隐私政策
生效日期：2026 年 6 月 14 日 · 适用版本：1.0.1 及之后版本，直至本文件更新 · 联系方式：[email protected]
三句话版
- 默认本地。 录音、转录、AEC 全部在你 Mac 上完成，不联网。
- 云服务全部可选、需明确开启。 你不填 API Key，就一字节不出你的电脑。
- 不收集任何遥测、不做用户分析、不上传崩溃日志。 我们没有服务器记录你做了什么。
1. 我们是谁
Pawscribe（声痕）是一款本地优先的 macOS 会议录音 + 转录 + AI 总结工具，由 Natural Emergence 开发。本应用为单机 app，不存在任何由我们运营的"用户账户"或"云端数据库"。
2. 数据如何流动
2.1 默认完全本地的数据
下列数据只存在于你本机，我们看不到、收不到、无法访问：
- 音频原文件（.m4a） →
~/Documents/Pawscribe/recordings/ - 转录文本与元数据（.json / .md） → 与音频同目录
- AI 对话历史 → 与音频同目录
- 应用设置 →
~/Library/Preferences/com.naturalemergence.Pawscribe.plist - API 凭证（你填入的密钥） → macOS 钥匙串（系统级加密）
录音文件命名为 pawscribe_YYYYMMDD_HHmmss.m4a，文件名本身不含任何识别信息。
2.2 默认本地的处理
- 本地转录：通过 WhisperKit（开源，模型在 Apple Neural Engine 上离线运行）或 Apple 系统 SpeechRecognizer。Apple 的设备端识别在受支持语言上完全离线，少数语言可能由 Apple 服务端处理 —— 见 Apple 自身的隐私说明。
- 回声消除（AEC3）：本地运行的 WebRTC 算法。
- 实时录音：通过 ScreenCaptureKit 抓系统音频 + AVFoundation 抓麦克风，仅在内存中混流后写本地文件。
3. 可选云服务（你必须主动开启才会触发）
3.1 AI 总结 / AI 对话
只有在你主动配置 API Key 并发起请求时，转录文本才会发往你选择的服务商。Pawscribe 自身是中转客户端，不持有也不路由经过任何由 Natural Emergence 运营的服务器。请求直接从你的 Mac 发到对应服务商。
支持的服务商（每一个都需要你自己注册账号、自己付费、自己管理）：
- 海外云：AWS Bedrock、Anthropic Claude、OpenAI、Azure OpenAI、Google Gemini、OpenRouter
- 国内云：阿里百炼（Qwen）、DeepSeek、智谱 GLM、Moonshot Kimi
- 本地：Ollama（localhost），不出你的电脑
- 自定义：任何 OpenAI 兼容 endpoint，你填什么就发到哪
发送内容：你选定的转录文本片段 + 你输入的提问。音频文件本身不发送给 AI 服务商。
3.2 AWS Transcribe（云端转录，可选替代本地 Whisper）
如果你在 Settings 里主动选择了 AWS Transcribe 作为转录后端，音频文件会被上传到你自己的 AWS S3 桶进行转录。这是 AWS 你的账户、你的桶，Natural Emergence 无任何访问权限。S3 临时文件命名前缀为 pawscribe/。
3.3 自动更新（Sparkle）
应用每天向 https://naturalemergence.com/software/pawscribe/appcast.xml 发起一次匿名 GET 请求检查新版本。本服务由 Natural Emergence 运营，可能会在标准 web 服务器日志中短期保留请求 IP、User-Agent、时间戳（典型 7–30 天），用于流量统计与故障排查。
我们不：在请求里包含任何用户标识、设备 UUID、机器序列号、安装 ID。
你可以：在 Settings 里关闭"自动检查更新"，关闭后这一请求不再发出。
4. "永不出本地"硬开关
Settings → 隐私 → 「永不出本地」开启后：
- 所有云端 AI 调用直接拒绝（不发起请求）
- AWS Transcribe 强制回退到本地 Whisper
- 凭证不会被删除（你关掉开关立刻恢复可用）
- 录音弹窗顶部常驻 🔒「本地」徽章
适合你处理涉密会议、客户敏感信息、医疗法务对话等场景。
5. 系统权限
应用启动后会按需向 macOS 申请以下权限。授权由系统对话框处理，你随时可在 系统设置 → 隐私与安全性 撤销。
- 麦克风：录制你的语音 — 可拒绝（无法录麦克风轨）
- 屏幕录制：捕获系统播放的音频（注意：我们不读取屏幕画面像素）— 可拒绝（无法录系统音轨）
- 语音识别：使用 Apple SpeechRecognizer 实时字幕 — 可拒绝（请改用 WhisperKit）
- 通知：录制开始 / 结束的横幅提醒 — 可拒绝
6. 我们不收集
- ❌ 用户行为分析、点击埋点、A/B 测试数据
- ❌ 崩溃日志（自动上传给我们）
- ❌ 设备指纹（IDFA / 序列号 / MAC 地址 / 硬件 UUID）
- ❌ 录音内容、转录内容（任何形式）
- ❌ 你填写的 API Key
- ❌ 帐号注册（应用本身无账号系统）
唯一的网络出向请求由你触发：① 你配置的 AI / 转录服务商，② 自动更新检查（可关）。
7. 第三方组件
应用内嵌以下开源组件，它们运行在你的设备上，不向第三方回传数据：
- WhisperKit (MIT) — 本地语音识别
- FluidAudio (MIT) — 说话人分割
- WebRTC audio processing (BSD-3-Clause) — 回声消除
- swift-markdown-ui (MIT) — Markdown 渲染
- KeyboardShortcuts (MIT) — 全局快捷键
- Sparkle (MIT) — 自动更新
8. 儿童
应用未针对 13 岁以下儿童设计或营销，亦不主动收集儿童信息。
9. 政策变更
本政策的实质性更改将在应用更新日志和本页面顶部"生效日期"中公示。我们不会通过应用内推送跟踪政策变更阅读情况。
10. 联系我们
如对本政策或你本机数据有疑问，请发邮件至 [email protected]。
本政策为 Pawscribe（声痕）独立应用程序所遵守的全部数据处理事实。如某条与你实测的应用行为不一致，请以应用实际表现为准并联系我们更正本文。