corresync

隐私政策

你的通信，始终由你来掌控。

Corresync 是本地优先的开源应用。它从你的设备直接连接到你授权的邮件和日历服务。项目不运营托管邮箱、日历、令牌中继、分析系统或远程 MCP 服务器。可选的网页检查工具只接收邮箱域名，不接收完整地址。

生效及最后更新：

先看重点

Corresync 没有云端邮箱副本。

  • 登录由你明确选择的服务路径管理。
  • OAuth 授权和标准协议凭据留在操作系统钥匙串或你批准的凭据助手中。
  • 邮件与日历请求通过 TLS 从设备直达服务商。
  • 数据不会用于广告、出售、画像或通用模型训练。

01 · 范围与责任方

这份政策涵盖什么

本政策说明 Corresync 开源项目维护者 Naoki Kiyohara 与贡献者如何处理官方应用、项目运营的 OAuth 身份和本网站上的信息。它涵盖可用或开发中的 Google、Outlook Web、Microsoft Graph、JMAP、IMAP/SMTP、CalDAV 与经批准的本地导入路径。

独立分支、第三方构建、邮件或日历服务商、操作系统、软件包管理器、MCP 客户端、AI 服务及可选运行器有各自的条款。Corresync 没有用户账号数据库；服务商数据只在你的设备上为你要求的功能而处理。

02 · 服务商账号数据

只读取完成所选操作所需的信息

按启用路径不同，Corresync 可能处理账号身份、文件夹和日历元数据、邮件、附件、草稿、已发送邮件、事件、参与者、重复规则、提醒、会议属性和服务能力。账号身份不会合并，也不会启用你没有选择的路径。

Outlook Web 的登录保留在专用可见浏览器中；Microsoft Graph 的委托授权保留在系统钥匙串中；JMAP、IMAP/SMTP 与 CalDAV 的密码或令牌由钥匙串或明确批准的凭据助手持有，配置只保存外部引用。

Gmail、Google 日历和 Google Tasks 使用你自己管理的 Google Cloud 项目中的桌面 OAuth 客户端。 引导设置会验证下载的客户端，将生成的凭据存入系统钥匙串，配置中只保留不透明引用。 Corresync 管理的 Google OAuth 保持关闭。

权限 数据 用途
https://www.googleapis.com/auth/gmail.modify Gmail 标签、邮件、正文、附件、草稿和已发送邮件。 搜索、读取、下载指定附件、撰写、发送和整理。不会申请永久删除权限。
https://www.googleapis.com/auth/calendar.calendarlist.readonly 日历名称、ID、访问角色和元数据。 显示并选择账号中已有的日历。
https://www.googleapis.com/auth/calendar.events 事件、参与者、时间、重复、提醒和会议属性。 读取、创建、更新、取消事件，并在服务支持时请求 Meet 链接。
https://www.googleapis.com/auth/tasks.readonly
或 https://www.googleapis.com/auth/tasks 		任务列表名称与 ID，以及任务标题、备注、状态、仅日期的截止时间、完成状态、层级、排序、分配信息和来源链接。 只读路径仅列出和读取任务。可写路径会在预览并批准后创建、更新、完成、重新打开、移动或删除任务，并在写入前执行已分配任务的限制。

Google 数据只用于你明确调用或配置的邮件、日历、任务、监控和自动化功能。Corresync 不访问联系人、云端硬盘、密码、浏览器 Cookie、广告画像或非公开 API。

03 · 处理方式

直接连接，明确操作

CLI 与 MCP 使用相同的类型化操作和策略检查。读取尽量从元数据开始；发送邮件、邀请参与者等重要写入先显示精确预览，再要求一份与调用方、账号、目标和内容绑定的短时单次批准。系统不会悄悄切换到另一条服务路径，也不会在结果未知时自动重试写入。

Microsoft、Todoist 和 TickTick OAuth 使用系统浏览器；Outlook Web 使用专用可见浏览器配置；开放标准路径只连接你选择的有效 TLS 端点。任务标题、备注、日期、重复规则和检查清单等内容只会在你的设备与所选服务商之间按需处理。TickTick 客户端密钥仅在登录需要新的授权码交换时从获准的凭据存储中读取；复用有效授权时不会读取，也不会写入配置或 OAuth 授权。

04 · 本地存储与保留

可能留在设备上的内容

  • 授权与会话：OAuth 令牌以账号隔离的句柄保存在系统钥匙串；浏览器 Cookie 和站点数据留在专用本地配置中。
  • 配置：账号地址、本地别名、所选路径、OAuth 客户端 ID、回环重定向和已同意的凭据句柄，不包含客户端密钥或令牌。
  • 无内容审计：受限保存操作类型、结果、时间、调用方及不透明账号和目标 ID；不保存收件人、主题、正文、附件名、事件文本、查询、令牌或批准值。
  • 可选队列与导入：仅在你另行启用后，保存有上限的账号本地记录；邮件正文和附件不会进入监控队列。
  • 临时数据：请求结果会短暂出现在进程内存和本地 stdio 中；不会建立邮箱或日历的通用持久副本。

账号删除、队列清理或导入清理会移除对应记录。服务商上的数据仍按服务商设置和你的操作保留。

05 · 共享与传输

谁可能收到数据

项目没有接收服务商账号数据的托管服务，因此不会收集或出售这些数据。在你的设备上，数据可能按需要提供给所选服务商、本地 CLI 或 MCP 客户端；若该客户端把工具结果发给远程模型，则还会提供给你选择的 AI 服务。另行启用监控运行器和远程输出时，也适用其隐私条款。

服务商数据不会用于广告、数据经纪、信贷判断、监控或通用 AI/ML 模型训练。请勿在公开问题或支持报告中粘贴真实邮件、日历、令牌或账号数据。

06 · Google Limited Use

用途受到明确限制

从 Google API 获得的信息将依照包含 Limited Use 要求的 Google API Services User Data Policy 使用和传输。访问只用于本政策清楚说明的用户功能。除获得针对具体项目的明确同意、安全调查、法律要求或内部聚合匿名处理外，不允许人工查看 Google 用户数据。

07 · 网站、检查工具与反馈

默认不使用分析或遥测

此静态网站不设置 Corresync Cookie，不加载分析、广告或第三方脚本。GitHub Pages 可能依照 GitHub 隐私声明处理正常请求数据。

可选兼容性检查在浏览器中拆分邮箱地址，立即清空输入框，只把 @ 后经规范化的域名通过 JSON POST 发送给 discover.corresync.org。它不发送 @ 前内容，不使用 Cookie 或浏览器存储，也不启动登录。单用途 Cloudflare Worker 只向固定公共 DNS-over-HTTPS 解析器查询有上限的公开记录，不抓取域名提供的网址，不保留应用记录或缓存，并返回 no-store 响应。你也可以完全跳过它，在安装后运行本地发现。

交互式 CLI 可以查询 GitHub 公共 Releases API 检查更新，但不会发送账号地址、邮箱数据或持久设备 ID。反馈与自动公开错误报告默认关闭；只有你主动启用后，经过白名单和删减的无内容诊断信息才可能通过已登录的 GitHub CLI 创建公开问题。

08 · 安全

边界清晰，但没有绝对安全

Corresync 使用固定 API 端点、有效 TLS、PKCE、state 校验、操作系统钥匙串、账号隔离、经过认证的本地 IPC、有上限的解析和先预览后提交。任何本地存储与通信都无法保证绝对安全；请保护设备、钥匙串、MCP 配置、模型和备份，并只安装来源可信的版本。

09 · 你的选择与删除

随时断开并移除访问

  1. 网页检查工具完全可选，离开页面即可结束完整地址的浏览器内处理。
  2. 运行 corr account remove ALIAS --approve 可删除该账号的本地配置、配置文件、导入、游标和队列状态；不会删除服务商上的邮件或日历。
  3. 在服务商的“已连接应用”或安全设置中撤销授权。Google 可使用 Google 账号连接。
  4. 用 corr events purge --account ALIAS --approve 清除监控队列；卸载应用并删除本地配置与数据目录可完成本地移除。

corr auth logout 关闭本地会话，但会保留供下次登录使用的钥匙串授权；要彻底撤销，请删除账号并在服务商一侧撤销。

10 · 儿童

本服务不面向儿童

Corresync 是技术型邮件与日历工具，不面向 13 岁以下儿童，也不有意运营收集儿童个人信息的服务。

11 · 政策更新

重要变化会公开说明

政策会随产品、法律或服务商要求更新。生效日期显示在页面顶部，重要变化会同时出现在本页和发布说明中；若账号数据将用于新目的，会在使用前通知并取得同意。旧版本保留在公开源码历史中。

12 · 联系方式

问题与隐私疑虑

不含私密数据的政策问题请提交到 Corresync GitHub 问题。涉及私密细节的安全或隐私疑虑请使用私密安全报告。项目不托管你的账号、邮箱或日历，因此无法取得或删除只存在于设备或服务商处的数据。