直接回答
本地推理不能决定 Android 会备份什么。Auto Backup 和设备到设备传输是模型推理之外的独立数据流；Android 文档说明，除非应用配置包含或排除规则，多数应用数据默认可能进入备份。Android 12 及以上使用 data-extraction 规则控制云备份和设备迁移；同时还应考虑旧系统的规则。隐私审核需要查看 manifest、备份规则文件、存储位置、目标 SDK 和实际恢复行为。“数据保留在设备上”的产品声明不能只凭模型放置位置得出。 先列出每类数据及其存储位置：用户提示、生成结果、录音、图片、日志、身份令牌、偏好设置、模型制品和缓存。把路径对应到应用私有文件、数据库、共享偏好、外部应用专属目录、缓存或 no-backup 目录。不能只因为模型在本地，就假设所有文件都包含或排除在备份之外。Android 备份行为取决于应用配置与平台版本规则。 再分别分类传输模式。云备份和设备到设备迁移可能有不同规则区块。某路径被排除于云备份，不一定也排除设备迁移；如果缺少设备迁移配置，默认行为可能仍启用。策略要写明哪些数据为恢复体验所需，哪些数据不应经由备份离开设备。大型权重可由用户重新下载而非备份，但这是应用设计选择，要从配置中确认。不要把凭据和秘密放在普通偏好或导出的任务数据里。 不能只看 manifest 来判断，应建立测试矩阵：在支持的 Android 版本上新安装，创建各类测试数据，通过可测试路径执行备份或迁移，恢复到另一安装，再检查哪些内容返回。云备份和设备迁移分别验证。目标 SDK 更新时也要测试从旧格式规则迁移。如果无法测试某种传输面，就标为未知，不要发布宽泛隐私保证。 备份策略也会影响删除承诺。删除可见数据库的一条记录，并不一定清除早先的备份快照或导出。要如实说明保留期限，区分缓存清理与用户数据删除；没有逐一验证存储和备份目的地时，不要说“已从所有地方永久擦除”。恢复流程还应重新应用当前用户同意和权限状态，不能静默重新启用麦克风或相机。 审核本地 AI 应用时应问：哪些数据会备份、通过何种传输、适用哪些系统规则、何时运行、用户能否关闭、恢复如何授权、哪些模型资源需重新下载？本文是核验方法，不代表 Cove 当前备份配置。按顺序清点存储路径，检查各 Android 版本的 manifest 与备份规则，分别执行云恢复和设备迁移，检查实际恢复数据，再按证据更新隐私说明。端侧模型可以在本地推理的同时保持备份启用；更具体的隐私声明需有审核和实测配置支撑。
用户把离线翻译应用恢复到新手机
隐私审核者需要确认翻译历史、语音笔记、用户设置、诊断信息和大型模型文件是否会出现在云恢复或设备到设备设置中。应用的推理在本地运行，但这并未回答备份问题。
决策
将每类数据映射到存储位置及每种 Android 传输方式，测试实际恢复后再改隐私说明。
预期结果
团队能区分已恢复、明确排除、需重新下载的模型资源以及未验证的传输路径。
需要收集的证据
只有将以下证据与同一模型文件和测试运行关联起来，结论才可复核：
- 数据类型与存储位置清单
- 云备份和设备迁移规则
- 实际恢复和删除测试
隐私声明需要数据清单和流量证据；“本地模型”标签本身不是证明。
实施流程
- 制作存储数据清单. 列出所有用户和应用生成数据、存储目录或数据库、敏感程度、保留期限，以及是否存在导出文件或缓存副本。
- 逐种检查传输规则. 查看 manifest 备份属性和各 Android 版本对应的 XML 规则。分别检查云备份与设备到设备迁移，包括缺省规则区块时的行为。
- 实际执行备份与恢复. 创建代表性测试记录，运行支持的云备份和设备迁移，恢复到干净安装，检查记录、设置、日志和模型文件是否回来。静态 XML 不能替代实际行为观察。
- 统一删除与隐私说明. 说明已验证的恢复和删除边界，包括备份与导出。区分缓存清理、用户删除、模型移除和账户数据，并在恢复后重新核对权限与同意。
让每个阶段的状态都可观察。失败信息应指出阶段、模型、运行时和恢复动作，同时避免记录用户私密内容。
验收标准
- 每类敏感数据都有存储位置和云备份/设备迁移决策记录。
- 相关 Android 版本上的云恢复与设备迁移分别测试。
- 公开文案不超出实测配置和测试所能支持的本地处理或永久删除声明。
决策对照表
| 维度 | 选择或证据 | 解读方式 |
|---|---|---|
| 本地模型推理 | 输入在设备端执行 | 说明推理路径，不说明应用文件是否进入备份。 |
| 云备份规则 | 按配置包含远程备份的文件 | 必须和推理行为分开审核与测试。 |
| 设备到设备迁移 | 新设备设置期间传输数据 | 规则可能不同于云备份，恢复的文件也可能不同。 |
需要避免的失败模式
- 只看模型运行位置就声称本地数据不上传
- 把云备份排除规则当成迁移规则
- 把删除应用内记录说成彻底删除所有副本
还要避免静默回退、版本未固定、缺少取消处理，以及把不同配置的结果混在一起下结论。失败运行也应与成功记录一并保存。
最小复现记录
| 层级 | 记录内容 |
|---|---|
| 设备 | 厂商、型号、芯片、内存档位、操作系统版本 |
| 软件 | 应用版本和 Git 提交号 |
| 模型 | 系列、变体、版本、格式、文件长度、摘要、量化方式 |
| 运行时 | 名称、版本、请求后端及实际后端证据 |
| 工作负载 | 样例版本、输入摘要、提示词摘要、输出策略 |
| 结果 | 完成、失败、取消、回退及保护隐私的诊断信息 |
发布检查表
- ☐ 主要搜索问题已回答，且没有未经支持的数字。
- ☐ 所有模型文件和运行时版本均已固定。
- ☐ 代表性任务和失败处理策略均有说明。
- ☐ 生命周期、取消、清理和回退均已测试。
- ☐ 用户内容与网络边界均有说明。
- ☐ 结论只适用于被记录的配置。
- ☐ 新增测试结果时链接到原始方法或证据。
来源与相关证据
- Android privacy and security
- Android Developers — Auto Backup 用户数据
- Android Developers — 备份安全建议
- Android Developers — 隐私与安全概览
中文部署与排错专题见。奇连 AI 端侧专题。
常见问题
应用在本地运行模型，笔记就一定只留在设备上吗？
不一定。备份和迁移是独立平台数据流。发布本地存储声明前，需检查 manifest、存储位置、备份规则和实际恢复结果。
排除云备份是否也排除设备迁移？
不一定。Android 为云备份和设备到设备迁移定义了不同规则区块。需要分别检查配置，并测试应用支持的系统版本。
删除一条会话就证明所有副本都被删除了吗？
不能。旧备份、导出、缓存和用户自己保存的副本可能有独立保留方式。说明应用能够控制的位置，不要承诺无法检查目的地的彻底删除。