核心原则
BotBus 的任务内容端到端加密：它们在你的设备上加密后才经过 Relay，解密所需的密钥只在你的设备上，我们读不到，也不会将任务内容用于广告或 AI 模型训练。为让你的设备同步，Relay 会暂存加密后的数据与少量元数据；具体范围如下。
数据流转
电脑上的 Agent 读取本机任务。配对后，任务标题、状态、最近输出、项目路径、设备名称和操作结果会先用你这组设备共有的密钥（AES-256-GCM）加密，再经 Cloudflare Relay 传到你的手机或手表。完整对话仅在你打开记录时按需读取；你主动发送的消息、图片和文件、推送通知的标题与正文、远程操作的画面与输入同样加密。
密钥在配对时经电脑屏幕上的二维码（或你复制的配对链接）交给手机，不经过 Relay，之后与配对凭据一起保存在各设备的系统钥匙串。Relay 保存验证所需的凭据摘要、配对关系，以及加密后的同步快照、待处理命令和文件。
Relay 能看到的只有转发所需的元数据：配对与设备编号、在线状态、任务与命令的编号和时间、通知类别，以及各段密文的大小。开发预览（把电脑上的本地网页分享到手机）需要 Relay 代理网页请求，不在端到端加密范围内，只在你分享期间可访问。
暂存期限
Relay 中加密后的同步快照在配对期间保留；一个配对连续 30 天没有任何设备连接时，其快照、命令与对话记录会被清除。最近一次按需读取的对话通常只向客户端提供 5 分钟，但后端记录可能在之后被新记录覆盖或在配对删除时清除。上传的图片和文件默认 7 天后删除。电脑上的原始任务记录仍由相应 Agent 管理。
AI 服务与发送前授权
BotBus 是你电脑上 Agent 的远程控制端。你新建、续聊、回答提问或批准任务时，手机或手表先把消息、图片、选项答案和命令加密，经 Relay 发送到你配对的电脑。电脑上的 Agent 为完成任务，可能将这些内容、相关对话，以及它读取的代码和文件发送给你配置的 AI 模型服务商。这些内容可能包含个人信息；用途是模型推理和执行你请求的任务。
Codex 的常见默认服务商是 OpenAI，Claude Code 的常见默认服务商是 Anthropic；自定义连接器、代理、模型或端点可能使用其他服务商。实际接收方由你电脑上的 Agent 配置决定，BotBus 无法自动确认。每次上述操作及重试前，app 会展示数据范围与保护边界，请你核对或填写实际服务商、核对其隐私政策，并主动选择「同意并继续」。取消、关闭确认页或未确认时不会上传此次图片或发送此次命令；仍可查看已有记录、中断或拒绝。确认只针对本次操作，不随手机与手表之间的配对凭据同步。仅查看已有记录不会通过 BotBus 发起新的 AI 推理。
BotBus 的端到端加密覆盖设备与 Relay 之间的同步链路，不覆盖电脑上的 Agent 与模型服务商之间的请求。模型服务商会收到用于处理任务的明文内容；其存储、训练用途、保留期限与删除方式取决于你使用的服务、账户与配置，请核对 OpenAI 隐私政策、Anthropic 隐私政策或实际服务商的政策。我们要求与 BotBus 共享用户数据的第三方提供本政策及适用规则要求的同等保护；用户自行配置的模型服务并非 BotBus 选择的处理商，我们无法替它保证保护条件。无法确认接收方或同等保护时，请取消，不发送个人信息。
第三方
Cloudflare 提供 Relay 托管，它同样只能接触到密文与上述元数据。iPhone 和 Android app 使用 Firebase Analytics 记录固定的配对和操作事件，不发送任务内容、消息、项目路径、设备名称或配对码。Firebase 可能处理 app 和设备标识、app 交互等技术数据。启用 Android 通知后，app 会向 Relay 登记 Firebase Installation ID，以便通过 Firebase Cloud Messaging（FCM）转发通知。Firebase 和 Cloudflare 会处理推送所需的标识符与投递元数据；通知标题与正文在 Android 设备本机解密前始终是密文。iPhone app 会向 Apple APNs 发送推送所需信息；通知标题与正文在 iPhone 本机解密。
官网统计
官网 botbus.io 使用 Cloudflare Web Analytics 统计访问量。它不设 cookie、不在你的浏览器里存数据，也不记录网址里的查询参数，只汇总统计访问的页面、来源网站、国家或地区，以及浏览器和设备类型。
从官网下载安装包、或 BotBus 在电脑上检查并下载更新时，官网服务器会记一条下载记录：文件名、是网页下载还是应用内更新、Cloudflare 判断的国家或地区、你从本站哪个页面点的下载，以及那个页面网址里的推广参数（utm_source、utm_medium、utm_campaign）。这条记录不含 IP 地址、cookie 或设备标识，只用来统计下载量和推广效果，由 Cloudflare 保存三个月后自动删除。
你的选择与数据删除
如要删除 BotBus 配对在 Relay 中的同步数据，在已配对手机的「设置」中选择「解除全部配对」并确认。此操作会清除本机配对凭据，并请求 Relay 删除该配对的加密快照、命令、对话记录和关联元数据。如果 Relay 请求失败，手机会提示云端可能尚未删除；请保持能访问配对电脑，并通过下方邮箱联系我们协助处理。也可以在设置中移除单台电脑或手机，撤销其访问权。
已上传的图片和文件按到期时间删除，默认保留不超过 7 天；电脑上由 Codex、Claude Code 等 Agent 保存的原始任务记录不会因解除 BotBus 配对而删除，需要在相应 Agent 中另行管理。Firebase 的应用统计与推送标识由 Firebase 按其服务规则处理。你也可以通过设备系统设置管理通知权限。
如需请求协助删除，请发邮件至 support@botbus.io，说明你想删除 BotBus 配对数据，以及你是否仍可操作已配对设备。不要在邮件中发送配对码、密钥或任务内容。
联系
如对隐私或数据删除有疑问，可通过 support@botbus.io联系我们。协议更新后会在本页标明新的生效日期。