BoxBox 隐私政策
1. 运营者与适用范围
BoxBox 由深圳市闪现生活科技有限公司提供。官网版 Bundle ID 为 app.boxbox.mac，Mac App Store 版 Bundle ID 为 app.boxbox.mac.appstore。本政策同时说明两个分发渠道；某项处理只会在你实际使用对应功能时发生。
2. 我们处理哪些数据
- 账号与登录：当你选择 Apple 或 Google 登录时，我们处理第三方返回的稳定账号标识，以及其在授权范围内提供的邮箱、邮箱验证状态、显示名称和头像地址。BoxBox 还会生成账号 ID、公开 BoxBox ID、登录会话及安全令牌。访问令牌通常最长有效 15 分钟，刷新会话通常最长有效 30 天；退出登录、撤销会话或删除账号会使相应会话失效。
- 官网会话与 App 交接：登录官网后，服务器通过 Secure、HttpOnly、SameSite Cookie 维持短期网页会话，并使用随机防跨站请求令牌保护修改操作。从 App 打开官网时，服务器签发短时、一次性的交接凭证；凭证使用后或到期即失效。长期 App 访问令牌和刷新令牌不会放进网址、浏览器存储或网页脚本可读区域。浏览器账号与 App 账号不一致时，我们处理两者最少量的显示信息，以便你明确选择。
- 官网订单与付款：为创建、核验、恢复和退款订单，我们处理 BoxBox 账号、服务端商品与设备数量、订单和支付服务商交易标识、收款服务商、付款方式、测试或生产环境、商品、币种、税前金额、税费、应付总额、付款与退款状态、时间、签名摘要及必要的对账字段。银行卡号、支付密码等支付凭据由实际结账页标明的支付服务商处理，BoxBox 不保存这些信息。尚未接通的付款服务商不会接收数据。
- App Store 交易：使用 Mac App Store 版购买时，Apple 负责付款。我们不接收银行卡号或 Apple 账户密码。为核验、恢复、退款处理和防止重复发放权益，我们处理商品标识、交易标识、原始交易标识、购买与撤销时间、价格与币种、Apple 签名交易、订单绑定状态及 App Account Token。
- 设备授权：为将 Pro 授权启用到指定 Mac，我们处理随机设备标识、设备显示名称、设备公钥、账号关联、分配和释放时间。设备私钥保存在本机钥匙串，不上传到 BoxBox 服务器。
- 本机任务与 AI 工具数据：BoxBox 可在你的 Mac 上读取受支持工具提供的任务状态、必要的任务或会话标识、项目显示信息、待确认问题和回复结果，以展示任务并执行你明确选择的操作。完整提示词、代码、命令、工作目录和 AI 会话正文不会上传到 BoxBox 账号服务器。
- 时间线与陪伴记录同步（可选）：此功能默认关闭，不要求 Pro。你在账号页主动开启后，App 会约每 60 秒及手动同步时向同一账号服务上传已记录的工作区间起止时间、完成时间、工具类别、用于分组和去重的摘要，以及角色标识和已记录的陪伴起始日期，供同一账号在其他 Mac 开启同步后恢复。摘要与账号关联，并非匿名数据。不上传原始任务或回合编号、提示词、代码、会话标题或正文、待答问题或草稿；也不将这些统计作为付费、奖励或试用资格的证明。旧本机历史首次只归属一个账号，不同账号使用独立本机账本。宠物自定义名称仍只保存在本机。
- 额度读取：用量读取默认开启，可在“设置 → AI 工具”关闭；Claude 钥匙串读取另需你单独开启。BoxBox 可从受支持工具的本机登录记录读取所需凭据，并直接向该工具自己的服务查询额度。相关凭据和额度不会发送给 BoxBox 账号服务器。
- WorkBuddy 个人积分：用量读取开启时，仅核对本机当前国内个人账号的登录信息和退出标记，向腾讯 WorkBuddy 的积分服务
copilot.tencent.com发送查询所需的已有登录令牌、用户标识和账号域。不解密受保护登录，不支持企业、国际或自托管账号，不发送会话或任务内容，也不将原始响应和凭据另行保存。关闭读取或退出、切换账号后，旧积分结果会被撤下。 - Grok Bot 当前会话与回答：当前会话读取默认关闭，与你的额度读取设置分开。开启后只在本机读取当前账号选中会话的公开对话、原生问题和本机审批信息，不枚举其他账号或历史会话，不读取密码、隐藏推理和草稿。只有你在岛内主动提交原生选择题答案时，才通过原应用，或向 Grok Bot 客户端使用的
api2.cursor.sh发送题目标识与所选答案；直接请求复用已核对同账号的本机 Cursor 登录。工作状态使用同一厂商服务的只读状态流，仅订阅当前 Bot 标识并采用其工作状态，不发送聊天正文或控制指令；服务返回的其他 Bot 状态及记录引用立即丢弃，关闭开关即取消。令牌、答案和会话不会发给 BoxBox 服务器。本机审批当前只展示并返回原工具，不代替你授权。 - WorkBuddy 岛内交互：可选本地扩展默认关闭。启用后仅转发原生待处理问题或本次操作审批；你主动点击后，才将单选回答、允许一次或拒绝一次交回原工具，不设置持续授权，不提交支付、计划或凭据，不传给 BoxBox 服务器。账号、会话、问题或连接变化后，旧请求不能继续使用。当前写回协议仅验证 WorkBuddy 5.5.6。
- 本机偏好与记录：界面、角色、提示音、通知、任务卡、会话恢复和工作统计等记录首先保存在你的 Mac 上，直到你在 App 中清除、删除相应文件或移除 App 的沙盒容器。退出账号不会删除独立账本；关闭历史同步不会删除已有本机或云端记录。
3. 随包签名 Hook
完整能力的商店版包含经签名的 BoxBox Hook。Hook 只通过 App Group 目录和经过认证的本机 Unix socket 与 BoxBox 通信，用于接收任务事件、显示待处理问题并把你明确提交的回答送回原工具。它不把 AI 任务内容转发到 BoxBox 服务器。你可以在设置中断开相应工具连接。
4. BoxBox 实时世界（可选）
“参与 BoxBox 实时世界”默认关闭。开启后，App 仅在 Mac 唤醒、解锁且最近有使用活动时发送短期匿名在线状态。请求包含不可逆的短期主体摘要、挑战、租约及心跳令牌；服务端只提供全球在线主体数量，不接收账号、提示词、代码、项目、任务、AI 工具、额度、位置或健康数据。
在线状态仅保存在服务器内存中，最后一次心跳约 180 秒后失效，不写入历史数据库。用于防滥用的来源地址只在内存中生成 HMAC 速率限制键，该接口关闭访问日志。关闭参与后，App 停止心跳并请求离线；无论是否参与，都可以读取汇总人数。
5. 崩溃与故障诊断（可选）
只有构建配置了 HTTPS 诊断端点且你明确开启时，BoxBox 才收集诊断。报告限于匿名安装标识、App 与系统版本、错误类型、经过裁剪和脱敏的原因及调用栈，不包含提示词、代码、账号令牌或任务正文。待发送队列最多 20 份、最长保留 14 天；关闭后会停止收集并删除队列。当前构建未配置端点时不会收集。
6. 服务器与第三方
BoxBox 账号、授权、订单、设备及可选历史同步服务位于华为云中国广州区域，并通过 https://api.mewpow.com/boxbox 提供。实际启用官网购买后，结账页会在付款前标明收款服务商与付款方式；对应服务商会按其政策处理付款、税费、退款和防欺诈所需数据。Apple 处理 App Store 付款和 StoreKit 交易；Apple 或 Google 处理你选择的第三方登录。第三方登录所需的出站网络在部分网络环境中可能经 Cloudflare 网络链路转发。启用的 AI 工具连接可能直接访问相应工具的官方服务，其中 WorkBuddy 积分查询由腾讯处理，Grok Bot 额度、当前工作状态与主动回答请求使用该客户端的 Cursor 服务。第三方按各自政策处理完成这些功能所需的数据。
BoxBox 官网静态页面由 Cloudflare Pages 提供。访问官网登录、账号、订单或购买接口时，请求会先由 Cloudflare Pages Functions 作为同源代理转发到上述华为云服务；Cloudflare 会为提供网络与安全服务处理连接 IP、请求时间、URL 路径、HTTP 元数据和传输内容，其处理与保留同时受 Cloudflare 适用政策约束。BoxBox 的核心账号、订单、设备授权和结算记录仍保存在华为云中国广州区域，Cloudflare Pages 或 Functions 不是这些业务记录的数据库。为避免所有代理请求共用同一限速来源，Functions 会发送经过签名验证的来源地址；该地址仅用于生成服务端 HMAC 限速键，BoxBox 不在限速记录中保存原始 IP。
7. 数据保留
- 本机数据由你控制，通常保留到你主动清除或移除相应容器。
- 账号资料、身份关联、有效会话、宠物权益、设备关联、任务证明及主动同步的历史统计在账号存续期间保留；成功删除账号后会从在线业务数据库移除。
- 交易、订单、退款、赠礼归属、财务引用和防重复试用摘要，会在履行适用法律义务、处理退款或争议及防欺诈所必要的期间继续保留。我们目前不承诺比这些目的更短的固定删除期限。
- 数据库备份中的已删除资料可能在备份轮换完成前继续存在，无法随在线删除即时逐份抹除。你可以联系支持查询删除请求的处理范围和状态。
8. 删除账号与其他权利
登录后可前往“设置 → 账号 → 删除账号”。App 会再次确认当前账号；Apple 账号可能需要重新验证，以便先向 Apple 撤销登录授权。成功后会删除云端身份、邮箱、头像、名称、网页会话、App 会话、宠物权益、设备关联、任务证明及历史统计，并释放属于该账号的已启用 Mac。已签发的短时授权可能持续到原到期窗口，最长 60 秒。
删除账号不会删除你 Mac 上的任务记录，不会自动退款，也不会自动取消由支付服务商或 Apple 管理的服务。依法需要保留的交易和防滥用记录按上一节处理。若应用内入口不可用，请联系支持，我们会核对身份并说明可处理的范围。
9. 安全、儿童与政策更新
我们使用 HTTPS、短期访问令牌、本机钥匙串、设备公私钥和签名权益证明保护数据。BoxBox 是面向开发者和桌面用户的效率工具，不以儿童为目标用户。若数据处理方式发生实质变化，我们会在功能生效前更新本政策和 App Store 隐私披露。
10. 联系我们
运营者：深圳市闪现生活科技有限公司
隐私与技术支持：support@mewpow.com