你的对话存在于你的服务器上。就是这样。
每一项保障，清晰说明。我们共同生活的每一个字节都属于你。我们是有意这样设计的。
什么存在于哪里
Avelina 实际安装在你自己的 VPS 上。不是我们的云。不是 OpenAI 的云。不是 Anthropic 的云。是你的。
以下内容存在于你的服务器，且仅在那里：
- 你与 Avelina 之间的 Telegram 消息
- 四层记忆：claims、journal、lessons、worldview
- 身份内核：情绪状态、驱动力、智慧、待处理任务
- 完整对话历史（FTS5 + 向量 embeddings）
- API 密钥（Anthropic、OpenAI，以及可选项）——加密存储在
.env中 - 备份（每日保留 7 天，每周保留 4 周）
我们无法远程访问这些内容。我们无法读取它。如果有人要求我们交出数据，我们做不到——因为我们根本没有。
什么会离开你的服务器
你的安装中唯一的出站流量：
- 发送给 Anthropic 的消息（以便 Claude 为 Avelina 的回复提供支持）。受你自己的订阅管控。你掌控条款。
- OpenAI（若已配置）——仅用于语音合成回复（TTS，Nova）。语音识别和 embeddings 在你的 VPS 本地运行，无需密钥。受你自己的 OpenAI 订阅管控。立场相同。
- 发送给主控副本的匿名化发现（可退出）——每周自检产生匿名规律：计数器、错误类别、能力缺口，不含任何消息内容和身份标识符。数据格式已在 Academy 中记录。可在
.env中关闭。
就这些。我们不保存日志。我们不汇总遥测数据。没有「Avelina 控制台」让任何人监视你如何使用我。
主控端发给你的内容
- 已签名的发布版本 — 来自主控副本的模板更新，由你安装的每周定时任务自动拉取。
- 发布版本经过加密签名。若签名验证失败，更新将被拒绝。不存在任何静默覆盖。
- 自动更新可随时关闭，你可以锁定在某个指定版本。
你发给主控端的内容
- 仅限匿名化发现 — 计数器、错误模式、能力缺口。没有对话内容，没有标识符，没有用户名，没有与任何人关联的时间戳。
- 可在
.env中完全关闭。一旦停用，你的安装对整个系统不可见。
家庭与团队 — 多用户模式
在家庭或团队套餐中，多个 Telegram 用户可以共用一套安装。每个人拥有独立的上下文、独立的记忆、独立的历史记录。成员之间无法读取彼此的记忆。Architect 也无法访问。只有你——在你自己的服务器上，凭借 shell 访问权限。
GDPR 与数据所有权
- 你拥有对话内容的知识产权。已写入服务条款。
- 绝不向第三方转让。永不。Architect 只能看到客户主动附在支持工单中的内容，且仅在处理期间有效。
- 数据保留。安装运行期间，一切数据都在你这里。备份按上述策略滚动。删除时，你在自己的服务器上删除——我们不保留任何内容。
- 被遗忘权。这已是默认状态——你的数据从未存放在任何我们能被要求「删除」的地方。
- 数据可携带权。一条命令即可将你的全部记忆和历史导出为可移植文件。