我们收集什么

如果你在“设置 → AI”中添加 MCP 服务器，Termiyo 会在你的电脑上启动该程序，或使用你提供的令牌、密钥或登录，向你填写的地址发送请求。Termiyo 的告警调查和你本人会向它发送你允许的工具调用；服务器会收到这些调用的参数。不会附带任何 Termiyo 的数据或关于这台电脑的信息。登录时会使用 Termiyo 位于 termiyo.com/oauth/mcp-client.json 的公开客户端描述，由服务器的登录方获取；我们看不到登录过程。服务器的令牌保存在这台电脑上你的保险库中。

连接你自己的 Gitsi 账户后，Termiyo 会将授权请求及你请求的仓库操作直接发送至 www.gitsi.com。Gitsi 会收到你的账户令牌、所请求仓库的标识和执行这些操作所需的内容。Termiyo 不提供共享账户。凭据使用操作系统保护的存储在本地加密。断开连接会移除本地连接，但不会撤销 Gitsi 端的授权。

连接 GitHub、GitLab（gitlab.com 或你自己的 GitLab）或 Jira（你的 Atlassian 站点）后，电脑或手机上的 Termiyo 会将你的请求直接发送至该服务：列出 CI 运行、作业和日志，按你的要求重新运行，搜索事项，以及关联事项或添加附件。该服务会收到你的令牌（Jira 还包括你的电子邮件地址）、仓库、项目或事项的标识，以及从电脑上经你审阅后发送到 Jira 事项的证据内容。Termiyo 的服务器不在其中。令牌在电脑上使用操作系统保护的存储加密，在手机上保存在其密钥库中，仅在手机解锁时可读取；令牌不会在你的设备之间同步。断开连接会移除本地副本，但不会撤销该服务端的令牌。

演练可以询问 TypeSafe 的 Jev：演练过的改动是否可以安全地应用。此功能默认关闭，需要你在“设置 → AI”中用你自己的 TypeSafe API 密钥开启；开启之前，Termiyo 会向你展示它的发送地址，以及针对一次示例演练将要发送的完整请求。开启后，每次演练通过后、在请你决定是否应用之前，你电脑上的 Termiyo 会将该次演练的摘要直接发送到 TypeSafe 的 api.typesafe.ai：各步骤的命令、它们的退出码、文件的改动以及服务检查。发送之前，摘要中你的保险库保存的每个值以及任何看起来像密钥的内容都会被移除，摘要中也不包含任何主机名、地址或登录名。TypeSafe 会收到这份摘要和你的 API 密钥，并回答这次改动安全的可能性有多大、风险有多高，Termiyo 会把结果显示在演练卡片上。Termiyo 的服务器不在其中。你的密钥保存在你电脑上的保险库中。关闭此功能后将不再发送任何内容，但不会删除 TypeSafe 已经收到的内容。

Termiyo 中服务器的页面可以列出点名其已安装软件包的公开安全公告。此功能默认关闭，需要你在“设置 → 安全”或该面板上开启。开启后，Termiyo 通过你自己的 SSH 会话读取该服务器上已安装软件包的列表，你电脑上的 Termiyo 会把软件包名称、版本和系统发行版本（例如 Debian:12）直接发送到 OSV.dev（api.osv.dev，由 Google 运营的开放漏洞数据库），并获取其中点名的公告。不会发送任何主机名、地址或登录信息；OSV.dev 会像任何网站一样看到你电脑的 IP 地址。Termiyo 的服务器不经手其中。关闭后不会再发送任何内容；但不会删除 OSV.dev 已经收到的内容。

主机、身份、私钥、密码、代码片段和已记住的主机密钥，都以加密形式存放在你自己的 机器上，密钥由你的主密码派生。我们没有那个密码，也无法推导出来。

开启同步后，加密后的记录会复制到我们的服务器，供你的其他设备拉取。加密发生在 任何数据被发送之前。服务器的运营者——包括我们——只能看到记录的大小和时间， 看不到内容。

我们不收集你终端会话的内容、你连接的服务器地址、你的用户名，也不收集你的密钥。 没有按键记录，也没有会话录制——除非你自己开启会话日志，而它同样使用与其他一切 相同的加密存放。

在你同意之前，语音输入不会发送任何内容：你第一次按下麦克风时，Termiyo 会先说明它如何工作，在你同意之前不会录音。你同意之后，你说的话会经由我们的服务器发送给语音转文字服务 Deepgram，文字再以草稿的形式返回给你。我们的服务器只转发音频，不保留任何音频。使用语音输入需要登录 Termiyo 账户，并且每月会计入你套餐包含的 AI 用量。

你说话时，音频保存在你电脑上应用的内存里，应用会在你停顿处把它切成几个短片段，逐个发送到 Termiyo 的服务器（口述较长时，你还在说话时就会发送，其余部分在你停下后发送）。Termiyo 的服务器不保存音频：音频不会写入我们的数据库、文件或日志，计入你额度的是按每个片段的时长折算的 AI token 数量。

每次请求我们都要求 Deepgram 把它排除在其模型改进计划（Model Improvement Program）之外；根据 Deepgram 的文档，这类请求的数据只保留到处理完成所需的时间，Deepgram 的“Your Data at Deepgram”页面也说明，这样 Deepgram 在返回结果后既不保存音频也不保存文字，也不会用它们训练模型。在你按下草稿里的按钮之前，你口述的内容不会进入终端或 AI 助手。

Termiyo 每 24 小时最多发送一次关于它自己的简短报告，而且从你安装它的那一刻起它就是开着的。 报告里有应用的版本、你的平台和处理器、这份副本的安装方式、界面语言、是否开启了更新检查， 以及它自己的文件夹里有多少份崩溃转储。这就是全部内容。报告不带任何标识符， 因此一份报告既无法和另一份连起来，也无法和你连起来，这里也没有保存任何关于你的东西可供查询。 你会话里的任何东西都不会随它一起走：没有主机名、没有用户名、没有命令、没有输出、没有路径、没有密钥。 Termiyo 会在第一次运行时告诉你这件事，而关掉它的开关就在“设置 → 帮助”里，点一下即可。 崩溃报告是另一回事：全新安装时关闭，更新之后仍然关闭，一直关闭到你自己去打开它。

应用崩溃时，操作系统的转储文件写在你自己机器上的一个文件夹里。“设置 → 帮助” 会列出那个文件夹里有什么，用平实的话说明一份转储可能包含什么，并把它打开。在上传关闭的 情况下——每一次安装都是这样开始的——转储就留在那里，只有你自己把它附到缺陷报告里， 它才会离开。

如果你确实打开了它：转储会通过 HTTPS 发送到 termiyo.com，并保存在那里，供开发 Termiyo 的人用调试器打开。它携带转储本身（用你自己的机器给那个文件起的名字）、版本号、平台与 架构，以及这次安装的一个标识——这个标识 在第一次发送时才生成，所以从未打开过这个开关的安装根本没有它。我们不记录它来自哪个地址。 超过 2 MB 的转储根本不会发送。同一个页面会列出已经发送过的全部内容，并提供一个按钮， 请求我们的服务器删除那些报告以及随附的转储。

这不是关于隐私的一般立场。SSH 客户端会看到你用来访问生产系统的主机名、用户名和命令。 崩溃转储可能包含其中任何一项，而内存映像没有“过滤版”——它是内存，不是表单。正因如此， 这才是一个你必须自己去找到并打开的开关；正因如此，放着这个开关的页面会先告诉你文件里 有什么；也正因如此，这是这一页上唯一会因为你的选择而改变的事情。

这里改了什么，我们说出来而不是悄悄改掉：这一节以前写的是崩溃报告不只是默认关闭而是 根本不存在、这里没有任何可以打开的东西、报告也没有地方可去。对加入上传地址之前的每 一个版本来说这三句都是真的，而那次发布让它们不再为真。没有改变的是最重要的 那一部分，而且它本来就是更好的一句话：除非你自己打开，否则没有任何东西会离开你的机器。

全新安装时 Termiyo 会请你创建一个账号，而你可以拒绝，然后照样继续用它。账号保存一个邮箱地址、一个密码验证值（不是密码本身）、你的公钥、你的订阅状态，以及——对于每一台你在上面登录过账号的机器——一个标签，这个标签就是那台电脑自己的主机名，后面用括号带上它的操作系统，旁边还有那台机器最后一次联系到我们的时间。这个标签是照原样存放的，没有加密，因为它的意义正在于你能读懂这个列表、认出自己的机器。删除账号，这些都会随之删除。

关于以上任何问题，请发送到 info@termiyo.com。

如果你对自己的个人数据或对 Termiyo 有任何投诉，请写信给申诉专员（Grievance Officer）：info@termiyo.com。

我们会确认收到你的投诉，并尽快答复，最迟不超过 30 天。

本政策适用印度法律。位于拉贾斯坦邦斋浦尔的法院拥有专属管辖权。

我们的条款与条件适用同样的法律和法院。

Termiyo 由 HONCO Private Limited 开发并运营，本页所述的数据由它负责。请写信到 info@termiyo.com。

最后更新：2026年10月27日。