隐私政策

1. 适用范围

本政策说明 Kun 官网（www.kun-agent.com）、Kun 统一账号服务（api-kun-server.com）以及接入这些服务的网站应用中的 Kun 登录功能如何处理个人信息。官网提供产品介绍、文档、下载和版本更新信息；统一账号服务提供邮箱验证码及 Google 登录、个人资料和应用授权。

Kun 桌面客户端中的模型请求、工作区文件、插件及其他第三方服务，取决于你使用的具体功能和配置。本页对 Google 登录的说明不代表桌面客户端的所有功能都只处理登录信息；使用相关功能时，请同时查看其说明及所选服务商的隐私政策。

本政策也包含下文“Kun 移动 App 与远程连接”说明，涵盖手机控制端的账号、连接、附件及相关本机数据处理。

2. Google 登录访问哪些信息

当你选择使用 Google 登录时，Google 负责验证你的身份。通过 Google 的基本身份权限，Kun 和用于认证的 Supabase 会接收 Google 账号标识、姓名、邮箱地址及其验证状态、头像地址等基本资料，用于建立或识别你的 Kun 账号。

当前登录流程使用基本身份、邮箱和个人资料权限（openid、email、profile）。这些权限不允许 Kun 读取你的 Gmail 邮件、Google Drive 文件、日历或联系人；Google 登录密码由 Google 处理，不会作为登录表单信息提交给 Kun。

2.1 邮箱验证码登录

选择邮箱验证码登录时，你主动提供的邮箱地址用于接收一次性验证码、验证邮箱归属，以及创建或识别 Kun 账号。Supabase Auth 负责生成和校验验证码；验证成功后才建立登录会话，首次访问个人资料接口时建立业务资料。

Cloudflare Email Sending 为验证码投递处理收件邮箱、邮件内容和投递结果。验证码邮件用于账号认证，不用于发送营销邮件。验证码有效期为 10 分钟，成功使用后失效。

登录页使用 Cloudflare Turnstile 防止自动化滥用。浏览器可能在当前标签页的会话存储中保存待验证邮箱和发送时间，以恢复输入和倒计时；输入的验证码不会写入该存储。邮箱验证码与 Google 登录遵循本政策的账号存储、资料用途、应用授权和退出规则。

2.2 桌面应用中的 Gmail 连接

Gmail 连接是独立、可选的授权功能。使用 Google 登录 Kun 不会授予邮件访问权限。只有你在私有 Agent 对话或 Code 对话中主动点击连接、在系统浏览器完成 Google 授权后，桌面应用才获得 Gmail 访问权限；共享群组和其他对话不会自动获得权限。

Kun 请求 gmail.readonly 和 gmail.send，用于搜索、读取你要求处理的邮件，以及在你确认后发送邮件。处理的信息可包括邮箱地址、邮件标识、发件人、收件人、主题、时间、摘要和纯文本正文；本功能不加载邮件内远程图片，不执行邮件 HTML，不请求修改、删除或归档邮件的权限。发送前会展示完整收件人、主题和正文，必须由你确认。

每个私有对话默认不允许模型处理 Gmail 数据。你通过连接卡中的“连接 Google 账号”或“在此对话中使用 Gmail”按钮明确允许，将所请求的邮件头、地址、摘要、正文及相关对话上下文交给此对话配置的模型，用于你要求的解释、摘要和回复。连接卡在按钮旁说明这项许可；在其他对话连接 Google 账号不会自动给当前对话授权。Kun 不按模型品牌或服务商设置准入白名单；自动路由、故障切换或网关也按你的配置处理数据。更换模型不要求重新审查 API 账号，你可以在连接卡的管理菜单停止当前对话使用 Gmail。

邮件可能被发送到你配置的模型服务商、本地模型或中转服务。数据处理地点、缓存、保留期限及训练用途由所选服务商的协议和账号设置决定；Kun 不保证所有配置都关闭训练或实现零保留。使用前请核对所配置的服务及路由。撤销对话许可会阻止后续模型处理，但不能撤回服务商已经收到的数据。例如，DeepSeek 官方 API 在中国处理数据，默认存在磁盘上下文缓存；应同时查阅其隐私政策和开放平台协议。

Gmail API 请求和 OAuth 令牌交换由本机 Kun 运行时直接向 Google 发起，访问令牌和刷新令牌加密保存于本机凭据存储，优先使用系统钥匙串保护；系统保护不可用时使用仅当前系统用户可访问的本地加密存储。Gmail 邮件正文和令牌不由 Kunserve、Supabase 或 Cloudflare 账号后端保存；配对设备的远程查看及网络传输另按下文说明处理。Kun 不建立独立的完整邮箱缓存。

Gmail 功能在访问邮件前检查应用数据目录所在存储卷的加密保护；当前实现验证 macOS 的 FileVault 及实际存储卷加密状态，无法验证时拒绝访问邮件。用于对话的邮件内容、摘要、生成回复及相关应用管理记录可能保留在这个受保护数据目录。这里使用的是操作系统存储卷加密，并非对每条对话另做应用级加密。邮件模型请求不进入可选的 HTTP 模型调试捕获；其他本地对话或运行记录仍可能含有邮件内容。你手动复制、导出或备份记录到其他位置时，应继续保护这些副本。

如果你主动启用已配对设备的远程访问，经过认证的配对设备仍可查看现有对话记录和实时消息，包括 Gmail 邮件内容、摘要和回复。数据经你选择的连接方式传输，例如直接连接或 Cloudflare 隧道；使用隧道时，其网络传输服务商可能为连接处理这些数据。这属于向你配对设备的远程展示；模型仍按对话许可及你配置的路由处理。Gmail OAuth 访问令牌、刷新令牌和本机模型凭据不会提供给远程客户端；IM 桥接不接收 Gmail 对话。请按所用连接与传输服务的说明管理远程访问。

断开 Gmail 会删除本机连接凭据和所有对话的 Gmail 授权，但不会自动删除已有对话或调试记录；请使用应用中的历史记录及调试数据管理入口删除。为防止已有邮件记录被转交给未获准的模型，应用仍保留仅含对话标识的本地敏感数据分类记录。你可以另行撤销 Google 授权；Google 的撤销可能同时影响同一项目中的其他 Kun OAuth 客户端，包括 Google 登录。

Kun 仅将 Google 用户数据用于你明确要求的、面向用户的 Gmail 功能，不出售这些数据，不用于广告投放或通用模型训练。Kun 对从 Google API 接收的信息的使用及向其他应用的转移遵守 Google API Services User Data Policy，包括 Limited Use 要求。你确认发送的邮件会按正常邮件投递流程提供给收件人及邮件服务商。若需要人工访问 Google 用户数据，需有你的明确同意，或仅限安全调查、法律要求及政策允许的内部操作等例外。

2.3 Google API Limited Use 与用户自选模型

Kun 对从 Google API 接收的信息的使用及向其他应用的转移，将遵守 Google API Services User Data Policy，包括 Limited Use 要求。对从 Workspace API 接收的原始或派生用户数据的使用，将遵守 Google User Data Policy，包括 Limited Use 要求。

Kun 不使用 Google 用户数据开发、改进或训练通用 AI/ML 模型，也不会出售这些数据，或为该目的转移这些数据。

Kun 不提供模型，而是在你的电脑上运行。只有你要求 Kun 查找、读取或发送邮件时，才会请求相关 Gmail 数据，并将其交给你自行配置的模型。我们建议使用本地模型（例如通过 Ollama 运行）；在这种情况下，模型处理在你的设备上完成，不会将数据提供给 Kun 或任何模型服务商。如果你配置远程模型服务，所请求的邮件内容会按你的账号及该服务的条款发送到该服务；我们建议选择条款明确不使用你的数据进行训练的服务。Gmail 连接卡会显示接收数据的模型。

Gmail 凭据加密保存在你的设备上，绝不会提供给模型。你可以随时断开连接并撤销 Kun 的访问权限。发送邮件始终需要你明确批准收件人、主题和完整正文。

Kun's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

Kun does not use Google user data to develop, improve or train generalized AI/ML models, and does not sell it or transfer it for that purpose.

Kun runs on your computer and provides no AI model. Gmail data is requested only when you ask Kun to find, read or send an email, and is given to the model you have configured. We recommend a local model (for example through Ollama), in which case the data is processed on your device and not shared with us or any model provider. If you configure a remote model service, the requested email content is sent to that service under your own account and its terms; we recommend choosing a service whose terms exclude training on your data. The Gmail connection card shows which model will receive the data.

Gmail credentials are encrypted on your device and never given to models. You can disconnect and revoke Kun's access at any time. Sending an email always requires your explicit approval of the recipients, subject and full body.

2.4 Kun 移动 App 与远程连接

Kun 移动 App 是电脑上 Kun 的控制端。电脑运行任务并保存会话、执行记录和长期附件，是这些内容的事实来源；手机可以读取、缓存并在授权范围内发送输入。关闭手机连接或进入后台，不会自动停止电脑已经开始的任务。

在 iOS 上，登录凭证保存在 Keychain；手机按账号、电脑隔离本地历史、游标、草稿及待核对请求。历史缓存默认上限为 100 MiB，媒体缓存为 200 MiB，按最近使用情况清理；草稿和待核对请求单独保留，不因普通缓存淘汰而删除。在手机退出并移除该账号时，会清除其本机凭证和缓存；这不会自动删除电脑历史或服务器账号。

远程控制使用 Cloudflare 托管的 HTTPS/WSS 中继。中继校验身份、授权及路由，不持久保存聊天正文或业务帧，也不建立云端会话历史。Supabase 为此保存账号身份，以及设备、设备授权、短期配对与连接票据、临时传输元数据和不含正文的授权审计；网络服务仍会处理连接所需的技术信息。聊天记录不在云库建立副本，不代表整个连接不经过云端。

你选择传输的附件临时经过私有 Cloudflare R2，单文件上限为 25 MiB，传输访问授权一小时后失效。接收确认或取消后会请求删除对象，定时清理和 bucket 生命周期规则用于清理残留；访问失效与物理删除是不同操作，不保证文件在到期、确认或取消的瞬间立即消失。长期附件引用保存在电脑，重新查看时可能再次临时中转。

当前中继和附件传输使用 TLS，但尚未提供端到端加密。Cloudflare 等传输服务为完成中继与临时存储可能处理传输内容；请勿将本功能理解为只有手机和电脑可以解密的通信。

在向电脑发送消息、附件或继续模型执行之前，移动 App 会要求你明确同意数据传输。消息、附件及相关会话上下文会由电脑交给你当前配置的模型、服务商或网关处理，例如 OpenAI、Anthropic、DeepSeek、自定义服务或本地模型；数据处理地点、保留和训练规则取决于实际配置和服务条款。请核对会话模型与桌面配置。你可在“隐私与安全”撤回该账号与电脑的同意；撤回阻止后续未获同意的传输，但不能收回已交给服务商的数据，也不自动停止已经开始的任务。这项同意不能替代工具审批或上文单独的 Gmail 对话许可。

iOS 语音输入默认只使用设备端识别；设备或语言不支持时会提示不可用，不自动切换在线识别。只有你为本次录音明确打开“允许 Apple 在线识别”时，音频才可能交给 Apple 的语音服务处理。录音使用内存缓冲，Kun App 不保存原始录音文件、不将录音上传 Kun 云端；识别文字可编辑，确认或进入后台时追加到本机草稿，不自动发送给电脑或模型。系统语音服务自身的处理适用 Apple 的说明。

退出手机账号、解除电脑授权、撤回 AI 数据传输同意与注销 Kun 账号是不同操作。新的 App 内自助账号注销服务端已部署，但入口尚未开放，仍需完成隔离账号的真实验收；目前可通过本页联系邮箱提出账号资料查询、更正或删除请求。正式发布时将按实际可用入口更新说明。

以下是新版账号注销链路的说明，需在上述真实验收完成后启用。注销会删除 Kun 云端本人账号资料、撤销设备与共享访问并清理相关临时附件；它不会远程擦除电脑历史、已经公开的消息、其他人的本地副本或别人的共享任务。删除共享访客账号时撤销其成员关系；删除房主账号时关闭其共享任务。

对于通过 Apple 登录的账号，注销进度区分“不适用”“已撤销”“待处理”和“需要手动处理”。正常情况下会使用服务端加密保存的 Apple 凭据请求撤销授权。临时失败时，重试窗口固定为邮箱验证码验证通过并持久接纳注销后的 24 小时，不因重试或晚到登录而延长；Kun 账号与本人资料的删除仍继续，不会无限等待 Apple。缺少凭据、无法解密或窗口结束时会标记需要手动处理，而不是声称撤销成功。窗口结束后不再读取密文用于撤销，并由维护任务清理密文；不保证在截止瞬间完成物理清除。

账号删除、相关临时文件清理与 Apple 撤销或手动处理均进入终态后，服务端状态证明再保留 24 小时，供已退出账号的设备使用原状态凭证核对；待处理不因证明期限而被伪标完成。手机可保留未读的 Apple 手动处理提示，直到你明确确认已阅读。手动处理是在 Apple 的“通过 Apple 登录”设置停止使用 Kun 对应授权，不是退出或删除整个 Apple 账号。

为防止已删除账号继续访问或重复执行，可能保留不含会话正文的最小安全审计、删除屏障和核对所需记录；不承诺清除处理方依法或按已公布政策保留的全部安全日志。其他账号已接纳的共享管理回执可能仍含你的不透明账号或成员标识，按既有 7 天核对期限清理；本流程不会改写他人的幂等证明、共享内容或业务记录。独立运营目录的发行来源与作业审计也不作为普通用户的个人内容一并删除。

3. 信息如何使用

账号资料用于完成登录、识别当前用户、显示姓名、邮箱和头像，以及在你允许的应用中建立登录会话。你在官网个人中心修改的显示名称等资料，会保存在你的 Kun 个人资料中。

当独立应用请求使用 Kun 账号登录时，授权页面会显示应用和请求权限。你同意后，该应用会取得与权限对应的身份资料和自己的登录令牌。使用 Kun 登录组件的应用与账号中心分别管理会话；退出该应用不会同时退出账号中心。

4. 信息如何存储

账号身份、认证会话和授权记录由 Supabase Auth 管理。Kun 的 Supabase 数据库保存个人资料，例如账号 ID、显示名称、头像地址和创建、更新时间。服务端按已验证的用户身份读取和更新个人资料。

使用 Kun 登录组件接入 Kun 账号的网站应用（包括已接入登录功能的官网版本），使用浏览器 sessionStorage 保存当前应用的访问令牌、刷新令牌及登录校验状态。统一账号中心在其自身域名的浏览器存储中保存独立登录会话，以保持登录并刷新令牌。官网还使用 localStorage 保存语言偏好，使用 sessionStorage 缓存公开的 GitHub 星标数量。

清除浏览器存储可能使你退出登录或重置偏好，但不会自动删除服务器中的账号、个人资料或既有运行记录。

5. 下载、更新和运行数据

网站和账号服务通过 Cloudflare 提供。处理请求时，托管和认证服务会接触 IP 地址、浏览器请求信息等运行数据；服务日志用于运行维护和排查故障。

官网还启用了 Cloudflare Web Analytics，在浏览器中收集页面浏览、来源网站、设备与浏览器类型、国家以及页面加载和性能指标，用于了解访问情况和改善网站性能。

当网站访问版本更新接口、下载安装包或访问模型目录接口时，现有统计实现会向 Supabase 写入事件日期、IP 地址的哈希值、User-Agent 的哈希值，以及 Cloudflare 提供的国家、地区、城市、时区和数据中心信息。视接口而定，还包括请求路径、版本或渠道、安装包名称和格式、下载范围、响应状态及错误类别。哈希值不等同于完全匿名数据。

这些记录用于下载与更新统计和接口运行情况分析。公开统计接口提供汇总计数。获取 GitHub 星标数量以及加载 Google 或其他来源的头像时，浏览器会向对应服务发出请求，该服务会收到正常网络请求信息。

6. 信息如何向服务商与应用提供

Google 提供身份验证；Supabase 提供认证、账号授权、个人资料存储和统计数据存储；Cloudflare 提供网站、账号接口和下载文件的托管与网络服务。这些服务商会为对应功能处理相关信息，并受其各自的隐私政策约束。

你授权的独立应用可以获得其登录功能所请求且你同意提供的身份信息。撤销后是否删除该应用已经取得的信息，需按该应用的政策处理。通过本站链接访问第三方网站时，请查看该网站的隐私说明。

7. 你的选择与账号资料

你可以不登录并继续浏览公开的产品信息和文档。使用已接入 Kun 登录组件的网站应用时，你可以退出该应用；你也可以在官网个人中心修改显示名称，在 Google 账号的第三方连接设置中撤销 Kun 的访问权限；如需撤销已授权应用的访问权限，请通过本页的联系邮箱提出请求。

退出或撤销授权不会自动删除已保存的账号资料。当前页面不提供自动删除账号功能。如需查询、更正或删除相关资料，请通过本页的联系邮箱提出请求。

8. 政策更新

登录和网站功能发生变化时，本页会相应更新，并显示新的更新日期。请在使用新的账号功能或授予新的权限前查看相应说明。

联系我们

如有隐私问题，或希望查询、更正或删除账号资料，请联系以下邮箱。请勿在邮件中发送密码、访问令牌或其他密钥。