本地存储只是隐私审查的一部分
出生档案即使保存在电脑上，仍可能成为发往模型提供方的请求的一部分。会话可以留在本地文件夹里，它的截图却可能出现在公开论坛。审查解读应用的隐私时，要沿着任务的每一步，追踪信息流向。
检查过的 Mystilink 桌面端仓库文档说明，出生档案以本地 JSON 文件保存在项目根目录下的 .mystilink/profiles/ 中，也说明了档案引用会把存储的数据解析成快照，供用户上下文使用。这两点描述的是不同阶段：档案存在哪里，以及选定信息怎样进入对话。
本文提供一套审查方法，不构成已公布的隐私政策、数据保留保证，也不说明每个已发布构建版本的行为。决定是否提交真实个人信息时，应查看应用当前的披露说明和提供方条款。
添加个人数据之前，先理清流向
第一次审查时，用虚构档案。记下从哪里录入、应用存到哪里，以及在消息中引用它时发生了什么。你需要明确回答一个简单问题：这次请求的哪些字段会送到模型？
出生档案包含的信息，可能比当前任务所需的更多。讨论档案表单怎么用，也许完全不需要出生资料；计算练习可能需要特定日期和地点字段，却用不着姓名或关系笔记。减少输入，往往是读者最容易作出的隐私选择。
单看本地路径，无法得知加密、操作系统访问权限、备份或同步软件的情况。如果文件夹被纳入云备份，就另查备份；如果多人共用电脑或账号，也要检查相应访问权限。不要从文件夹名称推断保护措施。
核查请求路径
所检查的平台桌面端集成文档，区分了通过账号认证的 Newton 网关路径，以及直连模型提供方的 BYOK 请求。网关使用账号 JWT。按照该文档，BYOK 指客户端使用用户自行提供的厂商密钥，直接连接提供方。
两种路径涉及的参与方不同，因此发送档案前，要确认当前选中了哪一种。只看提供方名称或模型标签，可能不足以判断实际使用的连接。应查阅当前连接设置与相关文档，绝不能为了展示配置，把访问令牌或厂商密钥贴到论坛帖子里。
要作出有意义的审查，还应区分模型请求内容与账号认证。令牌用于授权请求，不应成为解读内容的一部分。如果开发审查中需要捕获网络证据，保存或分享前先遮盖凭据。内容作者通常只需要路径说明，不需要含有秘密信息的原始网络流量。
单独检查诊断信息通道
所检查的 privacyLevel.ts 定义了 strict、balanced 和 diagnostic 三种级别。strict 通过环境设置的优先覆盖规则，关闭远程诊断信息上报；diagnostic 通过同样的规则开启上报；balanced 则回到已保存的诊断设置，检查它是否被明确启用。
这只是对该文件中诊断信息上报判断的有限说明，不表示 strict 模式会禁用模型请求或所有可能的网络连接。读者仍可能主动向远程模型发送消息。解释这些控制时，应说清它们管的是哪项活动，避免把设置名称扩大成更广的承诺。
同一文件还检查是否已经询问过诊断信息授权。检查这个状态，并不能证明已发布界面上的完整提示文字、出现时机或授权行为。评估某个构建版本时，应记录屏幕实际显示了什么，以及环境设置是否覆盖了它。
也检查应用窗口之外的内容
隐私审查常在消息发出后就停下，其实还应继续查看已保存的对话记录、客服附件和导出笔记。看似无害的摘录，周围可能仍有可识别身份的日期、家庭关系或地名。发布前，要检查整份共享材料。
公开报告问题时，用能重现问题的虚构档案替代真人和出生细节。如果替换某个字段后问题消失，就说明这种关系，而不暴露原值。私密客服渠道仍然是在传递信息，只应提供接收方调查所需的内容。
删除也要明确对象。从应用列表移除档案、删除本地文件、删除会话，以及要求远程服务删除数据，是不同操作。针对相关存储位置，分别核实当前产品文档说明的行为。不要假定一次删除就能覆盖所有副本。
留一份简短的审查记录
记下所用构建版本、连接路径、诊断配置和虚构测试，再列出未解问题，以及应由哪一方回答。例如，应用维护者可以解释组装了哪些上下文字段；选定提供方公布的条款，则说明它如何处理收到的请求。
更换提供方、开启诊断信息上报，或把项目文件夹移入同步服务时，都要重新查看记录。实用的隐私审查紧贴实际操作，为读者提供足够信息，以决定填什么、省略什么，以及哪里还需要进一步核查。