# 巡航 QuietWatch 隐私说明

版本：1.0.0。更新日期：2026-09-04。

巡航的进程观察与规则判断在 Mac 本机完成。应用没有开发者遥测、广告、追踪标识、云同步或自动日志上传。只有在你主动预览并确认 AI 分析时，才向你指定的 AI 服务发出请求。

## 在本机读取和保存的信息

巡航读取当前用户可访问进程的名称、可执行路径、启动命令、PID、启动时间、用户归属、CPU 时间和驻留内存，用于展示来源、判断持续高占用与复核操作对象。完整的进程采样与启动命令仅用于本次运行；历史与静音设置保留的信息分别如下。

事件记录保存固定任务类别、必要的 PID、状态、时间和操作结果，最多 30 天、500 条；不保存原始命令、文件路径、API Key 或 AI 回答。记录保存在用户 Application Support 下，使用当前用户的文件权限，并可在应用里清除。普通文件权限不等于磁盘加密；如需静态数据加密，可使用 macOS FileVault。

观察规则、暂停状态、外观、首次使用状态和 AI 地址/模型通过本机偏好保存。静音设置还保存目标 PID、进程启动时间及到期时间，以便重启巡航后继续静音并避免误认复用的 PID；静音最长 1 小时。API Key 单独存放在 macOS 钥匙串，以服务地址区分，禁用钥匙串同步，使用本设备解锁后可访问的策略。应用不会将 Key 写入偏好、事件、导出文件或错误文案。

## AI 请求

每次请求前显示接收地址及将发送的具体摘要。请求只包含固定任务类别、资源数值和观察/运行时长，另附固定分析说明。没有原始启动命令、文件路径、PID、用户名、源代码或日志。系统启动时间和设备 uptime 不发送。

若配置了 API Key，它仅作为认证头发给对应服务。该服务可能用认证信息将请求关联到你的服务账户，也能看到通常的连接信息，如来源 IP。你选择的服务商按其政策处理和留存数据；巡航不保证服务商删除请求或不用于训练。请求中的 `store: false` 需由服务端支持。

远程服务必须使用 HTTPS，本机 loopback 地址可使用 HTTP。巡航不跟随重定向，以避免认证信息被送往新地址。无论 AI 返回什么内容，都不能在应用内自动执行命令或停止进程。

## 控制与删除

你可以始终使用本地功能而不配置 AI，可以取消未发送的分析、删除当前服务 Key、清除记录、关闭通知和登录启动。导出的事件 JSON 包含保留期限内全部记录，包括必要的 PID，只保存到你选的位置；是否分享由你决定。取消已经发出的请求不能撤回服务端已经收到的数据。

删除应用不会自动删除本机偏好、事件或钥匙串。建议先在应用内清除记录、删除 Key 并关闭登录启动，再卸载。以前配置过的服务 Key 可在系统“钥匙串访问”中搜索 `app.quietwatch.ai-key` 后逐项删除。

## 隐私清单说明

随应用包含 `PrivacyInfo.xcprivacy`。声明无追踪；可选 AI 功能发送的性能数据仅用于应用功能。由于 AI 服务可能按认证账户关联请求，清单保守地将该数据标记为可关联到用户。

应用自身偏好使用 UserDefaults 原因 `CA92.1`。单调计时用于应用两次采样之间的间隔及观察计时，使用 `35F9.1`；不读取启动时间来指纹识别设备。参考：[Apple 所需理由 API 说明](https://developer.apple.com/documentation/bundleresources/app-privacy-configuration/nsprivacyaccessedapitypes/nsprivacyaccessedapitypereasons)、[清单放置规则](https://developer.apple.com/documentation/bundleresources/adding-a-privacy-manifest-to-your-app-or-third-party-sdk)。
