Chroni 隐私说明

更新日期：2026年10月23日。

本说明适用于 Chroni 0.2.6 的语音球、待办列表和日历。Mac App Store 版提供 Chroni AI 与自定义 API；个人 Agent 仅在 Preview 提供。模型服务商的数据处理政策仍适用于发送给该服务的文字。

本机保存

事项、截止时间、安排时段、完成时间、输入原文、识别草稿和自动备份保存在本机。导入文件先复制到应用自己的资料目录，再解析文字；不会修改用户选择的原文件。

录音最长30秒，在本机转写。原始录音在本机暂存7天，以便失败后重试；应用启动及运行期间定期清理到期录音，转写文字继续保留。录音状态显示在桌面小球上，单击结束，也可取消；收起其他窗口不会中断录音。已经提交的文件解析和转写可在后台完成。

新版数据文件为 chroni-product-v2.json，模型设置为 chroni-product-settings.json，输入资料在 inputs。位置由操作系统和发行版本决定：普通 macOS 版本通常使用 ~/Library/Application Support/Chroni，Preview 使用 ~/Library/Application Support/Chroni Preview；Mac App Store 沙盒版本使用其应用容器内的数据目录。这些版本的数据目录不可互相替换。

模型理解

新安装默认关闭联网理解。用户在设置中明确同意并开启后，才将以下内容发送到所选模型服务：

• 输入或转写的文字、文件中提取的文字。
• 来源名称、输入时间、时区，以及生成日程所需的格式约束。
• 追加修改的对话和当前草稿，以及用户填写的有效背景、与当前输入相关的已确认事项示例。

原始录音、图片和文档不会直接上传。提取文字可能包含个人信息，不会自动匿名化。

选择应用配置的服务时，文字通过 Chroni 网关交给其配置的模型服务处理；当前应用配置使用 DeepSeek。选择自己的服务时，文字发往设置中显示的地址。关闭模型理解后，不会发起新的理解请求；已发送的请求无法从服务商处撤回。

Chroni 网关为限流、故障排查和服务运行记录请求编号、来源网络的加密摘要或访问凭据编号、访问方式、响应状态、耗时和 token 用量。网关应用日志不主动记录输入正文、模型输出或原始 IP，也不建立日程数据库；来源摘要可用于关联请求，不等于匿名数据。部署平台仍会处理网络连接信息，并可能保留独立的运行日志。模型服务商对收到的文字与请求信息适用其自身的数据处理和留存政策。删除本机数据不会删除这些已经产生的外部记录；相关问题可通过文末联系方式咨询。

仅在 Preview 选择个人 Codex 时，Chroni 启动本机 Codex 接口，由 Codex 使用其已登录账户和所配置的模型服务处理上述文字，消耗该账户的额度。登录凭据由 Codex 管理，Chroni 不读取或复制凭据。日程理解使用临时会话，不读取用户其他 Codex 对话；连接失败不会自动切换到 Chroni AI。服务商仍可能按其政策保留请求，临时会话不代表服务商不保存数据。

背景与习惯由 Chroni 在本机统一保存。开启学习时，最多保留24条已确认事项示例；推理只选取最多4条相关示例，并排除超过180天或已删除事项的示例。用户可以在设置中关闭学习、删除单条或清空已学示例。背景可设置有效期。删除本机记忆不能撤回已经发给服务商的内容。

模型只生成可修改的核对草稿。用户确认后，事项和安排才写入日历；失败时保留原文，不用本地规则冒充成功的模型结果。

语音模型下载

macOS 26 及以上版本优先使用系统中文离线语音资源。首次使用可能需要向 Apple 请求准备或下载中文识别模型，界面会显示准备进度。资源由操作系统管理并与其他应用共享；系统可能在网络恢复后继续未完成的下载。应用只在本机读取录音，不通过 Apple 云端识别，也不会请求云端语音授权。

系统离线语音不支持、资源不可用、本机组件无法启动，或转写为空、失败、超时且处理预算仍有余量时，使用本机 Whisper 兜底。Windows 使用本机 Whisper。录音无效、返回结果不可信或兜底仍失败时，会保留已归档录音，并在原输入中允许重试或补充文字、语音。内部测试安装包已附带约80MB的公开语音模型，首次转写无需下载；其他未附带模型的版本首次使用时从 Hugging Face 下载固定版本模型到 cache/voice。文件通过SHA-256校验后才使用，转写在本机完成。

密钥与网络

自定义 API Key 通过操作系统安全存储加密后保存，不会通过界面数据接口返回。安全存储不可用时会拒绝保存，不会降级为明文文件。开发环境的 .env 是本机配置，不应上传或分享。

桌面主程序不提供云端账号、自动云同步或邮件发送。macOS 和 Windows 提醒交由各自的系统通知服务排程，已经成功提交给系统的提醒在正常退出应用后仍保留；后续安排变更需要运行应用以同步。Windows 通过随系统提供的 PowerShell 调用本机 WinRT 通知接口，事项数据通过进程标准输入传递，不经过网络。通知可能在锁屏或通知中心显示事项标题，具体由用户的系统通知设置决定。每周回顾通过通知提供，可在设置中关闭。

管理本机资料

从0.2.5首次升级时，会将旧版事项与日程导入新版数据文件；原始 chroni-state.json 不修改，旧版学习任务、回顾、输入和设置仍保留在原文件中。不会自动继承旧版模型服务的联网同意或密钥。

完全退出 Chroni 后，可备份上述用户数据目录。卸载应用不一定会删除此目录；删除目录会同时删除事项、草稿、输入资料、设置和缓存，请先保存需要保留的数据。

公开反馈请仅提供虚构样例、版本、操作系统和错误提示，不要提交 API Key、录音、私人文档、用户数据文件或未经处理的日志。

隐私与支持联系：developer@twintalk.cn。Chroni 由引力回响（苏州）科技有限公司提供。