隐私政策

本政策说明 WingGate 当前实现如何处理你的数据。我们刻意区分「已经实现的行为」和「取决于部署方的部分」，不做超出实现的承诺。本政策随实现更新，以实际线上版本的行为为准。

WingGate 当前以自托管形态交付：WingGate 服务及其存储运行在你或你的团队控制的环境中。下文中「服务运营方」指实际部署和运维该服务的一方。

我们处理哪些数据

WingGate 处理的数据分为两类：你的账号身份数据，和你的组织内的业务数据。

账号与身份数据

注册和登录涉及：用户名与邮箱地址、密码的散列（不存储明文密码）、MFA 因子（TOTP 认证器或 passkey/WebAuthn 凭据）与一次性恢复码，以及你自愿绑定的外部身份提供方（OAuth）返回的身份标识。这些数据只用于认证你本人。

组织数据

在组织范围内，系统存储：资产（目标资产的地址与元数据）、连接配置（描述如何连接资产，其中 secret 字段只写不读）、项目与项目访问授权（授权关系）、会话生命周期记录，以及审计条目。这些数据的可见性严格限定在对应组织和项目的授权范围内。

当前不收集的数据

当前实现不包含数据统计或用量分析服务，不跟踪页面行为，也不向第三方分析平台上报任何遥测。

资产凭据与连接器边界

访问目标资产所用的凭据（SSH 密钥、密码）保存在该资产的连接配置或它引用的独立凭据记录中，与你的登录凭据完全隔离。这些 secret 字段在常规 API 下只写不读：列表和详情响应绝不返回 secret 内容。

wing-connector 部署在你自己的网络中，在目标机旁使用这些凭据与目标 SSH 主机或文件后端建立连接。连接器通过主动出站的 mTLS 通道连接 WingGate，目标资产无需暴露入站端口。

当你使用自己的 SSH 客户端访问时，是对 WingGate 的 SSH 端点做公钥认证；WingGate 从不持有你的 SSH 私钥。任何一类凭据（登录凭据或资产凭据）泄露，都不会自动暴露另一类。

日志与审计

审计覆盖认证事件、授权变更、会话的创建与结束，以及文件和 MCP 操作，用于还原谁在什么时间对哪个资产做了什么。审计条目使用固定的结果与判定词表，便于检索和核对。

secret 不进入日志、审计条目和错误响应。操作失败时返回错误码和错误信息，绝不携带失败的凭据本身。

存储、备份与驻留

WingGate 是自托管软件：服务的数据库和备份保存在部署方自己的信任边界内，其中包含资产元数据、授权关系和审计历史。数据驻留在哪个区域、备份保留多久、何时清理，完全由部署方决定。

这意味着：如果你是终端用户，你的数据驻留和备份策略取决于邀请你使用的团队的部署方式；如果你是部署方，这些是你的运维责任。

删除与账号关闭

当前实现没有自助账号删除或关闭功能。如需删除账号或特定数据，请通过文末联系方式发起请求，由服务运营方人工处理。我们不承诺任何未在实现中落地的删除时限或保留期限。

撤销访问授权在系统中是即时生效的：组织的 Owner/Admin 可以随时撤销项目访问授权，撤销在下一次鉴权检查时生效，进行中的会话也可被终止。

第三方服务

外部身份提供方（OAuth）是可选的登录方式，是否启用、使用哪个提供方由部署方配置。启用后，登录回调在 WingGate 服务上完成，提供方返回的身份标识仅用于认证，全程不接触资产凭据。

当前实现不包含邮件服务：系统不发送任何邮件。邀请、通知等流程不依赖邮件通道。

除你在本站联系渠道中主动提供的信息外，WingGate 不会向任何第三方传输你的数据。

浏览器扩展

本节覆盖 WingGate 浏览器扩展（你为把本机浏览器绑定为 WingGate 资产而安装的 Chrome/Chromium 扩展）。扩展运行在你的浏览器中，与上文描述的自托管 WingGate 服务是两个不同的主体。

扩展处理的数据

扩展只在本地保存自身的最小状态。其身份密钥对以不可导出的形式保存在 IndexedDB 中（私钥不离开扩展）；agent 身份 JSON（含恢复凭据）保存在 chrome.storage.local；当前受信任的标签页与确认状态保存在 chrome.storage.session（内存态，浏览器重启即清空）。它不读取也不存储你的浏览历史。

传输内容与去向

扩展只通过经认证的 WebSocket 连接你绑定时所选择的 WingGate 服务器（默认是运营方的服务器，或你自托管的那台）。默认只传输你显式信任的标签页的页面状态，以及对其执行操作所需的命令与结果。若你在扩展选项中启用可选的 auto-approve 模式，被绑定服务器的 Agent 也可以在未经逐标签页信任的情况下操作标签页，这些标签页的状态同样只发送给该服务器。它不会向任何其它第三方上传数据。

权限及用途

扩展使用 host 访问、debugger API、tabs、tabGroups 与 storage，以便在你的 WingGate Agent 请求时对页面进行快照与操作（导航、点击、填写）——默认限于你信任的标签页或专用 Agent 标签组（可选的 auto-approve 模式会放宽到任意非受保护标签页）。debugger API 用于在已授权标签页上捕获原生对话框，以及截取非可见标签页：对你自己的标签页，截图后会立即分离；对 Agent 自己的标签页则保持连接（Chrome 会显示调试提示条），直到你取消或关闭该标签页。扩展不下载也不执行任何远程代码。

你的控制

默认情况下，敏感页面操作与完整页面状态读取都需要你的信任——你可以按标签页或对专用 Agent 标签组授予，并可随时撤销或在扩展选项中禁用 Agent 标签组。选项中还提供可选的 auto-approve 模式：启用后，被绑定服务器的 Agent 无需逐标签页信任或逐操作确认即可操作标签页。auto-approve 关闭（默认）时，未受信任的标签页不会被操作：它们不会出现在 Agent 可见的工具输出中，最宽的列表模式也只显示脱敏元数据（URL origin，不含标题）。解绑扩展会删除其本地保存的身份与密钥。

联系方式

隐私相关问题、数据删除请求或安全披露，请通过联系页面： 联系页面

政策更新

本政策随实现更新。当数据处理行为发生变化时，我们会更新本页并随版本发布。请以当前线上版本的本页内容为准。