隐私政策

说点真心话

我是一个独立开发者，不是什么大公司。我做 UnDercontrol 的一大初衷，就是想把自己的敏感数据——任务、财务、个人笔记——完全掌控在自己手里，而不是交给大公司。我先是为自己做的，现在分享给大家。

我对你的数据没有任何兴趣、能力、精力或动机去做什么。话虽如此，我理解你可能不完全信任我——你本来就不应该盲目信任网上的任何人。那些有专业安全团队的大公司都会被黑客攻破，你凭什么信任一个独立开发者？你完全有权保持怀疑。

你的选择

所以我给你选择。你不必使用云服务。你可以用桌面应用——数据100%留在你的设备上，永远不会碰到任何服务器。或者你可以自托管——运行自己的实例，完全掌控，你的基础设施。

云服务存在是为了方便，不是因为我想要你的数据。如果隐私是你的首要考虑，就用本地版或自托管。我完全理解。

本政策适用于哪些产品

本政策覆盖所有挂 UnDercontrol 名字的东西：本网站、网页版、桌面应用、命令行工具，以及通过 App Store 与 TestFlight 分发的 iOS 移动应用。下文说到“云服务”，指的是这些客户端默认连接的托管后端 —— 不包括在本地运行的桌面应用，也不包括你自己部署的实例。

如果你用移动应用连我们的托管后端，那么下面所有内容 —— 收集什么、还有谁会处理、保留多久、怎么删除 —— 都适用于你。

服务器上保存什么

如果你使用云服务：账户信息（邮箱、用户名）和你创建的数据——任务、支出、预算等。我承诺不会查看你的数据，但你不必信任我。

具体来说，云服务上保存四类数据。联系方式 —— 你的邮箱地址，用于登录和联系你。标识符 —— 把你的数据串起来的用户 ID。用户内容 —— 你写的任务、笔记、评论和聊天消息，以及你上传的文件、图片和文档。财务信息 —— 如果你使用财务功能，还包括你录入的支出、收入、账户、预算和资产。

不保存的：没有广告或追踪标识符，没有设备或崩溃诊断数据，没有位置，没有通讯录，没有健康数据。移动端、桌面端和网页端都没有集成任何分析、崩溃上报或归因 SDK。语音输入在离开应用之前就已经转成文字 —— 录音本身不会上传给我们。内购在你的设备上本地校验，我们从来收不到收据。

选择桌面应用或者自部署，完全控制自己的数据

还有谁会处理你的数据

AI 功能会把内容发给模型供应商。当你使用内置助手，或者对任务、笔记、图片使用 AI 操作时，你提交的文字以及它处理的那条内容会被发给大语言模型供应商来生成回答。具体是哪家取决于配置：云服务使用服务端配置的供应商（OpenAI 或 Anthropic 兼容的接口），你也可以把应用指向你自己的供应商。我们不会用你的内容训练任何模型；供应商拿到内容后怎么处理，受该供应商自己的条款约束。如果你在意这一点，可以配置自己的供应商，或者改用桌面应用、自托管实例。

本网站使用 Google Analytics。oatnil.com —— 也就是你正在读这一页的这个官网与文档站 —— 加载了 Google Analytics（衡量 ID G-B3E5P48S9Y），并开启了 IP 匿名化，用来统计页面访问量。各个应用端不加载它，任何地方都没有广告或跨站追踪。

基础设施。网站和 API 经由 Cloudflare 提供服务，后端跑在租用的服务器上，配一个托管的 Postgres 数据库和 S3 兼容的对象存储。这些供应商像任何主机商一样，会在传输和存储环节处理数据。除了它们和上面那家模型供应商之外，我们不会把你的数据分享给任何人，也不会出售。

保留多久，以及怎么删除

账号存在期间，你放进去的东西我们就一直保留 —— 没有自动过期，也不会在你不知情的情况下删掉任何东西。

删除账号会永久删除你的账号、它拥有的一切，以及你上传的文件。你留在别人卡片上的评论仍然是那些讨论的一部分，只是不再署你的名。安全审计记录最长保留 30 天，另有少数账号生命周期记录会永久保留。

删除是即时且不可撤销的。没有“待删除”状态、没有宽限期、没有撤销，删除前会要求你重新输入密码。账号拥有的一切一次性删除，包括对象存储里上传的文件，也包括你分享给别人的东西 —— 分享出去的内容是被删除，不是被移交。

有三处是故意保留的，装作没有就是撒谎。第一，审计日志不随删号消失 —— 一个当事人能抹掉的审计轨迹不叫审计轨迹。它按自己的时限过期：默认 7 天；安全相关事件（登录尝试、群组与成员变更）30 天；少数账号生命周期与系统配置记录（例如“某账号被创建”）永久保留。清理任务每天 03:00 跑一次，所以实际最长比写明的时限多不到一天。第二，如果你的账号拥有 AI agent，那个 agent 的配置行是洗掉内容后退休，而不是删除 —— 它是这个 agent 在别人卡片上留下的每一条评论的作者名的唯一来源，删掉损坏的是别人的数据，不是你的。第三，你的账号拥有的群组是软删除，以便一并处理成员关系与凭据吊销。

现在要删除账号，请用你注册时的邮箱地址发信到 lintao.amons@gmail.com，说明你要删除账号。应用内删除账号已于 2026 年 8 月 21 日上线，在移动应用里可用。网页端没有自助删除入口 —— 如果你只在浏览器里使用 UnDercontrol，邮件就是对你有效的那条途径。

如果你用的是本地存储的桌面应用，或者你自己部署的实例，那这些都与我们无关：删掉数据 —— 乃至整个数据库文件 —— 完全由你自己决定。

安全性

我尽力做好：全站 HTTPS，密码加密存储，数据库有安全防护。但我不是安全专家。如果你处理敏感数据，建议自托管或使用桌面应用。

对于自托管用户，安全掌握在你自己手中。保持服务器更新，遵循基本的安全实践。

Web Clipper 浏览器扩展

Web Clipper 扩展只在你点击“保存”时才抓取页面内容，并把它存到你的本地磁盘，或者发送到你配置的那台 UnDercontrol 服务器 —— 不会发给任何第三方。你的登录凭据保存在你自己的设备上，也只会发往同一个服务器地址。扩展的所有脚本都随包提供，不加载任何远程代码，也不追踪你的浏览历史或使用行为。