# Novara 隐私政策

<p align="center"><a href="PRIVACY.md">English</a> · <strong>简体中文</strong></p>

---

**生效日期：** 2026-08-14
**最近更新：** 2026-10-19
**适用范围：** Novara 9.4（以及下述行为在更早版本中已存在的情形）

> 本政策描述的是 Novara **桌面应用**（Windows 版）。官方网站（novara.xin）与 GitHub 仓库为独立资产；本文档仅针对你安装并运行在本机上的软件。

---

## TL;DR

- **Novara 让数据保持本地。** 你的数据保存在你自己的电脑上，除非你主动让它离开，否则绝不会离开。
- **我们不收集任何东西。** 没有账号、没有遥测、没有使用统计、没有广告、没有设备指纹。
- **完全可离线使用。** 网络活动只在你要求时才发生：你手动触发的 API Key 检测（第 5 节）、你主动开启的本地 MCP 接口（第 6 节）、8.0 起新增的指向**你自己**服务器的同步（需你主动开启并完成配对），以及应用内检查更新（默认由你点击触发；novara11 起提供可选的自动检查档，只连项目发布站）——后两者均见第 5 节。导出的 Snapshot 查看器文件不发起任何网络请求；托管在哪里、谁能访问，完全由你决定。
- **加密是可选的，且默认关闭。** 请仔细阅读第 4 节，确切了解哪些内容受保护、哪些不受保护。快照导出（第 11 节）永远加密——每次导出都要求输入密码并产出同样的加密容器，与你本机库自身是否加密无关。

---

## 1. Novara 是什么

Novara 是一个本地优先的**个人数据控制层**——为你，也为你的 AI——面向 Windows，使用 C# 与 WinUI 3 构建。它将备忘、文件路径书签、待办清单、桌面便签与富文本记录整合进一个完全存储在你本机上的数据库文件。自 7.0 起，数据也可以跟着你走——以加密、只读快照的形式在任何设备上查看；自 8.0 起，它更可以**经由你自己托管的服务器跨设备同步**。

Novara **没有云后端**、没有账号体系，也不存在任何由 Novara 项目运营、可能接收你数据的服务器。互联阶段的一切服务端组件都由**你**自托管，且设计为只经手密文——明文在构造上就到不了它那里。应用被设计为在完全无网络连接的情况下也能完整使用。

## 2. 我们收集什么：什么都不收集

Novara 应用**不会**收集、传输，也不会存储到任何远程服务器：

- 你的笔记、密码、记录、待办项或你创建的任何内容；
- 你的身份、姓名或邮箱地址（无需注册）；
- 使用统计、功能使用日志或行为分析；
- 设备信息、硬件标识符或崩溃报告（见第 8 节）；
- 你的 IP 地址或网络活动。

由于一切都在你自己的机器上处理与存储，开发者**在技术上无法查看、读取或访问你的数据**。

## 3. 你的数据存放在哪里

Novara 的所有数据都写入一个本地目录：

```
%LocalAppData%\Novara\
```

> **开发构建：** 测试/开发版改用 `%LocalAppData%\Novara-Dev\`，从而避免测试数据与你已安装的正式版混在一起。本节其余内容对两者均适用。

该目录中的文件包括：

| 文件 | 用途 |
|------|---------|
| `data.novadb` | 你的整个数据库（备忘、路径、待办、便签、记录、设置）——单一文件 |
| `security.dat` | 锁定密码的版本化加盐哈希（PBKDF2-SHA256）——绝不保存密码明文；见第 4 节 |
| `lockout.dat` | 多次输错密码后的锁定状态（失败次数与锁定期限） |
| `language.dat` | 你选择的界面语言的纯文本提示（用于在解锁前以正确语言显示锁屏） |
| `stickies.json` | 用于主程序与桌面便签辅助进程之间同步的数据 |
| `backups\` | 内置备份功能生成的滚动本地快照 |
| `logs\` | 本地日志文件（见第 8 节） |
| `sync-state.json` | 本机的同步身份与它见到的最后一个服务器版本号——不含空间密钥 |
| `sync-credentials.dat` | 本机专属的服务器 token，以 Windows DPAPI 在你的账户下加密；从不参与同步、从不离开这台机器 |

该目录中的任何内容都不会被 Novara 自行上传——唯一例外是你主动开启的同步功能（见第 5 节）。删除该目录（或使用应用内「重置」功能）即会删除你的数据。

> **若你自行运行随包自带的同步服务端**，它会使用**自己**的数据目录（默认 `%LocalAppData%\Novara\Server\data`），与上面这个目录相互独立。该目录里只有密文块、版本元数据与一个小小的 SQLite 索引——没有密钥、没有明文。

## 4. 加密——请仔细阅读

Novara 的加密是**可选的，且默认关闭**。

- **默认状态：** 数据库以明文 JSON 文件形式存储在你本地磁盘上。它受 Windows 用户账户的文件权限保护，但**在你开启隐私锁之前并未加密**。
- **开启隐私锁后：** 整个数据库使用 **AES-256-GCM**（认证加密）加密。加密密钥由你的密码经 **PBKDF2-SHA256** 与每用户随机盐派生——格式 v3（5.3+）起为 **3,000,000 次迭代**，校准到解锁耗时「可感知但可接受」的亚秒级。GCM 还能检测篡改：如果加密文件被修改，Novara 会报告其已损坏，而不会静默地读错。
- **密码：** 锁定密码长度为 **6 到 64 个字符**。本地只保存版本化、加盐的**密码哈希**（哈希格式第二版起为 PBKDF2-SHA256）——明文密码绝不会写入磁盘。
- **Windows Hello（5.0 起）：** 你可用 Windows Hello 生物识别或 PIN 解锁。这不会存储或传输你的生物特征数据，而是把校验交给 Windows Hello 子系统完成。
- **无后门、无找回：** 刻意不提供任何找回遗忘密码的途径。如果你忘了密码，唯一的办法是清空数据库、重新开始。
- **防暴力破解：** 连续输错 5 次密码后，解锁将被锁定 30 分钟。失败次数与锁定期限在重启后依然保留，并使用单调时钟抵御系统时间回拨。
- **升级路径：** Novara 2.0 创建的数据库使用较旧的 AES-CBC 格式。Novara 3.0 及更高版本可读取它们，并在一次确认后迁移到较新的 GCM 格式。5.3 之前的 GCM 格式（100,000 次迭代 KDF）数据库经一次性选择权弹窗升级到强化后的 v3 参数。

**加密能保护什么、不能保护什么：** 完整威胁模型见安全说明（SECURITY.md）。简言之，加密保护的是你「静态」的数据（应用锁定或关闭时磁盘上的文件）。它无法保护已解锁在内存中的数据，也无法防御恶意软件、键盘记录器、屏幕截图，或对你已解锁设备的物理接触。

## 5. 网络行为——API Key 检测

Novara 被设计为**可完全离线使用**，不会回连服务器（phone home）。

- **更新需你主动选择，且绝不自行安装：** 默认状态下 Novara 绝不会自行检查更新。若你在「已是最新版本」弹窗中显式开启自动检查，Novara 会在启动约 25 秒后执行与手动检查完全相同的静态清单请求，此后每 6 小时一次；该节奏在界面中可见，随时可以关闭。未经你在每一步的显式确认，任何东西都不会被下载或安装。
- **无遥测或分析：** 应用绝不会联系任何由 Novara 项目运营的服务器。
- **联网功能全部需你主动开启：** 备忘管理中的 **API Key 检测**（三个由你显式触发的入口）、8.0 起新增的指向你自己配置的服务器同步，以及应用内检查更新（默认手动；novara11 起提供可选的自动检查档）。

### 三个检测入口

部分备忘条目类型为「API Key」。若你右键此类条目，Novara 可以针对**你自己为该条目配置的端点 URL** 运行：

| 入口 | 发送内容 | Token 消耗 |
|------|---------|-----------|
| **接口连通检测** | 向模型列表路径（如 `/v1/models`）发送 `GET` 请求，携带该条目的 API Key | 0 |
| **接口状态诊断** | 一条或多条最小对话请求，推断有无余额、读取元数据、测量延迟 | 1–3 |
| **中转站探针检测** | 随机化测试提示，校验模型真伪、能力、计费等 | 数十~上百 |

三者都**只发往你自行配置的第三方端点**——绝不发往 Novara 项目。任何消耗 token 的检测都会在运行前**再次向你确认**，并在报告中展示实际 token 总量。你的 Key 在界面中全程掩码，绝不写入日志或报告。

这是唯一会把你的**机密**（API Key）发往网络的功能——且只发往你自己配置的端点。同步（见下）只传密文；检查更新（见下）不发送任何与你有关的信息。如果你都不使用，Novara 产生的网络请求为**零**。6.0 起，标题栏会常显「仅本地」状态，并在检测出网时短暂显示目标端点——这仅是显示层，不引入任何新的网络行为。

### 同步（8.0）——只发往你自己运行的服务器

同步在你显式开启之前一直是关闭的，并且只与你**自己**配置的服务器通信。不存在由 Novara 运营的服务，同步也不会自动发生任何事情。

| 什么 | 发往哪里 | 服务器能看到什么 |
|------|---------|-----------------|
| 你的数据库 | 你配对的那台服务器，以 `.novaenc` v4 密文载荷形式 | 它无法解密的字节 |
| 一个小小的明文信封 | 随每份载荷一起 | 容器／同步版本号、本次载荷基于的版本号、设备 id 与时间戳 |
| 设备 token | 每次请求以 `Authorization: Bearer` 发送 | 只保存它的 SHA-256，用于鉴权 |

永远不离开你机器的：你的密码、空间密钥，以及由它们派生的一切。服务器不持有密钥、一个条目也解不开——这也意味着它无法帮你恢复任何东西，我们同样不能：空间密钥与所有已配对设备一起丢失，服务器上的数据在设计中就是不可恢复的。

关闭同步（或撤销某台设备）即停止流量；服务器会保留它已经持有的那些版本，直到你从它的数据目录里删除它们。

### 检查更新（9.0）——只连项目发布站

检查更新随时可以手动点击——若你开启自动检查，它还会在启动约 25 秒后以及此后每 6 小时各运行一次。无论哪种方式，应用都只从 **novara.xin** 拉取一份静态清单（`latest.json`）与其签名文件，其中只有最新版本号、发布日期、下载地址与 SHA-256 哈希；这些请求不附带任何与你有关的信息。你确认升级后，安装包经 HTTPS 从同一站点下载，并先校验 SHA-256，通过后才允许运行。这次请求和其他出站调用一样，会出现在网络活动流水里。

## 6. MCP Agent 接口——请仔细阅读

自 5.0 起，Novara 可以暴露一个**本地 MCP 服务器**，让 AI 助手代你读写卡片。这是**可选**功能，默认关闭。

- **Novara 自身保持离线。** MCP 服务器是一个本地进程，通过本地命名管道与运行中的 Novara 主程序通信。它自身不产生任何网络请求，也不向任何地方发送任何东西。
- **访问控制。** 接口由你设置的令牌、逐客户端授权（任何进程首次连接都需你批准，且每个已授权客户端持有自己的读/建/改/删权限矩阵）、以及数据库解锁状态共同把关——锁着或加密的数据库会拒绝一切请求。删除需要客户端自身的删除权限位与全局删除总开关同时开启，二者缺一不可。
- **敏感字段脱敏。** 密码、密钥、token 字段读出为 `****`，且不参与搜索结果，助手无法轻易提取你的机密。
- **本地审计日志。** 5.1 起，Agent 的每项活动——连接、授权、被拒尝试、带脱敏摘要的工具调用——都会记录在本地审计日志中，你可以在设置中查看与清理。

**关于云端 AI 必须理解的一点。** MCP 服务器本身绝不传输你的数据。但如果你接入的是**云端托管**的 AI 助手（例如调用远程模型的 AI 应用），那么该助手从 Novara 读到的内容，可能会被**那个 AI 客户端**发往你所选的 AI 服务商——这由 AI 应用及其服务商控制，而非 Novara。如果你使用**本地**模型，则没有任何东西离开你的电脑。请在授权前查看你所接入的 AI 客户端的隐私政策。

## 7. Novara 会访问你设备上的什么

Novara 刻意将接触范围降到最小：

- **它自己的数据目录**（`%LocalAppData%\Novara\`，开发构建为 `Novara-Dev`）——只在这里读写。
- **你自行选择的文件/文件夹**——「路径备份」功能允许你登记文件或文件夹路径。Novara 仅检查这些特定路径是否存在（绿/红边框），并在你点击时用文件资源管理器打开它们。它**不会**扫描整个磁盘，也不会读取无关文件。
- **文件/文件夹选择器**——在你创建或编辑路径条目时，选择器让你自行选择文件或文件夹。
- **本地命名管道**——仅用于可选 MCP 接口，接收同一台机器上 `NovaraMCP.exe` 进程发来的工具调用。
- **Windows 注册表（仅当前用户，`HKCU`）**——Novara 为你开启的可选功能写入少量用户级注册表项：
  - `HKCU\Software\Microsoft\Windows\CurrentVersion\Run` 下的「开机自启」键；
  - `HKCU\Software\Classes\` 下的右键菜单项（桌面背景、文件/文件夹右键菜单）。
  这些在你关闭相应功能或卸载应用时会被移除。

Novara **不会**请求或使用：摄像头、麦克风、位置、通讯录，或除第 5 节所述显式检测之外的任何网络权限。

## 8. 日志与诊断

- 日志**仅保存在本地**，绝不会发送给开发者或任何第三方。
- 崩溃日志可能写入 `%LocalAppData%\Novara\logs\` 下的本地文件（如 `crash-*.txt`），以便日后在你愿意时用于诊断。日志中的敏感值（如 API Key）会被脱敏。
- 桌面便签辅助进程会在 `%LocalAppData%\Novara\logs\` 下写入自己的日志文件（`sticknotehost_debug.txt`）。
- API 检测会向 `%LocalAppData%\Novara\relay-probe.log` 追加诊断日志（端点 URL、状态、token 用量、截断的响应体；API Key 本身绝不写入）。仅保存在本地。
- **不存在自动诊断上报**。若你联系支持，可自行选择附上日志文件——未经你的操作，任何内容都不会被传输。

## 9. 第三方组件

Novara 基于标准 Microsoft 技术与若干开源库构建：

| 组件 | 作用 | 数据说明 |
|------|------|---------|
| WinUI 3 / Windows App SDK 2.5 | UI 框架 | 本地；Novara 不做数据收集 |
| .NET 10 | 运行时 | 本地 |
| WebView2（Edge Chromium） | 承载记录编辑器（富文本与 Markdown） | 微软组件；可能保留其自身的本地运行时数据，其处理遵循微软的隐私声明。编辑器本身**离线**运行（引擎内置，无 CDN）。 |
| H.NotifyIcon | 系统托盘图标 | 本地 |
| Tiptap | 富文本编辑器引擎 | 作为本地脚本（`tiptap.bundle.js`）打包，完全离线运行 |
| markdown-it | 记录编辑器中的 Markdown 渲染 | 作为本地脚本打包，完全离线运行 |
| AngleSharp | 编辑器 HTML 净化 | 本地；用于剥离粘贴内容中的不安全 HTML |
| Win2D（Microsoft.Graphics.Canvas） | 弹窗磨砂背景的本地模糊渲染（6.0+） | 本地 |

Novara 不嵌入任何广告 SDK、分析 SDK 或第三方追踪代码。

## 10. 数据共享

Novara **不会共享、出售、出租或传输**你的数据给任何第三方。不存在任何涉及你数据的商业模式——没有广告、没有分析、没有联盟追踪。

唯一可能离开你机器的数据，是你自己发送的数据：

- API Key 检测（只在你显式操作时发往你配置的端点），
- AI 助手读取后经**你选择的云端 AI 客户端**发送的数据（见第 6 节），
- 跨设备同步载荷（第 5 节）——只有密文，发往你自己托管的服务器，
- 你导出的 **Novara Snapshot**（第 11 节）：一份永远加密的文件，放到哪里由你决定——无论托管在何处，查看器文件自身不发起任何网络请求，以及
- 你主动导出或备份到你选择位置的文件。

## 11. 你对数据的控制权

你始终拥有完全的控制权：

- **导出（原生格式）**——导出带 SHA-256 完整性头的完整明文备份（`.novabak`；旧 MD5 头文件经双头探测仍可导入）。*注意：导出的文件未加密*——请妥善保管。路径备份条目默认排除（可选包含），以便迁移到新机器。
- **加密备份（5.2 起）**——可改为导出 `.novaenc` 容器：AES-256-GCM 认证加密，使用独立的备份密码——该密码绝不存储于任何地方，每次导出都可重新设置。密码遗忘则备份无法解密，没有任何找回途径。
- **Novara Snapshot（7.0 起）**——将你勾选的数据分区导出为一个自包含、永远加密的 HTML 查看器。每次导出都要求输入密码并产出同样的加密 v4 容器，与你本机库自身是否加密无关。密码绝不存储、无法找回；刷新页面，明文即从内存消失。查看器不发起任何网络请求，你看过的任何内容都不会被浏览器持久化。封口前，MCP 令牌与客户端授权数据一律从导出中剥离。
- **跨设备同步（8.0 起）**——经由你自己托管的服务器让你的多台设备保持同步。离开你电脑的只有密文，而服务器不持有密钥，所以它既读不到、也无法为你恢复数据。关闭同步或撤销某台设备，流量即刻停止。
- **CSV 导出/导入**——将备忘导出为 CSV，或从 Novara、KeePass、Bitwarden 格式导入 CSV。
- **PDF / HTML 合集**——将全部记录导出为可打印的 HTML 或 PDF 合集。
- **Markdown 导出**——将记录导出为 Markdown，可含 / 不含图片。
- **备份快照**——内置备份保留最多 10 份可恢复的滚动本地快照。
- **导入 / 恢复**——导入备份；校验、归一化与回滚可防止损坏或重复数据。
- **回收站**——删除的卡片进入回收站，7 天内可恢复，之后在下一次启动时被永久清除。
- **重置 / 删除**——应用内「重置」会清空数据库并重新开始。
- **隐私锁**——你随时可以在设置中开启、更改或关闭加密。关闭后数据库会重新以明文保存。
- **MCP 接口**——你随时可以在设置中开启或关闭 Agent 接口、轮换令牌、管理逐客户端的授权与权限。

## 12. 我们永远不会做的事

Novara 项目在设计中承诺如下：

- 我们**永不**运营收集你数据的云服务器。互联阶段项目交付的任何服务端组件都由**你**自托管，且只经手密文——明文在构造上就到不了它那里。
- 我们**永不**加入遥测、分析或广告。
- 我们**永不**加入后门、密码找回后门，或任何远程解锁/窃取你数据的机制。
- 我们**永不**在未经你显式操作的情况下自动安装更新、自动上传或以其他方式移动你的数据。

## 13. 儿童隐私

Novara 不收集任何人的任何个人信息，包括儿童。由于应用完全本地化、不收集任何信息，因此不适用特殊的儿童隐私条款。

## 14. 本政策的变更

随着应用演进（例如新增功能），本政策可能更新。更新将随新版本一同发布。更新后的政策自其生效日期起适用，不会影响或改变已存储在你设备上的数据。

## 15. 联系方式

如对隐私有疑问或请求，请联系：

- **邮箱：** owner@novara.xin
- **网站：** https://novara.xin
- **GitHub：** https://github.com/Novara-owner/Novara-Vault