隐私政策

WorkGoa（下称“本产品”）包含桌面客户端、手机监督伴侣应用与账号及模型额度服务（月付计划与 Token 包）。我们遵循“本地优先”原则：书稿、记忆与工作区文件默认保存在你自己的设备上，服务端只处理账号、订单额度与必要的协作数据。

本政策说明你使用本产品时我们会收集和使用哪些信息、如何使用以及如何保护这些信息。使用本产品即表示你已阅读并同意本政策。

账号信息：注册与登录所用的邮箱及密码散列。密码仅以不可逆散列形式存储，任何人（包括我们）都无法还原明文。

订单与额度记录：月付计划与 Token 包的订单、支付状态，以及额度的入账、扣减与到期清零记录，用于计费、对账与你的查询。

我们不收集模型密钥：BYOK 的 API Key 只存在你本机，本产品不代理、不存储、也不转发这类凭据；托管通道的模型调用由服务端转发给模型服务商，不留存请求与响应内容。

设备注册信息：登录与手机监督功能会记录设备名称、平台与版本，用于设备列表展示与远程控制的授权管理。

稿件与文件内容不出本机。开启手机监督时，仅任务标题、运行状态与决策摘要会经服务端中转到手机端。

服务端是哑中继：只转发消息帧，不解析、不留存业务内容；中转内容不会被用于任何模型训练。

未开启手机监督时不会产生此类消息；你可以随时关闭设备的远程控制开关，关闭后手机端将无法再连接该设备。

遥测采集默认关闭，仅在首次启动弹窗征得你明确同意后开启，并可随时在设置中关闭。

即使开启，也仅收集匿名聚合事件（如功能使用计数、错误类别），不收集账号身份、稿件内容与对话内容。

额度购买（月付计划与 Token 包）按单笔订单一次性付费，没有现金钱包余额，也不按调用次数计价；月付配额到期未用完部分清零，不退不折现。金额对外以元展示，服务端内部以分（1 元 = 100 分）为最小记账单位，避免任何换算误差。

本地数据（书稿、记忆、工作区）保存在你设备的 ~/.workgoa/ 目录，生命周期由你完全掌控。

服务端不记录模型请求与响应内容（托管通道只转发、不留存），只保留账号、设备与订单/额度记录；审计日志按法律法规要求至少保留六个月。

你可以在客户端或手机应用内随时发起账号注销。发起后需经确认邮件确认，确认后进入 7 天冷静期，冷静期内登录会自动撤销注销申请。

注销生效后，全部凭据吊销，个人数据删除；依法律法规需留存的财务账目仅在法定期限内保存，不再用于任何商业用途。

本政策变更时，我们会更新页面上方的版本号与生效日期并在本页公示；重大变更将通过产品内公告另行通知。