隐私政策

留在你设备上的数据

• 连接设置 —— 你后端的地址和一个设备令牌存放在你的设备上 (iOS 钥匙串 / 应用偏好)，用于重新连接。令牌只发送给它授权的后端；云模式下该后端为 LISA Cloud。
• 你的对话与 Lisa 的记忆(“灵魂”) 存放在你连接的后端上 —— 你自己的 Mac(位于 ~/.lisa)或你使用的 Lisa Cloud 实例。 应用只是通向该后端的一扇窗。

你的后端与大模型提供商

LISA Cloud 将你的消息、相关对话历史、助手记忆及工具结果交给Google Gemini 生成回复，其中可能包含你在这些材料中提供的个人信息。 我们通过已启用计费的 Google Cloud 项目使用 Gemini API。根据 Google 的付费服务条款，提示词和回复不用于改进其产品。 Google 可能为防止滥用、安全或法律要求而有限期保留这些内容，并在其自身或代理机构设有设施的国家处理数据。

我们委托处理个人信息的第三方必须提供与本政策相同或同等的数据保护，包括限定处理目的、保密、 安全措施及适用的删除义务。付费 Gemini 的提示词和回复受 Google数据处理附录保护； 服务运行与计费元数据另受 Google 适用的隐私及数据保护条款约束。

使用自己的 Mac 时，由你选择服务器及 AI 服务商，例如 Anthropic、OpenAI、Google 或智谱/GLM， 请在使用前检查其条款和配置。这些独立配置的服务并非由我们运营。 本地模型可以在 Mac 上推理，但“连接 Mac”本身不表示远程模型不会接收数据。

网页搜索与页面请求

LISA Cloud 目前未启用网页工具。在自己的 Mac 上使用网页工具时，从你的请求中生成的 搜索词会发送给 DuckDuckGo，页面请求会将 URL 发送给目标网站。搜索词和 URL 可能包含你在请求中提供的个人信息；这些服务会看到后端的 IP 地址，并适用各自的隐私与保留政策。 请求不会附带 Lisa 账号令牌。结果可能作为上下文交给你选定的 AI 服务商。 如果未来更新启用云端网页工具，Lisa Pocket 会列出新增接收方，并在发送前重新征求同意。

Lisa Pocket 中的同意与撤回

iOS 应用会在发送聊天消息前，明确列出配置的 AI 接收方、说明数据种类并请求你的明确同意。 取消会保留草稿且不发送。同意仅对当前应用会话和连接有效；接收方改变后会再次询问。 在 Settings → AI data sharing → Withdraw AI consent 中， 你可以停止正在进行的聊天请求，并要求应用在今后发送消息前重新获得同意。 撤回无法召回已处理的信息，也不删除历史记录；它不会关闭你在 Mac 上独立配置的自动任务， 请在自己的服务器上停止这些任务。删除数据请使用下文的账号删除功能，或通过邮件私下联系我们。

LISA Cloud 账号(可选)

• 我们存储什么 —— 你的邮箱地址、一个登录标识(Apple/Google 的sub,或密码散列 —— 绝不存明文密码),以及你的 Lisa 的独立账号家目录: 她的灵魂、你们的对话、你加入她知识库的内容。存放于 Google Cloud(us-central1), 按账号隔离。如 Apple 登录提供授权令牌，我们会加密保存，以便在删除账号时撤销授权。
• 我们处理什么 —— 聊天消息经账号计费的大模型提供商处理以生成回复; token 用量计入账单。我们保留一份只追加的用量账本(模型、token 数、费用), 不含消息内容。
• 服务提供商 —— Google Cloud（托管与存储）、Google Gemini（AI 推理）、 Resend(验证与登录验证码邮件)、Stripe(网页充值)、Apple(Apple 登录与 iOS 内购)、 Google(Google 登录)、Cloudflare(注册时的人机校验)。这些服务仅接收履行相应功能所需的数据， 如发送登录邮件所需的邮箱、认证所需的账号标识、充值所需的交易标识和购买凭证。 我们不会从 Apple 或 Stripe 收到你的完整银行卡信息。
• 运行数据 —— 服务日志可能包含请求 IP 地址、时间、路径、响应状态、错误、 账号或交易标识，用于运行服务、防止滥用和排查故障，不用于广告或跨应用追踪。 账号数据保留至你删除；运行、支付及提供商记录按安全、记账、争议处理和法律义务所需保留。
• 删除 —— 应用内"删除账号"会移除账号记录并完整抹除账号家目录，所有会话即刻失效。已保存授权令牌的 Apple 登录会同时撤销授权；未保存令牌的早期登录会先删除 Lisa 数据，并显示 Apple 官方解除关联说明。用于防止重复充值及退款的支付交易记录独立于对话存储。服务商记录与基础设施备份遵循各自的保留政策；数据请求请联系我们。
• App Review 演示账号与审核员共享，请勿放入个人信息。普通云账号的助手数据按账号分开。

通知

若你启用推送通知,推送令牌(Apple APNs,或你自选的 ntfy 主题)仅用于投递你主动开启的提醒,经由你配对的后端路由,不用于追踪。

年龄要求

LISA 面向年满 18 岁的成年人。Lisa Pocket 会在启用 AI 聊天前要求确认。 未满 18 岁请勿使用本服务。如果我们获悉持有未成年人的个人信息，将采取删除措施； 请通过下方邮箱私下联系我们。

变更

随着应用演进,我们可能更新本政策;重大变更会在此注明新日期。源代码公开:github.com/oratis/LISA。

联系

隐私相关问题?在github.com/oratis/LISA/issues提 issue,或邮件 wangharp@gmail.com。