隐私政策
您的隐私是我们的重中之重
最后更新于：2026 年 9 月
概述
Kaiwu（无极开物）致力于保护您的隐私。本政策将向您说明我们如何依托零知识加密架构处理您的数据，以及您对个人信息享有的各项权利。
本政策适用于我们运营的托管服务 Kaiwu Cloud。若您自托管 Kaiwu 服务器，数据则由该服务的运营个人或组织持有，并由其自行制定隐私政策（包括内容是否以加密方式存储）。下文所述的所有内容，仅代表我们在自身运营的服务中能够与不能查看到的信息。
运营者信息
本服务由乾元执中（南京）科技有限公司（以下简称“我们”）运营。
- 机构名称：乾元执中（南京）科技有限公司
- 统一社会信用代码：91320191MAKGB4A45F
- 注册及常用办公地址：江苏省南京市江北新区研创园华创路73号韦恩大厦C座983-4室
- 联系邮箱：wuji@wujilabs.cn
- 联系电话：17328866636
我们收集的信息
加密数据
- 消息与代码：您所有的智能体对话与代码片段在传输前均已在设备端完成端到端加密。我们仅存储这些加密数据，无权也无法对其进行解密或读取。
- 加密密钥：当您配对设备时，加密密钥会以密文形式在设备之间传输。我们无法访问或解密这些密钥。
元数据（未加密）
- 消息 ID：用于消息排序与同步的唯一标识符
- 时间戳：消息创建与同步的时间
- 设备 ID：用于设备配对的匿名标识符
- 会话 ID：用于标识编程智能体会话的标识符
- 推送通知 Token：用于通过 Expo 推送通知服务发送推送通知的设备 Token
数据分析（PostHog）
我们使用 PostHog 进行产品数据分析，服务运行于 PostHog 的欧盟区域（法兰克福）。App 与官方网站共用同一个 PostHog 项目；每个事件均包含一个用于标明来源（App 或网站）的属性，从而在不共享任何用户身份的前提下区分两者。
App 端
- 匿名事件：我们收集基础的应用使用事件，以优化 App 体验
- 隐私设计原则：所有分析事件均采用由机密密钥派生的匿名化 ID——我们无法将其反查并关联到任何具体用户或账户
- 不追踪内容：我们仅追踪基础的应用使用事件，绝不涉及任何消息内容、代码或个人信息
- 支持随时退出：您可以在 App 设置中随时关闭数据分析收集
kaiwu.wujilabs.cn、kaiwu.wujilabs.cn/docs 与 guides.kaiwu.wujilabs.cn 网站端
- 无 Cookie 且无访客 ID：网站以无 Cookie 模式运行 PostHog。我们不植入 Cookie、不存储任何标识符，也不会建立跨页面或跨访问跟踪您的画像。
- 遵循全局隐私控制（GPC）：如果您的浏览器发送了 GPC 信号（Brave 与 DuckDuckGo 默认开启），分析脚本将完全不会启动。
- 仅限第一方请求：分析请求均发送至您当前访问网站的自身路径，并由我们自己的服务器转发至 PostHog。网页端绝不发起任何第三方网络请求。
- 不记录 IP 地址：客户端 IP 地址在接收后立即丢弃。系统仅保留基于该地址解析出的粗粒度国家与地区信息，IP 地址本身绝不存储。
- 记录的内容：访问了哪些页面、所用语言，以及点击了哪些链接和按钮。绝不记录任何表单内容，也绝不记录您输入的任何字符。
- 支持随时退出：每个页面的页脚均提供退出开关。记录该选择的状态，是这些网站向您的设备写入的唯一数据。
订阅管理（Revenue Cat）
- 账户 ID：Revenue Cat 使用您的账户 ID 来管理订阅并启用高级功能
- 后端集成：借助该 ID，我们既能通过后端为您提供增值特性，又能确保您的内容始终处于端到端加密保护之下
- 数据隔离：发送至 PostHog 的购买分析数据改用匿名化 ID——我们无法将 Revenue Cat 数据与 PostHog 分析数据进行关联
我们不收集的信息
- 您的实际代码或对话内容（我们无法解密）
- 您在加密消息中主动填写内容之外的任何个人信息
- 匿名 ID 之外的设备信息
- 位置数据
我们如何使用数据
加密数据
- 仅存储于我们的服务器上，用于在您的各设备之间同步
- 在收到请求时传输至您已配对的设备
- 持续保留，直至您在 App 中主动删除
元数据
- 消息 ID 与时间戳用于维持正确的消息排序
- 设备 ID 用于保障各设备间的安全配对
- 会话 ID 用于跟踪您的编程智能体会话以实现同步
- 存储推送通知 Token，以便通过 Expo 服务发送通知
推送通知
通知内容完全在您的设备本地生成，绝不会在我们的后端拼接。我们的后端确实会发送一种推送，但特意不包含任何具体内容：
- 文本始终保留在您的设备上。 推送通知的标题与正文由您的设备基于已解密的数据在本地构建，我们全程不可见。
- 我们发送的唯一推送仅为角标刷新。 当待处理计数发生变化时，后端会请求 Expo 更新 App 图标上的角标数字。该消息仅携带这一数值，不包含任何其他信息——无标题、无正文，更无会话或消息内容。
- 我们会存储您的设备推送 Token，以确保通知能够送达。正如任何推送服务运作所必须的那样，Expo 以及操作系统级推送服务（Apple、Google）能够看到该 Token 以及上述角标数字。
第三方 SDK 清单
为了保障 Kaiwu App 的稳定运行及提供相关功能服务，我们在 App 中接入了部分第三方 SDK。我们对接入的第三方 SDK 进行严格的安全审查，并要求其按照法律法规保护您的个人信息。以下为 App 实际集成且会处理个人信息的第三方 SDK 清单：
| SDK 名称 | 提供方 | 用途 | 收集的信息类型 | 隐私政策链接 |
|---|---|---|---|---|
| Expo Notifications | 650 Industries, Inc. (Expo) | 发送推送通知、角标数字刷新 | 设备推送令牌 (Push Token)、角标数值、设备操作系统类型及基础标识 | Expo 隐私政策 |
| PostHog SDK | PostHog, Inc. | 应用使用分析与体验优化（支持在设置中随时关闭） | 匿名派生 ID、应用版本、设备与操作系统类型、匿名应用生命周期与交互事件（不包含内容、代码或个人身份信息） | PostHog 隐私政策 |
| Sentry SDK | Functional Software, Inc. (Sentry) | 应用崩溃捕获、异常诊断与性能监控 | 已集成，当前发布版本未启用（未配置上报地址，不收集任何数据）；如后续启用将更新本政策并提供关闭开关（设置-账户-隐私-崩溃报告） | Sentry 隐私政策 |
| RevenueCat SDK | RevenueCat, Inc. | 应用内订阅购买验证与增值权益管理 | 已集成，当前发布版本未启用应用内购买，不收集数据；如后续启用将更新本政策 | RevenueCat 隐私政策 |
| LiveKit WebRTC SDK | LiveKit, Inc. | 实时音视频与音频流低延迟通信传输通道（仅在用户主动开启语音会话时使用） | 网络连接状态、IP 地址（用于 WebRTC ICE 候选对连通协商）、传输会话元数据 | LiveKit 隐私政策 |
| ElevenLabs SDK | ElevenLabs, Inc. | 实时智能体语音交互与对话服务（仅在用户主动开启语音会话时使用） | 用户主动输入的麦克风音频流、语音会话状态 | ElevenLabs 隐私政策 |
数据安全
- 端到端加密：消息在您的设备上使用每个会话独立的密钥加密（32 字节随机数，采用 AES-256-GCM 算法，每条消息使用全新 Nonce）。该会话密钥通过临时 X25519 密钥交换封装至您账户自身的密钥；账户级数据则通过 XSalsa20-Poly1305 进行加密封装。我们并未申请任何资质认证或外部审计，代码实现完全公开，供您随时查阅。
- 零知识架构：即使受到外界强制要求，我们也无法解密您的数据
- 安全密钥交换：加密密钥仅以我们无法访问的加密形式在您的设备之间传输
- 开源透明：我们的加密实现向公众开放审查
- 杜绝后门：系统架构从根本上杜绝了我们访问您内容的可能
数据保留
- 加密消息将无限期保留，直至您主动删除
- 元数据的保留仅用于保障系统基础功能
- 删除的数据将在 30 天内从我们的服务器上永久移除
账号注销
在 Kaiwu 体系中，您的“账户”本质上是由您的设备在本地独立生成的密码学密钥对（非传统用户名/密码体系）：
- 删除本机数据与解除关联：您可随时在 App 设置中选择退出账户、清除本地存储并删除本机密钥，或通过操作系统设置直接清除 App 缓存及数据、卸载 App。此操作将彻底销毁该设备上的本地解密密钥与离线缓存，且解除该设备与云端的一切关联。
- 注销服务器侧数据：若您使用了 Kaiwu Cloud 同步服务并希望从服务器上彻底注销与删除您的数据，请发送邮件至我们的联系邮箱
wuji@wujilabs.cn提出注销申请。邮件中请提供您的账户公钥标识或配对设备信息以便核验归属。 - 处理时限承诺：我们将在核实您的请求后 15 个工作日内 完成服务器端全部加密数据与关联元数据的彻底清除与注销。注销完成后不可恢复。
个人信息权利
依据适用的法律法规，您对您的个人信息享有以下权利：
- 查询与访问：您可以在 App 内随时查阅您的会话列表、已关联设备、各项设置选项及订阅状态。
- 更正与补充：对于您的本地偏好设置、服务连接参数等，您可以直接在 App 相应设置界面中实时进行修改与更正。
- 删除权：
- 您可以随时在 App 内主动删除特定的会话、消息记录；
- 您可以通过注销流程要求删除我们在服务器上存储的所有关联数据。
- 撤回同意：
- 系统权限撤回：您可以在手机操作系统的设置中随时撤回麦克风、通知、相机或相册等系统权限的授权；
- 数据分析与诊断退出：您可以在 App 设置中随时关闭 PostHog 数据分析及崩溃报告收集。关闭后 App 将不再收集和上报对应数据；
- 撤回同意不影响撤回前基于您的授权已开展的数据处理活动的合法性，但可能会导致依赖该授权的特定功能（如语音实时对话、推送提醒）无法正常使用。
数据共享
我们绝不向任何第三方出售或出租您的数据。除本政策中说明的用于提供推送通知、支付订阅验证及实时音视频传输所必需的 SDK 服务外，我们绝不向其他任何人共享您的数据。绝无例外。
政策变更
若本隐私政策发生重大变更，我们将通过 App 通知用户。在变更生效后继续使用本服务，即视为您接受修改后的政策。
联系我们
如有任何隐私方面的疑虑、投诉、建议或行使权利的请求，请通过以下方式联系我们：
- 联系邮箱：wuji@wujilabs.cn
- 联系电话：17328866636
- 常用办公地址：江苏省南京市江北新区研创园华创路73号韦恩大厦C座983-4室
- GitHub Issues：https://github.com/wuji-labs/kaiwu/issues
我们将在收到您的请求后 15 个工作日内 完成核查与答复。
合规性
Kaiwu 遵循默认隐私保护设计，符合以下法规与原则：
- 中华人民共和国个人信息保护法（PIPL）及相关网络安全法律规范
- GDPR（通用数据保护条例）
- CCPA（加州消费者隐私法）
- 隐私设计（Privacy by Design）原则
请记住：您的加密密钥仅会以加密形式在您自己的设备之间共享。即使我们想看，也根本无法读取您的代码或对话。