1. 這一頁的適用範圍
本政策適用於兩件事：macOS 應用程式「文隱」（包括隨安裝包提供的本機背景程式與 Finder 擴充功能），以及文隱官網（本頁所在的靜態網站）。
相關的其他文件：試用與購買的商業條款見授權與退款；使用授權與責任說明見使用條款；隨包第三方元件的授權見第三方聲明。
本政策不適用於你發起的其他操作：例如你把匯出檔案交給外部 AI、雲端硬碟或其他人。這類操作由你決定，適用對應服務的規則。
2. 一份文書經過哪些環節
下表列出每個處理環節的資料位置、是否離開你的 Mac，以及會留下什麼。
| 環節 | 資料在哪裡 | 是否離開你的 Mac | 留下什麼 |
|---|---|---|---|
| 匯入 | 你選擇的檔案；複製一份到本機資料庫 | 否 | 資料庫內副本；索引記錄名稱、格式、大小與加入時間 |
| 辨識 | 本機記憶體；辨識模型與推論執行環境隨安裝包分發 | 否 | 複核候選（原文片段、類別、替代詞、位置）寫入本機索引檔，用於結束後繼續複核 |
| 核對 | 本機介面 | 否 | 勾選與取消的選擇隨索引檔保存在本機 |
| 取代（去識別化） | 本機記憶體與磁碟 | 否 | 同一專案內的獨立去識別化副本；原稿副本不被改寫 |
| 匯出 | 你選擇的目標位置 | 否 | 匯出檔案。復原只回收資料庫內的去識別化副本，不影響已經匯出的檔案 |
| 刪除 | 本機 | 否 | 資料庫內副本移入系統垃圾桶；索引記錄移除；你的原始檔案不受影響 |
需要特別說明：辨識與核對的結果屬於敏感資訊，因此它們和你匯入的副本一樣，都在本機保存。它們不會離開你的 Mac，但如果你把電腦交給別人使用，對方可以透過資料庫看到這些內容。請在裝置層面自行保護（登入密碼、磁碟加密、螢幕鎖定）。
3. 為什麼處理不需要連網
文書辨識不使用雲端文書辨識服務：辨識模型與推論執行環境隨安裝包一起分發，推論在你的 Mac 上完成。匯入、辨識、核對、取代與匯出全程不連網、不上傳。
模型或執行環境缺失、損毀或載入失敗時，辨識繼續使用規則結果並正常回傳，降級原因會寫在辨識輸出與系統日誌裡；打包階段缺少模型則直接停止，不產出沒有模型的安裝包。這個過程同樣不連網。
匯入的是副本
匯入時，文隱把文書複製一份到本機資料庫（~/Library/Application Support/文隐/资料）。你的原始檔案不會被移動、改寫或刪除。去識別化結果是同一專案內的獨立副本，也只寫在本機磁碟上。
4. 本機保存了什麼、保留多久、怎麼刪除
| 內容 | 位置 | 保留多久 | 怎麼刪除 |
|---|---|---|---|
| 匯入副本與去識別化副本 | ~/Library/Application Support/文隐/资料/ |
一直保留，直到你刪除它，或開啟儲存空間清理 | 應用程式內刪除（進系統垃圾桶）；或「設定 → 儲存空間」的自動清理；或解除安裝腳本 |
| 專案與資料索引，含複核候選與勾選狀態 | ~/Library/Application Support/文隐/library.json |
與對應資料相同 | 刪除對應資料；整體清空用解除安裝腳本 |
| 偏好設定 | ~/Library/Preferences/com.songsong.docredactor*.plist |
直到你修改或解除安裝 | 解除安裝腳本；或手動刪除 |
| 試用記錄（金鑰與已用份數） | ~/Library/Application Support/文隐/License/ 與系統鑰匙圈項目 com.songsong.docredactor.trial.v2 |
直到你解除安裝 | 解除安裝腳本（刪除鑰匙圈項目時系統可能詢問一次） |
| 授權狀態（你貼上的授權碼） | ~/Library/Application Support/文隐/License/license.txt |
直到你解除安裝 | 解除安裝腳本；或手動刪除 |
| 快取與網路快取 | ~/Library/Caches/com.songsong.docredactor、~/Library/HTTPStorages/com.songsong.docredactor |
由系統與應用程式自行回收 | 解除安裝腳本；或手動刪除 |
| Finder 擴充功能容器 | ~/Library/Containers/com.songsong.docredactor*、~/Library/Application Scripts/com.songsong.docredactor*、~/Library/Group Containers/group.com.songsong.docredactor |
直到你解除安裝 | 解除安裝腳本；或手動刪除 |
儲存空間清理（預設關閉）
「設定 → 儲存空間」裡可以依天數（7／14／30／60／90 天）或容量上限（不限制／500 MB／1 GB／2 GB／5 GB）回收資料庫裡的原稿副本，回收時一律移到系統垃圾桶，不會直接抹除。另有一個「匯出後自動刪除去識別化副本」開關，同樣預設關閉。自動清理只作用於資料庫內部；你的原始檔案從來不在資料庫裡，不受影響。
刪除的兩種含義
在應用程式內刪除資料，是把資料庫內副本移入系統垃圾桶（可以復原），原始檔案仍在原處。「從最近列表中移除」只影響最近列表，不刪除檔案。這兩件事在介面上寫得很明確，請依提示選擇。
5. 應用程式什麼時候連網
應用程式只有一件事需要連網：檢查更新與下載更新。下表是完整的連網清單。
| 情境 | 請求發往哪裡 | 帶什麼 | 不帶什麼 | 能否避免 |
|---|---|---|---|---|
| 檢查更新（預設自動，可改手動） | 更新清單：brickindex.pages.dev 上的 appcast.xml（國內線路）或 appcast-global.xml（海外線路） |
一般 HTTPS 請求，以及用於比較版本的應用程式版本資訊 | 文書內容、檔案名稱、辨識結果、使用統計、系統設定資訊 | 可以：在「設定 → 一般 → 軟體更新」改為手動，或在不連網的環境裡使用 |
| 下載更新包（需要你按下） | 更新清單裡指向的 HTTPS 位址（國內線路走 Gitee，海外線路走 GitHub） | 一般下載請求 | 同上 | 可以：不按下載即可 |
| 辨識、核對、取代、匯出 | 不發起網路請求 | — | — | 本來就是離線 |
| Finder 擴充功能與本機介面 | 只在本機內部通訊（Finder 擴充功能交給主程式；本機介面是 Unix socket） | 檔案路徑、專案與資料的中繼資料 | 不監聽網路埠，不發起外部請求 | 不涉及網路 |
更新包使用 Ed25519 密碼簽章驗證，公鑰隨應用程式提供；更新只下載版本清單與安裝包，不讀取或上傳文書，不傳送使用統計，也不傳送系統設定。Sparkle 的系統資訊蒐集在打包時是關閉的（SUEnableSystemProfiling=False）。
下載與檢查更新由託管服務提供，其伺服器會收到一般的連線 IP 與請求記錄——這是任何下載行為都會產生的記錄。應用程式內沒有遙測、沒有當機回報、沒有第三方分析 SDK。
6. 系統權限
| 權限 | 是否使用 | 說明 |
|---|---|---|
| 檔案與資料夾 | 只在你操作時存取 | 開啟你選擇的文書、寫入資料庫。macOS 可能在首次存取某些目錄時詢問，是否允許由你在系統設定裡決定 |
| 鑰匙圈 | 讀取本機試用記錄時需要 | 首次讀取或更新後可能詢問一次；請確認請求方是文隱或其背景程式 |
| Finder 擴充功能 | 隨安裝包註冊，可在系統設定裡關閉 | 沙盒程序，只把選取的檔案路徑交給主程式，不讀取文書內容 |
| 首次開啟（未公證） | 需要在「系統設定 → 隱私權與安全性」裡允許 | 目前版本不做 Apple 公證；不要求關閉系統安全保護 |
| 其他系統權限 | 不使用，也不申請 | 螢幕錄製、輔助使用、完整磁碟存取、相機、麥克風、定位、通訊錄、行事曆、提醒事項、照片，以及控制其他應用程式的自動化權限，都不申請：安裝包內沒有任何用途說明鍵，應用程式裡也沒有螢幕擷取、控制其他應用程式或全磁碟掃描的功能 |
你可以隨時在系統設定裡收回以上任何一項授權。收回檔案存取權限後，文隱將無法讀取你選擇的位置；這不影響你原有檔案的安全。
7. 本機介面（預設關閉）
設定裡另有一個預設關閉的本機介面，供你在終端機或自動化腳本裡呼叫。它使用本機 Unix socket（權限 0600），只在同一台電腦、同一登入使用者下可用，不監聽網路埠。
它只回傳專案名稱、檔案名稱、格式、資料庫內副本位元組數與狀態等中繼資料，不回傳文書正文、原文或辨識結果；協定裡也沒有承載這些內容的欄位，回歸測試會用正文裡的唯一口令斷言回應與線上位元組都不含它。匯入會把檔案複製進資料庫、原始檔案不動；刪除會把資料庫內副本移入系統垃圾桶。
8. Finder 擴充功能
Finder 擴充功能是沙盒程序，只把你選取的檔案路徑交給應用程式，不讀取文書內容，也不接觸資料庫。「在此去識別化」由系統以後台方式拉起主程式，不開啟視窗；失敗時把原因寫進標準錯誤與系統日誌並以非零狀態結束，不會彈出視窗卡住。真實 Finder 選單點擊仍待驗收，這一點我們不隱瞞。
9. 我們不蒐集什麼
- 不建立帳號：文隱沒有註冊、登入或雲端帳戶體系，也沒有找回密碼流程。
- 不蒐集個人資訊：不要求姓名、手機號碼或身分證號，也不蒐集原始硬體 UUID。機器碼是硬體識別經單向雜湊與編碼後的結果，只用於判斷授權碼是否簽給這台機器。
- 不蒐集文書內容：不上傳文書，不蒐集原文、辨識結果、取代對應或匯出檔案。
- 不蒐集使用統計：沒有行為追蹤碼，沒有廣告識別碼，沒有當機回報，沒有第三方分析 SDK。
- 不出售或共享資料：因為沒有可出售的資料；我們不與第三方共享任何文書或辨識結果。
購買授權時只需要兩樣東西：訂單號，以及你從應用程式複製的機器碼（形如 XXXX-XXXX-XXXX-XXXX-XXXX）。我們不需要你的文書，也不需要身分證、手機號碼或原始硬體 UUID。
10. 本站（官網）
- 不接收文書：本站沒有上傳入口，也不會把你的檔案傳到任何地方。
- 不做追蹤：本站不設定追蹤 Cookie，不載入第三方統計腳本，也不投放廣告。
- 下載頁的一次外部請求：開啟下載頁時，頁面會向 GitHub 的公開介面（
api.github.com）讀取最新公開版本號，讓按鈕始終指向最新安裝包。這個請求不攜帶任何個人資訊，也沒有登入；GitHub 會依其自身政策看到你的 IP 與請求時間。讀不到時不重試、不蒐集任何結果。 - 主題偏好：深淺色切換會把你的選擇保存在瀏覽器的
localStorage裡，鍵名是wenyin-theme，值只有auto、light、dark三種。它不含任何識別碼，不會隨請求傳送，也不用於追蹤；在瀏覽器設定裡清除本站資料即可刪除。 - 託管日誌：本站由靜態託管服務承載，存取日誌由託管方依其自身政策處理。我們無法存取原始存取日誌，也不把它們用於統計或分析。
- 外部連結：下載按鈕與更新管道指向公開的下載倉庫；點擊後適用對應服務的規則。
請不要透過電子郵件或群組聊天傳送真實文書。需要說明辨識問題時，請先依支援與更新裡的方法用合成範例重現。
11. 你的權利與操作方式
因為資料都保存在你的 Mac 上，我們無法存取，也不需要你向我們提交存取或刪除申請。你的權利可以直接透過應用程式與系統完成：
| 你想做的事 | 怎麼做 |
|---|---|
| 查看文隱保存了什麼 | 開啟資料庫查看副本與索引；依第 4 節的路徑在 Finder 裡查看檔案 |
| 更正辨識結果 | 在複核區勾選、取消或補充候選；辨識結果不寫入文書本身，改的是本次複核選擇 |
| 刪除某份資料 | 應用程式內刪除（進系統垃圾桶）；需要徹底清除時清空垃圾桶 |
| 匯出你的資料 | 匯出資料本身；資料庫內副本也可以直接拷貝走 |
| 清空全部本機資料 | 執行安裝包內的「卸载文隐.command」 |
| 投訴或提問 | 透過第 14 節的管道聯絡我們；涉及個人資訊保護的投訴，我們會先與你溝通，你也可以依法向有管轄權的機關反映 |
12. 未成年人
文隱面向需要處理法律文書的成年使用者。應用程式不設帳號，也不蒐集年齡或個人身分資訊；未成年人應在監護人指導下使用本應用程式與本站。
13. 政策變更、版本與生效日期
本政策目前的文件版本是 v1，生效日期見本頁頂端。每次修改都會同時更新生效日期與版本號；本次是第 1 個對外版本。
涉及資料處理方式的重大變化，會在本頁與公開發布記錄中說明。政策的歷史版本保留在我們的記錄裡，如果你需要核對舊版本，可以來信索取。
本政策自生效日期起適用於目前公開發布的內測版本。正式售價與銷售條款尚未確定，相關條款確定後會同步更新授權與退款頁。
14. 聯絡方式與回應時間
- 電子郵件：songsong24@foxmail.com
- 微信群組：官網頁尾「加入群組」處的兩個微信群組（內測群與 AI 討論群）
- 下載倉庫：github.com/songoao25/wenyin-downloads
文隱由個人開發者維護，我們不承諾固定的回應時限，會盡力在合理時間內回覆。隱私相關的問題請寫清你使用的版本與系統版本；不要附真實文書。