文档 / 隐私与遥测

本页描述我们在打包版 Orca 构建中收集的匿名产品使用遥测数据、我们从不收集的内容，以及如何退出。

摘要¶

• 匿名。 事件以存储在本地机器上的随机 ID 作为键。不收集账户、电子邮件、IP 地址或用户名。
• 无内容。 我们从不传输文件内容、prompt、代理输出、终端输出、仓库名称、分支名称、URL、路径或提交信息。
• 在以下情况下始终关闭： 设置了 DO_NOT_TRACK=1 或 ORCA_TELEMETRY_DISABLED=1。

我们收集的内容¶

每个事件旁边，我们还会包含基本的构建和平台信息：Orca 版本、你的操作系统（例如 darwin / win32 / linux）、CPU 架构、粗略的操作系统版本字符串、发布渠道（stable 或 rc），以及上述匿名本地 ID。不包含主机名、用户名或 IP。

我们观察的行为类别：

• 生命周期 — 应用打开时。用于估算日、周和月活跃用户。
• 仓库和工作区 — 当你添加仓库或创建工作区时。我们记录你_如何_操作（例如文件夹选择器 vs. 克隆 URL；命令面板 vs. 拖放），从不记录仓库名称、URL、路径、分支名称或任何自由文本。
• 代理 — 当你启动代理时、它是哪种代理类型（来自固定列表，如 claude-code、codex、gemini 等），以及你从哪里启动它。从不记录 prompt、模型详情或代理输出。
• 代理错误 — 粗略错误类别以及涉及的代理类型。我们从不查看原始错误消息或堆栈跟踪；每次事件的详细信息保留在你机器上的本地诊断跟踪文件中，只有在你明确共享诊断包时才会到达 Orca。
• 设置 — 当你切换一小套白名单中的功能标志或 UX 偏好时。我们记录哪个偏好被更改，以及它是布尔值还是枚举，从不记录任何自由文本设置的原始值。
• 隐私控制 — 当你选择加入或退出遥测时，这样我们可以从聚合数据中判断我们的同意 UI 是否正常工作。

我们传输的每个字段都是固定枚举值、版本字符串或匿名本地 ID。来自任何 UI 输入的自由文本字符串永远不会离开你的机器。

我们从不发送的内容¶

• 不发送文件路径、仓库名称、分支名称、URL、提交信息或当前工作目录。
• 不发送代理 prompt、响应或终端内容。
• 不发送原始错误消息或堆栈帧。每次事件的错误上下文保留在你机器上的本地诊断跟踪文件中，只有在你明确共享诊断包时才会到达我们。
• 不发送用户账户信息（Orca 没有账户系统）。
• 不发送 IP 地址和精确地理位置 IP；国家是从请求中派生的唯一地理信号。
• 不发送与你的匿名 ID 关联的供应商侧用户配置文件。

如何退出¶

你可以通过三种方式禁用遥测。任意一种都足够；它们可以组合使用。

1. 在应用中。 设置 → 隐私 → 关闭“共享匿名使用数据”。更改立即生效并持久保存。

2. DO_NOT_TRACK=1 — 社区标准环境变量。禁用该次 启动时的传输。取消设置后，下次启动会恢复你存储的偏好设置。 3. ORCA_TELEMETRY_DISABLED=1 — Orca 专用关闭开关，语义与 DO_NOT_TRACK 相同。

数据去向¶

• 供应商： PostHog Cloud，美国区域。
• 保留期： PostHog Cloud 按其定价页面的计划级默认值。我们不设置自定义保留窗口。
• 访问： 项目成员权限仅限于少数 Orca 维护者。