隐私政策.

Thinkery AG, Holzmoosrütisteig 1b, c/o Yves Gugger, 8820 Wädenswil, Switzerland (CHE-257.640.994), 对本政策中描述的处理负责。请联系 hello@leanctx.com 有关隐私、访问或删除请求。

本政策涵盖 leanctx.com 并解释 LeanCTX 中的相关数据流。当您为您的组织操作该软件时，您对您配置的来源、权限、接收方和保留期负责。您的 AI 主机、模型提供商和连接服务有自己的隐私条款。

我们的网站、API 和电子邮件服务托管在瑞士。当请求页面和资产时，您的浏览器会发送技术连接数据，包括 IP 地址、请求的 URL 和浏览器信息。网站基础设施使用这些数据来提供页面、诊断故障和保护服务。

字体和网站资产随网站一起提供。文档搜索使用 Pagefind：其索引会下载并用您的浏览器搜索。搜索查询不会提交给托管的搜索提供商。

一些页面请求从 LeanCTX 服务获取公共社区统计数据或发布信息。与其他网络请求一样，目的地会接收技术连接信息。点击外部链接会将您带到另一个服务。

必要的浏览器存储会记住设置，例如您的颜色主题和 Cookie 选择。帐户页面使用浏览器存储来存储您的帐户会话。这些目的与可选的分析是分开的。

我们使用在德国法兰克福处理的 PostHog Cloud EU 进行可选的网站分析。其浏览器脚本仅在您接受分析后才会加载；如果您拒绝，脚本将始终不会加载。您可以撤回您的选择，请使用 Cookie 设置。分析权限将在 12 个月后失效；已记录的拒绝会持续有效，直到您更改选择。

分析会处理页面访问、预先设定的链接和安装按钮点击、滚动进度、主动阅读时长进度、宽泛的技术错误类别、浏览器/设备信息，以及存储在 Cookie 或本地存储中的假名标识符。此项测量不会收集错误消息、堆栈跟踪或表单内容。隐藏页面不计入阅读时长；没有交互 30 秒后，时长不再累积。会话录制需要另行单独选择。这些录制会重建公开页面上的交互；输入值和页面文本会在传输前遮蔽。我们排除账户、登录、结账及其他敏感路径。不会记录网络正文、标头或控制台消息。我们不会将此集成用于广告。

在您同意分析的情况下，我们会收集来源网站或域名以及有限的 UTM 活动标签。浏览器事件会经过我们服务器上的代理，该代理在转发给 PostHog 之前移除您的 IP 地址、Cookie 和引荐来源标头；分析不会根据您的 IP 地址推断您的位置。我们记录对经批准的公开页面链接的点击，而不记录表单文本。内部排除偏好会持续到被清除为止，最长 12 个月；分析 QA 标记仅持续一个浏览器会话，这些运营方控制项不属于访客分析。

我们还会从现有服务器访问日志中计算每小时请求数，并按公开页面、响应状态、宽泛的浏览器/设备类别和来源类别分组。这些汇总计数不含 IP 地址或访客标识符，也不代表独立人数。数据会在汇总来源存储中保留 90 天，并与经同意的浏览器分析分开显示。

在此更改之前，分析曾在我们自己的服务器上的PostHog安装上短暂运行；该安装已被关闭。请参阅 PostHog 的隐私政策 以了解该提供方的做法。撤回同意会停止今后的浏览器数据收集，但不会因此删除已收集的数据。如需提出数据请求，请联系我们。

本地运行时会在其配置的访问边界内读取并整理来源。它可以在您的机器上存储配置、缓存内容、搜索索引、知识、会话状态、日志和恢复工件。这些工件可能包含源内容或敏感信息；请保护对该机器的访问并管理其保留期限。

本地处理并不意味着后续所有使用都保留在您的设备上。在仅上下文模式下，LeanCTX 将准备好的信息返回给您的连接主机，由主机决定如何使用它。当您通过引擎路由模型或工具执行时，配置的提供商或服务会收到允许的请求数据。外部源、远程端点、组织部署和导出都有自己的数据流、访问规则和保留设置。

运行时可以通过网络检查更新。在所审查的实现中，可以通过 update_check_disabled = true 或 LEAN_CTX_NO_UPDATE_CHECK=1禁用此检查。进行检查时，目标仍会收到普通的连接数据。

运行时遥测与网站分析分开控制。从 3.11.0 版本起，它默认开启；更早的版本在您未选择加入时不发送任何内容。在 3.11.0 版本中，安装设置会询问是否保持开启并保存您的选择；从 3.11.1 版本起，安装设置不再询问，只说明如何关闭。从 3.11.1 版本起，如果某个安装的遥测仅因旧的选择加入默认设置而处于关闭状态，它会在更新时开启一次并显示一次性通知；在 3.11.0 或更高版本中做出的关闭遥测的选择(lean-ctx telemetry off、在安装设置中拒绝或 lean-ctx config set telemetry.enabled false)永远不会被覆盖，只读配置也会保持原样。CI 任务从不收集或发送遥测。

遥测数据以每日累计总数的形式每天发送数次（自 LeanCTX 3.11.5 起，在使用 LeanCTX 期间最多每 30 分钟发送一次），发送至 api.leanctx.com。它包含一个随机的安装标识符，该标识符并非源自您的设备或账户（如果同一用户账户有多个 LeanCTX 数据目录，它们共享一个标识符）；LeanCTX 版本、操作系统、CPU 架构和安装渠道；AI 客户端类别和设置配置；运行环境（例如本地计算机、容器、Codespaces 或云端代理）、安装时长以及最近 30 天内的活跃天数，均以粗略区间表示；对于每个内置工具，每日调用次数、按类别统计的失败次数（例如无效输入、未找到、权限、超时或编辑冲突）、最常见的五条错误消息模板（您的设备已将其中每段引号内的文本、路径、文件名、数字、标识符、地址和电子邮件地址替换为占位符）、总延迟和延迟区间；您的安装自身最多最近 90 天的每日使用记录，即 lean-ctx gain 所显示的内容（每天的操作次数以及压缩前后的 token 数）、其累计总量以及首次使用的月份；会话数量和运行时长（包括未响应任何工具调用的 MCP 服务器启动）、错误类别（包括以错误结束的 shell 命令）以及版本升级；所使用的 LeanCTX 命令和后台功能的每日次数（例如导出包或构建索引）及其中失败的次数，从不包含其参数；以及自动驾驶、同步和计划的汇总计数。它从不包含提示词、代码、文件内容、文件名、路径、命令、工具参数、原始错误消息或密钥，也不会与网站分析或账户数据合并。

批次到达时，我们的服务器仅在内存中读取连接的 IP 地址，并将其缩减为该网络的带密钥哈希（IPv4 为 /24 网段，IPv6 为 /48 网段），以及来自公开数据集 iptoasn.com 的网络运营商公开名称、编号和国家，并归类为家庭、托管、教育或其他网络。IP 地址本身从不存储或记录，且该哈希无法还原为地址。我们仅用此了解 LeanCTX 在哪些国家和哪些类型的网络中运行。

服务器对批次的回复中可能附带一条我们发出的简短通知，例如您的安装所报告的某个错误已有修复。我们根据批次本来就包含的信息（版本、AI 客户端、操作系统、运行环境、失败的工具）来选择通知，因此不会额外发送任何内容。LeanCTX 只在您的终端中显示一次通知，绝不提供给您的 AI 模型；我们只统计每条通知被送达的次数，从不记录送达了哪个安装。

随机安装标识符可能被视为假名化的个人数据。我们仅用它来统计安装数量以及它们随时间使用 LeanCTX 的情况。只要某个安装仍在发送数据，我们就会保留其遥测记录，并在其最后一次联系后 25 个月全部删除。使用以下命令查看确切内容： lean-ctx telemetry show。关闭遥测： lean-ctx telemetry off, DO_NOT_TRACK=1 或 LEAN_CTX_TELEMETRY=off。删除为您的安装保存的记录： lean-ctx telemetry delete-remote.

我们依据瑞士《联邦数据保护法》（FADP）以及在适用情况下依据 GDPR 处理运行时遥测数据。这基于我们的正当利益：了解有多少安装在实际使用 LeanCTX、它们依赖哪些功能和 AI 客户端、软件在哪里出错，以便维护和改进软件（GDPR 第 6 条第 1 款 (f) 项）。我们将其限定为假名化的每日计数，不用于识别或分析个人，存储在我们位于瑞士的服务器上，也不会出售或提供给第三方用于其自身目的。您可以随时通过关闭遥测提出反对（FADP 第 30 条、GDPR 第 21 条），这会停止之后的所有发送；而 lean-ctx telemetry delete-remote 会删除已存储的记录。

浏览器扩展、SDK 应用程序和其他集成具有不同的范围。请在 安全文档中查看它们特定于版本的权限和配置。我们不会将所有集成描述为完全离线，也不承诺过滤器能检测到所有敏感值。

如果您创建或使用帐户，服务会处理用于验证您和运行服务的必要的信息，例如您的电子邮件地址、凭据、帐户标识符以及您选择提交的服务数据。可用性和数据流取决于您使用的服务和协议；本地安装不需要帐户。

当您向我们发送电子邮件时，我们使用您的地址和消息来回复并保留询问记录。请只包含解决问题所需的信息。除非已商定合适的传输方式，否则请避免发送机密或私有源文件。

付款使用支付时显示的结账提供商。现有自愿捐款的记录也通过支付提供商进行处理。Stripe 在其 隐私政策下处理付款信息。我们可能会收到管理付款所需的客户、交易和账单记录；卡信息由支付提供商处理。

如果您明确发布摘要，所选信息将成为公开的。即使底层统计数据是汇总的，它也可以识别您。在发布前请检查预览和共享设置。

使用 Pro 或更高计划，LeanCTX 可以同步其在您的机器上学到的内容。同步的知识、修复和会话检查点在上传前在您的设备上被加密，服务无法读取其内容。

对于云仪表板，每个已登录的 Pro 设备还会按项目和天上传数字：请求的、交付的和保留的令牌；工具调用和缓存命中；每模型的请求、令牌和列表价格成本；按种类保存的节省-账本条目的数量；诸如红线秘密或阻止的路径等保护操作的数量；每个 AI 主机的会话和工具调用数量；当前和添加的知识事实和链接的课程数量；以及交付收据的数量。设备通过一个随机标识符、其主机名、LeanCTX 版本和其操作系统进行识别。项目通过从项目和保留给您的随机值派生出的不透明值进行识别；因为服务持有该值，它可以测试猜测的项目名称与您的帐户进行匹配。除非您设置，否则会包含项目的文件夹名称。 cloud.metrics_project_labels = false.

这些上传永远不包含文件路径、文件或提示内容、命令、知识文本、仓库地址或凭据。您可以通过 cloud.metrics_upload = false; 免费帐户不上传任何内容。仪表板上的数字会保留 400 天，在云仪表板中删除设备会删除其数字，删除您的帐户会删除所有这些数字。

相关的接收者包括我们的基础设施和电子邮件提供商、使用时的支付提供商以及您明确连接或访问的服务。可选的网站分析由位于德国法兰克福的PostHog Cloud EU进行处理；浏览器事件仅通过我们的代理到达它，不包含您的IP地址。出于法律义务或权利保护也可能需要访问权限。

GitHub 和 Stripe 等外部提供商在国际范围内运营；请查阅它们的隐私声明，了解其所在地点和数据传输安排。任何单独约定的托管服务的隐私条款和数据处理安排构成该服务文档的一部分。

请联系我们了解适用于您的询问或服务的接收者和国际处理信息。

我们为收集个人数据时的目的保留该数据，并在法律、会计、安全或争议解决义务要求时保留。不同类别的数据有不同的保留需求；撤回分析同意不会删除法定账单记录。

您控制着您本地安装中存储的数据以及您配置服务的保留期限。仅删除应用程序不应被视为所有本地文件、备份或外部副本都已删除的证明。

根据适用法律，您可以要求访问您的个人数据、更正、删除、限制或可用的可携带副本，并反对处理或撤回同意。我们可能需要验证您的身份并解释任何适用的例外。请写信给 hello@leanctx.com；请勿在公开 issue 中发布个人数据。

您也可以联系 瑞士联邦数据保护和信息专员 或另一个主管数据保护机构。如果适用 GDPR，其相应的权利和要求也适用。

当相关处理发生变化时，我们更新本政策，并在上方显示修订日期。托管服务可能会为其特定的处理提供附加通知。如果您需要关于某个版本或特定数据流的澄清，请联系我们。

对于公开网站请求统计，我们只记录已发布页面的路径（不含查询参数）、响应状态以及粗略的来源、设备和浏览器类别。新的统计日志不包含 IP 地址、完整用户代理、Cookie 或完整引荐来源。PostHog 每小时只接收汇总计数，不含访客标识符或指纹。这些数字统计请求次数，不代表独立访客人数。

您可以在 Cookie 设置中停用服务器统计。“仅必要”也会停用未来请求的统计。我们只将必要的拒绝偏好 lctx_statistics=off 存储在 Cookie 中。已有拒绝会在下次访问时传递；该次访问的首个请求可能已在传递前计入。我们尊重 Do Not Track 和 Global Privacy Control。必要的安全处理另行进行。

我们还会分析每日创建的账户、已验证的电子邮件和已创建的结账会话总数。数据库会在传输前汇总这些数据；姓名、电子邮件、客户标识符和付款数据不会发送给 PostHog。总数涵盖所有访问渠道，也可能包含测试账户。结账会话不等于购买。报告涵盖最近 90 天，不会将账户与网站访客关联。浏览器点击路径和掩码录制仍需按上述说明单独选择。