松鹤输入法隐私政策 / Privacy Policy

最后更新 / Last updated: 2026-09-02

一句话 / In one sentence

松鹤输入法把您说的话变成文字。要做到这件事，录音必须发送到语音识别服务。

这个版本还会把使用记录上传到我们的服务器，其中包含您说话的内容，用来改进识别。

这一项不能关闭 —— 这是一个测试版本，我们需要知道它在真实使用中哪里出错。

如果您不接受这一点，请不要安装这个版本。

Songhe IME turns speech into text, which requires sending the audio to a speech-recognition

service. This build also uploads usage records, including what you said, to our server, to

improve recognition. It cannot be switched off. This is a test build and the recordings of

where it fails are the only instrument we have. If that is not acceptable to you, do not install

this build.

我们处理什么 / What is processed

1. 录音 / Audio — 发送给识别服务 / sent to a recogniser

何时 / When	只在您按下说话按钮之后，到您按下结束为止。`AudioCapture`
去哪里 / Where	编译在安装包里的服务器地址 `api.songhe.app`，由它转发给语音识别厂商。您不能改成别处。`ElderImeService.proxy`
保存 / Retained	本机内存中保留最近一次录音，只为了「再试一次」不必让您重说；下一次说话即覆盖，不写入磁盘。`KeyboardView.lastAudio`
密码框 / Password fields	麦克风在密码框中被拒绝，录音不会发生。`InputTypeRouter.micAllowed`, `VoiceGuard`

🔴 发行版不内置任何厂商密钥。 The release build compiles no vendor API key

(app/build.gradle.kts → buildTypes.release). What it does carry is a *device* key for

api.songhe.app — a credential that opens this deployment's own relay and nothing else, and

that can be revoked on the server without touching the vendor account. The relay forwards the

audio to the speech vendor, who receives it under their own policy.

2. 文字 / Text — 留在本机 / stays on the device

识别出来的文字进入输入框，和任何输入法一样。
您的纠正记录（改错字）保存在本机，用来下次少错一点。CorrectionMemory, PersonalDictionary
「机器不认识的词」（人名、地名、医院、药名）保存在本机，并在识别时作为提示发送给识别服务，

以便把它们听对。BiasContext — 这是它们唯一离开手机的路径。

🔴 不做云备份。 android:allowBackup="false" in the manifest, added specifically so that

Android Auto Backup does not replicate the correction log — which contains names, hospitals

and medication inside sentences — to Google's servers.

3. 使用记录 / Usage events — 总是上传 / always uploaded

The event stream records what happened — which control was tapped, how long recognition

took, which rung of the correction ladder was reached — **and, on the correction path, what was

said**, because an error report that does not contain the misheard words says nothing about the

error.

每批数据只说明配置（profile、talk mode、标点开关、OS、机型、语言、屏幕宽度），

不包含任何指向个人的标识。Envelope, gated by EnvelopeIdentityGateTest.

🔴 文字内容包含在内，并且没有开关可以关掉它。 早先的版本把这一项做成设置里的开关，

默认关闭；这个版本把它去掉了，改成一直上传。改动的理由是：一个默认关闭的开关等于没有数据，

而我们需要知道识别在真实使用中哪里出错。代价是您说的话会离开这台手机，所以这件事写在这里、

写在安装页上、也写在设置页上，而不是藏起来。

上传地址是编译进安装包的（api.songhe.app），不是您填的，也不能改成别处。
TelemetryLeakGateTest 仍然限制哪些内容可以进入这条通道；EnvelopeIdentityGateTest 仍然

保证每一批数据只说明配置，不包含指向个人的标识。

4. 我们不收集 / Not collected

无广告、无第三方分析 SDK、无联系人、无位置权限、无设备标识符（IMEI / Android ID / 广告 ID）、

无账号。权限只有四个：RECORD_AUDIO、VIBRATE、INTERNET、ACCESS_NETWORK_STATE。

🔴 One honest exception, if you run the optional backend yourself: with ELDER_GEO=1 the server

resolves the uploading IP to a city (server/geo.py) via a third party, and stores it

against the install. It is off unless you turn it on, and it is the one place where "which

configuration" comes close to "which household". If you do not need it, leave it off.

儿童 / Children

不面向 13 岁以下儿童。Not directed to children under 13.

您的选择 / Your choices

🔴 在这个版本里，没有「不上传」这个选项。唯一的办法是不安装，或者卸载。
「清除记录」→ 删除本机保存的纠正记录。SetupActivity
「导出全部记录」→ 导出您自己的数据。
卸载应用 → 删除本机全部数据。

联系 / Contact

Add a real address before publishing. Play rejects a policy with no contact route.

*本政策的英文与中文版本以中文为准。*

松鹤输入法 隐私政策 / Privacy Policy