AtAt 的运营者
Xinyao Chen 运营 AtAt 和 atatapp.com，并对本政策所述的个人数据负责。如有隐私方面的问题或请求，请联系 hi@atatapp.com。
一句话说明边界
AtAt 没有向其自身服务器上传或同步数据的通用通道。工作内容只会通过以下途径离开 Mac：您选择的 agent 目的地、您打开的链接或搜索目的地、您执行的导出/分享操作、您发送的反馈、您启动的语音输入、您连接的应用、您启用且具备所需访问权限的扩展，或您选择使用的 Apple iCloud 存储。
有一项特意保留的例外：分享链接。当您从 AtAt 分享截图或录屏时，该文件（且仅限该文件）会上传至 AtAt 自有的云存储（Cloudflare R2 存储桶），以便链接将其提供给您发送链接的对象。除非您主动分享，否则不会上传任何内容；上传的文件即您所选择的作品，并会一直保存，直至您删除该链接或链接到期。删除链接即会删除所存储的文件。
本应用不包含崩溃报告工具、广告标识符、A/B 测试 SDK，也不包含第三方分析或归因库。其可选的第一方遥测仅记录固定的类别、计数、结果和耗时，绝不记录提示词文本或捕获的内容。
已存储数据的存放位置
默认情况下，以下存储副本保留在您的电脑上。AtAt 不运行自有的同步服务，AtAt 账户中保存的是登录、购买和服务使用记录。AtAt 服务器唯一会保存的工作文件，是您选择分享的分享链接作品：它存放在 AtAt 的云存储（Cloudflare R2）中，直至您删除该链接或链接到期，且不归属于任何账户。服务器还会按下文所述处理反馈、批准检查和语音输入；批准和语音输入的内容不会写入账户存储。如您明确启用 iCloud 同步，下列指明的项目副本将按下一节所述，通过您的 Apple iCloud 账户同步。提示词及您附加的上下文也可能提供给您选定的 CLI、直连 API 或本地模型。
- Chat 中的对话：您的提示词、agent 回复以及复制的附件，保存在这台 Mac 本地的 Application Support 中。它绝不会被同步，iCloud 同步也不例外。
- 剪贴板历史和收藏：您复制或明确保存的文本、图片和文件，保存在本地；启用同步时，其副本会通过您的私有 iCloud 数据库同步。只有这些存储所拥有的文件会被同步；复制的 Finder 路径不会上传其指向的文件。
- 截图、录屏和其他本地文件，但以下情况除外：您明确将其附加给可接受这些文件的 agent，您自行分享/导出，或在启用 iCloud 同步时将其保留在收藏中。已启用的扩展在具备所需访问权限时，也可以处理和发送截图录屏。
- 划词动作：仅选中文本不会向对话添加任何内容。运行 agent 动作则会在对话中记录所提交的提示词和回复。如自定义提示词包含 {selection}，所选文本将成为所记录提示词的一部分；回复中也可能重复该文本。它们遵循与对话其他部分相同的本地存储规则。“加入收藏”会明确另存一份副本。
- 语音输入历史和您的语音输入词典：保存的文本、录音，以及学习到或添加的词语保留在您的 Mac 上，启用同步时会加入您的私有 iCloud 数据库。历史记录遵循您在“设置 → 语音输入”中选择的保留期限。
- 您的设置和快捷键，默认存储在本地，启用同步时会复制到 Apple iCloud 键值存储。
- Memory：您的 agent 保存的笔记，位于这台 Mac 上的本地 Git 仓库中。启用同步时，当前的笔记会按下一节所述，通过您的私有 iCloud 数据库同步；Git 历史保留在每台 Mac 上。
可选的 iCloud 同步
“使用 iCloud 同步”默认关闭，须在每台 Mac 的“设置 → 通用”中分别启用。启用后，AtAt 会将偏好设置存储在 Apple iCloud 键值存储中。Chat 中的对话不会同步，保留在每台 Mac 上。
剪贴板历史和收藏通过您的私有 CloudKit 数据库逐项同步：每个项目的内容存放在加密字段中，这些存储所拥有的文件则作为加密的 iCloud 资源存放；开启“高级数据保护”时，Apple 会以端到端加密保护这些数据。缩略图会在每台 Mac 上重新生成，绝不同步；本地工作副本保留在每台 Mac 上；同步在后台进行，不经过 AtAt 服务器。如您在 iCloud 设置中删除 AtAt 的数据，察觉到此删除的每台 Mac 都会暂停剪贴板同步，在您于该 Mac 上选择“重新同步”之前不会上传任何内容；未察觉到删除的 Mac 会在下次同步时再次上传其历史和收藏，因此，如要让这些内容不进入 iCloud，请先在每台 Mac 上关闭同步。某台 Mac 通过早期 iCloud 文件夹同步的剪贴板项目，会从该文件夹读取一次，此后不再写入该文件夹。
Memory 通过您的 iCloud 账户另行同步。启用同步时，当前的 Memory 文件、您各台 Mac 的名称，以及您要求 Memory 忘记的内容（以单向指纹和简短描述的形式保存，绝不包含被忘记的文本）会保存在您的私有 CloudKit 数据库中，存放于加密字段内；开启“高级数据保护”时，Apple 会以端到端加密保护这些数据。Memory 的 Git 历史保留在每台 Mac 上，其中任何内容都不经过 AtAt 服务器。如您在 iCloud 设置中删除 AtAt 的数据，每台 Mac 上的 Memory 同步都会暂停，在您于该 Mac 上选择再次同步之前不会再上传任何内容。在某台 Mac 上重置 Memory 同步会删除 iCloud 中的 Memory 副本，但仍开启同步的每台 Mac 都会根据自身的 Memory 重建该副本；如要从 iCloud 中移除 Memory，请先在每台 Mac 上关闭同步，然后再重置，或在 iCloud 设置中删除 AtAt 的数据。
服务商 API 密钥另行处理：它们仅作为可同步的 iCloud 钥匙串项目进行同步，Apple 以端到端加密对其进行保护。密钥绝不会进入设置快照、iCloud 内容容器、日志或使用情况报告。
系统权限、登录时启动、遥测同意状态和标识符、账户登录、套餐和试用状态、窗口位置、硬件选择，以及本地文件或文件夹位置，均保持各台 Mac 独立。同步开关无需重启即可生效。关闭同步会停止此项可选同步，并保留本地数据以及 iCloud 中已有的副本。从另一台 Mac 接收的设置可能仍需重启才能生效。截图录屏项目不受此开关控制；您明确在 iCloud 云盘中保存或打开的项目，遵循该文稿所在的位置。
您的 agent，您的账户
对于命令行服务商（Claude Code、Codex、Grok、Cursor、Pi、Hermes、OpenCode、Antigravity 或自定义命令），AtAt 会将安装在您 Mac 上的工具作为普通子进程启动，并使用该工具现有的配置和凭据，将您的提示词及受支持的附件交给它。AtAt 绝不会读取、存储或传输这些凭据。
由命令行工具决定哪项服务接收请求。数据会发送至该工具所配置的任何目的地，受该工具及服务商的隐私条款约束，且绝不经过 AtAt 服务器。自定义命令可以读取或发送其命令、权限和环境所允许的任何内容。AtAt 会向 OpenCode 请求其服务商/模型目录；该请求所涉及的任何网络访问仍由 OpenCode 负责。
对于 OpenRouter、OpenAI、Anthropic 或 DeepSeek，AtAt 可以使用您自己的 API 密钥直接调用服务商，将提示词和受支持的附加图片从您的 Mac 直接发送至该服务商。普通的文件和目录路径不会发送给无法读取本地路径的服务商。每个密钥都保存在 macOS 钥匙串中，保存后仅部分显示，且只会发送给其所属的服务商。启用 iCloud 同步时，密钥还会使用端到端加密的 iCloud 钥匙串；否则仅保留在本地。在启用同步期间移除密钥，会同时删除两份有效的钥匙串副本。
对于支持工具调用的 API 模型和 Ollama 模型，AtAt 提供可读取、写入和编辑本地文件以及运行 shell 命令的工具。这些工具以您账户的权限运行，每次调用无需单独批准。工作目录并非沙盒。任务过程中使用的文件内容、路径和命令输出，可能会作为工具结果发回所选模型；命令也可能连接其他服务。不支持工具调用的模型无法通过这些工具访问本地文件。
对于直连 API，AtAt 会从 models.dev 读取模型信息。该目录请求不包含任何 API 密钥、提示词、附件、登录令牌或遥测安装 ID。该主机仍会收到正常的网络请求，其中包括您的 IP 地址。
如您选择 Ollama，AtAt 只会连接这台 Mac 上的 127.0.0.1，用于检查 Ollama 版本、列出已安装的模型及其能力，并将您的提示词发送给您选择的模型。不会创建或传输任何密钥。仅当该模型报告支持视觉能力时，才会包含图片。除非您另行将 Ollama 本身配置为执行其他操作，否则这些流量不会离开您的电脑。
Siri AI 需要 macOS 26 或更高版本以及可用的 Apple 智能模型；在 macOS 15 上不可用。如您选择它，AtAt 会使用 Apple 设备端的 Foundation Models 框架，自身不会向任何模型服务商发出请求。在 macOS 26 上它仅支持文本。自动截图会被略去；明确添加的图片和文件必须移除，或发送给能够读取它们的服务商。在 macOS 27 上，仅当系统模型报告支持视觉能力时，才可包含受支持的图片。macOS 可能会另行下载或准备 Apple 智能模型资源。
在 agent 运行命令或执行其他步骤之前（单纯的读取、搜索、打开网页或在 AtAt 临时文件夹内的更改除外），AtAt 会通过 Jev 检查该步骤，这样就不必每次都询问您。如您在“设置 → Agent → 批准”中填写了自己的 Jev 密钥，检查会从您的 Mac 直接发送至该服务商（TypeSafe、OpenRouter 或 Cloudflare）。如未填写，AtAt 会将您在该轮输入的文字、工作目录以及该步骤本身（命令、文件路径，或工具的名称和参数）发送至 atatapp.com，由其转交 TypeSafe、Cloudflare 或 OpenRouter 给出答复。AtAt 服务器会按账户保存每日检查次数，绝不保存检查内容。附加的上下文、工具结果和对话历史不会被发送。如无法进行检查，AtAt 会改为询问您。
语音输入
开始语音输入时，麦克风音频会经由 atatapp.com 发送至 Soniox 进行语音识别。此功能需要登录 AtAt。词典词条和应用上下文可能会随识别请求一并发送，以帮助正确拼写名称并理解使用场景。如实时音频流失败或速度较慢，应用可能会上传同一段录音再次尝试识别。
当语音输入写入文本框时，AtAt 会将识别出的文字、词典词条、应用和窗口信息，以及光标或所选内容周围可获取的文本，经由其服务器通过 Cloudflare 或 OpenRouter 发送至一个改写模型。如已授予“屏幕录制”权限，还可能发送您正在使用的屏幕的截图，以帮助正确拼写屏幕上可见的名称和术语。密码字段、安全输入以及已知的密码管理器不会被纳入上下文捕获。此项处理使用 AtAt 托管的语音输入服务，与“设置”中选定的 agent 无关。
用“语音 @@”键说话时，网关会对识别出的文字进行整理，不发送改写请求及其屏幕图像。随后这些文字会连同常规 AtAt 请求所收集的上下文，成为发给您所选 agent 的请求。在 AtAt 自身输入框中的语音输入会插入一份草稿，不会自动发送。
AtAt 服务器会按您的账户存储每周字数、预留的录音时长以及随机的语音输入凭据，用于执行免费额度，并避免重复计算备用上传。短期保存的音频时长和单向指纹用于验证备用上传是否属于同一段录音。与账户关联的使用量和凭据会在您删除账户时移除；临时指纹会自动过期。服务器不存储语音输入的文本、音频、光标上下文或屏幕图像。已上传的 Soniox 文件和转写任务会在处理完成后被请求删除；这些清理请求可能会失败。Soniox 和改写服务商依据其各自的条款和保留政策处理请求。保留在语音输入历史中的副本存放在您的 Mac 上，如已启用，也存放在您的私有 iCloud 数据库中。您可以在“设置 → 语音输入”中删除这些副本或更改本地历史的保留期限。
连接的应用
连接器是可选功能，需要登录 AtAt。当您在“设置 → 连接器”中连接 Gmail、Google 日历、Slack、Notion 或 GitHub 等应用时，您会在该应用自己的页面上登录，授予的访问权限由 AtAt 用于这些连接的服务 Composio 保管。AtAt 只保存您的账户连接了哪些应用及其 Composio 会话，绝不保存这些应用的密码或令牌。
当您的 agent 使用已连接的应用时，请求会从您的 Mac 经由 atatapp.com 和 Composio 发送至该应用，结果也沿同一路径返回给您的 agent。读取无需询问；任何发送、更改或删除操作都遵循上文所述的批准规则。atatapp.com 不保留它转交的内容。
如果您在欢迎引导中连接 Gmail 或 GitHub，AtAt 会读取一些关于您的信息来写下您的第一条记忆：Gmail 中您在最近 180 天内发出的最多 40 封邮件，只保留您自己写的部分以及收件人的域名；GitHub 中您的个人资料和最近推送过的仓库。这些文本会交给您选择的 agent，由它把了解到的内容写入您 Mac 上的 Memory，随后副本即被删除。
在“设置 → 连接器”中断开某个应用，即会移除它的访问权限。删除账户会断开该账户连接的所有应用。
还有哪些内容会发送给您的 agent
TabTab 会在您输入的位置建议接下来的文字。它默认开启，但在您按下其快捷键（⌥⇥）或在已加入其列表的应用中停顿之前，不会发送任何内容。每次建议都会将光标周围的文本、应用名称、窗口标题以及您所在的输入框，发送至“设置 → Agent”中选定的服务商。另有两个默认开启的开关，会加入该输入框周围可见的文本（包括其他人在那里写下的内容），以及在服务商能够读取图片时加入该窗口的截图。建议相关的任何内容都不会被保留：不会加入您的对话，截图也会在建议完成后删除。使用 Siri AI 时，上述内容都不会离开您的 Mac。可在“设置 → TabTab”中关闭 TabTab 或其中任一开关。
Memory 是这台 Mac 上的一个笔记文件夹，您的 agent 可以读取和更新它。自动学习是否默认开启，取决于您所选 agent 的计费方式：对于命令行 agent、自定义命令、Ollama 或 Siri AI，默认开启；对于按 token 计费的 API（OpenRouter、OpenAI、Anthropic 或 DeepSeek），在您开启之前保持关闭。一旦您在“设置 → 记忆”中开启或关闭，无论选择哪个 agent，该选择都会保持。如您尚未作出选择，AtAt 会在首次自动运行前显示提示，并等待几分钟后才发送任何内容。在开启状态下且您所选的 agent 就绪时，AtAt 会向该 agent 提供本地对话中最多 24 条最近的消息、Memory 索引文件 MEMORY.md 以及相关的现有笔记，并保存 agent 从这些材料中学到的内容。您要求不保留的消息会被排除在外。每日整理会将索引及其链接的笔记交给同一个所选 agent。此功能使用“设置 → Agent”中选定的服务商，包括命令行 agent、自定义命令、API、Ollama 或 Siri AI。这些材料的去向取决于该服务商：Siri AI 在这台 Mac 上处理；API 或命令行 agent 可能会将其发送至所使用的服务。关闭自动学习会停止这些后台请求；您现有的笔记保留在 Mac 上，启用 iCloud 同步时，也会按上文所述同步至您的其他 Mac。
您的 agent 可以搜索并打开您的收藏。每次请求的指令中只会说明您保存有收藏，绝不说明收藏的数量、内容或来源。当您输入的文字明确匹配到最多三项收藏时，该条消息还会列出它们：每一项的标题和匹配的那一行，会与消息的其余部分一同发送至您所选的服务商，并随该消息保存在您的对话中。agent 只会打开它需要的收藏，您可以在对话中看到打开了哪些。在“设置 → 剪贴板”中关闭“让 @@ 查找收藏”后，agent 将不会获得任何提示、名称或访问权限。
您启用的扩展
已启用的扩展可以在工作流程中其配置的节点接收快照，例如剪贴板收录、截图录屏或准备 agent 请求时。根据其声明的访问权限以及您授权的文件夹，扩展可以读取内容，查询剪贴板历史、收藏或截图录屏，存储扩展数据和密钥，使用您选定的 agent，或向外部服务发送请求。可联网的扩展自行决定其请求的目的地和内容；该处适用其作者的隐私条款。启用扩展前，请查看其访问权限。
AtAt 会从 GitHub 下载扩展目录以及您选择的扩展包。GitHub 及其分发主机会收到标准的请求元数据，包括您的 IP 地址和所请求的资源。存储在您于 iCloud 云盘中授权的文件夹内的扩展数据，可能会随该文件夹的同步而同步，这与 AtAt 的可选内容同步开关无关。
试用、账户和套餐记录
14 天试用使用存储在这台 Mac 钥匙串中的两个时间戳。登记试用时，AtAt 会向 atatapp.com 发送一个请求，其中包含这台 Mac 硬件标识符的单向哈希值和产品名称，以确保同一台 Mac 只能获得一次试用；在同一台 Mac 上重新安装不会开启新的试用。AtAt 不会发送或存储硬件标识符本身。该哈希值是一个持久性标识符，用于识别来自同一台 Mac 的重复登记。atatapp.com 会将该哈希值与试用开始日期、最近一次登记的时间以及登记次数一同存储在一条记录中；该记录不含账户、设备 ID 或遥测标识符，也绝不会与其中任何一项关联。如已启用使用情况报告，常规的试用活动会产生与其他使用相同的固定遥测事件；遥测安装 ID 与该哈希值绝不会在同一请求中发送。
AtAt 账户的登录由 WorkOS 处理，WorkOS 为 AtAt 提供身份服务。WorkOS 会收到您的电子邮件地址、您选择的登录方式（电子邮件验证码、Google 或 GitHub），以及该请求的 IP 地址和浏览器信息，并代表 AtAt 发送电子邮件验证码。AtAt 会从 WorkOS 收到您的电子邮件地址、验证状态、账户标识符，以及可获取时的姓名。AtAt 账户没有密码，因此不会创建、发送或存储任何密码。使用 Google 或 GitHub 登录时，还会涉及该服务商，并适用其自身的政策。
在 Mac 上登录时，会将登录令牌、随机设备 ID 和该 Mac 的电脑名称发送至 atatapp.com。设备 ID 是为 AtAt 生成的，并非硬件指纹，但它在该 Mac 上保持不变，并关联到账户存储，以便服务器识别该 Mac。此后的套餐检查会发送登录令牌和设备 ID。登录状态下每次启动应用时，会再次发送电脑名称和 macOS 版本，以便“设置 → 账户”和您的账户页面列出登录了该账户的 Mac 和浏览器；该列表还会显示 WorkOS 为每次登录记录的 IP 地址和浏览器信息。应用运行期间约每六小时检查一次，在唤醒或激活应用后也会检查，并受短时间频率限制约束。
登录时还会发送与试用登记相同的、该 Mac 硬件标识符的单向哈希值，atatapp.com 会将其与产品名称、首次出现时间和最近出现时间一同关联到账户存储。硬件标识符本身不会被发送或存储。AtAt 正是通过这条记录了解您的账户在多少台 Mac 上使用，以便应用在第二台 Mac 上建议使用 iCloud 同步；该哈希值与这台 Mac 试用记录中的值相同。
分享链接会在 Cloudflare R2 中存储所上传的作品、所有者账户标识符、文件名、内容类型、创建时间，以及可选的到期时间和密码派生值。删除账户时，系统会先阻止新的分享，并通过扫描所有者元数据移除该账户已上传的分享，然后删除身份信息。存储故障可能导致身份信息保留以便重试；已移除的链接不会恢复。已关闭账户标识符的 SHA-256 摘要会作为上传封禁记录予以保留，其中不含电子邮件地址、设备哈希值或作品。这也可防止旧凭据和正在进行的上传发布新的链接。
对于每个账户，atatapp.com 会存储电子邮件地址、验证状态、可获取时的姓名、账户标识符、创建和更新时间、最近登录时间以及删除状态。购买记录包括套餐、状态、支付服务商参考信息、期间结束日期、可获取时的客户参考信息，以及创建和更新时间。AtAt 还会存储身份验证事件标识符、事件类型、可获取时的关联账户标识符、登录方式、应用标识符和事件时间，用于监控登录的可靠性。对于每台已登录的 Mac，会按该次登录存储设备 ID、电脑名称、macOS 版本和最近出现时间。如您退订版本发布邮件，atatapp.com 会存储您的账户标识符、退订时间，以及您使用的是链接还是一键退订邮件头；对于每封版本发布邮件，会存储版本号、账户标识符、发送时间，以及服务商消息标识符或错误信息。对于欢迎邮件，会存储账户标识符、发送时间，以及服务商消息标识符或错误信息。运维日志仅使用缩短的账户 ID，在生产环境的请求消息中不记录电子邮件地址。
一个账户可解锁任意数量的 Mac，每台已登录的 Mac 各有一条记录行。退出登录会删除这台 Mac 的记录行，在账户页面将其移除也会删除。退出登录不会删除上文所述的每台 Mac 的哈希值；该哈希值会随账户保留，直至您删除账户。登录令牌、其签名的套餐确认、随机设备 ID 和试用时间戳存储在这台 Mac 的钥匙串中，不会同步至其他 Mac。
登录期间，Mac 应用会把三个“第一次”告诉 atatapp.com，每个账户各只发一次：您完成新手引导的时候、您的 agent 第一次正常工作的时候，以及您最先用成功的是哪个功能（例如 @@、TabTab、语音输入、语音对话、截图录屏、剪贴板历史或 Chat）。请求里只有您的登录令牌和这个时刻的名称，没有别的。atatapp.com 会把它连同发生时间存到您的账户下，与您账户关联的网站访问记录放在一起，让我们看清新账户卡在了哪一步。这些记录不属于应用的匿名使用数据，退出登录时绝不会发送，并会在您删除账户时一并删除。
您发送的反馈
“发送反馈”位于菜单栏菜单、Orb 的右键菜单、回答的“更多”菜单以及“设置 → 关于”中，点按后会打开一个供您撰写消息的窗口。在您点按“发送”之前，不会发送任何内容。您写下的内容会发送至 atatapp.com，由其存储并通过电子邮件转发至 hi@atatapp.com，以便阅读和答复。
有两个选项控制随反馈一同发送的内容，点按“查看”可准确列出每个选项所添加的内容。“附上版本和设置信息”默认开启，会添加应用版本和构建号、macOS 版本、芯片名称、界面语言、所选的 agent 服务商和模型、Memory 学习是否开启、您的套餐状态，以及最近一轮对话失败时的错误文本。“附上我最近一条消息和回答”默认关闭；开启后，您最近的提示词和 agent 对它的回答也会一同发送，同时附上作答的服务商和模型。不会发送任何日志、截图、文件或对话的其他部分。
除非您选择“我希望收到回复”，否则反馈是匿名的。选择该项后，AtAt 会发送用于回复的电子邮件地址：您已登录时，发送您账户的地址和登录令牌，以便服务器确认该地址属于您的账户；未登录时，发送您输入的地址。未选择该项时，不会发送任何电子邮件地址、账户标识符、登录令牌、设备 ID 或遥测 ID。与任何 HTTPS 请求一样，atatapp.com 会收到您的 IP 地址；该地址会被转换为一个仅保存在内存中的加盐值，用于频率限制，不会被存储。
atatapp.com 会存储消息内容、发送反馈的应用和菜单、上述选项及其添加的内容、回复地址及其是否已确认、您在登录状态下要求回复时的账户标识符、发送时间，以及处理过程中所作的备注。电子邮件由 Cloudflare 投递。反馈不属于使用数据：“发送匿名使用数据”不影响反馈，反馈也绝不会与遥测数据合并。
应用使用数据
AtAt 会报告有关设置、功能使用、结果和错误的第一方事件，以便发现产品问题。报告默认关闭，仅在您于设置流程最后的“权限”页面或之后开启开关时才会启动。同一个“发送匿名使用数据”开关也位于“设置 → 通用 → 隐私”中。
每份报告都包含固定的事件名称、应用版本、macOS 主版本号和次版本号、语言代码、客户端时间戳以及随机的安装 ID。Cloudflare 会在收集端点添加国家/地区代码。特定于事件的字段均为封闭列表或数字：权限状态；设置步骤和结果；检测到的 agent 类别；交互入口、已知的宿主应用或“其他”、上下文类型和数量、目的地、服务商、结果、注入结果、预览对话轮数、提交或关闭提示词所用的按键、插入的技能快捷方式数量以及耗时；截图模式、结果、所选的后续操作、编辑器、导出格式、录屏控制类别、时长和 OCR 字符数；剪贴板面板入口、结果、筛选类别、时长和粘贴次数；编辑器类型、入口、结果、导出格式、工具类别和时长；打开的界面和入口路径；菜单项类别；试用天数、许可状态和登录结果；安装、卸载、启用或停用了哪个目录扩展（以其标识符表示），以及其动作和钩子的运行情况；应用启动、首次使用、更新、设置或快捷键类别，包括按下了哪个全局快捷键以及它是否生效；以及哪个 AtAt One 场景显示了升级面板或提示，以及它是否引向套餐页面、免费替代方案或被关闭。
遥测绝不包含提示词或回复文本、文件名或路径、剪贴板内容、捕获的像素、所选文本、OCR 文本、窗口标题、API 密钥、电子邮件地址、登录令牌或设备 ID。已知的宿主应用只能从固定的内置列表中报告；其他所有应用均记为“其他”，因此其名称和 bundle ID 绝不会离开 Mac。
安装 ID 使 AtAt 能够将来自同一安装的事件关联起来，直至您关闭报告。它与您的账户标识符和设备 ID 相互独立。这是使用假名标识符进行的报告，并不保证每条记录都是匿名的。这些标识符绝不会在同一请求中发送。关闭报告会停止新事件、取消当前的遥测请求、删除队列和安装 ID，且不会发送退出事件。再次开启会创建新的 ID。
该开关仅控制遥测。它不会停用更新、模型目录、链接预览、已保存链接的网页副本、壁纸、agent 请求、套餐检查、语音输入、“试用、账户和套餐记录”中所述的登录后首次时刻记录或扩展可用性检查。在不存在安装标识符时，可用性检查不使用任何安装标识符。
根据这些报告得出的数据中，有一项是公开的：atatapp.com/extensions 上的扩展目录会显示每个扩展的累计安装次数。由于报告可以关闭，该数字是一个下限值，且不含任何标识符。
与任何 HTTPS 端点一样，收集端会收到 IP 地址。它会立即将该地址转换为一个仅保存在内存中的加盐值，用于频率限制，不会将 IP 地址或该临时值写入遥测。随事件存储的只有国家/地区代码。原始事件保留三个月；每日汇总计数不保留任何标识符。
更新、预览和下载的资源
AtAt 通过从 updates.atatapp.com 获取静态 appcast 来检查新版本，并从同一主机下载新版本。该请求不包含任何 AtAt 账户信息、登录令牌、遥测 ID、提示词、操作系统配置信息或硬件信息。
视频编辑器会在首次需要时从 assets.atatapp.com 下载其默认壁纸。这些是不附带任何标识符的固定文件。
当剪贴板历史显示 HTTP 或 HTTPS 链接时，macOS Link Presentation 会直接从所链接的网站获取该 URL 及其预览资源，以取得标题和图片。AtAt 仅在内存中保存生成的预览，不会将其发送至 AtAt 服务器。所链接的网站会收到正常的请求，包括您的 IP 地址和所请求的 URL，并适用该网站自身的隐私政策。
在“让 @@ 查找收藏”开启时，您将网页链接保存到收藏后，AtAt 会直接从所链接的网站获取该网页（不携带 Cookie 或已保存的登录信息），并将其可读文本与该收藏一同保存，以便您的 agent 日后读取；仅当无法访问该网站时，才会稍后重试；更早保存的链接，或在开关关闭时保存的链接，会在您的 agent 首次打开时获取。位于您 Mac 或本地网络上的地址，以及看起来像一次性登录、确认或退订链接的链接，绝不会被获取。网页副本保留在您的 Mac 上，随收藏加入可选的 iCloud 同步，并随该收藏一同删除；仅当您的 agent 打开该收藏时，它才会发送至您所选的服务商，且绝不会发送至 AtAt 服务器。所链接的网站会收到正常的请求，包括您的 IP 地址和所请求的 URL。
更新和壁纸主机使用 Cloudflare，Cloudflare 会为分发、安全和故障排查目的收到标准的请求元数据，例如 IP 地址、时间和所请求的路径。
付款与账单记录
对于 Dodo Payments 结账，AtAt 会使用您已登录的账户、所选产品以及适用的折扣在服务器上创建结账会话。Dodo 会收到您的账户电子邮件、可获取时的姓名（否则以您的电子邮件作为客户名称）、所选产品和折扣，以及订单参考号；如您的浏览器中存有下文所述的 affonso_referral Cookie，还会收到合作伙伴的推荐参考信息。公开的价格预览由 AtAt 服务器请求，不包含您的账户身份。当您请求订阅变更或买断升级时，AtAt 会使用您现有的账单地址、币种、可获取时的税号以及付款信息，计算未使用时间的抵扣额并请求报价。对于从 Paddle 订阅升级到 Dodo 买断，现有的账单地址和币种会与您的账户电子邮件一同发送至 Dodo，用于报价和创建该笔购买。AtAt 会保留报价、来源付款参考号和由此产生的订单参考号，用于核对抵扣额以及之后的任何退款或争议。Dodo 在其托管的结账页面上收集付款和账单信息，并会收到与您的访问相关的浏览器和网络信息。AtAt 不会收到您完整的卡号或卡片安全码。
经验证的支付服务商事件会向 AtAt 提供买方电子邮件、套餐、服务商的客户/订阅/交易参考信息、状态以及相关的期间日期，以便将该笔购买关联到您的账户，并进行核对、提供支持、取消或退款。
AtAt 会存储经验证的 Dodo 通知数据，以及 Dodo 返回的付款和订阅记录，用于核对购买、重试处理失败的操作以及处理支持请求。如有提供，这些记录包括客户姓名和电子邮件、账单地址、付款金额和币种、税额、发票参考号或链接、付款方式类型、卡片品牌和卡号后四位，以及退款或争议详情。这些属于账户和账单记录，而非使用遥测。删除您的 AtAt 账户不会自动清除为支持购买、退款或争议而保留的记录，也不会清除由支付服务商独立持有的记录。
Dodo 在其结账和计费服务中对信息的处理，详见其《隐私政策》。
此前的 Paddle 购买
Paddle 已不再销售 AtAt，仅为支持此前的购买而保留。在该集成停用后，历史 Paddle 订单和账单记录可能仍需用于许可、发票、退款、争议以及适用的记录保存义务。
对于 Paddle 购买，Paddle 是记录商户。网站已不再加载 Paddle.js，也不再打开 Paddle 结账页面。对于已有的 Paddle 订阅，AtAt 仍会接收经验证的 Paddle 事件，并读取其订阅、交易和账单地址记录，以保持访问权限有效、停止续订、执行已预约的套餐变更、打开 Paddle 账单历史，以及将其未使用的已付费时间抵扣到买断升级中。付款信息由 Paddle 持有；AtAt 不会收到卡号。
停用该集成不会将历史账单记录转移至 Dodo Payments，也不会自动删除 AtAt 或 Paddle 持有的记录。如此前的购买在其计费门户关闭后需要处理，请联系 hi@atatapp.com。
本网站
登录时会使用由 WorkOS AuthKit 集成提供的必要 Cookie，以保护登录流程并保持您的会话。这些 Cookie 与分析 Cookie 相互独立，可能包含加密的会话信息。退出登录会结束网站会话。
在正式域名上，每个页面都会从我们的联盟合作平台 Affonso（cdn.affonso.io）加载其跟踪脚本。如您通过合作伙伴的链接（带有 atp 参数的 URL）访问，该脚本会存储一个第一方 affonso_referral Cookie，其中包含合作伙伴的推荐参考信息，有效期 30 天，并将此次访问连同您的浏览器和网络信息告知 Affonso，以便在您购买时为该合作伙伴记功。没有合作伙伴链接时，它不会存储推荐信息。如您在账户页选择加入联盟计划，AtAt 会将您账户的邮箱、姓名和头像发送给 Affonso 以创建您的推荐人账户，页面会显示来自 affonso.io 的 Affonso 联盟计划面板。
字体、图片、视频和用户评价头像均由 AtAt 控制的主机提供，而非第三方媒体或字体 CDN。在正式域名上，仅当您接受分析 Cookie 后，才会从 Google 加载 Google Analytics；Affonso 的跟踪脚本按上文所述加载。普通的外部链接和下载仅在您选择后才会连接其目的地。
AtAt 的第一方网站遥测仅记录固定的产品事件：白名单内的页面路径（包括已发布的博客页面）、功能页面 slug、法律文件浏览、看到的首页区块、展开的常见问题条目、选中的行动号召、定价币种和周期选择、结账状态、下载版本/来源，以及扩展“安装”按钮的点击（附带扩展的目录标识符和点击位置）。每个事件还包含语言类别、简短的 UTM 来源（如有）、客户端时间戳、由 Cloudflare 添加的国家/地区代码，以及一个仅保存在内存中的随机会话 ID。着陆页的来源页仅保留其主机名。不存储完整的来源 URL、查询文本、表单值、电子邮件、IP 地址、Cookie、localStorage 值或 sessionStorage 值。重新加载或关闭页面会丢弃会话 ID；原始事件保留三个月，每日汇总不含任何标识符。
Google Analytics 仅在 atatapp.com 和 www.atatapp.com 上运行。它不会在个人退订页面上加载；在这些页面上点击链接时也不会发送来源页。仅在您接受分析 Cookie 后（包括此前访问时保存的选择）才会加载。在您接受之前或拒绝之后，AtAt 不会加载 Google 代码，也不会向其发送衡量请求。一旦接受，Google 可能会设置用于区分用户和会话的第一方 _ga 和 _ga_* Cookie。该代码会发送衡量数据，例如页面 URL 和来源页、浏览器/设备信息、大致地理位置、时间戳及其客户端 ID；为该 Google Analytics 媒体资源启用的任何增强型衡量事件，受 Google 的配置和政策约束。请求从您的 IP 地址发往 Google；Google 表示，GA4 在收集时使用该地址确定位置，并在记录日志之前将其丢弃。AtAt 停用了 Google 信号和广告个性化，拒绝广告存储和广告用户数据同意，并隐去广告点击数据。可使用页脚中的“访问统计设置”接受或拒绝。拒绝会停用收集、移除本网站可访问的 GA Cookie，并重新加载页面以卸载该代码；但无法撤回已发送的请求。另有一个独立的 atat_analytics_choice Cookie，会在当前主机上记住您的选择 180 天。它只包含“接受”或“拒绝”，不含唯一标识符。清除 Cookie 也会移除此选择。此项控制不会改变必要的登录 Cookie，也不会改变上文所述的独立的第一方网站计数。
接受分析 Cookie 后，AtAt 还会在 atatapp.com 和 www.atatapp.com 上启用我们自己的访客 Cookie：atat_vid。它由 AtAt 的服务器设置，只包含一个随机标识符，网页脚本读不到它，有效期为自您最近一次访问起 180 天。借助它，AtAt 会记录您第一次和最近一次访问的时间、您进入网站时的页面（不含查询参数）、把您带来的网站的主机名、链接上的简短推广标记（utm_source、utm_medium、utm_campaign，以及 ref 或 atp 代码）、Cloudflare 提供的国家/地区，以及您是否看过价格、点过下载、打开过结账页面，连同每件事第一次和最近一次发生的时间、发生在多少次页面加载中。如果您在这个浏览器中登录本网站，这份记录会与您的账户关联，这样我们才能知道哪些访问最终带来了注册或购买。这些记录不会分享给 Google、Affonso 或其他任何人，也不会与应用的匿名使用事件合并。在您接受之前或拒绝之后，AtAt 不设置访客 Cookie，也不保存访客记录；拒绝会移除这个 Cookie，已经记录的内容只按“数据保留与您的权利”中的说明保留。
本网站没有新闻通讯或营销订阅表单。网站会在以下情况下收到电子邮件地址：您登录 AtAt 账户时、购买后经由支付服务商，或您自行写信至支持地址时。AtAt 发布新版本时，账户持有人可能会收到一封来自 hi@atatapp.com、关于该版本的电子邮件。每封此类邮件都包含退订链接和一键退订邮件头。选择退订会在账户上记录为一个单独的标记，并适用于所有版本发布邮件；atatapp.com 还会针对每个版本保存一条记录，列明邮件已发送给哪些账户，其中包含版本号、账户标识符、时间以及服务商消息标识符或错误信息，以免同一版本的邮件重复发送。新账户在创建后不久还可能收到一封来自 hi@atatapp.com 的欢迎邮件。该邮件带有相同的退订链接和邮件头，atatapp.com 也会为其保存同类记录，以确保只发送一次。
本网站托管于 Cloudflare，Cloudflare 会为分发、安全、频率限制和故障排查目的收到标准的请求元数据。
应用请求的权限
每项权限均由 macOS 控制。AtAt 将其用于以下产品功能：
- 辅助功能：用于识别当前聚焦的文本框，读取鼠标选择的内容以执行划词动作，在受支持的非文本界面中调用时准备可见的应用布局上下文，移除触发字符，并将确认后的结果放回原文本框。
- 输入监控：用于在全局范围内检测由两个字符组成的 @@ 触发符。触发缓冲区最多只保存最后两个字符，安全输入会停用检测。
- 屏幕录制：用于截图和录屏、运行 OCR，以及可选地附加屏幕上下文。
- 自动化（Apple 事件）：用于在您于 Finder 中调用 AtAt 时，读取当前的 Finder 文件夹和所选项目。
- 麦克风：在您开始语音输入或为录屏开启麦克风时使用。
信息的使用目的
账户和套餐记录让您能够登录、在您的 Mac 上使用所购买的内容、管理账单并获得支持。试用记录用于防止同一台 Mac 重复获得免费试用。账户的 Mac 记录让 AtAt 了解您的账户在多少台 Mac 上使用。身份验证事件有助于诊断登录失败。反馈会被阅读，用于修复问题、改进 AtAt，并在您要求回复时答复您。使用事件和网站计数有助于发现产品问题并了解功能使用情况。标准的请求元数据用于支持分发、安全和防止滥用。
上述服务可能会在您所在国家/地区以外处理信息。具体位置和保护措施取决于相应服务及其配置。如需了解 AtAt 的服务提供商以及与您的数据相关的安排，请联系 hi@atatapp.com。
数据保留与您的权利
您在 Chat 中的对话、剪贴板历史、截图录屏和设置会保留在您的 Mac 上，直至您将其删除、清除、导出/移动，或卸载其数据。对话不会自动过期；剪贴板历史保留最近的 200 个项目，上限为 1 GiB，收藏则保留至被删除为止。
原始的第一方遥测事件保留三个月。保留时间更长的每日总数不含任何安装或会话标识符。Google Analytics、Cloudflare 运维日志、所链接的网站、agent 服务商、Paddle 和 Dodo Payments 对其收到的数据适用各自的保留规则。
与您账户关联的网站访客记录（连同其中的访问和里程碑），以及存在您账户下的 Mac 应用里程碑，会在您删除账户时一并删除。从未与任何账户关联的访客记录，会在最后一次访问约 13 个月后删除。
账户和购买记录在提供和支持许可所需的期间内保留，此后依付款、税务、会计、反欺诈及法律义务的要求继续保留。在某台 Mac 上退出登录会立即删除该 Mac 的记录行。关联到您账户存储的每台 Mac 的哈希值以及账户中列出的 Mac，会在您删除账户时被删除。
反馈会保留至不再需要用于处理其所述的问题或想法时，或直至您要求删除时。与您的账户标识符一同存储的反馈会在您删除账户时被删除；如需删除使用手动输入的地址发送的反馈，请使用该地址发送邮件至 hi@atatapp.com。
您可以发送邮件至 hi@atatapp.com，要求获取、更正或删除 AtAt 持有的个人数据。根据适用法律，您可能还享有限制处理或反对处理、获取可携带数据、撤回同意或向数据保护机构投诉的权利。撤回同意不影响撤回前处理的合法性。删除提供有效许可所需的数据可能会导致该许可终止；与各支付服务商自身付款记录相关的请求，由该支付服务商负责处理。
儿童
AtAt 并非面向 16 岁以下的儿童，也不会在知情的情况下收集其数据。
变更与联系方式
如本应用或网站开始存储或发送新类别的数据，必须随该变更一并更新本政策。页面顶部的日期标明当前版本。
如有疑问、请求，或发现本页面有任何看起来不准确的内容，请联系：hi@atatapp.com。