隐私政策
生效日期：2026 年 10 月 31 日
本隐私政策说明你使用 Timo 手机 App、Timo 电脑端应用和命令行工具，以及 Timo 同步服务（统称「Timo」）时，我们如何处理你的信息。
Timo 由独立开发者 Feiyu Liu（「我们」）运营。就欧盟及英国《通用数据保护条例》（GDPR）而言，我们是本政策所述个人数据的控制者。联系邮箱：liufeiyu135@gmail.com。
本政策以英文版为准，中文译本仅供参考。
1. 要点
- Timo 让你在手机上查看和控制在你自己电脑上运行的 AI 编程 Agent（例如 Claude Code、Codex）。Agent 从你的电脑直接连接各自的 AI 服务商，使用的是你自己的账号。Timo 不运行 AI 模型，也不把你的提示词转发给 AI 服务商。
- 你的会话、消息、文件和设备信息在你的设备上加密后，才经我们的服务器同步。
- 为了让你在新手机上登录后无需恢复密钥即可看到数据，我们的服务器保存了一份加密的账号主密钥（密钥托管）。因此 Timo 不是端到端加密的：我们在技术上能够解密你的同步内容。我们限制了这项能力，不会用它阅读、分析你的内容或将其变现。
- 开启通知后，会话标题和一小段回复预览会以可读形式经过我们的服务器发给 Apple。
- 手机 App 会向我们自己部署的 Matomo 服务器发送匿名使用数据。这些数据不关联你的账号，不用于广告，你可以在「我的」→「关于 Timo」→「帮助改进 Timo」中关闭。我们不使用广告或追踪 SDK，不出售也不共享你的个人信息。
- 你可以随时在 App 内删除账号及其同步数据。
2. 我们处理的信息
2.1 账号信息
你注册或登录时，我们处理：
- 邮箱地址，以及是否已验证。
- 密码：只保存单向哈希。邮箱验证码同样以哈希保存，并会过期。
- 通过 Apple 登录：你的 Apple 用户标识；如果你选择共享，还有邮箱和姓名。Apple 可能提供隐藏的中转邮箱。
- 通过 Google 登录：你的 Google 账号标识、邮箱、姓名和头像。
- 上述服务返回的身份验证令牌，用于保持登录；对 Apple 而言，还用于你删除账号时撤销授权。
2.2 登录会话与安全
每个登录会话，我们会保存登录时的 IP 地址和设备 User Agent、会话令牌及其过期时间。我们也会用你的 IP 地址限制登录尝试频率，防止滥用。
2.3 同步内容（上传前已加密）
为了在手机上显示 Agent 的工作，Timo 会同步：
- 对话内容：你的消息、Agent 的回复、工具调用及结果、审批和提问；
- 会话和项目信息，例如会话标题、项目名称和文件夹路径；
- 你连接的电脑的信息，例如电脑名称和操作系统；
- 你发送的图片和文件，以及会话或项目头像。
这些内容在上传前，已在你的设备上用账号主密钥派生的密钥加密。服务器保存的是密文，附件以加密文件形式保存。
2.4 密钥托管
创建账号时，App 在你的设备上生成账号主密钥，经加密连接上传到我们的服务器。我们加密保存它，并在你登录后下发给你，使新设备能读取你的同步内容。每次下发都会记录设备标识、客户端标签和时间。
由于我们持有这份密钥，我们在技术上能够解密你的同步内容。只有服务器的密钥托管组件可以使用它；它不会用于搜索、摘要、通知、分析或任何其他服务器功能。除非法律要求，我们不会访问你解密后的内容。
2.5 服务元数据（不加密）
为了可靠同步，服务器会以可读形式看到并保存一些信息：
- 你的账号、设备、电脑、会话、项目和消息的标识；
- 创建和更新时间、序号、会话或电脑是否在线、最后活跃或归档的时间；
- Agent 产生的用量记录，例如每个会话的 token 数量和估算费用。
2.6 通知
如果你允许通知，我们会保存设备的推送令牌，以及 App 标识、环境和语言，以便 Apple 推送通知服务（APNs）向你发送提醒。
Agent 完成任务或需要你处理时，你电脑上的 Timo 工具会把会话标题（最多 100 个字符），以及完成提醒中的回复预览（最多 120 个字符）发给我们的服务器，再由服务器转发给 Apple。审批和提问提醒只显示会话标题和固定提示语，不包含工具参数或问题原文。
服务器不保存通知标题和预览，也不把它们写进日志；但在传输过程中，我们的服务器和 Apple 都能读到。标题或预览可能包含对话里的代码、文件路径或其他信息。你可以在 iOS 设置中关闭通知，或隐藏锁屏预览。隐藏预览只改变 iOS 的显示方式，不改变 Apple 收到的内容。
2.7 服务器日志
服务器会记录请求的技术日志，可能包括你的 IP 地址、请求地址、时间和结果；也会连同账号和会话标识记录通知的投递结果。日志不包含对话或通知的内容。日志会自动轮转，只保留安全和排障所需的时间，一般不超过 30 天。
2.8 设备权限
App 只在功能需要时申请权限：
- 相机：扫描电脑上 Timo 显示的配对码，以及拍摄你要发送的照片。
- 相册：选择你要发送的图片。
- 通知：在 Agent 完成或需要你时提醒你。
- 本地网络：发现并连接同一网络中电脑上的 Timo。
图片只有在你发送时才离开设备，并按 2.3 节加密。Timo 不使用你的麦克风和位置。
2.9 匿名使用分析
手机 App 通过我们自己编写的轻量客户端，向运行在我们自己服务器上的 Matomo 发送匿名使用数据，包括：保存在你设备上的随机访客 ID、白名单内的使用事件和页面名称（不含实际会话或项目的标识）、App 版本、iOS 版本、设备类型、系统语言、App 语言、屏幕尺寸、事件时间，以及免费版或 Pro 的套餐状态。分析服务器能看到请求的 IP 地址，但会在记录访问前把它完全匿名化。
分析数据不关联你的 Timo 账号，不用于广告，也不共享给第三方。其中绝不包含账号 ID、邮箱、会话标题、消息内容、项目路径、电脑名或原始错误信息。
分析默认开启，你可以在「我的」→「关于 Timo」→「帮助改进 Timo」中关闭。这个选择保存在当前设备上，与账号无关。关闭后会清空尚未发送的事件并停止后续收集，但无法撤回我们已经收到的数据。
我们不使用崩溃上报、广告或追踪 SDK，不在其他公司的 App 或网站上追踪你，也不建立广告画像。
2.10 AI 服务商处理的信息
你运行的 Agent（例如 Anthropic 的 Claude Code、OpenAI 的 Codex）会从你的电脑直接把提示词、代码和文件发给其服务商，适用你自己的账号以及这些服务商的条款和隐私政策。Timo 不会把你的内容发给这些服务商，也无法控制它们如何处理。
3. 我们如何使用信息以及原因
| 目的 | 信息 | 法律依据（GDPR） |
|---|---|---|
| 创建并保护你的账号、让你登录 | 账号信息、登录会话 | 履行与你的合同 |
| 在你的设备和电脑之间同步会话 | 同步内容、密钥托管、服务元数据 | 履行与你的合同 |
| 发送你开启的通知 | 推送令牌、通知标题和预览 | 你的同意，可在 iOS 设置中撤回 |
| 保护服务、防止滥用、排查问题 | IP 地址、日志、密钥下发记录 | 我们运营安全可靠服务的正当利益 |
| 了解 App 的使用情况并改进 Timo | 匿名使用数据（见 2.9 节） | 我们改进产品的正当利益；你可以随时在 App 内关闭 |
| 回复你的请求和支持邮件 | 你的来信及处理所需的信息 | 履行合同及我们的正当利益 |
| 遵守法律 | 具体情形下法律要求的信息 | 法定义务 |
我们不把你的信息用于广告，也不用你的内容训练 AI 模型。
4. 我们与谁共享信息
我们不出售或出租你的个人信息，也不为跨情境行为广告共享。我们只与帮助运营 Timo 的服务商共享信息，且仅限于该目的所需：
- Apple：通过 Apple 登录；经 APNs 推送通知（包括通知标题和预览）；你删除账号时撤销 Apple 登录授权。如果提供付费功能，付款由 Apple 处理，我们不会收到你的银行卡信息。
- Google：如果你选择通过 Google 登录。
- 托管和网络服务商：托管我们服务器并保护其免受攻击的基础设施服务商。它们代表我们处理数据，收到的同步内容是密文。
- 邮件发送服务商：向你的邮箱发送验证码和重置密码邮件。
在法律要求，或为保护用户、公众或我们的权利、安全或财产而合理必要时，我们也可能披露信息。如果 Timo 转由其他运营者运营，你的信息可能随之转移；除非另行通知你，本政策将继续适用。
5. 跨境传输
我们的服务器和服务商可能位于你所在国家或地区以外，当地的数据保护法律可能不同。在法律要求时，我们会为这类传输采取适当保障措施，例如欧盟委员会的标准合同条款。我们会在本政策中补充写明服务器所在的国家或地区。
6. 保存期限
- 账号信息和同步内容：在账号存续期间保存，或直到你删除相应内容。
- 删除账号：你在 App 内删除账号后，我们会立即从数据库删除你的账号、登录会话、关联的登录方式、同步的会话、消息、项目、电脑、推送令牌、用量记录、托管密钥和密钥下发记录。加密文件由后台任务清除，通常在几分钟内完成。如果你使用 Apple 登录，我们还会撤销 Timo 在 Apple 的授权。
- 日志：一般不超过 30 天（见 2.7 节）。
- 使用分析：单次访问记录在 180 天后自动删除，此后只保留汇总统计（见 2.9 节）。
- 备份：如有备份，已删除的数据会随备份过期而清除，不超过 30 天。
删除 Timo 账号不会删除已经存在于你设备和电脑上的数据，包括 Agent 保存在你电脑上的内容。
7. 安全
我们采用传输加密（HTTPS/TLS）、同步内容上传前加密、托管密钥加密存储、访问控制和最小权限原则来保护你的信息。任何传输或存储方式都不是绝对安全的，我们无法保证绝对安全。基于 2.4 节所述原因，Timo 不是端到端加密或零知识服务。
8. 你的权利
根据你所在地的法律，你可能有权：
- 访问我们持有的你的个人信息，并以可携带的格式获取副本；
- 更正不准确的信息；
- 删除你的信息（你可以在 App 内删除账号自行完成）；
- 限制或反对某些处理，包括基于我们正当利益的处理；
- 随时撤回同意，不影响撤回前的处理；
- 向当地数据保护机构投诉。
加州居民有权了解我们收集、使用和披露的个人信息，有权要求删除和更正，并且不会因行使这些权利而受到歧视。我们不出售或共享个人信息，也不会将敏感个人信息用于需要提供「限制使用权」的目的。
如需行使上述权利，请用账号绑定的邮箱发送邮件至 liufeiyu135@gmail.com。我们可能需要核实你的身份，并会在适用法律要求的期限内答复，通常为一个月内。
9. 儿童
Timo 是软件开发工具，不面向儿童。你必须年满 13 周岁，或达到你所在国家规定的更高的数字同意年龄，才能使用 Timo。我们不会在知情的情况下收集未达该年龄儿童的信息。如果你认为有儿童向我们提供了个人信息，请联系我们，我们会删除。
10. 政策更新
我们可能随 Timo 的变化或法律要求更新本政策。更新版本会发布在本页并注明新的生效日期；重大变更会在生效前通过 App 或邮件通知你。
11. 联系我们
Feiyu Liu
邮箱：liufeiyu135@gmail.com