Bittener 隐私与数据使用说明

版本：2026-10-21 · 当前内测服务

账号与模型服务

我们使用邮箱、验证状态和稳定账号编号提供注册、登录、找回密码及权限管理。选择“Bittener 官方模型”时，模型请求经 Bittener 服务端转发给当前配置的模型供应商；服务器保存模型、时间、Token 用量、价格版本、费用、执行状态，以及账号、组织、工作空间和运行编号，以提供服务、核对账单及排查故障。选择“自行配置 API 与模型”时，客户端直接向你配置的供应商发送回答所需的输入及供应商凭据，费用由该供应商结算，不经 Bittener 官方模型代发或扣除 Bittener 模型余额。以下两项独立同意适用于已接入的主对话采集，个人 API 凭据不随采集上传。

两类数据分开处理

用户需求原文用于了解用户提出了什么需求、希望解决什么问题。Agent 运行日志用于排查模型和工具执行过程、失败与完成状态。两类数据使用不同同意开关、数据表、采集链路及后台入口。原有结构化需求观察和账务记录按原规则处理，不会因新开关自动变成原文。

用户需求原文（独立同意）

默认关闭。你单独确认“2026-10-01-requirement-original-permanent-v2”后，才会保存以后当前输入的原文，以及用户、组织、工作空间、会话、运行和模型调用关联编号、时间与结果状态。原文仅过滤已识别的凭据和本机路径，不调用模型分类、摘要或聚合；不开启时不留存新原文，也不补传开启前的历史。单条原文最多 256 KB；云端记录永久保存，直到你撤回同意或提交删除。关闭后停止采集并删除已保存的原文。正常模型使用不依赖此同意。

Agent 运行日志（另一独立同意）

默认关闭。你单独确认“2026-10-01-agent-run-permanent-v3”后，才会记录之后运行的有序事件：当前用户输入、本轮模型消息与调用参数、模型返回的输出和流式帧、模型提出的工具参数、Hermes 交回会话的工具结果、错误堆栈和运行状态。模型消息从当前用户消息开始，旧会话历史和系统提示明确排除，不能把这些事件当作模型供应商收到的全部历史上下文。这些事件关联稳定用户、组织、会话、运行编号和时间。工具参数是模型提出的参数；中间件可能调整实际执行参数。原生 desktop.log、agent.log 等本机诊断文件不会整份上传，因此运行日志只覆盖上述已接入的事件，不代表电脑上全部活动。一个事件最多 1 MB、单次运行最多 50 MB 和 10,000 个事件；云端记录永久保存，直到你撤回同意或提交删除。超出上限的事件不以摘要冒充原文，并留下诊断状态。

个人 API 模式单独上传过滤后的当前需求和主对话执行事件；流式响应保存 Hermes 组装后的完整输出及工具信息，不保存每个传输分片。辅助模型调用、在主运行编号建立前执行的 Codex App Server 流程、未接入的插件不在本轮主对话事件采集范围。采集不等待网络；客户端在运行首次采集时固定已确认的两项同意版本和代次，之后开启同意不会补采该次运行。若启动或断网时尚未确认同意，本次运行不采集正文，只留下不含正文的诊断；发送时云端仍复核当前同意。

敏感内容和传输

在本机发送前以及云端入库前过滤已识别的密码、API Key、Cookie、访问令牌、设备私钥、本机路径和内嵌附件数据。业务文字及非凭据的模型和工具内容按原文保留；不要在需求中主动粘贴无法识别的秘密。不会递归读取附件、任意电脑文件或整份本机日志。传输使用当前受保护账户连接，云端正文加密保存。上传与回答分离；断网或服务失败时，网关的加密队列最多保存 24 小时，并限制为 10,000 个文件、512 MB 运行事件队列和 128 MB 需求队列。云端当前有效日志按用户、组织、全局分别限制为 100 MB、1 GB、4 GB；需求原文分别限制为 20 MB、200 MB、1 GB。重试有退避及去重；过期、超限或多次失败会留下不含正文的诊断元数据，不会无限占盘。

存储、期限与管理员访问

上述云端记录存储在 Bittener 当前部署的云服务器中，并按稳定的组织、用户、工作空间、会话、运行和模型调用编号关联保存。旧结构化需求明细最长保留 90 天，既有汇总最长保留 365 天；新永久版本的需求原文和 Agent 运行日志不因时间自动删除。用户、组织和全局容量上限仍分别为需求原文 20 MB/200 MB/1 GB、Agent 日志 100 MB/1 GB/4 GB，达到上限时拒绝新增记录并留下不含正文的诊断状态。后台分别提供“用户需求原文”和“Agent 运行日志”入口。只有具有隐私管理权限的员工才能读取当前有效独立同意范围内的正文；后台支持按账号邮箱及时间筛选，未筛选时按时间浏览全部当前授权记录。需求原文的固定用途为了解用户需求，运行日志的固定用途为诊断 Agent 执行；系统自动记录员工身份、用途、时间、访问引用及关联用户与运行的不可改写审计，无需员工另填组织或用户编号、处理目的或建立工单。每次读取前后核对账户的当前同意、同意代次及删除状态；撤回同意或删除处理中不展示正文。其他云端资源的临时支持授权仍按原工单和授权机制处理。账务和必要安全审计单独保存。永久保存不取消用户删除、撤回、访问审计或权限控制；备份副本按备份策略单独处理。

导出、删除与撤回

你可在客户端“账户 → 个人隐私中心”导出或删除云端需求原文和 Agent 运行事件；导出包分开列出两类数据。你也可在“数据与需求分析”分别撤回两项同意；撤回后旧队列不会继续作为新同意上传。提交删除时，相应采集开关同时关闭；删除处理中不能重新开启。删除完成后，你可重新单独同意，只采集重新开启后的新内容，旧队列和旧历史不会补传。删除会移除对应明细并留下带时间和同意代次的删除标记，恢复备份时须重放删除。最小账务和安全审计记录按其必要期限另行处理；本机原有对话、文件及日志不由云端删除自动清除。

登录与密码

管理员登录最长保持 30 天，不因短时间无操作而失效；主动退出、撤销授权、账号停用或有效的身份退出通知可提前结束会话。产品客户端使用会话凭据保持登录，不另存可读取的账号密码。浏览器可通过自己的密码管理器保存和填充密码；公共设备请勿保存密码，并在使用后退出。

当前边界

本说明描述当前服务实际行为，不代表模型供应商的数据处理承诺。正式公开发布前仍需补齐运营主体及联系信息、实际供应商名单与处理条款、账务和备份保留期限等正式政策内容。发生处理范围变化时应更新说明，不以隐藏采集替代告知。