凭据留在本机。
数据流向也应清楚。

说明范围

Isometry for Mac 由本机桌面应用、后台 helper、OpenConnector 执行器和云端 Relay 组成。它帮助你选择每个 Agent 可以使用的连接及操作，并查看执行状态。

凭据在哪里

上游服务 API Key 及 Google OAuth access/refresh token 保存在 Mac 的加密连接库。主密钥、设备凭据和本应用的客户端凭据使用 macOS Keychain。Agent 配对凭据与上游服务 token 是不同的凭据；应用不会把上游服务 token 交给 Agent 或上传到 Relay。

App 自带的 Google Desktop OAuth client 配置用于发起授权，不含你的用户 token。公共 Desktop client 配置不能被当成可在分发二进制中保密的服务器密钥。

调用数据如何流动

1. 你选择权限连接服务后，为指定 Agent 选择 Key／连接。未选择的连接不可使用；授权涵盖本版本支持的服务能力，资源范围由上游凭据决定。
2. 客户端经 Relay 发来请求远端调用参数经过 HTTPS Relay 转交 Mac；Mac 不开放公网端口。
3. Mac 检查并执行每次外发前重新检查 Agent、操作授权、保险库、截止时间和幂等约束，再访问目标服务。
4. 结果返回客户端远程调用的结果经 Relay 内存转交已配对客户端。Agent 获准读取邮件内容时，返回的内容也属于这条数据流。

因此，“token 留在本机”不表示 Gmail 数据从未经过服务器。Relay 会在处理调用时接触请求及结果；它的持久执行数据库不保存原始请求或完整提供商响应。

客户端收到结果后可能按自身设置保存对话或副本。Isometry 的授权撤销不能删除已交给 Codex 或其他客户端的内容；请同时了解所选客户端的数据处理方式。

记录与留存

本机历史元数据用于审计、状态核对与避免重复执行。候选版提供此设备云端元数据删除入口，详见下节；本机完整数据清除、运营备份留存与安全恢复流程仍在完善。本页不承诺固定删除天数或所有副本即时消失。

你可以控制什么

• 修改或撤销 Agent：后续派发重新检查最新权限；不保证撤回已外发请求。
• 暂停本机执行或停用云端：停止相应新派发，原未知任务不会自动重放。
• 断开本机服务连接：先收回全部相关 Agent 授权，再移除当前连接凭据。失败时保持阻断，应用提供重试清理；重连不会自动恢复旧权限。
• 在 Google 撤销访问：前往 Google 账号第三方连接管理移除 Isometry。可能影响同一账号的其他 Isometry 连接；本机断开不会替你完成此操作。

Gmail 当前只请求 gmail.readonly，不请求发送、修改或删除邮件。Agent 必须获准使用该连接；每次派发仍核对具体操作及当前授权。旧版部分授权不会自动扩大。

删除和未知结果的边界

在“设备状态”展开“管理此设备的云端数据”，可请求删除此设备在 Relay 的 Agent、授权、配对和执行等活动元数据。确认后先暂停云端任务；删除响应丢失时，界面保留待确认状态，重试用于确认原删除，不会重放服务操作。收到有效回执后，本机退役此设备的云端身份及其远程配对凭据。再次连接将建立新身份，需要重新配对客户端。

Relay 保留阻止旧身份重新激活的最少安全记录（原设备 ID 和凭据哈希），不保留该身份的活动授权或执行记录。此操作不会删除本机服务连接、Agent、日志、运营备份或下游客户端副本，也不会撤销 Google 授权；已派发的操作不能保证撤回。

系统无法确认执行结果或 Relay 接收回执时，会明确保留未知状态，不会自动重发操作或完整响应。“本机收到响应”“Relay 接收”和“客户端已读取”是不同事实。

联系与后续状态

如需就连接、授权或记录处理寻求协助，请联系 winless@bbd.sh。只提供必要的版本、错误和脱敏标识，不发送凭据或私人邮件。