默认在你的机器上
邮件、会话、记忆、文档和搜索索引都存放在本地。完全没有网络时,应用照样可读、可用。
信任
为承接真实往来而建
邮件不是一个低风险的场合。以下是产品就数据存放在哪里、允许做什么、以及你如何叫停,给出的具体承诺。
你的数据存在哪里
搜索索引不会外传
语义检索在你的设备上运行。不需要上传任何东西来让搜索工作,因为搜索本来就不需要服务器。
自带 AI 服务商
每位员工的模型档位由你选择,其中包含完全在本机运行的私有档位。工作区级别的隐私开关让新员工默认走本地处理,任何首次向外发送内容的行为都要经过一道明确的确认。
没有遥测
除了你选定的 AI 服务商的调用之外,数据不会离开设备。凭据存放在操作系统的钥匙串里,不会以明文落盘,也不会进日志。
可以带走,不会被绑住
所有内容都能导出为开放格式。退出登录只是锁上工作区,本地数据仍归你。就算完全不再使用本产品,你的邮件用任何其他客户端也照样能读。
可以部署在你自己的边界内
同一个产品可以作为桌面应用运行,也可以自行托管,或者完全物理隔离——一个产品由配置决定形态,不是另做一个版本。
它被允许做什么
Manual Only(仅建议)
只做分析和建议。它读信、解释、给出推荐;不起草任何内容,也不执行任何操作。
Semi-Auto(起草待确认)
它起草并放入待审队列。每一封的发送都由你确认。这就是上限——自主执行不属于本次发布的范围。
三道无法关闭的防线
- 发送前必须查看一份冻结的预览,内容与实际发出的完全一致,再经过第二次、写明后果的确认。
- 凡是涉及款项、附件或 VIP 联系人的操作,无论设置如何,一律降级为草稿交由人工审阅。
- 一键即可把某一位——或者全部——超级员工降到只给建议,立即生效。
你如何叫停
- 一键即可把某一位——或者每一位——超级员工降到只给建议,立即生效。
- 删除一位员工时,它的数据会先归档三十天再销毁,所以气头上做的决定还能挽回。
- 每一项授权都按能力单独设定,随时可以调低,没有冷却期,也没有代价。
事后你能查什么
每一次文件操作和每一次自主动作都会写入只可追加的日志,并有一个统一的全局查看入口。每一次确认都会记录当时展示给你的内容和你的决定。这条记录不会被摘要化,也不会被轮转清除。