隐私政策

一、适用范围

Pi Remote 是 Pi 编码助手的手机客户端。Pi 运行在你控制的 Linux 服务器上。你可以用它启动和查看 Pi 会话、审查文件变更，并在手机上管理任务。

本政策说明使用 Pi Remote 时涉及哪些信息、这些信息保存在哪里，以及我们会收到什么、不会收到什么。本政策适用于应用本身，也适用于你选择安装在自己服务器上的服务端 Agent。

二、我们是谁

Pi Remote 由Jimmy（以下简称“我们”）发布。隐私问题请联系 a2libra@outlook.com。我们会在 15 个工作日内答复。

Pi Remote 没有账号体系，也没有运营者后端。我们在应用中不接收你创建的内容，因此多数相关请求可以在你的设备或服务器上直接完成。第 12 节说明了删除方式。

三、保存在你设备上的信息

应用会保存连接服务器和记住设置所需的信息。这些信息保存在应用的私有存储中，不会发送给我们。

3.1 服务器连接信息

添加服务器时，应用会保存你填写的信息，例如名称、地址、端口、用户名、认证方式，以及用于识别服务器 SSH 主机密钥的指纹。应用还会记录服务器的添加时间和最近使用时间。

3.2 凭据

密码、私钥、口令、每台服务器的 Agent 访问令牌，以及你选择保存在手机上的模型服务商 API Key，都存放在设备的系统钥匙串或密钥库中。它们不会被写入普通应用偏好设置或应用日志。

3.3 偏好设置

应用会保存外观设置、界面语言、当前模型与思考等级、上次使用的工作区与会话，以及最近使用过的目录列表。

3.4 不保存在设备上的内容

对话、工具活动、文件差异、用量与费用由你服务器上的 Agent 保存。应用通过你的连接读取这些内容，并在打开期间显示，不会在手机上另存一份。

代码文件只在你打开文件或查看差异时读取，仅用于显示，不缓存。

关于操作系统的提醒。 设备可能为任务切换界面截取应用画面；你复制的文本可能进入系统剪贴板。这些是操作系统功能，共享屏幕或借用设备时请留意。

四、保存在你服务器上的信息

安装可选的 Agent 后，它会在你的服务器上保存运行任务所需的信息：

• 任务记录与事件日志，包括提示词、模型输出、工具活动、文件差异和用量信息；
• Pi 的会话文件；
• 工作区为 Git 仓库时，工作区的临时基线；
• 每台服务器的访问令牌；
• 模型服务商密钥，仅当你选择将其保存在服务器上时。

这些文件保存在 Agent 的数据目录，以及 Pi 自己的配置和会话目录中。我们无法访问你的服务器，这些信息的留存、备份和删除由你掌控。应用通过你的 SSH 连接安装和更新 Agent，不会把你的内容发送给我们。

五、信息如何传输

• 手机与服务器之间。 应用通过 SSH 连接。首次连接时，应用会显示服务器的主机密钥指纹供你核对；如果指纹之后发生变化，应用会中止连接。
• 应用与 Agent 之间。 应用通过加密的 SSH 隧道访问 Agent。Agent 不暴露在公网，并要求提供每台服务器的访问令牌。
• 服务器与模型服务商之间。 你的服务器会把模型、提示词、相关代码上下文和工具结果直接发送给你选择的模型服务商。这条连接不经过我们，适用该服务商的隐私政策与条款。
• 调试版本。 开发版本可能被配置为连接本地测试 Agent。正式发布版使用上述 SSH 连接。

六、我们不收集什么

我们不收集、不上传、不存储你的提示词、代码、文件差异、模型回复或用量。我们没有技术手段读取它们。

我们也不会：

• 在应用中使用广告、统计分析、崩溃上报或行为追踪服务；
• 读取你的通讯录、相册、位置、麦克风、相机、健康数据或剪贴板内容，你主动复制或粘贴的文本除外；
• 在当前版本申请通知权限；
• 建立用户画像、做个性化推荐，或跨应用、跨网站追踪你；
• 出售、出租或交换个人信息。

七、第三方服务

应用商店后台可能向我们提供聚合的下载量、评分，以及你选择共享的崩溃报告。这些信息不含你的对话内容，也无法识别你的代码或提示词。

八、系统权限

应用需要网络权限来连接你的服务器。在 iOS 上，应用还会使用本地网络权限来访问设备上的加密隧道。当前版本不申请相机、相册、麦克风、定位、通讯录或通知权限。若未来版本新增权限，会在首次使用时说明原因并征得你的授权。

九、我们为何处理信息

上述处理大多发生在你的设备和你控制的服务器上。在法律要求具备合法性基础时，我们依据：

• 履行与你之间的协议，以提供应用功能；
• 你的同意，用于可选设置以及你主动发送给我们的信息；
• 我们在保障连接安全和防止滥用方面的正当利益；
• 法律义务，用于回应合法请求。

我们不会用你的内容进行自动化决策或定向广告。

十、保存期限

• 在你的设备上： 连接信息、偏好设置和凭据会一直保留，直到你删除或卸载应用。部分 iOS 钥匙串条目可能在卸载后残留，见第 12.3 节。
• 在你的服务器上： 任务记录、会话和基线会一直保留，直到你删除。我们无法代为删除。
• 我们持有的信息： 我们不持有你的应用内容。你发来的邮件会在你的问题处理完毕后 30 天内删除。

十一、共享与披露

我们不出售你的信息，也不与第三方共享，因为我们不持有这些信息。

信息只会在下列情况下离开你的设备或服务器：

1. 你配置连接，例如通过 SSH 连接你的服务器，或你的服务器连接模型服务商；
2. 你导出或复制内容，例如文件差异或会话；
3. 我们收到法院或主管机关的合法请求。我们只能提供实际持有的信息，其中不包含你的对话或代码。在法律允许的范围内，我们会告知你该请求。

十二、安全措施与重要限制

12.1 我们采取的措施

• 凭据存放在系统钥匙串或密钥库中。
• 首次连接时显示服务器的主机密钥指纹；指纹变化时中止连接。
• Agent 通过加密的 SSH 隧道访问，不暴露在公网，并要求提供每台服务器的访问令牌。
• Agent 不保存包含你内容的请求日志。
• 工作区为 Git 仓库时，应用会记录基线，便于审查和回滚任务所做的变更。
• 模型服务商密钥默认保存在手机上，仅在需要时交给 Pi 使用。

12.2 你需要知道的限制

• 没有沙箱。 Pi 以启动它的服务器用户权限运行，可以访问该用户能访问的一切。我们不会在界面中声称存在隔离。
• 同一用户的其他进程可以读取访问令牌。 这项保护隔离的是你和其他服务器用户，不能阻止以你的账户运行的程序，也不能阻止管理员。
• 被入侵的服务器或设备不在我们的控制范围内。
• 服务商密钥可能在服务器上短暂可见。 取决于服务商以及 Pi 的调用方式，同一服务器上的其他用户在任务运行期间可能看到密钥。若你在意这一点，请使用服务器端认证，或选择通过环境变量接收密钥的服务商。
• 保存在服务器上的密钥在服务器上可读。 如果你选择把模型密钥保存到服务器，它会存放在 Pi 的配置中，以你的用户身份运行的进程或管理员可以读取。
• 第三方服务商不受我们控制。 信息一旦发送给模型服务商，其留存、训练使用与跨境传输就适用该服务商的政策。

12.3 删除你的信息

1. 在应用内移除不再需要的服务器条目。这会同时移除对应的凭据和访问令牌。
2. 删除应用中保存的模型 API Key。
3. 卸载应用。iOS 提示： 钥匙串条目在某些情况下可能在卸载后残留。可在“设置 → 密码”中检查，或抹掉设备时一并清除。
4. 在你的服务器上停止 Agent，删除其数据目录，并移除你在那里保存的模型密钥。如果你还想删除 Pi 的会话和配置，请另行删除。
5. 在模型服务商后台吊销不再使用的 API Key。

十三、你的权利

在适用法律赋予你访问、更正、删除、限制处理、反对处理、撤回同意或获取信息副本等权利的范围内，你可以这样做：

由于我们不持有你的内容，多数请求可以在你的设备或服务器上直接完成。如需协助，请发邮件给我们，我们会在 15 个工作日内答复。

十四、未成年人

Pi Remote 是面向能够订立有约束力合同的开发者的工具，不面向儿童。若你未满 18 周岁，请在监护人知情并同意的情况下使用，并由监护人承担相应责任。我们不会主动收集儿童的个人信息。

十五、数据跨境

我们不传输你的信息。若你的服务器或你选择的模型服务商位于你所在国家/地区之外，是你的配置把信息发送到那里。请自行评估适用的法律要求。

十六、政策更新

我们可能因应用或法律变化更新本政策。新版本会发布在 https://legal.orga.day/zh/pi-remote/privacy/，并更新“最近更新”日期。若变更重大，我们还会在应用内或本站显著位置提示。变更后继续使用即表示你接受更新后的政策；若不同意，请停止使用并卸载应用。

十七、联系我们

• 运营者：Jimmy
• 地址：中国
• 邮箱：a2libra@outlook.com
• 响应时间：15 个工作日内

附录：一页速览