隐私与数据安全 — 本地优先的设计原则
核心原则
NoteGen 的隐私设计理念是：不需要账号，默认本地，用户决定是否联网。
- 笔记、记录、聊天、记忆、向量索引和应用设置默认保存在设备本地
- 是否产生外部数据传输，完全由你启用的功能决定
- 不强制登录，不收集笔记内容，不以你的数据训练模型
本地保存了什么
| 数据 | 存储位置 | 格式 |
|---|---|---|
| Markdown 笔记 | 工作区目录 | .md 纯文本文件 |
| 记录/标签/聊天/画布 | 应用数据目录 | SQLite 数据库 |
| 模型/同步/MCP 配置 | 应用数据目录 | 配置文件 |
| 嵌入向量索引 | 应用数据目录 | 向量数据库文件 |
| 备份 | 你指定的位置 | .zip 压缩包 |
NoteGen 不把内容发送到自己的服务器——它没有后台存储。
哪些功能可能联网
| 功能 | 发送的数据 | 接收方 |
|---|---|---|
| 在线 AI 模型（对话/写作/整理） | 提示词、选中的上下文、图片/音频 | 你配置的模型服务商 |
| 知识库 RAG 问答 | 查询文本 + 检索到的笔记片段 | 你配置的嵌入/重排服务 |
| 云同步 | .md 文件、记录/配置数据 | 你选择的 Git/S3/WebDAV/云盘 |
| 图床上传 | 图片 + 鉴权请求 | 你配置的图床服务 |
| MCP | 工具参数和必要上下文 | 你连接的 MCP 服务器 |
| 网络搜索 | 搜索词 + 处理搜索结果的上下文 | 模型原生搜索或搜索服务 |
| 网页剪藏 | 选区内容、图片、页面 URL | 本机 NoteGen（不发送到外部） |
| 更新检查 | 版本号和平台信息 | NoteGen 下载服务或 GitHub |
| 匿名启动统计 | 临时会话 ID、系统类型、语言、版本 | NoteGen Aptabase 统计服务 |
匿名启动统计不包含笔记内容、文件名、文件路径、AI 对话或硬件机器 ID。
敏感配置不同步
默认开启"不同步敏感配置"：
- Access Token、密码、密钥
- 同步平台选择
- 图床配置
- MCP 配置
- 工作区路径
这些设备特定或隐私相关的配置不会随结构化数据同步。关闭前应用会显示风险确认——关掉意味着这些配置也会跨设备同步，但丢失设备可能导致泄露。
安全建议
| 建议 | 说明 |
|---|---|
| 敏感内容用本地模型 | Ollama 等本地模型不联网，内容不会离开设备 |
| 授予 Token 最小权限 | Git Token 只授权目标仓库，S3 Bucket 最小权限 |
| 只连可信 MCP | 本地命令型 MCP 可以启动本机程序——谨慎对待 |
| 共享前脱敏 | 导出备份、分享日志前先移除 API Key、Token、笔记内容 |
| 废弃 Token 及时撤销 | 不用的服务去供应商那边撤销 Token |
| 定期检查 MCP 连接 | 不需要时关闭服务或重置 Token |
数据删除
卸载 NoteGen：
- 不会自动删除你自定义的 Markdown 工作区目录（这是普通文件夹）
- 应用数据库、配置、缓存可能留在系统应用数据目录（取决于平台卸载行为）
- 远程数据（Git 仓库、S3 桶、MCP 服务）需要你手动在对应平台删除
彻底删除步骤：
- 在 NoteGen 高级设置中清理应用数据和文件
- 撤销所有 Git/S3/WebDAV/图床/MCP Token
- 删除远程仓库、存储桶和自托管账户
- 卸载应用
- 手动删除系统应用数据目录中的 NoteGen 残留