栗记（Nuto）隐私政策

生效日期：2026 年 10 月 5 日
最近更新：2026 年 10 月 14 日

本政策说明栗记（英文名 Nuto，以下简称「栗记」或「我们」）在你使用栗记 iOS 与 Android 应用、网页版、命令行工具（nuto / sq）及 MCP 接口时，收集哪些信息、如何使用、与谁共享、保存多久，以及你可以如何管理它们。

1. 我们是谁

栗记由武汉市松鼠伙伴科技有限公司运营。

• 地址：湖北省武汉市汉阳区建桥街道汉阳大道114号3层305号-7
• 隐私事务联系邮箱：privacy@sqmem.top

2. 我们收集的信息

2.1 你提供的信息

• 账号信息：邮箱地址、昵称（可选）、密码。密码只以 argon2id 哈希保存，我们无法得知原文。
• 通过第三方登录获得的信息：使用 Apple、GitHub 或 Google 登录时，我们从对方获得你在该平台的账号标识和邮箱，以及对方提供的姓名；GitHub 和 Google 还会提供你在那里的头像地址，我们随账号保存它，但不会显示。通过 Apple 登录时你可以隐藏邮箱，我们收到的就是 Apple 提供的转发地址。通过 Apple 登录时，我们还会加密保存 Apple 签发的一个令牌，以便你删除账号时在 Apple 一侧解除 Nuto 的授权。我们不会获得你在对方平台的密码。
• 你创建的内容：事项（标题、正文、状态、优先级、开始与截止时间、标签、负责人）、评论、记忆、工作区名称，以及你上传的附件（文件本身、文件名、类型、大小）。附件可以是图片（从相册选择或用相机拍摄）、视频或其他文件。
• 保险库中的密钥：如果你使用栗记的保险库，就是你存入的每个密钥的名称、说明和值。值在保存前会被加密（见第 8 节）。
• 头像：如果你在个人资料中设置了头像，就是 Nuto 提供的某个插画头像，或你上传的一张图片。保存上传的图片前，我们会把它裁成正方形、缩小到边长 256 像素、去除其中的位置等元数据（例如照片所带的拍摄位置）并重新编码；你发送的原文件不会被保存。
• 工作区邀请和加入申请：邀请别人加入工作区时，管理员输入对方的邮箱。我们只用它找到对方的栗记账号（只能邀请已有账号的人），并保存这条邀请：谁邀请了谁、以什么角色、对方如何答复。如果你申请加入某个工作区，我们会保存你的申请和你附上的说明。
• 你发送的反馈：反馈内容、可选的联系邮箱，以及发送反馈时所用的应用版本、操作系统（网页版还包括浏览器）、语言和所在界面；从手机应用发送时还包括应用的安装 ID（见第 2.2 节），从命令行工具发送时还包括使用它的 AI 助手的名称。如果你已登录，反馈会与你的账号关联，并且你可以附上最多三张自己选择的截图；未登录时无法附截图。截图会显示你屏幕上的所有内容，请在发送前检查。我们在保存截图前，会去除其中的位置等元数据（例如照片所带的拍摄位置），并重新编码图片。

2.2 使用服务时自动产生的信息

• 设备与会话：设备类型与平台（如「iOS」）、登录时的应用标识（User-Agent）、会话令牌（只保存哈希）。手机应用和网页版不读取设备名称、型号、硬件标识或广告标识（IDFA / GAID）。
• 你接入的 AI 助手：命令行工具会告诉我们它在为哪个助手和模型工作（例如 Claude Code），以及你电脑的名称、操作系统和处理器类型；你可以用该工具的选项改成其他值。我们把这些信息随它写入的内容（事项、评论、记忆及其历史）保存，并记在它正在处理的事项上。它还会发送它所在的项目，形式是项目仓库的地址（例如 github.com/acme/api），随在该项目里写下的记忆保存。助手从它自己的记忆文件导入记忆时，我们会记录是哪个助手导入的、读了哪些文件（例如 ~/.claude/CLAUDE.md），不记录文件内容。
• 通知：当有事情与你有关时（有事项分配给你或有人 @ 你、有人评论或改动你参与的事项、有人邀请你加入工作区或申请加入你管理的工作区、你在某个工作区的角色变化或被移出、你的密码被修改，或由你付费的工作区的记忆数量接近套餐上限），我们会在你的栗记收件箱里放一条通知。通知里写着它所涉及的内容：事项的编号和标题、评论的开头（最多 280 个字符）、加入申请的说明、工作区名称，以及是谁做的。我们还会按你的通知设置，用你的应用最近使用的语言把通知发到你的邮箱；与账号有关的通知总是会发邮件。我们随你的账号保存你的通知设置和这一语言。
• 时区：你的设备报告的 IANA 时区（例如 Asia/Tokyo），用于把日程排在正确的日期上。我们在你的账号上保存最近一次的时区，供无法说明你在哪里的请求（例如通过 MCP 的请求）使用，并随你创建的事项保存。
• 使用统计：应用打开与进入后台、注册与登录的步骤、创建事项、同步、搜索（只记录有无结果，不记录搜索词）等事件，以及出错时的错误码和接口名。每条事件附带应用版本、语言、时区偏移和平台、它来自哪个会话和设备，以及操作是你本人还是 AI 助手发起的。有人获取我们的接入指南、安装脚本或下载文件时，我们还会记录链接里的推广标记和来源网站。应用会生成一个随机的安装 ID 标识这台设备上的这个应用；它不是硬件标识，也不与其他应用共享。注册或登录后，这个安装 ID 与你的账号关联。
• 邀请活动：如果你通过别人的邀请链接注册，或填写了别人的邀请码，我们会记录谁邀请了你，以及你进行到哪一步（已注册、你的 agent 已记下日程、已发奖励）。邀请链接会把邀请码保存在你浏览器的一个 Cookie 里（nuto_ref，最长 30 天），直到你注册；它不保存其他任何内容。
• 创作者推荐：如果你通过创作者的推荐链接来到栗记，或填写了创作者码，我们会在你的账号上记录这个码、你是通过什么途径提供的（例如注册时），以及支付服务商 Creem 为这次访问生成的推荐标识，用于为该创作者计入推荐；我们还会记下你接入的 AI 助手第一次在栗记里记下带日期的事项的时间。注册之前，推荐链接会把码和推荐标识保存在你浏览器的 Cookie 里（nuto_aff 和 nuto_cref，最长 90 天）。你通过 Creem 订阅时，码和推荐标识会随结账一起发给 Creem（见第 4.3 节）。推荐标识保留到你的账号被匿名化（见第 6 节）；码在那之后仍会保留，但不关联任何姓名或邮箱，以保证创作者的推荐数准确。
• 内测码：栗记进行封闭内测期间，新账号要由我们发放的内测码放行后才能使用；在此之前，它只能填写内测码、退出登录或删除账号。我们会记录是哪个内测码放行了你的账号，以及放行的时间。带内测码的注册链接会把码保存在你浏览器的一个 Cookie 里（nuto_beta，最长 1 天），直到你注册；它不保存其他任何内容。内测码不是邀请码，不会给任何人带来奖励。
• 购买信息：通过 App Store、Google Play 或 Creem 订阅时，我们保存订阅的商品、状态、有效期和交易编号，用于确认你的权益。我们不接触你的银行卡或支付信息，这些由 Apple、Google 或 Creem 处理。

2.3 我们不收集的信息

我们不收集精确或大致位置、通讯录、日历（开启双向同步后你在「栗记」日历里新建的日程除外，见第 2.4 节）、健康数据、麦克风内容，也不收集广告标识。只有你选择为事项拍照时才会打开相机，上传的只有你留下的那张照片（作为附件）。附件按你上传时的原样保存：如果照片文件里记录了拍摄地点，这一信息会留在文件中（它的预览图不含这一信息）；上传的头像和反馈截图会去除这类信息。我们的统计不保存你的 IP 地址。栗记不使用任何第三方统计、广告或崩溃上报 SDK。

2.4 在你的设备上处理的信息

以下功能在你的手机或浏览器上运行；除下文写明的情况外，相关信息不会发送给我们。日历、提醒和小组件只在 iOS 与 Android 应用中提供：「显示手机日历」和「与系统日历双向同步」默认关闭，需要你自己开启；提醒默认开启，可以关闭。下文的「你的日历」指分配给你的事项，以及没有负责人、由你创建的事项。

• 离线副本：为了在没有网络时也能使用，手机应用会在手机上它自己的存储里，网页版会在你浏览器的存储里，保存你的事项、评论、记忆、标签和附件信息的副本，以及你离线时做出、尚未发出的修改。退出登录时会删除这份副本。手机应用把你的登录凭据保存在手机的安全存储中。
• 显示手机日历：开启后，栗记在你的手机上读取你选择的系统日历中的日程，用于在栗记的日历里显示它们，并在你安排时间时提示与之重叠。这些日程只保存在应用内存中，不写入栗记的数据库，不上传，也不用于统计。
• 与系统日历双向同步：开启后，栗记在你手机的系统日历中建立一个名为「栗记」的日历（或沿用它之前建的那个），为你日历上每个未关闭、有时间的事项保留一条副本：写入事项的标题和时间，并在备注里写上它的编号（例如 SQ-12，紧急或高优先级的事项后面注明「紧急」或「高优先级」）和一个在栗记中打开它的链接。事项正文不会写入，副本也不带提醒。你在这个日历里的操作会作为你本人的修改同步回栗记：改标题或时间会修改事项，删除副本会取消事项（可以在已关闭的事项里重新打开）。**你在「栗记」日历里新建的日程会发送给栗记，成为一个新事项：包括它的标题、时间，以及作为事项正文的备注。**其他日历中的日程从不发送。在 Android 上，「栗记」日历只保存在手机上；在 iPhone 上，如果你使用 iCloud 日历，它会建在 iCloud 中，否则建在手机上。这些日程属于你的系统日历：如果你的系统日历与 iCloud、Google 等账号同步，它们会按你与该服务商的约定被同步；栗记不控制这一过程。关闭该功能或退出登录时，栗记会删除这台手机写入的副本；日历本身保留，因为其中可能有你其他设备写入的日程或你自己的日程。
• 提醒：你日历上的紧急和高优先级事项，会通过手机的本地通知提醒你：在开始或截止前 4 小时，以及开始或截止时（全天事项在前一天晚上）。每个事项只保留一条通知：新的提醒会替换之前那条（在 iPhone 上，于你下次打开应用时替换）。在 Android 上，紧急事项在当天和逾期后还会常驻通知栏，直到完成。为了让通知保持最新，应用会读取屏幕上它自己的哪些通知还在，并收回已经过时的；它不读取其他应用的通知，相关信息也不会离开你的手机。提醒由手机根据已同步的事项在本地安排，不经过任何推送服务；你可以在「日历与提醒」中关闭。退出登录时会取消所有提醒。
• 桌面小组件：如果你把栗记的小组件添加到桌面，应用会把当前工作区最需要关注的未完成事项的标题、优先级和时间交给它，保存在只有应用和它的小组件能读取的存储中。小组件里从不包含事项正文、评论、附件或你的登录凭据。能看到你手机桌面的人都能看到它显示的内容。退出登录时会清空小组件。

2.5 浏览器中的 Cookie 和存储

网页版不设置任何广告或跟踪 Cookie，它的 Cookie 都是栗记自己的：nuto_ref、nuto_aff、nuto_cref 和 nuto_beta 在你注册之前保存邀请链接、创作者链接或内测注册链接里的码（见第 2.2 节）；你通过 MCP 授权 AI 助手时，sq_mcp_browser 和 sq_mcp_session 保存这次登录，直到它过期。网页版在你浏览器的存储里保存你的登录状态（会话令牌，以及你的昵称、邮箱和头像）、用于使用统计的随机安装 ID、你选择的语言和一些显示偏好、尚未发出的反馈或修改，以及离线副本、图片预览和等待上传或下载的文件（见第 2.4 节）。退出登录时会删除离线副本和图片预览。

我们公开页面（包括这些法律页面）的页脚显示 Fazier 和 Smol Launch 这两个收录了栗记的网站的徽章。你的浏览器会从 fazier.com 和 smollaunch.com 加载这些图片，它们和任何网站一样会收到你的 IP 地址和浏览器信息。你或他人在事项或记忆里引用的网络图片，同样会从托管它们的网站加载。

3. 我们如何使用信息

• 提供服务：登录与验证身份、同步事项与记忆、在多台设备和工作区成员之间共享、生成附件预览、排定日程、用邮件发送验证邮箱、重设密码或确认删除账号的验证码，以及发送你的通知（见第 2.2 节）。
• AI 功能：为了让记忆和事项可以按意思搜索，我们会把记忆的正文、每个事项的标题和正文开头（最多约 1000 个字符）、你的搜索词和提问，以及 AI 助手请求上下文时描述的任务发送给 DeepInfra 生成向量（嵌入）。向量保存在我们的数据库里。评论、附件和保险库中的密钥不会发送。记忆或 AI 助手通过 checkpoint 记下的备注在保存或发送之前，栗记会把看起来像密钥的内容（API key、token、私钥、密码）换成 [REDACTED:api_key] 这样的标记。事项的标题和正文、其他评论以及搜索词不经过这一步过滤，所以密钥请存进保险库。我们的服务器目前不使用任何大语言模型处理你的内容。
• 你自己的 AI 助手：如果你通过 MCP 或命令行工具把 Claude Code、Codex 等 AI 助手连接到栗记，它们会在你授权的范围内读取和写入你的记忆与事项。这些助手把数据发给其模型服务商的行为，受你与该服务商之间的约定约束，不在栗记的控制范围内。
• 订阅与账单：确认订阅状态、处理升级、降级、取消和退款核查。
• 安全与防滥用：限制请求频率，防止恶意注册和攻击。
• 改进产品：用第 2.2 节的使用统计了解功能是否好用。统计只用于栗记自身，不用于广告，不出售，也不与其他公司的数据合并。
• 邀请奖励：用于向你、邀请你的人或你邀请的人发放邀请活动的奖励：额外的附件容量，以及邀请人的一个成员席位。被邀请人接入的 agent 在栗记里记下一条带日期的事项，即达成奖励条件；我们只核对这件事是否发生，不读取它的内容。
• 反馈：我们阅读你发送的反馈，用来回复你并改进栗记。我们会回复到你的账号邮箱，或你留下的联系邮箱。

我们不会出售你的个人信息，也不会将其用于定向广告或跨应用追踪。

4. 与谁共享

4.1 你的工作区成员

你在工作区里创建的事项、评论和附件，你分享给工作区的记忆和保险库密钥，以及你的昵称、头像和邮箱，对同一工作区的其他成员可见。你设为私密的记忆和密钥只有你和你接入的 AI 助手能看到。成员还能看到事项的动态（谁改了什么，包括事项以前的标题）、是哪个助手、模型和电脑（按命令行工具报告的名称，见第 2.2 节）写下了某条内容或正在处理某个事项，以及是谁删除了某个事项；能编辑某个事项的成员，可以在它被删除后把它恢复。

你邀请别人加入工作区时，对方在答复之前就能看到工作区名称，以及你的昵称、头像和邮箱。你申请加入某个工作区时，该工作区的管理员和所有者能看到你的昵称、头像、邮箱和你附上的说明；你能看到答复你的管理员的昵称。

你上传的头像图片通过一个随机链接提供，无需登录即可打开，这样 Nuto 的各个应用都能显示它：拿到这个链接的人都能看到这张图片。

4.2 邀请活动

打开你邀请链接的人会看到你的昵称。你邀请的人，你能看到其邮箱的首个字符和域名（例如 a***@example.com）以及进行到哪一步，看不到其他信息。邀请你的人能看到你的同样信息。

4.3 为我们提供服务的公司

我们委托以下公司处理数据，它们只能按我们的指示、为提供服务而处理：

4.4 法律要求

在法律、法规、司法程序或政府机关依法要求时，我们可能披露必要的信息。

5. 保存期限

6. 删除账号

你可以在应用内选择「设置 → 账号 → 删除账号」。为了确认是你本人，我们会向你的账号邮箱发送一个 8 位验证码。如果你是某个仍有其他人在用的工作区的唯一所有者，需要先把其他人设为所有者，或先移除其他成员。

• 立即：你在所有设备上都会退出登录，所有访问令牌、设备授权和 AI 助手授权立即失效。你的账号不再出现在工作区成员列表中。
• 30 天内：用原账号重新登录，即可恢复账号及其内容。
• 30 天后：账号被匿名化。我们会删除你的邮箱、昵称、头像、时区、密码、所有第三方登录关联、你的使用统计明细、你的通知和通知设置、你在保险库中的密钥、哪些助手导入过记忆的记录、你在登录状态下发送的反馈（含其截图）、你的邀请码，以及 Creem 的推荐标识。只有你一个成员的工作区会被关闭：任何人都无法再打开，其中的附件文件会被删除，30 天后工作区连同其中的事项、评论和记忆被彻底删除。我们还会从记录里删除你的电脑和手机的名称，包括你写下的内容附带的记录。之后你的邮箱可以用于注册新账号。
• 保留的内容：你在与他人共享的工作区中创建的事项和评论，以及你分享给这些工作区的记忆，会保留，供其他成员继续使用，但不再与你的昵称或邮箱关联。你在这些工作区中设为私密的记忆会被擦除。以下内容也会保留，但不含你的昵称或邮箱：随你写下的内容记录的助手、模型和操作系统；邀请活动中谁邀请了谁；放行你账号的内测码；你注册时带来的创作者码，以便创作者的收益统计正确；其他成员收到的关于你所做事情的通知（显示为「有人」），保留到这些通知到期（见第 5 节）；邀请和加入申请的记录，保留到结束后 30 天（见第 5 节）；以及别人文字里对你的 @ 提及，它保留写下时的名字。订阅与交易记录按法律要求保留。在最长 30 天内，数据库备份中可能仍有你的数据，之后随备份一起删除。已以邮件发给我们团队的反馈文字，其副本会保留在我们的邮箱中，直到你要求我们删除（见第 7 节）。
• 订阅：删除账号时，我们会取消通过 Creem 购买的订阅，已付费的周期结束后不再续费。通过 App Store 或 Google Play 购买的订阅不会因删除账号而取消，请在对应商店的订阅管理中自行取消。

7. 你的权利

根据你所在地区的法律，你可能有权访问、更正、删除你的个人信息，要求我们说明处理方式，撤回同意，或向监管机构投诉。

• 删除：见第 6 节。
• 访问、更正、导出及其他请求：请发邮件至 privacy@sqmem.top。我们会在 30 天内答复，法律要求更短的除外。为保护你的账号，我们可能需要先验证你的身份。
• 使用统计：使用统计是栗记运行的一部分，目前无法在应用内关闭。如果你反对这项处理，请发邮件至 privacy@sqmem.top 联系我们。

8. 信息安全

• 所有数据经加密连接（HTTPS / TLS）传输。
• 密码使用 argon2id 哈希；会话令牌、访问令牌和验证码只保存其哈希。
• 保险库中的密钥使用 AES-256-GCM 加密。密钥的值从不进入检索索引、不发送给 DeepInfra、也不保存在应用的离线副本中，只有你本人、或你授权访问密钥的 AI 助手明确要求时才会返回。
• 附件存放在私有存储中，只能通过有时效的临时链接访问。反馈截图同样存放在私有存储中，且没有任何链接：只有我们的运维人员能逐张打开，每次打开都会被记录。上传的头像不带任何元数据，只能通过随机链接访问。
• 数据库通过行级安全（RLS）把不同工作区的数据相互隔离。
• 我们限制内部人员的访问。运维后台对账号数据的每一次查看都会被记录，这些记录事后无法修改，并会一直保留，账号删除后也不例外。

任何系统都无法保证绝对安全。如发生可能影响你的个人信息安全事件，我们会依法通知你和监管机构。

9. 跨境传输

我们的服务器位于美国（华盛顿州西雅图和得克萨斯州达拉斯）。我们使用的服务商（见第 4.3 节）可能在美国及其他国家处理你的数据。你所在地区的数据可能因此被传输到这些地方。我们会采取法律要求的措施保护跨境传输的数据。这些传输的接收方是第 4.3 节列出的服务商，表中写明了各自接收的数据和用途。

10. 儿童

栗记面向 18 岁及以上的用户，不面向 16 岁以下的儿童。如果你发现儿童在未经监护人同意的情况下向我们提供了个人信息，请联系我们，我们会删除相关信息。

11. 地区补充说明

• 美国加州居民：我们不出售个人信息，也不为跨情境行为广告而「共享」个人信息。你有权知道、删除和更正你的个人信息，并且不会因行使这些权利而受到差别对待。
• 澳大利亚、加拿大、日本、新西兰：你所在国家的隐私法（例如澳大利亚《1988 年隐私法》、加拿大 PIPEDA、日本《个人信息保护法》、新西兰《2020 年隐私法》）可能赋予你访问和更正个人信息、向监管机构投诉的权利。请发邮件至 privacy@sqmem.top，我们会在 30 天内答复。你也可以向澳大利亚信息专员办公室、加拿大隐私专员办公室、日本个人信息保护委员会或新西兰隐私专员办公室投诉。
• 其他国家和地区：无论你身在何处，都可以行使第 7 节的权利：访问你的个人信息并取得一份副本、更正或删除它、反对我们的处理方式，以及撤回你给出的同意。请发邮件至 privacy@sqmem.top，我们会在 30 天内答复，你所在地法律要求更短的除外。如果当地法律（例如巴西《通用数据保护法》（LGPD）或印度《数字个人数据保护法》）赋予你更多权利或指定了监管机构，我们会遵守，你也可以向该监管机构投诉（例如巴西国家数据保护局（ANPD）或印度数据保护委员会）。这个邮箱也是我们处理数据保护事务的联系方式。

12. 政策更新

我们可能更新本政策。重大变更会在应用内或通过邮件提前告知。继续使用栗记即表示你接受更新后的政策。