本文档由英文原版机器翻译而成。如果翻译版本与英文原版之间存在任何冲突，请以英文原版为准。 阅读英文原版

Caiioo 隐私政策

**最后更新日期：**2026年10月21日

30 秒速览

您的隐私完全由您掌控。 Caiioo 是一款 AI 平台，可让您在多种环境中运行相同的功能——包括浏览器扩展程序、macOS、iOS、Android 以及 PC 桌面应用程序。这些应用程序旨在让您对数据的处理方式拥有完全的自主选择权，它们通过利用您设备上的安全本地处理和存储资源来执行所有存储与编排。各平台上的用户界面保持一致，并提供相似的隐私和安全选项，不过具体功能会因环境而异（例如，浏览器扩展程序无法直接与您的操作系统进行交互）。

  • **完全本地化选项：**通过本地提供商在您的设备上运行 AI 模型，使用本地语音识别和文本转语音（Kokoro、Whisper），并将所有内容存储在本地——任何数据均不会离开您的设备。
  • **云端 AI：**使用强大的云端 AI 模型、基于云的语音服务（ElevenLabs、Resemble.ai）以及向 Google Drive 进行加密备份——所有数据的流向完全透明。
  • **语音朗读与转录器：**Caiioo 为文本朗读和语音转录同时提供本地与云端选项——包括内置的浏览器语音、ElevenLabs、Resemble.ai、用于转录的本地 Whisper 模型，以及本地 Kokoro 神经朗读器。
  • **自由混搭：**选择云端 AI 配本地语音，或者本地 AI 配云端备份。完全由您决定。

我们（公司）收集的内容：您的电子邮件地址、显示名称和头像图片——用于在许可与订阅方面识别您的身份，并向您发送我们向您发送的电子邮件中所述的账户和产品消息。我们还会保留登录及其他账户安全事件的记录，以及您选择发布的任何页面；详情请参阅我们（公司）收集的内容。应用程序还会向我们的更新服务器检查新版本；该检查在软件更新中有所说明，且不携带任何标识符。

**我们不收集的内容：**您的对话、浏览历史记录、API 密钥、文件、设置或您创建或查看的任何内容。唯一的例外是您选择公开发布为网页的对话或文档。

**网站分析：**我们的营销网站（caiioo.ai）使用 Google Analytics 来衡量流量。在欧盟/英国/瑞士，在您同意之前，所有跟踪均会被阻止。在加利福尼亚州，在您同意之前，分析功能均会被阻止。

应用使用情况分析：Caiioo 应用程序包含可选的匿名使用情况分析。这些功能在所有地区均默认关闭，并需要您明确选择启用。我们绝不会通过使用情况分析收集您的对话、提示词、身份、IP 地址或任何固定的设备标识符。自由文本字段在离开设备之前已在本地完成清理。您可以随时在“设置”中将其关闭。此选择不涉及任何收费、折扣或应用功能的变更——无论您是否参与，应用的功能完全一致。详情请参阅下文的应用使用情况分析。

**应用程序为您做些什么：**应用程序运行在您的设备上，充当您的个人工具。它们在本地存储您的数据，代表您连接至 AI 提供商及其他服务——通常使用您自己的凭据（例外情况请参阅第三方服务）——并处理您的请求。当应用程序向云服务发送数据时，这完全是在响应您的请求。

**详细信息见下文。**本声明解释了我们收集的内容、应用程序处理您数据的方式、所涉及的每个第三方服务以及您拥有的各项选择。

理解“我们”与“应用程序”

本隐私声明对 Caiioo 公司（“我们”、“我们的”）与 Caiioo 软件（“应用程序”、“软件”）进行了区分。这一区分非常重要：

Caiioo 公司是开发并分发该软件的组织。我们仅对我们直接收集的极少数数据充当数据控制者：您的电子邮件地址、显示名称和头像图片，这些数据用于识别您的身份以进行许可和订阅管理，以及向您发送我们向您发送的电子邮件中所述的信息。

Caiioo 应用程序是在您的设备上运行的软件。它们不是数据处理者，因为它们不是个人或组织——它们是在您的控制下运行的工具。当应用程序存储您的对话、读取网页或连接到 AI 提供商时，它们是在您的指示下，在您的设备上，为您执行这些操作。应用程序是作为您的代理人运作，而不是我们的代理人。

Caiioo 提供浏览器扩展（Chrome、Edge、Brave、Safari 及其他 Chromium 浏览器）、桌面应用程序（macOS、Windows、Linux）和移动端应用程序（iOS、Android）。所有平台均提供相同的核心功能和隐私选择，但也存在平台特有的差异（例如，浏览器扩展在浏览器沙盒内运行，无法直接与您的操作系统交互，而桌面和移动端应用程序在获得您许可的情况下，可以访问日历和提醒事项等原生系统功能）。

为什么这很重要：

  • 当我们请求权限时（例如浏览器权限、日历访问权限），这些权限是为了让应用程序为您执行操作——而不是为了让我们访问您的数据。
  • 应用程序的本地数据（对话、设置、文件）属于您并保留在您的设备上。我们无法访问这些数据。
  • 当应用程序连接到第三方服务（AI 提供商、Google API 等）时，它们是作为您的客户端代表您进行连接——通常使用您自己的凭据，且无需我们作为中介。例外情况在第三方服务中说明。

本声明涵盖两方面内容：我们（公司）收集哪些数据，以及应用程序（软件）如何在您的设备上处理数据，以便您可以对自己的隐私做出明智的决定。

概述

Caiioo 是一套 AI 工具，提供浏览器扩展、桌面应用程序（macOS、Windows、Linux）和移动应用（iOS、Android）。我们致力于保护您的隐私。本政策解释了我们（公司）收集哪些数据、应用程序（软件）在您的设备上处理哪些数据，以及您对这两者的权利。

核心原则：您的数据默认保留在您的设备上。 Caiioo 的设计以隐私为核心原则。我们不运行从应用程序收集您数据的服务器，也无法访问您的对话、浏览历史记录或个人信息。应用程序是设备端软件，让您完全控制使用哪些云服务、访问哪些网站以及由哪些 AI 模型驱动您的体验。

数据收集与存储

我们（公司）收集的内容

我们出于许可授权和账户管理目的收集极少量的必要信息：

数据 目的 存储位置
电子邮件地址 账户识别与许可验证 Caiioo Private Relay (Cloudflare)
显示名称 账户识别 Caiioo Private Relay (Cloudflare)
头像图片 账户展示 Caiioo Private Relay (Cloudflare)
订阅/账单记录 支付处理 Stripe / Caiioo Private Relay
已注册设备（随机设备 ID、设备类型以及设备上次连接时间） 通过您的单租户中继在您的各设备之间传递您自己的对话 Caiioo Private Relay (Cloudflare Durable Object，每个账户一个)
登录及账户安全记录（每次登录、拒绝登录、注册、退出登录、密码重置、验证码、设备登录链接以及账户注销）：时间、事件及其结果、登录方式、您的用户 ID，通常还包含您的电子邮件地址；对于使用 Google、Microsoft 或 Apple 登录、设备登录链接以及账户注销，还包括您的 IP 地址和浏览器 User Agent 保护您的账户安全，调查登录失败及滥用行为，并履行我们的安全与合规义务 Caiioo Private Relay (Cloudflare)
令牌刷新被拒记录（当 Google、Microsoft 或您连接的其他服务拒绝续订 Caiioo 的访问权限时）：时间、您的用户 ID、对应服务以及该服务返回的错误代码——绝不包含令牌 发现并修复已失效的连接 Caiioo Private Relay (Cloudflare)
您发布的页面（您选择作为网页发布的对话或文档） 向您分享的对象展示该页面 Caiioo Private Relay (Cloudflare)
软件更新计数（每日：应用类型、应用版本、运行的 build 版本——仅为数字，不含任何设备或账户标识符） 了解每个版本的安装量以及活跃使用量 Caiioo Private Relay (Cloudflare Analytics Engine)

**以上便是我们持有的关于您的全部数据清单；**最后一行中的更新计数仅为统计数字，并非关于您的个人记录。我们不会收集也无权访问您的对话、浏览历史、文件、设置、API 密钥或您在应用中创建或查看的任何内容，除非您主动选择发布某个页面。当您连接某些服务时，登录和令牌请求在发送至该服务的途中会途经我们的服务器；我们绝不会存储或记录其携带的令牌。

**您发布的页面：**当您将对话或文档发布为网页时，其内容会以我们可读取的形式存储在我们的分享服务上，直到您将其下架或页面过期。您可以在发布时选择过期时间：1 小时、24 小时、7 天或 30 天后，如果您的套餐包含永久页面，也可以选择永不过期。任何拥有链接的人均可查看公开页面，并且只有在您发布时明确允许的情况下，搜索引擎才会收录该页面。您与指定人员或组织分享的页面，仅限他们在登录后方可查看。若要删除页面，请打开 Settings → Shared pages 并选择 Take down（对于与指定人员分享的页面，则选择 Revoke access）；其链接将在大约一分钟内失效。

应用在您设备上存储的内容

以下数据由您设备上的应用进行管理。这是属于您的数据，完全由您控制——我们无权访问这些数据，且这些数据绝不会传输到我们的服务器：

数据类型 目的 存储位置
对话历史 显示您在所有会话中的聊天记录 浏览器存储 / 应用数据文件夹
用户资料 存储您的姓名、地址、电子邮件、电话和自定义变量 浏览器存储 / 应用数据文件夹
个人指令 记住您的偏好设置和上下文 浏览器存储 / 应用数据文件夹
模式配置 自定义模式、系统提示词和工具设置 浏览器存储 / 应用数据文件夹
API 密钥 (BYOK) 用于 AI 服务认证（OpenRouter/本地提供商） 浏览器存储 / 应用数据文件夹
Google OAuth 令牌 用于 Google 服务认证 浏览器存储 / 应用数据文件夹
界面偏好设置 主题、字号、色彩色调 浏览器存储 / 应用数据文件夹
技能库 您创建的自定义提示词模板 浏览器存储 / 应用数据文件夹
附件与文件 您上传的文档、图片和文件 浏览器存储 / 应用数据文件夹

各平台特定的存储位置：

  • 浏览器扩展（Chrome、Edge、Brave 等）： Chrome 的 chrome.storage.local API
  • 桌面应用（macOS、Windows、Linux）： ~/Library/Application Support/caiioo/ (macOS)、%APPDATA%/caiioo/ (Windows)、~/.config/caiioo/ (Linux)
  • 移动端应用（iOS、Android）： 应用沙盒本地存储

加密私有同步备份（可选）

应用提供向 Google Drive 进行加密备份的可选功能。此功能完全由用户自主选择启用，默认处于停用状态。

工作原理：

  1. **加密：**在任何数据离开您的设备之前，应用会使用 AES-256-GCM 加密对其进行加密，加密密钥由您的密码通过 PBKDF2 派生得出。
  2. **上传：**应用将加密数据上传到您个人 Google Drive 中的 Caiioo 文件夹。
  3. **零知识：**我们绝不会看到您的加密密码或未加密数据。甚至 Google 也无法读取您备份的数据——他们仅存储加密数据块 (blobs)。

可备份的内容：

  • 对话历史与会话
  • 用户资料与设置
  • 自定义模式与技能
  • 附件与文件

隐私控制：

  • 由您选择是否启用备份
  • 由您掌握自己的加密密码
  • 您可以随时从 Google Drive 中删除备份
  • 备份与您的 Google 账户关联，而非与 Caiioo 关联

**数据流向：**您的设备 → AES-256 加密 → Google Drive。应用完全在您的设备本地处理此流程。我们的服务器绝不参与备份过程。

网站分析与 Cookie

Google Analytics（仅限网站）

我们的营销网站（caiioo.ai）使用 Google Analytics 4 来了解访客如何查找和使用该网站。这仅适用于网站。此外，Caiioo 应用提供可选的、匿名的、第一方使用情况分析——详见下文的应用使用情况分析（可选）。网站的 Google Analytics 与应用的使用情况分析完全相互独立：应用不使用 Google Analytics 以及任何其他形式的第三方分析。

  • 收集的数据： 页面浏览量、引荐来源、国家/地区级别的位置、设备类型和浏览器类型
  • 不收集的数据： 您的姓名、电子邮件、IP 地址（由 Google 进行匿名化处理）或来自 Caiioo 应用的任何数据
  • Google Analytics 设置的 Cookie： _ga、_ga_*（用于区分访客和会话）
  • 其隐私政策： https://policies.google.com/privacy

Cookie 同意（Google Consent Mode v2）

我们使用 Google Consent Mode v2 根据您所在的地区遵循您的 Cookie 偏好设置：

  • 欧洲经济区（EEA）、英国和瑞士（GDPR）： 所有分析和广告 Cookie 默认会被阻止，直到您通过我们的 Cookie 横幅明确表示同意。您可以接受全部、拒绝全部，或自定义允许的 Cookie 类型。
  • 加利福尼亚州（CCPA）： 分析 Cookie 默认会被阻止，直到您同意。广告 Cookie 默认允许。
  • 所有其他地区： 默认允许 Cookie。不显示横幅。

您可以随时通过在浏览器设置中清除 pf-consent Cookie 来更改您的 Cookie 偏好设置。

我们设置的 Cookie

Cookie 用途 有效期
pf-locale 记住您的语言偏好 1 年
pf-country 您的国家/地区代码（来自 Cloudflare 边缘），用于在受监管地区显示同意横幅 24 小时
pf-consent 您的 Cookie 同意偏好（例如，您接受或拒绝的 Cookie 类型） 1 年
pf_auth_token 如果您登录 Caiioo 账户所需的身份验证令牌 会话

应用中无第三方分析

需要明确的是：Caiioo 应用不包含任何第三方分析或追踪。 Google Analytics 仅用于营销网站。应用的可选使用情况分析（见下文）仅限第一方——它们运行在我们已经运营的同一 Cloudflare 基础设施上，不涉及 Sentry、Bugsnag、Datadog、Mixpanel、Google Analytics 或任何其他第三方分析服务。

应用使用情况分析（可选）

Caiioo 应用包含一个可选的匿名使用情况分析功能，旨在帮助我们修复错误并决定开发哪些功能。它旨在为我们提供产品信号，而无需识别您的身份或查看您的操作。

适用时间。 本节自发布之日起生效。由于使用情况分析是可选的且可拒绝，且不影响应用的功能，我们会在该功能可用时立即通知您，而不是提前数周通知。在任何地区，在您明确选择加入之前，都不会通过使用情况分析发送任何内容。

分阶段推出。 我们将分阶段开启此功能。不包含内容的信号（运行了哪个模型/工具/功能、成功或失败、点赞或点踩）将首先推出。包含您输入的文本的部分（反馈意见和错误报告中的诊断日志）仅在我们在实地验证了设备端清理功能能够在任何内容离开您的设备之前可靠地删除个人信息之后，才会进行收集。在证明该清理功能有效之前，我们不会声称文本字段在发送前已被清理。

您的选择与控制方式

  • 所有地区： 使用情况分析默认关闭。我们在首次启动时会询问是否开启。除非您明确选择加入，否则不会发送任何内容。
  • 现有安装： 如果我们无法验证以前启用的设置是否来自明确的选择，则分析功能将保持关闭状态，直到您重新做出选择。先前明确拒绝的选择将被保留。
  • 所有地方： 您可以随时在设置 → 隐私与诊断中开启或关闭使用情况分析。关闭它和开启它一样简单。
  • 无奖励，无惩罚： 我们不会以分享使用数据为由提供任何折扣、付款、积分或额外功能，也不会在您拒绝时收取更多费用、扣留功能或降低应用性能。无论您如何选择，应用的功能完全相同。

法律依据

如果此功能根据 GDPR、英国 GDPR 或瑞士 FADP 适用于您，我们的法律依据是您的同意（GDPR 第 6 条第 1(a) 款），您可以随时撤回该同意，但这不影响撤回前基于同意进行的处理的合法性。使用情况分析对于履行我们与您的合同并非必需 —— 这就是为什么无论您是否参与，应用都完全功能正常。

使用情况分析收集什么

这些数据是匿名的且不包含内容 —— 使用事件绝不包含您发送的提示词或收到的回复、您的附件，或者您创建或查看的任何其他内容。我们最依赖的信号仅包含架构 —— 枚举、计数和不含自由文本的区间。极少数可能包含您输入的文本的字段（错误消息、反馈意见和错误报告日志）会在发送前在您的设备上进行清理，使用的是保护您与 AI 模型对话的同款设备端检测技术；根据上述分阶段推出计划，在设备端清理在实地得到验证之前，我们不会收集这些包含文本的字段。具体而言，使用情况分析可能包括：

  • 使用事件 —— 使用了哪个 AI 模型、工具、模式或功能；操作是成功还是失败；延迟和大小的粗略“区间”（绝非精确值）；会话长度区间；以及应用的运行时（扩展、桌面、移动端）
  • 错误事件 —— 标准化的错误类别、经过清理的错误消息和堆栈（仅限函数/文件名），以及发生错误的模块
  • 反馈 —— 对 AI 回复的点赞或点踩，以及在发送前会在您的设备上进行清理的可选简短评论
  • Hub 软件包事件 —— 安装/卸载/使用可选的 Hub 软件包，用于支持安装计数和可靠性追踪
  • 错误 reports —— 仅在您明确点击“发送错误报告”时；包含您可以在发送前审查的经过清理的诊断日志

所有事件仅携带天级日期（YYYY-MM-DD）—— 绝无精确的时间戳 —— 且没有在应用启动之间持久存在的标识符，因此事件无法与您的身份关联或追溯到您。

使用情况分析绝不收集什么

  • 对话、提示词、AI 回复、附件或文件内容
  • API 密钥、OAuth 令牌、许可证密钥或任何凭据
  • 您的身份、电子邮箱、账户 ID 或个人资料名称
  • 您的 IP 地址（Cloudflare 在我们的代码看到请求之前就会将其删除）
  • 任何稳定的设备指纹或持久的客户端 ID
  • 精确的时间戳（事件仅携带天级日期）
  • 您访问的 URL、浏览历史或页面内容
  • 文件名、文件夹名称或操作系统账户名称

数据的去向与保留期限

使用情况分析数据作为第一方数据存储在我们现有的 Cloudflare D1 数据库中，仅限 Caiioo 团队访问 —— 没有第三方分析供应商。我们仅在数据有用时予以保留，之后会自动将其删除：使用事件最多保留 180 天，错误事件保留 90 天，反馈最多保留 365 天，错误报告保留 30 天，Hub 安装/卸载计数则持续进行（单个使用/错误事件保留 90 天）。

错误报告始终由您决定

即使开启了使用情况分析，错误报告和崩溃详情也绝不会自动发送。它们仅在您在对话框可见的情况下点击“发送错误报告”时才会发送，并且您可以在发送前审查确切的（经过清理的）内容。

第三方服务

这些应用程序根据您的指示并代表您连接到各种第三方服务。除下文所述的情况外，它们使用您的凭据并直接从您的设备与各项服务通信，我们（本公司）不是这些数据流的中介。

我们将这些归类为用户主导的集成：用户通过充当其本地客户端软件的应用程序，使用自己的账户和凭据直接连接的服务。Caiioo 提供集成脚手架（OAuth 客户端配置、API 包装器、UI），但连接由您发起，您同意各项服务自身的条款，且数据直接在您的设备与该服务之间流动。对于您与用户主导的服务之间交换的数据，本公司既不是数据控制者，也不是数据处理者。

例外情况包括我们的许可证验证服务（见下文说明），这是由本公司运营的基础设施，在此服务中我们是数据控制者；Caiioo 的免费 AI 服务和 Caiioo 提供的密钥，这些使用 Caiioo 自己的 OpenRouter 账户（请参阅 OpenRouter API）；以及 Google 登录，该过程会经过我们的服务器（请参阅 Google APIs）。

OpenRouter API

当您使用云端 AI 功能时，这些应用程序会将您的消息发送至 OpenRouter (openrouter.ai)，后者会将请求路由至各个 AI 模型提供商（Anthropic、OpenAI、Google、Meta 等）。

  • **应用程序发送的内容：**您的对话消息、系统提示词以及您明确与 AI 共享的任何页面内容
  • **不会发送给我们的内容：**如果您使用自己的密钥，应用程序会将其直接发送至 OpenRouter——我们永远不会看到它。Caiioo 的免费 AI 服务和 Caiioo 提供的密钥使用 Caiioo 自己的 OpenRouter 账户；应用程序仍会直接从您的设备将消息发送至 OpenRouter，而不会经过我们的服务器。
  • **用户个人资料数据：**您的个人指令和个人资料变量（姓名、位置等）包含在应用程序发送给 AI 模型的系统上下文中，用于实现个性化回复
  • **通过 OpenRouter 路由的服务：**Perplexity 研究查询、图像生成请求和其他 AI 模型请求均通过 OpenRouter 进行路由
  • 其隐私政策：https://openrouter.ai/privacy

Perplexity（研究 - 可选）

应用程序可以使用 Perplexity 进行深度研究和网络搜索。Perplexity 请求通过 OpenRouter 进行路由。

  • **应用程序发送的内容：**您的研究查询以及您提供的任何上下文
  • **不会发送的内容：**您的完整对话历史记录或个人资料
  • **目的：**提供带有来源引用的 AI 驱动型网络研究
  • **路由方式：**请求通过 OpenRouter 发送（见上文）
  • 其隐私政策：https://www.perplexity.ai/privacy

图像生成服务（可选）

当您使用图像生成功能时，应用程序会将您的提示词发送给图像模型提供商。图像生成请求通过 OpenRouter 路由。

  • **FLUX.2：**通过 OpenRouter 由 Replicate 或其他托管提供商提供
  • **Google Gemini：**通过 OpenRouter 借助 Google 的 API 进行图像生成
  • **Seedream 及其他：**通过 OpenRouter 访问的各种提供商

**发送的内容：**您的图像生成提示词以及您提供的任何参考图像 **不会发送的内容：**对话历史记录、个人数据或无关内容

Apple 集成（macOS/iOS - 可选）

在 Apple 平台上，应用程序可与 Apple 原生服务集成：

  • **Apple 日历：**通过 EventKit 读取和创建日历日程
  • **Apple 提醒事项：**通过 EventKit 读取和创建提醒事项
  • **Apple 备忘录：**通过 AppleScript/脚本桥接读取和创建备忘录

隐私影响：

  • 应用程序根据您的请求访问存储在您设备上 Apple 应用程序中的数据
  • 数据在本地处理，或者在您请求分析时发送给您选择的 AI 提供商
  • 我们（本公司）不会接收或存储您的 Apple 日历、提醒事项或备忘录数据
  • 需要在 macOS/iOS 上获得明确的权限授予——这些权限使应用程序能够代表您处理您的数据

MCP 服务器（桌面端 - 可选）

应用程序的桌面版本支持模型上下文协议（Model Context Protocol，即 MCP）服务器以实现可扩展性：

  • **什么是 MCP 服务器：**为 AI 提供额外工具和功能的本地程序
  • **数据流：**MCP 通信在应用程序与您计算机上的 MCP 服务器进程之间本地进行
  • **隐私：**发送至 MCP 服务器的数据保留在您的设备上（除非 MCP 服务器本身连接到外部服务）
  • **您的控制权：**您选择安装和运行哪些 MCP 服务器。我们对 MCP 服务器的使用不参与也不可见。

**重要免责声明：**MCP 服务器由第三方开发和维护。Caiioo 无法就 MCP 服务器的安全性、可靠性或行为提供任何保证或陈述。第三方 MCP 服务器可能包含恶意代码或设计缺陷，从而可能危及您的数据或系统。我们强烈建议仅使用由服务提供商赞助的官方 MCP 服务器（例如来自 GitHub 的官方 GitHub MCP 服务器）或其他知名信誉良好方的 MCP 服务器。从未知来源安装 MCP 服务器时请务必谨慎。

Google APIs（可选）

如果您选择连接您的 Google 账户（用于 Gmail、Drive、Docs、Sheets、Slides、Calendar、Tasks、Meet、Photos、YouTube 或 Contacts）或您的 Microsoft 账户（用于 Outlook 邮件、日历、联系人和 To Do）：

  • **身份验证：**应用程序在浏览器扩展中使用 Chrome 内置的 OAuth 流程（chrome.identity API），或在其他平台上使用标准 OAuth 流程。令牌存储在您的设备本地。当您登录以及刷新令牌时，请求仅经过我们的服务器以便我们添加应用程序凭据；我们绝不会存储或记录令牌。
  • **数据访问：**应用程序仅在您明确请求时（例如，“打开我的 Google 文档”或“创建文档”）才会访问 Google 服务，但一旦您连接了 Google Calendar，它们会在后台检查其更改以保持您的日程安排处于最新状态
  • **我们的角色：**我们以开发者身份向 Google 注册这些应用程序，以便它们能够代表您请求权限。我们永远不会看到您的 Google 密码，也绝不会存储或记录您的 OAuth 令牌。当您授予 Google 权限时，您是授权应用程序代表您与 Google 协作——而不是授予我们访问您 Google 数据的权限。
  • 其隐私政策：https://policies.google.com/privacy
  • Microsoft 隐私声明：https://privacy.microsoft.com/privacystatement
  • **每项权限均由您自主选择：**使用 Google 或 Microsoft 登录 Caiioo 仅会请求您的姓名、电子邮件地址和个人资料照片。当您连接 Google 或 Microsoft 账户时，Caiioo 会显示其所请求的权限，您可以选择授予哪些权限，或全部跳过。YouTube、Contacts 和 Google Photos 是您在“设置 → 社区中心”中安装的可选应用程序；当您登录或连接账户时，Caiioo 不会请求它们的任何权限。Caiioo 仅在您首次使用需要该权限的功能时才会请求权限，并在各自独立的同意屏幕上分别请求 YouTube、Contacts 和 Google Photos 的每项权限。您可以拒绝其中任何权限；此时仅需要该权限的功能会停止工作。
  • **撤销访问权限：**您可以随时查看并移除 Caiioo 的访问权限。在 Caiioo 中，打开“设置 → 连接器”并选择账户：“编辑权限”允许您移除权限，对于 Google 账户，“在所有设备上撤销”会彻底终止 Caiioo 在所有位置访问该账户的权限。在“设置 → 社区中心”中关闭或卸载应用程序即可停止 Caiioo 使用它。若要在提供商端撤销访问权限：Google，请访问 https://myaccount.google.com/permissions；个人 Microsoft 账户，请访问 https://account.live.com/consent/Manage；Microsoft 工作或学校账户，请访问 https://myapplications.microsoft.com（选择该应用程序，然后选择“撤销权限”；您的管理员授予的权限只能由您的管理员移除）。
  • **由您批准更改：**在默认批准设置下，Caiioo 在代表您发送电子邮件之前，以及对您的 Google 或 Microsoft 账户进行大多数其他更改（包括对您的 YouTube 账户、联系人和 Google Photos 的每项更改）之前，都会向您显示一张批准卡片并等待您的回复。少数常规操作无需询问即可执行，例如将电子邮件标记为已读或将其移动到文件夹中。您可以在“设置 → 偏好设置与隐私 → 信任边界 → 工具和操作权限”中选择 Caiioo 询问的频率：“谨慎”会在执行每项操作前询问，而“自动批准”则不会询问任何操作。
  • **YouTube：**Caiioo 的 YouTube 功能使用 YouTube API Services。使用这些功能即表示您同意 YouTube Terms of Service，且 Google Privacy Policy 适用于 Google 对您数据的处理。根据您的要求，Caiioo 会读取您的播放列表（包括私有列表）、顶过的视频、订阅、频道、您自己视频的字幕以及评论，以及公开的视频、播放列表和频道信息，并在 YouTube 自身的嵌入式播放器中播放视频。它不会下载 YouTube 视频或音频。经您批准后，它会根据您的要求进行更改：为视频评分、管理播放列表、上传您提供的视频文件及其缩略图、编辑或删除您自己的视频、管理字幕和评论，以及编辑您的频道。它会分别请求四项权限：用于读取的 youtube.readonly、用于上传视频和缩略图的 youtube.upload、用于更改评分、播放列表、视频和频道的 youtube，以及用于字幕和评论的 youtube.force-ssl。Caiioo 从 YouTube 读取的内容会作为您请求的一部分，存储在您设备上的对话中（如果您使用 Private Sync，则存储在您的端到端加密同步数据中，只有您的设备可以读取），并仅发送给您在该对话中使用的 AI 提供商。如果您将对话发布为网页，其中包含的内容将保留在该页面上，直到您将其删除或其过期。您可以随时在 https://security.google.com/settings/security/permissions 撤销 Caiioo 对您 YouTube 数据的访问权限。如有疑问，请发送至 Contact Us 中的地址。
  • **Contacts：**对于 Google Contacts，Caiioo 使用三项权限。contacts.readonly 允许其查找并显示您询问的联系人（姓名、电子邮件地址、电话号码、机构、职位、地址和生日）以及您的联系人群组。contacts 允许其创建、更新和删除联系人，以及将其添加到群组或从群组中移除，且每项操作都必须在您批准后进行。contacts.other.readonly 允许其在您的“其他联系人”（您曾通过电子邮件联系但未保存的人员）中搜索姓名、电子邮件地址和电话号码。对于 Microsoft 账户，Caiioo 仅请求 Contacts.Read：它可以列出、搜索和读取您的联系人，但不能对其进行更改。Caiioo 读取的联系人详细信息会保留在您设备上的对话中，并仅发送给您在该对话中使用的 AI 提供商。
  • **Google Tasks 和 Microsoft To Do（预览版）：**根据您的要求，Caiioo 会读取您的任务列表及其中包含的任务（标题、备注、截止日期以及每项任务是否已完成），以回复您的询问并将其纳入您的日程安排中；经您批准后，它会创建、编辑、完成或删除您指定的任务。对于 Google Tasks，它请求用于读取的 tasks.readonly 和用于进行更改的 tasks；对于 Microsoft 账户，请求用于读取的 Tasks.Read 和用于进行更改的 Tasks.ReadWrite。对于 Microsoft 账户，它还会请求 MailboxSettings.Read，该权限仅用于读取您邮箱的时区设置，以便 To Do 截止日期显示在正确的日期。每项权限都在您首次使用需要它的功能时在各自的同意屏幕上请求，绝不会在您登录时请求。Caiioo 读取的任务详细信息会保留在您设备上的对话中，并仅发送给您在该对话中使用的 AI 提供商。这些功能目前处于预览阶段，仅向部分限定账户提供，并可能会发生变化。
  • **Google Photos：**要将您的照片导入对话中，Caiioo 会打开 Google 的 Photos Picker。由您选择项目，Caiioo 仅接收这些选定的项目作为对话附件；它无法查看您图库中的任何其他内容。经您批准后，Caiioo 还可以上传您提供的照片或视频、创建相册并向其中添加项目和备注（photoslibrary.appendonly）；列出并搜索 Caiioo 创建的相册和媒体（photoslibrary.readonly.appcreateddata）；以及重命名或编辑 Caiioo 创建的相册和媒体（photoslibrary.edit.appcreateddata）。它无法读取或更改您图库中非其创建的任何内容，也无法删除照片。您选取的项目将与对话一起存储在您的设备上，并作为您消息的一部分发送给您在该对话中使用的 AI 提供商。

Caiioo for Word

Caiioo for Word 是一款在 Microsoft Word 内部运行的加载项。根据您的要求，它会读取 Word 中打开的文档，并根据您的指示添加修订和批注。Word 会在您的 Office 账户名下记录这些更改。

该面板通过 Caiioo Private Relay 以端到端加密方式连接到您自己计算机上的 Caiioo 应用程序。Caiioo 读取的文档文本从那里仅发送给您在该对话中使用的 AI 提供商。Caiioo 不会将您的文档或对话发送给 Microsoft。

Word 本身归 Microsoft 所有，受 Microsoft 条款和隐私声明管辖。如果您的文档存储在 OneDrive 或 SharePoint 中，或者在网页版 Word 中打开，Microsoft 会随之存储 Caiioo 所做的更改。与所有 Word 加载项一样，Caiioo 的面板会从 Microsoft 服务器加载 Microsoft 的 Office 代码，这会向 Microsoft 告知您的 IP 地址、浏览器和时间。该代码在面板内运行，且 Office 会收集有关加载项的诊断数据。

许可证验证服务（Caiioo 基础设施）

这是我们（本公司）直接参与的一项服务。如果您购买了订阅或使用高级功能，我们会使用我们自己的基础设施来管理许可证，并为每位独立用户提供单租户加密中继（由 Cloudflare Durable Objects 提供支持）：

  • **发送给我们的内容：**您的电子邮件地址、许可证级别和许可证密钥
  • **不会发送给我们的内容：**对话数据、浏览历史记录、设置、个人信息或您在应用程序中创建的任何内容
  • **目的：**识别您的账户、验证许可证密钥并检查订阅状态
  • **数据最小化：**我们仅存储您的电子邮件身份标识、许可证级别和许可证密钥——这是许可所需的最低限度数据
  • **安全性：**我们的许可服务由现代防御机制提供保护，并符合行业最佳实践
  • 风险缓解：即使在极不可能发生的情况下攻击者获得了对此服务的访问权限，他们也只能看到客户的许可状态（电子邮件、级别、密钥）。他们无法访问您本地设备上的任何数据——您的对话、文件、设置和所有应用程序内容均保留在您的设备上，绝不会传输给我们。
  • **数据保留：**许可证和账单记录将按照法律要求予以保留
  • 基础设施隐私政策：https://www.cloudflare.com/privacypolicy/

软件更新

应用程序会检查我们的更新服务器 (relay.caiioo.ai) 以获取用户界面的新版本，以及在桌面端获取本地 Agent 的新版本：桌面端应用程序大约每 15 分钟检查一次，移动端应用程序在打开时以及大约每 6 小时检查一次。检查时会发送应用程序的版本、当前运行的构建版本以及应用程序的类型（桌面端或手机端）。我们将这些数据按应用程序类型和版本计入每日统计计数中，以便了解每个版本上有多少安装量以及有多少在使用中——从而安全地弃用旧构建版本并了解应用程序的使用广泛程度。**该计数只是一个数字：它不包含设备标识符、账户标识符，也不包含每台设备的单独记录，我们无法辨别某次检查来自哪一次安装。**更新检查是更新正常运行所必需的，且不受您对使用情况分析选项选择的影响。在 GDPR 或 UK GDPR 适用的情况下，对请求的短暂处理（像任何网络请求一样，在传输过程中携带有您的 IP 地址）是基于我们提供和监控软件更新的合法利益（第 6 条第 (1) 款 (f) 项）；存储的计数数据是匿名的。

语音功能

应用程序提供文字转语音（TTS）和语音转文字（STT）功能，并由您选择是在本地还是云端处理。Caiioo 提供一系列语音服务，包括内置浏览器语音、ElevenLabs、Resemble.ai、用于转录的本地 Whisper 模型以及本地 Kokoro 神经朗读器。

文字转语音（朗读 AI 回复）

您可以在以下选项中进行选择：

  1. 基于浏览器的 TTS（本地 - 极致隐私）
    • 使用浏览器的内置 Web Speech API
    • 音频完全在您的设备上合成
    • 不会向任何地方发送任何数据——完全隐私
    • 语音质量取决于您操作系统的语音库
  2. Kokoro TTS（本地神经网络 - 极致隐私）
    • 使用通过 WebAssembly 在您设备本地运行的 Kokoro 神经 TTS 模型
    • 模型（约 330MB）仅需下载一次并在本地缓存
    • 不会向任何地方发送任何数据——完全隐私且音质出众
    • 支持多种语音选项（10 种内置语音）
  3. ElevenLabs TTS（云端 - BYOK）
    • 使用 ElevenLabs API 获取自然拟真的声音
    • 需要您自己的 ElevenLabs API 密钥（由应用程序存储在本地）
    • **应用程序发送的内容：**正在被朗读的特定消息文本，以及您的 API 密钥
    • **不会发送的内容：**对话历史记录、上下文或任何其他数据
    • 支持流式传输以实现低延迟播放
    • 其隐私政策：https://elevenlabs.io/privacy-policy
  4. Resemble.ai TTS（云端 - BYOK）
    • 使用具备声音克隆功能的 Resemble.ai API
    • 需要您自己的 Resemble.ai API 密钥（由应用程序存储在本地）
    • **应用程序发送的内容：**正在被朗读的特定消息文本，以及您的 API 密钥
    • **不会发送的内容：**对话历史记录、上下文或任何其他数据
    • 其隐私政策：https://www.resemble.ai/privacy-policy

语音转文字（语音听写）

您可以在以下选项中进行选择：

  1. 基于浏览器的 STT（本地 - 极致隐私）
    • 使用浏览器的内置 Web Speech API
    • 音频完全在您的设备上处理
    • 不会向任何地方发送任何音频数据——完全隐私
    • 识别质量取决于您的浏览器和操作系统
  2. Whisper（本地 - 极致隐私）
    • 通过 WebAssembly 在您的设备本地运行 Whisper 模型
    • 提供多种模型尺寸可供选择（39MB 至 488MB），仅需下载一次并缓存
    • 不会向任何地方发送任何音频数据——完全隐私且具备 AI 级转录品质
    • 支持 99 种语言（多语言模型）
  3. ElevenLabs STT（云端 - BYOK）
    • 使用 ElevenLabs 实时转录 API
    • 需要您自己的 ElevenLabs API 密钥（由应用程序存储在本地）
    • **应用程序发送的内容：**来自您麦克风的音频流，以及您的 API 密钥
    • **不会发送的内容：**对话历史记录、上下文或任何其他数据
    • 其隐私政策：https://elevenlabs.io/privacy-policy

语音模型存储

  • 本地语音模型（Kokoro、Whisper）在首次下载后会缓存在您的设备上
  • 存储位置：~/Library/Application Support/caiioo/models/（macOS），在其他平台上为对应等效路径
  • 您可以随时删除缓存的模型以回收存储空间

**隐私控制：**所有语音功能均可在“设置 → 语音”中完全禁用。您可以自行选择优先考虑隐私（本地）还是质量（云端）。云端语音提供商需要您自备 API 密钥——我们绝不会看到您的语音数据或 API 密钥。

API Keys 与订阅计划

自带密钥 (BYOK)

如果您提供自己的 OpenRouter API key：

  • 应用程序会将您的密钥通过加密存储保存在您的本地设备上
  • 应用程序仅在进行 AI 请求时将您的密钥发送给 OpenRouter
  • 我们（公司）从未接收、存储或拥有访问您 API key 的权限
  • 您可以通过您的 OpenRouter 账户完全控制您的 AI 使用情况和计费

隐私增强型 AI 资助

Caiioo 提供了一种使用 Caiioo 预置 API key 的选项，您可以按成本价为其充值。此选项旨在通过屏蔽您与 OpenRouter 等 AI 提供商的直接接触来保护您的隐私：

  • 运作方式： 您无需在 AI 提供商处创建自己的账户，而是向您的 Caiioo 预置密钥添加资金。应用程序代表您使用此密钥访问 AI 模型。
  • 隐私优势： 您的身份和使用情况不会直接与 OpenRouter 或其他提供商账户关联。Caiioo 在您和 AI 提供商之间充当隐私层。
  • 按成本价： 资金按成本转交 —— 我们不会对预置密钥的 AI 使用费进行加价。
  • 您的对话保持本地化： 无论您使用哪种密钥，您的对话数据都保留在您的设备上。我们无法访问您的对话。

Ollama (自托管)

如果您使用 Ollama 运行本地 AI 模型：

  • 不需要 API key
  • 所有 AI 处理都在您的本地机器上进行
  • 没有任何对话数据被传输到任何外部服务
  • Ollama 服务器 URL 存储在本地
  • 隐私优势： 使用本地模型时，没有任何数据离开您的设备

订阅计划

订阅计划用于软件访问 —— 它们解锁了 Caiioo 平台内的功能和能力。订阅不包含 AI 额度。

如果您向我们购买订阅计划：

  • 您将获得高级软件功能（集成、工具、模式和平台能力）的访问权限
  • 您可以选择向 Caiioo 预置 API key 添加资金，作为访问 AI 模型的独立成本价服务（参见上文的“隐私增强型 AI 资助”）
  • 您的对话保留在您的本地设备上 —— 我们无法访问它们
  • 我们仅出于授权目的跟踪订阅状态，而不跟踪对话内容

零数据保留 (ZDR) 模型

许多 AI 提供商提供零数据保留选项，这意味着他们不会存储您的对话或利用其进行训练：

  • ZDR 的含义： AI 提供商处理您的请求后立即将其丢弃 —— 无日志、无训练、无保留
  • 如何使用： Caiioo 允许您过滤并选择具有 ZDR 政策的模型
  • 提供商政策： ZDR 由 AI 提供商（Anthropic、OpenAI、Google 等）决定，而非由 Caiioo 决定
  • 验证： 请查看特定提供商的数据保留政策以了解详情

为了实现最大程度的隐私： 请将 ZDR 云端模型与本地存储结合使用，或者通过 Ollama 使用完全本地化的模型，这样任何数据都不会离开您的设备。

用户资料与个性化

应用程序允许您创建包含以下信息的个人资料：

  • 您的姓名
  • 家庭和工作地址
  • 电子邮件和电话号码
  • 首选语言
  • 自定义变量（例如公司名称、项目详情）
  • 个人指令和偏好

这些数据如何处理：

  • 由应用程序仅存储在您的本地设备上
  • 由应用程序包含在发送给 AI 模型的系统上下文中，以提供个性化回复
  • 从未传输给我们（Caiioo 公司）。我们看不见、不存储也无法访问您的个人资料数据。
  • 您可以随时在“设置 → 用户资料”中查看、编辑或删除此信息

重要提示： 此应用内资料与您的 Caiioo 账户（电子邮件、姓名、头像）是分开的。应用内资料内容更丰富且完全本地化；账户信息是我们用于授权的最小集合。

示例： 如果您将姓名设置为“Vassia”，位置设置为“俄亥俄州阿克伦”，AI 将知道您的姓名，并可以使用应用程序的工具提供与位置相关的信息（天气、当地商家等）。

模式与自定义配置

该应用程序支持多种“模式”（例如：通用、购物助手、工作场所），并具有不同的：

  • 系统提示词
  • AI 模型
  • 工具权限
  • 温度与迭代设置
  • 模式特定变量

隐私影响：

  • 所有模式配置均由应用程序存储在您的本地设备上
  • 您创建的自定义模式将保留在您的设备上
  • 应用程序会将模式设置（包括系统提示词）作为对话上下文的一部分发送给 AI 提供商
  • 我们（公司）不会追踪您使用哪些模式或您如何配置它们

工具与功能

这些应用包含多个工具类别，可针对不同模式进行启用或禁用。这些工具允许应用在您的指示下为您执行操作。我们（公司）无法获知您使用了哪些工具或这些工具访问了什么内容。

网络浏览工具

  • 应用功能： 导航至 URL、搜索网络、提取页面内容、点击元素、填写表单以及与网页交互（包括注入内容脚本以实现页面自动化，如点击、滚动、表单填写和内容提取）
  • 智能体浏览： 当 AI 智能体代表您浏览网页时，它在网络服务看来就是您本人——网站无法可靠地分辨出是您直接浏览还是智能体引导的浏览。您应将智能体视为您自身浏览器的扩展，并据此管理和观察其操作。
  • 隐私： 仅当您明确要求 AI 分析或与页面交互时，应用才会访问页面内容
  • 数据流： 页面内容由应用发送至 AI 提供商（OpenRouter 或本地模型）进行分析
  • 视觉指示： 当智能体与页面交互时，应用会显示视觉叠加层（光标动画、高亮显示），以便您查看智能体的操作

文件操作工具（仅限桌面端）

  • 应用功能： 读取、写入、编辑和管理您设备上的文件
  • 可用性： 这些工具仅在桌面应用程序（macOS、Windows、Linux）中可用，浏览器扩展程序或移动应用中不可用
  • 隐私： 仅当您明确请求时，应用才会访问文件
  • 数据流： 当您要求分析或编辑时，文件内容可能会由应用发送至 AI 提供商

API 集成工具

  • 应用功能： 向外部 API 发送 HTTP 请求
  • 隐私： 应用仅执行您明确授权的请求
  • 数据流： API 响应可能会由 AI 代表您进行处理

Google Docs 工具

  • 应用功能： 创建、读取和编辑 Google Docs/Sheets
  • 智能体访问： 当 AI 智能体处理您的 Google 文档时，它代表您行事，在 Google 看来就是您本人。您应在了解此情况的前提下管理和观察其操作。
  • 隐私： 要求您明确连接您的 Google 账户。应用使用您的凭据访问 Google 服务——我们无法查看您的 Google 数据。
  • 数据流： 文档内容可能会由应用发送至 AI 提供商进行分析/编辑

配置文件工具

  • 应用功能： 允许 AI 修改您的用户配置文件和设置
  • 隐私： 默认禁用；仅在 Helper 模式下可用
  • 数据流： 更改由应用在您的设备存储中本地完成

Slate 与文档编辑（最高隐私）

本应用包含一个用于编辑代码和文档的“Slate”功能，具有零云存储特性：

  • 功能： 为代码、Markdown 和 HTML 文件打开一个应用内编辑器
  • 隐私： 所有编辑均在您的设备上本地进行。文件完全存储在您的浏览器存储或应用数据文件夹中——没有任何内容存储在云端。
  • 数据流： 仅在您明确请求时，应用才会将文档内容发送给 AI 提供商以获取建议或修改

权限说明

应用请求各种平台权限以便作为你的工具发挥作用。这些权限赋予了运行在你设备上的应用各项能力——它们并不意味着我们（该公司）能够访问你的数据。具体请求的权限因平台（浏览器扩展、桌面端、移动端）而异，但其目的完全相同：使应用能够为你工作。

浏览器扩展权限

权限 它使应用能为你做什么
sidePanel 在 Chrome 的侧边栏中显示助手
storage 将你的设置、对话和用户资料本地保存在你的设备上
activeTab 当你要求 AI 分析页面内容时读取该内容
scripting 应你的请求从网页中提取文本并与页面元素进行交互
tabs 访问标签页的 URL 和标题以提供具上下文感知的协助。当你询问有关浏览器状态或请求与标签页相关的操作时，发送给 AI 提供商的对话上下文中确实包含标签页的 URL 和标题。这支持诸如“总结我打开的标签页”或“找到我正在阅读关于 X 的那个标签页”之类的功能。
tabGroups 将 AI 打开的标签页组织成特定于对话的分组
unlimitedStorage 在你的设备上本地存储无限的对话历史记录和附件
alarms 保持应用的后台服务运行以提供可靠的响应
identity 可选的 Google 登录，以便应用能为你访问 Google 服务（令牌保留在你的设备上）
declarativeNetRequest 使应用能够与你的本地 AI 服务器通信（仅修改 localhost 的 Origin 标头）
declarativeNetRequestWithHostAccess 与 declarativeNetRequest 一起应用可选的广告/跟踪器拦截规则集（默认关闭；由你选择加入）
offscreen 允许应用在后台处理 PDF 和图像，而无需显示额外的窗口
notifications 为你在应用内创建的日历事件和提醒显示警报
geolocation 将你的位置添加到对话上下文中——可选且默认关闭。只有当你开启设置中的位置功能（并授予浏览器自己的位置提示权限）时，应用才会读取你的位置，从而启用位置感知的请求，如本地推荐、天气、“附近”搜索以及旅行/时区帮助。坐标会使用捆绑的离线位置数据库完全在你的设备上转换为城市名称——不会联系任何第三方地理编码服务——并且结果会在你的设备上缓存约一个小时。你可以选择精度：城市（启用时的默认设置）使用粗略的大致位置；精确（可选加入）请求完整的 GPS 精度以用于导航、地图和路线。如果 GPS 不可用，仅在你选择加入的情况下才会使用基于 IP 的估计——该查找会联系第三方位置服务（ipapi.co / ipwho.is）且默认关闭。在任何情况下，你的位置都仅包含在你发送给所选 AI 提供商的提示词中。它绝不会发送给我们，也绝不会用于跟踪或分析。你可以随时在“设置”或浏览器的网站设置中撤销此权限。
<all_urls> 允许应用读取和交互你希望 AI 分析的任何页面的内容

桌面端与移动端权限

桌面端和移动端应用请求与类似功能相符的平台权限：

  • 文件系统访问权限： 应你的请求读取和写入你设备上的文件
  • 日历与提醒： 访问 Apple EventKit（macOS/iOS）以实现日历和提醒集成
  • 备忘录： 通过 AppleScript（macOS）访问 Apple 备忘录以实现备忘录集成
  • 网络： 代表你连接到 AI 提供商、Google APIs 和其他服务
  • 麦克风： 当你使用语音听写时捕获用于语音转文本的音频
  • 位置： 在你启用时将你的位置添加到对话上下文中（可选，默认关闭）。在移动端（iOS/Android）和桌面端，应用使用操作系统的定位服务；精确模式请求完整的 GPS 精度以用于导航，城市模式使用粗略位置。逆地理编码在设备上完成（无第三方地理编码器）；位置仅包含在你发送给所选 AI 提供商的提示词中，绝不会发送给我们。其处理方式类似于上述浏览器扩展的 geolocation 权限。

这些权限均不允许我们（Caiioo 公司）访问、收集或查看你的浏览数据、页面内容、文件或标签页。 这些权限完全在你的设备上的应用内部运行。

数据共享

我们（本公司）不会出售、交易或向第三方转让您的个人信息。出于授权许可目的，我们持有的唯一数据是您的电子邮箱、姓名和头像。

应用代表您传输的数据：

应用会根据您的指示向第三方服务发送数据。这些连接直接来自于您设备上的应用——我们并非中间人：

  1. 向 OpenRouter（或您选择的 AI 提供商）： 当您发送消息时，应用会发送您的对话上下文（包括消息、系统提示词、用户资料以及任何共享的页面内容）以生成回复
  2. 向本地 AI 提供商（如果已配置）： 当使用本地模型（例如 Ollama）时，应用仅向您的本地服务器发送数据——任何内容都不会离开您的设备
  3. 向 Google： 当您使用 Google 功能时，应用会使用您的 OAuth 令牌直接向 Google 的 API 发送请求（登录和令牌刷新会经过我们的服务器；请参阅 Google APIs）
  4. 向 ElevenLabs / Resemble.ai： 当您使用云端语音功能时，应用会使用您自己的 API 密钥发送文本或音频
  5. 向外部 API： 当您明确使用 API 集成工具时，应用会代表您发起 HTTP 请求

我们（本公司）接收的数据：

  1. 来自订阅用户： 如果您购买了订阅，我们会收到您的电子邮箱、姓名、头像和账单信息（不包含对话内容）

数据保留

应用数据（位于您的设备上）：

  • 本地数据： 由设备上的应用程序存储，直至您主动清除或卸载应用
  • 清除对话： 您可以在 UI 中删除单个对话或所有对话历史记录
  • 清除设置： 您可以将设置重置为默认值，或删除自定义模式/变量
  • 清除所有数据： 卸载应用程序将立即且永久删除所有本地数据
  • 无服务器备份： 我们不会为您应用的数据创建服务器端备份。数据一旦在本地删除，将无法恢复。
  • 删除前导出： 在清除数据或卸载应用前，请使用 Settings → Backup & Restore 导出您的数据

公司持有的数据：

  • 账户数据： 只要您的账户存在，您的电子邮件地址、姓名和头像就会被保留。
  • 账户删除： 您可以随时在账户页面的 Delete account 区域永久删除您的账户。删除操作将立即移除您的个人资料、登录凭据、已注册设备、AI 使用额度余额，以及我们为您持有的任何已配置 OpenRouter API 密钥的加密副本。登录与账户安全记录仅出于安全与合规目的予以保留；删除操作会解除这些记录与您账户的关联，但记录中仍可能包含您的电子邮件地址、IP 地址和浏览器 user agent，并且删除记录将保留您原有的 user id。删除还会下架您发布的所有页面（无论是公开页面还是与特定人员共享的页面）；在缓存清除期间，公开页面的链接可能仍会在大约一分钟内继续有效。删除操作不可逆——我们事后无法恢复该账户或其数据。
  • OpenRouter API 密钥： 代表您创建的已配置 OpenRouter 密钥保存在 OpenRouter 的系统中，并且在您删除 Caiioo 账户时不会被销毁，除非您在删除过程中明确要求撤销。如果您想直接在 OpenRouter 中继续使用任何剩余的额度余额，请在删除流程中复制该密钥。在删除 Caiioo 账户后，您可以从 OpenRouter 控制面板管理该密钥。
  • 订阅数据： 如果您取消订阅，账单记录将依法保留。当您删除账户时，我们将尝试取消通过 Stripe 计费的订阅。删除账户不会取消通过 Apple 计费的订阅；Apple 计费将持续进行，直到您取消该订阅。请在删除 Caiioo 账户之前将其取消。在 iPhone 或 iPad 上，打开 Settings → [your name] → Subscriptions → Caiioo → Cancel Subscription。除法律另有规定外，先前支付的费用概不退还。

您的权利

您有权：

  • 访问： 查看您的所有数据（存储在您的本地设备上）
  • 编辑： 随时修改您的用户资料、设置和对话
  • 删除： 移除单个对话、自定义变量或所有数据，并从账户页面的“删除账户”部分永久删除您的 Caiioo 账户
  • 导出： 使用内置导出功能（设置 → 备份与恢复）导出您的对话、设置和配置
  • 可移植性： 导入/导出设置以便在设备间移动或创建备份
  • 选择退出： 在没有订阅的情况下使用应用程序（BYOK 模式，使用您自己的 API 密钥）

儿童隐私

Caiioo 不面向 13 岁以下的儿童。我们不会故意收集 13 岁以下儿童的信息。

安全性

应用程序采取了多项安全措施来保护您的数据：

  • 本地存储加密： 平台存储 API 使用操作系统的加密功能
  • 无服务器端存储： 我们不在服务器上存储您的应用数据，降低了泄露风险
  • 直接 API 通信： 应用程序将 API 密钥直接发送给提供商，绝不经过我们的服务器
  • OAuth 令牌： Google 令牌由应用程序管理，并使用平台的加密存储 API 安全地存储在您的设备上
  • 令牌隔离： OAuth 令牌存储在本地用户资料中。如果您导出资料，令牌将包含在导出文件中。
  • 云端语音 API 密钥： ElevenLabs 和 Resemble.ai 的 API 密钥存储在您的本地设备上，绝不传输给我们

您的责任：

  • 确保您的 API 密钥安全，切勿分享
  • 为您的 Google 账户使用强密码
  • 定期检查您的用户资料和设置
  • 仅从官方 Chrome Web Store、App Store 或授权的分发渠道安装 Caiioo
  • 请理解，当您指示应用程序与 AI 提供商共享内容时，该内容受该提供商隐私政策的约束

我们向您发送的电子邮件

账户与设置邮件。 我们使用您的电子邮件地址向您发送与您的账户及您已拥有的软件相关的消息：登录与验证码、密码重置、账单通知、安全警报，以及在您注册后发送的简短设置指导系列邮件，向您介绍如何使用已拥有的功能。这些都是拥有账户所附带的通知，只要您持有账户，就会持续收到。

产品资讯是独立的，且为选填项。 新功能、升级和优惠信息均属于营销内容。该选项默认关闭，除非您主动开启，并且它绝不是使用应用程序的先决条件——无论开启与否，应用的功能表现完全一致。每封营销邮件均包含一键取消订阅链接以及我们的邮寄地址，我们会在一个工作日内处理退订请求。

更改任一偏好。 您可以随时在账户页面更改您的电子邮件偏好，或通过发送邮件至 [email protected] 进行更改。

我们绝不共享您的地址。 我们不会出于第三方的营销目的而向任何其他人出售、出租或共享您的电子邮件地址。

若 GDPR 或英国 GDPR 适用于您。 我们发送账户与设置邮件，是因为这是向您提供所注册服务所必需的（第 6(1)(b) 条）。我们仅在获得您同意的情况下发送产品资讯（第 6(1)(a) 条），您可以随时撤回该同意——撤回同意不会使我们此前已发送的内容变为非法。

本政策的变更

我们可能会不时更新此隐私政策。变更将发布在此页面上，并附带更新后的修订日期。重大变更将通过以下方式传达：

  • 应用商店中的更新说明（Chrome Web Store、App Store 等）
  • 应用内通知（如果适用）
  • 电子邮件（针对订阅用户）

Google API 服务用户数据政策

Caiioo 对从 Google API 接收到的信息的使用均遵循 Google API Services User Data Policy，包括其中的“有限使用”（Limited Use）要求。

有限使用声明

Caiioo 对从 Google API 接收到的信息的使用及向任何其他应用程序的传输，均将严格遵循 Google API Services User Data Policy，包括其中的“有限使用”要求。

当您通过 Caiioo 自带的 Google 登录功能连接 Google 时，Caiioo 不会将您的 Google 数据用于训练或改进供除您之外的任何人使用的 AI 或机器学习模型；并且，除非您主动关闭此保护，否则 Caiioo 仅会将该数据发送给承诺不使用该数据进行训练的 AI 服务。您的 Google 数据属于您的个人数据，而非 Google 的数据：本声明阐明了 Caiioo 自身的处理方式，并不限制您对自身数据的使用。如果您选择在与我们分享的反馈或日志中包含此类数据，且该数据揭示了我们系统端的问题，我们仅会将其用于解决您的问题及改进服务。如果您关闭此保护以允许使用您的数据进行训练的 AI 服务、将 Google 与您自己的 Google Cloud 应用连接，或自行将数据转移至其他地方，这均由您自行决定。

具体而言：

  • 应用程序仅会请求实现您明确要求的功能所必需的 Google 用户数据访问权限
  • 我们绝不将 Google 用户数据用于投放广告
  • 我们绝不允许人工查阅 Google 用户数据，但以下情况除外：
    • 当您直接且主动向我们提交数据时（例如，在支持工单中附加的日志）
    • 出于安全目的（检测滥用行为）
    • 适用法律要求时
  • 我们绝不向第三方传输 Google 用户数据，但以下情况除外：
    • 当您明确请求通过应用程序分析 Google Docs、Gmail 或其他 Google 内容时，传输给您所使用的 AI 提供商——无论是您自行选择的提供商，还是 Caiioo 通过 OpenRouter 提供的免费 AI 服务
    • 为遵守适用法律所必需的情况
    • 作为合并、收购或资产出售的一部分，且仅在获得您明确的事先同意后进行

您的 Google 身份验证令牌由应用程序本地存储在您的设备上。它们仅在登录和令牌刷新期间经过我们的服务器，以便我们附加应用程序凭据；我们绝不会存储或记录这些令牌。当您授予 Google 权限时，您是在授权应用程序代表您访问 Google 服务，而非授予我们访问您 Google 数据的权限。

联系我们

如果您对本隐私政策有任何疑问，请通过以下方式联系我们：

摘要

问题 解答
你们（公司）收集什么信息？ 电子邮件、姓名和头像——用于许可验证，以及向您发送上述账户与产品相关的电子邮件
你们会收集我的对话内容吗？ 不会——应用程序将其本地存储在您的设备上；除非您将其发布为网页，否则我们绝不会看到它们
你们能看到我的 API 密钥吗？ 不能——除非您使用由 Caiioo 提供的密钥（按成本计费、增强隐私保护）
你们有权访问我的 Google 账户吗？ 没有——Google 是一项由用户自主控制的集成；应用程序会使用您的令牌直接建立连接
你们会追踪我的浏览记录吗？ 不会
你们会追踪我的位置吗？ 不会——位置信息是可选的，且默认关闭。启用后，该信息仅会包含在您发送给所选 AI 提供商的提示词中，绝不会发送给我们
你们会使用分析工具吗？ 营销网站使用 Google Analytics 4（在征得同意的情况下）。应用程序提供可选的、匿名的第一方使用情况分析——全平台默认关闭且需要明确同意加入，不涉及对话、不涉及身份识别、无第三方追踪器。
分享使用数据后，你们会向我支付报酬或向我收费吗？ 不会。选择加入没有奖励，选择退出也没有惩罚——应用程序在两种情况下的运行效果完全相同。
我的数据存储在哪里？ 在您的设备上（浏览器存储、应用程序数据文件夹或应用程序沙盒）
我的用户个人资料会发送给 AI 模型吗？ 会——应用程序发送它是为了个性化回复，但绝不会发送到我们的服务器
为什么应用程序会请求这么多权限？ 这样它们才能为您——而不是为我们——进行浏览、读取文件和使用服务
我可以完全离线使用 Caiioo 吗？ 可以——结合使用本地 AI 模型和本地语音（Kokoro、Whisper）
我可以备份我的数据吗？ 可以——使用 AES-256 加密备份到 Google Drive（可选）
Google 能读取我的备份吗？ 不能——应用程序在上传前已进行加密；只有您拥有密钥
我可以私密地使用语音功能吗？ 可以——浏览器 TTS/STT、Kokoro TTS 和 Whisper STT 均完全在您的设备上运行
什么是 Zero Data Retention 模型？ 不存储您的对话内容也不使用其进行训练的 AI 模型
Caiioo 可以在我所有的设备上运行吗？ 可以——浏览器扩展、macOS、iOS、Android、Windows 和 Linux
我可以导出我的数据吗？ 可以——通过 Settings → Backup & Restore
如果我卸载应用程序会怎样？ 所有本地数据都将被删除
订阅计划的作用是什么？ 获取软件访问权限与功能——而非 AI 额度