隐私政策
Mopheus 隐私政策——阐明我们如何处理、保护用户与工作区数据，以及核心安全与零模型训练承诺。
生效日期： 2026 年 7 月 1 日
适用范围： Mopheus 平台、Web 应用、API 服务、命令行工具（mop / mopheus）以及守护进程运行时（mopheusd）。
欢迎使用 Mopheus。Mopheus 是一个专为人类团队与 AI 智能体共同协作而打造的任务与工作空间管理平台。我们深知数据隐私与安全性对企业及开发者的至关重要性。本《隐私政策》详细阐明了 Mopheus 在您访问和使用我们的服务时，如何收集、使用、存储、保护以及处理您的个人信息与工作区数据。
1. 核心安全承诺：绝不用于大模型训练
Mopheus 郑重承诺：我们绝不使用您在工作区内的任何数据训练公开或私有的人工智能基础模型。
与消费级通用聊天或基础大模型提供商不同：
- 不收集用于训练： 您的工单内容、任务描述、评论留言、代码片段、上下文记忆（Memory）、提示词模版、上传附件以及智能体执行过程日志，绝对不会被用于训练、微调或改进任何公共或专有大语言模型（LLM）。
- 数据权利独占： 您在工作区内输入与生成的所有业务资产与代码，所有权始终完全归属于您或您的所属企业。
2. 部署模式与数据主权
Mopheus 支持两种部署模式，数据处理边界根据您的部署方式有所不同：
2.1 私有化 / 本地自托管部署（Self-Hosted）
当您在自己的物理服务器、私有云或容器集群中自建部署 Mopheus 时：
- 完全本地化： 所有用户数据、PostgreSQL 数据库、对象存储（S3/MinIO）、守护进程运行时及执行沙箱均完全运行在您的自有基础设施中。
- 零外部传输： Mopheus 官方团队无法访问、不可读取、也不会收集您的任何业务数据、工单信息、凭据秘钥或系统日志。您对数据拥有 100% 的物理与逻辑控制权。
2.2 官方托管云服务 / SaaS 模式（Cloud Managed）
当您使用由 Mopheus 官方托管的云端多租户服务时：
- 工作区多租户严格隔离： 系统在数据库层强制按工作区（
workspace_id）做租户级逻辑隔离与权限校验，绝不允许跨租户数据穿透。 - 传输与静态加密： 全站通信采用 TLS 1.3 传输加密，敏感凭据（如第三方模型 API Key、数据库连接串、SSH 私钥）在持久化存储时均经过高强度对称加密（AES-GCM / 环境变量派生密钥）。
3. 我们收集的信息
为了向您提供协同工作、智能体调度与任务执行功能，我们在必要范围内收集以下信息：
3.1 账户与身份信息
- 注册与认证： 您的电子邮箱地址、用户昵称、密码哈希值（采用单向强哈希加盐存储，明文密码不可逆）。
- 第三方组织绑定（可选）： 若您或您的组织开启了单点登录或平台集成（如飞书/Lark、企业微信、钉钉），我们将记录关联的 OpenID、UnionID 及组织映射标识，用于身份认证与消息推送。
3.2 工作区与业务协作数据
- 工作区内容： 您在工作区内创建的项目、工单（Tickets）、任务状态、标签、评论讨论、自动任务（Jobs）配置与团队结构。
- 智能体与技能配置： 智能体的人格指令（Prompt）、已挂载的技能（Skills）、绑定的运行时关系以及自动化工作流编排。
- 记忆与上下文： 在开启记忆系统后，智能体在任务生命周期中沉淀并经提炼的上下文记忆条目（Markdown / 向量化索引，严格限定在当前工作区生命周期内）。
3.3 凭据与敏感资产
- 模型提供商 API Key（BYOK）： 用户自行配置的第三方大模型 API 访问密钥。
- 基础设施凭据： 用于远程任务执行的 SSH 私钥/公钥配置、以及用于数据库操作的 SwissQL 连接配置。所有凭据均加密隔离存储，仅在获得授权的任务执行时在受控沙箱内解密使用。
3.4 运行时与日志信息
- 守护进程心跳与状态： 注册到工作区的守护进程运行时（Runtime）名称、版本、机器标识、绑定的 Provider CLI 类型以及当前负载状态。
- 任务执行记录： 智能体任务的执行步骤、工具调用耗时（Tool Calls）、标准输出与退出码，用于工单详情页的任务流审计与复盘。
- 安全与审计日志： 用户登录时间、访问 IP、API 令牌调用记录与异常熔断记录。
4. 第三方模型提供商与数据交互（BYOK 说明）
Mopheus 采用“自带模型密钥”（Bring Your Own Key, BYOK）与多模型提供商架构：
- 直接调用： 当您在工单或任务中触发智能体时，系统会将任务上下文、用户指令及相关记忆组织为结构化 Prompt，并直接发送给您在工作区中指定的模型提供商（例如 Anthropic Claude、OpenAI、DeepSeek、Google Gemini、MiniMax 或本地部署的 Ollama）。
- 适用条款： 该等数据传输属于您主动配置的模型调用。发送至第三方模型提供商的数据处理与隐私保护受您与该提供商之间签署的服务协议及隐私政策约束。
- 透视与可观测性： Mopheus 会在工单的任务流中清晰保留每次调用的输入摘要与模型输出，确保提示词与上下文交互全流程透明可审计。
5. 守护进程与本地执行沙箱安全
Mopheus 独特的架构允许智能体在您指定的机器（安装了 mopheusd 的服务器或工作站）上执行实际命令：
- 权限最小化： 守护进程仅在用户授权的工作目录中执行操作，并支持受限的文件系统沙箱（Filesystem Sandbox）与只读保护。
- 短期受限令牌： 每次智能体任务派发时，服务端会动态生成具备时效性（默认 24 小时内回收）的任务级临时令牌（
moc_task_前缀），任务结束即刻作废。 - 本地保留： 执行所产生的临时代码与构建产物保留在您本地配置的工作目录中，生命周期由本地运行时的资源看门狗（Resource Guard）管理，不会未经许可上传至公共网络。
6. 数据存储、保留与删除
- 数据保留周期： 我们仅在为您提供服务所需的期限内保留您的个人与工作区数据，除非法律法规有强制留存要求。
- 级联删除机制： 当工作区管理员或用户主动删除工单、项目、评论、记忆或注销工作区时，系统在数据库事务中执行级联清理，关联的上下文、附件索引及运行时映射均被彻底清除。
- 数据导出： 工作区管理员可通过 CLI 工具（
mop）或 Web 管理后台，导出工单数据、任务流明细与知识记忆。
7. Cookie 与本地存储
Mopheus 坚持极简必要原则：
- 身份会话（必需）： 使用安全加密的 HttpOnly Cookie（
mopheus_auth）保存认证凭据，防止 XSS 攻击劫持登录态。 - 客户端偏好： 在浏览器本地存储（LocalStorage / Zustand 缓存）中记录界面主题（深色/浅色）、语言选项与侧边栏折叠状态。
- 无追踪器： 我们绝不嵌入任何第三方广告联盟追踪代码或跨站用户画像 Cookie。
8. 您的权利与选择
根据适用的数据保护法律，您享有以下合法权利：
- 查阅与复制： 您有权在个人设置与工作区界面中查阅您的个人资料与活动记录。
- 更正与补充： 您可以随时在账户中心更新个人资料、修改绑定的邮箱或重置密码。
- 删除与注销： 您有权要求删除特定工单、清空智能体记忆，或注销个人账户与工作区。
- 权限与集成撤回： 您可以随时解绑第三方集成应用（如飞书/企微/钉钉）或撤销已发放的 Personal Access Token（PAT）。
9. 政策变更与联系我们
我们可能会适时修订本《隐私政策》以反映产品功能的演进或法律法规的更新。当出现重大变更时，我们将在产品登录页、应用内通知或官方文档站进行显著提示。
如果您对本隐私政策有任何疑问、意见或行权请求，欢迎通过以下途径联系我们：
- 官方文档与支持： Mopheus 文档中心
- 企业支持与安全邮箱： security@mopheus.ai / support@mopheus.ai
- 代码仓库与反馈： GitHub enmotech/mopheus