# 本地数据与隐私

DeepSeek Harness Desktop App 是单机桌面应用。项目、会话、查询记录和运行证据默认保存在当前电脑，不会因为打开应用或查看历史记录自动上传。

## 保存哪些内容

默认数据目录是 `~/.dsh`，也可以通过 `DSH_DATA_ROOT` 修改：

- `local.db`：项目、配置、会话索引、运行事实、审批和证据索引；
- `projects/`、`runs/`：项目工作区、每次 Agent 运行的输入、日志和产物；
- `intermediate/`：分析过程中的 DuckDB 中间结果；
- `structured/`、`uploads/`：用户导入的数据和文件；
- `yitrace/`：本地 Trace；
- `agent_runtime/`：Agent 运行配置、会话标识和任务状态；
- `sessions/`、`storages/`：DSH Profile 的会话日志与配置存储。

启用 Agent 能力后，运行配置、会话标识和任务状态保存在上述 `agent_runtime/` 与 `sessions/`、`storages/` 目录。DeepSeek Harness Desktop App 不使用外部账户模型，只连接用户在当前项目中配置的模型服务。

这些文件可能包含业务数据、SQL、文件路径、命令输出、模型回答和错误信息。API Key、Token、密码以及 MCP 配置中声明的敏感字段会在运行事实和日志中做脱敏，但用户主动写入文件或第三方工具返回的内容仍可能包含敏感信息。

## 什么时候会联网

Agent 默认使用工作区可写沙箱和按需审批，对应技术配置为 `workspace-write` 和 `on-request`。命令、文件修改和外部工具仍受沙箱、用户审批及 DeepSeek Harness Desktop App 工具权限控制。以下操作只有在用户配置或发起后才会访问外部服务：

- 调用模型或向量模型；
- 连接当前项目配置的模型服务；Responses API 直接连接，Chat Completions API 通过只监听本机回环地址的适配器连接；
- 连接远程数据库；
- 使用 MCP、网络搜索、代理或其他第三方服务；
- 下载依赖、检查更新或执行发布流程。

外部服务收到哪些数据取决于对应配置和本次操作。启用前应查看服务提供方的隐私和保留规则。

## 保留和删除

- 普通项目和会话会一直保存在本机，直到用户删除或清理数据目录；
- Agent 运行默认设置 30 天保留期；已归档运行不会按普通过期规则清理；
- 删除运行时会一起删除对应事件、工具事实、证据、子任务和运行目录；
- 删除 `~/.dsh` 会删除本机全部应用数据，操作前应先备份；
- 操作系统备份、用户自行复制的文件和第三方服务中的副本不受应用删除操作控制。

## 安全反馈

发现数据泄露或其他安全问题时，请按 [SECURITY.md](SECURITY.md) 的方式私下联系维护者，不要在公开 Issue 中附带密钥、真实业务数据或完整利用方法。