隐私

哪些内容会离开这台电脑，取决于你选择的服务。首页和「语音模型」页始终显示当前使用的识别服务。

识别

方式	发送的内容	发送给谁
本地模型	不发送任何内容	—
内置服务	录音，以及词典中的正确写法（作为识别提示）	Voltip 项目运营的内置服务
云端服务商	录音、模型名称、你的密钥，以及词典中的正确写法（作为识别提示）	你选择的服务商，不会发给其他任何一方
手机单独使用	录音	Voltip 项目运营的内置服务

使用内置服务并打开「服务商的实时文字」（默认打开）时，说话过程中正在说的这句话大约每秒发送一次，用于在悬浮窗中显示文字；即使随后取消这次听写，已经发送的部分也已到达内置服务。在「语音模型」页「识别设置」的「实时预览」中关闭「服务商的实时文字」后，内置服务只在松开快捷键后收到录音。使用阿里云百炼等服务商的实时识别模型时，不论「实时预览」的开关如何，录音在说话过程中都会持续发送给该服务商；取消听写后不再发送。希望录音只在松开快捷键后发送时，请选择识别整段录音的模型。「本地模型预览」在这台电脑上运行，不发送任何内容。

开启「额度用完后改用其他模型」后，所选模型的额度用完时，录音会发送给列表中下一个模型的服务商，AI 润色的文字也是如此。开关开启时，「语音模型」页和「AI 模型」页的发送说明会列出这些服务商，电脑和手机上都是如此。

使用本地模型时，唯一的网络访问是下载模型文件，下载内容会按 SHA-256 校验。

AI 润色与语音编辑

开启 AI 润色后，识别出的文字会发送给你选择的 AI 服务；语音编辑时，发送选中的文字和你的修改要求。AI 服务永远收不到音频。请求中还可能包含：

• 你正在输入的应用的名称：默认发送，可以关闭；
• 窗口标题：默认不发送；
• 当前生效的场景中的补充要求；
• 词典中的正确写法。

这些开关位于「设置 → 场景」的「发送给 AI 润色的上下文」中。关闭 AI 润色，或使用「边说边输入」时，不会发送任何文字用于润色。

使用 Google AI Studio 且密钥在免费额度内时，按 Google 对免费服务的条款，它可能用收到的文字改进其产品；绑定了结算账号的 Google Cloud 项目的密钥不会这样使用。

内置服务

内置服务的服务器会为每个请求记一条记录：时间、你的 IP 地址、请求的是识别还是 AI 润色（AI 润色还记录文字发给了哪些模型）、是否成功、数据大小和耗时，以及应用随请求发送的名称和版本。录音和文字不会被记录。

记录保存 30 天，用于限制同一地址的请求次数，避免共用的服务被单个地址用完，并统计服务的使用量；此后只保留不含 IP 地址的每日汇总。超过限制时，内置服务会提示繁忙，AI 润色这时会建议改用你自己的服务商。共用同一个网络出口的人（例如同一间办公室）共享这一限制。

内置服务还按设备计算每天的用量（见内置服务的用量）。为此，Voltip 在每台设备第一次使用时随机生成一个设备号，随发给内置服务的请求一起发送，不发给其他服务商。设备号与配对使用的设备身份无关，不包含在备份中，也不同步到其他设备。内置服务按设备号和日期记下这台设备当天的识别时长和 AI 润色次数，用于每日上限和用量统计；统计只使用每台设备的数字，不包含设备号和 IP 地址。0.1.9 及更早的版本不发送设备号，按 IP 地址计算。Voltip 在本机另记一份近 35 天的用量记录（各服务商的识别时长和润色次数，不含录音和文字），用于「用量」页。

从 Voltip 官方发布的安装包开始，应用还会向内置服务的验证服务说明自己是哪个版本的官方构建，换取一份有效期 1 小时的设备凭据，随连接内置中继和使用内置服务的请求一起发送，不发给你自己设置的中继和其他服务商。验证服务记录：上面的设备号、证明过的应用版本和平台、首次登记和最近一次换取凭据的时间。为限制同一地址每天登记的新设备数，它以 IP 地址的加盐哈希值计数，计数保存 2 天，不保存 IP 地址本身。这一过程不需要账号。设备在系统钥匙串中保存一份设备密钥，用于换取凭据。

在线体验

本站的在线体验页面把你录制或上传的音频发送到内置服务识别，把要润色的文字发送到内置服务做 AI 润色。内置服务为这些请求保存的记录与应用的请求相同，包括你的 IP 地址，不保存录音和文字。为执行页面的次数限制，本站以 IP 地址的单向哈希值统计请求次数，统计在所属的一小时结束后删除。开始前，Cloudflare Turnstile 会确认是真人在使用页面，这项验证适用 Cloudflare 的隐私政策。验证通过后，浏览器保存一个 30 分钟内有效的 Cookie，以免重复验证；页面不保存其他内容。

麦克风与电脑声音

麦克风只在录音时打开，或在测试麦克风的 15 秒内打开。电脑声音只在以它为录音来源的听写期间录制。Voltip 不会在后台监听。

在手机上开启悬浮球后，Voltip 以前台服务的形式在其他应用上方显示说话按钮，通知栏中始终有一条可以关闭它的通知。麦克风只在你按住或点按悬浮球录音时打开；识别结果复制到手机剪贴板；悬浮球不读取剪贴板。

手势粘贴是可选功能，需要你在应用中同意说明，并在系统「无障碍」设置中启用 Voltip 的粘贴服务。启用后，只有在你按住悬浮球录音并向屏幕内侧滑动时，Voltip 才查询当前获得焦点的输入框属于哪个应用和窗口。识别完成后，如果仍是同一个输入框，Voltip 请求它粘贴一次识别结果。该服务不跟踪你在其他应用中的操作，不读取输入框中的文字，也不处理密码框。查询到的信息只在这一次录音期间保留在手机内存中，不保存，也不上传。可以随时在系统「无障碍」设置中关闭该服务。

超过 2 分钟的录音进行时，音频会写入 Voltip 数据目录中的文件，以便分段识别，录音结束后文件即被删除。开启「在本机保留录音」时，同时写入一份压缩副本，录音结束后放入录音缓存；如果 Voltip 在录音中途关闭，下次启动时用已录下的内容补全副本并放入录音缓存。未开启时，中途关闭留下的文件在下次启动时删除。

开启「在本机保留录音」（默认开启）时，听写的录音保存在 Voltip 的数据目录中（超过 2 分钟的录音压缩保存），用于在识别或润色失败后重新识别。最多保留所设的条数和空间（默认 20 条、200 MB），超出时删除最早的录音。这些录音只保存在这台电脑上：不同步到手机，不包含在备份中，AI 工具接入也无法读取。可以在「设置 → 隐私与历史」的「录音缓存」中关闭或清理；关闭后已保留的录音会被删除，删除记录或清空历史记录时，对应的录音一并删除。

粘贴后的输入框

为了确认粘贴是否写入，Voltip 在粘贴前后各读取一次这台电脑上获得焦点的输入框，比较其中的长度、光标与选区、选中的文字，以及光标前最多 64 个字。为了得到这些内容，读取的范围可能更大：在 Windows 上，以及只能整段读取内容的输入框里，Voltip 读取输入框的全部文字（不超过约一百万个字符，更长的不读取），再从中得出上述几项。读取的内容只在粘贴的这一刻保留在内存中用于比较，随后即丢弃；不保存、不上传，也不写入日志，日志只记录结果、检查用时和应用的标识。Voltip 不读取密码框、终端和远程桌面；无法判断文字粘贴到了哪个应用时，也不读取输入框。可以关闭「设置 → 听写」中的「检查文字是否写入」，见确认文字已写入。

本机服务

开启本机服务后，这台电脑上持有访问令牌的程序可以把录音发送给 Voltip。每段录音都按与相同设置下的听写一样的方式处理：录音发送给当前使用的识别服务，需要 AI 润色时，文字发送给 AI 服务。处理请求期间，音频保存在 Voltip 数据目录中的临时文件里，请求结束后即删除。这些请求不会写入历史记录；服务的日志只记录时长和所用的模型，不记录文字和音频。

AI 工具接入

开启 AI 工具接入后，这台电脑上持有它的访问令牌的 AI 工具可以读取你授权的内容：默认只有词典、规则和 AI 润色前后被替换的词语（附命中处前后各 12 个字），只有你另外允许「完整历史」时，才能读取所选时间范围内每条记录的原文和润色后的文本。AI 工具读取的内容会发送给它所使用的模型服务，并可能保存在它的对话记录中。Voltip 记录每次读取和修改的工具、时间和条数，不记录文字内容。服务默认关闭，只接受来自这台电脑的连接。

保存在本机的内容

• 历史记录：每次听写的结果，保存在 Voltip 的数据目录中。可以在「设置 → 隐私与历史」中限制条数、关闭或清空。
• 录音：开启「在本机保留录音」时，最近几次听写的录音保存在同一目录中，见麦克风与电脑声音。
• 词典、规则、场景和设置：保存在同一目录中。
• 备份文件：在「设置 → 隐私与历史」中导出的备份保存在你选择的位置，包含历史记录、词典、规则、场景和自定义 AI 预设，不含设置和密钥。备份文件未加密，见备份与迁移。每周、更新安装前和替换导入前的自动备份包含同样的内容，保存在 Voltip 数据目录下的 backups 文件夹或你选择的文件夹中，每台电脑只保留自己最近 5 份；放在同步盘中会随同步上传，Voltip 不会在电脑之间同步数据，见自动备份。
• 密钥和设备身份：保存在系统钥匙串中，即 Windows 凭据管理器、macOS 钥匙串或 Linux 的 Secret Service；在 Linux 上需要运行并解锁 GNOME Keyring 或 KWallet。密钥保存后界面不再显示，每把密钥只发送给它所属的服务商。Voltip 不会改为把密钥保存到文件中：无法打开钥匙串时，Voltip 会说明需要什么，然后退出。
• GNOME 上的远程交互授权：在 GNOME 的「远程桌面」窗口中允许并记住远程交互后，GNOME 交给 Voltip 一个凭据。Voltip 把它保存在同一个钥匙串中，只在粘贴时交还给这台电脑上的 GNOME，以便不再询问。这项授权只包括键盘，不包括屏幕和鼠标。见GNOME 的远程交互授权。

各目录的位置见更新、卸载与数据位置。

手机连接

已配对的设备之间通过端到端加密的连接通信；扫码配对由二维码核对两台设备，输入验证码配对时需要你核对安全码。可选的中继在不同网络之间转发数据，但无法读取其中的内容。详见手机当麦克风和键盘，技术细节见威胁模型。

没有在线的已配对电脑时，手机单独识别：录音发给内置服务识别，识别出的文字发给内置服务做 AI 润色，与电脑在默认设置下相同。识别结果保存在手机上；与已配对的电脑同步时，副本会上传到这台电脑。详见单独使用手机。

手机发送到电脑的听写，电脑插入文字后会把文字回传给手机，手机在自己的记录中保存一份（受手机「设置」›「历史记录」控制）。已配对的电脑会把历史记录和设置同步到手机，供手机查看。同步的内容经端到端加密传输，中继无法读取，保存在手机上 Voltip 的应用私有存储中。电脑的「手机」页中可以按手机关闭同步；什么时候删除手机上的这些内容，见同步电脑的记录和设置。

反馈

电脑上的「反馈」对话框和手机上的「反馈」页面只发送发送前列出的内容：你的描述、可选的联系方式、你添加的附件，以及不涉及隐私的信息，例如应用版本、操作系统和所用服务的类型。它不会发送听写文字、历史记录、密钥、词典或规则。

更新

Voltip 在你点击「检查更新」时检查更新；开启自动更新后，也会在启动时检查，并在运行期间每 4 小时再检查一次。检查时读取 GitHub 上发布的版本信息：先从本站读取，本站无法访问时再从 GitHub 读取，更新也从同一处下载。本站运行在 Cloudflare 上，与 GitHub 一样能看到请求的网络地址；检查更新不发送任何关于你或你的录音的信息。在 Android 上，从 Google Play 安装的不做这项检查，由 Google Play 更新；Android 版 0.0.50 完全不做这项检查。

网络代理

Voltip 使用代理时（跟随系统时系统设置的代理，或在「设置 → 网络」中手动设置的代理，见网络代理），它的连接经过这个代理服务器。代理服务器能看到 Voltip 连接了哪些服务器，以及传输的数据量和时间。地址以 https:// 开头的连接（内置服务、各服务商的默认地址、更新服务器和反馈服务）使用 TLS，代理看不到也无法修改内容；与手机之间的内容另有端到端加密。自定义服务商的地址以 http:// 开头时，连接没有加密，代理能看到并修改录音、文字和密钥：这类地址请改用 https://，或把它加入「不使用代理的地址」。本机地址从不经过代理。代理的密码仅保存在系统钥匙串中，不写入设置文件和日志。