这是待定稿文本。正式版本：【版本号】；生效日期：【日期】；运营者：【公司全称】（以下称“我们”）。【】与“待核”表示尚待确认，不能作为已确定的服务承诺。公开服务前需补全并审定。
先说明三件事
资料留在本机
本地资料、本体、对象与出处默认保存在你的电脑，不会因导入项目而整库上传。
出网逐项公开
官方 AI、云端 OCR、账号与手机配对的数据去向以出网清单为准。
手机内容先加密
手机发给配对电脑的文字、照片、文件与录音先加密，中继只转交密文。
本页适用于格物桌面端、账号服务、官网和 Android 版格物伴侣。企业版 IAI 的私有化部署由对应合同与部署环境约定。
桌面端与本地资料
你导入的文件、解析结果、本地检索索引、本体、对象和编辑内容保存在本机。资料解析、全文检索与本地语义索引不需要把原文件发送到格物服务器。
只有当你主动使用需要网络的功能时，对应数据才会出网。例如，使用官方 AI 时发送本次请求所需上下文，使用云端 OCR 时发送选定页图，登录账号时发送登录信息。具体字段、目的地、保留策略和离线行为见出网清单。
接入自己配置的模型服务时，请求发往你配置的服务地址，适用该服务提供方的规则。我们不会把你的本地资料或手机端密文用于模型训练。
账号与服务记录
| 信息 | 用途 | 不提供的后果 |
|---|---|---|
| 手机号或邮箱 | 发送验证码、识别账号、绑定桌面端与手机 | 无法登录或配对 |
| 验证码或微信临时码 | 核验当次登录或绑定操作 | 无法完成对应操作 |
| 条款与隐私政策版本、同意时间 | 记录你同意的是哪一版文本 | 无法完成登录 |
| 设备标识、授权设备名与连接状态 | 区分设备、维持会话、吊销配对与排查故障 | 无法使用多端连接 |
| 积分、订单与用量记录 | 仅在使用官方 AI 或付费功能时计费、对账与处理退款 | 对应计费功能不可用 |
验证码只用于当次验证，手机上不保存。账号信息与云端日志的待确认留存期限见下文“保存地点与删除”。
格物伴侣（手机端）
本章覆盖 Android 版，不含微信小程序与 iOS。格物伴侣是电脑上格物个人版的手机伴侣，需要配对电脑，不能独立处理问答。手机提问由配对电脑处理；电脑后续是否调用官方 AI 或自行配置的模型，以电脑上的设置和出网清单为准。
配对与连接信息
配对时处理设备名称、平台、双方公钥与口令摘要；连接时处理账号、主机和设备标识、协议版本、连接时间、在线状态，以及密文大小、数量和转交时间，用于识别设备、路由转交、限制暂存量和排查连接故障。设备标识由账号服务分配，不是硬件标识；原始配对口令不作为账号资料保存。
你主动发送的内容
你输入的文字，选择或拍摄的照片，选择的文件，以及录制的语音，会先在本机预览。确认后，内容在手机上加密，经中继服务送到已配对的电脑。加密密钥只在手机和电脑上，中继无法解密内容。
- 电脑离线时，文字与链接可加密后交中继暂存，照片、文件和录音等附件保留手机本机，电脑上线后发送。中继密文最长暂存 7 天，每台电脑最多 2000 件、合计 200 MiB。
- 到期仍未签收的密文会被删除。待核：电脑签收后是否立即删除，须由云端负责人确认实际执行情况。
- 手机保留加密待发副本，电脑确认收到后删除，最长保留 7 天。
- 最近浏览的出处片段在本机加密缓存 24 小时，可在设置中清除。
设备权限
| 权限或系统能力 | 使用时机与用途 | 拒绝后的行为 |
|---|---|---|
| 网络 | 登录、连接电脑、检查更新 | 无法使用联网功能 |
| 麦克风 | 第一次使用语音时申请，用于录制并发送语音 | 不能录音，文字、照片与文件仍可用 |
| 系统相机与文件选择器 | 只取得你拍摄或选择的素材 | 不能添加对应素材 |
拍照使用系统相机，只取得你拍好的那张照片，不申请相机权限。文件通过系统文件选择器选取，不申请存储权限。网络权限用于联网，麦克风权限仅在主动录音时申请；不申请位置、通讯录、电话、短信或日历权限。你可以在手机系统设置的应用权限中撤回麦克风授权。
App 不读取通讯录、位置、短信、通话记录、已安装应用列表、IMEI 或 MAC 地址，不读取剪贴板。复制链接只写入剪贴板。系统备份已关闭，登录凭据与待发内容不会进入手机云备份。
本机保存与检查更新
登录凭据由 Android Keystore 加密保护；待发内容与附件加密保存，电脑确认收到后删除，最长保留 7 天；出处片段缓存 24 小时。主题、上次检查更新的时间等偏好保存在本机。“设置 → 退出此设备”会吊销本机会话并清空本机数据；卸载也会删除 App 本机数据。
检查更新只读取官网公开版本清单，请求不带设备标识、App 版本号和 cookie。下载新版本时交由系统浏览器打开，安装由系统完成。
App 使用 Taro、React、Capacitor、jsQR 与 noble 系列加密库，这些组件在本机运行。当前没有统计、广告、推送或崩溃上报类 SDK。
保存地点与删除
账号与连接信息保存在中华人民共和国境内的服务器上，不出境。你可以清除手机缓存、退出单个设备、吊销配对，或在账号中心申请注销。
- 账号信息保存到你注销账号为止；注销后【N】日内删除或匿名化（待云端负责人确认）。
- 连接与服务日志保存【N】日，用于安全与故障排查（待云端负责人确认；依法需要保留的日志按适用要求执行）。
- 中继暂存密文最长 7 天；电脑签收后的删除时点仍待核。
账号注销从“设置 → 关于 → 账号注销”进入账号中心核验身份后提交。待核：云端注销的删除范围，包括账号、配对关系与中继记录，由云端负责人确认。电脑上的本地资料不受影响，退出或卸载手机 App 不会注销账号。
第三方与共享
除法律法规要求或有权机关依法要求外，我们不向第三方提供、转让或公开你的个人信息，不出售个人信息。官方 AI 的上游提供方、处理地区与保留规则会在对应功能开放前逐项公布。
当你用系统浏览器打开条款、账号中心或下载页面时，之后的处理适用对应网站规则。你自行配置的模型、存储或其他服务由其提供方处理。
安全措施与你的选择
- 手机与电脑之间的业务内容采用端到端加密，手机与服务器之间使用 HTTPS 或 WSS。
- 登录凭据由 Android 系统密钥库保护，待发内容与出处缓存加密保存。
- 配对时需要在手机与电脑上核对同一组比对码，可随时吊销不再使用的设备。
- 可以撤回单个设备的授权、删除本机数据或申请注销。撤回不影响此前基于同意已进行的处理。
可以在“设置 → 离线暂存、浏览缓存”查看本机保存内容，在“设置 → 清除浏览缓存”清除缓存，或通过“退出此设备”清空本机数据。电脑上的“设置 → 手机 → 吊销”可撤销配对。撤回同意可退出设备并卸载 App；撤回不影响此前基于同意已进行的处理。
查阅、复制或更正账号信息的入口：【入口或联系方式】。账号注销与个人信息请求：【入口或邮箱】。我们会在收到请求后 15 个工作日内答复。若发生个人信息安全事件，会按法律要求告知用户和监管部门。
未成年人
格物面向成年人的工作使用，不主动收集未满 14 周岁未成年人的个人信息。监护人发现未成年人在未经同意的情况下提供个人信息时，可以通过公开后的联系渠道请求删除。
文本更新与联系
文本更新时会提高版本号。涉及处理目的、方式、信息种类的重要变更，需要重新阅读并同意。待核：当前登录时校验同意版本，已登录手机在版本更新后是否要求重新同意，仍需云端确认。
- 运营者：【公司全称】
- 地址：【注册地址】
- 个人信息保护联系人邮箱：【邮箱】
- 账号注销与个人信息请求：【入口或邮箱】