隐私政策
最后更新日期：2026年11月7日
本应用是安装在你自己电脑上的桌面程序。它不提供账号体系，也没有服务器保存你的仓库。这一页说明数据实际存在哪里，以及哪些操作会离开本机。
1. 不收集的内容
- 你的仓库、提交、diff、文件路径与文件内容。
- 使用行为，例如启动次数、功能点击、停留时长。
- 设备标识符、机器码或硬件指纹。
- 支付信息、姓名、邮箱或其他联系方式。
应用内没有分析 SDK，也没有上报事件。我们无法查看你在应用里做了什么。
2. 存储在本机的数据
| 数据 | 位置 | 说明 |
|---|---|---|
| 偏好设置 | 应用数据目录下的 settings.json | 主题、语言、Git 策略、日志级别等 |
| 应用数据库 | 应用数据目录下的 app.db | 最近仓库、工作区目录索引、改写记录 |
| 恢复快照 | 应用数据目录下的快照目录 | 丢弃、硬重置、强推与中止操作前保存；上限 24 小时 / 200 份 / 512 MiB |
| 日志 | 日志目录 | 轮转的 JSON Lines 文件，不含 diff 正文与凭据 |
| 诊断包 | 由你选择导出位置 | 仅在你手动导出时生成 |
应用数据与日志目录随系统不同：
- macOS：
~/Library/Application Support与~/Library/Logs - Linux：
~/.config下的应用目录与其中的logs - Windows：
%AppData%下的应用目录与其logs目录
具体路径可在「设置 → 高级 → 数据」中查看并直接打开。
3. 系统凭据库
以下内容保存在操作系统的凭据库（macOS 钥匙串、Windows 凭据管理器、Linux Secret Service），不写入设置文件，也不进入日志：
- 各代码托管平台的访问令牌；
- 本地 MCP 服务器的访问令牌；
- 你为 ACP Agent 配置的环境变量值。
4. 会连接网络的操作
应用本身不设中转服务器。以下操作会与外部通信，且都由你触发或可以关闭：
| 操作 | 何时 | 通信对象 |
|---|---|---|
| 检查更新 | 默认开启，可在「设置 → 更新」关闭 | 更新地址，只发送当前版本与平台信息 |
| 获取、拉取、推送 | 你执行同步时 | 你为该仓库配置的远程，由系统 git 完成 |
| 自动获取 | 你在「设置 → Git」开启后，按设定间隔 | 该仓库的远程；默认关闭 |
| 拉取请求与合并请求 | 你打开该面板或提交评审动作时 | 对应的代码托管平台 API |
| ACP Agent | 你在设置中配置并主动请求后 | 由该 Agent 自己决定，见下一节 |
除此之外，应用不会在你未操作时发起网络请求。
5. ACP Agent 与本地 MCP
ACP Agent 是一个独立进程，由你选择并配置。应用会限制发给它的内容，并在审阅时限制它可读取的路径，但这不构成操作系统级沙箱：Agent 进程本身仍可能访问网络、读取仓库中的其他文件。只连接你信任的 Agent。
本地 MCP 服务器默认关闭，开启后只监听 127.0.0.1，每个请求都必须携带访问令牌。它不监听外部网卡，也不向外部转发数据。
6. 删除数据
- 删除应用数据目录即可清除设置、数据库与快照；
- 在恢复中心删除单条快照，或清理过期快照；
- 在「设置 → 高级」轮换或停用 MCP 令牌；
- 在系统凭据库中删除对应的令牌条目。
我们这边没有你的数据副本，因此无需向我们申请删除。
7. 儿童
本应用不面向儿童，也不会收集儿童的任何信息。
8. 政策变更
政策更新后会修改本页顶部的日期。继续使用即表示你接受更新后的版本。
9. 联系方式
隐私相关问题请联系：contact@once.work
最后更新于