办到 隐私政策
生效日期：2026 年 10 月 11 日
办到是一款运行在你设备上的 AI 助手客户端。开发者不运营任何服务器，不收集、不存储、不接收你的对话内容。本应用不内置任何 AI 模型，也不提供模型服务；你需要自行配置所选模型服务商的密钥（API Key）或使用其账号登录。
一、数据保存在哪里
下表说明各类数据的保存位置。除「发送给服务商的数据」一节所述情况外，数据均不经过开发者。
- 对话记录、长期记忆、技能、模型配置、定时任务：默认只保存在你设备上的 App 沙盒内（Application Support / Documents 目录）。你可在「设置 → iCloud 同步」主动打开同步，并按类别选择发送到你自己的 iCloud 私有 CloudKit 数据库；办到开发者不运营服务器，也看不到这些记录。
- API Key、OAuth Token 与 SSH 密码：永远不会写入 CloudKit 记录。默认仅保存在本机钥匙串；只有你单独打开「同步密钥（iCloud 钥匙串，端到端加密）」后，未来写入才会交给系统 iCloud 钥匙串。关闭时每台设备需重新填写。
- SSH 私钥：仅保存在你设备上的钥匙串，用于连接你自己的服务器。
- 生成的图片、视频、音频：保存在设备本地（应用工作区 / 相册）。
二、发送给你所选服务商的数据
当你使用对话功能时，你的消息、对话上下文，以及你授权助手读取的信息（例如你允许其查看的日程、提醒事项、位置），会从你的设备直接发送到你自行选择并配置的模型服务商，用于生成回复。这些数据不经过开发者的任何服务器。服务商如何处理这些数据，适用其各自的隐私政策，请自行查阅。
- 模型服务商：由你选择（OpenAI、Anthropic、DeepSeek、Kimi、智谱、通义、Gemini、OpenRouter，或你填写的任意兼容端点）。
- 账号登录（可选）：若你用 ChatGPT、Claude、Kimi、GitHub Copilot、Grok 的会员账号登录，授权流程直接在你与该服务商之间进行，开发者不参与、不留存凭据。
- 天气查询：询问天气时，会把大致经纬度发送给 Open-Meteo 天气服务（api.open-meteo.com）。
- 联网搜索：未配置搜索密钥时，使用应用内浏览器访问搜索引擎页面。
- 图片 / 视频 / 语音生成：发送给你自己配置的生成服务端点。
- 备份目标（可选）：若你配置了 WebDAV、S3 兼容存储、Dropbox、Google Drive、OneDrive 或 SFTP 备份，备份数据会发送到你所填写的目标。
三、系统权限及用途
以下权限均按需请求，仅在相关功能需要时使用，且通常在执行前再次请你确认。你可以随时在「设置 → 隐私与安全性」中关闭。
- 麦克风 / 语音识别：仅在点击语音输入时使用，把语音转换为文字（优先设备端识别）。
- 照片 / 相机 / 写入相册：按你的要求选择、拍摄或扫描图片作为附件，或将生成结果保存到相册。
- 位置：回答与所在位置相关的问题（天气、附近等）时获取一次。
- 日历 / 提醒事项：按你的要求查看、新建日程或提醒，新建前会请你确认。
- 通讯录：按你的要求查询联系人，添加联系人前会请你确认。
- 健康（HealthKit，仅启用它的构建可用）：按你的要求读取所选健康数据汇总，或在你确认后写入餐食营养数据。默认构建未启用此能力。
- HomeKit（仅启用它的构建可用）：按你的要求查看家庭设备；控制设备或场景前会请你确认。默认构建未启用此能力。
- 蓝牙：按你的要求只读扫描附近蓝牙广播，不连接或配对设备。
- 通知：用于定时任务、提醒与后台任务完成通知。
- 面容 ID（Face ID）：验证身份以解锁应用或查看密钥。
- Apple Music：按你的要求搜索和播放音乐，需要你的授权与订阅；播放前会请你确认。
- 闹钟（AlarmKit）：按你的要求设置真实闹钟，设置或取消前会请你确认。
- NFC（仅启用它的构建可用）：按你的要求读取 NFC 标签；写入前会请你确认。默认构建未启用此能力。
除上述系统权限外，以下发生在工作区之外、或会改变状态的动作，在执行前都会弹卡请你确认：运行 Python 代码；SSH 执行命令、上传或下载文件；浏览器中的表单提交或支付；控制 Home Assistant 设备或场景；新建日历、提醒或联系人；覆盖已有文件。
说明：应用仅在你配置并主动使用局域网 SSH 主机或 Home Assistant 时请求「本地网络」权限，不扫描、不连接未配置的设备。
四、第三方服务商
本应用不自带模型、不提供网络服务。你使用的模型服务商、天气服务、备份存储、生成服务由你自行选择并配置，它们各自的隐私政策适用。我们无法控制也不对这些第三方处理数据的方式负责。
五、我们收集的数据
无。应用不含统计、广告、崩溃上报或追踪组件，不收集设备标识符或使用数据，除下述公开价格目录更新外，不向非你配置的主机发送数据。工程中的隐私清单（PrivacyInfo.xcprivacy）将「收集的数据类型」声明为空，「用于追踪」声明为否。
为显示模型价格，办到会定期从公开的模型价格目录（models.dev）下载价格表；该请求不包含你的账号、密钥或对话。
六、未成年人
本应用不面向 16 周岁以下用户，不提供面向儿童的功能，也不收集儿童数据。请勿让儿童使用。
七、数据删除
你可以在应用内删除对话、记忆、技能与配置。卸载会清除应用沙盒内数据；钥匙串中的密钥请先在应用内删除账号，系统钥匙串的保留由系统决定。已发送到第三方服务商的数据，请按其各自政策申请删除。
八、政策变更
本政策更新时会在本页面公布，并以顶部「生效日期」为准。
九、联系我们
如有任何疑问，请联系：admin@jqai.si