隐私政策
1. 这一页管什么
本政策适用于两件事：macOS 应用「文隐」（包括随安装包提供的本机后台程序与访达扩展），以及文隐官网（本页所在的静态站点）。
相关的其他文档：试用、购买与退款见条款与授权；使用许可与责任见法律；第三方许可见条款与授权的第三方许可。
本政策不适用于你发起的其他操作：例如你把导出文件交给外部 AI、云盘或其他人。这类操作由你决定，适用对应服务的规则。
2. 一份文书经过哪些环节
下表列出每个处理环节的数据位置、是否离开你的 Mac，以及会留下什么。
| 环节 | 数据在哪里 | 是否离开你的 Mac | 留下什么 |
|---|---|---|---|
| 导入 | 你选择的文件；复制一份到本机资料库 | 否 | 库内副本；索引记录名称、格式、大小与加入时间 |
| 识别 | 本机内存；识别模型与推理运行库随安装包分发 | 否 | 复核候选（原文片段、类别、替换词、位置）写入本机索引文件，用于退出后继续复核 |
| 核对 | 本机界面 | 否 | 勾选与取消的选择随索引文件保存在本机 |
| 替换（脱敏） | 本机内存与磁盘 | 否 | 同一项目内的独立脱敏副本；原稿副本不被改写 |
| 导出 | 你选择的目标位置 | 否 | 导出文件。撤销只回收库内的脱敏副本，不影响已经导出的文件 |
| 删除 | 本机 | 否 | 库内副本移入系统废纸篓；索引记录移除；你的原文件不受影响 |
需要特别说明：识别与核对的结果属于敏感信息，因此它们和你导入的副本一样，都在本机保存。它们不会离开你的 Mac，但如果你把电脑交给别人使用，对方可以通过资料库看到这些内容。请在设备层面自行保护（登录密码、磁盘加密、屏幕锁）。
3. 为什么处理不需要联网
文书识别不使用云端文稿识别服务：识别模型与推理运行库随安装包一起分发，推理在你的 Mac 上完成。导入、识别、核对、替换与导出全程不联网、不上传。
导入的是副本
导入时，文隐把文书复制一份到本机资料库（~/Library/Application Support/文隐/资料）。你的原文件不被移动、改写或删除。脱敏结果是同一项目内的独立副本，也只写在本机磁盘上。
4. 本机保存了什么，保留多久，怎么删除
| 内容 | 位置 | 保留多久 | 怎么删除 |
|---|---|---|---|
| 导入副本与脱敏副本 | 应用数据目录（本机） | 一直保留，直到你删除它，或开启存储清理 | 应用内删除（进系统废纸篓）；或「设置 → 存储」的自动清理；或卸载脚本 |
| 项目与资料索引，含复核候选与勾选状态 | 应用数据目录（本机） | 与对应资料相同 | 删除对应资料；整体清空用卸载脚本 |
| 偏好设置 | 系统偏好设置目录 | 直到你修改或卸载 | 卸载脚本；或手动删除 |
| 试用记录（密钥与已用份数） | 应用数据目录（本机） + 系统钥匙串 | 直到你卸载 | 卸载脚本（删除钥匙串条目时系统可能询问一次） |
| 授权状态（你粘贴的授权码） | 应用数据目录（本机） | 直到你卸载 | 卸载脚本；或手动删除 |
| 缓存与网络缓存 | 系统缓存目录 | 由系统与应用自行回收 | 卸载脚本；或手动删除 |
| 访达扩展容器 | 系统容器目录 | 直到你卸载 | 卸载脚本；或手动删除 |
存储清理（默认关闭）
「设置 → 存储」里可以按天数（7／14／30／60／90 天）或容量上限（不限制／500 MB／1 GB／2 GB／5 GB）回收资料库里的原稿副本，回收时一律移到系统废纸篓，不会直接抹掉。另有一个「导出后自动删除脱敏副本」开关，同样默认关闭。自动清理只作用于资料库内部；你的原文件从来不在库里，不受影响。
删除的两种含义
在应用内删除资料，是把库内副本移入系统废纸篓（可以恢复），原文件仍在原处。「从最近列表中移除」只影响最近列表，不删除文件。这两件事在界面上写得很明确，请按提示选择。
5. 应用什么时候联网
应用只有一件事需要联网：检查更新与下载更新。下表是完整的联网清单。
| 场景 | 请求发往哪里 | 带什么 | 不带什么 | 能否避免 |
|---|---|---|---|---|
| 检查更新（默认自动，可改手动） | 更新清单：brickindex.pages.dev 上的 appcast.xml（国内线路）或 appcast-global.xml（海外线路） |
常规 HTTPS 请求，以及用于比较版本的应用版本信息 | 文书内容、文件名、识别结果、使用统计、系统配置信息 | 可以：在「设置 → 通用 → 软件更新」改为手动，或在不联网的环境里使用 |
| 下载更新包（需要你点击） | 更新清单里指向的 HTTPS 地址（当前为 GitHub Releases） | 常规下载请求 | 同上 | 可以：不点击下载即可 |
| 识别、核对、替换、导出 | 不发起网络请求 | — | — | 本来就是离线 |
| 访达扩展与本机接口 | 只在本机内部通信（访达扩展把选中的路径交给主程序） | 文件路径、项目与资料的元数据 | 不监听网络端口，不发起外部请求 | 不涉及网络 |
更新只下载版本清单与安装包，不读取或上传文稿，不发送使用统计，也不发送系统配置。
下载与检查更新由托管服务提供，其服务端会收到常规的连接 IP 与请求记录——这是任何下载行为都会产生的记录。应用内没有遥测、没有崩溃上报、没有第三方分析 SDK。
6. 系统权限
| 权限 | 是否使用 | 说明 |
|---|---|---|
| 文件与文件夹 | 只在你操作时访问 | 打开你选择的文书、写入资料库。macOS 可能在首次访问某些目录时询问，是否允许由你在系统设置里决定 |
| 钥匙串 | 读取本机试用记录时需要 | 首次读取或更新后可能询问一次；请确认请求方是文隐或其后台程序 |
| 访达扩展 | 随安装包注册，可在系统设置里关闭 | 沙盒进程，只把选中的文件路径交给主程序，不读取文书内容 |
| 首次打开（未公证） | 需要在「系统设置 → 隐私与安全性」里允许 | 当前版本不做 Apple 公证；不要求关闭系统安全保护 |
| 其他系统权限 | 不使用，也不申请 | 屏幕录制、辅助功能、完全磁盘访问、摄像头、麦克风、定位、通讯录、日历、提醒事项、照片，以及控制其他应用的自动化权限，都不申请：应用里没有屏幕采集、控制其他应用或全盘扫描的功能 |
你可以随时在系统设置里收回以上任何一项授权。收回文件访问权限后，文隐将无法读取你选择的位置；这不影响你原有文件的安全。
7. 本机接口（默认关闭）
设置里另有一个默认关闭的本机接口，供你在终端或自动化脚本里调用。它只在本机内部可用，不监听网络端口。
它只返回项目名、文件名、格式、库内副本字节数与状态等元数据，不返回文书正文、原文或识别结果。导入会把文件复制进资料库、原文件不动；删除会把库内副本移入系统废纸篓。
8. 访达扩展
访达扩展是沙盒进程，只把你选中的文件路径交给应用，不读取文书内容，也不接触资料库。「在此脱敏」会在后台完成，不打开窗口。
9. 我们不收集什么
应用不自动上传文稿、识别结果、替换映射或使用统计；不提供账号、广告追踪或云端文稿处理。购买授权时可能需要订单号与机器码，机器码用于核对授权设备，并非匿名信息。
你通过邮件、微信或其他销售渠道主动联系或购买时，对应服务与经营者可能收到你的昵称、联系方式、订单与付款记录、机器码及你发送的内容，用于回复、交付和售后。请勿发送真实文稿或无关个人信息；群聊信息还可能被其他成员看到。各平台的数据处理适用其规则。你可以通过本页联系方式提出查询、更正或删除请求，依法必须保留的交易记录除外。
10. 本站（官网）
- 不接收文书：本站没有上传入口，也不会把你的文件传到任何地方。
- 不做追踪：本站不设置追踪 Cookie，不加载第三方统计脚本，也不做广告投放。
- 下载页会向 GitHub 查询公开发布的版本与安装包信息；不会发送文档、授权码或机器码。GitHub 会收到连接信息（包括 IP 地址）。
- 浏览器本地存储只保存手动选择的浅色/深色主题，以及下载页需要的公开版本信息；其中不含文档或用户标识，可在浏览器设置里清除本站数据。
- 本站由 Cloudflare Pages 托管。Cloudflare 在提供网络传输、安全与托管服务时可能处理 IP 地址、请求时间和浏览器等连接信息；处理方式以 Cloudflare 隐私政策为准。本站不加载第三方分析或广告脚本。
- 外部链接：下载按钮与更新渠道指向公开的下载仓库；点击后适用对应服务的规则。
请不要通过邮箱或群聊发送真实文书。需要说明识别问题时，请先按支持与更新里的方法用合成样例复现。
11. 你的权利与操作方式
本机文稿数据由你在应用和系统中管理，方法见下表。对主动联系、订单或授权交付中提供的信息，可通过本页联系方式提出查询、更正或删除请求；依法需要保留的信息按适用规定处理。
| 你想做的事 | 怎么做 |
|---|---|
| 查看文隐保存了什么 | 打开资料库查看副本与索引；按第 4 节的路径在访达里查看文件 |
| 更正识别结果 | 在复核区勾选、取消或补充候选；识别结果不写入文书本身，改的是本次复核选择 |
| 删除某份资料 | 应用内删除（进系统废纸篓）；需要彻底清除时清空废纸篓 |
| 导出你的数据 | 导出资料本身；库内副本也可以直接拷贝走 |
| 清空全部本机数据 | 运行安装包内的「卸载文隐.command」 |
| 投诉或提问 | 通过第 14 节的渠道联系我们；涉及个人信息保护的投诉，我们会先与你沟通，你也可以依法向有管辖权的机构反映 |
12. 未成年人
文隐面向需要处理法律文书的成年用户。应用不设账号，也不收集年龄或个人身份信息；未成年人应在监护人指导下使用本应用与本站。
13. 政策变更、版本与生效日期
涉及数据处理方式的重大变化，会在本页与更新记录中说明。政策的历史版本保留在我们的记录里，如果你需要核对旧版本，可以来信索取。
14. 联系方式与响应时间
- 邮箱：songsong24@foxmail.com
- 微信群：官网页脚「加入群聊」处的两个微信群（内测群与 AI 讨论群）
- 下载仓库：github.com/songoao25/wenyin-downloads
文隐由个人开发者维护，我们不承诺固定的响应时限，会尽力在合理时间内回复。隐私相关的问题请写清你使用的版本与系统版本；不要附真实文书。
使用条款
1. 条款的接受与适用
安装、打开或使用文隐，即表示你已阅读并同意本条款。如果你不同意，请不要安装或使用本软件。
本条款适用于文隐 macOS 应用（包括随包的本机后台程序与访达扩展）与文隐官网。本页同时说明使用许可、责任、试用与购买、退款和第三方许可；数据处理方式见隐私政策。
如果你代表一个组织使用文隐，你需要确认自己有权代表该组织接受本条款；当前我们只提供单机个人授权，没有团队条款。
2. 定义
| 用语 | 含义 |
|---|---|
| 本软件 | 「文隐」macOS 应用及其随包分发的本机后台程序、访达扩展、识别模型与推理运行库 |
| 我们 | 文隐的个人开发者 |
| 你 | 安装或使用本软件的自然人；如果你代表组织使用，指该组织 |
| 授权码 | 由我们签发、与本机绑定的文本，用于离线激活 |
| 机器码 | 用于把授权绑定到这台 Mac 的标识，无法反推原始硬件信息 |
| 试用 | 未激活时可使用完整功能生成 5 份脱敏副本的额度 |
| 资料库 | 本机 ~/Library/Application Support/文隐/ 下的副本、索引与授权记录 |
| 脱敏副本 | 按你的复核结果生成的独立文件，与原稿副本分开保存 |
| 版本说明 | 对应版本的更新记录与该版本的功能与限制描述 |
3. 许可范围与限制
在你遵守本条款的前提下，我们授予你一项个人的、非独占的、不可转让的许可，允许你在获得授权的 Mac 上安装并使用本软件。
你可以
- 在获得授权的 Mac 上安装并使用文隐，处理你自己的文书；
- 导入文书生成库内副本，逐项核对识别结果，生成并导出脱敏副本；
- 自行决定是否把导出文件交给外部 AI 或其他服务；这一步由你发起，也由你负责检查；
- 在同一台 Mac 上重装或恢复系统后重新输入你已保存的授权码（机器标识未变时有效）。
你不可以
- 把一份授权码用于多台 Mac，或与他人共用、出租、转售、转让授权码；
- 复制、分发、公开本软件或其安装包（含改名、重签名后的版本）；
- 对应用进行反向工程、反编译或反汇编，绕过授权校验、完整性校验或试用计数；法律明确允许的情形除外；
- 移除或修改应用与文档中的版权、商标或其他权利标识；
- 把本软件、文档、界面或设计用于训练任何模型；
- 把本软件用于违法用途，或用于处理你无权处理的文书。
许可不包含：账号与云端服务、订阅、跨设备同步、远程吊销、团队或教育授权。这些能力目前不提供，详见本页第 6 节。
4. 试用
未激活时可以使用完整功能试用 5 份文书，用于确认真实输出是否满足需要。计量口径是「每成功生成一份脱敏副本计 1 份」。
| 动作 | 是否计入 |
|---|---|
| 成功生成一份脱敏副本 | 计 1 份 |
| 导入、预览、识别、扫描、复核、再次导出已生成的副本 | 不计 |
| 处理失败、取消 | 不计 |
| 撤销 | 不返还已用额度 |
- 试用按份数计，不按天数倒计时；没有到期日期。
- 额度用尽后停止生成新的脱敏副本并提示激活；导入、识别与复核仍可用，已生成的副本仍可导出。
- 试用记录保存在本机。记录读不出来时，应用会提示并拒绝生成新副本，不会自动重建额度。
5. 授权码与激活
激活入口在「设置 → 授权」：把授权码粘贴进去即可，全程离线，不需要联网。授权码由我们签发，并在本机验证是否对应这台 Mac。
授权码与这台 Mac 绑定，激活在本机离线完成。同一台 Mac 重装系统通常不需要重新购买；更换逻辑板或重建虚拟机后，请联系我们走换机流程（见第 6 节）。
- 在「设置 → 授权」中复制机器码，购买时发给我们。
- 收到授权码后，在「设置 → 授权」中粘贴。
- 应用在本机完成验证，成功后显示已授权状态。
如果授权码无法激活：先确认复制完整、安装包来自官网；提示机器码不匹配时按第 6 节换机；仍然失败请通过第 15 节联系我们。
授权校验是软件层面的判断。因为授权完全离线，我们无法远程停用某台机器上的授权。
6. 购买、换机与退款
- 通过第 15 节的渠道联系我们，确认是否开放购买。
- 在应用「设置 → 授权」中复制机器码，连同订单号发给我们。
- 我们在实际收款渠道核实到账后签发授权码。
- 在应用里粘贴激活，之后可以断网使用。
- 一码一机：一份授权码绑定激活时使用的 Mac；每份授权提供一次免费换机。换机提供原订单号与新机器码；旧机器上的授权无法远程停用。
- 补发：授权码丢失时，用同一订单号与同一台机器重新索取，我们会重发原授权，不产生第二份有效授权。
- 退款：授权码交付前可以申请退款；交付后，在适用法律允许的范围内不提供自愿退款。产品不符合质量要求、与说明不符或依法应承担其他责任时，按中国大陆法律及成交渠道规则处理；消费者的法定权利不受影响。
- 发票：文隐由个人开发者运营，不是公司主体，无法开具中国增值税发票，也不承诺其他报销凭证；如果发票是购买前提，请在付款前确认。
我们明确不承诺：阻止所有未授权使用、退款后立即吊销旧授权、所有未来大版本永久免费、固定响应时限。
7. 你的责任
- 合法使用：你只能处理你有权处理的文书，并遵守适用的法律、职业规范与保密义务。文隐是工具，不改变你原本就承担的责任。
- 逐项核对：自动识别可能遗漏或误认，请在导出前核对每一项候选，补充遗漏、取消误认。
- 检查导出文件：请打开导出文件确认要移除的信息已经处理、版面没有损坏；不要只凭应用内预览判断。
- 自行备份：资料库里的副本是工作副本，不是备份；重要文书请保留你自己的备份。
- 设备安全：识别结果与副本都保存在本机，如果你与他人共用电脑，请通过登录密码、磁盘加密与屏幕锁保护这些数据。
- 不滥用渠道：反馈问题时不要发送真实文书；需要复现时请使用合成样例。
8. 第三方组件与许可
文隐包含以下第三方组件与资源，分别遵循其许可；本条款的许可限制不适用于这些组件。
- Sparkle 2.10.0（MIT）：应用内更新。
- ONNX Runtime 1.31.0（MIT）：本机推理；其随附组件按各自许可（含 MPL-2.0 等），完整清单见随包声明。
- 识别模型底座 HFL Chinese-RoBERTa-wwm-ext（Apache-2.0）：文隐在其基础上训练并量化；随包分发与上游一致的
vocab.txt（未修改）与自训练衍生权重model.onnx；上游原始训练权重不随包分发。上游仓库未提供单独 NOTICE。本应用及其模型不是 HFL、Google 或任何上游机构的官方发布。 - 站点字体（SIL OFL 1.1）：思源宋体、EB Garamond、Noto Serif JP／KR；子集化后自托管，保留版权与许可文本。
完整许可文本见 third-party-notices.txt 及站点字体目录下的 OFL 文件（SOURCE-HAN-OFL.txt、EB-GARAMOND-OFL.txt、NOTO-SERIF-JP-OFL.txt、NOTO-SERIF-KR-OFL.txt）。安装包内 ThirdPartyNotices.txt 与本页所附文本一致。
9. 知识产权
文隐是商业闭源软件。软件的著作权及其他权利归开发者所有。未经书面许可，任何人不得复制、分发、公开、转售本软件或其授权码，也不得把本软件、文档、界面与设计用于训练任何模型。本条款未明示授予的权利，均由开发者保留。
产品名称、图标与界面设计归开发者所有。随应用或本站分发的第三方组件遵循各自的许可，见本页第 8 节。
10. 原文件与副本
文隐只新建副本：导入时复制一份到资料库，脱敏时生成独立的脱敏副本。原文件不会被覆盖、移动或删除。应用内删除资料，是把库内副本移入系统废纸篓；撤销只回收库内的脱敏副本，不影响已经导出的文件。
11. 免责与责任限制
在适用法律允许的范围内，本软件按「现状」提供。我们不对识别结果的完整性、适用性或特定用途作出保证，也不对因使用或无法使用本软件造成的间接损失承担责任。
我们不对下列情况负责：你未核对识别结果；你把未检查的导出文件对外交付；你使用的系统版本、硬件或第三方软件导致的运行问题；你自行把文件交给外部服务产生的后果。
本条不排除或限制依法不能排除或限制的责任，也不影响你作为消费者依法享有的权利。
12. 条款终止
如果你违反本条款（例如共用授权码、绕过授权校验或分发本软件），许可自动终止：请停止使用并删除本软件及其本机数据。已购授权因违约终止后，我们不退还已支付费用。
你可以随时停止使用并卸载文隐；卸载方式见支持与更新。因为授权是离线且永久的，卸载不会自动退款，也不会远程使旧机器上的授权失效。
如果我们停止维护某个版本，你已安装的版本仍可在原机器上离线使用；更新与支持可能停止，这一点会在更新记录中说明。
13. 适用法律与争议解决
本条款适用中华人民共和国大陆地区法律。发生争议时，请先通过联系方式与我们沟通；协商不成时，任何一方可以向有管辖权的法院提起诉讼。
14. 条款变更与通知
本条款更新时会修改本页顶部的生效日期与文档版本号，并在更新记录中说明涉及权益的变化。重大变化会在官网页脚与微信群同步告知。
变更后继续使用新版本软件，即表示接受更新后的条款；如果你不同意，请停止使用并卸载。
15. 联系方式
- 邮箱：songsong24@foxmail.com
- 微信群：官网页脚「加入群聊」处的两个微信群（内测群与 AI 讨论群）
- 下载仓库：github.com/songoao25/wenyin-downloads
文隐由个人开发者维护，我们不承诺固定的响应时限，会尽力在合理时间内回复。