POCKET CLI · 国际版
隐私政策
本政策适用于 Pocket 国际版，即面向中国大陆以外用户、使用位于中国香港的服务器的版本。中国大陆用户请使用国内版，并查看《国内版隐私政策》。
Pocket 国际版（包括手机 App「Pocket CLI」国际版、使用国际版账号的 Mac、Windows 和 Linux 电脑端、官网 pocket.pocketcli.net，以及支撑它们的服务器）由 Alex Lay（下称「我们」）开发和运营，我们是你个人信息的处理者。本政策说明我们处理哪些个人信息、处理目的、存储位置与期限、委托哪些服务商处理、哪些内容我们无法查看，以及你如何查看和删除这些信息。与你权益密切相关的内容以粗体标出。本政策有中文和英文两个版本，如有不一致，以英文版为准。
要点
- Pocket 对会话、文件以及你发出的消息和回答进行端到端加密，未加密时无法使用：密钥仅保存在你的手机和电脑上，我们的服务器只转发和暂存加密后的数据，无法查看内容。
- 新手机或新电脑登录后需先完成配对：新设备会显示 6 位数字配对码，请在已登录的设备上输入。配对码不会发送给我们。
- 我们仍可查看：你的账号邮箱、你的设备（名称、类型、公钥）、设备的在线时间、设备之间收发数据的时间和大小，以及 IP 地址。
- 不出售信息、不投放广告、不追踪。App 中没有任何第三方统计、广告或推送 SDK。
- 服务器位于中国香港（腾讯云）。语音可以在我们的服务器上转为文字（不保存录音），此时录音会交给位于中国内地的语音识别服务商处理；也可以选择在你自己的电脑或手机上识别。具体见第 5 节。
- 旧的不加密同步方式已于 2026 年 10 月 9 日关闭，服务器和对象存储上旧的明文会话记录和附件已于同日全部删除。旧版本将仅提示更新，无法继续使用。
- 你可以随时在 App「我的 → 注销账号」中删除账号及我们服务器上你的全部数据。
1. 我们处理的信息及目的
1.1 账号
- 注册和登录时：邮箱（即你的账号名，也用于发送验证码和找回密码）和密码。密码只以加盐哈希（scrypt）保存，我们无法查看原文。早期使用用户名注册的账号，保存的是用户名。国际版不收集手机号码。
- 我们给账号生成一个随机的账号编号，并记下注册时间。
- 每部登录的手机：设备类型名称（「iPhone」或「Android」）、登录时间和最近使用时间。登录凭证只存哈希；手机上的登录状态 30 天未使用将自动失效。电脑端的登录在你退出账号或移除该电脑之前一直有效。
- 账号设置：手机上显示的会话天数。服务器还会根据你手机连接时的 IP 地址记下一个地区标记（仅区分中国大陆和其他地区，用于选择附件的存放位置）；你手机的界面语言只保存在服务器内存中，用于以相应语言显示提示和发送邮件。
- 用途：创建和保护你的账号，支持你在多台设备上登录，并在有新手机登录或新电脑绑定时提醒你。
1.2 设备、密钥和配对
- 每部手机、每台电脑第一次使用时，会在本机生成一套密钥。私钥仅保存在该设备上，不会发送给我们；公钥连同设备名称、设备类型和电脑端 / App 的版本号提交至我们的服务器登记，服务器再为该设备分配一个随机的内部地址。设备名称：电脑为电脑的名称（例如「我的 MacBook」）；iPhone 为系统提供的名称（通常为「iPhone」）；Android 手机为品牌和型号。
- 配对：账号里的第一部手机登录时开启加密。此后每部新手机、每台新电脑登录后会显示 6 位数字配对码，你在已登录的设备上输入该配对码并配对成功后，新设备的密钥才会加入你的账号。配对码仅存在于你的两台设备上，不会发送给我们；服务器只转发双方计算出的数值，无法从中推算出配对码。配对完成前，新手机无法查看任何会话，新电脑不会同步任何内容。
- 设备名单：你的账号中有哪些设备、各设备的权限以及哪些设备已被移除，均记录在一份由你的设备签名的名单中。我们的服务器保存该名单并转发给你的设备，但无法修改。
- 电脑用于加密内容的密钥，会使用每部获准设备的公钥分别加密封装，再由服务器转交；封装后的密钥只有对应设备能够解开，我们无法解开。
- 如果你使用自己部署的服务器转发数据，我们会记录该服务器的地址、名称和证书指纹。
- 用途：使你的设备能够相互找到并确认身份，并确保只有配对成功的设备能够读取内容。
1.3 电脑端同步的内容（端到端加密）
你在自己的电脑上安装并登录 Pocket 电脑端、完成配对后，电脑端会在本地读取 Claude Code、Codex、Kimi Code、pi、DeepSeek Harness 这几种 AI 编程工具的会话记录，将最近几天的会话（天数由你在 App 中设定）同步到你的手机，供你在手机上查看和操作：
- 会话的标题、工作目录路径和运行状态；你和 AI 的对话文字；AI 的思考过程、执行的命令和工具的输出；待你批准的操作和 AI 向你提出的问题。
- AI 在会话里读过、生成或修改过的文件（例如截图、网页、文档），以及你粘贴到会话中的图片，会作为附件同步；缩略图在你的电脑上生成。超过 20MB 的文件不自动同步，只同步其名称、类型和大小。电脑端设有敏感文件名单，也会检查文件内容，密钥、口令、访问令牌、证书和包含口令的配置文件不会同步，但无法保证识别所有敏感内容。如不希望某些内容出现在手机上，请勿在 AI 会话中处理这些内容，或在电脑端点击「暂停同步」。
- 电脑信息：电脑名称、AI 工具中信任过的项目目录路径、可用的 AI 工具和模型列表、电脑端的系统权限是否齐全。
- 额度与余额：你电脑上 AI 工具的用量和额度，以及 DeepSeek、月之暗面账户的余额。余额由你的电脑使用你在电脑上已配置的密钥直接向 DeepSeek、月之暗面查询，该密钥不会发送给我们，我们的服务器也无法查看查询结果。
- 以上内容均在你的电脑上加密，经我们的中继服务器（只存加密数据）转发和暂存，只有与你配对的手机能够解密；我们和腾讯云均无法查看。在手机上搜索会话时，搜索词同样加密后发送到你的电脑，在电脑上完成搜索。
- 用途：在手机上显示会话、文件和用量；将你在手机上的回答、批准、停止操作和新消息发送到电脑。
我们不主动收集敏感个人信息。如果你的会话或文件中含有身份证件、健康、金融账户等敏感内容，这些内容会随会话（加密）同步到你的手机，请你自行斟酌。
1.4 你在手机上发出的内容（端到端加密）
- 你输入的文字、你对审批和问题的回答、你选择发送给电脑的图片和文件（单个最大 20MB，每次最多 5 个）。
- 这些内容在手机上加密后，经我们的中继服务器转发到你自己的电脑，由电脑上的 AI 工具处理，之后作为会话的一部分同步回手机。我们无法查看。
- 电脑上的 AI 工具（Claude Code、Codex 等）由你自行安装和登录，其如何处理你发送给 AI 的内容，适用各自服务商的条款。Pocket 不提供、也不调用任何 AI 模型。
1.5 语音输入
- 只在你按住麦克风说话时录音。首次使用时，App 会请你选择一种识别方式；选择「官方云端识别」时，App 会先单独说明并征得你的同意：
- 官方云端识别：录音发送到我们位于香港的语音服务，再由我们委托的、位于中国内地的语音识别服务商（见第 4、5 节）转为文字，文字返回你的手机后，与输入的文字一样加密发送到电脑。随录音一并提交给识别服务商的，只有一个由你的随机账号编号生成的匿名标识（同一账号相同），不包含你的邮箱或设备名称。我们不保存录音：录音仅在识别期间暂存于内存，识别完成即丢弃；日志只记录随机账号编号、识别方式、录音时长和识别出的字数，不记录录音和文字。
- 我的电脑识别：录音加密后发送到你自己的电脑，由电脑上下载的开源识别模型转为文字；录音和文字均以加密形式传输，我们无法查看。录音在电脑上识别期间临时保存为文件，识别完成即删除。
- 自建语音服务：录音发送到你自己部署的语音服务，由该服务处理，与我们无关。
- 手机本机识别：使用手机系统的离线识别将录音转为文字，录音不离开手机。
- 你可以随时在 App「我的」中更换识别方式（「语音识别方式」）或撤回同意（「语音输入」）。撤回后将无法使用语音输入，文字输入不受影响。
1.6 我们的服务器可以查看哪些信息
启用端到端加密后，服务器仍需要部分信息才能将数据送达正确的设备。下表列出了全部此类信息：
| 信息 | 账号服务器（账号与设备） | 中继服务器（只存加密数据） | 语音服务 |
|---|---|---|---|
| 会话、消息、AI 的思考与命令、工具输出、审批和问题、计划、标题、项目路径、模型、用量、附件的名称和内容、缩略图、搜索词与结果 | 不可见 | 不可见（仅有密文） | 不可见 |
| 账号邮箱、密码哈希、登录时间，设备名称、类型、公钥、内部地址、版本号，设备名单和权限，待配对的设备和配对进度（不含配对码），所使用的中继服务器，会话天数设置，设备是否在线 | 可见 | 仅可见内部地址和随机账号编号 | 仅可见随机账号编号和发起识别的设备的内部地址 |
| 数据的发送方、接收方、时间和大小，是命令还是回执，每个会话的消息条数，哪些消息较长，附件大小及下载时间 | 仅可见是否在线 | 可见 | — |
| IP 地址 | 可见 | 可见 | 可见 |
| 录音和识别出的文字 | 不可见 | 不可见 | 仅在你选择「官方云端识别」时经手，不保存 |
我们将这些信息用于投递数据、限流、防止滥用和排查故障，不会用于分析你的内容（我们也无法查看）。
1.7 旧的同步方式（已关闭）
- 2026 年 10 月 9 日之前，旧版本的 App 和电脑端以不加密的方式同步：会话、文件和你发出的内容以明文经过并存放在我们的服务器上。
- 旧的同步方式已于 2026 年 10 月 9 日关闭。旧版本连接服务器时仅会收到更新提示，无法再同步或发送任何内容。
- 服务器和对象存储上所有旧的明文会话记录和附件，已于同日删除。目前仅支持端到端加密这一种方式。
1.8 日志
为保障安全、排查故障和防止滥用，服务器会记录运行日志：IP 地址、时间，登录、注册、发送验证码、绑定电脑、配对设备、下载安装包等操作，账号邮箱，设备或电脑名称；中继服务器记录连接、转发和暂存的时间与大小，以及收发双方的内部地址和随机账号编号；语音服务记录时间、随机账号编号、识别方式、录音时长和字数。日志不记录会话内容、你发出的消息、录音和识别出的文字。
1.9 官网
官网不使用 Cookie，也没有第三方统计；服务器仅在内存中按 IP 地址限流，不记录页面访问日志；下载安装包时，服务器记录 IP 地址和文件名。电脑端在浏览器中登录时，登录状态仅保存在该浏览器标签页中，30 分钟后失效。官网上的「GitHub 镜像」下载链接由 GitHub 提供，通过该链接下载时适用 GitHub 的隐私政策。
1.10 我们不收集的信息
手机号码、位置、通讯录、短信内容、通话记录、相机、健康信息、广告标识符（IDFA）、设备唯一标识（如 IMEI、MAC 地址、Android ID）、浏览记录。App 仅在你点击粘贴按钮时读取剪贴板。我们不进行用户画像，不使用你的信息进行自动化决策，也不使用你的内容训练模型或投放广告。
2. 手机权限
| 权限 | 申请时机 | 用途 |
|---|---|---|
| 麦克风 | 首次按住说话并选择识别方式后（选择「官方云端识别」的，在你同意语音说明后） | 语音输入 |
| 语音识别（iPhone） | 选择「手机本机识别」并首次识别时 | 使用系统的离线识别将录音转为文字，录音不离开手机 |
| 通知 | 你同意本政策之后 | 会话完成或需要你确认时提醒你。此类通知由手机本地发出，不经过苹果或谷歌的推送服务，我们不获取推送标识 |
| 相册、文件 | 不申请权限 | 使用系统的选择器，仅读取你选中的项目 |
| 剪贴板 | 不申请权限 | 仅在你点击粘贴按钮时读取（用于填入自建服务器的连接信息）；在你点击复制时写入 |
| 运动传感器 | 不申请权限 | 首页背景随手机倾斜变化，仅在手机本地使用，不上传 |
| 网络 | — | 连接 Pocket 服务器 |
你可以随时在手机的系统设置中关闭这些权限。关闭后，对应功能将无法使用，其他功能不受影响。
3. 存储位置与期限
我们只在实现目的所需的最短时间里保存你的信息，到期后删除。
| 信息 | 存放位置 | 保存期限 |
|---|---|---|
| 账号信息、登录凭证的哈希、账号设置 | 腾讯云香港的服务器 | 账号存续期间；注销后立即删除 |
| 设备的公钥和名称、设备名单、封装后的密钥（我们无法解开的密文） | 香港的服务器 | 账号存续期间（被移除的设备保留在设备名单中，用于核对签名）；注销后立即删除 |
| 加密的会话记录（密文） | 香港的中继服务器 | 30 天内未被读写即删除（电脑在最近 7 天内在线过的，其会话列表、电脑信息和用量继续保留）；注销或移除电脑后删除 |
| 加密的附件（密文） | 腾讯云对象存储：一般在香港；从中国大陆的网络上传、或无法判断网络所在地区的，存放在上海 | 最后一次被下载 30 天后删除，从未被下载的在上传 30 天后删除；注销或移除电脑后删除 |
| 等待对方设备上线的消息（密文） | 香港的中继服务器 | 对方设备确认收到后删除，最长保留 7 天 |
| 旧版本同步的明文会话记录和附件 | 不再保存 | 已于 2026 年 10 月 9 日全部删除 |
| 已移除设备和已注销账号的撤销记录（随机账号编号、设备编号和内部地址，不含邮箱和设备名称） | 香港的服务器 | 保留 180 天，用于阻止已移除的设备再次接入，之后删除 |
| 验证码 | 香港的服务器，只存哈希 | 有效期 10 分钟；使用后立即删除，过期后 1 天内删除 |
| 录音 | 不保存 | 选择「官方云端识别」时，仅在识别期间暂存于内存 |
| 语音识别的用量（按匿名账号标识记录的识别时长） | 香港的服务器 | 用于每日和每月的额度限制，当月结束后删除 |
| 附件流量的统计 | 香港的中继服务器 | 用于每日和每月的额度限制，约 3 个月后删除 |
| 运行日志（账号服务器、中继服务器、语音服务） | 香港的服务器 | 保存 7 个月后自动删除；注销账号不会提前删除日志 |
| 数据库备份 | 香港的服务器 | 每天一份，保留 7 天。注销后，备份中的账号信息最迟 7 天内随旧备份一并删除；2026 年 10 月 9 日之前的备份中由旧版本记录的项目路径、附件名称和用量，最迟于 2026 年 10 月 16 日随旧备份删除 |
| 手机上的数据 | 你的手机 | 解密后的记录和图片缓存由你自行管理：通过「我的 → 清空缓存」或卸载 App 即可删除；图片和文件超过 500MB 时，自动删除最久未查看的内容。密钥保存在系统的钥匙串 / 安全隔区（iPhone）或 Keystore（Android）中；登录凭证、密钥和记录均不包含在 iCloud 备份中 |
| 电脑上的数据 | 你的电脑（用户目录下的 .pocket 文件夹） | 由你自行管理；密钥文件在 Mac 上仅限你的系统账户读取且不包含在时间机器备份中，在 Linux 上仅限你的系统账户读取，在 Windows 上使用系统的 DPAPI 加密保护；从手机收到的文件和缩略图 30 天后自动清理 |
| 你自建服务器上的数据 | 你自己的服务器 | 由你自行管理；注销账号时，我们也会通知你自建的服务器删除相关数据 |
4. 委托处理和第三方
我们不出售你的个人信息，也不将其提供给第三方用于第三方自身的目的。为提供服务，我们委托以下服务商处理部分信息，并要求其仅按我们的要求处理、采取相应的保护措施：
| 服务商 | 服务内容 | 涉及的信息 | 地点 |
|---|---|---|---|
| 腾讯云计算（北京）有限责任公司（腾讯云） | 云服务器、对象存储 | 第 1 节所述存储在服务器上的信息：账号、设备和设备名单、日志；端到端加密的会话和附件仅以密文形式存储（腾讯云和我们均无法解密） | 中国香港；部分加密附件在上海 |
| 北京火山引擎科技有限公司（火山引擎） | 语音识别（仅在你选择「官方云端识别」时） | 录音、匿名标识 | 中国内地 |
| 深圳市腾讯计算机系统有限公司（腾讯企业邮） | 发送验证码邮件 | 邮箱地址、验证码 | 中国内地 |
App 未接入任何第三方 SDK。「我的电脑识别」使用的开源识别模型由你的电脑从我们官网的下载服务或模型的发布页（GitHub）下载，下载时对方可获取你电脑的 IP 地址。电脑端查询余额时，直接连接 DeepSeek、月之暗面的接口，适用其各自的隐私政策。
在法律法规要求，或司法机关、行政机关依法要求时，我们可能提供必要的信息；对于端到端加密的内容，我们没有密钥，无法提供可读的版本。如因合并、收购等原因需要转移个人信息，我们会告知你接收方的身份和联系方式，并要求接收方继续受本政策约束；接收方变更处理目的或方式的，将重新征得你的同意。
5. 数据存放地与跨境处理
国际版的服务器位于中国香港特别行政区。你的账号信息、设备信息、运行日志，以及端到端加密的会话记录（密文），存储在香港。国际版面向中国大陆以外的用户，不在中国大陆的应用商店上架；中国大陆用户请使用国内版。
以下处理会将部分信息传输到中国内地：
- 官方云端识别：录音由香港的语音服务发送给位于中国内地的语音识别服务商（北京火山引擎科技有限公司）转为文字，随附的只有匿名标识；识别结果返回香港后转回你的手机，我们不保存录音。如不希望录音传输到中国内地，请选择「我的电脑识别」或「手机本机识别」。
- 验证码邮件：注册、找回密码和重置加密时的验证码邮件，通过位于中国内地的腾讯企业邮发送，涉及你的邮箱地址和验证码。
- 部分加密附件：从中国大陆的网络上传的、或无法判断网络所在地区的加密附件，存放在腾讯云上海的对象存储中，存放的仅是密文。
上述传输均通过加密连接进行。你可以按第 7 节的方式就上述处理向我们行使你的权利。
6. 如何保护你的信息
- 端到端加密：内容在发出的设备上用 AES-256-GCM 加密，并由该设备签名（P-256 ECDSA）；密钥通过 P-256 ECDH 交换、HKDF-SHA256 派生。服务器只能转发和暂存密文，无法解密，任何篡改都会被你的设备发现。
- 配对码：新设备显示的配对码须在已登录的设备上输入，配对成功后新设备才会加入你的账号并获得密钥。配对使用 SPAKE2 协议：服务器无法获得配对码，只能在线猜测，每次猜中的概率为百万分之一，最多可尝试 5 次，之后新设备须重新登录。因此，即使我们的服务器被他人控制，也无法加入设备读取你的内容。你移除一台设备后，电脑会更换密钥，被移除的设备无法读取此后的内容。
- 我们没有你的密钥，也不提供恢复码。所有已配对的设备均丢失时，可以在新手机上通过密码和邮箱验证码重置加密，并重新配对所有设备：每台电脑会提示加密已重置，你在电脑上确认后，再在手机上输入电脑显示的配对码。中继服务器上暂存的旧密文随即作废，电脑会重新同步会话。我们无法替你解密任何加密内容。
- 手机、电脑和服务器之间均使用加密连接（HTTPS / TLS）。
- 密码只存加盐哈希，登录凭证和验证码只存哈希。
- 每个账号的数据互相隔离；附件存放在私有的对象存储中，下载链接有效期为 2 分钟，且下载的仅是密文。
- 服务器上的数据目录仅限服务进程读写；数据库每天备份。
- 中继服务器和语音服务的源代码公开，任何人都可以审查其行为或自行部署。
- 手机上的登录凭证、密钥和记录不包含在 iCloud 备份中；Android 版已关闭系统自动备份。
- 如果发生个人信息安全事件，我们会按法律要求告知你事件的情况、可能的影响、我们已采取的措施以及你可以如何降低风险，并向主管部门报告。
互联网环境不存在百分之百的安全。请妥善保管你的密码和设备，请勿将账号借给他人。请仅在你本人刚登录新设备时输入配对码；如未登录新设备却被要求输入配对码，请勿输入，并立即修改密码。
7. 你的权利
- 查看：会话、文件、已登录的设备和已绑定的电脑均可在 App 中查看；「设备」页可查看已配对的设备及其权限。
- 复制：端到端加密的内容只有你的设备能够解密：会话本身保存在你的电脑上（AI 工具自身的记录），手机上另有本机缓存。如需账号和设备信息的副本，请发送邮件给我们。
- 更正：密码可在「我的 → 修改密码」中修改；其他信息如需更正，请发送邮件给我们。
- 删除：
- 移除设备：在手机「设备」页移除一部手机或一台电脑后，该设备立即被撤销，无法获取新密钥，其在中继服务器上存储的数据将被删除。也可以在电脑端选择「退出账号」。
- 账号可能泄露时，可以在「我的 → 所有设备退出登录」中让全部手机和电脑退出登录。
- 注销账号：在 App「我的 → 注销账号」中输入密码后立即生效，且无法恢复。注销将删除你的账号、设备和设备名单，以及中继服务器和对象存储上你的全部密文，所有手机和电脑同时退出登录；我们也会通知你自建的服务器删除相关数据。你电脑上的文件和 AI 工具自身的会话记录不受影响。无法登录时，请使用注册邮箱发送邮件申请注销。
- 撤回同意：语音输入的同意可在「我的 → 语音输入」中撤回；对本政策的同意可在「我的 → 撤回隐私政策同意」中撤回，撤回后该手机将退出登录并清除本机记录和密钥，Pocket 将不再处理来自该手机的信息（如需删除已存储在服务器上的数据，请注销账号）；电脑端可随时选择「暂停同步」或「退出账号」。撤回同意不影响撤回前已进行的处理。
- 解释说明、投诉：如对本政策有疑问，或认为我们对你个人信息的处理存在问题，请发送邮件给我们；你也可以向你所在地的个人信息或数据保护监管机构投诉。
我们会在收到请求后 15 个工作日内答复。为保护你的账号安全，处理前可能需要核实你的身份，例如请你使用注册邮箱发送请求。
8. 未成年人
Pocket 是面向开发者的工具，不面向未满 14 周岁的未成年人。如果你未满 14 周岁，请勿使用 Pocket。如我们发现在未取得监护人同意的情况下收集了未满 14 周岁儿童的个人信息，将尽快删除。未满 18 周岁的用户，请在监护人的陪同下阅读本政策。
9. 政策的更新
本政策变更时，我们会更新本页及页首的更新日期。如变更影响你的权利（例如收集新的信息、改变处理目的、增加委托处理的服务商、数据存放地发生变化），我们会在 App 中提示，并重新征得你的同意。
10. 联系我们
- 个人信息处理者：Alex Lay
- 邮箱：service@pocketcli.net
- 官网：pocket.pocketcli.net