数据归属：会话、记忆与密钥都在哪

自托管意味着数据地图要自己心里有数。这张地图其实很简单。

电脑端（网关所在机器）

手机端（节点应用）

• 按网关隔离存储：凭据、设备令牌、TLS 信任、聊天历史、离线队列都按网关分别保存，切换网关不混状态。
• Forget 即清除：删除某网关注册时，本地凭据与缓存一并清掉。
• 离线发件箱：排队消息本地落盘（上限 50 条/48 MB，48 小时过期），重连按序投递。
• 手表零凭据：手表应用不存储网关凭据，走已配对手机的认证连接。

谁能动这些数据

• 都是普通文件：记忆是 md，状态是 SQLite——你可以备份、同步、用别的编辑器打开。
• 助手自己只按工作区约定读写；真正的系统权限由你的审批与沙箱策略管（见沙箱审批）。
• 换机器：官方提供备份与迁移命令（openclaw 的 backup/migrate 子命令），把工作区与状态库带走即可。

隐私相关的两个事实

1. 应用商店声明不收集数据：iOS 商店页隐私栏写明开发者不从此应用收集数据。
2. 触网点你自己定：除模型提供商与你自己选的渠道外，架构上没有强制的中转服务；想极致隐私就配本地模型与本地语音（见本地模型）。

一个建议的备份习惯

把 ~/.openclaw 整个目录纳入你的常规备份即可——记忆、会话、配置、密钥都在里面。恢复就是拷回去。

数据心里有底了，出问题时去哪搬救兵：诊断命令。