隐私说明

听写时音频去哪

默认走 Xtype 服务器，再转到 xAI 做语音识别。中转站不把音频持久化；Mac 会把原始 WAV 留在本机历史里。云识别没有自己的 token：要么免费额度，要么官方代付。

每次听写都会先尝试上面的云端识别。请求因网络、超时或临时服务故障失败时：若这台电脑是 macOS 26，并且你已经在系统设置里装了听写语言，Xtype 会复用 Mac 上的录音，改走本机 SpeechAnalyzer。本机识别不把音频发送给苹果，也不会为了回退再次上传；但云端请求已经开始时，音频可能已经到达 Xtype 或 xAI，所以这不是「整次听写从未出网」。Xtype 不代下语言包。更早的系统，或 26 但没装包，不能本机回退，只提示这次识别失败。本机回退不做 Grok 整理，设置里也没有单独的「苹果 Speech」卡片。原则见 云端失败后，诚实地改用本机。

整理后的正文

转化时会再把文字（不是第二遍音频）发给同一条路径上的 Grok，用来去口头禅和补标点。经 Xtype 再到 xAI。

xAI 会留多久

xAI 默认约保留 API 请求和响应 30 天，除非该 xAI 账户启用了 Zero Data Retention。这不是百分之百隐私。

本机历史

不登录时，词库、历史和录音只在这台电脑。登录后，这三样都备份到这个邮箱，另一台 Mac 登录同一邮箱能拉下来。路径仍是 ~/Library/Application Support/Xtype/。历史在 corpus.sqlite，录音在 audio/*.wav。录音和历史缺省永久保留；可以删单条、清空录音，或在设置里主动开启 30/90/365 天自动清理。卸装 App 不会自动删这个文件夹。

可选账号

你可以用邮箱收一次性登录码。不登录照样能使用免费档，而且词库、历史、录音都不进 Xtype 云端。登录后没有第三档：词库、历史文字和录音都备份到这个邮箱。登录这一下会把当前这台 Mac 的随机安装 ID 绑到账号，之后免费/代付和额度跟账号走，退出登录也不松绑。Xtype 在 Cloudflare D1 保存规范化邮箱、登录码和会话凭证的哈希、随机账号 ID、关联的随机安装 ID、权益、按天汇总的次数和音频时长，以及登录后的词库与历史文字。录音文件单独存放，不进数据库正文。登录态保存在这台 Mac 的钥匙串。删除账号会删掉云端词库、云端历史和云端录音，不删这台 Mac 上的副本。

登录会话最长 90 天；一次性登录码 15 分钟过期。退出登录会删除当前服务端会话和本机凭证，但不会把这台机器从账号上解开。删除账号会清掉登录会话和云端词库；用户 ID（邮箱）留下做别名，机器仍钉在这个人上，用量还在。不会删除这台 Mac 的本机历史、词库或录音。0.1.97 用户现在要删除这些云端资料，请写信 [email protected]。

识别报告

只有你在历史里写一句并点「提交报告」，才会发到 Xtype：这段文字、你写的那句、引擎、版本、时间。不发音频、不发 API Key、不发词库、不发文档原文。提交后进我们的报告箱（Cloudflare D1）。要删请写信 [email protected]。

Xtype 自己记什么

中转站日志记状态码、音频字节、大约秒数、整理字数，不记转写正文。另有全站每日费用熔断计数。Cloudflare 还会按平台默认保留访问日志。我们不用这些日志训练 Xtype，也不交给别的语音键盘。

从带安装凭证的版本起，这台 Mac 会在钥匙串里放一个随机 ID（不是硬件序列号）。没绑账号时，服务器据此累计每天听写秒数和免费次数，用来执行「每天 50 次」和给官方看用量。登录后这台机器钉到账号，额度改按账号合并，多台 Mac 共用一份；退出登录仍按账号扣。凭证哈希存在 Cloudflare D1，没有音频、没有转写。卸装 App 不一定删钥匙串；要删计数请写信 [email protected]。

使用 Xtype 官方识别时，我们还按这个随机 ID 和 PT 日期累计匿名结果：识别/整理成功或失败、插字四态、预检失败类型（权限、焦点、安全输入或不支持的字符），以及你是否点击「字已出现」或「没出现，复制」。这是为了发现安装后卡在哪一步。结果统计不包含听写正文、音频、目标 App、输入框、窗口标题、URL、屏幕内容或剪贴板内容。

密码框

系统开了安全输入时（常见是密码框），Xtype 会提示「密码框不能听写。」不会开始听，已经录的也不会上传、不会整理、不会插入、不会写进历史、不会写进剪贴板。不在这里改走本机识别。完整原则见 安全章。