Privacy & Egress
隐私与出网清单
资料留在本机，出网按功能清单透明说明。桌面客户端设置页、官网隐私页与云端审计网关严格共享同一份单一事实来源契约（Single Source of Truth）。
PRINCIPLE 01
资料在本机：知识库、原件、本体与本地向量索引永不主动上传。
PRINCIPLE 02
每次调用先报价：调用前展示功能、模型与预留上限，用户确认后才发起请求并预留积分。
PRINCIPLE 03
用量最小化：问答仅发送提问与命中的原文片段；OCR 仅发送选定页图，不上传整份文件。
PRINCIPLE 04
云端不留正文：问答与起草正文转发上游模型后不落盘，不作模型训练；OCR 页图不落盘，识别结果加密暂存不超过 30 分钟。
PRINCIPLE 05
离线安全：断网或云端不可达时，本地工作区浏览、编辑、检索、版本管理与导出照常可用。
出网明细清单
每个功能的出网数据、接收端与生命周期均受代码门禁硬性约束，不私藏暗门，绝不全量上传。
| 功能与场景 | 出网发送内容 | 目的地 | 云端留存策略 | 计费状态 | 断网/离线状态 |
|---|---|---|---|---|---|
| 报价与预留 | 功能类型、模型代号、预估用量与预留上限（不含正文、文档或页图） | IAI 官方网关 | 不存正文，仅记录请求编号、预留额度与时间戳 | 免费（不扣积分） | 云端不可用时暂停报价 |
| 智能问答 | 用户提问正文 + 命中的本地知识库原文片段 | 官方网关 → 上游推理模型（DeepSeek / 阿里云百炼） | 转发上游后不落盘，不作为模型训练语料 | 按实际 Token 计费，多余预留退回 | 暂停云端问答；若配置本地模型则使用本地推理 |
| Wiki 专题整理 | 用户选定进行专题沉淀的本地资料正文片段 | 官方网关 → 上游推理模型（运行前弹窗确认） | 转发上游后不落盘，整理结果直接回传写回本地 Wiki | 按实际 Token 计费 | 暂停云端整理；对象页骨架生成完全本地执行不受影响 |
| AI 引导起草本体 | 用户对引导问题的回答文本 + 选定范式包的基础类型定义 | 官方网关 → 上游推理模型（生成前弹窗报价确认） | 转发上游后不落盘，草案仅写入本地草稿区，由用户逐条采纳 | 按实际 Token 计费（约 3–8 积分） | 暂停 AI 起草；直接导入范式包或从空白创建完全本地可用 |
| 云端图像与扫描识别 | PDF 或图片中选定的扫描页面图像（逐份资料单独授权） | 官方网关 → 上游 OCR 视觉模型（qwen-vl-ocr） | 页图不落盘；识别文字结果加密暂存不超过 30 分钟供客户端分块拉取，过期销毁 | 按识别页数计费（约 0.5 积分/页） | 暂停云端识别；本地已有文字层 PDF 直接提取且免费 |
| 本体 AI 演化建议 | 能力问题文本 + 当前本体相关类型定义与片段 | 官方网关 → 上游推理模型 | 转发上游后不落盘，生成演化提案进草稿区 | 按实际 Token 计费 | 暂停 AI 建议；手动增删改类型与关系不受影响 |
| AI 体检出题 | 选定资料的摘要切片与知识点 | 官方网关 → 上游推理模型 | 转发上游后不落盘 | 按实际 Token 计费 | 暂停 AI 出题；已有体检题集测试本地运行 |
| 注册、登录与设备授权 | 手机号、短信验证码、PKCE 授权挑战码（在系统浏览器中完成） | IAI 账号中心（account.iai.example） | 云端保存加密手机号、登录记录与已授权设备名；本机只保存短期令牌，刷新凭据由 Windows DPAPI 保管 | 免费 | 初次激活绑定需联网；绑定后离线直接进入本地工作区 |
| 资料解析、全文检索与本地语义索引 | 不出网（完全在本地运行） | 本地电脑内存与 SQLite 存储 | 全部留在本地电脑，不上云 | 完全免费 | 完全可用 |
✓
云端保存的信息
仅用于账号管理、计费对账与多端设备会话安全：
- ·手机号（强哈希与对称加密）与登录审计记录
- ·积分批次流水、预留记录与请求编号（不含内容）
- ·订单信息、支付渠道交易号与对账状态
- ·已授权设备名称与操作系统标识
✕
云端绝不保存的信息
你的核心知识资产永远留在你的电脑上：
- ·用户的本地知识库、原文档、电子书或作业标准
- ·本地本体结构、关系与业务对象实例
- ·问答提问与回答正文（转发上游模型后实时回传，云端网关不落盘）
- ·OCR 原始页面图片（识别结果加密暂存 ≤30 分钟）
断网与离线可用矩阵
初次使用客户端需联网到官网注册或登录一次以绑定设备与工作区。绑定后，即使网络不可达、账号登录过期或积分为零，本地体验依然完整。
全部照常
本地资料与知识库
导入文件、解析文字层、阅读原件、关键词检索与本地轻量语义检索完全离线可用。
全部照常
本体与 Wiki 对象页
直接导入范式包、编辑类型与关系、保存版本、公理校验、回归测试与 Wiki 对象页生成全部在本地运行。
优雅暂停
官方 AI 远端推理
智能助手云端问答、AI 引导起草、Wiki 专题深度整理与云端 OCR 暂停，不发起请求、不扣积分；配置本地模型后问答可切至本地。