第10章 隐私与遥测
隐私与遥测 Orca 会收集哪些匿名使用数据，哪些数据绝不收集，以及如何选择退出。
本页介绍了我们在 Orca 官方构建版本中收集的匿名产品使用遥测数据，说明我们绝不收集的内容，以及退出方式。
摘要
* 匿名性：事件通过存储在本地机器上的随机 ID 进行标记。我们不会收集账户、电子邮件、IP 地址或用户名。 * 不收集内容：我们绝不传输文件内容、提示词、Agent 输出、终端输出、仓库名称、分支名称、URL、路径或提交信息。 * 默认关闭：当设置了 `DO_NOT_TRACK=1` 或 `ORCA_TELEMETRY_DISABLED=1` 时，遥测功能始终处于关闭状态。
我们收集的数据
除每个事件本身外，我们还会附带基础构建和平台信息：Orca 版本、操作系统（如 darwin / win32 / linux）、CPU 架构、粗略的 OS 发行版字符串、发行渠道（stable 或 rc），以及上述提到的匿名本地 ID。不收集主机名、用户名或 IP。
我们观察的行为类别包括：
* 生命周期：应用打开时。用于估算日、周、月活跃用户数。 * 仓库与工作区：当你添加仓库或创建工作区时。我们记录你的操作方式（例如通过文件夹选择器还是克隆 URL；通过命令面板还是拖放），但绝不记录仓库名、URL、路径、分支名或任何自由文本。 * Agent：当你启动 Agent 时，记录其类型（来自 claude-code、codex、gemini 等固定列表）以及启动位置。绝不记录提示词、模型详情或 Agent 输出。 * Agent 错误：粗略的错误类别及涉及的 Agent 类型。我们看不到原始错误信息或堆栈跟踪；每次事故的详细诊断信息保留在你本机的诊断跟踪文件中，只有当你明确分享诊断包时才会发送到 Orca。 * 设置：当你切换少量白名单内的功能开关或 UX 偏好时。我们记录改变了哪个偏好项，以及它是布尔值还是枚举类型，绝不记录任何自由文本设置的原始值。 * 隐私控制：当你选择加入或退出遥测功能时，以便我们从聚合数据中判断同意界面是否有效。
我们传输的每个字段要么是固定枚举值，要么是版本字符串，要么就是匿名本地 ID。任何 UI 输入中的自由文本字符串都不会离开你的机器。
我们绝不发送的数据
* 不发送文件路径、仓库名、分支名、URL、提交信息或当前工作目录。 * 不发送 Agent 提示词、响应或终端内容。 * 不发送原始错误信息或堆栈帧。每次事故的错误上下文保留在你本机的诊断跟踪文件中，只有在你明确分享诊断包时才会传送到我们这里。 * 不发送用户账户信息（Orca 没有账户系统）。 * 不发送 IP 地址或精确的 GeoIP 信息；从请求中推导出的唯一地理信号是所属国家。 * 不建立绑定你匿名 ID 的供应商侧用户资料。
如何退出
你可以通过三种方式禁用遥测功能。只需满足其中一种即可，它们可以组合使用。
* 应用内设置：进入 设置 → 隐私 → 关闭“共享匿名使用数据”开关。更改立即生效并持久保留。
* `DO_NOT_TRACK=1`：社区标准环境变量。禁用该次启动时的传输。取消设置后，下次启动时会恢复你存储的偏好设置。
* `ORCA_TELEMETRY_DISABLED=1`：Orca 特定的“一键禁用”开关，语义与 `DO_NOT_TRACK` 相同。
数据去向
* 供应商：PostHog Cloud，美国区域。 * 保留策略：遵循 PostHog Cloud 基于其定价页面的默认计划级保留策略。我们未设置自定义保留窗口。 * 访问权限：项目访问权限仅限于少量 Orca 维护者。
