隐私

实用隐私地图，不是法律细则。

隐私原则

这一页用普通语言说明当前产品和网站的行为：哪些内容默认留在本地，哪些联网能力会在你选择后发生，以及公开文档站点会处理什么。

本地

音频和转录先在设备上处理

Sona 的常规流程围绕本地转录、本地编辑和用户主动导出来设计。

可选

联网能力跟随具体动作

AI provider 调用、模型下载、更新、备份和 WebDAV 同步都与用户配置或触发的功能相关。

网站

文档站点的动态面较少

站点会为下载页读取 GitHub release 数据，并可在配置后提供受保护 of 文档助手。

数据流

数据会流向哪里

这张表把 Sona 桌面端动作和公开文档站点行为分开，方便在使用可选联网能力之前先看清边界。

功能	触发方式	数据	去向	控制方式
本地转录	录音或导入音频，并运行本地识别。	音频或视频输入、本地转录分段和时间戳。	你的设备和本地模型运行时。	识别保持在本地；只有你主动导出或分享时文件才离开应用边界。
本地编辑/导出	编辑转录，或导出 SRT、VTT、TXT 等文件。	转录文本、时间戳，以及导出中包含的摘要或元数据。	本地工作区和你选择的保存位置。	你选择导出格式、保存位置和后续分享方式。
模型下载	下载或安装语音模型。	模型请求相关信息和网络请求信息。	配置的模型或 release 托管地址。	由你手动触发；下载模型不需要发送音频。
应用 release 下载/更新检查	打开下载页、下载安装包或检查更新。	release 元数据请求，以及检查更新时的应用、平台或版本信息。	GitHub Releases 或配置的更新源。	由下载或更新动作触发；是否安装由你决定。
LLM 润色	使用已配置的 provider 运行润色。	选中的转录文本和任务所需 prompt/context。	你配置的 LLM provider 或本地 endpoint。	可选；只有配置并触发 provider 动作后才会运行。
翻译	使用已配置的 provider 或服务运行翻译。	转录文本和语言设置。	配置的翻译或 LLM provider，或本地 endpoint。	可选；你选择的 provider 决定数据边界。
AI 摘要	生成摘要。	转录文本和摘要模板/上下文。	你配置的 LLM provider 或本地 endpoint。	可选；生成后的摘要可在应用内编辑或清空。
自动化	启用文件夹监听、预设或自动化任务。	监听或导入的文件、转录文本，以及工作流需要的导出结果。	本地工作区，以及工作流中配置的 provider 或导出位置。	未配置时不运行；运行前可检查预设动作和导出模式。
备份/恢复归档	导出备份归档，或把归档重新导入 Sona。	配置、工作区、轻量历史转录与摘要、自动化状态，以及仪表盘 LLM 使用记录。不包含音频文件、onboarding、当前项目和恢复态数据。	你选择的本地归档保存位置。	你决定何时导出、保存到哪里，以及之后是否导入归档。
WebDAV Cloud Sync	配置同步，并运行备份、恢复或同步动作。	备份归档和同步元数据。	你配置的 WebDAV 服务器。	可选；由服务器地址、凭据和应用内同步动作控制。
文档下载 API	打开下载 UI 或请求最新 release 链接。	公开请求信息、请求 ID、有限诊断日志和 GitHub release 查询结果。	Sona 文档站 API 和 GitHub Releases。	仅用于下载选择和运行诊断；不会记录音频、转录数据、cookie、token 或完整 IP 地址。
用户指南助手	启用后向指南助手提问。	你的问题、较短对话历史、语言、当前指南页上下文，以及防滥用 cookie 或 Turnstile 状态。	Sona 文档站 API、Gemini，以及触发验证时的 Cloudflare Turnstile。	可选站点功能；服务端诊断日志不会保存问题正文、对话历史、cookie、token 或完整 IP 地址。
外部 GitHub 链接	点击 GitHub、release 或源码链接。	由浏览器和 GitHub 处理的 referrer、IP 等请求信息。	GitHub。	只有点击时发生；GitHub 的政策适用。

本地转录

触发方式: 录音或导入音频，并运行本地识别。
数据: 音频或视频输入、本地转录分段和时间戳。
去向: 你的设备和本地模型运行时。
控制方式: 识别保持在本地；只有你主动导出或分享时文件才离开应用边界。

本地编辑/导出

触发方式: 编辑转录，或导出 SRT、VTT、TXT 等文件。
数据: 转录文本、时间戳，以及导出中包含的摘要或元数据。
去向: 本地工作区和你选择的保存位置。
控制方式: 你选择导出格式、保存位置和后续分享方式。

模型下载

触发方式: 下载或安装语音模型。
数据: 模型请求相关信息和网络请求信息。
去向: 配置的模型或 release 托管地址。
控制方式: 由你手动触发；下载模型不需要发送音频。

应用 release 下载/更新检查

触发方式: 打开下载页、下载安装包或检查更新。
数据: release 元数据请求，以及检查更新时的应用、平台或版本信息。
去向: GitHub Releases 或配置的更新源。
控制方式: 由下载或更新动作触发；是否安装由你决定。

LLM 润色

触发方式: 使用已配置的 provider 运行润色。
数据: 选中的转录文本和任务所需 prompt/context。
去向: 你配置的 LLM provider 或本地 endpoint。
控制方式: 可选；只有配置并触发 provider 动作后才会运行。

翻译

触发方式: 使用已配置的 provider 或服务运行翻译。
数据: 转录文本和语言设置。
去向: 配置的翻译或 LLM provider，或本地 endpoint。
控制方式: 可选；你选择的 provider 决定数据边界。

AI 摘要

触发方式: 生成摘要。
数据: 转录文本和摘要模板/上下文。
去向: 你配置的 LLM provider 或本地 endpoint。
控制方式: 可选；生成后的摘要可在应用内编辑或清空。

自动化

触发方式: 启用文件夹监听、预设或自动化任务。
数据: 监听或导入的文件、转录文本，以及工作流需要的导出结果。
去向: 本地工作区，以及工作流中配置的 provider 或导出位置。
控制方式: 未配置时不运行；运行前可检查预设动作和导出模式。

备份/恢复归档

触发方式: 导出备份归档，或把归档重新导入 Sona。
数据: 配置、工作区、轻量历史转录与摘要、自动化状态，以及仪表盘 LLM 使用记录。不包含音频文件、onboarding、当前项目和恢复态数据。
去向: 你选择的本地归档保存位置。
控制方式: 你决定何时导出、保存到哪里，以及之后是否导入归档。

WebDAV Cloud Sync

触发方式: 配置同步，并运行备份、恢复或同步动作。
数据: 备份归档和同步元数据。
去向: 你配置的 WebDAV 服务器。
控制方式: 可选；由服务器地址、凭据和应用内同步动作控制。

文档下载 API

触发方式: 打开下载 UI 或请求最新 release 链接。
数据: 公开请求信息、请求 ID、有限诊断日志和 GitHub release 查询结果。
去向: Sona 文档站 API 和 GitHub Releases。
控制方式: 仅用于下载选择和运行诊断；不会记录音频、转录数据、cookie、token 或完整 IP 地址。

用户指南助手

触发方式: 启用后向指南助手提问。
数据: 你的问题、较短对话历史、语言、当前指南页上下文，以及防滥用 cookie 或 Turnstile 状态。
去向: Sona 文档站 API、Gemini，以及触发验证时的 Cloudflare Turnstile。
控制方式: 可选站点功能；服务端诊断日志不会保存问题正文、对话历史、cookie、token 或完整 IP 地址。

外部 GitHub 链接

触发方式: 点击 GitHub、release 或源码链接。
数据: 由浏览器和 GitHub 处理的 referrer、IP 等请求信息。
去向: GitHub。
控制方式: 只有点击时发生；GitHub 的政策适用。

桌面应用数据

默认留在本地的内容

Sona 面向希望把转录工作默认留在自己机器上的用户。录音、导入、本地识别、时间戳检查、编辑和导出都是桌面端工作流。

本地转录使用已安装模型，不需要 Sona 云端转录账号。
工作区记录、轻量历史转录、摘要、设置和备份由桌面应用管理。
导出的文件会保存到你选择的位置，之后如何分享也由你决定。

用户选择的数据发送

什么时候数据可能离开设备

有些能力之所以有用，是因为它们会连接到另一个服务。此时数据去向取决于你选择的功能和 provider。

LLM 润色、翻译和摘要动作可能会把转录文本发送给你配置的 provider。
模型下载、更新检查和 release 下载会访问相应的托管服务。
WebDAV 云同步会通过你配置的服务器上传或恢复备份归档。

网站行为

这个公开站点会处理什么

Sona 文档站点与桌面端转录工作流是分开的。它负责提供页面、为下载选项检查 GitHub release 元数据，并可为文档问题启用 AI 助手。

下载 UI 会调用 `/api/github-release`，由它从 GitHub 读取公开 release 元数据并返回结构化构建链接。
文档助手启用后，会把你的问题、较短的对话历史、语言和当前指南页上下文发送给 Gemini。
助手路由使用签名匿名防滥用 cookie，并可能在达到使用阈值后显示 Cloudflare Turnstile。
服务端 API 日志是用于安全事件、上游错误和慢请求的结构化诊断，不是客户端 analytics。

边界

这一页没有声称什么

这是一份实际产品说明，不是经过律师审阅的隐私政策或合规声明。它反映当前仓库形态，产品行为变化时也应同步更新。

它不声称所有第三方 provider 都采用同样的隐私实践。
它不能替代 GitHub、Gemini、Cloudflare、你的 LLM provider 或 WebDAV 服务商各自的政策。
It does not add client analytics, persistent user tracking, or a new user-data collection flow.

想看信任说明？

信任页用更高层的方式说明 Sona 的本地优先边界和站点防护。

阅读信任说明打开用户指南

实用隐私地图， 不是法律细则。