隐私与存储
各产品的数据流、本地存储与删除边界。
本地优先存储不代表所有处理都在设备上完成。云端模型会收到你提交的内容，自部署 Gateway 会收到经由它路由的请求，外部 CLI 智能体遵循各自的网络与存储策略。
各产品的数据流
| 产品 | 本地或由运营者控制的数据 | 网络边界 |
|---|---|---|
| Chrome | 扩展存储中的会话、资料库、设置与经本地保护的提供商凭据 | 云端同意后，选定上下文与提示词发往配置的 AI 提供商。云端 TTS 将朗读文本发给其提供商。模型下载和主动触发的链接检查也会联网。 |
| Desktop | 电脑上的工作区文件、应用状态、运行时/会话数据、浏览器站点数据与密码库 | 内置浏览器会加载你访问的站点。CLI 智能体、Git 操作及其他工具也可以联系外部服务，各自有其认证与数据处理方式。 |
| Mobile | 本地数据库中的会话、偏好、附件，以及平台安全存储中的密钥 | 提示词与受支持的图片发往所选模型提供商。Android 语音输入使用设备的语音识别服务，处理方式可能取决于已安装的服务。 |
| Gateway | 部署服务中的上游凭据、用户、余额、用量与审计数据 | 网关向上游转发受支持的请求。配置的可观测性导出器可以将运行数据发送到你选择的观测服务。 |
Chrome 的云端同意控制针对云端 AI/TTS 请求，并非所有网络操作的统一防火墙。Mobile 在引导中说明提供商的数据使用方式。Gateway 的访问与保留策略由实例运营者控制，包括成员账号与可观测性设置。
删除操作有各自的范围
- **Chrome：**导出与清理是两个操作。数据管理清理会保留书签，是否删除 API 密钥需单独选择。数据管理、同意与权限操作见 Chrome 隐私指南。
- **Desktop：**浏览器站点数据、已保存密码、应用数据、项目文件/worktree 与外部 CLI 凭据有不同的控制项和存储位置，删除一处不会抹除其余位置；参见 Desktop 隐私指南。
- **Mobile：**按隐私与安全中的说明使用应用数据控制。平台特有的清理与验证限制仍然适用。
- **Gateway：**数据库保留、备份、计费记录与可观测性存储由运营者管理。删除客户端本地历史不会删除服务器记录。
在 Cordy 中删除数据，无法删除提供商已处理、已导出到文件或已保存在备份中的副本。请核对所选提供商的政策与自己的服务器配置。
验证边界
本文描述核对过的源码与产品已有的验证记录，不构成对部署或平台的认证。Mobile 的 iOS 二进制运行仍未验证，发布基线还记录了未完成的 Android 相机、分享输入、语音与无障碍检查。具体边界见各产品指南。