摘要
Novara 是本地优先的软件，不是一项官方云服务。互联功能由用户主动配置并自托管；项目不收集遥测、使用统计、广告标识或设备指纹。
- Windows 本地库始终是完整权威副本。
- 同步服务保存密文 blob，不持有解密密钥。
- 核心工作不因同步服务不可用而停止。
资料保存在哪里
完整数据库保存在当前 Windows 用户的本地数据目录。启用互联后，你选择的业务数据会在客户端加密，再上传到你配置的服务端。
Memo、Plan、Path、Record、Workspaces 与本地设置。
业务五分区与 Workspaces 的加密表示。
MCP token、授权状态、本机行为与安全状态。
设备凭据独立保存，不进入业务同步数据。
服务端知道什么
NovaraSync 需要保存空间、设备、版本、时间与密文 blob 等运行元数据，以完成鉴权、同步、撤销和冲突判断。服务端没有 SpaceKey，不能解开业务 payload。
服务端日志不得记录 Authorization、令牌或密文 blob；反向代理仍可能记录 IP、时间和请求路径。
Web-PWA 的内存边界
Web-PWA 在浏览器运行时解密。第一版不把密码、明文或密文数据库写入 localStorage、sessionStorage、IndexedDB 或 cookie。
用户可随时结束当前解锁会话。刷新或关闭页面后需要重新输入凭据与密码。
复制会把内容交给操作系统剪贴板；之后保留多久由浏览器和操作系统负责。
冲突时保留在当前页面内存；刷新或关闭页面可能丢失，因此会明确提示导出或处理。
什么时候会联网
你启用并配置后，PC 与 Web-PWA 才会向自托管服务端注册、拉取或上传密文。
MCP 本身使用本地通道；云端 AI 客户端可能把获准内容发送给其模型服务商。
Snapshot、备份、API Key 检测等只在你主动操作时发生，并遵循对应第三方或托管环境的网络规则。
你始终拥有控制权
- 撤销设备、重置编辑 token、撤销只读访问并强制入口下线。
- 选择同步范围，并导出设备密钥包或冲突版本。
- 停用同步后继续在 Windows 本地工作；服务器丢失时可从权威副本重建。
- 删除服务端同步空间、本地数据或已不需要的 Snapshot。
项目明确承诺不做什么
不运营接收用户明文资料的官方 Novara 云。
不加入遥测、分析、广告或设备指纹。
不加入密码找回后门、远程解锁或服务器端解密。
不在未经明确操作时自动移动资料或静默覆盖冲突。
不把接入 AI 或跨设备使用设计成放弃数据控制权的前提。