CrostiVoice 隐私政策
CrostiVoice 是一款离线优先的 ChromeOS 语音输入扩展。这份政策用最直白的方式说明：你的语音和文字去了哪里。核心结论先放在前面——我们不收集你的数据，扩展没有任何后端服务器。
一、我们不收集什么
- 无账号系统：不需要注册、登录或提供任何个人信息。
- 无遥测：不记录使用行为、不收集崩溃报告、不含任何统计 SDK。
- 无广告：不展示广告，不含广告追踪代码。
- 不出售、不出租、不共享任何数据给第三方。
二、你的数据流向
1. 语音
录音由 Chrome 浏览器内置的语音识别服务处理，这是浏览器提供的能力，与扩展本身无关。扩展不保存、不导出、不上传任何音频。该识别过程受 Google 的隐私政策约束。
2. 识别出的文字
文字在你的设备本地完成断句、标点、词典替换与纠错。所有推理都在浏览器内运行，不发送到任何服务器。
3. 本地 AI 模型（可选下载）
扩展提供两个可选的本地模型：标点断句模型（约 74MB）与语义纠错模型（约 101MB）。只有当你主动点击「下载模型」按钮时，扩展才会从 HuggingFace 获取这两个文件一次，之后完全离线推理。我们不会自动下载，也不会在未获授权时发起网络请求。
4. 听写历史
最近 50 条听写记录保存在浏览器本地存储（chrome.storage.local），仅用于你自己回看。你可以在设置页一键清空。这些数据从不离开你的设备。
5. 热词词典
你添加的纠错词条保存在本地存储。你可以随时导出为 JSON 文件（保存在你自己的电脑上）或删除。扩展不会上传词典。
6. API 密钥（如果你配置）
若你选择启用云端智能整理并填入自己的 API 密钥，密钥仅保存在浏览器本地存储中，仅在你主动使用该功能时发送到你指定的服务商地址。我们不接触、不中转、不记录你的密钥。
三、权限用途说明
Chrome 扩展需要声明权限。以下是我们申请的每一项权限及确切用途：
| 权限 | 用途 |
|---|---|
offscreen | 承载麦克风采集与语音识别。扩展的后台页面无法直接访问麦克风，这是 Chrome 要求的机制。 |
storage | 保存你的设置、词典、听写历史——全部在本机。 |
http://*/* 与 https://*/* | 向网页注入输入组件与实时听写浮层。这是「文字自动进入光标」这一核心能力的必要前提。扩展只在你正在使用的标签页上工作，不读取页面内容用于分析、画像或广告。 |
| HuggingFace 域名（可选授权） | 仅在你点击「下载模型」时，用于获取模型文件。可随时在扩展管理页撤销。 |
四、你的控制权
- 删除历史：设置页 →「清空历史记录」。
- 删除模型：设置页 → 对应模型卡片的「删除」按钮，立即释放本地缓存。
- 撤销网站访问权限：
chrome://extensions→ 本扩展详情页。 - 完全卸载：移除扩展即删除全部本地数据。
五、儿童隐私
本扩展不面向 13 岁以下儿童，也不会有意收集儿童信息（事实上我们不收集任何人的信息）。
六、政策变更
若本政策发生实质性变更，我们会更新本页顶部的「最近更新」日期。由于扩展不收集联系方式，无法逐一通知，建议在升级前查阅本页。
七、联系方式
对本政策或数据处理有疑问，可通过 联系页面 或 GitHub Issues 与我们联系。