TDB 待办箱隐私说明
说明哪些信息会被读取、在哪里处理，以及你可以怎样停止访问或删除本机数据。
说明更新日期：2026 年 10 月 27 日。适用于 TDB Mac 分享预览版及本网站；下述新增加密和清除功能适用于 1.6.2 审核候选版，旧安装包不会自动获得这些功能。
应用与联系
TDB 待办箱是由个人项目维护者维护的 Mac 桌面待办应用，帮助使用者整理手动事项、Canvas 作业及 Gmail 中需要处理的事项。隐私与支持联系邮箱为 guojiahetongxue@gmail.com。
读取哪些信息、为什么读取
| 来源 | 用途和范围 |
|---|---|
| Gmail | 使用 gmail.readonly 读取账号基本标识及所选范围内的邮件信息，以识别需要回复、确认、提交材料或准备的事项。默认范围为最近 48 小时；已有未完成待办的原线程及相关已发送回复可早于该范围。 |
| Canvas（可选） | 读取账号与课程、作业和提交状态。启用内容分析后，也使用公告和讨论内容辅助识别课程要求。连接使用你自己的学校网址和个人访问令牌。 |
| ChatGPT / API（可选） | 保存登录所需的账号标识、授权会话和刷新信息，或你主动配置的 API 密钥，用于调用 OpenAI 生成待办。ChatGPT 登录本身不等于读取你的 ChatGPT 聊天历史。 |
| 本机待办 | 保存你输入的标题、详情、格式、勾选、日期和设置，以及从邮件或课程内容生成的待办、来源链接和核查时间。 |
Gmail 接入不请求发送、修改标签、标为已读或删除邮件的权限。每次新邮件检查使用你选择的范围，默认最近 48 小时，可在高级设置中调整。1.6.2 版可填写 Gmail 搜索条件，进一步缩小新邮件范围；它不会取消旧未完成待办线程的复查。已有未完成待办的原线程会另行复查；候选邮件按完整线程读取，因此可能包含更早的往来。
附件处理存在版本差异。 应用没有单独下载附件的步骤，但旧版 1.6.1 可能把邮件中内嵌的文本附件当作正文。准备发布的新版已增加按附件文件名和邮件附件标记排除内容的处理；该修复尚不能视为已包含在旧安装包中。邮件摘要由 Gmail 提供，不能承诺摘要中完全没有附件相关信息。
邮件如何经过智能整理
- 获得明确同意后才启用内容分析。 登录 Gmail 与同意向 OpenAI 发送分析内容是不同步骤。未同意时不进行 Gmail 智能待办分析。
- 先筛标题和摘要。 所选时间范围内的邮件标题、发件人、日期、标识与摘要会发送给 OpenAI，用于判断哪些邮件可能需要处理。初筛不是完全在本机完成。
- 再核对相关正文。 候选邮件、已有未完成事项的原线程及相关已发送回复会被读取并发送给 OpenAI，以核对动作、交付物、截止及处理状态。
- 将结果保存为待办。 结果可包含邮件或课程内容的摘要、相关日期和原文链接。它们可能仍是个人信息。AI 可能误判或漏项，应以原文为准。
同意内容分析后，Canvas 公告、讨论等必要上下文也可能发送给 OpenAI。关闭内容分析时，Canvas 直接作业同步仍可使用。应用不会自动代发邮件、回复他人或提交作业。
数据发送给谁
Google 用于 Gmail 登录与邮件读取；学校的 Canvas 服务用于课程读取；OpenAI 用于 ChatGPT 授权及所选智能整理请求。TDB 的现有桌面流程直接从使用者的 Mac 访问这些服务，没有提供 TDB 待办云同步服务，也没有由项目维护者运营的邮件内容中转服务器。
这不等于数据从不离开设备。启用 AI 时，上述摘要和相关正文会发送到 OpenAI 服务处理。两种接入方式应分别理解：
- 使用自己的 OpenAI API 密钥： OpenAI 官方文档说明 API 数据默认不用于训练模型，但主动选择共享数据时例外。滥用监控日志可能包含请求和回复，默认最多保留 30 天，并存在法律或安全所需的延长例外。TDB 在请求中关闭响应保存，但这不能关闭所有服务端日志或缓存，也不构成“零数据保留”。TDB 不替你核实或更改 API 组织的共享与保留设置。参见 OpenAI API 数据控制说明。
- 使用 ChatGPT 登录及计划额度： 官方文档确认这是一项单独授权的能力，不授予 TDB 访问你的 ChatGPT 聊天或记忆的权限；当前接入要求关闭响应保存并使用流式请求。然而，所核查的文档未明确建立此路线专属的训练与日志保留规则。本项目尚未确认能否把 API 密钥路线的条款直接适用于它，因此不将 API 默认规则当作 ChatGPT 登录路线的保证。参见 ChatGPT 登录与授权说明及当前接入限制。
在这些条件核实前，本说明不作“零保留”“所有路线绝不训练”或“所有内容仅在本机处理”的承诺。你可以不启用内容分析，继续使用手动待办和 Canvas 直接作业同步。
在 Mac 上保存什么
- Gmail、Canvas、ChatGPT 和可选 API 登录凭据存入 Mac 钥匙串中的受保护容器，系统可能要求本人确认访问。
- 分享版待办、设置及历史保存在
~/Library/Application Support/TDBTodoBox/。其中包含state.json、accounts.json和connected_tasks.json等本机文件；高级导入可能使用floating_tasks.json。 - 1.6.2 审核候选分享版使用 AES-256-GCM 加密账号设置、导入快照、待办及历史；独立随机密钥保存在同一个 Mac 钥匙串容器中。目录与文件分别限制为仅当前用户访问（0700 / 0600）。旧文件首次读取时原位加密迁移，旧损坏备份也会加密；密钥不可读或完整性校验失败时停止写入，不以空清单覆盖。加密不能保护已解锁并显示在屏幕上的内容，也不保证阻止具备相应本机权限的软件。旧版 1.6.1 的普通 JSON 文件需在升级成功后才获得此保护。
- 没有承诺待办或历史会在固定天数后自动清除。删除应用本身不会自动删除这些本机数据或所有钥匙串条目。
停止分析、断开账号和删除数据
你可以在设置中关闭内容分析和每日整理，停止后续自动分析；也可以在账号管理中断开 Gmail 或 Canvas。断开会移除当前使用的本机登录信息，并停止以该账号继续读取。若旧版钥匙串副本无法清除，应用会提示，本版本不会再使用它。
断开账号不等于彻底删除已有内容。 当前实现会把相关导入事项标为已解决并从待办视图隐藏，来源快照和历史中仍可能留有详情。Google 侧授权需另行在 Google 账号的第三方连接设置中撤销；Canvas 令牌可在学校 Canvas 的账号设置中撤销。
1.6.2 审核候选版的高级设置提供“清除全部本机待办与历史”，再次确认后清除手动及导入待办、所有日期的历史和旧损坏备份，关闭内容分析与每日整理，并保留账号登录。外部邮箱、日历、导出文件、系统备份及第三方副本不受此操作影响。若要连同全部设置清除，或仍使用旧版，请先退出应用，确认是否需要备份，再删除 ~/Library/Application Support/TDBTodoBox/。凭据条目还需通过应用的断开/退出操作或 macOS 钥匙串管理移除。此操作会一并清除该分享版的手动待办和历史，不能只通过卸载代替。具体步骤见数据管理帮助。
如果曾主动启用日历同步、导出或手动复制待办，产生的外部副本需在相应应用中另行管理。发送到第三方服务的数据应按该服务适用的账号和隐私流程处理；本机删除不能保证同时删除第三方副本。
Google 数据的用途限制与发布状态
TDB 的邮件读取和生成流程用于使用者明确同意的待办整理。项目维护者不将通过这一集成获得的邮件数据出售、用于广告定位，或用于开发、训练、改进通用 AI / ML 模型。
Google API Services User Data Policy 的 Limited Use 等要求也涉及第三方处理。在 Gmail 正式开放前，本项目仍需核实 OpenAI 各接入路线的适用处理条件，并完成适用的 Google 验证流程。用户同意发送数据不能替代这些核实；本页不是已经通过 Google 审核的声明。
这个网站与支持联系
本网站由 ChatGPT Sites 托管，已绑定正式域名 todobox.work；平台默认域名也保留公开预览。页面没有自行添加分析追踪脚本、第三方字体、账号登录或邮件采集表单；演示均为虚构内容，不连接访问者的 Gmail、Canvas 或 ChatGPT 账号。
为传送网页和维护服务，托管平台可能处理 IP 地址、浏览器信息、访问时间和请求路径等技术数据，并依其适用政策处理。TDB 没有承诺托管平台不记录日志，也未确认这些日志的具体保留天数；网站访问日志不同于桌面应用的邮件分析内容。
点击联系邮箱会打开你的邮件应用，是否发送由你决定。若主动联系项目维护者，你发送的邮箱地址、消息及附件会由支持邮箱接收，用于处理你的请求；没有固定天数自动删除的承诺。请勿发送密码、令牌、验证码或完整私人邮件。如需删除主动提交的支持资料，可通过同一邮箱提出请求。
更新与问题
数据处理方式改变时，本页更新日期和应用内提示会相应更新；需要新的授权时会重新征求同意。如有隐私疑问，请联系 guojiahetongxue@gmail.com。公开预览不表示 Gmail 已向所有账号开放，当前可用性请参见帮助与联系。