# 消费者隐私声明 更新日期：2026 年 10 月 9 日 生效日期：2026 年 10 月 9 日 Koder 运营方（以下简称“我们”）深知个人信息对您的重要性，并依照《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律法规处理与本软件有关的信息。本声明说明 Koder 桌面应用及其随附的 KARMEN LOOP 内核、KARMEN bot、系统页、更新程序和本地服务（以下合称“本软件”）在您使用时会处理哪些信息、为什么处理、保存在哪里、在什么情况下会离开您的电脑，以及您如何查看、更改和删除这些信息。本声明中以加粗方式提示的内容，请您特别留意。 本软件的设计原则是“本地优先”：本软件不要求注册账户，不提供云端同步，不上传遥测和统计数据，我们不在自己的服务器上保存您的任务、对话、文件或密钥。您的内容只会在您主动使用相关功能时，发送给您自己选择的第三方服务。本声明的官方网站版本将在官方网站上线后同步发布；在此之前，以本软件内显示的版本为准。 ## 一、本声明的适用范围 本声明适用于您在电脑上安装和使用本软件的全过程，包括创建和执行任务、与 KARMEN 对话、配置模型服务和密钥、使用内置终端、查看系统页、检查和安装更新，以及本软件发出的提醒和系统通知。本声明不适用于第三方模型服务、联网搜索服务、您访问的网站、您的操作系统和浏览器，以及您通过本软件连接的其他第三方产品或服务；这些第三方按照其自身的隐私政策处理您的信息，我们建议您在使用前阅读它们的隐私政策。 ## 二、我们如何处理您的信息 下面逐项说明本软件处理的信息、处理目的、处理方式和保存位置。除非另有说明，这些信息只保存在您的电脑上，由本软件在本机处理，我们无法访问。 （一）您输入的内容和任务记录。您在任务和 KARMEN 对话中输入的消息、人工智能的回复、它提出的问题和您的回答、修改文件的建议和审批记录、命令及其输出，会保存在本软件的数据目录中，以便您以后查看和继续任务。每个任务还会在其所在文件夹的 .koder/tasks 目录中保存一份 Markdown 格式的记录，记录不含模型的思考过程和工具的原始输出。切换内核之前产生的旧任务仍保存在原位置，以只读方式显示。 （二）您让本软件处理的文件。当您让人工智能读取、搜索或修改某个文件夹中的文件时，本软件会在本机读取这些文件。修改文件之前，本软件会展示修改前后的对比，经您接受才会写入磁盘。**人工智能读取到的文件内容会作为上下文发送给您选择的模型服务，请不要让人工智能读取您不希望发送给该服务的文件。** （三）模型服务配置和密钥。您添加的模型服务、接口地址、型号、思考强度和模型强度选择会保存在本机。您的 API 密钥保存在本软件的加密密钥库中：密钥使用 AES-256-GCM 算法加密，加密所用的密钥文件只允许当前系统用户读取。本软件不会从环境变量或 .env 文件读取模型密钥，界面也不会显示密钥的任何部分。 （四）用量信息。为了在系统页向您展示 token 用量和估算费用，本软件会在本机记录每次模型调用的时间、所属任务和文件夹、服务和型号，以及输入和输出的 token 数量。用量记录不包含您的消息或文件内容。 （五）设备信息和序列号。本软件首次运行时会在本机随机生成一个序列号，用于将来的服务支持和更新推送。为了把序列号锁定在这台电脑上，本软件会读取电脑的主板硬件标识（macOS 的硬件 UUID、Windows 的 SMBIOS UUID、Linux 的产品 UUID 或 machine-id），**只保存其 SHA-256 哈希值，不保存原值，也不上传**。本软件还会在本机累计工作时长。系统页“状态信息”中显示的 IP 地址、无线局域网 MAC 地址和蓝牙地址，只在您打开该页面时从本机读取，默认隐藏，需您点击后才显示，不会保存或上传。 （六）设置和界面偏好。您的外观、界面布局、分组方式、置顶项目、对话方式、工具开关、运行中发送方式和提醒设置会保存在本机的数据目录或浏览器本地存储中，用于在下次打开时保持您的选择。 （七）通过加密框保存的登录凭据。如果您在本软件的加密框中保存了网站账号和密码，它们会以 AES-256-GCM 加密后保存在本机，只用于完成您发起的登录，不会出现在对话、终端记录或界面上。 （八）提醒和系统通知。任务完成、人工智能回复或需要您处理时，本软件会在窗口右上角显示提醒。只有在您点击“允许系统通知”并在系统中授权后，本软件才会在窗口处于后台时通过操作系统的通知中心显示提醒；提醒内容只包含任务名称和回复开头的少量文字。您可以随时在设置中关闭提醒，或在系统设置中撤回通知权限。 （九）剪贴板。只有在您点击“复制”时，本软件才会向剪贴板写入相应内容（例如回复、代码、序列号或文件夹路径）。本软件不会读取您的剪贴板。 （十）内置终端。您在内置终端中输入的命令由本机的命令行程序执行，输出显示在界面中。终端记录不会发送给模型服务，除非您把它复制到对话中。 （十一）日志。本软件会在数据目录中保存运行日志，用于排查启动和运行问题。本软件不会有意在日志中记录您的密钥和密码；出错时，日志可能包含出错请求的简要信息（例如错误提示、文件路径或服务地址）。日志只保存在本机，您可以随时删除。 ## 三、信息在什么情况下会离开您的电脑 **我们不会出售、出租您的任何信息，也不会把您的信息提供给任何第三方用于广告或营销。**只有在以下情形下，信息才会离开您的电脑，并且接收方都是您选择或您主动访问的第三方，而不是我们： （一）发送给您选择的模型服务。您发送消息时，本软件会把您的消息、对话历史、人工智能读取的文件内容、工具执行结果和必要的系统指令，连同您配置的 API 密钥，发送到您为该任务选择的模型服务的接口地址。接收方是该模型服务商，处理方式适用该服务商的隐私政策和服务条款。 （二）读取在线型号列表。您点击“读取在线型号”时，本软件会用您填写的或密钥库中已保存的密钥，向该模型服务的接口地址请求型号列表。 （三）联网搜索和读取网页。当人工智能使用联网搜索工具时，搜索内容会发送到深度求索（DeepSeek）的官方搜索接口，该功能只有在您配置了相应密钥时才可用；当人工智能读取网页时，您的电脑会直接访问该公开网址，网站可以看到您的 IP 地址等访问信息。您可以在“工具”设置中关闭这两个工具。 （四）检查和安装更新。配置更新地址后，本软件会访问官方更新地址下载更新说明和更新包。更新请求不包含您的序列号、设备信息或任何内容。目前尚未配置更新地址，本软件不会联网检查更新。安全补丁页面等外部链接只有在您点击后才会在浏览器中打开。 （五）法律法规要求。如果法律法规要求，或有权机关依法要求，我们可能需要提供我们掌握的信息；由于本软件不向我们上传您的内容，我们通常并不掌握您的任务、对话、文件或密钥。 ## 四、跨境传输 **如果您选择的模型服务或其他第三方服务位于中华人民共和国境外（例如部分国际模型服务），您发送给它的内容将传输到境外，并适用该服务商所在地的法律和该服务商的隐私政策。**这一传输由您选择服务的行为发起，本软件会在模型列表中标注服务的地区。我们建议您在处理个人信息、重要数据或敏感信息时，优先选择境内服务，并确认您的使用符合数据出境的相关规定。 ## 五、敏感个人信息 本软件不会主动收集您的敏感个人信息。如果您在消息或文件中包含身份证号码、金融账户、健康信息、行踪轨迹、生物识别信息或未满十四周岁未成年人的个人信息，这些信息会按本声明第三条发送给您选择的模型服务。请您谨慎提供此类信息。 ## 六、信息的保存和保护 （一）保存位置。本软件的数据保存在其数据目录中（开发版位于 koder-desktop/data），任务记录另存于任务所在文件夹的 .koder/tasks 目录。 （二）保存期限。您的信息会一直保存在您的电脑上，直到您删除相应任务、移除模型服务、清除数据目录或卸载本软件。我们不在服务器上保存您的信息，因此不存在服务器端的保存期限。 （三）安全措施。本软件采取以下措施保护您的信息：本地服务只监听本机回环地址 127.0.0.1，并拒绝其他网站发起的请求；本软件的外壳与内核之间使用只有当前系统用户可读的令牌互相验证；密钥和密码使用 AES-256-GCM 加密；写文件和运行命令之前需要您确认；软件更新经数字签名验证。详见《安全信息》。尽管如此，任何安全措施都无法做到万无一失，您的电脑本身的安全（例如系统账户、磁盘加密、恶意软件防护）同样重要。 ## 七、您的权利 您对本软件处理的个人信息享有以下权利，并可以直接在本软件中行使，无需向我们申请： （一）查阅和复制。您可以在任务列表、对话记录、系统页和设置中查看本软件保存的信息；任务记录以 Markdown 文件保存在任务文件夹中，您可以直接打开和复制。 （二）更正和补充。您可以重命名任务、修改模型服务配置、替换密钥、更改各项设置。 （三）删除。您可以删除任务或对话、从模型设置中删除服务（同时删除其密钥和路由）、删除已保存的登录凭据，也可以删除数据目录或卸载本软件以删除全部本地信息。任务文件夹中的 .koder 目录可以由您直接删除。 （四）撤回同意。您可以关闭提醒、撤回系统通知权限、关闭联网搜索和读取网页工具、把对话方式改为只读，或停止使用本软件。撤回同意不影响撤回前基于您的同意已经进行的处理。 （五）获取说明和投诉。您可以通过本声明第十一条的方式联系我们，就本声明提出问题、意见或投诉。我们会在核实后十五个工作日内答复。 ## 八、未成年人 本软件主要面向成年人。如果您是未满十八周岁的未成年人，请在父母或其他监护人的陪同和指导下阅读本声明并使用本软件。未满十四周岁的儿童不应使用本软件处理其个人信息。 ## 九、第三方服务 本软件可以连接以下第三方模型服务（以本软件内模型列表为准）：智谱 GLM、通义千问（阿里云百炼）、小米 MiMo、Kimi（月之暗面）、豆包（火山方舟）、腾讯混元、阶跃星辰、零一万物、百川智能、讯飞星火、百度千帆、MiniMax、DeepSeek（深度求索）、ChatGPT（OpenAI）、Claude（Anthropic）、Gemini（Google）、Grok（xAI）、Mistral、Groq、Cerebras、NVIDIA NIM、Hugging Face、硅基流动、OpenRouter、Together、Fireworks、Perplexity，以及您自行配置的本地或其他兼容接口。它们由各自的运营者独立提供，您需要自行开通，并接受其服务条款和隐私政策。本软件的联网搜索功能使用深度求索的官方接口。我们与上述第三方之间不存在委托处理个人信息的关系；您向它们发送信息，是您直接使用它们的服务。 ## 十、本声明的更新 我们可能因法律法规、监管要求或本软件功能的变化更新本声明。更新后的版本会标注新的更新日期，并在本软件内显示；涉及处理目的、处理方式或信息范围的重大变化时，我们会在本软件内以醒目的方式提示您。 ## 十一、联系我们 如果您对本声明或您的个人信息有任何疑问、意见或投诉，请联系：运营方全称：〔待填写〕；联系邮箱：〔待填写〕；通信地址：〔待填写〕。官方网站上线后，联系方式将在官方网站同步公布。如果您对我们的答复不满意，您可以向网信、市场监管等主管部门投诉，或向有管辖权的人民法院提起诉讼。