隐私说明

适用范围

本说明于 2026-10-25 按 CLI v0.5.38 及同一版本的原生客户端源代码核对，涵盖网站、CLI 和插件。源代码核对不等于对未来正式应用安装包的运行验收；尚未实现的功能不在本说明的保证范围内。

原生客户端通过内置 CLI 获取个人观察和公开数据，不自行读取账号凭据或会话记录。desktop --json --read-only 读取已有数据，不记录历史、不刷新账号、不启动后台采集；publication --json 可以下载并更新公开缓存。

本机读取与保存

CLI 可读取 Claude Code 状态栏输入与会话文件、Codex 会话日志、OpenCode 和 ZCode 用量数据库，以及你填写的 ~/.config/modelplan/local.json。它选择型号、档位、时间、token 数、额度与项目元数据，不把对话正文或工具内容保存到自己的用量账本。读取会话文件仍会让文件内容经过进程内存。

Gemini 和 Qwen 本地历史分别需要主动启用；启用后从各自目录生成有界的 35 天 token 视图，不读取其凭据或联网。Qwen 聚合导出需要另行指定文件或目录。即使只读运行，CLI 也可能在内存中检查已配置的 key 环境变量，以匹配已有额度缓存。

CLI 还可从 ~/.claude.json（或 CLAUDE_CONFIG_DIR 对应文件）读取 Claude 账号/组织 ID。它们、Codex 账号身份或所选 key 可用于本机身份匹配：身份经过本机带密钥哈希映射到随机订阅引用；项目根目录生成带密钥哈希引用。项目文件夹名称默认保存在本机。并非所有本地标识都匿名化：插件提示状态也可保存线程 ID、重置边界和已提示标记。

网络请求与第三方工具

公开推荐默认匿名下载自 modelplan.ai，CLI 的 MODELPLAN_BASE 或 --base 可以更改地址。下载请求包含 CLI 版本和普通网络信息（例如服务器可见的 IP 地址），不包含个人用量载荷。v1 协议的 publication 是公开数据，desktop 则包含本机个人观察。谱系选择标记来自公开发布，不代表个人额度或账号权限。

以下可选额度读取器需要主动连接。key 在请求期间使用；ModelPlan 不把厂商 key 保存为自己的凭据文件。Cursor 使用编辑器已有的本地登录状态。

Kiro、Copilot 和单独的 Codex 账号读取器调用各自已安装的 CLI，由这些工具管理登录与网络目标。Kiro 包装器只指定本机 ACP 用量请求，未固定 HTTP 主机；不能从本项目源代码保证外部运行时的全部主机或凭据路径。普通 CLI 的 Codex 账号刷新默认开启；原生只读命令不启动这些刷新。

可选 CodexBar 桥接把读取交给 CodexBar，它可能使用自身设置、其他 CLI 登录、Cursor 或浏览器 cookie。默认从 GitHub Releases 下载固定版本的辅助程序；下载地址可以被配置覆盖，重定向目标也不由本项目源代码固定。第三方工具的登录存储和请求受其自身实现与设置约束。

已核对的原生源码没有实现自动应用更新；计划中的更新服务不等于现有功能，也没有据此承诺某个更新主机或保留期。

插件与助手上下文

CLI 不向 ModelPlan 服务器上传个人用量，也不调用模型推理接口。但插件和 Skill 可以把你请求的本地结果交给宿主助手。v0.5.38 的自动 hook 会把任务简报以及选定的剩余额度、重置时间事实放入助手上下文；宿主可能随自己的模型请求发送这些内容。这不等同于所有个人数据都永不离开你的电脑。

设置 MODELPLAN_TASK_BRIEF=off 可停止这些自动上下文提示；它不会停止你主动调用工具后返回给助手的结果，也不会关闭所有面向用户的提示。禁用或卸载插件可停止其 hook。ModelPlan 不在自己的服务器保存这些助手上下文；宿主服务如何处理请求由该服务决定。

网站与托管

网站不需要账号或登录。关注的模型/套餐、语言、外观和时区等偏好保存在浏览器本地存储。此隐私页面使用本站脚本与自托管字体，不加载第三方统计脚本。网站其他页面的可选访问统计默认关闭，只有构建时明确配置后才会加载。

访问网站、下载公开数据或辅助程序仍会把普通请求信息交给服务器/CDN。源码不能证明托管方不保留访问日志，也未确定日志保留期；我们不作覆盖托管方的“什么都不收集”或固定删除期限承诺。你主动通过邮件、API 或助手发送的信息会交给相应接收方。

停止读取与提示

可选厂商逐个使用 modelplan disconnect NAME（zai、opencodego、kimi、minimax、cursor、kiro、copilot）。codexbar disable [NAME] 只清除旧版选择；显式连接仍需 disconnect。MODELPLAN_NATIVE=off、MODELPLAN_CODEXBAR=off 分别关闭相应后端；MODELPLAN_CODEX_ACCOUNT=off 关闭单独的 Codex 账号刷新。

modelplan usage gemini disable / usage qwen disable 或 MODELPLAN_GEMINI=off / MODELPLAN_QWEN=off 可停止对应本地历史读取。停止 Qwen 导出视图，还需取消 MODELPLAN_QWEN_USAGE_EXPORT 并停止使用 --export。MODELPLAN_HISTORY=off 停止历史/性能记录和 Gemini/Qwen 历史读取，不是所有文件读取与网络请求的总开关。

MODELPLAN_IDENTITY=off 停止账号身份读取/引用；modelplan project-labels off 删除已存的项目名称，应用中隐藏名称不等于删除。publication --json --offline 只读取公开缓存。环境变量只影响继承它们的进程；停止应用、CLI 和插件调用，可停止其余读取器。

保留与删除

先退出应用并停止 CLI/插件写入。删除 macOS 的 ~/Library/Caches/modelplan（或你设置的 MODELPLAN_CACHE）可清除公开缓存、观察账本、本机身份密钥和辅助程序下载。删除 ~/.config/modelplan/ 可清除本项目设置、可选来源同意和本地声明；这不会删除厂商原始历史、登录状态或第三方工具的存储。再次启用读取后，仍存在的源历史可能被重新读取。

默认裁剪窗口：perf.json 性能/会话账本 35 天；daily-long.json 按天汇总 371 天；speed.json 28 天；五小时额度周期 28 天、节奏读数 35 天，较长周期均为 84 天。大小上限可能让记录更早移除。这些是写入时裁剪，不是定时磁盘删除，也不是所有设置和缓存的统一保留期。

当前原生快照保存在内存中；偏好文件和图像缓存库由调用方指定目录。已核对源码未确定未来正式构建的统一应用目录，因此这里不提供猜测的删除路径，也不声称应用清除按钮会删除 CLI 数据。网站偏好可在浏览器的本站存储设置中清除。

维护者与联系

ModelPlan 是开源项目，由 guanbear 维护，在 GitHub 组织 modelplan 下发布。CLI 和通用社区客户端采用 MIT 许可，官方视觉另有条款。隐私联系邮箱为 [email protected]。