# 隐私说明

输入法会处理你输入的文字。AIME 的原则是：**日常输入在本机处理，不写输入日志；拼音串、候选列表和用户词频不上传。**
只有你主动执行 AI 动作时，目标草稿、选区或刚输入的文字才交给所选模型；使用自备云端接口还需单独允许发送文字，详见下方「AI 动作与输入图层」。

## 输入法进程（AIME.app）

- 按键在进程内交给 librime 处理，按键处理路径上不发起任何网络请求。
- **在线词库**：若你订阅了词库地址，输入法启动后及每小时检查到期订阅（每个地址的自动请求间隔至少 12 小时，
  手动检查可立即请求；带 ETag 条件请求，单个文件上限 20 MiB）。请求只用于下载词库；GitHub 地址另查该文件的最后提交时间
  （api.github.com）。有官方订阅时还会获取公开目录以跟进固定版本。新增订阅最多 32 个，单次检查最多 32 个，
  至多 65 次逻辑请求（1 次目录、32 次词表、32 次提交时间，不重试）；手动批次会刷新一次目录，历史超限订阅保留并轮流检查。没有订阅就不运行后台词库请求。
- **主动 AI 动作**：选择自备云端接口并允许发送文字后，输入法会为这次动作请求该接口；端侧模型不可用时不会自动改用云端。
- librime 日志默认 WARNING 级别，写入 `~/Library/Logs/AIME/`，不包含输入内容。
- 用户词频（`*.userdb`）保存在 `~/Library/AIME/Rime/`，只在你主动「同步」时导出快照到你指定的同步目录。
  AIME 不运营同步服务器；若同步目录位于 iCloud Drive、Dropbox 等，文件由该服务按其政策处理。
- **版本检查**：默认每天请求一次 `https://get.zool.app/aime/latest.json`（公开的版本清单），只用于判断是否有新版本；
  请求不带任何输入内容、配置或设备标识，服务器只能看到普通的网络请求信息（IP、时间、系统 User-Agent）。
  可在「设置 › 概览」底部关闭「自动检查更新」。

## 输入统计（可选，默认关闭）

- 在「设置 › 输入统计」中打开后，输入法才会计数；关闭即停止并丢弃内存中尚未写入的计数。
- 保存计数和高频词，不保存你打的句子与上下文：
  - 每天的字数（汉字个数 + 英文单词个数）、上屏次数、各小时的字数、各应用（以 Bundle ID 记）的字数；
  - **上屏的 2–8 个汉字的词**的次数（高频词）。单字、句子、数字、标点不作为词记录。
- 密码管理器（1Password、Bitwarden、钥匙串访问、密码、KeePassXC）中的输入一律不计。系统安全输入框本来就不经过输入法。
- 计数先放在内存里，每 5 分钟或离开输入框时在后台写入 `~/Library/Application Support/AIME/Stats/`
  （高频词：`<日期>.json`；字数：`Activity/<日期>.json`）。目录权限 0700、文件 0600、不参与 Time Machine 备份。
  高频词保留 92 天，过期自动删除；字数统计保留到你清空为止。
- 「清空统计」删除全部文件，同时通知输入法丢弃未写入的计数；「屏蔽」某个词会删除它的历史计数并不再显示。
- 统计数据不进日志、不联网、不提供给 AI 助手。

## 设置 App 的网络访问

除「概览」页的版本检查（同上，可关闭）外，仅以下情况会联网，且都由你手动触发：

1. **安装/更新词库或整句模型**：从 GitHub Releases、raw.githubusercontent.com 或 api.github.com 的固定资产地址下载，按注册表中固定的 SHA-256 校验，
   校验失败拒绝安装。
2. **在线词库**：打开词库页或点「刷新目录」时请求公开目录；添加或点「立即检查」时下载订阅地址，
   「立即检查」先刷新一次目录，官方订阅跟进目录中的固定版本与 SHA-256；GitHub 词表另查最后提交时间。请求上限同上，不发送输入或词频。
3. **下载更新**：你点「下载并安装」时从 get.zool.app 下载安装包，校验 SHA-256 和 Zool LLC 的开发者签名后交给系统安装器。
4. **AI 助手（可选，默认端侧）**：
   - 「Apple 端侧模型」完全在本机运行。
   - 「OpenAI 兼容接口」由你填写地址与 Key（Key 存在本机文件 `~/Library/Application Support/AIME/credentials.json`，仅当前用户可读写，不进配置目录、不同步），
     请求只包含：你在助手输入框里写的需求、公开的设置目录与当前取值；或你粘贴用于抽词的文本。

## 常用语

- 你在「设置 › 常用语」里保存的内容（证件号、手机号、地址等）只存在本机的 `~/Library/AIME/Rime/aime/snippets.json`，
  文件权限为仅本人可读写（0600）。它不进入词库、不参与同步目录、不联网，也不会提供给 AI。
- 输入法只在你打开快捷菜单时读取这个文件，选中的那一条才会被输入到当前应用。

## AI 动作与输入图层（可选，默认关闭）

- **AI 动作**（润色 / 翻译 / 你自定义的提示词）在「设置 › AI 助手」中打开后，只有你**主动执行**时才会运行：
  按 ⌃⌥P 或从快捷菜单进入「AI 处理」后选择。处理对象依次是：输入图层里的草稿、你选中的文字、你刚在这个输入框里打的字
  （上限 2000 字）。这段文字只为这一次请求放在内存里，不写日志；结果以候选形式展示，替换前会从应用里读回原文，
  与发送时不一致就不替换。
- 「刚打的字」是输入法在内存里记下的、它自己刚插入当前输入框的文字（上限 500 字），离开输入框即清空；
  不执行动作时它不会离开输入法进程。
- **输入图层**打开后，上屏的文字先以带下划线的草稿停在光标处，回车、自动上屏或执行动作后才进入应用。
  草稿只存在于内存；终端、代码编辑器、启动器、密码管理器和安全输入框中不启用。
  回车与 Esc 都确认草稿，Esc 不丢弃文字；配置的自动上屏延迟仍生效。
  复制、剪切、粘贴和全选由应用处理：有草稿时先上屏，再把按键交给应用；输入法不读取剪贴板。
- 默认使用 Apple 端侧模型，完全在本机；不可用时只提示原因，**不会自动改用云端**。
  端侧模型取决于设备（Apple 芯片）、系统设置（Apple 智能已开启、模型已下载）与地区：在中国大陆购买的设备或使用中国大陆 Apple 账户时目前不可用，
  此时可以配置自备的 OpenAI 兼容接口（服务方可能计费）。简繁转换始终在本机完成，不需要 AI。
- 使用「OpenAI 兼容接口」需要再单独打开「允许把要处理的文字发送到自备接口」，界面会写明目标主机与模型；
  请求只包含那段文字和动作的指令（自定义动作即你写的提示词）。API Key 从上述本机文件读取，不会弹出系统密码框。
- 正在选字时执行动作：输入法先把当前高亮的候选上屏（和按空格一样），再只处理这个词或短语；取消后它仍留在输入框里。
- 你输入的拼音串、候选列表、用户词频、高频词统计在任何情况下都不会交给 AI。

## AI 模块的硬边界

`AIMEAI` 模块不依赖引擎（RimeKit），无法访问正在输入的内容或用户词频库。CI 与验收检查包含：

```bash
grep -rlE 'composing|preedit|userdb|UsageStats|UsageRecorder' Packages/AIMEKit/Sources/AIMEAI   # 必须为空
# 输入法里调用 AI 的只有润色扩展，且不得触碰会话、候选或统计：
grep -nE 'liveSession|session\.|context\(|preedit|usage|DebugLog|logger' "Apps/AIME/AIMEInputController+Polish.swift"   # 必须为空
```

## 无遥测

AIME 不包含任何遥测、崩溃上报或第三方统计 SDK；上面的高频词统计只存在你的 Mac 上。
官网 aime.zool.app 使用 Google Analytics 统计访问量，这与应用无关，应用不内置任何统计。