POCKET CLI · 国内版
隐私政策
This is the Privacy Policy of the China mainland edition of Pocket CLI. It is available in Chinese only. If you use the international edition, please see the international Privacy Policy.
Pocket 国内版（包括手机 App「Pocket CLI」国内版、使用国内版账号的 Mac、Windows 和 Linux 电脑端，以及位于中国境内、支撑它们的服务器）由雷腾（下称「我们」）开发和运营，我们是你个人信息的处理者。本政策说明我们处理哪些个人信息、处理目的、存储位置与期限、委托哪些服务商处理、哪些内容我们无法查看，以及你如何查看和删除这些信息。与你权益密切相关的内容以粗体标出。Pocket 另有面向中国大陆以外用户的国际版，其服务器和账号与国内版相互独立，适用另一份隐私政策。
要点
- Pocket 对会话、文件以及你发出的消息和回答进行端到端加密，未加密时无法使用：密钥仅保存在你的手机和电脑上，我们的服务器只转发和暂存加密后的数据，无法查看内容。
- 新手机或新电脑登录后需先完成配对：新设备会显示 6 位数字配对码，请在已登录的设备上输入。配对码不会发送给我们。
- 我们仍可查看：你的账号（手机号或邮箱）、你的设备（名称、类型、公钥）、设备的在线时间、设备之间收发数据的时间和大小，以及 IP 地址。
- 不出售信息、不投放广告、不追踪。App 中没有任何第三方统计、广告或推送 SDK。
- 国内版的服务器和数据存储均位于中国境内（腾讯云上海），我们不向境外提供你的个人信息。语音可以在我们的服务器上转为文字（不保存录音），也可以选择在你自己的电脑或手机上识别。
- 你可以随时在 App「我的 → 注销账号」中删除账号及我们服务器上你的全部数据。
1. 我们处理的信息及目的
1.1 账号
- 注册和登录时：你的手机号码（作为账号名，并用于接收短信验证码、登录和找回密码）；如你使用邮箱注册或在账号中填写了邮箱，还包括你的邮箱地址（用于接收验证码和找回密码）；以及你设置的密码。密码只以加盐哈希（scrypt）保存，我们无法查看原文。
- 我们给账号生成一个随机的账号编号，并记下注册时间。
- 每部登录的手机：设备类型名称（「iPhone」或「Android」）、登录时间和最近使用时间。登录凭证只存哈希；手机上的登录状态 30 天未使用将自动失效。电脑端的登录在你退出账号或移除该电脑之前一直有效。
- 账号设置：手机上显示的会话天数。服务器还会在内存中记下你手机的界面语言，用于以相应语言显示提示和发送邮件，不写入数据库。
- 用途：创建和保护你的账号，支持你在多台设备上登录，并在有新手机登录或新电脑绑定时提醒你。
1.2 设备、密钥和配对
- 每部手机、每台电脑第一次使用时，会在本机生成一套密钥。私钥仅保存在该设备上，不会发送给我们；公钥连同设备名称、设备类型和电脑端 / App 的版本号提交至我们的服务器登记，服务器再为该设备分配一个随机的内部地址。设备名称：电脑为电脑的名称（例如「我的 MacBook」）；iPhone 为系统提供的名称（通常为「iPhone」）；Android 手机为品牌和型号。
- 配对：账号里的第一部手机登录时开启加密。此后每部新手机、每台新电脑登录后会显示 6 位数字配对码，你在已登录的设备上输入该配对码并配对成功后，新设备的密钥才会加入你的账号。配对码仅存在于你的两台设备上，不会发送给我们；服务器只转发双方计算出的数值，无法从中推算出配对码。配对完成前，新手机无法查看任何会话，新电脑不会同步任何内容。
- 设备名单：你的账号中有哪些设备、各设备的权限以及哪些设备已被移除，均记录在一份由你的设备签名的名单中。我们的服务器保存该名单并转发给你的设备，但无法修改。
- 电脑用于加密内容的密钥，会使用每部获准设备的公钥分别加密封装，再由服务器转交；封装后的密钥只有对应设备能够解开，我们无法解开。
- 如果你使用自己部署的服务器转发数据，我们会记录该服务器的地址、名称和证书指纹。
- 用途：使你的设备能够相互找到并确认身份，并确保只有配对成功的设备能够读取内容。
1.3 电脑端同步的内容（端到端加密）
你在自己的电脑上安装并登录 Pocket 电脑端、完成配对后，电脑端会在本地读取 Claude Code、Codex、Kimi Code、pi、DeepSeek Harness 这几种 AI 编程工具的会话记录，将最近几天的会话（天数由你在 App 中设定）同步到你的手机，供你在手机上查看和操作：
- 会话的标题、工作目录路径和运行状态；你和 AI 的对话文字；AI 的思考过程、执行的命令和工具的输出；待你批准的操作和 AI 向你提出的问题。
- AI 在会话里读过、生成或修改过的文件（例如截图、网页、文档），以及你粘贴到会话中的图片，会作为附件同步；缩略图在你的电脑上生成。超过 20MB 的文件不自动同步，只同步其名称、类型和大小。电脑端设有敏感文件名单，也会检查文件内容，密钥、口令、访问令牌、证书和包含口令的配置文件不会同步，但无法保证识别所有敏感内容。如不希望某些内容出现在手机上，请勿在 AI 会话中处理这些内容，或在电脑端点击「暂停同步」。
- 电脑信息：电脑名称、AI 工具中信任过的项目目录路径、可用的 AI 工具和模型列表、电脑端的系统权限是否齐全。
- 额度与余额：你电脑上 AI 工具的用量和额度，以及 DeepSeek、月之暗面账户的余额。余额由你的电脑使用你在电脑上已配置的密钥直接向 DeepSeek、月之暗面查询，该密钥不会发送给我们，我们的服务器也无法查看查询结果。
- 以上内容均在你的电脑上加密，经我们的中继服务器（只存加密数据）转发和暂存，只有与你配对的手机能够解密；我们和腾讯云均无法查看。在手机上搜索会话时，搜索词同样加密后发送到你的电脑，在电脑上完成搜索。
- 用途：在手机上显示会话、文件和用量；将你在手机上的回答、批准、停止操作和新消息发送到电脑。
我们不主动收集敏感个人信息。如果你的会话或文件中含有身份证件、健康、金融账户等敏感内容，这些内容会随会话（加密）同步到你的手机，请你自行斟酌。
1.4 你在手机上发出的内容（端到端加密）
- 你输入的文字、你对审批和问题的回答、你选择发送给电脑的图片和文件（单个最大 20MB，每次最多 5 个）。
- 这些内容在手机上加密后，经我们的中继服务器转发到你自己的电脑，由电脑上的 AI 工具处理，之后作为会话的一部分同步回手机。我们无法查看。
- 电脑上的 AI 工具（Claude Code、Codex 等）由你自行安装和登录，其如何处理你发送给 AI 的内容，适用各自服务商的条款。Pocket 不提供、也不调用任何 AI 模型。
1.5 语音输入
- 只在你按住麦克风说话时录音。首次使用时，App 会请你选择一种识别方式；选择「官方云端识别」时，App 会先单独说明并征得你的同意：
- 官方云端识别：录音发送到我们的语音服务，由我们委托的语音识别服务商（见第 4 节）转为文字，文字返回你的手机后，与输入的文字一样加密发送到电脑。随录音一并提交给识别服务商的，只有一个由你的随机账号编号生成的匿名标识（同一账号相同），不包含你的手机号、邮箱或设备名称。我们不保存录音：录音仅在识别期间暂存于内存，识别完成即丢弃；日志只记录随机账号编号、识别方式、录音时长和识别出的字数，不记录录音和文字。
- 我的电脑识别：录音加密后发送到你自己的电脑，由电脑上下载的开源识别模型转为文字；录音和文字均以加密形式传输，我们无法查看。录音在电脑上识别期间临时保存为文件，识别完成即删除。
- 自建语音服务：录音发送到你自己部署的语音服务，由该服务处理，与我们无关。
- 手机本机识别：使用手机系统的离线识别将录音转为文字，录音不离开手机。
- 你可以随时在 App「我的」中更换识别方式（「语音识别方式」）或撤回同意（「语音输入」）。撤回后将无法使用语音输入，文字输入不受影响。
1.6 我们的服务器可以查看哪些信息
启用端到端加密后，服务器仍需要部分信息才能将数据送达正确的设备。下表列出了全部此类信息：
| 信息 | 账号服务器（账号与设备） | 中继服务器（只存加密数据） | 语音服务 |
|---|---|---|---|
| 会话、消息、AI 的思考与命令、工具输出、审批和问题、计划、标题、项目路径、模型、用量、附件的名称和内容、缩略图、搜索词与结果 | 不可见 | 不可见（仅有密文） | 不可见 |
| 账号（手机号或邮箱）、密码哈希、登录时间，设备名称、类型、公钥、内部地址、版本号，设备名单和权限，待配对的设备和配对进度（不含配对码），所使用的中继服务器，会话天数设置，设备是否在线 | 可见 | 仅可见内部地址和随机账号编号 | 仅可见随机账号编号和发起识别的设备的内部地址 |
| 数据的发送方、接收方、时间和大小，是命令还是回执，每个会话的消息条数，哪些消息较长，附件大小及下载时间 | 仅可见是否在线 | 可见 | — |
| IP 地址 | 可见 | 可见 | 可见 |
| 录音和识别出的文字 | 不可见 | 不可见 | 仅在你选择「官方云端识别」时经手，不保存 |
我们将这些信息用于投递数据、限流、防止滥用和排查故障，不会用于分析你的内容（我们也无法查看）。
1.7 日志
为保障安全、排查故障和防止滥用，服务器会记录运行日志：IP 地址、时间，登录、注册、发送验证码、绑定电脑、配对设备、下载安装包等操作，账号名（手机号或邮箱），设备或电脑名称；中继服务器记录连接、转发和暂存的时间与大小，以及收发双方的内部地址和随机账号编号；语音服务记录时间、随机账号编号、识别方式、录音时长和字数。日志不记录会话内容、你发出的消息、录音和识别出的文字。
1.8 官网和下载
Pocket 官网 pocket.pocketcli.net（包括本页）部署在中国香港的服务器上，仅用于介绍产品、提供下载链接和本政策等页面，无需注册或登录，不使用 Cookie，也没有第三方统计；该服务器仅在内存中按 IP 地址限流，不记录访问日志，也不与你的账号关联。国内版的安装包从位于中国境内的 api.pocketcli.cn 下载，下载时服务器记录 IP 地址和文件名。官网上的「GitHub 镜像」下载链接由 GitHub 提供，通过该链接下载时适用 GitHub 的隐私政策。
1.9 我们不收集的信息
位置、通讯录、短信内容、通话记录、相机、健康信息、广告标识符（IDFA）、设备唯一标识（如 IMEI、MAC 地址、Android ID）、浏览记录。App 仅在你点击粘贴按钮时读取剪贴板。我们不进行用户画像，不使用你的信息进行自动化决策，也不使用你的内容训练模型或投放广告。
2. 手机权限
| 权限 | 申请时机 | 用途 |
|---|---|---|
| 麦克风 | 首次按住说话并选择识别方式后（选择「官方云端识别」的，在你同意语音说明后） | 语音输入 |
| 语音识别（iPhone） | 选择「手机本机识别」并首次识别时 | 使用系统的离线识别将录音转为文字，录音不离开手机 |
| 通知 | 你同意本政策之后 | 会话完成或需要你确认时提醒你。此类通知由手机本地发出，不经过苹果或谷歌的推送服务，我们不获取推送标识 |
| 相册、文件 | 不申请权限 | 使用系统的选择器，仅读取你选中的项目 |
| 剪贴板 | 不申请权限 | 仅在你点击粘贴按钮时读取（用于填入自建服务器的连接信息）；在你点击复制时写入 |
| 运动传感器 | 不申请权限 | 首页背景随手机倾斜变化，仅在手机本地使用，不上传 |
| 网络 | — | 连接 Pocket 服务器 |
你可以随时在手机的系统设置中关闭这些权限。关闭后，对应功能将无法使用，其他功能不受影响。
3. 存储位置与期限
国内版收集的个人信息均存储在中国境内。我们不向境外提供你的个人信息；如将来确需向境外提供，我们会依法履行相应程序，告知你并单独征得你的同意。我们只在实现目的所需的最短时间里保存你的信息，到期后删除。
| 信息 | 存放位置 | 保存期限 |
|---|---|---|
| 账号信息、登录凭证的哈希、账号设置 | 腾讯云上海的服务器 | 账号存续期间；注销后立即删除 |
| 设备的公钥和名称、设备名单、封装后的密钥（我们无法解开的密文） | 上海的服务器 | 账号存续期间（被移除的设备保留在设备名单中，用于核对签名）；注销后立即删除 |
| 加密的会话记录（密文） | 上海的中继服务器 | 30 天内未被读写即删除（电脑在最近 7 天内在线过的，其会话列表、电脑信息和用量继续保留）；注销或移除电脑后删除 |
| 加密的附件（密文） | 腾讯云对象存储（上海） | 最后一次被下载 30 天后删除，从未被下载的在上传 30 天后删除；注销或移除电脑后删除 |
| 等待对方设备上线的消息（密文） | 上海的中继服务器 | 对方设备确认收到后删除，最长保留 7 天 |
| 已移除设备和已注销账号的撤销记录（随机账号编号、设备编号和内部地址，不含手机号、邮箱和设备名称） | 上海的服务器 | 保留 180 天，用于阻止已移除的设备再次接入，之后删除 |
| 验证码 | 上海的服务器，只存哈希 | 有效期 10 分钟；使用后立即删除，过期后 1 天内删除 |
| 录音 | 不保存 | 选择「官方云端识别」时，仅在识别期间暂存于内存 |
| 语音识别的用量（按匿名账号标识记录的识别时长） | 上海的服务器 | 用于每日和每月的额度限制，当月结束后删除 |
| 附件流量的统计 | 上海的中继服务器 | 用于每日和每月的额度限制，约 3 个月后删除 |
| 运行日志（账号服务器、中继服务器、语音服务） | 上海的服务器 | 保存 7 个月后自动删除（《网络安全法》要求网络日志留存不少于六个月）；注销账号不会提前删除日志 |
| 数据库备份 | 上海的服务器 | 每天一份，保留 7 天；注销后，备份中的账号信息最迟 7 天内随旧备份一并删除 |
| 手机上的数据 | 你的手机 | 解密后的记录和图片缓存由你自行管理：通过「我的 → 清空缓存」或卸载 App 即可删除；图片和文件超过 500MB 时，自动删除最久未查看的内容。密钥保存在系统的钥匙串 / 安全隔区（iPhone）或 Keystore（Android）中；登录凭证、密钥和记录均不包含在 iCloud 备份中 |
| 电脑上的数据 | 你的电脑（用户目录下的 .pocket 文件夹） | 由你自行管理；密钥文件在 Mac 上仅限你的系统账户读取且不包含在时间机器备份中，在 Linux 上仅限你的系统账户读取，在 Windows 上使用系统的 DPAPI 加密保护；从手机收到的文件和缩略图 30 天后自动清理 |
| 你自建服务器上的数据 | 你自己的服务器 | 由你自行管理；注销账号时，我们也会通知你自建的服务器删除相关数据 |
4. 委托处理和第三方
我们不出售你的个人信息，也不将其提供给第三方用于第三方自身的目的。为提供服务，我们委托以下服务商处理部分信息，并要求其仅按我们的要求处理、采取相应的保护措施：
| 服务商 | 服务内容 | 涉及的信息 | 地点 |
|---|---|---|---|
| 腾讯云计算（北京）有限责任公司（腾讯云） | 云服务器、对象存储 | 第 1 节所述存储在服务器上的信息：账号、设备和设备名单、日志；端到端加密的会话和附件仅以密文形式存储（腾讯云和我们均无法解密） | 中国境内（上海） |
| 深圳市腾讯计算机系统有限公司（腾讯企业邮） | 发送验证码邮件 | 邮箱地址、验证码 | 中国境内 |
| 阿里云计算有限公司（阿里云） | 发送短信验证码 | 手机号码、验证码 | 中国境内 |
| 北京火山引擎科技有限公司（火山引擎） | 语音识别（仅在你选择「官方云端识别」时） | 录音、匿名标识 | 中国境内 |
App 未接入任何第三方 SDK。「我的电脑识别」使用的开源识别模型由你的电脑从我们官网的下载服务或模型的发布页（GitHub）下载，下载时对方可获取你电脑的 IP 地址。电脑端查询余额时，直接连接 DeepSeek、月之暗面的接口，适用其各自的隐私政策。
在法律法规要求，或司法机关、行政机关依法要求时，我们可能提供必要的信息；对于端到端加密的内容，我们没有密钥，无法提供可读的版本。如因合并、收购等原因需要转移个人信息，我们会告知你接收方的身份和联系方式，并要求接收方继续受本政策约束；接收方变更处理目的或方式的，将重新征得你的同意。
5. 如何保护你的信息
- 端到端加密：内容在发出的设备上用 AES-256-GCM 加密，并由该设备签名（P-256 ECDSA）；密钥通过 P-256 ECDH 交换、HKDF-SHA256 派生。服务器只能转发和暂存密文，无法解密，任何篡改都会被你的设备发现。
- 配对码：新设备显示的配对码须在已登录的设备上输入，配对成功后新设备才会加入你的账号并获得密钥。配对使用 SPAKE2 协议：服务器无法获得配对码，只能在线猜测，每次猜中的概率为百万分之一，最多可尝试 5 次，之后新设备须重新登录。因此，即使我们的服务器被他人控制，也无法加入设备读取你的内容。你移除一台设备后，电脑会更换密钥，被移除的设备无法读取此后的内容。
- 我们没有你的密钥，也不提供恢复码。所有已配对的设备均丢失时，可以在新手机上通过密码和验证码重置加密，并重新配对所有设备：每台电脑会提示加密已重置，你在电脑上确认后，再在手机上输入电脑显示的配对码。中继服务器上暂存的旧密文随即作废，电脑会重新同步会话。我们无法替你解密任何加密内容。
- 手机、电脑和服务器之间均使用加密连接（HTTPS / TLS）。
- 密码只存加盐哈希，登录凭证和验证码只存哈希。
- 每个账号的数据互相隔离；附件存放在私有的对象存储中，下载链接有效期为 2 分钟，且下载的仅是密文。
- 服务器上的数据目录仅限服务进程读写；数据库每天备份。
- 中继服务器和语音服务的源代码公开，任何人都可以审查其行为或自行部署。
- 手机上的登录凭证、密钥和记录不包含在 iCloud 备份中；Android 版已关闭系统自动备份。
- 如果发生个人信息安全事件，我们会按法律要求告知你事件的情况、可能的影响、我们已采取的措施以及你可以如何降低风险，并向主管部门报告。
互联网环境不存在百分之百的安全。请妥善保管你的密码和设备，请勿将账号借给他人。请仅在你本人刚登录新设备时输入配对码；如未登录新设备却被要求输入配对码，请勿输入，并立即修改密码。
6. 你的权利
- 查看：会话、文件、已登录的设备和已绑定的电脑均可在 App 中查看；「设备」页可查看已配对的设备及其权限。
- 复制：端到端加密的内容只有你的设备能够解密：会话本身保存在你的电脑上（AI 工具自身的记录），手机上另有本机缓存。如需账号和设备信息的副本，请发送邮件给我们。
- 更正：密码可在「我的 → 修改密码」中修改；更换手机号或更正其他信息，请发送邮件给我们。
- 删除：
- 移除设备：在手机「设备」页移除一部手机或一台电脑后，该设备立即被撤销，无法获取新密钥，其在中继服务器上存储的数据将被删除。也可以在电脑端选择「退出账号」。
- 账号可能泄露时，可以在「我的 → 所有设备退出登录」中让全部手机和电脑退出登录。
- 注销账号：在 App「我的 → 注销账号」中输入密码后立即生效，且无法恢复。注销将删除你的账号、设备和设备名单，以及中继服务器和对象存储上你的全部密文，所有手机和电脑同时退出登录；我们也会通知你自建的服务器删除相关数据。你电脑上的文件和 AI 工具自身的会话记录不受影响。无法登录时，请发送邮件申请注销，并写明注册手机号或邮箱以便我们核实身份。
- 撤回同意：语音输入的同意可在「我的 → 语音输入」中撤回；对本政策的同意可在「我的 → 撤回隐私政策同意」中撤回，撤回后该手机将退出登录并清除本机记录和密钥，Pocket 将不再处理来自该手机的信息（如需删除已存储在服务器上的数据，请注销账号）；电脑端可随时选择「暂停同步」或「退出账号」。撤回同意不影响撤回前已进行的处理。
- 解释说明、投诉：如对本政策有疑问，或认为我们对你个人信息的处理存在问题，请发送邮件给我们；你也可以向网信、工信、公安等主管部门投诉举报。
- 近亲属的权利：用户去世后，其近亲属为自身的合法、正当利益，可以发送邮件给我们，对死者的相关个人信息行使查阅、复制、更正、删除等权利，死者生前另有安排的除外。
我们会在收到请求后 15 个工作日内答复。为保护你的账号安全，处理前可能需要核实你的身份。
7. 未成年人
Pocket 是面向开发者的工具，不面向未满 14 周岁的未成年人。如果你未满 14 周岁，请勿使用 Pocket。如我们发现在未取得监护人同意的情况下收集了未满 14 周岁儿童的个人信息，将尽快删除。未满 18 周岁的用户，请在监护人的陪同下阅读本政策。
8. 政策的更新
本政策变更时，我们会更新本页及页首的更新日期。如变更影响你的权利（例如收集新的信息、改变处理目的、增加委托处理的服务商），我们会在 App 中提示，并重新征得你的同意。
9. 联系我们
- 个人信息处理者：雷腾
- 邮箱：service@pocketcli.net
- 官网：pocket.pocketcli.net
- App 备案号：陕ICP备2026028291号-1A