2025 年，多家知名 AI 助手服务相继曝出数据泄露事件——用户的私密对话记录、个人偏好、甚至工作中涉及的商业机密被意外暴露在公网上。原因各不相同，但根源是一样的：当你的数据存储在别人的服务器上时，安全性就不完全由你决定。
Tokeny 从第一天起就做了一个不同的选择：所有数据都存储在你的电脑上。没有云端同步，没有远程数据库，没有用户账号系统。这不是技术限制或成本妥协——这是一个深思熟虑的产品决策。
你的对话，只存在你的电脑里
Tokeny 使用 SQLite 作为本地数据库引擎。你的所有数据——对话记录、应用设置、智能记忆、定时任务配置、工作空间文件——都保存在操作系统的用户数据目录下，以标准数据库文件的形式存在。
具体来说，数据存储在以下位置：
- Windows：C:\Users\你的用户名\AppData\Roaming\tokeny\
- macOS：~/Library/Application Support/tokeny/
这些文件就在你的硬盘上，和你的文档、照片、代码一样。你可以直接查看、复制、备份这些文件。如果你卸载了 Tokeny，这些数据仍然保留在原处——除非你主动删除。
这也意味着：即使 Tokeny 团队明天消失、服务器关闭、域名过期——你的数据不会受到任何影响。它不依赖任何远程服务来存在。
本地存储的四个核心优势
1. 隐私保障——你和 AI 的对话内容、个人偏好、工作文件不会经过 Tokeny 的服务器。我们在技术上做不到查看你的数据，因为数据根本就不在我们这里。
2. 数据主权——你拥有数据的完全控制权。想查看？直接打开数据库文件。想备份？复制目录即可。想删除所有数据？删掉数据目录就行。想迁移到另一台电脑？拷贝数据目录过去就能继续使用。没有"联系客服申请数据导出"的流程，没有"30天后永久删除"的等待。
3. 离线可用——断网状态下，你的历史对话、智能记忆、应用设置都可以正常访问和浏览。当然，联网搜索和 AI 对话需要网络连接——那是 AI 模型服务的要求，不是 Tokeny 的限制。
4. 极速响应——本地 SQLite 数据库的查询速度以毫秒计算，远超任何网络请求。加载对话历史、切换会话、搜索记忆——这些操作几乎是瞬时完成的。没有 loading 动画、没有"正在同步"、没有转圈圈。
关于 AI 模型服务的诚实说明
在这里需要做一个坦诚的区分：Tokeny 本地存储的承诺覆盖的是应用数据（对话记录、设置、记忆、文件等）。但当你使用在线 AI 模型进行对话时，对话内容需要发送到模型服务商（如 DeepSeek、Kimi、通义千问等）的服务器进行推理计算——这是大语言模型工作的技术必然。
本地优先的代价与取舍
我们不想回避本地存储带来的不便——诚实面对取舍是产品设计的基本态度：
- 无法多设备同步 —— 在公司电脑和家里电脑之间，你需要手动拷贝数据目录来迁移数据
- 无法云端备份 —— 数据安全完全依赖你本机的备份策略。如果硬盘损坏且没有备份，数据会丢失
- 没有远程访问 —— 你无法通过手机或网页访问 Tokeny 的数据，必须在安装了应用的电脑上使用
我们对这些取舍的建议：
- 1在设置面板中查看数据存储路径，将该目录加入你的定期备份计划
- 2如果你使用坚果云、OneDrive 等同步工具，可以考虑将数据目录加入同步范围（注意在应用关闭时同步，避免数据库锁冲突）
- 3换电脑时，直接拷贝整个数据目录到新电脑的对应位置即可完成迁移
备份很重要。本地存储意味着数据安全的责任完全在你手中——但这也正是"数据主权"的含义。
这是一种产品哲学
选择本地存储不只是一个技术决策，它反映了我们对 AI 助手产品的根本理解：AI 助手是你的私人工具，而不是一项云服务。
你的日记本不需要上传到云端。你的草稿纸不需要经过服务器。你与 AI 的对话——其中可能包含工作思路、私人想法、商业决策——同样不需要存在除你电脑之外的任何地方。
我们相信，在 AI 助手这个场景下，数据的安全与隐私比跨设备同步的便利更重要。这是 Tokeny 的产品哲学，也是我们不会妥协的底线。