本政策適用於牧群行動應用程式及網站。牧群連接由你管理的 Gateway，不設牧群帳號，沒有廣告或廣告追蹤。選用 AI 與語音服務會依下文所述處理資料。
裝置上的資料
牧群儲存 Gateway 名稱、位址、配對資訊與憑證；已設定的 SSH 連線資訊與憑證；偏好設定與快速指令；代理程式、專案、工作階段清單與任務紀錄；主題、字型及下載資源。使用期間，對話與終端機內容也會保留在記憶體中。選取檔案、圖片及錄音可能產生本機暫存副本。
Gateway 與 SSH 憑證經加密，儲存於作業系統的安全憑證儲存空間。語音設定（包括 API 金鑰）也使用安全憑證儲存。這些項目在 iOS 上採用僅限本機的存取層級。其他偏好、紀錄及檔案使用一般應用程式儲存，備份行為取決於作業系統；保護與刪除方式並不全都與憑證相同。
你的 Gateway、代理程式及 AI 服務商
終端機與代理程式連線直接到達你配對的 Gateway，不經 Osuki 中繼。Gateway 接收操作所需的憑證、工作區與工作階段識別碼、指令、提示詞、附件及其他內容，並回傳終端機輸出、對話與工具結果。使用 SSH 時，已設定的 SSH 主機也會處理連線。
電腦上的代理程式可能將提示詞、檔案、程式碼、對話脈絡及工具結果傳送給所設定的 AI 模型服務商或其他已連接服務。接收方取決於 Gateway 與代理程式設定；代理軟體本身不一定是最終服務商。分享個人或機密資訊前，請查看相關服務的隱私與保留條款。請使用 HTTPS 或 Tailscale 等可信任的加密私有網路；HTTP 本身不加密流量。
配對會將裝置名稱及本機產生的安裝識別碼傳送至 Gateway。啟用 Gateway 傳輸加密時，配對建立裝置專屬金鑰，保護支援的應用程式與 Gateway 請求及回應；Gateway 仍可讀取內容。管理者可關閉此加密，舊配對也可能未啟用。它不保護後續的 AI 或語音服務連線。手動位址配對時，提交的配對碼本身不受以該碼為基礎的加密保護，因此請使用 HTTPS 或 SSH、Tailscale 等可信任的加密連線。
在支援的情況下，開啟代理程式帳戶詳情或重新整理額度，會要求 Gateway 查詢電腦上已設定代理帳戶的用量快照。應用程式顯示回報的用量、額度、重設時間、方案或點數資訊；此功能不要求你在應用程式中提供服務商登入憑證。這些資訊是帳戶範圍的快照，Gateway 可能暫時快取，並非完整帳單紀錄。
相機、照片及檔案
掃描配對 QR 碼時，相機影像在裝置上處理，不會儲存或上傳。你也可以手動輸入 Gateway 位址。
拍攝附件照片或選取照片、檔案的處理方式不同：選取後，牧群即開始上傳至所選 Gateway，不必等到傳送訊息。上傳包括檔案內容及名稱、類型等資訊。從草稿移除附件不會撤回已到達 Gateway 的上傳。傳送訊息後，代理程式可使用附件，也可能轉交所設定的服務商。
檢視對話圖片時，可能從 Gateway 取得縮圖、預覽或原圖。開啟圖片或儲存時，可能依 Gateway 支援情況下載原圖；選取上傳的圖片也可能先調整尺寸。顯示或解密的圖片可保存在記憶體、圖片快取或本機暫存檔中，因此傳輸加密不代表本機沒有圖片副本。儲存至照片、檔案或分享目標會產生應用程式快取以外的獨立副本，須在對應位置管理。
選用語音轉寫
只有你在設定中配置轉寫服務，並主動使用已獲麥克風權限的語音輸入時，才會傳送音訊。內建預設指向 OpenAI，你也可以選擇相容的自訂服務。檔案模式在結束錄音後，將暫存錄音直接傳送至該服務；即時模式則在錄音期間直接串流音訊。請求也會依設定攜帶模型、語言及 API 金鑰。此連線不經 Gateway 或 Osuki 中繼。
回傳文字會放入草稿，供你編輯後自行傳送；此時音訊已分享給轉寫服務。取消會停止後續錄音與請求，但無法撤回已傳輸的音訊。工作階段完成或取消時，牧群會嘗試刪除暫存錄音；清理中斷可能留下本機副本。你可以停止使用語音、在設定中清除語音配置，或在系統設定中撤銷麥克風權限。服務商的資料保留與刪除依其條款辦理。
應用程式鎖定
啟用應用程式鎖定後，由作業系統執行生物辨識或密碼驗證。牧群僅取得驗證結果，不會取得生物辨識資料或密碼。
選用通知
啟用通知後，牧群註冊 Expo 推播權杖，並將權杖、裝置名稱、平台及語言傳送至 Gateway。通知由 Expo 及 Apple 或 Google 推播服務投遞，它們會處理權杖、通知內容及投遞中繼資料。內容取決於 Gateway 產生的通知，可能包含工作區或任務資訊。關閉通知會嘗試向 Gateway 取消權杖註冊，並取消應用程式的推播註冊；無法連線的 Gateway 可能仍保留紀錄。你也可以在系統設定中關閉通知。
更新、主題及網站請求
啟用線上更新的應用程式版本會連接 updates.muqun.dev 檢查及下載更新與版本說明。請求包含平台、更新頻道、組建相容性及版本識別碼等技術資訊；版本說明請求也包含所選語言。相容性識別碼描述應用程式組建，並非生物辨識指紋。Cloudflare 託管此基礎設施及網站，可處理提供服務所需的 IP 位址及請求中繼資料。
瀏覽或匯入線上主題及其他遠端資源時，會連接 muqun.dev、GitHub 或你選擇的來源。這些網站會收到請求位址及一般連線中繼資料。下載的主題及資源儲存在本機。網站將外觀偏好儲存在瀏覽器本機儲存空間，可透過清除網站資料刪除。這些服務請求與終端機及代理程式連線相互獨立。
保留、刪除及你的選擇
在應用程式中移除已儲存的 Gateway、SSH 主機，或清除語音配置，可刪除對應的連線紀錄。設定 → 儲存空間可清理支援的圖片快取及暫存副本，但不會清除全部應用程式資料、代理紀錄、憑證或已安裝主題。主題可在主題庫中管理。本機偏好與紀錄會保留至透過相應功能或應用程式資料管理方式修改或刪除。請勿僅依賴解除安裝來刪除 iOS 安全憑證項目。
刪除本機紀錄、清理快取或解除安裝牧群，不會刪除 Gateway、代理程式、AI 服務商、轉寫服務或通知服務商的資料。支援的工作階段刪除請求會傳送至 Gateway，但不保證服務商或備份中的資料也被清除。請透過 Gateway 管理者管理遠端檔案、歷史與裝置權限，並依服務商政策請求刪除資料。權杖或 API 金鑰應向簽發方撤銷，才能失效。牧群不設定或保證這些服務的資料保留期限。
支援、政策變更及聯絡
你聯絡 Osuki 尋求支援時，我們使用你提供的資訊來回覆。請勿傳送存取權杖、私有程式碼或未遮蔽敏感內容的紀錄。功能或服務變更時，我們可能修訂本政策，修訂日期見上方。如有隱私問題，請聯絡： hello@muqun.dev