Foo AI Corp.
录音仍然属于你
新录音的原始音频保留在你的设备上。只有选择工作区处理时，音频才会通过 Voicecape 临时传给 Soniox，进行实时转写。Voicecape 不在云端保存原始音频，Soniox 也不保留音频流。生成的工作区文字记录与摘要会以加密文本保存。
不用于模型训练
工作区处理是可选的，只有在你主动选择并确认处理说明后才会开始。Voicecape 以有界分片读取已保存的本地音频，并通过 Relay 实时传给 Soniox。Relay 只转发而不存储音频；Voicecape 请求 Soniox 的无存储实时模式，双方都不会保留该音频流中的原始音频。之后，转写出的文字会发给我们服务器设定的语言模型服务商 — 目前是 OpenAI, L.L.C.，经由 Cloudflare AI Gateway 转发 — 由它生成摘要、决定事项与行动项。音频不会发给该服务商。
这些公司是谁、各自接收什么，写在隐私政策里，并由信任中心按主机逐条生成展示。
按组织隔离的存储
工作区文本——文字记录、摘要、决定事项与行动项——以加密封装保存在由 Supabase, Inc. 运营的 Voicecape 数据库（首尔区域 ap-northeast-2）中。获授权的 Voicecape 服务仅在执行允许的工作区操作时解密这些文本。原始音频不在这一存储范围内。
谁能打开什么
五种角色 —— owner、admin、manager、member、viewer。与组织架构对应的部门，以及文件夹级的访问控制，一同参与判定。viewer 可以只被授予读取权限，而强制这一点的是数据库，不只是界面。
当有人创建分享链接后，那份摘要就对持有链接的任何人可读，直到链接被撤销为止。这是摘要脱离上述角色体系的唯一路径，而且是有意为之。
留存多久
新录音的原始音频在 Voicecape 或 Soniox 云端都没有副本；设备上的副本由你管理。加密的工作区文本会保留到你删除它，或工作区留存政策将其移除。已停用版本创建的录音可能仍有历史云端音频。这些历史对象继续受工作区回收站和留存规则约束：若无更短期限，删除后最多可恢复 30 天，之后音频、文字记录与摘要会被移除。
你可以在产品内删除一份录音、一份摘要，或整个账户。账户删除的步骤写在隐私政策中。
个人标识信息的遮蔽
管理员可以为新的文字记录打开基于模式的个人标识遮蔽。不限方案；在有人打开之前它是关闭的，且只对打开之后的内容生效——不会重写你已有的文字记录。
它把什么替换成什么：卡号变为[卡号]，账号变为[账号]，电话号码变为[电话号码]，身份证号变为[身份证号]。卡号无论何种格式都要通过 Luhn 校验，因此不可能是卡号的数字不会被动。账号只有在 9 至 19 位、并且紧邻银行相关词语时才会命中，所以金额或日期不会被抹去。电话与身份号码的模式，依据你的工作区语言设置，而不是句子本身的语言。
完整名单在哪里
本页说的是我们做了什么。隐私政策是具有法律效力的文件，用法律的措辞列出每一个接收方；信任中心由代码生成，列出应用可以到达的全部主机。若三者之间出现不一致，请写信告诉我们——这正是我们想要收到的反馈。