本文档由英文原版机器翻译而成。如果翻译版本与英文原版之间存在任何冲突，请以英文原版为准。 阅读英文原版

Caiioo 隐私政策

最后更新日期： 2026年9月24日

30 秒摘要

您的隐私由您全权掌控。 Caiioo 是一款 AI 平台，让您可以在多种环境下运行相同的功能——Browser Extension、macOS、iOS、Android 以及 PC 桌面应用程序。这些应用程序旨在通过使用您设备上的安全本地处理和存储资源来执行所有存储与编排，从而让您对自身数据的处理方式拥有完全的选择权。用户界面在跨平台间保持一致，并提供相似的隐私和安全选择，但具体功能会因环境而异（例如，Browser Extension 无法直接与您的操作系统交互）。

完全本地选项： 通过本地提供商在您的设备上运行 AI 模型，使用本地语音识别和文本转语音（Kokoro、Whisper），将所有内容存储在本地——任何数据都不会离开您的设备。
云端 AI： 使用强大的云端 AI 模型、基于云的语音服务（ElevenLabs、Resemble.ai）以及向 Google Drive 的加密备份——对每项数据的流向保持完全透明。
语音朗读与转录器： Caiioo 为朗读文本和转录语音同时提供本地和云端选项——包括内置浏览器语音、ElevenLabs、Resemble.ai、用于转录的本地 Whisper 模型以及本地 Kokoro 神经朗读器。
随心组合： 选择云端 AI 搭配本地语音，或本地 AI 搭配云端备份。完全由您选择。

我们（公司）收集的内容： 您的电子邮件地址、显示名称和头像图片——用于在许可和订阅方面识别您的身份，并向您发送我们向您发送的电子邮件中所述的账户及产品消息。除此以外别无其他。应用程序还会检查我们的更新服务器以获取新版本；该检查在软件更新中有详细说明，且不携带任何标识符。

我们不收集的内容： 您的对话、浏览历史记录、API 密钥、文件、设置或您创建或查看的任何内容。

网站分析： 我们的营销网站（caiioo.ai）使用 Google Analytics 来衡量流量。在欧盟/英国/瑞士，在您同意之前，所有跟踪均会被阻止。在加利福尼亚州，在您同意之前，分析均会被阻止。

应用程序使用分析： Caiioo 应用程序包含可选的匿名使用分析。该功能在所有地方均默认关闭，需要您明确选择加入。我们绝不会通过使用分析收集您的对话、提示词、身份、IP 地址或任何稳定的设备标识符。自由文本字段在离开设备之前会在您的本地设备上进行清理。您可以随时在 Settings 中将其关闭。该选择不附加任何费用、折扣或对应用程序功能的变更——无论您是否参与，应用程序的运行方式都完全相同。请参阅下方的应用程序使用分析。

应用程序为您做些什么： 应用程序在您的设备上运行，充当您的个人工具。它们在本地存储您的数据，代表您连接到 AI 提供商和其他服务——通常使用您自己的凭据（例外情况请参见第三方服务）——并处理您的请求。当应用程序向云服务发送数据时，均是为了响应您的请求。

详细信息如下。 本声明解释了我们收集的内容、应用程序如何处理您的数据、所涉及的每项第三方服务以及您拥有的每项选择。

理解“我们”与“应用程序”

本隐私声明对 Caiioo 公司（“我们”、“我们的”）与 Caiioo 软件（“应用程序”、“软件”）进行了区分。这一区分非常重要：

Caiioo 公司是开发并分发该软件的组织。我们仅对我们直接收集的极少数数据充当数据控制者：您的电子邮件地址、显示名称和头像图片，这些数据用于识别您的身份以进行许可和订阅管理，以及向您发送我们向您发送的电子邮件中所述的信息。

Caiioo 应用程序是在您的设备上运行的软件。它们不是数据处理者，因为它们不是个人或组织——它们是在您的控制下运行的工具。当应用程序存储您的对话、读取网页或连接到 AI 提供商时，它们是在您的指示下，在您的设备上，为您执行这些操作。应用程序是作为您的代理人运作，而不是我们的代理人。

Caiioo 提供浏览器扩展（Chrome、Edge、Brave、Safari 及其他 Chromium 浏览器）、桌面应用程序（macOS、Windows、Linux）和移动端应用程序（iOS、Android）。所有平台均提供相同的核心功能和隐私选择，但也存在平台特有的差异（例如，浏览器扩展在浏览器沙盒内运行，无法直接与您的操作系统交互，而桌面和移动端应用程序在获得您许可的情况下，可以访问日历和提醒事项等原生系统功能）。

为什么这很重要：

当我们请求权限时（例如浏览器权限、日历访问权限），这些权限是为了让应用程序为您执行操作——而不是为了让我们访问您的数据。
应用程序的本地数据（对话、设置、文件）属于您并保留在您的设备上。我们无法访问这些数据。
当应用程序连接到第三方服务（AI 提供商、Google API 等）时，它们是作为您的客户端代表您进行连接——通常使用您自己的凭据，且无需我们作为中介。例外情况在第三方服务中说明。

本声明涵盖两方面内容：我们（公司）收集哪些数据，以及应用程序（软件）如何在您的设备上处理数据，以便您可以对自己的隐私做出明智的决定。

概述

Caiioo 是一套 AI 工具，提供浏览器扩展、桌面应用程序（macOS、Windows、Linux）和移动应用（iOS、Android）。我们致力于保护您的隐私。本政策解释了我们（公司）收集哪些数据、应用程序（软件）在您的设备上处理哪些数据，以及您对这两者的权利。

核心原则：您的数据默认保留在您的设备上。 Caiioo 的设计以隐私为核心原则。我们不运行从应用程序收集您数据的服务器，也无法访问您的对话、浏览历史记录或个人信息。应用程序是设备端软件，让您完全控制使用哪些云服务、访问哪些网站以及由哪些 AI 模型驱动您的体验。

数据收集与存储

我们（公司）收集的内容

我们收集最少限度的信息，用于许可验证和账户管理：

数据	用途	存储位置
电子邮件地址	账户识别和许可验证	Caiioo Private Relay (Cloudflare)
显示名称	账户识别	Caiioo Private Relay (Cloudflare)
头像图片	账户展示	Caiioo Private Relay (Cloudflare)
订阅/账单记录	支付处理	Stripe / Caiioo Private Relay
已注册设备（随机设备 ID、设备类型以及设备上次连接时间）	通过您的单租户中继在您的各设备间传输您自己的对话	Caiioo Private Relay (Cloudflare Durable Object，每个账户一个)
软件更新计数（每日：应用类型、应用版本、正在运行的内部版本号——仅为数字，不包含任何设备或账户标识符）	了解每个版本的安装量以及正在使用的数量	Caiioo Private Relay (Cloudflare Analytics Engine)

**这就是我们所掌握的关于您的全部数据清单；**最后一行中的更新计数仅是统计数字，并非关于您的记录。我们不会收集、接收或访问您的对话、浏览历史、文件、设置、API 密钥、OAuth 令牌，或您在应用中创建或查看的任何内容。

应用在您设备上存储的内容

以下数据由您设备上的应用进行管理。这是属于您的数据，完全由您控制——我们无法访问它，且它绝不会传输到我们的服务器：

数据类型	用途	存储位置
对话历史	显示所有会话线程中的聊天记录	浏览器存储 / 应用数据文件夹
用户资料	存储您的姓名、地址、电子邮件、电话和自定义变量	浏览器存储 / 应用数据文件夹
个人指令	记住您的偏好和上下文	浏览器存储 / 应用数据文件夹
模式配置	自定义模式、系统提示词和工具设置	浏览器存储 / 应用数据文件夹
API 密钥 (BYOK)	用于 AI 服务的身份验证 (OpenRouter/本地提供商)	浏览器存储 / 应用数据文件夹
Google OAuth 令牌	用于 Google 服务的身份验证	浏览器存储 / 应用数据文件夹
UI 偏好设置	主题、字号、色调	浏览器存储 / 应用数据文件夹
技能库	您创建的自定义提示词模板	浏览器存储 / 应用数据文件夹
附件与文件	您上传的文档、图片和文件	浏览器存储 / 应用数据文件夹

各平台的具体存储位置：

浏览器扩展程序 (Chrome, Edge, Brave 等): Chrome 的 chrome.storage.local API
桌面应用 (macOS, Windows, Linux): ~/Library/Application Support/caiioo/ (macOS), %APPDATA%/caiioo/ (Windows), ~/.config/caiioo/ (Linux)
移动应用 (iOS, Android): 应用沙盒本地存储

加密私有同步备份（可选）

各应用提供到 Google Drive 的可选加密备份功能。此功能完全由用户自选启用，且默认处于停用状态。

运作方式：

**加密：**在任何数据离开您的设备之前，应用会使用通过 PBKDF2 从您的密码派生的密钥，对其进行 AES-256-GCM 加密。
**上传：**应用会将加密后的数据上传到您个人 Google Drive 中的 Caiioo 文件夹。
**零知识：**我们绝不会看到您的加密密码或未加密的数据。即便是 Google 也无法读取您备份的数据——他们仅存储加密的数据块。

可备份的内容：

对话历史与会话线程
用户资料与设置
自定义模式与技能
附件与文件

隐私控制：

由您选择是否启用备份
由您掌控您的加密密码
您可以随时从 Google Drive 中删除备份
备份与您的 Google 账户关联，而非与 Caiioo 关联

**数据流向：**您的设备 → AES-256 加密 → Google Drive。应用完全在您的设备上处理此过程。我们的服务器绝不参与备份流程。

网站分析与 Cookie

Google Analytics（仅限网站）

我们的营销网站（caiioo.ai）使用 Google Analytics 4 来了解访客如何查找和使用该网站。这仅适用于网站。此外，Caiioo 应用提供可选的、匿名的、第一方使用情况分析——详见下文的应用使用情况分析（可选）。网站的 Google Analytics 与应用的使用情况分析完全相互独立：应用不使用 Google Analytics 以及任何其他形式的第三方分析。

收集的数据： 页面浏览量、引荐来源、国家/地区级别的位置、设备类型和浏览器类型
不收集的数据： 您的姓名、电子邮件、IP 地址（由 Google 进行匿名化处理）或来自 Caiioo 应用的任何数据
Google Analytics 设置的 Cookie： _ga、_ga_*（用于区分访客和会话）
其隐私政策： https://policies.google.com/privacy

Cookie 同意（Google Consent Mode v2）

我们使用 Google Consent Mode v2 根据您所在的地区遵循您的 Cookie 偏好设置：

欧洲经济区（EEA）、英国和瑞士（GDPR）： 所有分析和广告 Cookie 默认会被阻止，直到您通过我们的 Cookie 横幅明确表示同意。您可以接受全部、拒绝全部，或自定义允许的 Cookie 类型。
加利福尼亚州（CCPA）： 分析 Cookie 默认会被阻止，直到您同意。广告 Cookie 默认允许。
所有其他地区： 默认允许 Cookie。不显示横幅。

您可以随时通过在浏览器设置中清除 pf-consent Cookie 来更改您的 Cookie 偏好设置。

我们设置的 Cookie

Cookie	用途	有效期
`pf-locale`	记住您的语言偏好	1 年
`pf-country`	您的国家/地区代码（来自 Cloudflare 边缘），用于在受监管地区显示同意横幅	24 小时
`pf-consent`	您的 Cookie 同意偏好（例如，您接受或拒绝的 Cookie 类型）	1 年
`pf_auth_token`	如果您登录 Caiioo 账户所需的身份验证令牌	会话

应用中无第三方分析

需要明确的是：Caiioo 应用不包含任何第三方分析或追踪。 Google Analytics 仅用于营销网站。应用的可选使用情况分析（见下文）仅限第一方——它们运行在我们已经运营的同一 Cloudflare 基础设施上，不涉及 Sentry、Bugsnag、Datadog、Mixpanel、Google Analytics 或任何其他第三方分析服务。

应用使用情况分析（可选）

Caiioo 应用包含一个可选的匿名使用情况分析功能，旨在帮助我们修复错误并决定开发哪些功能。它旨在为我们提供产品信号，而无需识别您的身份或查看您的操作。

适用时间。 本节自发布之日起生效。由于使用情况分析是可选的且可拒绝，且不影响应用的功能，我们会在该功能可用时立即通知您，而不是提前数周通知。在任何地区，在您明确选择加入之前，都不会通过使用情况分析发送任何内容。

分阶段推出。 我们将分阶段开启此功能。不包含内容的信号（运行了哪个模型/工具/功能、成功或失败、点赞或点踩）将首先推出。包含您输入的文本的部分（反馈意见和错误报告中的诊断日志）仅在我们在实地验证了设备端清理功能能够在任何内容离开您的设备之前可靠地删除个人信息之后，才会进行收集。在证明该清理功能有效之前，我们不会声称文本字段在发送前已被清理。

您的选择与控制方式

所有地区： 使用情况分析默认关闭。我们在首次启动时会询问是否开启。除非您明确选择加入，否则不会发送任何内容。
现有安装： 如果我们无法验证以前启用的设置是否来自明确的选择，则分析功能将保持关闭状态，直到您重新做出选择。先前明确拒绝的选择将被保留。
所有地方： 您可以随时在设置 → 隐私与诊断中开启或关闭使用情况分析。关闭它和开启它一样简单。
无奖励，无惩罚： 我们不会以分享使用数据为由提供任何折扣、付款、积分或额外功能，也不会在您拒绝时收取更多费用、扣留功能或降低应用性能。无论您如何选择，应用的功能完全相同。

法律依据

如果此功能根据 GDPR、英国 GDPR 或瑞士 FADP 适用于您，我们的法律依据是您的同意（GDPR 第 6 条第 1(a) 款），您可以随时撤回该同意，但这不影响撤回前基于同意进行的处理的合法性。使用情况分析对于履行我们与您的合同并非必需 —— 这就是为什么无论您是否参与，应用都完全功能正常。

使用情况分析收集什么

这些数据是匿名的且不包含内容 —— 使用事件绝不包含您发送的提示词或收到的回复、您的附件，或者您创建或查看的任何其他内容。我们最依赖的信号仅包含架构 —— 枚举、计数和不含自由文本的区间。极少数可能包含您输入的文本的字段（错误消息、反馈意见和错误报告日志）会在发送前在您的设备上进行清理，使用的是保护您与 AI 模型对话的同款设备端检测技术；根据上述分阶段推出计划，在设备端清理在实地得到验证之前，我们不会收集这些包含文本的字段。具体而言，使用情况分析可能包括：

使用事件 —— 使用了哪个 AI 模型、工具、模式或功能；操作是成功还是失败；延迟和大小的粗略“区间”（绝非精确值）；会话长度区间；以及应用的运行时（扩展、桌面、移动端）
错误事件 —— 标准化的错误类别、经过清理的错误消息和堆栈（仅限函数/文件名），以及发生错误的模块
反馈 —— 对 AI 回复的点赞或点踩，以及在发送前会在您的设备上进行清理的可选简短评论
Hub 软件包事件 —— 安装/卸载/使用可选的 Hub 软件包，用于支持安装计数和可靠性追踪
错误 reports —— 仅在您明确点击“发送错误报告”时；包含您可以在发送前审查的经过清理的诊断日志

所有事件仅携带天级日期（YYYY-MM-DD）—— 绝无精确的时间戳 —— 且没有在应用启动之间持久存在的标识符，因此事件无法与您的身份关联或追溯到您。

使用情况分析绝不收集什么

对话、提示词、AI 回复、附件或文件内容
API 密钥、OAuth 令牌、许可证密钥或任何凭据
您的身份、电子邮箱、账户 ID 或个人资料名称
您的 IP 地址（Cloudflare 在我们的代码看到请求之前就会将其删除）
任何稳定的设备指纹或持久的客户端 ID
精确的时间戳（事件仅携带天级日期）
您访问的 URL、浏览历史或页面内容
文件名、文件夹名称或操作系统账户名称

数据的去向与保留期限

使用情况分析数据作为第一方数据存储在我们现有的 Cloudflare D1 数据库中，仅限 Caiioo 团队访问 —— 没有第三方分析供应商。我们仅在数据有用时予以保留，之后会自动将其删除：使用事件最多保留 180 天，错误事件保留 90 天，反馈最多保留 365 天，错误报告保留 30 天，Hub 安装/卸载计数则持续进行（单个使用/错误事件保留 90 天）。

错误报告始终由您决定

即使开启了使用情况分析，错误报告和崩溃详情也绝不会自动发送。它们仅在您在对话框可见的情况下点击“发送错误报告”时才会发送，并且您可以在发送前审查确切的（经过清理的）内容。

第三方服务

这些应用程序会根据您的指示并代表您连接至各种第三方服务。除下文另有说明外，它们均使用您的凭据并直接从您的设备与各服务进行通信，而我们（本公司）不是这些数据流的中介。

我们将这些归类为用户主导的集成：即用户通过作为其本地客户端软件的应用程序，使用自己的账户和凭据直接连接的服务。Caiioo 提供集成脚手架（OAuth 客户端配置、API 包装器、UI），但连接由您发起，您同意各服务自身的条款，且数据直接在您的设备与服务之间流动。对于您与用户主导的服务之间交换的数据，本公司既不是数据控制者，也不是数据处理者。

例外情况包括我们的许可证验证服务（详见下文），该服务由公司运营的基础设施提供，我们在此担任数据控制者；Caiioo 的免费 AI 服务及 Caiioo 提供的密钥，这些使用 Caiioo 自己的 OpenRouter 账户（参见 OpenRouter API）；以及 Google 登录，该过程会经过我们的服务器（参见 Google APIs）。

OpenRouter API

当您使用云端 AI 功能时，应用程序会将您的消息发送至 OpenRouter (openrouter.ai)，由其将请求路由至各个 AI 模型提供商（Anthropic、OpenAI、Google、Meta 等）。

**应用程序发送的内容：**您的对话消息、系统提示词以及您明确与 AI 共享的任何页面内容
**未发送给我们的内容：**如果您使用自己的密钥，应用程序会直接将其发送至 OpenRouter——我们绝不会看到它。Caiioo 的免费 AI 服务及 Caiioo 提供的密钥使用的是 Caiioo 自己的 OpenRouter 账户；应用程序仍会直接从您的设备将消息发送至 OpenRouter，而不经过我们的服务器。
**用户个人资料数据：**您的个人指示和个人资料变量（姓名、位置等）包含在应用程序发送给 AI 模型的系统上下文中，以实现个性化回复
**通过 OpenRouter 路由的服务：**Perplexity 研究查询、图像生成请求以及其他 AI 模型请求均通过 OpenRouter 进行路由
其隐私政策：https://openrouter.ai/privacy

Perplexity（研究 - 可选）

应用程序可以使用 Perplexity 进行深度研究和网络搜索。Perplexity 请求通过 OpenRouter 进行路由。

**应用程序发送的内容：**您的研究查询以及您提供的任何上下文
**未发送的内容：**您的完整对话历史记录或个人资料
**目的：**提供附带来源引用的 AI 驱动型网络研究
**路由：**请求通过 OpenRouter 发送（见上文）
其隐私政策：https://www.perplexity.ai/privacy

图像生成服务（可选）

当您使用图像生成功能时，应用程序会将您的提示词发送给图像模型提供商。图像生成请求通过 OpenRouter 路由。

**FLUX.2：**通过 OpenRouter 由 Replicate 或其他托管提供商提供
**Google Gemini：**通过 OpenRouter 借助 Google 的 API 进行图像生成
**Seedream 及其他：**通过 OpenRouter 访问的各种提供商

**发送的内容：**您的图像生成提示词以及您提供的任何参考图像 **未发送的内容：**对话历史记录、个人数据或无关内容

Apple 集成（macOS/iOS - 可选）

在 Apple 平台上，应用程序可以与原生 Apple 服务集成：

**Apple 日历：**通过 EventKit 读取和创建日历日程
**Apple 提醒事项：**通过 EventKit 读取和创建提醒事项
**Apple 备忘录：**通过 AppleScript/脚本桥接读取和创建备忘录

隐私影响：

应用程序根据您的请求访问存储在您设备上 Apple 应用程序中的数据
数据将在本地处理，或在您请求分析时发送至您选择的 AI 提供商
我们（本公司）不会接收或存储您的 Apple 日历、提醒事项或备忘录数据
需要在 macOS/iOS 上获得明确的权限授予——这些权限使应用程序能够代表您处理您的数据

MCP 服务器（桌面端 - 可选）

应用程序的桌面版本支持模型上下文协议（MCP）服务器以实现可扩展性：

**什么是 MCP 服务器：**为 AI 提供额外工具和功能的本地程序
**数据流向：**MCP 通信在应用程序与您计算机上的 MCP 服务器进程之间于本地进行
**隐私：**发送至 MCP 服务器的数据保留在您的设备上（除非 MCP 服务器本身连接到外部服务）
**您的控制权：**您可以选择安装和运行哪些 MCP 服务器。我们不会参与且无法查看 MCP 服务器的使用情况。

**重要免责声明：**MCP 服务器由第三方开发和维护。Caiioo 无法就 MCP 服务器的安全性、可靠性或行为提供保证或陈述。第三方 MCP 服务器可能包含恶意代码或设计缺陷，从而可能危及您的数据或系统安全。我们强烈建议仅使用由服务提供商官方赞助的 MCP 服务器（例如来自 GitHub 的官方 GitHub MCP 服务器）或其他信誉良好、知名的第三方提供的 MCP 服务器。从未知来源安装 MCP 服务器时请务必谨慎。

Google APIs（可选）

如果您选择连接您的 Google 账户（用于 Gmail、Drive、Docs、Sheets、Slides、Calendar、Meet、Photos 或 YouTube）：

**身份验证：**应用程序在浏览器扩展中使用 Chrome 的内置 OAuth 流程（chrome.identity API），或在其他平台上使用标准 OAuth 流程。令牌存储在您的本地设备上。当您登录以及令牌刷新时，请求仅为了让我们添加我们的应用凭据而经过我们的服务器；我们绝不会存储或记录这些令牌。
**数据访问：**应用程序仅在您明确请求时（例如，“打开我的 Google 文档”或“创建文档”）才会访问 Google 服务，唯一的例外是：一旦您连接了 Google Calendar，应用程序会在后台检查其变动以保持您的日程安排最新
**我们的角色：**我们作为开发者向 Google 注册这些应用程序，以便它们能够代表您请求权限。我们绝不会看到您的 Google 密码，也绝不会存储或记录您的 OAuth 令牌。当您授权 Google 权限时，您是在授权应用程序代表您与 Google 协同工作——而非授予我们访问您 Google 数据的权限。
其隐私政策：https://policies.google.com/privacy

许可证验证服务（Caiioo 基础设施）

这是我们（本公司）直接参与的唯一服务。如果您购买了订阅或使用高级功能，我们会使用我们自己的基础设施来管理许可证，并为每个独立用户提供单租户加密中继（由 Cloudflare Durable Objects 提供支持）：

**发送给我们的内容：**您的电子邮件地址、许可证层级和许可证密钥
**未发送给我们的内容：**对话数据、浏览历史、设置、个人信息或您在应用程序中创建的任何内容
**目的：**识别您的账户、验证许可证密钥并检查订阅状态
**数据最小化：**我们仅存储您的电子邮件身份、许可证层级和许可证密钥——这是许可所需的最低限度数据
**安全性：**我们的许可服务受到现代化防御措施的保护，并符合行业最佳实践
风险缓解：即使在攻击者获取了对该服务的访问权限这一极不可能发生的情况下，他们也只能看到客户的许可状态（电子邮件、层级、密钥）。他们将无法访问您本地设备上的任何数据——您的对话、文件、设置和所有应用程序内容均保留在您的设备上，绝不会传输给我们。
**数据保留：**许可证和账单记录将依法保留
基础设施隐私政策：https://www.cloudflare.com/privacypolicy/

软件更新

应用程序会向我们的更新服务器（relay.caiioo.ai）检查用户界面的新版本，在桌面端还会检查本地代理的新版本：桌面端应用程序大约每 15 分钟检查一次，移动端应用程序在打开时以及大约每 6 小时检查一次。检查时会发送应用程序的版本、当前运行的构建版本以及应用程序的类型（桌面端或手机端）。我们将这些数据按应用程序类型和版本计入每日统计，以便了解每个版本上有多少安装量以及有多少在使用中——以便安全淘汰旧版本并了解应用程序的使用广泛程度。**该计数仅为一个数字：它不包含设备标识符、账户标识符，也没有单设备记录，我们无法获知某次检查来自哪一个安装。**更新检查是更新正常运作所必需的，不受您对使用情况分析选择的影响。在适用 GDPR 或 UK GDPR 的情况下，对该请求的瞬间处理（与任何网络请求一样，在传输中会携带您的 IP 地址）基于我们在交付和监控软件更新方面的合法利益（Art. 6(1)(f)）；存储的统计数据是匿名的。

语音功能

应用程序提供文本转语音（TTS）和语音转文本（STT）功能，您可以选择本地处理或云端处理。Caiioo 提供一系列语音服务，包括内置浏览器语音、ElevenLabs、Resemble.ai、用于转录的本地 Whisper 模型以及本地 Kokoro 神经阅读器。

文本转语音（朗读 AI 回复）

您可以在以下选项中进行选择：

基于浏览器的 TTS（本地 - 极致隐私）
- 使用您浏览器的内置 Web Speech API
- 音频完全在您的设备上合成
- 不会向任何地方发送数据——完全私密
- 语音质量取决于您操作系统的语音库
Kokoro TTS（本地神经网络 - 极致隐私）
- 使用通过 WebAssembly 在您设备本地运行的 Kokoro 神经 TTS 模型
- 模型（约 330MB）仅需下载一次并在本地缓存
- 不会向任何地方发送数据——在兼顾高质量语音的同时实现完全私密
- 支持多种声音选项（10 种内置声音）
ElevenLabs TTS（云端 - BYOK）
- 使用 ElevenLabs API 获得自然的声音
- 需要您自己的 ElevenLabs API 密钥（由应用程序本地存储）
- **应用程序发送的内容：**正在被大声朗读的具体消息文本，加上您的 API 密钥
- **未发送的内容：**对话历史记录、上下文或任何其他数据
- 支持流式传输以实现低延迟播放
- 其隐私政策：https://elevenlabs.io/privacy-policy
Resemble.ai TTS（云端 - BYOK）
- 使用具有声音克隆功能的 Resemble.ai API
- 需要您自己的 Resemble.ai API 密钥（由应用程序本地存储）
- **应用程序发送的内容：**正在被大声朗读的具体消息文本，加上您的 API 密钥
- **未发送的内容：**对话历史记录、上下文或任何其他数据
- 其隐私政策：https://www.resemble.ai/privacy-policy

语音转文本（语音听写）

您可以在以下选项中进行选择：

基于浏览器的 STT（本地 - 极致隐私）
- 使用您浏览器的内置 Web Speech API
- 音频完全在您的设备上处理
- 不会向任何地方发送音频数据——完全私密
- 识别质量取决于您的浏览器和操作系统
Whisper（本地 - 极致隐私）
- 通过 WebAssembly 在您设备本地运行 Whisper 模型
- 提供多种模型尺寸（39MB 至 488MB），仅需下载一次并在本地缓存
- 不会向任何地方发送音频数据——在提供 AI 级转录质量的同时实现完全私密
- 支持 99 种语言（多语言模型）
ElevenLabs STT（云端 - BYOK）
- 使用 ElevenLabs 实时转录 API
- 需要您自己的 ElevenLabs API 密钥（由应用程序本地存储）
- **应用程序发送的内容：**来自麦克风的音频流，加上您的 API 密钥
- **未发送的内容：**对话历史记录、上下文或任何其他数据
- 其隐私政策：https://elevenlabs.io/privacy-policy

语音模型存储

本地语音模型（Kokoro、Whisper）在首次下载后会在您的设备上缓存
存储位置：~/Library/Application Support/caiioo/models/（macOS），其他平台上为对应位置
您可以随时删除缓存的模型以回收存储空间

**隐私控制：**所有语音功能均可在“设置”→“语音”中完全禁用。您可以自由选择侧重隐私（本地）还是质量（云端）。云端语音提供商需要您自己的 API 密钥——我们绝不会看到您的语音数据或 API 密钥。

API Keys 与订阅计划

自带密钥 (BYOK)

如果您提供自己的 OpenRouter API key：

应用程序会将您的密钥通过加密存储保存在您的本地设备上
应用程序仅在进行 AI 请求时将您的密钥发送给 OpenRouter
我们（公司）从未接收、存储或拥有访问您 API key 的权限
您可以通过您的 OpenRouter 账户完全控制您的 AI 使用情况和计费

隐私增强型 AI 资助

Caiioo 提供了一种使用 Caiioo 预置 API key 的选项，您可以按成本价为其充值。此选项旨在通过屏蔽您与 OpenRouter 等 AI 提供商的直接接触来保护您的隐私：

运作方式： 您无需在 AI 提供商处创建自己的账户，而是向您的 Caiioo 预置密钥添加资金。应用程序代表您使用此密钥访问 AI 模型。
隐私优势： 您的身份和使用情况不会直接与 OpenRouter 或其他提供商账户关联。Caiioo 在您和 AI 提供商之间充当隐私层。
按成本价： 资金按成本转交 —— 我们不会对预置密钥的 AI 使用费进行加价。
您的对话保持本地化： 无论您使用哪种密钥，您的对话数据都保留在您的设备上。我们无法访问您的对话。

Ollama (自托管)

如果您使用 Ollama 运行本地 AI 模型：

不需要 API key
所有 AI 处理都在您的本地机器上进行
没有任何对话数据被传输到任何外部服务
Ollama 服务器 URL 存储在本地
隐私优势： 使用本地模型时，没有任何数据离开您的设备

订阅计划

订阅计划用于软件访问 —— 它们解锁了 Caiioo 平台内的功能和能力。订阅不包含 AI 额度。

如果您向我们购买订阅计划：

您将获得高级软件功能（集成、工具、模式和平台能力）的访问权限
您可以选择向 Caiioo 预置 API key 添加资金，作为访问 AI 模型的独立成本价服务（参见上文的“隐私增强型 AI 资助”）
您的对话保留在您的本地设备上 —— 我们无法访问它们
我们仅出于授权目的跟踪订阅状态，而不跟踪对话内容

零数据保留 (ZDR) 模型

许多 AI 提供商提供零数据保留选项，这意味着他们不会存储您的对话或利用其进行训练：

ZDR 的含义： AI 提供商处理您的请求后立即将其丢弃 —— 无日志、无训练、无保留
如何使用： Caiioo 允许您过滤并选择具有 ZDR 政策的模型
提供商政策： ZDR 由 AI 提供商（Anthropic、OpenAI、Google 等）决定，而非由 Caiioo 决定
验证： 请查看特定提供商的数据保留政策以了解详情

为了实现最大程度的隐私： 请将 ZDR 云端模型与本地存储结合使用，或者通过 Ollama 使用完全本地化的模型，这样任何数据都不会离开您的设备。

用户资料与个性化

应用程序允许您创建包含以下信息的个人资料：

您的姓名
家庭和工作地址
电子邮件和电话号码
首选语言
自定义变量（例如公司名称、项目详情）
个人指令和偏好

这些数据如何处理：

由应用程序仅存储在您的本地设备上
由应用程序包含在发送给 AI 模型的系统上下文中，以提供个性化回复
从未传输给我们（Caiioo 公司）。我们看不见、不存储也无法访问您的个人资料数据。
您可以随时在“设置 → 用户资料”中查看、编辑或删除此信息

重要提示： 此应用内资料与您的 Caiioo 账户（电子邮件、姓名、头像）是分开的。应用内资料内容更丰富且完全本地化；账户信息是我们用于授权的最小集合。

示例： 如果您将姓名设置为“Vassia”，位置设置为“俄亥俄州阿克伦”，AI 将知道您的姓名，并可以使用应用程序的工具提供与位置相关的信息（天气、当地商家等）。

模式与自定义配置

该应用程序支持多种“模式”（例如：通用、购物助手、工作场所），并具有不同的：

系统提示词
AI 模型
工具权限
温度与迭代设置
模式特定变量

隐私影响：

所有模式配置均由应用程序存储在您的本地设备上
您创建的自定义模式将保留在您的设备上
应用程序会将模式设置（包括系统提示词）作为对话上下文的一部分发送给 AI 提供商
我们（公司）不会追踪您使用哪些模式或您如何配置它们

工具与功能

这些应用包含多个工具类别，可针对不同模式进行启用或禁用。这些工具允许应用在您的指示下为您执行操作。我们（公司）无法获知您使用了哪些工具或这些工具访问了什么内容。

网络浏览工具

应用功能： 导航至 URL、搜索网络、提取页面内容、点击元素、填写表单以及与网页交互（包括注入内容脚本以实现页面自动化，如点击、滚动、表单填写和内容提取）
智能体浏览： 当 AI 智能体代表您浏览网页时，它在网络服务看来就是您本人——网站无法可靠地分辨出是您直接浏览还是智能体引导的浏览。您应将智能体视为您自身浏览器的扩展，并据此管理和观察其操作。
隐私： 仅当您明确要求 AI 分析或与页面交互时，应用才会访问页面内容
数据流： 页面内容由应用发送至 AI 提供商（OpenRouter 或本地模型）进行分析
视觉指示： 当智能体与页面交互时，应用会显示视觉叠加层（光标动画、高亮显示），以便您查看智能体的操作

文件操作工具（仅限桌面端）

应用功能： 读取、写入、编辑和管理您设备上的文件
可用性： 这些工具仅在桌面应用程序（macOS、Windows、Linux）中可用，浏览器扩展程序或移动应用中不可用
隐私： 仅当您明确请求时，应用才会访问文件
数据流： 当您要求分析或编辑时，文件内容可能会由应用发送至 AI 提供商

API 集成工具

应用功能： 向外部 API 发送 HTTP 请求
隐私： 应用仅执行您明确授权的请求
数据流： API 响应可能会由 AI 代表您进行处理

Google Docs 工具

应用功能： 创建、读取和编辑 Google Docs/Sheets
智能体访问： 当 AI 智能体处理您的 Google 文档时，它代表您行事，在 Google 看来就是您本人。您应在了解此情况的前提下管理和观察其操作。
隐私： 要求您明确连接您的 Google 账户。应用使用您的凭据访问 Google 服务——我们无法查看您的 Google 数据。
数据流： 文档内容可能会由应用发送至 AI 提供商进行分析/编辑

配置文件工具

应用功能： 允许 AI 修改您的用户配置文件和设置
隐私： 默认禁用；仅在 Helper 模式下可用
数据流： 更改由应用在您的设备存储中本地完成

Slate 与文档编辑（最高隐私）

本应用包含一个用于编辑代码和文档的“Slate”功能，具有零云存储特性：

功能： 为代码、Markdown 和 HTML 文件打开一个应用内编辑器
隐私： 所有编辑均在您的设备上本地进行。文件完全存储在您的浏览器存储或应用数据文件夹中——没有任何内容存储在云端。
数据流： 仅在您明确请求时，应用才会将文档内容发送给 AI 提供商以获取建议或修改

权限说明

应用请求各种平台权限以便作为你的工具发挥作用。这些权限赋予了运行在你设备上的应用各项能力——它们并不意味着我们（该公司）能够访问你的数据。具体请求的权限因平台（浏览器扩展、桌面端、移动端）而异，但其目的完全相同：使应用能够为你工作。

浏览器扩展权限

权限	它使应用能为你做什么
`sidePanel`	在 Chrome 的侧边栏中显示助手
`storage`	将你的设置、对话和用户资料本地保存在你的设备上
`activeTab`	当你要求 AI 分析页面内容时读取该内容
`scripting`	应你的请求从网页中提取文本并与页面元素进行交互
`tabs`	访问标签页的 URL 和标题以提供具上下文感知的协助。当你询问有关浏览器状态或请求与标签页相关的操作时，发送给 AI 提供商的对话上下文中确实包含标签页的 URL 和标题。这支持诸如“总结我打开的标签页”或“找到我正在阅读关于 X 的那个标签页”之类的功能。
`tabGroups`	将 AI 打开的标签页组织成特定于对话的分组
`unlimitedStorage`	在你的设备上本地存储无限的对话历史记录和附件
`alarms`	保持应用的后台服务运行以提供可靠的响应
`identity`	可选的 Google 登录，以便应用能为你访问 Google 服务（令牌保留在你的设备上）
`declarativeNetRequest`	使应用能够与你的本地 AI 服务器通信（仅修改 localhost 的 Origin 标头）
`declarativeNetRequestWithHostAccess`	与 `declarativeNetRequest` 一起应用可选的广告/跟踪器拦截规则集（默认关闭；由你选择加入）
`offscreen`	允许应用在后台处理 PDF 和图像，而无需显示额外的窗口
`notifications`	为你在应用内创建的日历事件和提醒显示警报
`geolocation`	将你的位置添加到对话上下文中——可选且默认关闭。只有当你开启设置中的位置功能（并授予浏览器自己的位置提示权限）时，应用才会读取你的位置，从而启用位置感知的请求，如本地推荐、天气、“附近”搜索以及旅行/时区帮助。坐标会使用捆绑的离线位置数据库完全在你的设备上转换为城市名称——不会联系任何第三方地理编码服务——并且结果会在你的设备上缓存约一个小时。你可以选择精度：城市（启用时的默认设置）使用粗略的大致位置；精确（可选加入）请求完整的 GPS 精度以用于导航、地图和路线。如果 GPS 不可用，仅在你选择加入的情况下才会使用基于 IP 的估计——该查找会联系第三方位置服务（ipapi.co / ipwho.is）且默认关闭。在任何情况下，你的位置都仅包含在你发送给所选 AI 提供商的提示词中。它绝不会发送给我们，也绝不会用于跟踪或分析。你可以随时在“设置”或浏览器的网站设置中撤销此权限。
`<all_urls>`	允许应用读取和交互你希望 AI 分析的任何页面的内容

桌面端与移动端权限

桌面端和移动端应用请求与类似功能相符的平台权限：

文件系统访问权限： 应你的请求读取和写入你设备上的文件
日历与提醒： 访问 Apple EventKit（macOS/iOS）以实现日历和提醒集成
备忘录： 通过 AppleScript（macOS）访问 Apple 备忘录以实现备忘录集成
网络： 代表你连接到 AI 提供商、Google APIs 和其他服务
麦克风： 当你使用语音听写时捕获用于语音转文本的音频
位置： 在你启用时将你的位置添加到对话上下文中（可选，默认关闭）。在移动端（iOS/Android）和桌面端，应用使用操作系统的定位服务；精确模式请求完整的 GPS 精度以用于导航，城市模式使用粗略位置。逆地理编码在设备上完成（无第三方地理编码器）；位置仅包含在你发送给所选 AI 提供商的提示词中，绝不会发送给我们。其处理方式类似于上述浏览器扩展的 geolocation 权限。

这些权限均不允许我们（Caiioo 公司）访问、收集或查看你的浏览数据、页面内容、文件或标签页。 这些权限完全在你的设备上的应用内部运行。

数据共享

我们（本公司）不会出售、交易或向第三方转让您的个人信息。出于授权许可目的，我们持有的唯一数据是您的电子邮箱、姓名和头像。

应用代表您传输的数据：

应用会根据您的指示向第三方服务发送数据。这些连接直接来自于您设备上的应用——我们并非中间人：

向 OpenRouter（或您选择的 AI 提供商）： 当您发送消息时，应用会发送您的对话上下文（包括消息、系统提示词、用户资料以及任何共享的页面内容）以生成回复
向本地 AI 提供商（如果已配置）： 当使用本地模型（例如 Ollama）时，应用仅向您的本地服务器发送数据——任何内容都不会离开您的设备
向 Google： 当您使用 Google 功能时，应用会使用您的 OAuth 令牌直接向 Google 的 API 发送请求（登录和令牌刷新会经过我们的服务器；请参阅 Google APIs）
向 ElevenLabs / Resemble.ai： 当您使用云端语音功能时，应用会使用您自己的 API 密钥发送文本或音频
向外部 API： 当您明确使用 API 集成工具时，应用会代表您发起 HTTP 请求

我们（本公司）接收的数据：

来自订阅用户： 如果您购买了订阅，我们会收到您的电子邮箱、姓名、头像和账单信息（不包含对话内容）

数据保留

应用数据（在您的设备上）：

本地数据： 由您设备上的应用存储，直到您清除数据或卸载应用
清除对话： 您可以从用户界面中删除单个对话线程或所有对话历史记录
清除设置： 您可以重置设置为默认值或删除自定义模式/变量
清除所有数据： 卸载应用会立即且永久移除所有本地数据
无服务器备份： 我们不会对您的应用数据进行服务器端备份。一旦在本地删除，数据将无法恢复。
删除前导出： 请在清除或卸载之前使用“设置”→“备份与恢复”导出您的数据

公司持有的数据：

账户数据： 您的电子邮件、姓名和头像在您的账户存在期间予以保留。
账户删除： 您随时可以从账户页面上的删除账户部分永久删除您的账户。删除操作会立即移除您的个人资料、登录凭证、已注册设备、AI 使用额度余额，以及我们为您持有的任何预配 OpenRouter API key 的加密副本。审计日志记录在剔除您的账户标识符后予以保留，仅用于合规目的。删除操作是不可逆的 —— 此后我们无法恢复该账户或其数据。
OpenRouter API keys： 代表您创建的预配 OpenRouter key 存在于 OpenRouter 的系统中，当您删除 Caiioo 账户时不会被销毁，除非您在删除过程中明确要求撤销。如果您想继续直接将剩余额度余额用于 OpenRouter，请从删除流程中复制该 key。删除 Caiioo 账户后，您可以从您的 OpenRouter 仪表板管理该 key。
订阅数据： 如果您取消订阅，系统将根据法律要求保留账单记录。当您删除账户时，我们会尝试取消通过 Stripe 计费的订阅。删除账户不会取消通过 Apple 计费的订阅；Apple 计费将继续，直到您取消订阅。请在删除 Caiioo 账户之前取消订阅。在 iPhone 或 iPad 上，打开“设置”→“[您的姓名]”→“订阅”→“Caiioo”→“取消订阅”。除法律另有规定外，以前支付的费用不予退还。

您的权利

您有权：

访问： 查看您的所有数据（存储在您的本地设备上）
编辑： 随时修改您的用户资料、设置和对话
删除： 移除单个对话、自定义变量或所有数据，并从账户页面的“删除账户”部分永久删除您的 Caiioo 账户
导出： 使用内置导出功能（设置 → 备份与恢复）导出您的对话、设置和配置
可移植性： 导入/导出设置以便在设备间移动或创建备份
选择退出： 在没有订阅的情况下使用应用程序（BYOK 模式，使用您自己的 API 密钥）

儿童隐私

Caiioo 不面向 13 岁以下的儿童。我们不会故意收集 13 岁以下儿童的信息。

安全性

应用程序采取了多项安全措施来保护您的数据：

本地存储加密： 平台存储 API 使用操作系统的加密功能
无服务器端存储： 我们不在服务器上存储您的应用数据，降低了泄露风险
直接 API 通信： 应用程序将 API 密钥直接发送给提供商，绝不经过我们的服务器
OAuth 令牌： Google 令牌由应用程序管理，并使用平台的加密存储 API 安全地存储在您的设备上
令牌隔离： OAuth 令牌存储在本地用户资料中。如果您导出资料，令牌将包含在导出文件中。
云端语音 API 密钥： ElevenLabs 和 Resemble.ai 的 API 密钥存储在您的本地设备上，绝不传输给我们

您的责任：

确保您的 API 密钥安全，切勿分享
为您的 Google 账户使用强密码
定期检查您的用户资料和设置
仅从官方 Chrome Web Store、App Store 或授权的分发渠道安装 Caiioo
请理解，当您指示应用程序与 AI 提供商共享内容时，该内容受该提供商隐私政策的约束

我们向您发送的电子邮件

账户与设置邮件。 我们使用您的电子邮件地址向您发送与您的账户及您已拥有的软件相关的消息：登录与验证码、密码重置、账单通知、安全警报，以及在您注册后发送的简短设置指导系列邮件，向您介绍如何使用已拥有的功能。这些都是拥有账户所附带的通知，只要您持有账户，就会持续收到。

产品资讯是独立的，且为选填项。 新功能、升级和优惠信息均属于营销内容。该选项默认关闭，除非您主动开启，并且它绝不是使用应用程序的先决条件——无论开启与否，应用的功能表现完全一致。每封营销邮件均包含一键取消订阅链接以及我们的邮寄地址，我们会在一个工作日内处理退订请求。

更改任一偏好。 您可以随时在账户页面更改您的电子邮件偏好，或通过发送邮件至 [email protected] 进行更改。

我们绝不共享您的地址。 我们不会出于第三方的营销目的而向任何其他人出售、出租或共享您的电子邮件地址。

若 GDPR 或英国 GDPR 适用于您。 我们发送账户与设置邮件，是因为这是向您提供所注册服务所必需的（第 6(1)(b) 条）。我们仅在获得您同意的情况下发送产品资讯（第 6(1)(a) 条），您可以随时撤回该同意——撤回同意不会使我们此前已发送的内容变为非法。

本政策的变更

我们可能会不时更新此隐私政策。变更将发布在此页面上，并附带更新后的修订日期。重大变更将通过以下方式传达：

应用商店中的更新说明（Chrome Web Store、App Store 等）
应用内通知（如果适用）
电子邮件（针对订阅用户）

Google API 服务用户数据政策

Caiioo 对从 Google API 收到的信息的使用严格遵守 Google API Services User Data Policy，包括“有限使用”（Limited Use）要求。

有限使用披露

Caiioo 对从 Google API 收到的信息的使用以及向任何其他应用的传输，均将遵守 Google API 服务用户数据政策，包括“有限使用”要求。

具体而言：

应用仅请求实现您明确要求的功能所必需的 Google 用户数据访问权限
我们不会将 Google 用户数据用于投放广告
我们不会允许人工查阅 Google 用户数据，除非：
- 您直接且故意向我们提交，例如您随支持工单附带的日志
- 出于安全目的（检测滥用行为）
- 法律规定要求
我们不会向第三方传输 Google 用户数据，除非：
- 传输给您所使用的 AI 提供商——无论是您自选的，还是通过 OpenRouter 提供的 Caiioo 免费 AI 服务——且前提是您明确要求通过应用分析 Google Docs、Gmail 或其他 Google 内容
- 遵守适用法律所必需
- 作为合并、收购或资产出售的一部分，且仅在获得您明确的事先同意后进行

您的 Google 身份验证令牌由应用保存在您的本地设备上。它们仅在登录和令牌刷新期间经过我们的服务器，以便我们附加应用凭据；我们绝不会存储或记录它们。当您授予 Google 权限时，您授权的是应用为您访问 Google 服务，而非授予我们访问您 Google 数据的权限。

联系我们

如果您对本隐私政策有任何疑问，请通过以下方式联系我们：

电子邮件： [email protected]
网站： https://caiioo.ai
支持： 向 Caiioo 提出支持问题。Pro 用户可以从“设置”中提交工单。

概述

问题	回答
你们（公司）会收集哪些信息？	电子邮件、姓名和头像——用于许可授权，以及向您发送上文所述的账户与产品电子邮件
你们会收集我的对话内容吗？	不会——应用程序会将它们存储在您设备的本地；我们永远无法查看
你们能看到我的 API 密钥吗？	不能——除非您使用的是由 Caiioo 提供的密钥（平价提供，增强隐私保护）
你们有权限访问我的 Google 账户吗？	没有——Google 是一项由用户自主控制的集成功能；应用程序会使用您的令牌直接进行连接
你们会追踪我的浏览行为吗？	不会
你们会追踪我的位置吗？	不会——位置信息为可选项，且默认处于关闭状态。当您启用该功能时，它仅会包含在您发送给所选 AI 提供商的提示词中，绝不会发送给我们
你们会使用数据分析吗？	营销网站会在征得同意的情况下使用 Google Analytics 4。应用程序提供可选、匿名、第一方的使用分析——在所有平台均默认关闭且需明确选择加入，不涉及对话，不涉及身份，无第三方追踪器。
共享使用数据会有报酬或向我收费吗？	不会。选择加入没有任何奖励，选择退出也不会受到任何惩罚——无论哪种方式，应用程序的功能都完全一致。
我的数据存储在哪里？	存储在您的设备上（浏览器存储空间、应用数据文件夹或应用沙盒）
我的个人资料会发送给 AI 模型吗？	会——应用程序发送它是为了提供个性化的回复，但绝不会发送到我们的服务器
为什么应用程序会请求这么多权限？	这样它们才能代表您浏览网页、读取文件并使用各项服务——而不是为了我们
我可以完全离线使用 Caiioo 吗？	可以——通过本地 AI 模型和本地语音（Kokoro、Whisper）即可实现
我可以备份我的数据吗？	可以——使用 AES-256 加密备份到 Google Drive（可选）
Google 能读取我的备份吗？	不能——应用程序会在上传前进行加密；只有您拥有密钥
我可以私密地使用语音功能吗？	可以——浏览器 TTS/STT、Kokoro TTS 和 Whisper STT 均完全在您的设备上运行
什么是 Zero Data Retention 模型？	不会存储您的对话内容或使用其进行训练的 AI 模型
Caiioo 可以在我所有的设备上使用吗？	可以——支持浏览器扩展、macOS、iOS、Android、Windows 和 Linux
我可以导出我的数据吗？	可以——通过 Settings → Backup & Restore 即可导出
如果我卸载了应用会怎样？	所有本地数据都将被删除
订阅计划是用来做什么的？	用于获取软件访问权限和功能——而非购买 AI 额度