数据去向

下图概括了你的数据保存在哪里、什么时候会发出去、发给谁。各项的细节见后面几节。

保存在本机

你的电脑

%LOCALAPPDATA%\OpenGeodex

• 会话记录和生成的文件
• 记忆、知识库和本地模型
• 配置（密钥加密保存）
• 数据处理、本地识图与语音识别

文件只有被智能体读取的那部分内容，才会随对话发给模型

每次对话你的消息和必要的上下文

你选的大模型服务商

在「设置 → 模型」里选择；用本机或内网模型时不出内网

• 你的消息；附件只发路径，不发内容
• 工具结果：大表格、地理要素只发统计和 3 行样本，坐标不发
• 数据库表：属性值已替换，只发结构和统计
• 档案、相关记忆和知识库片段

连接器账号密码、API Key 不发给模型

登录与联网时账号、会员、更新

OpenGeodex 服务器

不接收你的数据文件

• 登录：邮箱和密码
• 会员续期：设备标识、电脑名称、系统和版本
• 检查更新、下载插件和技能；邮件通知的任务结果
• 使用统计（可在「隐私与数据」关闭）：去敏后的简短需求描述，不带登录信息

仅在你启用时这项功能需要的内容

第三方服务

不启用就不会发送

• 联网搜索：搜索关键词
• 网络抓取：网址
• 在线语音 / 朗读：录音、回复文字
• 在线识图：图片；群机器人：任务结果

数据保存在哪里

OpenGeodex 是本地优先的软件：会话、生成的文件、记忆、知识库都保存在你的电脑上，数据处理也在本机完成。

所有配置和数据都在 %LOCALAPPDATA%\OpenGeodex\，也就是当前 Windows 用户自己的目录，和程序装在哪里无关：

• 配置：模型、连接器、通知等设置，其中的密钥是加密保存的；
• app_data：会话记录、每个会话的产物文件、粘贴的截图、知识库、本地模型、插件和运行日志。

「设置 → 数据存储」可以查看确切位置。所有配置都在「设置」里修改，不需要、也不要手动编辑配置文件——其中的密钥是加密保存的，手改容易把配置改坏。

安装时请使用默认安装位置（当前用户目录下，不需要管理员权限）。不要装到 Program Files：那里没有写入权限，安装程序会拦下并提示；以管理员身份强行装进去，之后也无法自动更新。

哪些内容会发给大模型

完成任务要用到你配置的大模型，下面这些内容会发给你在「设置 → 模型」里选的模型服务商：

• 你的消息。附加的文件和文件夹只发路径，不发内容；智能体需要时再用工具读取，读到的内容才进入对话；
• 工具结果。结果较小时原样发送；表格超过 20 行或 8 KB、以及地理要素数据，只发行数、字段统计、范围、坐标系和 3 行样本，坐标不发送；网页正文、文件片段这类文本单次最多约 32 KB，超出部分会截掉；
• 数据库：查看 PostGIS、MySQL 表的属性数据时，界面上能看到真实值，发给模型的版本里属性值已被替换；表结构、统计信息和要素数量照常发送；
• 图片：如果当前模型在「设置 → 模型」里勾选了「支持图片输入」，你附加的图片会直接发给它；否则按「设置 → 识图」的方式处理；
• 每轮自动附带的背景信息：个人档案、与问题相关的几条记忆和知识库片段（每段只取开头一小部分）、「设置 → 行为 → 补充指令」，以及在项目中时的项目名称、说明、源文件夹路径和连接器名称；
• 生成会话标题、快捷回复建议和长会话摘要时，也会把相关消息发给模型。

不会发给模型的：连接器的账号密码、各类 API Key。知识库和记忆的语义检索使用本地向量模型，不需要联网。

模型服务商怎么处理你的数据，以它自己的条款为准。资料敏感时，可以使用部署在本机或内网的模型。

哪些内容会发给 OpenGeodex 服务器

• 账号：登录、注册、修改密码时发送邮箱和密码。勾选「记住密码」后，密码加密保存在本机，取消勾选会立即删除；
• 会员：登录后和联网期间会定期续期会员状态，发送本机设备标识、电脑名称、系统和软件版本，用于按设备核对会员权益；
• 检查更新：只发送当前版本号和系统类型，不需要登录。下载的安装包会校验签名和完整性，校验不通过不会安装；
• 插件市场、技能市场：浏览和下载插件、技能，下载的插件包同样会校验完整性；
• 邮件通知：只在你添加了「邮件」通知目标时使用，内容是任务标题、结果和耗时，由服务器转发到你的注册邮箱；
• 用户体验改善计划（默认参与）：约每 6 小时发送一次软件使用统计，包括所用模型、功能与插件使用情况、耗时、错误类别、任务类型，以及去除敏感信息后的简短需求描述。需求描述在本机先去掉人名、单位、项目名、地点、坐标、文件路径、数据库和账号信息，每条不超过 150 字；本地规则把握不大时，会用你配置的模型再改写一次，仍不安全的就不上传。统计只关联一个随机设备标识，不带登录信息。程序崩溃时只记录出错的程序位置，随统计一起上传。
  • 某条消息不想参与统计时，在消息开头写「#不上传」；
  • 在「设置 → 隐私与数据」取消勾选，即可退出计划并删除本机尚未发送的数据。

第三方服务

只有你启用了下面的服务，才会把相应内容发给对应的服务方：

功能	发送的内容	发往
联网搜索	搜索关键词	所选搜索引擎（DuckDuckGo、Tavily、Brave、DeepSeek，或你自建的 SearXNG）
网络抓取	网址	本地抓取在本机打开网页；选 DeepSeek 或 Firecrawl 时由对方服务器抓取
语音识别（火山引擎）	录音	火山引擎
消息朗读（火山引擎）	要朗读的回复文字	火山引擎
识图（第三方接口或对话模型）	图片	你填写的识图服务或模型
群机器人通知	任务标题、结果、耗时	飞书、企业微信、钉钉

本地语音识别和本地识图都在本机完成，录音和图片不会上传。本地模型下载后会校验文件完整性，校验通过才使用。本地网页抓取不会访问本机和内网地址。

离线与内网使用

• 首次登录需要联网。之后断网也能打开软件、继续使用；
• 会员状态离线可保持 7 天，联网后自动续期；超过 7 天没联网，或会员到期，按免费版权益使用，数据不受影响；
• 连不上更新服务时只是检查不到新版本，不影响使用；
• 不能访问外网时，可以使用部署在内网的模型，配合本地识图、本地语音识别和本地知识库检索；
• 需要通过代理上网时，在「设置 → 网络」配置代理。