隐私

大多数隐私政策写得长,是因为收集得多。这一份很短。

关于这个网站

本页和首页不加载任何外部资源——没有第三方字体、没有统计脚本、没有代码管理器、没有任何来自其它域名的文件。你在这个站上的访问不会被报告给任何人。这一点你可以查看网页源代码自行验证。

承载本站的服务器会记录常规访问日志(IP、时间、请求的地址),任何网站服务器都会。我们不用它做用户画像,也不会把它和你的邮箱关联。

等候名单

如果你提交了表单,我们保存:

• 你的邮箱地址
• 你报的是哪一份名单——一个词,waitlist 或 pilot
• 提交时间

为防止表单被脚本刷,我们还会短暂保存提交来源 IP 的单向哈希值,它会自动过期删除。我们不保存 IP 本身。

这个邮箱只用于一件事:产品真正做出来的时候通知你——有实机、有日期、有价格。我们不出售、不出租、不交给广告网络。你随时可以要求删除,我们不会追问原因。

产品本身

记 / Urda 的设计目标,就是让这一节能写得这么短。

录音、转写,以及由它们衍生出的一切,都留在你自己的硬件上。转写和整理都在你的记座上运行。没有账号、没有同步、没有遥测。软件在启动时会检查推理地址,只要指向你自己网络之外,它会拒绝启动——这是代码里的一道检查,不是一句要你信任我们的承诺。

由此带来的实际代价,我们直说:如果记座丢失或硬盘损坏,那段记忆就没有了。我们无法帮你恢复,因为我们从来就没有过。

远程访问

默认情况下,记座只在你自己的网络里应答。没有任何东西经过互联网,首页那句话是字面意义上的。

如果你打开远程访问——为了在外面也能问一句——你的记座和手机之间会建一条加密隧道(WireGuard,经 Tailscale,或者你自己架的 Headscale)。这些流量确实会经过互联网。它在你自己的两台设备之间端到端加密,我们读不到,帮它们互相找到对方的那个服务也读不到。但我们宁可把这件事直说,也不愿让你自己去假设。

远程访问默认关闭,只有你主动打开才会启用。不打开,字面意义的那个版本就一直成立。

软件更新

一台永远打不了补丁的盒子, 等于一台带着永久漏洞的盒子, 所以 Urda 可以取更新。这是这根线上第二处没有被剪断的地方, 它应当和远程访问一样被明说。

没有任何自动行为。不装定时器, 不常驻后台, 开机也不回连。只有当有人亲手敲下 urda-update check, 记座才会去查一次。放着不管, 它永远不会联系我们。

你真的去查的时候, 发出去的是一个普通的 GET, 取一个版本文件。里面没有机器标识、没有序列号、没有使用统计、没有任何遥测, 更没有你的录音、转写和提问。我们分不出哪一台是哪一台, 也分不出是一台盒子还是某个人用浏览器打开了同一个文件。

每一版发布都用一把离线保管的密钥签名。验签不通过的包一律拒绝安装; 如果验签用的库缺失, 升级器会直接停下而不是悄悄跳过这一步。如果你希望记座出于任何理由都不要碰互联网, 可以在另一台机器上下载好, 用文件安装: urda-update apply ./urda-1.0.0.tar.gz。这条路是完整支持的, 不是退而求其次。

方向是要紧的。更新是代码进来, 你的录音不出去。

录到别人说话

记 / Urda 会录制音频。在中国境内,录音涉及《中华人民共和国民法典》对隐私权的保护,以及《个人信息保护法》对处理他人个人信息的要求;在不同国家和地区,规则差别更大,有些地方要求对话中每一位参与者都同意。遵守你所在地的规则,是使用者的责任。

我们能做的是把克制做进硬件:记石上有一颗切断麦克风供电的物理开关——关掉它这件事,不需要你信任我们的软件。

未成年人

本产品不面向 16 周岁以下的未成年人,我们也不会有意收集他们的邮箱地址。

变更

如果这份政策未来发生变化、而且变化的方向是我们拿到你更多的数据,我们会在本页明确写出来,而不是悄悄改掉。

联系

疑问,或要求删除数据:privacy@urda.ai

这是对我们实际做法的通俗说明,不是经律师审阅的法律文件。产品正式发售前会替换为审阅过的版本。