开源 AI 助手的隐私设计：数据存在哪里

用 AI 助手绕不开一个问题：我的对话和密钥存在哪、谁看得见。这款应用的数据流设计比较简单，值得单独说清楚。

数据放在哪

• 会话记录：安卓、iOS 与桌面端存在设备本地的 SQLite 数据库里（应用私有目录），每条消息一行；网页版没有本地数据库，会话以 JSON 形式存在应用的设置存储里
• 加密：会话与设置均为本地加密存储，密钥不出设备
• 记忆与灵魂提示词：序列化后存在应用设置中，同样只在本机
• 设置导出文件：包含 API 密钥等敏感信息，导出的 JSON 由你自己保管，见设置备份

请求发到哪

聊天请求从你的设备直连你配置的服务商（OpenAI、Gemini、Anthropic、DeepSeek 等），应用不居中转、不代理、不改写。免费档是唯一例外：它经由开发者维护的免费代理转发到合作的免费服务，因此走免费档的对话不应包含敏感信息——应用自己在设置页底部也常驻提醒「AI 可能会出错，请仔细核对，不要分享敏感信息」。

没有什么

• 无广告、无统计 SDK、无追踪
• 不要求注册账号
• 开源构建版之外的功能开关（如读通知、读短信）默认关闭，开了才生效，且仅限安卓开源构建版

端侧路线：彻底不上网

如果连「请求发给服务商」都想省掉，可以走端侧推理：下载 LiteRT 格式的模型到设备，之后推理完全在本机完成，无网络、无密钥、无费用。模型文件下载时做哈希校验，坏文件直接拒载。详见端侧推理。

隐私口径一句话：本地存储 + 直连服务商 + 代码可审计，信任成本低。相关疑问也可以看隐私答疑。