diff --git a/desktop-policies/Bulwark.admx b/desktop-policies/Bulwark.admx
index d9020a931..c45e3459a 100644
--- a/desktop-policies/Bulwark.admx
+++ b/desktop-policies/Bulwark.admx
@@ -81,12 +81,6 @@
     <enabledValue><decimal value="1"/></enabledValue>
     <disabledValue><decimal value="0"/></disabledValue>
   </policy>
-  <policy name="AutoUpdate_Recommended" class="Both" displayName="$(string.AutoUpdate)" explainText="$(string.AutoUpdate_Explain)" key="Software\Policies\Bulwark\Desktop\Recommended" valueName="AutoUpdate">
-    <parentCategory ref="Bulwark_Desktop_Recommended"/>
-    <supportedOn ref="SUPPORTED_Bulwark_Desktop"/>
-    <enabledValue><decimal value="1"/></enabledValue>
-    <disabledValue><decimal value="0"/></disabledValue>
-  </policy>
   <policy name="PluginsMode" class="Both" displayName="$(string.PluginsMode)" explainText="$(string.PluginsMode_Explain)" presentation="$(presentation.PluginsMode)" key="Software\Policies\Bulwark\Desktop">
     <parentCategory ref="Bulwark_Desktop_plugins"/>
     <supportedOn ref="SUPPORTED_Bulwark_Desktop"/>
@@ -123,12 +117,6 @@
     <enabledValue><decimal value="1"/></enabledValue>
     <disabledValue><decimal value="0"/></disabledValue>
   </policy>
-  <policy name="AppLockRequired_Recommended" class="Both" displayName="$(string.AppLockRequired)" explainText="$(string.AppLockRequired_Explain)" key="Software\Policies\Bulwark\Desktop\Recommended" valueName="AppLockRequired">
-    <parentCategory ref="Bulwark_Desktop_Recommended"/>
-    <supportedOn ref="SUPPORTED_Bulwark_Desktop"/>
-    <enabledValue><decimal value="1"/></enabledValue>
-    <disabledValue><decimal value="0"/></disabledValue>
-  </policy>
   <policy name="AppLockTimeoutMinutes" class="Both" displayName="$(string.AppLockTimeoutMinutes)" explainText="$(string.AppLockTimeoutMinutes_Explain)" presentation="$(presentation.AppLockTimeoutMinutes)" key="Software\Policies\Bulwark\Desktop">
     <parentCategory ref="Bulwark_Desktop_security"/>
     <supportedOn ref="SUPPORTED_Bulwark_Desktop"/>
@@ -149,24 +137,12 @@
     <enabledValue><decimal value="1"/></enabledValue>
     <disabledValue><decimal value="0"/></disabledValue>
   </policy>
-  <policy name="TelemetryAllowed_Recommended" class="Both" displayName="$(string.TelemetryAllowed)" explainText="$(string.TelemetryAllowed_Explain)" key="Software\Policies\Bulwark\Desktop\Recommended" valueName="TelemetryAllowed">
-    <parentCategory ref="Bulwark_Desktop_Recommended"/>
-    <supportedOn ref="SUPPORTED_Bulwark_Desktop"/>
-    <enabledValue><decimal value="1"/></enabledValue>
-    <disabledValue><decimal value="0"/></disabledValue>
-  </policy>
   <policy name="CrashReportsAllowed" class="Both" displayName="$(string.CrashReportsAllowed)" explainText="$(string.CrashReportsAllowed_Explain)" key="Software\Policies\Bulwark\Desktop" valueName="CrashReportsAllowed">
     <parentCategory ref="Bulwark_Desktop_privacy"/>
     <supportedOn ref="SUPPORTED_Bulwark_Desktop"/>
     <enabledValue><decimal value="1"/></enabledValue>
     <disabledValue><decimal value="0"/></disabledValue>
   </policy>
-  <policy name="CrashReportsAllowed_Recommended" class="Both" displayName="$(string.CrashReportsAllowed)" explainText="$(string.CrashReportsAllowed_Explain)" key="Software\Policies\Bulwark\Desktop\Recommended" valueName="CrashReportsAllowed">
-    <parentCategory ref="Bulwark_Desktop_Recommended"/>
-    <supportedOn ref="SUPPORTED_Bulwark_Desktop"/>
-    <enabledValue><decimal value="1"/></enabledValue>
-    <disabledValue><decimal value="0"/></disabledValue>
-  </policy>
   <policy name="QuickComposeShortcut" class="Both" displayName="$(string.QuickComposeShortcut)" explainText="$(string.QuickComposeShortcut_Explain)" presentation="$(presentation.QuickComposeShortcut)" key="Software\Policies\Bulwark\Desktop">
     <parentCategory ref="Bulwark_Desktop_security"/>
     <supportedOn ref="SUPPORTED_Bulwark_Desktop"/>
diff --git a/desktop-policies/de-DE/Bulwark.adml b/desktop-policies/de-DE/Bulwark.adml
index 2dc61f9cc..7b8e93636 100644
--- a/desktop-policies/de-DE/Bulwark.adml
+++ b/desktop-policies/de-DE/Bulwark.adml
@@ -61,7 +61,7 @@
       <string id="BrowserSignIn">Anmeldung über den Browser anbieten</string>
       <string id="BrowserSignIn_Explain">Wenn aktiviert oder nicht konfiguriert, bietet die Anmeldeseite „Mit Ihrem Browser anmelden“ an, damit Benutzer dort ihren Passwort-Manager, Passkeys und Ihr Single Sign-on verwenden können. Wenn deaktiviert, fehlt die Schaltfläche und die App lehnt den Vorgang ab. Das Formular in der App bleibt, sofern der Server nicht nur OAuth erlaubt.</string>
       <string id="WipeOfflineData">Auf dem Gerät behaltene E-Mails löschen</string>
-      <string id="WipeOfflineData_Explain">Setzen Sie dies auf einen neuen Wert, etwa das heutige Datum, um alles zu löschen, was die App für alle Server und Konten auf dem Gerät behält: E-Mails, Schlüssel und Anmeldungen, Benutzer melden sich also neu an. Jeder Wert löscht einmal: Die App merkt sich, welche sie schon ausgeführt hat, ein Wert kann also stehen bleiben. Verwenden Sie einen neuen Wert, um erneut zu löschen.</string>
+      <string id="WipeOfflineData_Explain">Setzen Sie dies auf einen neuen Wert, etwa das heutige Datum, um alles zu löschen, was die App für alle Server und Konten auf dem Gerät behält: E-Mails, Schlüssel und Anmeldungen, Benutzer melden sich also neu an. Jeder Wert löscht einmal: Die App merkt sich, welche sie schon ausgeführt hat, ein Wert kann also stehen bleiben. Verwenden Sie einen neuen Wert, um erneut zu löschen. Diese Liste liegt im Profil des Benutzers. Wer sie bearbeitet, kann also eine Löschung umgehen, von der er weiß: Dies räumt ein Gerät auf, es nimmt der Person am Gerät keine Daten weg.</string>
     </stringTable>
     <presentationTable>
       <presentation id="InstanceUrl"><textBox refId="InstanceUrl_Value"><label>Adresse des Bulwark-Servers</label></textBox></presentation>
diff --git a/desktop-policies/en-US/Bulwark.adml b/desktop-policies/en-US/Bulwark.adml
index 1ef436c69..167772e1b 100644
--- a/desktop-policies/en-US/Bulwark.adml
+++ b/desktop-policies/en-US/Bulwark.adml
@@ -61,7 +61,7 @@
       <string id="BrowserSignIn">Offer sign-in through the browser</string>
       <string id="BrowserSignIn_Explain">When enabled or not configured, the login page offers &quot;Sign in with your browser&quot;, so people can use their password manager, passkeys and your single sign-on there. When disabled, the button is gone and the app refuses the flow. The form in the app stays, unless the server only allows OAuth.</string>
       <string id="WipeOfflineData">Delete mail kept on the device</string>
-      <string id="WipeOfflineData_Explain">Set this to a new value, such as today&apos;s date, to delete everything the app keeps on the device for every server and account: mail, keys, and sign-ins, so people sign in again. Each value deletes once: the app remembers the ones it has acted on, so it stays safe to leave a value in place. Use a new value to delete again.</string>
+      <string id="WipeOfflineData_Explain">Set this to a new value, such as today&apos;s date, to delete everything the app keeps on the device for every server and account: mail, keys, and sign-ins, so people sign in again. Each value deletes once: the app remembers the ones it has acted on, so it stays safe to leave a value in place. Use a new value to delete again. That memory is in the user&apos;s own profile, so someone who edits it can skip a wipe they know is coming: this cleans up a device, it doesn&apos;t take data from the person using it.</string>
     </stringTable>
     <presentationTable>
       <presentation id="InstanceUrl"><textBox refId="InstanceUrl_Value"><label>Address of the Bulwark server</label></textBox></presentation>