名和错误详情），不包含用户密码、API Key、会话加密密钥、API Key 校验所需的 pepper 和 SSH 主机私钥。软件只在管理员点击按钮并在确认框中确认隐私风险后才收集这些内容，并在确认框和报告开头提示其仅用于协助排查问题；软件不会自动上传，是否复制并发送给客服由用户决定。每次生成都会写入审计记录（不保存报告内容），报告开头带有该记录的编号，万一外泄可据此查到生成者和时间；请不要把报告和许可证文件一起发送。我们收到诊断信息后，仅用于诊断和解决该用户提出的问题。
3. 许可证信息与联网情况
许可证在本地验证和保存，软件不会在后台定期联网验证许可证。管理员主动使用在线激活、续期检查或续期码兑换时，软件会连接 settings.toml 中 license_server 指定的许可证服务器；该设置为空时，软件不会向许可证服务器发起请求。
许可证文件包含许可证编号、授权逻辑串口数量、设备标识（主板标识、操作系统安装 ID 和软件生成的 UUID 的加盐哈希，可能缺少前两项中的一项）、维护覆盖日期和签名信息，不包含原始的 UUID、CPU 序列号或安装 ID。软件读取这些信息以判断授权；已认证请求可查询相关许可证详情，匿名接口仅提供经过裁剪的授权状态。
在线激活时，软件向许可证服务器发送用户输入的激活码、本机的设备标识哈希、主机名、操作系统和处理器架构（如 linux/arm64）和软件版本，用于签发并绑定许可证、识别设备和限制设备数量；续期检查时，发送本机已保存的许可证文件和设备标识哈希，不需要激活码；兑换续期码时，还会发送用户输入的续期码。服务器据此返回新的签名授权文件。激活码仅用于激活，软件不会将其保存在设备上。
用户通过邮件申请许可证或支持时，BetterOne 会接收用户主动提交的订单、联系信息和（离线激活时）离线请求文件。离线请求文件包含激活码、设备标识哈希、主机名、软件版本、随机数和生成时间，由用户自行转交，软件不会自动发送。
4. 设备标识
当前设备身份由三个来源组成：主板标识（Windows 读取 SMBIOS UUID；普通 Linux 读取 DMI UUID，在不可用时尝试 CPU 序列号；Raspberry Pi 读取 CPU 序列号）、操作系统安装 ID（Windows 的 MachineGuid，Linux 的 machine-id）和软件首次安装时随机生成的 UUID（保存在配置文件或数据目录的运行时身份文件中，并尽可能另存机器级副本）。各来源经规范化后分别与产品盐一起计算 SHA-256 哈希，用于本地许可证匹配和在线激活。软件同时还会随激活请求发送主机名（只用于方便人工识别设备，不参与匹配）和操作系统与处理器架构。
原始的 UUID、CPU 序列号和安装 ID 不会发送给许可证服务器，许可证文件和激活请求里只有它们的哈希，也不会由匿名或普通接口返回。唯一的例外是“系统诊断信息”：它是管理员主动生成、未做脱敏的报告，其中包含这些明文标识，用于联系客服排查问题；程序不会自动上传，是否发送由用户决定，请只提供给您联系的客服人员，不要公开发布。设备标识哈希仅向已认证请求提供，仍应作为设备识别信息妥善处理，不能视为匿名数据。
许可证服务器收到设备标识哈希后，可用于签发、核实或迁移许可证、限制设备数量。该信息不用于广告画像。
5. 离线激活与手动导入
没有网络的设备可以在软件中生成离线请求文件，由用户在有网络的计算机上传到我们的网站换取许可证文件，再导入软件；也可以通过邮件或双方约定的渠道提供订单及必要联系信息，由我们签发完整许可证后安装。离线设备不会因为本地许可证验证而自动向我们发送网络数据。
每次生成的离线请求文件都包含新的随机数，同一个请求文件只能成功使用一次。
6. 串口及终端数据
软件在串口设备与获准连接的客户端之间转发终端命令、输出及业务字节流。当前没有内置终端会话录制或终端正文持久化功能，审计记录也不保存终端载荷；必要的转发缓冲在进程运行时处理。
软件不会为商业授权向 BetterOne 上传终端内容。连接到 Console Server 的客户端会收到其会话中的串口数据；用户另行使用的终端工具、代理或监控系统可能自行记录内容，应按其配置和政策处理。
用户主动提供截图、日志、配置或终端内容用于支持时，我们仅为分析和解决相关问题处理这些资料。提交前请移除密码、密钥、Token 和不必要的业务数据。
7. 技术支持
用户联系技术支持时，我们可能处理：
- 姓名或联系人名称；
- 公司名称；
- 联系邮箱；
- 订单信息；
- License Key；
- 软件版本；
- 操作系统版本；
- 错误日志；
- 崩溃信息；
- 用户主动提供的截图、配置和诊断信息；
- 与问题相关的通信记录。
这些信息用于：
- 确认用户身份或许可证状态；
- 诊断软件问题；
- 回应支持请求；
- 改进软件稳定性。
8. 购买信息
如果用户通过第三方支付平台、软件销售平台或应用商店购买本软件，支付过程可能由相应平台处理。
第三方支付平台可能处理：
- 姓名；
- 邮箱；
- 地址；
- 银行卡；
- 支付账户；
- 税务信息；
- 订单信息。
我们通常只接收完成订单和许可证交付所必要的信息，例如：
- 订单编号；
- 产品；
- 支付状态；
- 客户名称；
- 客户邮箱；
- 国家或地区；
- 购买时间；
- 退款状态。
完整银行卡号、安全码等支付凭证通常由支付服务商直接处理，而不是由本软件保存。
第三方平台的数据处理同时受到其自身隐私政策约束。
9. 本地日志与审计
部署设备的审计数据库记录 Web 登录结果、敏感写操作以及 SSH 认证结果，包括服务端 UTC 时间、操作类型、操作者身份和角色、来源 IP、请求 ID、目标路径及结果；Web 操作还包含 HTTP 状态码。来源 IP 为实际连接地址，经代理部署时可能是代理地址。
审计不保存密码、Cookie、API Key 明文、许可证原文及签名、请求或响应正文、终端内容，也不保存配置字段的前后差异。普通查询、状态轮询和 WebSocket ticket 签发不产生审计写入。应用运行日志可能包含启动、监听、设备和错误诊断信息，以及客户端接入控制台的连接记录（控制台编号、协议、客户端 IP 地址和端口、经认证的用户名、连接时长、断开或被拒绝的原因）。连接记录只写入程序日志，不写入数据库或审计记录，不包含串口收发内容；同一客户端因同一原因被拒绝的记录会合并限频。日志由部署者负责保存、轮转和访问管理，保存期限由部署者决定。
上述日志位于用户部署环境，并非自动上传到 BetterOne 的服务端日志。当前没有软件自动上报的在线激活日志或遥测收集服务。用户通过 GitHub、邮件或购买渠道联系时，相应平台的服务日志由平台按自身政策处理。
10. 我们不会做什么
除非未来另行明确告知并依法取得必要授权，我们不会将通过许可证系统获得的信息用于：
- 出售个人信息；
- 出售用户设备信息；
- 根据串口通信内容建立广告画像；
- 向广告商提供用户终端内容；
- 未经授权监控用户 Console Session；
- 未经授权获取用户管理设备中的数据。
11. 信息共享
我们不会出售用户个人信息。
仅在以下情况下可能向第三方提供必要信息：
服务提供商
例如：
- 支付服务商；
- 云服务器提供商；
- 邮件服务商；
- 错误监控或安全服务提供商。
这些仅是可能涉及的服务类型，不表示当前软件集成了云端错误上报、在线授权或支付 SDK。实际购买或提交支持资料前，应按所采用渠道说明服务提供方及处理的信息；这些服务商仅应处理提供相应服务所必要的数据。
法律要求
如果适用法律、法院、监管机构或其他有合法权限的机关依法要求，我们可能在法律要求范围内提供相关信息。
企业交易
如果未来发生企业合并、收购、重组或资产转让，与本软件相关的数据可能随相关业务一并转移，并继续受到适用的数据保护义务约束。
12. 数据保存与删除
本地 SQLite 审计记录在有新事件写入时按小时批量清理，保留最近 90 天内最多 100,000 条；清理间隔内可暂时超过上限。日期判断依赖部署设备的系统时间，错误校时可能影响保留结果。当前无修改或删除单条审计记录的 API。
本地账户、配置、API Key 校验数据和许可证没有统一自动到期删除规则；账户及 API Key 可由管理员按相应功能删除，其他文件、运行日志和备份由部署者管理。删除账户不会同步删除既有审计记录，备份副本也不会自动清除。
BetterOne 仅接收用户主动提交的许可证申请、订单或支持资料。许可证交付记录的保存依据为核实已购买使用权、补发及迁移；支持资料的保存依据为处理尚未关闭的问题及与之相关的后续核查，不为与该目的无关的用途保留完整终端内容。无需继续核实授权或处理问题、且无未结争议或法定保存义务时，应删除或去标识化相关资料。
具体订单的财务保存要求、销售渠道及支持记录保留安排应在购买或提交资料前明确告知。用户可通过联系邮箱询问保存情况或提出删除请求；需依法保留或为未结事项保留的信息，将说明理由。
13. 数据安全
我们会采取合理的技术和组织措施保护所处理的数据，例如：
- 对实际使用的通信渠道配置相应保护措施；
- 权限控制；
- 服务器访问限制；
- 安全更新；
- 必要的日志和异常监控。
软件默认 HTTP/WS 监听并非内置 HTTPS/WSS，Raw TCP 和 Telnet 也没有应用层身份认证和加密。部署者应使用 SSH、网络隔离或自行配置 TLS 代理，并限制数据库、配置、密钥和备份文件的访问。
但是，互联网和计算机系统不存在绝对安全，因此我们无法保证任何电子数据传输或存储方式具有 100% 的安全性。
14. 本地部署
本软件的重要特点之一是主要功能可以部署在用户自己的设备和网络环境中。
在本地部署模式下，Console Server 的：
- 用户账户；
- 串口连接；
- 设备状态；
- 终端通信；
- 本地配置；
通常由用户自己的系统处理。
用户作为其自身环境的管理者，应负责其内部账户管理、员工权限及相关数据保护。
15. 企业用户
企业部署者负责其内部账户、访问授权、员工告知及本地数据保护。当前软件默认记录前述操作及认证审计，并未提供终端正文录制功能。
如企业另行通过终端客户端、代理或其他工具录制会话，应明确告知相关人员并按适用规则处理；不得将这些外部工具能力理解为本软件内置功能。企业应管理日志、备份及文件访问权限。
16. 用户权利
根据用户所在地适用的数据保护法律，用户可能享有查询、更正、删除或限制处理其个人信息等权利。
如需提出相关请求，可以通过以下联系方式与我们联系。
在处理请求前，我们可能需要采取合理措施验证请求人的身份及其与相关数据之间的关系。
17. 未成年人
本软件是一款面向计算机、网络、设备管理和企业应用场景的专业工具，并非专门面向儿童设计。
如果法律要求未成年人使用相关服务必须获得监护人许可，则应按照当地法律执行。
18. 第三方链接和服务
本软件或官方网站可能包含第三方网站、支付服务、软件下载平台或其他外部服务的链接。
这些第三方服务由相应第三方独立运营，其数据处理行为受其自身隐私政策约束。
19. 隐私政策更新
随着：
- 软件功能；
- 授权系统；
- 支付方式；
- 法律法规；
- 基础设施；
发生变化，我们可能更新本隐私政策。
重大变化将在官方网站、软件界面或其他适当渠道公布。
20. 联系我们
如对本隐私政策或个人数据处理存在问题，可以通过以下方式联系：
开发者：
BetterOne
官方网站：
https://github.com/better-one-top/serial-console-server
隐私联系邮箱：
技术支持邮箱：