- AI 处理
- 语音识别和翻译使用在你电脑上运行的 AI 模型；不使用云端 AI
- 会议数据
- 只在你的电脑上；我们的服务器上没有
- 音频
- 只在内存中，从不写入磁盘，从不外传
- 网络
- 5 个地方；都不会收到音频、转写内容或你在输入翻译中输入的文字
- 服务器保存
- 邮箱（购买时，或你在客服聊天中自愿留下时）、订单、许可证、哈希处理后的设备 ID、错误报告、客服聊天消息
- 保存期限
- 直到你要求删除；错误报告 30 天；客服聊天 90 天
- 核实方式
- 在 macOS 上使用代理和 nettop
- 代码签名
- macOS 为临时签名，未经公证；Windows 未签名
哪些数据留在你的电脑上？
音频、转写内容、译文以及你在输入翻译中输入的文字，都不会离开你的电脑。应用也没有登录、没有广告、没有分析统计。出错时，应用会向我们发送一份已去除个人数据的错误报告（见错误报告）；报告中不含音频、转写文字或译文。
| 数据 | 如何处理 |
|---|---|
| 正在采集的系统音频 | 翻译时只在内存中。从不写入磁盘，从不通过网络发送。AI Translator 也不会把会议录制成文件。 |
| 转写内容和译文 | 显示在屏幕上，并在会话期间保存在内存中。历史记录默认关闭；如果你开启（Pro 功能），会加密保存在你的电脑上。 |
| 在输入翻译中输入的文字及其译文 | 只保存在应用的内存中，直到你粘贴或退出应用。不写入磁盘，不通过网络发送，也不会出现在日志或错误报告中。译文会复制到剪贴板以便粘贴，并一直留在那里，直到你复制别的内容。 |
| 密钥、令牌、翻译时长计数 | 历史记录的加密密钥、许可证令牌、试用令牌和翻译时长计数保存在钥匙串（macOS）或凭据管理器（Windows）中。 |
| 日志 | 保存在你的电脑上，不含转写内容。只有与错误相关的那部分日志会离开你的电脑，并且是放在已去除个人数据的错误报告中（见错误报告）。 |
| 术语表、设置、模型 | 保存在你的电脑上。模型只需下载一次，之后完全在你的电脑上运行。 |
在 macOS 上，输入翻译请求辅助功能权限，只是为了向你正在输入的聊天框发送粘贴键 ⌘V。应用不会读取其他应用的文字、内容或剪贴板；没有这项权限时，应用只会复制译文，由你自己粘贴（见输入翻译）。
应用会连接到哪里？
恰好 5 个地方，都不会收到音频、转写内容或你在输入翻译中输入的文字。语音识别和翻译不需要网络。翻译过程中，应用只可能向我们自己的服务器发送定期请求（检查更新，以及到期时的许可证检查），以及你打开“客服”页面或点击发送时的客服聊天消息。隐私政策（英文）第 4 节同样列出了 5 个连接，但它是按用途计数的（模型下载和检查更新都连到 releases.aitranslator.vn；PayOS 和 Creem 的付款页面算作一项），而下表按目的地计数。
| 连接到 | 用途 | 发送的内容 |
|---|---|---|
| api.aitranslator.vn | 许可证服务器：Free 试用登记、购买、激活、停用、找回密钥、许可证检查、接收错误报告、客服聊天；偶尔向服务器询问时间 | 哈希处理后的设备 ID、设备名称、密钥；购买或找回密钥时还有你的邮箱和应用的界面语言；已去除个人数据的错误报告（只在应用没有翻译时发送）；你发送的客服聊天消息，以及你保留勾选时的设备信息行和你自愿留下的邮箱（只在你使用聊天时） |
| releases.aitranslator.vn | 下载模型，检查并下载应用更新 | 只有文件下载请求 |
| PayOS 付款页面（pay.payos.vn） | 购买套餐时用 VietQR 付款 | 在你的浏览器中打开，而不是在应用内 |
| Creem 付款页面（www.creem.io） | 购买套餐时用国际银行卡付款 | 在你的浏览器中打开，而不是在应用内。你的邮箱由我们的服务器发送给 Creem，而不是由应用发送（见“还有谁处理数据？”） |
| aitranslator.vn（本网站） | 外部链接（政策、支持、下载页面）在系统浏览器中打开 | 应用不发送任何内容 |
我们是如何核实的？
我们在 macOS 上让应用运行在一个记录流量的代理（mitmproxy）之后，同时用 nettop 测量，并循环播放一段英文示例句子来翻译一个会话。版本为 0.1.0 正式版，临时签名，机器是 macOS 26.6.2 的 MacBook Pro M4 Pro，日期为 2026年10月6日。
- 一个 15 分 42 秒的会话（158 个片段，0 个错误）：共有 3 个对外请求，全部发往我们的两台服务器（一次许可证检查和一次更新检查）。翻译过程中只有 1 个请求，即预定的更新检查。这次测量是在我们迁移到自己的域名之前进行的；之后在自己的域名上重复测量（一个约 9 分钟的会话，nettop 测量 5 分钟），结果相同。
- nettop 监视了应用的 7 个进程（包括 AI 处理）：没有发现对外的数据流。
- 示例句子中的标记词：在应用的日志和记录下来的请求中都没有找到。
- 自动发送错误报告（2026年10月17日在同一台机器上，用带有此功能的临时签名正式版重新测量）：在一个 12 分 31 秒的会话中，我们在第 5 分钟故意结束了一个辅助程序，让应用把一份错误报告排入队列。会话剩下的 7 分多钟里没有任何请求发送报告；按下“停止”1 秒后，报告到达了我们的服务器。报告正文为 49.8 KB，不含账户名、个人文件夹路径、邮箱地址或示例句子中的标记词。
这项测试的局限
只在 macOS、一台机器、一个临时签名版本上测量；自动错误报告只测量了一次（一个 12 分钟的会话，一份报告）；客服聊天还没有用代理测量。这是内部检查，不是独立审计；代理模式看不到 WebView 的请求和非 HTTP 流量，所以我们用 nettop 作为补充。
我们的服务器保存什么，保存多久？
我们的服务器保存以下数据。Free 试用这一行适用于每台登记过试用的设备；其他各行只在你购买套餐或激活密钥后才会存在，但错误报告这一行适用于每台应用发送过报告的设备，客服聊天这一行适用于每个在聊天中发过消息的人。
| 数据 | 用途 |
|---|---|
| 购买时的邮箱，你同意处理邮箱的时间 | 发送和找回密钥；银行卡订单预先填写 Creem 的付款页面；同意的证明 |
| 订单：订单号、套餐、金额和币种、时间、状态、支付网关的会话 ID（PayOS 或 Creem）、购买时应用的界面语言 | 签发和续期许可证、对账、会计、用你的语言发送邮件 |
| 许可证：密钥、套餐、到期时间、翻译时长周期 | 授予付费套餐 |
| 已激活的设备：哈希处理后的设备 ID、设备名称、最后一次检查 | 一个密钥一台设备，防止滥用 |
| Free 试用：哈希处理后的设备 ID、开始和结束时间、应用最后一次联系服务器的时间 | 每台设备一次试用。没有邮箱或设备名称。 |
| 许可证变更记录 | 支持和故障调查 |
| 限速计数器（只有哈希值，约 3 小时后过期） | 阻止猜测密钥和垃圾请求 |
| 错误报告：错误类型和代码、机器信息、哈希处理后的设备 ID、日志中的相关部分 | 发现和修复故障；30 天后自动删除（见错误报告） |
| 客服聊天：你的消息和我们的回复、来源、语言、打开聊天时所在的页面（网站）、你保留勾选时的设备信息行（应用）、你自愿留下的邮箱 | 回复你；最后一条消息 90 天后自动删除（见客服聊天） |
保存期限：直到你要求删除；我们从不主动删除个人数据（错误报告除外，30 天后自动删除；客服聊天也除外，最后一条消息 90 天后自动删除）。我们不会收到你的银行卡号或银行账号。使用 VietQR 时，我们不会把你的邮箱发送给 PayOS；使用国际银行卡时，我们会把你在升级页面上输入的邮箱发送给 Creem，用来预先填写付款页面，并让 Creem 通过邮件给你发送收据。如果你只使用 Free，除了你在客服聊天中自愿留下的邮箱，我们的服务器上没有你的邮箱或设备名称。
错误报告：应用出错时会发送什么？
应用出错时，会自动向我们发送一份错误报告，以便我们发现并修复问题。这项功能默认开启（包括从旧版本更新之后）；你可以在设置 › 隐私中关闭或重新开启，也可以在第一次打开应用时的使用条款步骤中直接取消勾选。关于页面上的向客服发送日志按钮会立即发送一份报告（即使你已关闭自动发送），并给你一个报告编号，方便你写进发给客服的邮件。
| 项目 | 详情 |
|---|---|
| 何时发送 | 上一次运行意外结束时；翻译会话因应用内部错误而停止时（不包括由你或你的环境造成的错误，例如缺少录音权限、翻译时长用完或没有网络）；应用的某个辅助程序停止并重启时。只在应用没有翻译时发送，每台机器每天最多 5 份。 |
| 报告包含 | 报告编号、错误的类型和代码；应用版本、操作系统、芯片或 CPU、内存、GPU 类型、模型包、你的许可证套餐名称（从不包含密钥）、界面语言；哈希处理后的设备 ID；以及日志中与错误相关的部分，最多 64 KB。 |
| 报告不包含 | 音频、转写内容、译文、在输入翻译中输入的文字、许可证密钥、令牌、邮箱地址、电脑名称、操作系统用户名、IP 地址。应用在发送前会从日志中去除个人文件夹路径、密钥、令牌和邮箱地址；我们的服务器会再检查一次，如果还有残留就拒收这份报告。 |
| 如何与你关联 | 报告中哈希处理后的设备 ID 与我们为许可证和 Free 试用保存的是同一个，所以在处理支持请求时，我们可以把报告与这台机器的许可证和邮箱关联起来。 |
| 保存多久 | 最多 30 天，之后自动删除（服务器最多保存 3,000 份报告）。通过邮件提出的删除申请，也会删除曾为该邮箱激活过密钥的机器的报告。 |
我们只用报告来发现和修复故障，不用于广告，也不会与下表中的处理方以外的任何人共享。完整内容见隐私政策（英文）第 10 节。
客服聊天：消息去了哪里，保存多久？
你可以通过本网站每个页面右下角的聊天按钮，或应用中的客服页面给我们发消息。消息经过我们的服务器送到 AI Translator 的运营者，回复会显示在同一个聊天窗口中。用不用聊天由你决定：如果你从未发过消息，应用不会为聊天建立任何连接。
- 服务器保存：你的消息和我们的回复、时间、来源（网站或应用）、语言、打开聊天时所在的页面（网站）、你保留勾选时的设备信息行（应用），以及你自愿留下的邮箱。不会把 IP 地址和聊天一起保存。
- 设备信息（应用）：默认勾选，可以取消；只随第一条消息发送，发送前原样显示；从不包含密钥、邮箱、设备 ID 或电脑名称。
- 邮箱：选填；只用于在回复约 2 分钟后仍未送达聊天窗口时（例如你已关闭页面或应用）通过邮件发送回复。
- 保存多久：最后一条消息 90 天后自动删除。你也可以在聊天的 ⋯ 菜单中立即删除对话；已送到回复者那里的消息副本，在你通过邮件提出要求时删除。
完整内容（包括负责传送消息的服务方）见隐私政策（英文）第 11 节。
如何删除我的数据？
删除你电脑上的数据
进入设置 › 隐私。删除所有数据会删除历史记录和术语表；删除模型和数据还会删除已下载的模型（在 macOS 上，请在把应用拖到废纸篓之前操作）。你的许可证、翻译时长和设置会保留。
请我们删除服务器上的数据
请用购买时使用的同一个邮箱，或你在客服聊天中留下的邮箱发邮件到 support@aitranslator.vn，以便我们确认是你本人。我们的隐私政策还按照越南个人数据保护法的规定，赋予你知悉所存内容、撤回同意和投诉的权利。我们会在法律规定的期限内处理申请。
我们会做什么
我们会删除你的邮箱和设备名称，删除曾为该邮箱激活过密钥的机器的错误报告，并删除你留下该邮箱的客服聊天（包括已送到回复者那里的副本）。你的许可证仍然可以使用，但无法再通过邮件找回。
删除后我们仍会保留：哈希处理后的设备 ID（只用于防止滥用：一个密钥一台设备，每台设备一次 Free 试用）、你曾同意处理邮箱的时间，以及会计层面的订单记录（订单号、日期、金额和币种、支付网关的会话 ID）。会自行过期的技术日志和 Resend 的邮件日志不在我们的删除范围内，按各方自己的政策处理。你在 Creem 页面上填写的数据以及 Creem 保存的交易记录（作为销售方，它必须保存税务记录）不在发给我们的删除申请范围内；如需在 Creem 删除，请联系 Creem。从未激活过密钥的机器的错误报告不与任何邮箱关联，因此无法通过邮箱找到；它们会在 30 天后自动删除。
还有谁处理数据？
| 处理方 | 角色 | 数据 |
|---|---|---|
| PayOS（越南） | 处理 VietQR 付款 | 订单号、金额、订单说明。不含你的邮箱。 |
| Creem（Armitage Labs OÜ，爱沙尼亚） | 银行卡订单的销售方（merchant of record，即转售商）：处理付款、税费和收据 | 你一点击用银行卡付款（即使之后没有付款），我们就会发送订单号、套餐、金额、币种和你输入的邮箱，用来预先填写付款页面，并让 Creem 通过邮件给你发送收据。在付款页面上，Creem 自己收集你的卡号、姓名、账单地址和国家（用于计算税费）以及 IP 地址（用于防止欺诈）；我们不会收到你的卡号。Creem 按照自己的政策（https://www.creem.io/privacy）处理这些数据。Creem 发送到我们服务器的付款通知包含买家的姓名和国家；我们不保存这两项。 |
| Cloudflare | 运行许可证服务器和数据库；存储和分发模型及更新 | 上表中的数据，包括错误报告和客服聊天；会自行过期的技术日志 |
| Resend | 发送包含你密钥的邮件，以及你留下邮箱时的客服聊天回复 | 你的邮箱和邮件内容（含密钥或聊天回复）；按 Resend 自己的政策保存的邮件日志 |
Cloudflare 和 Resend 在越南境外运营服务器，Creem 是爱沙尼亚公司，所以数据可能在境外处理。客服聊天消息在送到回复者之前，还会经过一家服务器位于越南的消息服务（不含你的邮箱）；该服务方的名称和它收到的数据见隐私政策（英文）第 6 节。我们不出售你的数据，也不为广告共享数据。
其他保护措施
- 数字签名：应用更新在写入磁盘前会先检查签名；模型清单用 Ed25519 签名，每个文件都用 SHA-256 核对；许可证令牌用 Ed25519 签名，可以离线验证。应用中只有公钥。
- AI 处理与界面分离：它只与你电脑内的应用通信，不接受来自机器外部的连接，每次运行都使用一个随机密钥。
- 敏感密钥不放在应用里：付款 API 密钥和签名密钥只在我们的服务器上；与我们服务器的连接使用 HTTPS。
- 检测被篡改的应用：在 macOS 上，应用会检查自己的临时签名是否完好、bundle id 是否正确；签名不匹配的版本只能运行 Free 套餐。这是完整性检查，不能代替 Developer ID 签名。在 Windows 上，当前版本还没有代码签名，所以应用没有这项检查；请改为核对安装包的 SHA-256。
目前的代码签名
| 平台 | 状态 | 对你意味着什么 |
|---|---|---|
| macOS | 临时签名，未经公证（我们还没有 Apple Developer ID） | 在浏览器中下载的 .dmg 第一次打开时会被 macOS 阻止（你需要在“系统设置 › 隐私与安全性”中点击“仍要打开”）；用终端命令安装则可以直接打开。每次更新后，macOS 会再弹出 1 个钥匙串对话框，并可能再次请求录音权限。 |
| Windows | 没有代码签名（我们还没有 Windows 代码签名证书） | 用 PowerShell 命令安装不会触发 SmartScreen（PowerShell 下载的文件没有“从互联网下载”的标记）。在浏览器中下载的 .exe 可能显示“Windows 已保护你的电脑”：点击“更多信息”，然后点击“仍要运行”；发布者显示为“未知发布者”。处于阻止模式的智能应用控制会阻止未签名的版本。 |
临时签名无法告诉 Apple 开发者是谁，所以请只用下载页面上的命令安装，或使用我们发给你的文件，并核对 SHA-256 校验值。未签名的 Windows 版本也一样（用下载页面上的命令安装，或使用我们发给你的文件）：Windows 无法确认文件的发布者，核对 SHA-256 就是你确认文件未被改动的方法。我们计划在条件允许时改用 Developer ID 和 Windows 代码签名证书，目前还没有确定日期。请参阅 macOS 和 Windows 的安装指南。
我们不承诺的事项
- 没有绝对安全的系统。如果发生影响个人数据的事件，我们会按法律要求进行通知。
- 我们没有检查过共享屏幕时观看者能否看到字幕条。如果你担心这一点，请在共享前用快捷键隐藏字幕条。
- 如果法律或你所在公司的政策有要求，你有责任告诉会议中的其他人你在使用翻译工具。
发现了安全问题？请按照联系页面上的步骤操作。