只在本机
桌面程序和它自带的本地引擎只监听 127.0.0.1，局域网和互联网上的其他设备无法访问。没有账号系统，没有遥测，也不会把用量上传到任何 TokenMoney 服务器。
本机面板需要通过托盘菜单生成的一次性链接登录，其他网页无法借助浏览器读取你的账本或调用保存的密钥。
保存哪些数据
数据默认位于 %LOCALAPPDATA%\TokenMoney\data：
| 文件 | 内容 |
|---|---|
usage.sqlite | 每次调用的时间、服务商、模型、项目名、Token 数量、参考费用、耗时、价格与汇率快照；经网关的记录还包含账户 ID、上游域名和厂商返回的请求标识；以及显示偏好（币种、预算、时区） |
credentials\vault.json | DPAPI 加密的厂商 Key、连接参数和自填价格；明文部分只有账户名、服务商和 Key 末四位 |
settings.json | 本机接入令牌，供你的应用访问本地引擎；不是厂商 Key |
fx.json | 参考汇率快照 |
desktop-settings.json | 外观样式、端口和浮层位置 |
不保存什么
- 不保存对话内容：提示词、模型回复、上传的文件都只在内存中转发，不写入账本或日志。
- 不保存真实 Key 的明文；面板、导出的 CSV 和接口返回的账户列表里都不包含真实 Key。
- 不收集设备信息、使用习惯或崩溃报告。
密钥保护
厂商 Key 使用 Windows DPAPI 按当前登录用户加密，并与账户 ID、服务商绑定：同一份密文换到其他服务商、其他 Windows 用户或其他电脑上都无法解密。读取密钥的组件通过进程管道传递数据，Key 不会出现在命令行参数或临时文件中。
DPAPI 不能隔离同一 Windows 用户下运行的恶意程序。请只在可信的电脑上保存 Key，并在厂商控制台为 Key 设置用量上限。
网络通信
TokenMoney 只会主动连接以下地址：
- 你在账户中配置的模型服务地址，仅在你的应用发起调用时转发请求。
- 参考汇率数据源
api.frankfurter.dev，仅在你点击“刷新汇率”时访问，只下载汇率，不发送任何用量数据。
程序不会自动检查更新，也不会在后台访问其他地址。
官网
本网站页面不主动设置 Cookie，没有加入统计脚本、第三方字体或追踪服务。安装包从本站下载，并在浏览器中校验 SHA-256 后才保存到本地。
网站托管和网络防护服务可能为提供页面与下载记录常规访问信息，例如 IP 地址、请求路径和访问时间；这些请求日志与本机 AI 用量账本分开。官网不读取你的本机账本，也没有要求填写真实 API Key 的表单。
删除数据
在“管理本地 API Key”中可以逐个删除账户；删除本地账户不会注销厂商 Key，需要在厂商控制台另行撤销。卸载程序默认保留数据目录，便于重装后继续使用；如需彻底清除，请先退出程序，再手动删除 data 文件夹。