隐私与加密

Arion 保存什么、存在哪里，以及账号能做什么、不能做什么。

留在设备上的内容

麦克风音频只在当前听写期间保存在内存中，结束即丢弃。识别草稿和更正也是如此。

当你为润色开启上下文时，Arion 会通过辅助功能读取当前输入框中光标附近的有限片段，以及当前窗口中的可见文字。这些内容从不保存，密码框和无法识别的输入框会被跳过。

使用统计只是按天汇总的次数、说话时长和字数，不含任何文字、应用名称或具体时间。

下载模型：都是公开文件，使用前逐一核对固定的 SHA-256 摘要。

检查更新：从 Arion 更新中心读取发布清单，不携带任何内容或设备标识。每次更新在安装前都会校验受信任的签名，自动检查也可以关闭。

可选登录与云端润色：仅在你主动登录或管理账号时才会连接账号服务；若你自行连接了云端润色服务商，仅发送识别后的文字与已开启的上下文，绝不发送音频。Arion 没有云端语音识别，也没有遥测。

你确认过的词汇和学到的词汇都用 AES-256-GCM 加密。密钥在本机生成，macOS 上保存在登录钥匙串（仅限本机），Windows 上由 DPAPI 保护。

密钥缺失或完整性校验失败都会报错，Arion 绝不退回明文。

同步仍在开发中，尚未提供。它的设计已在规范中确定：每条记录在上传前于设备上加密，只有持有组密钥的设备才能读取。

新设备通过你已有的某台设备或恢复密钥加入。移除设备会为之后的写入轮换密钥。

中继无论托管还是自托管，都能看到时间、IP 地址、设备与组的路由标识和密文大小。加密无法隐藏这些元数据，也无法保护已经被攻破的设备。

账号是可选的。听写、词汇和学习都不需要账号。

登录是告诉托管中继你是谁、是否有托管同步的使用权限。账号不保存任何密钥，无法解密你同步的内容，AstraFoundry 也不能。托管中继会知道每个同步空间属于哪个账号。

退出登录不会删除本机的密钥和词汇。关闭同步与删除服务器上的数据是两个独立的操作。