隐私 · Orbi Cloud
隐私政策
哪些数据会跨过托管服务边界，以及为什么。 本政策说明 Orbi Cloud 用哪些数据登录、运行交付、统计用量和处理订阅账单。
我们使用的数据
只处理服务需要的记录
连接 Cloud 时，我们会收到 GitHub 账号信息和你授权的仓库。即使只用 GitHub 登录、还没装 GitHub App，我们也会记下你的 GitHub 用户名和 GitHub 返回的已验证邮箱，这样开通卡住时我们能联系上你。对这些仓库，服务会处理运行交付所需的仓库元数据和记录，例如 Issue、Pull Request、Commit 及运行结果。控制平面把租户与仓库配置存入 Cloudflare D1，并记录交付用量，用于额度和计费。网站可能把匿名访客事件记录在 visitor_events 表中，用于站点统计：可见页面发生真实交互并达到 10 秒时记录 engaged，点击带标记 CTA 时记录 cta_click，区块进入视口时记录 section_view，以及记录本页最大 25/50/75/100% 滚动档位的 scroll_depth。浏览器会发送 vid cookie、页面路径、事件类型和 CTA、区块或深度详情；访问页面时还会发送落地页地址里的查询参数和来源页地址，两者都按原样记录。不收集表单内容或鼠标轨迹。为执行服务条款，我们可能查看相关的 Issue 内容和仓库内容。
Cloud 交付会暂时运行在我们运营的基础设施上。交付进入终态后，worktree 会在静默 120 分钟后销毁；进行中和可恢复的 worktree 会保留。Cloudflare D1 中的账号、仓库、用量和访客记录不会自动过期，会保留至服务运营不再需要或你提出删除请求。GitHub 仍是 Issue、Pull Request 和 Release 的事实来源。
服务供应商
让 Cloud 运转的处理方
Stripe 处理订阅付款、发票和客户门户操作；Orbi 不会收到完整卡号。对于没有配置自有模型密钥的 Cloud 订阅，默认使用 DeepSeek 的 deepseek-flash；DeepSeek 会收到交付所需的 prompt、相关仓库上下文和输出。配置了自有密钥时，则由你选择的模型 provider 处理这些交付数据。Provider 的保留与处理规则由其条款决定。GitHub 则按你授予的权限接收 Cloud 执行的 GitHub 操作。
托管 runner 运行在 Orbi 运营的 Vultr 机器上，并会在交付期间 clone 已连接的仓库。交付进入终态后，worktree 会在静默 120 分钟后销毁。
我们不出售个人信息。Cloud 使用的 BYOK 模型密钥会在控制平面加密存储，仅在需要时提供给 runner。
你的选择
访问、删除与联系
你可以在 GitHub 撤销 Orbi 的仓库访问权限。若要删除 Orbi 账号及关联的 Cloud 记录，请在 Telegram 私聊群管理员，并提供用于识别的 GitHub 账号。我们会说明删除了什么，以及哪些数据必须留在 GitHub 或 Stripe 系统中。
关于本政策、删除记录或停止邮件的问题，都请优先在 Telegram 私聊群管理员。不方便使用 Telegram 时，备用邮箱为 privacy@orbi.build。不想收到这类邮件的话，直接回复邮件或写信到 privacy@orbi.build，我们会删除这些记录。
本政策描述当前 Cloud 实现，包括 tenants、repositories、delivery_usage 和 visitor_events 记录；不承诺删除 GitHub、Stripe 或模型 provider 独立持有的数据。