本政策适用于牧群移动应用和网站。牧群连接由你管理的 Gateway，不设牧群账号，没有广告或广告追踪。可选 AI 和语音服务会按下文所述处理数据。
设备上的数据
牧群保存 Gateway 名称、地址、配对信息和凭据；已配置的 SSH 连接信息与凭据；偏好设置和快捷命令；代理、项目、会话列表和任务记录；主题、字体及下载的资源。使用期间，对话和终端内容也会保留在内存中。选取文件、图片和录音可能产生本地临时副本。
Gateway 和 SSH 凭据经过加密，保存在操作系统的安全凭据存储中。语音配置（包括 API 密钥）也使用安全凭据存储。这些条目在 iOS 上采用仅限本机的访问级别。其他偏好、记录和文件使用普通应用存储，备份行为取决于操作系统；它们的保护和删除方式并不都与凭据相同。
你的 Gateway、代理和 AI 服务商
终端和代理连接直接到达你配对的 Gateway，不经过 Osuki 中继。Gateway 接收完成操作所需的凭据、工作区及会话标识、命令、提示词、附件和其他内容，并返回终端输出、对话和工具结果。使用 SSH 时，已配置的 SSH 主机也会处理连接。
电脑上运行的代理可能把提示词、文件、代码、对话上下文及工具结果发送给其配置的 AI 模型服务商或其他已连接服务。接收方取决于 Gateway 和代理配置，代理软件本身不一定是最终服务商。分享个人或机密信息前，请查看相关服务的隐私和保留条款。请使用 HTTPS 或 Tailscale 等可信的加密私有网络；HTTP 本身不加密流量。
配对会将设备名称和本机生成的安装标识发送至 Gateway。启用 Gateway 传输加密时，配对建立设备专属密钥，保护受支持的应用与 Gateway 请求和响应；Gateway 仍可读取内容。管理者可以关闭此加密，旧配对也可能未启用。它不保护后续的 AI 或语音服务连接。手动地址配对时，提交的配对码本身不受基于该码的加密保护，因此请使用 HTTPS 或 SSH、Tailscale 等可信加密连接。
在支持的情况下，打开代理账户详情或刷新账户额度，会请求 Gateway 查询电脑上已配置代理账户的用量快照。应用显示服务报告的用量、额度、重置时间、套餐或积分信息；此功能不要求你在应用中提供服务商登录凭据。这些信息是账户范围的快照，Gateway 可能临时缓存，并非完整账单记录。
相机、照片和文件
扫描配对二维码时，相机画面在设备上处理，不会保存或上传。你也可以手动输入 Gateway 地址。
拍摄附件照片或选取照片、文件的处理方式不同：选取后，牧群即开始向所选 Gateway 上传，无需等到发送消息。上传包含文件内容及名称、类型等信息。从草稿移除附件不会撤回已到达 Gateway 的上传。发送消息后，代理可以使用附件，并可能转交其配置的服务商。
查看对话图片时，可能从 Gateway 获取缩略图、预览或原图。打开图片或保存时可能按 Gateway 支持情况下载原图；选取上传的图片也可能先调整尺寸。显示或解密的图片可保存在内存、图片缓存或本地临时文件中，因此传输加密不代表本机没有图片副本。保存至照片、文件或分享目标会产生应用缓存之外的独立副本，需要在对应位置管理。
可选语音转写
只有你在设置中配置转写服务，并主动使用已获麦克风权限的语音输入时，才会发送音频。内置预设指向 OpenAI，你也可以选择兼容的自定义服务。文件模式在结束录音后，把临时录音直接发送到该服务；实时模式在录音期间直接传输音频。请求还会按配置携带模型、语言和 API 密钥。此连接不经过 Gateway 或 Osuki 中继。
返回的文字放入草稿供你编辑，然后由你发送；此时音频已经分享给转写服务。取消会停止后续录音和请求，但不能撤回已传输的音频。会话完成或取消时，牧群会尝试删除临时录音；清理中断可能留下本地副本。你可以停止使用语音、在设置中清除语音配置，或在系统设置中撤销麦克风权限。服务商的数据保留和删除遵循其条款。
应用锁
开启应用锁后，由操作系统进行生物识别或密码验证。牧群仅获得验证结果，不会获得生物识别数据或密码。
可选通知
开启通知后，牧群注册 Expo 推送令牌，并将令牌、设备名称、平台和语言发送到 Gateway。通知由 Expo 及 Apple 或 Google 推送服务投递，它们会处理令牌、通知内容和投递元数据。内容取决于 Gateway 生成的通知，可能包含工作区或任务信息。关闭通知会尝试向 Gateway 注销令牌，并取消应用的推送注册；无法连接的 Gateway 可能仍保留记录。你也可以在系统设置中关闭通知。
更新、主题和网站请求
启用在线更新的应用版本会连接 updates.muqun.dev 检查和下载更新及版本说明。请求包含平台、更新频道、构建兼容性和版本标识等技术信息；版本说明请求还包含所选语言。兼容性标识描述应用构建，并非生物识别指纹。Cloudflare 托管此基础设施和网站，可处理提供服务所需的 IP 地址和请求元数据。
浏览或导入在线主题及其他远程资源时，会连接 muqun.dev、GitHub 或你选择的来源。这些站点会收到请求地址和常规连接元数据。下载的主题和资源保存在本地。网站将外观偏好保存在浏览器本地存储中，可通过清除网站数据删除。这些服务请求与终端和代理连接相互独立。
保留、删除和你的选择
在应用中移除已保存的 Gateway、SSH 主机，或清除语音配置，可删除对应的已存连接记录。设置 → 存储可清理支持的图片缓存和临时副本，但不会清除全部应用数据、代理记录、凭据或已安装主题。主题可在主题库中管理。本地偏好和记录会保留至通过相应功能或应用数据管理方式修改或删除。不要仅依赖卸载来删除 iOS 安全凭据条目。
删除本地记录、清理缓存或卸载牧群，不会删除 Gateway、代理、AI 服务商、转写服务或通知服务商的数据。支持的会话删除请求会发送到 Gateway，但不保证服务商或备份中的数据也被清除。请通过 Gateway 管理者管理远程文件、历史和设备权限，并按服务商政策请求删除数据。令牌或 API 密钥应在签发方撤销，才能失效。牧群不设定或保证这些服务的数据保留期限。
支持、政策变更和联系
你联系 Osuki 寻求支持时，我们使用你提供的信息来回复。请勿发送访问令牌、私有代码或未经脱敏的日志。功能或服务变化时，我们可能修订本政策，修订日期见上方。如有隐私问题，请联系： hello@muqun.dev