隐私说明

01网站与客户端

本说明分别描述此静态网站及 Nerva 的 Relay／Control 服务。网站不含登录、表单、分析脚本、广告追踪、外部字体或第三方 CDN；少量本站脚本用于动效、滚动进度、外观预览，以及仅保存在当前页面内存中的数字性能测量；不发送测量数据、不写日志或存储。语言切换通过普通链接完成，不写入 Cookie 或浏览器本地存储。

浏览器仍会向网站托管入口发送 IP 地址、请求路径、请求时间及请求头（例如浏览器类型）。随附的 nginx 配置关闭访问日志，仅记录严重错误；主机、网络入口与托管商可能另行处理日志，实际范围和保留期限尚待确认。不能将‘没有追踪脚本’理解为服务器接收不到访问信息。

02账户、认证与管理

注册与登录服务接收邮箱、原始密码、安装名称与身份凭据。TLS 保护传输链路，但这些服务在 TLS 终止后处理原值，不属于 Host 端到端加密。密码数据库保存加盐 scrypt 派生值；访问、刷新及 Connector 令牌按 SHA-256 摘要查验。

服务保存账户、安装与电脑的 ID、名称、类型、创建与撤销时间，以及公钥、密钥标识、接收设备及加密密钥信封。身份私钥与数据密钥原值不通过正常密钥登记接口上传；密钥目录与首次信任仍依赖服务端。管理功能可访问相应账户、设备与审计信息，主机／数据库运营权限不受后台界面角色的可见字段限制。

若部署启用邮箱验证或找回，邮件基础设施接收邮箱及验证／恢复链接；Control 能处理恢复材料。启用购买或订阅时，服务还处理账户与交易、产品、订阅状态和时间的关联。这些功能是否可用取决于部署与版本，均不属于 Host 加密正文。

03在线加密与路由

在支持 E2EE 的 Host 远程通道中，中转代码转发不透明的加密帧，不在中转端解密会话正文。设备端的 Connector／Host 解密后，智能体及所选模型、工具可处理明文；这些终点与第三方服务适用各自的数据政策。加密依赖设备、密钥和受信任目录，不能保证失陷终点或恶意密钥分发下仍保密。

服务仍能看到关联的账户、安装、电脑、Host／节点／通道标识，公钥与密钥 ID、授权代次、在线状态、方向、时间、帧大小、字节计数和连接关闭信息。加密封装中的序号、nonce、认证标签等也不等于匿名流量；不能据此声称全部来源元数据已被隐藏。

入口能处理套接字 IP 或受信任代理传来的 IP，用于限流与节点路由；启用本地国家数据库时，可由 IP 推断国家。该查询实现不调用外部地理定位服务。

兼容的普通 HTTP／WebSocket 代理仍是另一条路径：中转进程可读请求方法、路径、所转发头、状态、正文与消息字节，包括请求中携带的模型凭据。不能将 Host 加密通道的性质扩大到所有版本、登录、管理或所有代理流量。

04加密归档与本机副本

部署与账户启用归档后，Control 保存设备端生成的密文块与加密密钥信封。获授权设备在本机解密，用于读取已上传的历史；归档可读不代表离线电脑仍可执行指令，也不保证未上传内容可用。

服务端仍保存 source、computer、Host、object、publication、revision、key／epoch 等标识、块数、大小、种类、序号、nonce、摘要及生产者报告的进度。已加密的目录正文不代表其外层关联信息也已加密；原生会话 ID 是否处于密文中须按具体路径区分，通知路径仍可能明文处理这些 ID。

归档接收端可能缓存已解密内容。本机工作目录、原生智能体历史、缓存、系统或外部备份是独立副本，不承诺全部由归档密钥加密或登出时一并擦除。

05可选离线密文队列

离线队列是默认关闭的可选服务端机制。仅在部署显式启用、客户端与接收端支持时，合规客户端才应先在设备端封装自包含密文再提交，待电脑可达后领取；服务端不解密，也不重放在线隧道帧。服务只能验证封装格式，不能证明客户端提交的内容确实经过加密。本说明不代表当前已发布客户端具有排队界面、自动补发或执行能力。

服务端可见账户、电脑、安装、队列消息与密钥 ID、目标服务、状态、大小、时间、摘要及租约／回执等信息。这些元数据不属于加密正文。队列的‘已交付’仅表示 Connector 确认，不证明智能体已经执行、操作成功或用户已经阅读。

待交付载荷的有效期最长为入队后 24 小时；确认交付或处理到期时清除载荷。交付回执元数据保留至确认后 24 小时；到期消息的回执保留至到期后额外 24 小时（即入队后约 48 小时）。活动服务约每 60 秒尝试后台分批清理，相关请求也可触发到期处理；停机、锁竞争或清理失败可延后物理清除。备份可能保留更久，不能据此承诺所有副本在 24 小时内消失。

06通知、诊断与日志

推送处理 APNs 设备令牌、环境、账户／安装／电脑标识、会话 ID、事件键、种类、时间与重试状态。Host 提醒还可能包含 Host／runtime／agent／session 引用、交互与回合标识、修订、消费回执。APNs 可收到通用通知及相应定位 ID；通用文案不使这些标识匿名，也不等于收到或读过消息。

启用跨设备智能提醒时，服务处理安装、可见性、活动时间和与电脑／目标相关的短租约。共享租约实现使用数据库当前状态及 45 秒有效期，运行时清理过期项；停机可能延后物理清理。这些信息可关联已知会话。

客户端诊断可关联账户与安装，保存事件时间、连接／失败种类、操作、HTTP 状态、错误码、重试次数及等待时间。连接事件、后台审计、服务错误与节点／API 字节和延迟指标也由服务处理。诊断字段受格式与长度限制，不是所有字段都有语义允许列表，不能保证任意客户端永远不会夹带其他信息。

07保留、撤销与删除

账户记录及加密归档没有在已查源码中统一承诺固定自动到期日。服务事件、电脑连接事件、客户端诊断及节点／API 指标有清理 30 天前记录的代码；这依赖清理任务运行，并非所有数据的统一保留期限。普通推送事件与取消记录有各自的到期清理。日志导出、审计、备份与第三方服务的实际保留及删除政策仍待发布方确认。

注销安装、移除电脑或重置密码会按相应范围撤销身份、凭据与连接；撤销不等于远程擦除已解密内容或收回已复制的密钥。

当前服务包含需重新认证的账户删除接口；客户端是否提供入口取决于版本和部署。删除流程清除登录身份、设备授权、推送、诊断等账户数据并传播撤销；归档密文可进入待删除状态，由后台按批清理，其间仅保留已撤销和清理后的必要关联骨架。停机或清理失败可延迟完成，不能承诺即时删除。

删除记录及经去标识处理的动作／时间审计设为 30 天后到期，由清理任务删除；这不使所有运维记录匿名。已删除状态的撤销队列也按该流程清理。删除不自动清除本机原生历史、收件设备已有副本、外部提供商记录或所有备份；恢复备份后的删除处理与最终清除时限仍需运营方确认。

08你的选择与本页更新

只连接你有权使用的电脑与智能体，检查接收设备与权限，并在需要时撤销安装、移除电脑或使用可用的账户删除入口。隐私咨询请参阅页首联系信息，待填写字段须在正式发布前补齐。本页不另行指定法域或处理时限。

本说明依据核对日的本地安全文档与服务源码整理，不是生产配置证明。版本、启用功能及运营政策改变时，应同步更新本页；中英版本说明相同范围，不预设某一语言优先适用。