本文档由英文原版机器翻译而成。如果翻译版本与英文原版之间存在任何冲突，请以英文原版为准。 阅读英文原版

隐私与数据：您的数据归您所有

Caiioo 为隐私而生。您的对话、API 密钥和文件都保留在您的设备上。始终如此。

我们对您的了解

只有极少的信息，均与您的已验证身份和订阅相关：

  • 您的电子邮件地址
  • 您的显示名称
  • 您的头像
  • 您的订阅状态（套餐、Stripe 客户 ID、活动/取消状态） — 以便我们将您引导至正确的账单门户

仅此而已。您可以使用 Google、Apple、Microsoft 或电子邮件登录 —— 无需输入许可证密钥。您的已验证身份足以使用该应用；您的套餐则来源于您的订阅。

我们不知道的内容

  • 您的对话或聊天历史记录
  • 您的 API 密钥
  • 您的文件或文档
  • 您的浏览历史记录
  • 您的设置或偏好
  • 您的位置（除非您明确允许）
  • 您搜索或创建的任何内容
  • 我们不运行第三方跟踪器或广告分析，也无法看到您的操作。唯一的用法信号是您可以控制的可选的匿名信号 —— 详见下文。

可选的匿名使用数据

您可以选择分享不包含内容的匿名信号，以帮助我们发现和修复可靠性问题 —— 例如某轮对话是成功还是遇到了特定类型的错误，以及您对回复明确的 👍/👎 反馈。它绝不包含您的对话、提示词、身份、IP 地址或任何在会话之间追踪您的标识符；自由文本字段在发送前会在您的设备上进行清洗；并且它仅限第一方 —— 没有第三方跟踪器。

  • 在欧洲经济区 (EEA)、英国和瑞士，默认保持关闭状态，直到您将其开启；在其他地区则默认开启，并提供一键关闭开关。
  • 您可以随时通过设置 > 隐私与诊断中的匿名使用数据开关进行更改。关闭意味着不发送任何内容。
  • 无论选择哪种方式，均无任何费用、折扣或功能差异 —— 您的选择立即生效。

数据流向说明

┌─────────────────────────────────────────────────────────────────────┐
│ 您输入内容 → Caiioo (在您的设备本地运行)                             │
│           ↓                                                         │
│     运行 AI、管理工具、处理文档                                     │
│           ↓                                                         │
│     → 发送至 AI 提供商 API (Claude, GPT 等)                         │
│     → 提供商处理 → 返回响应                                         │
│     → 响应保存在您的设备上                                          │
└─────────────────────────────────────────────────────────────────────┘

独立部分：Caiioo 认证服务器
├─ 可见：您的邮箱、姓名、头像 (用于授权验证)
├─ 不可见：对话内容、密钥、文件
└─ 仅处理：用于订阅检查的个人资料信息

核心结论： 对话内容和 API 密钥直接发送给 AI 提供商。Caiioo 服务器仅查看您的邮箱以进行授权验证。除此之外，不涉及任何其他数据。

API 访问 vs 消费级平台

ChatGPT.com, Claude.ai, Gemini —— 这些是消费级平台：

  • 您同意其条款，这些条款可能会保留对话用于训练或安全目的
  • 您的聊天记录默认存储在它们的云端
  • 您正在使用它们的基础设施

带有 API 密钥的 Caiioo —— 您使用的是开发者/API 条款：

  • 您直接向提供商付费（OpenRouter 或通过它访问的任何模型）
  • 您受其 API 协议约束，而非消费级条款
  • 对话保留在您的设备上，除非您明确同步它们
  • 许多提供商提供严格的数据处理：处理您的请求，然后将其删除

OpenRouter 的零数据保留 —— 适用于通过 OpenRouter 路由的 Claude 和其他模型：

  • 提供商看到请求，处理它，然后立即丢弃所有内容
  • 无保留、无日志、无训练数据
  • 就像对着一个在你一说完就失忆的 AI 窃窃私语

选择权在您手中。不同的舒适度对应不同的数据治理方式。

您的个性化配置如影随形

让 Caiioo 成为您的专属工具的所有要素都保留在您的设备上：

  • 系统提示词 —— 您为每个模式自定义的指令
  • 变量 —— 您定义的地理位置、时间、用户资料数据
  • 模式 —— 您自定义的 AI 人格
  • 技能 —— 您保存的、可重复使用的工作流
  • 记忆 —— AI 在不同聊天之间记住的关于您的信息

随时切换 AI 模型。您的设置不会改变。无供应商锁定。

随时导出： 您的自定义设置不会被困在某个提供商的生态系统中。它随您而动。

脱敏器

个人数据过滤器，在个人信息到达模型之前，将姓名、电子邮件、地址和其他身份识别信息替换为真实的虚假信息。在设备端运行。详见 脱敏器页面。

位置保留在您的设备上

如果您开启了位置共享（设置 > 个性化与隐私 > 个性化），Caiioo 会完全在您的设备上通过内置数据库将您的坐标转换为地名 —— 您的坐标绝不会仅仅为了给城市命名而与任何人共享。分为两个级别：

  • 共享城市位置 — 仅限大致区域（城市、州、国家）
  • 共享精确定位 — 增加社区、邮政编码和坐标

一个基于网络的可选估计值 —— 默认关闭 —— 可以在 GPS 不可用时进行填充；它是唯一连接第三方服务的定位选项，并且在复选框上已明确说明。

远程 AI 提供商

当您刻意选择本地聊天模型（在您的机器上运行的 Ollama 或 MLX）时，您是在做出一种隐私选择：您的对话将保留在您的设备上，远离任何远程 AI。Caiioo 尊重这一点。它不会仅仅因为某个工具的需要就悄悄地将您的数据发送到远程 AI。

某些工具本身是由 AI 驱动的且无法在本地运行——图像、视频和音乐生成、远程 OCR 以及 AI 网页搜索会路由通过远程 AI 提供商（OpenRouter、Google、Mistral、Perplexity）。当此类工具需要将您的数据发送到远程 AI 时，Caiioo 会暂停操作而不是直接继续。它会在聊天中显示一张批准 / 取消卡片，标明该工具及其将连接的提供商——这样您就可以在完全知情的情况下决定数据的去向。（仅抓取公开网页内容的工具不会触发此机制——界限在于是否将您的数据发送给远程 AI，而非一般的网络使用。）

  • 批准：系统会记住该提供商，之后不再就此询问。然后您需要重新发送消息以运行该工具——系统不会进行静默自动重试。
  • 取消：让您的聊天完全保留在本地模型上。不会发送任何内容。

您可以在 设置 → 个性化与隐私 → 远程 AI 提供商 下查看并撤销您已审核的任何提供商。每个已授权的提供商都有一个撤销按钮；撤销意味着下次需要该提供商的工具调用将再次提示您。

此界限仅在您的聊天模型本身是本地模型时适用。如果您已经在与远程模型聊天，您的数据已经发送到了该提供商，因此不存在需要跨越的新界限，也不会有提示。

私密同步加密的工作原理

私密同步（至 Google Drive）使用强加密：

AES-256-GCM 加密 — 军用级对称加密

  • 您的密码 → PBKDF2 哈希（100,000 次迭代）→ 加密密钥
  • 您的对话和设置在上传前会在本地加密
  • 加密后的数据块（blob）传输至 Google Drive
  • 您的密码绝不会离开您的设备

即使有人访问了您的 Google Drive，没有密码也无法读取您的数据。从数学上讲，解密是不可能的。了解更多关于私密同步的信息。

登录工作原理 (OAuth 安全)

Caiioo 使用 PKCE —— 一种专为无法保存密钥的应用设计的安全身份验证流程：

  1. 您点击登录
  2. 浏览器打开登录页面（我们看不到您的密码）
  3. 您向 Caiioo 授予权限
  4. 提供商发回一个令牌 (token)
  5. 令牌保留在您的设备上

OAuth 客户端密钥（如 Google 或 GitHub 的）不在应用代码中。它们存在于 Cloudflare Workers 上：

  • 密钥永远不会暴露给浏览器或您的设备
  • 提供商令牌通过安全服务器代理传输
  • 您获得安全、加密的连接

对于 iOS 和本地 API： PKCE 处理一切。无需中继。

您的数据存储在哪里

API 密钥

  • 仅存储在您的设备上
  • 绝不发送至 Caiioo 服务器
  • 当您发出请求时直接发送至 AI 提供商
  • 我们永远看不到、无法访问也不存储它们

对话

  • 默认存储在您的设备上
  • 可选通过私密同步同步到您的 Google Drive
  • 如果同步，在离开您的设备之前会进行加密（即使我们想看也无法读取）

设置

  • 存储在您的设备上
  • 如果启用，可通过私密同步进行同步

语音数据

  • 本地选项（Whisper、Kokoro、浏览器语音）：绝不离开您的设备
  • 云端选项（ElevenLabs、Cartesia、Resemble.ai、Gemini、OpenAI）：使用您的 API 密钥发送给这些服务（不通过 Caiioo）

删除您的数据

“设置” > “数据管理”提供日常维护和完全清除功能：

  • 清空回收站 — 已删除的线程会保留 30 天以便在设备间同步删除，之后会被移除；此操作会立即将其移除。
  • 数据保留 — 每日运行的可选自动清理功能：删除超过您指定天数的线程和附件，并可选择自动删除孤立文件。标记为“永久保留”的项目绝不会被触及。
  • 清除所有存储 — 永久删除设备上的所有 Caiioo 数据：线程和消息、附件和文件、技能、设置、自定义模式和已安装的应用、记忆、提醒、MCP 服务器以及工具批准。您的 API 密钥和已连接的账户会被保留，除非您同时勾选了“同时删除 API 密钥和已连接的账户”。您需要输入“PURGE”进行确认。

如果开启了私密同步，清除后同步的数据将从您加密的云端副本中再次下载。若要彻底删除所有内容，请同时使用“设置”>“私密同步”中的删除所有云端网盘数据。

注销账户

想要注销您的账户？请前往我们网站上的账户页面（根据 Apple 的要求，iOS 应用中也有链接）。这将删除您的个人资料、登录凭据、AI 额度余额、加密的预设 OpenRouter 密钥。出于安全考虑，将保留最少的审计日志。

完全控制

随心所欲地组合：

  • 使用云端 AI 配合本地语音 ✓
  • 使用本地 AI 配合云端备份 ✓
  • 完全离线使用 ✓
  • 仅使用云服务 ✓

这是您的设置。由您决定什么最舒适。

完全透明

阅读我们的 隐私政策 以获取完整的技术细节。查看 使用条款 以了解使用条款和 API 密钥政策。

有问题吗？我们随时为您提供帮助 — 查看 故障排除 或联系我们。

This guide is maintained by the Caiioo team using Slate, our built-in editor.