先说三句最要紧的：
| 类别 | 具体内容 |
|---|---|
| 账号信息 | 用户名、显示名、密码的不可逆哈希、注册时间、是否启用、档位 |
| 邮箱（只有邮箱注册这条路） | 你的邮箱地址。用来登录，以及在注册时收验证码。另外两条注册路径不保存邮箱 |
| 第三方登录标识（只有 Google） | Google 为你在本站生成的那个用户标识（sub）。不含邮箱，也不含头像。 它是不可逆的，我们无法由它反推出你的邮箱 |
| 验证码记录（只有邮箱注册） | 邮箱地址、sha256(邮箱 + 验证码)、已试次数、是否用过、失效时间。验证码本身不入库 |
| 额度加量记录 | 注册奖励与加量包的种类、数量、来源、发放时间 |
| 你的内容 | 你提交的视频链接或你上传的音频文件（选的是视频时，只有在你设备上拆出的音轨会上传，视频画面不离开你的设备）、取回或转写出的字幕、译文、摘要、说话人标注、你自己写的标注、检索记录。上传原件与处理结果的保存方式不同，见第 3、6 节 |
| 任务记录 | 每次提交的任务状态、时间、时长、失败原因 |
| 用量与成本 | 每次第三方调用的类型、时长、次数、服务商报告的费用（管理员用于成本核算与额度计量） |
| 登录记录 | 每次登录的时间、方式（密码／Google／邮箱注册）、成功还是失败。不记 IP，也不记浏览器信息。失败只在账号确实存在时才记——你在用户名框里敲错的东西不会被存下来。管理员用它判断账号是否还在用、以及有没有人在猜密码；保留 90 天 |
| 访问统计 | 匿名浏览器标识、页面类别、来源网站的主机名、活跃时长（详见第 7 节） |
| 推广到达计数 | 从带受控推广标记的链接打开页面的次数，按小时和规范化后的标记组合汇总；不含 Cookie、IP、访客或访问编号（见本节下文「推广到达计数」） |
| 付费转化计数 | 登录用户打开处理确认框、打开套餐页和提交使用已购额度任务的次数，按小时和固定类别汇总；不含账号、视频或金额（见本节下文「付费转化计数」） |
| 限速用的 IP 与邮箱 | 都只作为 Redis 限速计数器的键，且只存 sha256(...) 的前 32 位十六进制，120 秒后自动消失，不入库 |
| 开放通知的登记邮箱 | 只有你在「加量包 · 筹备中」那里主动填写时才有：邮箱地址与界面语言。只用于该功能开放时发一封通知信，不与账号关联，不做其它用途；来信即可要求删除 |
| 未登录时的采集计数 | 你的 IP 的哈希（IPv6 归并到 /64）作为「今天还能处理几个新视频」的计数键，26 小时后自动消失，不入库 |
用带受控推广标记（utm_source、utm_medium、utm_campaign、utm_content）的网址打开本站页面时，服务端把规范化后的标记组合在当前小时的计数上加 1（只取固定取值，其他一律记为 other），浏览器导航与其他请求（链接预览、爬虫、预取等）分开计。这项计数对所有访客默认进行，不设置或读取 Cookie、不写浏览器存储，不记录 IP、访客或访问编号、完整网址或其他查询参数，只能看出各推广链接被打开多少次，不能对应到任何人，也不与访问统计或下面的可选渠道归因记录关联。带 DNT 或 GPC 信号的请求不计；因为不含身份信息，无法按人查询或删除。按小时汇总的计数最多保留 90 天。
登录后打开处理确认框（核对本次用量时）、打开「套餐与购买」页，或提交使用已购额度或单次包的任务时，服务端在当前小时的计数上加 1，用来了解免费额度是否够用、有多少人需要购买额度。计数只按固定类别汇总：环节、处理功能（转写、摘要、翻译、人物识别）、原因或结果类别（例如免费额度用完、素材超过 120 分钟、已购余额不足、是否显示首单价），以及账号是否为本站内部账号（管理员与测试账号）；不记录账号、视频、字幕、金额或订单编号，也不与访问统计、推广统计或可选的账户业务统计关联。为了让同一账号每天只算一次，服务端用当天生成的随机值对账号名做单向哈希，哈希和随机值只在服务器缓存中保留 36 小时，之后计数无法对应到任何人。按小时汇总的计数最多保留 90 天；因为不含身份信息，无法按人查询或删除。管理后台另按时间汇总订单、付款与退款的数量和金额，只显示合计，不显示账号。
只有你在独立选项中明确允许推广来源与转化统计后，本站的统计脚本才读取链接中的受控渠道标记（UTM 来源、媒介、活动与素材编号）并记入你的访问记录，并在当前标签页的 sessionStorage 中保存首次来源和当前 30 分钟会话来源；不保存完整链接或任意查询参数，不把这些标记写进统计 Cookie。关闭统计或 DNT/GPC 拒绝时不采集。服务端规范化渠道记录随访问统计最多保留 90 天。浏览器本地另保存随机同意状态标识，用于执行撤回和跨标签页同步，不包含账号信息或链接内容。
在你同意当前政策，并同时主动开启推广来源统计与账户业务统计后，服务端可用访问编号把本次访问的渠道与已授权业务事件关联，以汇总渠道的读取、检索、导出和注册情况。报表不显示账号、原始 Cookie、IP、字幕、笔记或完整链接；未开启该选项时不建立这项关联。
为排查浏览器安全策略问题，本站另存按天汇总的策略类别与受控来源类别计数，最多保留 8 天；不保留报告中的页面地址、脚本片段、账号或查询参数。
在你明确允许推广归因后，匿名访问记录可记录本次访问是否成功注册，用于统计注册转化；不在该记录中保存账号标识。将访问与账号功能事件关联仍须单独启用可选账号统计。旧版统计选择不会自动启用新归因选项。
允许访问统计时，我们对约 10% 的页面读取抽样测量 LCP、INP、CLS 性能指标，只保留按前端版本及设备类别汇总的区间计数，最多 8 天。不会发送页面地址、账号、指标编号或页面内容；关闭访问统计或 DNT/GPC 拒绝时停止报告。样本不足 20 时不据此判断达标。
这套统计与匿名访问统计分开存储。字段包括服务端生成的 HMAC 账号标识、最小视频标识、事件和操作编号、受控动作类别、时间及服务端判定的主体类别。这是可以关联同一账号行为的去标识数据，不是匿名数据；不收原始视频地址、查询词、字幕原文或笔记，仅在你主动开启账户业务统计后，按访问编号关联已授权的访问与事件。
目的：判断读取、引用交付与后续复用是否顺畅。交付只说明浏览器发起了下载或成功复制，不证明文件已落盘或被采用。同意当前政策并主动选择允许后，才开始收集账户业务统计。关闭访问统计也会停止账户业务统计，尊重 DNT 与 GPC。
可选分析明细保留 90 天，随后删除。你可在统计设置关闭采集或删除这些事件。必要用量、计费记录与可选统计分开，不因关闭统计而删除。首次上线不设等待期；默认关闭，不回填历史行为。
付费商品开放后，本站保存账号关联的订单编号、商品与条款快照及展示语言、金额和币种、渠道付款与退款编号、付款时间、额度预留与交付记录。单次包还保存绑定素材标识与使用截止时间。这些记录用于交付、核对付款和处理售后，不受可选统计开关控制。Waffo 收银台及其支付服务商处理付款所需信息；本站不接收或保存完整银行卡资料。支付渠道收到商店、商品及随机订单关联标识，不包含你的字幕、音频或笔记。
手机号、真实姓名、身份证件、支付卡信息、精确位置、原始 User-Agent、 通讯录、设备唯一标识。访问统计中的设备类别（手机／桌面）在你的浏览器本地判断，不回传原始信息。
邮箱要单独说，因为它取决于你走哪条路注册：
| 你怎么注册的 | 我们存不存你的邮箱 |
|---|---|
| 用电子邮件 | 存。它就是你的登录标识 |
| 用 Google | 不存。我们只拿到 Google 给的那个不可逆标识 |
| 用邀请令牌 | 不存。这条路没有邮箱字段 |
也就是说，你可以在完全不把邮箱交给我们的前提下用完整功能：走 Google 那条路即可。
这一条直接影响你能删掉什么，所以单独说明。
只属于你（其他用户看不到）：账号信息、你写的标注、你的「我的任务」列表、你的用量记录，以及本地上传音频生成的字幕、译文和摘要。 标注是按账号存的，同一个视频不同用户的标注互不可见。
站内共享缓存（仅针对 B 站和 YouTube 公开视频，按视频缓存，不按用户）：视频元数据、字幕轨、译文、摘要。本地上传按账号区分，即使两个账号上传同一文件，也不能互读处理结果。删除「我的任务」中的历史记录只会隐藏该条目，不会删除已保存的上传转写；如需删除处理结果，请按第 8 节联系支持。
这带来三个后果，都说清楚：
共享不等于公开。 同类产品里，常见做法是把每个视频的 AI 总结做成 免登录可访问、可被搜索引擎索引的公开页面，标题直接沿用原视频标题。 本站不这么做：
| 常见做法 | 本站 | |
|---|---|---|
| 同一视频跨用户复用 | 是 | 是 |
| 结果页是否公开 | 免登录公开网址 | 没有独立公开结果页；已有公开视频结果可通过阅读链接按访客规则查看 |
| 是否可被搜索引擎索引 | 是 | 否 |
| 是否开放给 AI 爬虫训练 | 常见为开放 | 否 |
| 是否披露缓存复用 | 通常不披露 | 就是本节 |
| 权利人下架通道 | 常常没有 | 《服务条款》第 11 节 |
要完成你请求的处理，以下服务商会收到相应内容。请求里不含你的账号名或站内标识。
| 处理者 | 用途 | 收到什么 | 数据去向 | 联系方式 |
|---|---|---|---|---|
| OpenRouter | 音频转写 | 符合格式与大小条件的原始音频文件，或转码后的音频分片（16 kHz 单声道 mp3，每片最长 15 分钟）。OpenRouter 不自己运行模型，按其路由把音频交给模型提供方处理：whisper-large-v3 目前的提供方为 DeepInfra、Together AI、Groq，均在美国 | 美国 | openrouter.ai/privacy · 数据收集说明见 openrouter.ai/docs/guides/privacy/data-collection |
| pyannoteAI | 说话人识别 | 完整音频文件（上传到其对象存储后再提交作业） | 欧洲 | pyannote.ai/privacy-policy · 留存说明见 docs.pyannote.ai/data-retention |
| DeepSeek 深度求索 | 摘要、翻译 | 字幕文本，分段发送 | 中国大陆 | cdn.deepseek.com/policies/zh-CN/deepseek-privacy-policy.html |
| Bilibili | 读取字幕清单 | 视频链接 + 本站服务端账号的登录态（见《服务条款》第 7 节） | 中国大陆 | bilibili.com/blackboard/privacy-pc.html |
| YouTube | 读取字幕 | 仅视频链接 | 美国 | policies.google.com/privacy |
| Mailtrap（Railsware Products Studio LLC，加州） | 发注册验证码邮件 | 你的邮箱地址、信的主题与正文（正文里含那个六位验证码） | 美国 | mailtrap.io/privacy |
| Google（Google LLC） | Google 登录 | 你点「用 Google 继续」时，是你的浏览器直接和 Google 通信：Google 会看到你的 IP、浏览器信息，以及你正在访问本站的登录页。本站服务端只向 Google 取验签用的公钥，那个请求里不含你的任何信息 | policies.google.com/privacy |
只有注册与登录会用到上面新增的这两家。 读字幕、转写、翻译、摘要都不经过它们。
关于 Google 那一行，有三件事值得说清楚：
accounts.google.com/gsi/client）
只在你打开登录面板、而且 Google 登录这个入口确实开着的时候才加载。
你只是读字幕、没有点开登录，本站不会让你的浏览器去连 Google。sub（对本站唯一、不可逆的用户标识）和一个显示名，
不取也不保存邮箱和头像。关于 Mailtrap 那一行：它只在你选「用电子邮件继续」时才收到你的邮箱， 而且只收到那一封验证码邮件。它不会收到你的密码、你的内容或你的用量。 它自己保留那封信多久，见第 5 节。
向上述境外接收方行使你的权利：你可以先联系我们（第 第 12 节）， 由我们代为转达查阅、更正或删除的请求；也可以按上表的联系方式直接联系对方。 我们会在收到请求后告知处理结果。
更换或新增第三方处理者时，我们会提前 10 天在站内公告。 你不接受新增的处理者，可以停止使用对应功能或注销账号。
上表是现网默认配置。如果你使用 BYOK（自备密钥），内容会发给你自己配置的服务商， 由你与该服务商的协议约束。
音频出境的明确提示：转写和说话人识别都会把音频发到中国大陆以外。 如果某段音频你不希望离开本站，请不要对它使用这两项功能—— 只读取已有字幕的操作不会发送任何音频。 本地上传的音频没有「只读字幕」这个选项：上传件本身就没有平台字幕， 所以一旦你确认转写，它必然会被发到上表中的转写服务商。不愿意出境的音频，请不要上传。
我们不知道，也控制不了。 这取决于各家自己的政策，不在本站的代码范围内。 你可以直接查阅他们的隐私政策。其中有一条值得单独说明：
OpenRouter 收到的是符合条件的原始音频文件或转码后的音频分片。 按它的数据收集说明，OpenRouter 默认不存储发给它的内容和模型输出（除非账号自行开启日志），只记录每次请求的元数据（如时长、token 数）；本站没有开启日志。它把音频转给模型提供方处理，各提供方对音频有各自的保留政策，OpenRouter 在其站点上逐家列出，本站不能替它们承诺保留期。
DeepSeek 收到的是字幕文本，不是音频。 按它的隐私政策，数据存储在中华人民共和国境内，并写明「在经安全加密技术处理和去标识化前提下，可能会将服务所收集的输入及对应输出用于模型训练和服务的优化」。发给它的请求里没有你的账号名。
pyannoteAI 收到的是完整音频文件。 这一项我们去查了它的官方文档， 所以能给出具体数字而不是一句「取决于对方」：
| 它那边的东西 | 保留多久 |
|---|---|
| 上传的音频文件 | 48 小时内自动删除，不管有没有被作业用过 |
| 作业结果（说话人分段） | 作业完成后 24 小时 |
| 处理过程中临时服务器上的音频 | 处理结束即删 |
出处是 docs.pyannote.ai/data-retention，原文写的是
「automatically deleted within 48 hours」。
本站没有调用「删除」的能力，因为它没有提供这个接口—— 它的做法是到点自动删，不需要调用方动手。 我们早先把这一条写成「本站无法删除，是最值得改进的一点」， 那是在没查它文档的情况下从我们自己的请求白名单反推的，不准确，已改成上面这样。
还有一条同类的事，也照实写：Mailtrap 会把那封验证码邮件连正文一起留在它的发信日志里， 正文里就有那个六位验证码。 留多久取决于它的计费档位——按其官网定价页， 免费档「3 天」、Basic 5 天、Business 15 天、Enterprise 30 天。
这件事的实际风险比它看上去小，原因值得说清楚：验证码本身 10 分钟就失效， 所以日志里那个码在任何人能用到它之前早就作废了。会在日志里留下的， 是「这个邮箱地址在某个时间收到过一封本站的注册信」这个事实。 我们仍然写在这里，而不是等你自己去翻它的定价页。
| 数据 | 保留期 | 你要求删除后 |
|---|---|---|
| 访问统计 | 90 天滚动清理，后台自动分批删除 | 关闭采集即停止新增 |
| 推广到达计数 | 按小时汇总，90 天后自动过期 | 不含身份信息，无法按人删除；DNT / GPC 请求不计 |
| 付费转化计数 | 按小时汇总，90 天后自动过期；按天去重用的哈希和随机值 36 小时后删除 | 不含身份信息，无法按人删除 |
| 登录会话 | 勾选「记住登录」30 天，否则 12 小时，到期自动删除 | 登出即删 |
| 登录记录 | 90 天，滚动清理 | 注销后删除 |
| 限速用的 IP 哈希 | 120 秒 | — |
| 缓存的处理结果 | Redis 热缓存 7 天；数据库中已保存的结果不会因热缓存到期而自动删除 | — |
| 任务运行状态 | 24 小时 | — |
| 本站临时音频文件 | 处理结束即删，全程只存在于临时目录 | — |
| 你上传的音频文件 | 上传后最多保留约 6 小时，不论是否已提交或已转写：转写成功的原件在这段时间内留给人物识别使用（人物识别需要完整音频），到期由每分钟的后台扫描清理；转写失败或取消的当场删除，删除失败会记录并重试。重新上传同一份文件会从这次上传起重新计算保留期，已转写过的文件不会再次计费。停机或存储故障可能使清理延迟，恢复后会补扫。原件只在服务器临时目录，不进数据库、不进备份；转写文字等处理结果另行保存，见第 3 节 | — |
| 你的邮箱（邮箱注册） | 账号存续期间 | 注销后删除，异地备份里最长再留约 4 周（见下） |
| Google 登录标识 | 账号存续期间 | 同上 |
| 验证码记录 | 10 分钟后失效；失效的行会在下一次有人请求验证码时被一并删除 | — |
| 额度加量记录 | 账号存续期间 | 注销后删除 |
| 未登录时的采集计数（IP 哈希） | 26 小时 | — |
| 你的标注、任务记录、用量记录 | 账号存续期间 | 注销后删除，异地备份里最长再留约 4 周（见下） |
| 字幕、译文、摘要（共享缓存） | 不设删除日期（见下一段） | 见第 3 节：不能单方面删，走《服务条款》第 11 节 |
最后一行照实说：本站目前没有对业务数据做定期清理。视频元数据、字幕、 译文、摘要、标注、任务记录、调用与成本记录，会在你的账号存续期间持续保留。 我们不给一个做不到的期限；想删，走 第 8 节。
关于「异地备份里最长再留约 4 周」：异地备份独立保留最近 7 个自然日的每日快照
和最近 4 个自然周的每周快照（deploy/backup/README.md）。它不接收来自主站的删除指令——
这是刻意的，否则主站被攻破时备份会跟着一起被删掉。代价就是：我们在主库里删掉你的数据之后，
它仍然存在于那几份快照里，直到被新快照顶掉。上限因此是最旧那份周快照的年龄，约 4 周。
验证码那一行为什么写得那么绕：清理是在「有人请求验证码」这个动作里顺手做的， 没有另起一个定时任务。所以准确的说法是「10 分钟后失效，并在下一次有人发码时被删除」， 而不是「10 分钟后即删」。一个注册量为零的时段里，最后那条失效记录会一直躺着—— 写成「10 分钟即删」就是句假话，而这种假话恰好最容易被写进隐私政策。
本站用三种 Cookie，都不用于广告，也不与第三方共享：
| Cookie | 用途 | 属性 | 期限 |
|---|---|---|---|
| 登录会话 | 保持登录 | HttpOnly、HTTPS 下 Secure、SameSite=Lax |
30 天 / 12 小时 |
| 访问统计 | 匿名区分访客 | HttpOnly、Secure、SameSite=Lax |
90 天 |
| 未登录访问 | 一个随机数，唯一用途是让你未登录提交的任务自己能读回来 | HttpOnly、HTTPS 下 Secure、SameSite=Lax |
30 天 |
HttpOnly 所以页面脚本读不到它，也不出现在网址、日志或页面源码里。
它不是用来给你记额度的——未登录的额度按 IP 的哈希算，不按这个 Cookie 算。
按 Cookie 记的上限在原理上就强制不了：不带 Cookie，服务端只能再发一个新的。accounts.google.com 那个域上，
不是本站的域。那部分由 Google 的政策管，我们既读不到也删不掉。
如 第 4 节所述，那个脚本只在你打开登录面板时才加载：不点登录，就不会有这些 Cookie。诚实地说明现状，不写做不到的承诺：
| 你想做的 | 现在能不能 | 怎么做 |
|---|---|---|
| 修改密码 | ✅ 可以 | 我的账号 → 修改密码（用 Google 注册的账号没有密码，这一项不适用） |
| 忘记密码，自助重置 | ✅ 可以（仅邮箱注册） | 登录页 →「忘记密码」，我们给那个邮箱发重置信。用 Google 或邀请令牌注册的不行：Google 账号没有密码，邀请注册的账号我们没有它的邮箱。那两种请发邮件到 support@vidleaf.app |
| 改掉账号绑定的邮箱 | ⚠️ 需人工 | 同上 |
| 解除 Google 绑定、改成用密码登录 | ⚠️ 需人工 | 同上。用 Google 注册的账号没有密码，要解绑得先给它设一个 |
| 从「我的任务」里移除某个视频 | ✅ 可以 | 但这是隐藏，不是删除——数据仍在库里，只是不再显示给你 |
| 关闭访问统计 | ✅ 可以 | 页脚「访问统计」 |
| 导出你的字幕、译文、摘要与标注 | ✅ 可以 | 阅读页的「导出全部」 |
| 彻底删除某个视频的所有数据 | ⚠️ 需人工 | 发邮件到 support@vidleaf.app |
| 注销账号并删除全部数据 | ⚠️ 需人工 | 同上 |
| 查看我们持有你的哪些数据 | ⚠️ 需人工 | 同上 |
我们的承诺：注销与删除请求在收到后 15 个工作日内处理完毕， 删除你的账号、标注、任务与用量记录，并对无法删除的部分作匿名化。 公开视频的共享缓存不只对应你的账号，删除它需走《服务条款》第 11 节的下架流程。本地上传的处理结果按账号隔离，人工删除请求会一并处理；仅在「我的任务」里隐藏记录不会删除它。
自助入口正在做（见开发计划）。在它上线之前，上面的邮件通道就是正式通道， 我们不会因为"没有按钮"而拖延或拒绝。
本站不面向 14 岁以下的儿童，也不主动收集他们的信息。 如果你是监护人并发现孩子注册了账号，请联系我们删除。
版本 2026-09-30：第 3 节补充管理后台的「视频提交」记录：管理员能看到每次提交的视频链接、标题、时长、处理结果以及是否登录后提交（未登录的只标为「游客」），本地上传不显示文件名；自 2026 年 10 月 9 日（北京时间）起，登录后提交的还会显示账号名，本次公告与这一项生效之间不少于 7 天。收集的数据种类、接收方与保留期不变，音频出境单独同意版本不变。
版本 2026-09-29.1：新增「付费转化计数」：登录用户打开处理确认框、打开套餐页或提交使用已购额度的任务时，服务端按小时和固定类别汇总次数，不记录账号、视频或金额；按天去重用的单向哈希和随机值 36 小时后删除，计数保留 90 天；管理后台按时间汇总订单、付款与退款的数量和金额。其他收集的数据、接收方与处理目的不变，音频出境单独同意版本不变。
版本 2026-09-29：新增「推广到达计数」：用带受控推广标记的网址打开页面时，服务端对所有访客按小时汇总打开次数，不设 Cookie、不存 IP 或访客编号，不与访问统计和可选渠道归因关联，带 DNT/GPC 的请求不计，保留 90 天；「可选渠道归因」相应写明由统计脚本读取标记。其他收集的数据、接收方与处理目的不变，音频出境单独同意版本不变。
版本 2026-09-28：新增默认关闭的推广来源与转化统计独立选项，说明访问与功能事件关联、注册标记及 90 天保留期；新增安全策略脱敏汇总计数及 8 天保留期。补充音频发送形态：符合格式与大小条件的原始音频文件会直接发送；其他音频会转码为 16 kHz 单声道 mp3 分片，每片最长 15 分钟。接收方与处理目的不变。音频出境单独同意版本更新为 2026-09-28，下次转写或识别说话人前需重新确认。
版本 2026-09-27.1：更正第 4 节的服务商名称。音频转写的直接接收方是 OpenRouter（美国），它按路由把音频交给模型提供方（目前为 DeepInfra、Together AI、Groq）；此前写的 Groq 只是其中一个可能的提供方。摘要与翻译的接收方是 DeepSeek 深度求索（中国大陆），此前误写为 SiliconFlow 硅基流动。自本站开始记录第三方调用起，实际接收方一直是这两家，本次是更正告知，不是更换服务商。第 5 节补上这两家的保留说明。因为音频接收方的告知变了，音频出境的单独同意版本升为 2026-09-27：已经同意过的账号，下次转写或识别说话人前会再确认一次。服务条款第 11 节相应改写。收集的数据种类、处理目的与保留期不变。
版本 2026-09-27：英文版服务条款与隐私政策引用界面名称时，改用英文界面上的写法（如 “AI-generated”“Human captions”“Traffic statistics”），不再引用中文名称；英文页返回 Vidleaf 的链接改为打开英文网站。含义没有变化：收集的数据种类、接收方、处理目的、保留期与价格都不变，音频出境的单独同意版本不变。
版本 2026-09-25：第 6 节「你上传的音频文件」：转写成功的原件不再在任务结束时立即删除，而是从上传起最多保留约 6 小时，供人物识别使用（此前人物识别只支持平台视频）；转写失败或取消的仍当场删除。最长保留期没有变化（此前未提交的文件同样最多保留约 6 小时），收集的数据种类、接收方与处理目的都不变，音频出境的单独同意版本不变。服务条款：本地上传转写完成后可使用自动人物识别的说明相应更新。
版本 2026-09-24.2：服务条款：AAC 编码的 m4a 与在你设备上从视频拆出的 AAC 音轨，平均码率不超过 320 kbit/s 的不再受 60 MiB 限制，以单素材时长上限为准；其他音频文件仍限 60 MiB。超过 60 MiB 的 m4a 先在你的设备上检查编码，只上传其中的 AAC 音轨。本政策的内容没有变化：收集的数据种类、接收方、处理目的与保留期都不变，音频出境的单独同意版本不变。
版本 2026-09-24.1：上传不再限定 mp3 / m4a / wav 三种格式，改为常见音频格式；选视频文件时，音轨在你的设备上拆出，只上传声音，视频画面不离开你的设备。收集的数据种类、接收方、处理目的与保留期都没有变化，音频出境的单独同意版本不变。
版本 2026-09-24：增加资料包 L、符合资格的首单价格和按美分确定的退款分摊；账号页分开显示购买、订单、用量与安全。订单保存购买时语言和条款，历史订单沿用原条款。音频服务商和音频出境单独同意未变。
版本 2026-09-23.2：服务条款补充准备上线的 S 与单次包、期限及 14 日分组件剩余退款规则。支付与额度记录属于必要的履约记录，独立于可选统计；音频服务商和音频出境单独同意未变。
版本 2026-09-23.1：更正本地上传原件的周期清理与故障延迟说明；明确上传处理结果按账号隔离、隐藏历史不等于删除结果、Redis 热缓存到期不删除数据库结果。使用新的云端功能前需重新同意当前条款；音频出境接收方、发送内容和目的未变，单独同意版本不变。
版本 2026-09-22.1：新增「本地音频上传」这条路径。第 1 节「你的内容」补上你上传的音频文件，第 6 节新增它的保留期（转写结束即删；上传后一直没提交的最多再留 6 小时），第 4 节补明上传的音频同样会离开中国大陆。接收方清单、处理目的与保留期都没有变化，所以音频出境的单独同意版本不变，已经给过该同意的人不需要再给一次。
版本 2026-09-20.3：首次开放账户业务统计取消等待期，本版说明发布后即可主动选择启用；默认关闭，不回填历史行为。此项上线前调整替代上一版本为该功能设置的七天等待期。
版本 2026-09-20.2：新增可选账户业务统计，说明分开存储、主动选择、删除方式与 90 天保留期。
v1.2（2026-09-20）改了什么：第 1 节新增「登录记录」一行，第 6 节相应新增保留期（90 天滚动清理），第 3 节补明管理员也能看到每个账号的登录记录。记的是时间、方式与成功失败，不记 IP，也不记浏览器信息；登录失败只在账号确实存在时才记。
v1.1（2026-09-19）改了什么：第 1 节新增「开放通知的登记邮箱」一行——首页「加量包 · 筹备中」那里你主动填写的邮箱。
变更会更新本页版本号与生效日期，并在站内公告。
涉及数据用途扩大、新增第三方处理者或延长保留期的变更，会在生效前至少 7 天公告。
support@vidleaf.app