Legal / Privacy
隐私政策
本地优先、无账号、零遥测。本页说明 Muse 如何存储、保护与（在你允许时）传输你的数据。
生效日期：2026 年 10 月 6 日 · 适用于 Muse Android 应用与官网
一句话版本：Muse 无需账号，应用内不采集使用行为。对话、记忆与设置保存在设备本地；调用模型、搜索、云端语音、云端 Embedding 或云备份时，相关内容会按功能配置发送给对应服务。官网使用自建的匿名聚合统计（见第 9 节）。代码以 GPLv3 开源，可自行审查。
1. 我们的隐私原则
- 本地优先：所有对话、记忆、知识库、设置均存储于设备本地的 Room 数据库
- 无账号体系：不需要注册，没有服务器端用户档案
- 零遥测：应用内无分析 SDK、无行为追踪、无广告标识符收集；官网仅做自建匿名聚合计数（见第 9 节）
- 按需联网：联网功能默认关闭，逐项由你开启
2. 数据如何存储与加密
- 对话记录、四层记忆、知识库索引、助手配置：本地 SQLite（Room）数据库
- API Key 等敏感配置：由 Android Keystore 管理加密密钥，敏感数据以 AES-256-GCM 加密存储
- 云端备份（WebDAV / S3）：使用你的密码经 PBKDF2 + AES-256-GCM 加密后才离开设备
- 崩溃日志：仅存储在本地，仅可在安全模式下由你手动导出
3. 数据何时离开设备
仅在以下由你主动触发或开启的场景，数据才会离开设备：
| 场景 | 发送内容 | 接收方 |
|---|
| AI 对话 | 本轮请求的消息、相关记忆与上下文，以及你附加的图片 / 文件内容 | 你自己配置的模型供应商 |
| 联网搜索（默认关闭） | 搜索关键词 | 你选择的搜索服务（Jina / Bing / Tavily / SearXNG 等） |
| 云端 TTS / 语音识别（可选） | 待转换文本 / 语音 | 你配置的语音服务（OpenAI / MiniMax / Edge / DashScope 等） |
| 云端 Embedding（可选） | 知识库文本块 | 你配置的 Embedding 服务 |
| 云备份（可选） | 加密后的备份文件 | 你自己的 WebDAV / S3 存储 |
本地 OCR、向量化与重排在设备上处理；若选择云端 Embedding 或使用云端模型整理记忆，相关文本会发送给你配置的服务。使用局域网模型服务仍会通过本地网络传输。
4. 权限使用说明
- 通知监听（可选）：仅在你授权后读取通知内容，可设应用白名单；用于 AI 智能回复与提醒
- 通讯录 / 短信 / 电话（可选）：仅当 AI 调用对应工具且经你审批后使用
- 存储 / 相机：用于附件导入、拍照发送与备份导出
高风险工具（发短信、拨电话、删文件等）按审批策略处理：询问策略下会先向你确认，也可设为信任或严格；审批记录留痕可查。
5. 你的控制权
- 查看：记忆面板展示每一条记忆的内容、来源会话与入库时间
- 修改与删除：任意记忆可编辑、降星、删除；会话可归档或彻底删除
- 导出：会话可导出 Markdown / TXT / JSON；记忆库可导出 JSON；整包备份三种目标
- 审计：敏感操作（删除会话、导出数据、修改密钥、工具审批）均记录在本地审计日志
- 脱敏：可选 PII 隐私脱敏，发送前自动替换手机号、身份证、银行卡等敏感信息
6. 内容安全
- WebView 渲染 LLM 输出前进行净化，移除 iframe、form、javascript: 伪协议
- 链接点击弹窗二次确认后打开（长按可直接打开），防误触与钓鱼
7. 开源可审计
Muse 以 GPLv3 协议完整开源，全部代码（含网络层、存储层、加密实现）公开在 GitHub 仓库。本政策的每一条承诺都可以直接在源码中验证。发现安全问题请通过 GitHub 安全咨询 私下报告。
8. 政策变更
本政策如有更新，将在本页面发布并更新生效日期。重大变更会在应用内与更新日志中说明。
9. 官网与匿名统计
- 官网 museai.ltd 使用自建的第一方统计，仅记录匿名聚合数据：页面路径、来源分类、下载与 GitHub 点击次数，用于了解访问与下载情况。
- 不采集个人可识别信息：不记录 IP、不记录账号、不做跨站跟踪、不采集浏览器指纹；访客标识是浏览器本地生成的随机值，清除浏览器数据即可重置。
- 应用本身不包含任何官网统计脚本；统计仅在你访问官网页面时运行，且不使用任何第三方分析服务。
隐私相关问题：GitHub Issues 或 QQ 群 905451314。