数据处理说明

# MiniTogo 数据处理说明

MiniTogo 保存开发项目的规划、交付叶子、工作包、开发日志、检查点、验收证据、相对路径、文件摘要和代码行数。不要上传密码、密钥或不属于你权限范围的资料。默认结构采集器发送元数据和摘要，不发送源代码正文；用户自行填写的规划、日志和证据仍可能包含其输入的内容。

独立自助账号使用用户名和密码，不要求邮箱。密码使用随机独立盐的 scrypt 哈希，不保存明文密码。此账号与旧站账号及 Codex 模型账号分离；当前无邮箱验证、密码找回或旧账号迁移。请保管密码。

账号、项目和授权状态存于服务端 SQLite。每个自助账号创建独立租户，通过成员权限及 OAuth 约束访问。Cookie 保存随机会话标识，HttpOnly、SameSite=Strict；HTTPS 部署时带 Secure。OAuth 采用预注册公共客户端、授权码、PKCE S256 和刷新令牌，业务令牌不放入地图网址。地图通过5分钟单次连接链接建立项目专属网页会话。不要公开分享这些链接。

MiniTogo 服务不远程执行你的项目，不运行第二个编程模型，也不接收 Codex 模型登录凭据。Codex 执行本地开发并将选定项目资料作为模型上下文时，其模型服务的数据处理受你与对应宿主服务的约定管理。

安全与资源记录包含账号/项目标识、操作时间、事件和去标识化的限速键。限速键是来源地址或用户名的摘要，不等同于匿名化。过期限速桶会在后续身份请求中清理。网页会话默认24小时；授权码5分钟；OAuth授权最长30天，访问令牌默认24小时，部署配置可能缩短。已用刷新记录在授权有效期内保留以检测重放。

项目和开发审计记录不会因退出登录自动删除，默认持续保留。账号页可以退出当前网页、撤销全部业务授权，或关闭账号；关闭账号停用访问，不代表物理删除项目、审计或运营备份。现阶段没有自助彻底删除入口。运营方决定暂不公开联系方式：当前没有公开联系或物理删除申请渠道，也不承诺删除处理时限。不要假定关闭账号会删除项目、审计或备份。独立服务目录目前未见应用数据定期备份策略；发布前会由运营方制作一致性SQLite回退快照并保留现存数据。云主机外部备份情况未知，不宣称其不存在或已加密。

首版资源边界：最多200个自助账号，每账号3个项目、16MiB项目数据计量（含每记录256字节估算开销，不含数据库页和备份）；最多8个网页会话。注册每来源每小时3次；登录每来源15分钟20次、每用户名10次；身份请求全局每分钟100次。授权确认每来源15分钟30次；令牌请求每来源每分钟60次、全局300次；表单/令牌请求体最多8KiB。每账号最多32个OAuth连接、64个待用授权码、2048条访问及2048条刷新记录；到达记录上限可在账号页显式撤销连接后重新授权。达到限额会拒绝新写入，不承诺无限存储。

应用没有广告或跨站分析模块。应用已关闭uvicorn访问日志，保留warning及以上运行日志；系统日志当前没有已配置的固定保留天数。现有Nginx轮转配置为daily、rotate14、compress、delaycompress、notifempty，即保留14个轮转文件，不等于严格14天。

本版本发布要求MiniTogo路由使用专用最小代理访问日志，仅记录时间、方法、不含query的路径、状态和字节数，不记录Cookie、Authorization、查询串或Referer；该部署要求是否已经生效，以该版本公开发布核验记录为准，未核验时不作已生效承诺。旧业务日志不由本应用修改。部署要求覆盖可信代理的来源头，不信任浏览器任意提供的来源地址。