简单说
- Kettu 运行在你自己的电脑上。你的会话、代码和文件留在你自己的设备上，你用的每个 Agent 只和它自己的服务商通信。Kettu 的服务看不到它们：你从别的网络连回来时，中继只转发端到端加密的内容，读不到。
- Kettu 的各个应用和这个网站都不收集统计或遥测数据。
- Kettu 账号是可选的，账号登录暂未开放。启用后，账号服务保存你的邮箱、登录方式和登录过的桌面应用和浏览器。
- 你随时可以在账号页删除账号，账号服务保存的这些数据也一起删除。
桌面应用
Kettu 把你的会话、设置和历史存在你的电脑上。它只在这几种情况下联网：
- 检查更新，并从 GitHub 下载更新；
- 从 GitHub 读取主题目录；
- 你选择安装某个 Agent 时，从它发布的地方下载，比如 npm、GitHub 或厂商的网站；
- 你选择分享某个 artifact 时，用你自己的 API token 发布到你连接的 Cloudflare 账号；
- 你选择登录 Kettu 账号时，登录并查看账号的状态；
- 登录着账号、开着使用 Kettu 中继时，连到 Kettu 中继，让你的设备在任何网络上都连得上它。
和任何下载一样，这些服务会看到你的 IP 地址和请求的内容；你发布的内容保存在 Cloudflare 上。
你用的 Agent 会把你的提示、代码和文件发给它自己的服务商，比如 Claude Code 发给 Anthropic，Codex 发给 OpenAI，适用这些服务商自己的条款。Kettu 不保存、不读回、不转发 Agent 的凭据和你的 GitHub 凭据；Git 和 GitHub 的操作用的是你自己的工具和账号。
用量页经你同意后，只从 Agent 的本地日志里读用量需要的字段：token、模型、时间、会话和工作目录，不读对话内容。诊断信息只在你导出时才写出，不含密钥，你不发给别人就只留在你那里。
Agent 做的 artifact 页面在你打开时，可能从公共 CDN（cdnjs、jsDelivr、unpkg、esm.sh、Tailwind CSS 和 Google Fonts）加载程序库和字体。
你的其他设备
手机或浏览器和你的电脑配对后，之间传的所有内容都是端到端加密的。通过你自己设置的网络，比如同一个 Wi-Fi、VPN 或 SSH 转发，两边直接连接，中间没有 Kettu 的服务器，网页版也由你自己的电脑提供。配对链接把配对码放在 # 后面，浏览器既不会把这部分发给这个网站，也不会发给 app.kettu.sh。
在任何网络上连接
要在任何网络上连回你的电脑，可以打开 app.kettu.sh 上的网页版，它经 Kettu 中继连接。两者都运行在 Cloudflare 上，都要你的电脑和这个浏览器登录同一个 Kettu 账号才能用。
- app.kettu.sh 只提供网页版的文件。网页版把向你的电脑证明身份的密钥、它连的电脑、你的草稿、它自己的设置和登录状态存在浏览器里 app.kettu.sh 的存储中，这个网站读不到。它不保存对话。
- 中继把浏览器或你的其他设备接到你的电脑上，转发两边端到端加密的内容，所以读不到你的会话、代码和文件。它看得到哪台电脑在线、每个连接属于哪个账号、连接什么时候开始和结束、来源地址和传了多少字节。它不记连接日志，这些都不写下来；和这个网站一样，Cloudflare 会处理每个连接的 IP 地址。
- 账号服务把这个浏览器算作你登录的一台设备，和桌面应用一样。
app.kettu.sh 上网页版的代码由 Kettu 提供，所以用它就要信任这份代码能看到你在里面看到的一切。你自己电脑提供的页面来自你的电脑，不用这样信任。
推送通知还没有推出。推出之前，这一页会先写清它处理哪些数据。
你的 Kettu 账号
账号登录暂未开放。邮件发送尚未配置，GitHub 和 Google 登录也未启用。登录页只显示账号服务提供的可用方式。这个网站目前不提供订阅或付款。
账号页面支持邮箱验证码登录，以及经浏览器为桌面应用和 app.kettu.sh 上的网页版登录。登录可用时，运行在 Cloudflare 上的 Kettu 账号服务会保存：
- 账号：你的邮箱。
- 登录方式：你用的方式、已验证邮箱，以及最近一次使用时间。
- 登录过的桌面应用和浏览器：每一个的名字、系统、架构和版本，以及登录和最近一次使用时间。
为了登录安全，服务会保存验证码 10 分钟，按邮箱和 IP 地址统计的尝试次数最多一小时。验证码和登录令牌只以哈希值保存。邮件发送启用后，发送服务会收到你的邮箱地址和邮件内容。Cloudflare Turnstile 启用时，会在发验证码前检查请求。
账号服务从不接收你的会话、代码和文件。
iPhone 应用
App 在你的手机上保存：向你的电脑证明身份的密钥（存在钥匙串里）、你配对过的电脑、最近会话的副本（没网时也能看），以及你分享进 Kettu、还没发出的内容。你附加或分享的照片和文件只发给你自己的电脑。
- 相机：扫描配对码，以及拍要附加的照片。
- 面容 ID：由 iOS 验证，App 只知道验证有没有通过。
- 本地网络：连接你的电脑。
App 没有统计、广告或追踪，也没有收集数据的第三方代码。
TestFlight 和 App Store
iPhone 应用由 Apple 分发。你通过 TestFlight 测试时，Apple 会把 TestFlight 给每个开发者的信息提供给我们：你发送的反馈和截屏、崩溃报告、你的设备型号和 iOS 版本，以及（如果是我们通过邮件邀请的你）你的姓名和邮箱。我们只用它们修复问题、联系你测试的事，你要求时就删除。通过 App Store 安装的，只有你在 iPhone 设置里允许与开发者共享时，Apple 才会把崩溃和使用数据提供给开发者。Apple 自己怎么处理数据，见 Apple 的隐私政策。
这个网站
kettu.sh 托管在 Cloudflare 上，Cloudflare 会处理你的 IP 地址和每个请求，用来提供页面和保护网站。网站不运行统计或追踪代码，字体也由 kettu.sh 自己提供。
网站在你登录时设置 __Host-kettu_session Cookie 来保持登录，从你最近一次访问起保留 30 天，退出登录时删除。页面脚本读不到它，也不用于任何别的用途。
它在浏览器的存储里记住你选的语言、浅色或深色模式、你上次用的登录方式，以及你是否在这里登录过（这样页头能显示你的账号），这些都不会发给我们。网站链接到的其他网站（比如 GitHub）适用它们自己的政策。
你的选择
Kettu 保存在你设备上的东西都在你自己的设备上，在那里删除就行：取消配对某台设备，或者卸载应用。
在账号页上，你可以登出桌面应用或浏览器、移除一种登录方式（至少保留一种），或者删除账号。删除后，账号、登录方式和应用的登录一起删除。你自己设备上的东西不受影响。
如果要我们删除 TestFlight 反馈或你发来的邮件，或者有任何隐私方面的问题，请写信到 privacy@kettu.sh。
变更
这一页有改动时，顶部的日期也会更新；重要的改动会写在发布说明里。