隐私边界

HaroCue 将记忆保存在本机。本地保存不等于所有内容永远不出站：使用云端模型、网页查询或外部 Agent 时，需要分别理解下面的范围。

记录与桌面帮助是两个开关

首次使用可以“先体验助理”，再决定是否开启本机记录。

控制	影响
本机记录	控制持久采集及自动记忆加工。暂停后不启动新的自动提取、图谱加工和日封存；在途批次可能结束提交
桌面帮助	独立控制 Cue 与明确的 / 问答。记录暂停时，已授权的短时当前输入仍可用于帮助，不写入采集表
屏幕文字补充	可选本地 OCR；需另外授权屏幕录制。记录暂停后不新增后台 OCR 捕获
文件查询范围	新版默认全机可访问位置，可改为指定目录或关闭；已有明确目录配置会保留

暂停记录并不撤回已经发出的模型请求。若要同时停止原位建议与问答，请关闭桌面帮助；主窗口关闭后应用仍可在托盘运行，从托盘退出才能结束后台进程。

屏幕内容怎么读取

优先使用操作系统辅助功能提供的可访问文本。macOS 14+ 可选单帧 OCR，在本机识别前台窗口可见区域。

截图原图不保存、不上传。 OCR 识别出的文字、当前输入和可访问文本仍可能进入你配置的模型请求。权限不足、窗口切换、遮挡或无法读取时，不承诺完整内容覆盖，也不伪造正文。

哪些操作可能调用模型

操作	可能使用的内容
自动记忆提取、人物与事项关系补充	获准观察的相关文本与有限记忆上下文
Cue 和明确问答	当前输入、可见文本、获准使用的记忆片段，以及按需查询的结果
回顾文字版	所选时段的相关证据与待审草稿
网页搜索与阅读	问题相关的检索词、目标网页地址及返回内容

选择云端连接时，相关内容可能发送给该服务商；使用前应了解其数据规则。你也可以连接本地 Ollama，本地调用失败默认不会回退云端。使用本地模型不等于网页搜索也离线；配置了联网查询时仍会产生网络请求。

全机查询的边界

查询先查文件名和路径，再按需阅读有限文本，不建立全盘正文索引，也不在后台批量上传整盘内容。只读权限、系统访问权限、已知凭据位置过滤和大小上限仍有效。

结果可能受文件权限、系统索引、扫描范围与预算限制，不能理解为“搜遍所有文件”。云端模型会按需接收查询结果和读取的文本片段。可将范围改为指定文件夹或关闭查询。

记忆的查看、纠正与遗忘

在“记忆”图谱或列表查看内容、来源、状态和关联。自动提取内容标为助理推断，你可纠正、停止使用、创建局部例外或遗忘。

遗忘使相关证据和派生内容失去使用资格，受影响的图谱关系也会撤下。遗忘主张可能同时清除它引用的证据，请留意界面展示的影响范围。这不能撤回已发送到外部模型或已经复制到其他工具的内容，也不自动清除你另行保存的备份。

独立空间的事实不会自动共享。跨空间偏好需要主动授权，具体空间内的指令优先。

用量、诊断与外部 Agent

用量页读取本机有限日志与非敏感模型设置。官方价格核验不携带用户日志、密钥或模型输入。缺失记录不当作零消费，费用是估算而非账单。

默认结构化诊断日志不记录屏幕原文、提示词、答案、完整 URL 或密钥。不要为普通问题开启正文调试；提交反馈前检查导出内容。

外部 Agent 经 MCP 读取的上下文进入其宿主后，受该工具的数据处理规则约束，HaroCue 的本机控制不能替代外部服务的隐私设置。