同意后会发送的内容
事件发送到 PostHog 的美国云区域。每个事件带有一个随机的安装 ID（绝不是账号、邮箱或设备名）、一个不会保存的每次启动随机会话 ID、应用版本、发布渠道、操作系统名称和版本以及 CPU 架构。我们要求 PostHog 不建立人物画像、不查询位置，并且 PostHog 项目已配置为丢弃请求的 IP 地址。
这份列表就是完整的允许列表：不在列表中的事件或属性无法发送，且
provider 只能是已知的编码代理之一。PostHog 在免费计划中保留事件 1 年，在付费计划中保留 7 年。
绝不发送的内容
文件路径、仓库/分支/工作树名称、URL、提交信息、提示词、代理输出、终端内容、错误信息、主机名、用户名和 IP 地址。根本没有承载它们的字段。如何关闭
- 设置 → 隐私与遥测 → 匿名使用数据：关闭开关。Dure 会尝试最后发送一个
telemetry_opted_out事件，删除安装 ID，然后停止。 - 在启动 Dure 的环境中设置
DO_NOT_TRACK=1或DURE_TELEMETRY_DISABLED=1。任一变量都会在不改变开关的情况下优先生效；设置页面会说明当前生效的是哪一个。 - 持续集成环境（
CI、GITHUB_ACTIONS、GITLAB_CI、CIRCLECI、TRAVIS、BUILDKITE、JENKINS_URL、TEAMCITY_VERSION）绝不发送。
移动应用
iPhone 和 Android 版 Dure 应用不发送使用数据。它没有分析工具、崩溃报告、广告标识符或账户，因此也不会询问上面的问题。- 相机：仅用于读取配对二维码。图像在手机上解码，既不保存也不发送。
- 面容 ID 或指纹：仅用于在你回答审批之前、以及开启或关闭这项确认时确认是你本人。验证由操作系统完成，Dure 只知道是否通过。
- 你的电脑：会话、审批、差异和提交只在手机与你配对的电脑之间传输。连接使用固定到该电脑证书的 TLS，或使用你提供的密钥的 SSH。配对令牌和 SSH 密钥保存在手机上的应用存储中，可能会被设备备份复制。
- 中继：当手机无法直接连到你的电脑时，连接会经过我们在 Fly.io 上运行的 Dure 中继。中继只负责把两条连接接起来。TLS 会话建立在手机和电脑之间，中继从未持有电脑的私钥，因此无法读取其中传输的内容。中继知道的是电脑的服务器 ID 和公开证书指纹、两端的 IP 地址、连接时间和传输字节数。这些信息只在转发期间保存在内存中，不会写入日志。
- 推送通知（iPhone）：开启后，手机会把 Apple 推送令牌交给已配对的电脑，由电脑保存。当智能体等待审批或完成一轮时，电脑会把该令牌、事件类型和 ID、你的通知设置以及应用语言发送到 Fly.io 上的 Dure 推送服务。该服务请求 Apple 显示固定的文字，例如“An agent is waiting for your approval.”。会话名称、提示词和智能体输出绝不会出现在通知中。该服务不保存令牌；为避免重复提醒，它会把每次投递的单向哈希保留一小时。关闭通知后，令牌会从你的电脑上删除。
- 反馈：Send feedback 会在浏览器中打开 GitHub issue 表单，并预先填入应用版本和浏览器的 user agent。在 GitHub 上提交表单之前，不会发送任何内容。
文档站点
docs.dureai.dev 会向同一个 PostHog 项目发送页面浏览，以便我们了解哪些页面有帮助。这是 Mintlify 的标准分析集成；项目会丢弃请求的 IP 地址，文档站点上的任何内容都不会与应用的安装 ID 关联。