隐私政策
2026年10月15日 起生效
Sonasi Notebook — 隐私政策
_最后更新：2026 年 10 月 15 日_
Sonasi Notebook 是由 Sonasi AI Studio 开发的 macOS 应用。它将你的文件、笔记和对话保存在你的 Mac 上，并让你可以就这些内容提问。在你选择时，它还可以连接你已在使用的工具和聊天应用。本政策说明哪些内容留在你的 Mac 上、哪些内容会离开、以及会去往哪里。
我们收集的信息
我们不收集任何能识别你身份的信息，也不收集你的任何内容。本应用没有自己的账户系统，没有广告、追踪或崩溃报告服务。我们看不到你的文件、笔记、消息或问题。
只有两样东西可能到达我们这里，而且只在你选择时：你同意后的匿名使用统计（见下一节），以及你发给我们的信息。
应用中的“报告问题”和“Sonasi 应用”是在应用内显示的 sonasi.app 页面。打开它们时，会像普通网页一样从我们的网站加载。如果你提交问题反馈表单，你在表单中填写的内容（以及你留下的电子邮件地址，如有）会发送给我们。我们仅将其用于调查问题并回复你。
匿名使用统计
应用只会问你一次——在欢迎导览中，或在加入此功能的更新之后第一次打开时——是否分享匿名使用统计。在你同意之前不会发送任何内容，你也可以随时在“设置 › 通用 › 使用统计”中更改。
如果你同意，应用会把关于使用情况的计数发送给 TelemetryDeck。这是一项由 TelemetryDeck GmbH 运营、托管在德国的服务，代我们处理这些数据：
- 打开了应用以及使用时长、应用版本、macOS 版本、Mac 型号类别和处理器、屏幕尺寸、时区、应用所设的语言、是 App Store 版还是下载版，以及 Mac 内存低于还是高于 12 GB； - 使用了哪些界面和功能——例如创建了笔记本、添加了某种类型的来源、提了一个问题、连接了一个聊天服务（仅服务名称）、开启了翻译或用 AI 创建任务——以及哪类后台任务失败。
在这些统计中，你只表现为应用首次运行时在你的 Mac 上生成的一个随机数。它在发送前先在你的 Mac 上做哈希处理，再由 TelemetryDeck 加盐后再次哈希，因此统计数据无法追溯到你、你的 Mac 或你的 Apple 账户。
绝不发送：你的文件、笔记、聊天、问题或回答的内容；文件名、聊天名称、人名、电子邮件地址、账户名称或 ID、密钥，以及任何错误的文字内容。
我们只用这些统计来计算安装数和活跃用户数，并决定改进哪些部分。它们不会用于广告、不会出售、不会与其他数据结合，也不会用于跨应用或跨网站追踪你。
数据存放在哪里
你添加的文件、你写的笔记、应用生成的摘要和回答、笔记本记忆、从你连接的聊天应用获取的消息、助手调用工具的记录以及搜索索引——全部都保存在你 Mac 上该应用自己的文件夹中（应用沙盒容器内的 `Library › Application Support › Sonasi Notebook`）。在“设置 › 你的数据”中，你可以查看存放位置、将全部内容备份为一个可保存到任意位置的文件，或将其删除。
在你的 Mac 上读取文件
默认情况下，应用使用在你 Mac 上运行的模型读取（“嵌入”）你的文件。用于读取、在 Mac 上聊天以及将语音转为文字的模型文件，会在首次使用时从 Hugging Face Hub 下载。与访问任何网站一样，Hugging Face 会知道发生了一次下载，但你的任何文本都不会发送到那里。
录音和视频中的语音会在你的 Mac 上转为文字，使用 Apple 的端侧语音识别或已下载的 Whisper 模型。扫描页面和图片中的文字识别也在你的 Mac 上完成。两者都不会有任何内容离开 Mac。
文本何时会发送给 AI 服务
仅当你在设置中添加了在线 AI 服务（OpenAI、Anthropic、Google，或你指定的服务器）的账户时才会发送。此后，且仅针对你使用的功能：
- 聊天 / 提问：你的问题，以及应用选作上下文的文件、笔记和笔记本记忆中的相关段落，会发送给该服务以生成回答。 - 就聊天消息提问：你所询问的那条消息会成为你问题的一部分，并像其他问题一样发送。 - 工具：当助手使用你添加的 MCP 服务器上的工具时，工具返回的内容会发送给 AI 服务，以便生成回答。 - 摘要：当你请求摘要或开启自动摘要时，文件的文本会发送给该服务。 - 在线阅读模型：如果你选择了在线模型而不是 Mac 上的模型，文件的文本会发送给该服务进行嵌入。 - 仪表板与聊天摘要：开启后，你关注的聊天中的消息、你的笔记和录音的转录会被发送，用于撰写每日简报和每个聊天中确定的事项。 - 翻译：如果你为某个聊天开启翻译，该聊天的消息以及你在其中写的回复会被发送去翻译。 - 待办事项：如果你开启“用 AI 创建任务”，聊天中确定的事项、你自己的笔记和会议摘要会被发送，用于找出任务并判断哪些已完成。为某人起草提醒时，会发送该任务以及将要发往的聊天中的近期消息。
这些服务按照其各自的隐私政策处理文本。在你添加账户之前，应用不会向它们发送任何内容。选择在你 Mac 上运行的模型，以上内容都不会离开你的 Mac。
发送仅为回答你刚刚提出的请求，或执行你开启的功能——自动摘要、仪表板简报、聊天摘要、翻译、用 AI 创建任务——不会在后台发送其他任何内容。我们不会使用你的内容或由其衍生的任何内容来开发、改进或训练 AI 模型，无论是我们自己的还是他人的，并且我们通过 API 条款要求上述服务同样如此。我们绝不出售你的数据，也绝不将其用于广告。
MCP 服务器
MCP 服务器是你自己在应用中添加的工具——CRM、任务管理工具、数据库，或在你自己 Mac 上运行的服务器。应用会按你提供的地址连接每个服务器。
当助手使用某个服务器的工具时，应用会向该服务器发送该工具所需的请求。该请求可能包含来自你的问题、文件、笔记或聊天的文本——例如要查询的客户名称或要添加的任务。服务器的响应会返回到你的 Mac，并保存在回答下方的记录中。
助手可以使用哪些工具、以及更改任何内容前是否必须先征求你的同意，都由你逐个服务器决定。如果某个服务器要求登录，登录会在你的浏览器中完成，应用只会将访问令牌保存在你 Mac 的钥匙串中。每个服务器由其运营方运营，它如何处理收到的信息受该运营方自己的条款和隐私政策约束。在应用中移除服务器，即会停止与其的一切通信并删除其令牌。
聊天应用：Slack 和 Microsoft Teams
如果你连接了 Slack 或 Microsoft Teams 账户，应用会从该服务读取你的对话，并在你的 Mac 上保存一份副本，方便你在笔记本旁阅读和搜索。
- Slack：你在自己的工作区中创建一个 Slack 应用，并将其用户令牌粘贴到 Sonasi Notebook 中。该令牌可以读取你所在的频道、群组和私信、其中成员的姓名及其文件；也可以以你的身份发布消息和文件。 - Microsoft Teams：你在浏览器中使用 Microsoft 登录。应用会请求以下权限：读取你的个人资料和聊天、发送聊天消息、在你允许时读取你所在的频道，以及上传你选择发送的文件。
只有当你按下“发送”时，应用才会发送消息，并以你本人的名义发出。助手可以为你起草回复，但绝不会自行发送。令牌保存在你 Mac 的钥匙串中。在应用中退出某个账户，会删除其令牌以及你 Mac 上该账户消息的副本。你发送的消息由 Slack 或 Microsoft 按照其各自的条款处理。
云端文件夹
如果你登录 Dropbox、Google Drive 或 OneDrive 以关注某个文件夹，应用会向该服务请求文件夹的文件列表，并下载你选择关注的文件——只读，不会向你的云存储写入任何内容。登录在你的浏览器中直接与该服务完成；应用只会收到一个访问令牌，保存在你 Mac 的钥匙串中，并且永远看不到你的密码。在设置中退出登录即会删除该令牌。由各服务自己的桌面应用（或 iCloud 云盘）同步的文件夹，会像其他文件夹一样从你的 Mac 读取，无需任何登录。
Google 用户数据
本节仅在你于“设置 › 通用 › 云账户”中登录 Google 账户时适用。它按顺序回答 Google 要求每个应用说明的四件事：应用访问哪些 Google 用户数据、如何使用这些数据、与谁共享，以及如何保护它们。
**应用请求的权限。** 仅一个权限范围（scope）：`https://www.googleapis.com/auth/drive.readonly`（“查看和下载您的所有 Google 云端硬盘文件”）。只读——应用无法在你的云端硬盘中创建、更改、删除或共享任何内容。不请求任何其他 Google 权限：没有 Gmail、没有日历、没有通讯录、没有照片。
**1. 应用访问哪些 Google 用户数据。** 登录后，仅访问以下内容：
- **文件夹名称和 ID**——在你浏览云端硬盘以选择要关注的文件夹时。 - **对于你选择关注的文件夹内的文件**：文件名、ID、大小、类型、最后修改时间、内容校验和和网页链接。 - **这些文件的内容**——在关注该文件夹时下载。Google 文档、表格和幻灯片由 Google 导出为 Word、Excel 和 PowerPoint 文件，以便读取其文本。 - **你登录的 Google 账户的电子邮件地址、显示名称和账户 ID**——用于在设置中向你显示当前连接的是哪个账户。
除此之外不访问任何内容。你未选择的文件夹中的文件绝不会被下载。较宽的 `drive.readonly` 权限是 Google 为访问你选择的文件夹并随时间持续跟进而提供的；较窄的 `drive.file` 权限只适用于通过 Google 自带选择器逐个打开的文件，无法在你向文件夹添加和修改文件时保持同步。
**2. 应用如何使用这些数据。** 只有一个用途：将这些文件放入你 Mac 上的笔记本，让你可以使用它们。应用会提取其文本、建立索引以便搜索、向你展示，并用于回答你提出的问题和撰写你请求的摘要。用途仅此而已。Google 用户数据绝不用于广告，绝不出售，绝不用于构建你的用户画像，也绝不用于开发、改进或训练 AI 或机器学习模型（无论是我们的还是他人的），由其衍生的任何内容亦然。
**3. Google 用户数据会与谁共享。** 默认不与任何人共享。我们不为本应用运营任何服务器，因此你的云端硬盘文件从不会到达我们这里：我们这边不存在副本，Sonasi AI Studio 的任何人都无法读取它们。Google 用户数据离开你 Mac 的情形恰好有两种，且两种都只因为你自己设置过才会发生：
- **你添加的在线 AI 账户**（OpenAI、Anthropic、Google，或你指定的任何兼容 OpenAI 的服务器——包括运行在你自己机器上的服务器）。当你提问、请求摘要或翻译时，应用选作上下文的段落——可能包含来自你所关注云端硬盘文件夹的文本——会发送给该服务商以生成回答，此后按该服务商自己的隐私政策处理。选择在你 Mac 上运行的模型，则没有任何 Google 用户数据会离开你的 Mac。 - **你添加的 MCP 服务器。** 当你允许助手使用这类服务器的工具时，发送给它的请求可能包含来自你文件的文本，其中可能包含来自云端硬盘文件夹的文本。每个服务器由其运营方运营，而哪些工具可以被使用由你逐个服务器决定。
除此之外，我们不会因任何理由向任何人披露 Google 用户数据，法律要求我们披露的情形除外。
**4. Google 用户数据如何得到保护。** 最根本的保护是数据留在你的 Mac 上，具体措施如下：
- **应用自身的沙盒。** 从云端硬盘下载的所有内容都保存在应用容器（`Library › Application Support › Sonasi Notebook`）中，macOS 会阻止其他应用访问它。 - **令牌存于钥匙串而非文件。** Google 登录得到的访问令牌和刷新令牌保存在 macOS 钥匙串（数据保护钥匙串）中，标记为“仅当这台 Mac 已解锁时可用，且仅限本设备”。它们绝不会写入应用的数据库或文件，不会离开这台 Mac，也不会同步到 iCloud 或其他设备。 - **密码从不经过应用。** 登录在你自己的浏览器中通过 Google 完成，使用 OAuth 2.0 和 PKCE。应用只收到令牌。 - **全程 HTTPS。** 对 Google API 的每一次调用、对云端硬盘文件的每一次下载，都通过 TLS 进行。 - **我们这边没有可泄露的东西。** 我们不保留 Google 用户数据的任何副本，因此不存在可能泄露它的我方服务器。 - **Mac 自身的保护。** 应用文件夹的安全程度取决于它所在的 Mac；开启 FileVault 会连同整个磁盘一起加密它。你自己导出的备份（设置 › 你的数据）是一个普通的 zip 文件，本身没有加密——请将它保存在你信任的地方。
**保留期限及删除方式。** 文件副本会一直保留在你的 Mac 上，直到你删除它们：在应用中移除来源或笔记本，或在“设置 › 你的数据”中清除全部内容。在设置中退出 Google 账户会立即删除已保存的令牌；你也可以随时在 [myaccount.google.com/permissions](https://myaccount.google.com/permissions) 撤销应用的访问权限。在那里撤销后，后续的一切访问都会停止；已下载的文件属于你，在你删除之前会留在你的 Mac 上。
**有限使用。** Sonasi Notebook 对从 Google API 获取的信息的使用及向其他应用的传输，将遵守 [Google API 服务用户数据政策](https://developers.google.com/terms/api-services-user-data-policy)，包括其中的有限使用要求。
Apple 备忘录
如果你选择一个 Apple 备忘录文件夹，应用会在获得你许可后通过 macOS 读取其中的备忘录，并在你的笔记本中保存一份副本。它不会在 Apple 备忘录中创建、修改或删除任何内容。
Sonasi Meetings（Sonasi Link）
如果同一台 Mac 上安装了 Sonasi Meetings，它会将录音及其转录放在一个只有这台 Mac 上的 Sonasi 应用才能打开的文件夹中。Sonasi Notebook 从那里读取它们，以便将其添加到笔记本。这一切都在你的 Mac 上完成，不会发送到任何地方。
API 密钥与登录
你粘贴的密钥，以及上述任何登录留下的令牌，都保存在 macOS 钥匙串中，而不是应用的文件里。每一项都只用于与其所属的服务通信。
网页和 YouTube 链接
当你添加链接时，应用会像浏览器一样，直接从你的 Mac 获取该页面（或 YouTube 视频的字幕轨道）。这些获取过程中产生的 Cookie 和其他网站数据不会被保留。
我们如何保护你的数据
上述针对 Google 用户数据的各项措施，同样保护应用所保存的其余内容——你的文件、笔记、聊天消息和录音：
- 所有内容都保存在你 Mac 上的应用沙盒容器中，macOS 会阻止其他应用访问它。我们不为本应用运营服务器，也不保留其中任何内容的副本。 - 每一个密钥、令牌和登录凭证都保存在 macOS 钥匙串（数据保护钥匙串）中，标记为“仅当这台 Mac 已解锁时可用，且仅限本设备”——绝不存在应用的数据库或文件里，也不会同步到其他设备。 - 应用建立的每一个连接——与 AI 服务商、云服务、聊天服务、MCP 服务器或网页——都通过 HTTPS 进行，你自己指向本机服务器的情形除外。 - 登录在你的浏览器中直接与该服务完成，在服务支持时使用带 PKCE 的 OAuth。应用永远看不到你的密码。 - 如果你连接了 WhatsApp，在应用未运行时，其会话会使用保存在钥匙串中的密钥在磁盘上封存。 - 应用文件夹的安全程度取决于它所在的 Mac：请开启 FileVault 以连同整个磁盘一起加密，并将你导出的备份保存在你信任的地方，因为那是一个普通的 zip 文件。
儿童
本应用并非面向儿童，我们不会收集任何人的个人信息。
变更与联系方式
如果本政策发生变更，新版本将在此发布，并在上方注明日期。如有疑问，请联系：support@sonasi.app。
_本政策译自英文版本。如内容有出入，以英文版本为准。_