隐私政策
briffy 没有服务器。你的截图、录音、剪贴板和文件都留在你自己的电脑上；只有你自己配置了 AI 服务或外部连接时，被处理的那一条记录才会离开这台机器，直接发给你自己的账号。
生效日期 2026-09-08 · 版本 1.0 · 适用于 briffy 桌面端（macOS / Windows）和 briffy 浏览器扩展
桌面端记下什么
下面每一项都只写在你电脑上的工作区目录（默认 ~/Library/Application Support/briffy/workspace，可在设置里改）。
- 截图原图
- 你点 briffy、按快捷键、或框选的时候
- 截图里的文字
- 本机 OCR（PP-OCRv6 + onnxruntime）认出来的
- 录音
- 你主动开始的语音笔记；或者你打开了「自动录音」之后，任何时候有人说话（见下一节）
- 转写与说话人分段
- 本机 Whisper 和 sherpa-onnx 做的
- 剪贴板内容
- 你每次复制的文字、图片、文件。可在设置里关掉
- 拖进来的东西
- 文件、链接、自己写的笔记
- 当时开着哪个窗口
- 应用名和窗口标题，让一条记录说得出自己来自哪儿
- 没有文字的图片里有什么
- 本机图像分类器 / macOS 自带的图像识别
- 设置与你填的 API Key
- Key 用系统钥匙串加密保存（macOS Keychain / Windows DPAPI）
briffy 没有账号，不需要注册，也不认识你是谁。上面每一项都只写在磁盘上，删除工作区目录即全部消失。
自动录音，单独说
这是 briffy 唯一一件不问就做的事，所以把它讲全。
默认关闭。不打开它，麦克风只在你主动开始一段语音笔记时打开。
在 设置 › 录音 里打开之后，briffy 会一直持有麦克风，只要有人说话就存一段录音，不需要你按任何键。于是会议和通话会进工作区，不管当时有没有人打算记它，包括房间里其他人的声音。只要它在跑，macOS 就一直显示橙色的麦克风指示点。
录音和转写依然只写在本机。但转写出来的文字会和其它记录一样，在你配了云端 AI 服务时被送去写标题和摘要。
录音别人是否合法，取决于你在哪里。有些国家和地区要求所有被录的人都同意。这一层 briffy 不能替你判断，也不替你承担；开这个开关之前请自己确认。
什么会离开这台电脑
只有你自己开启的功能才会联网。默认安装、什么都不配的情况下，briffy 除了下载它需要的本地模型之外不发送任何东西。
AI 服务（写标题、摘要、回答提问）
你在 设置 › AI 服务 里四选一。选定之后，被处理的那一条记录的内容会发给该服务：截图图片本身、OCR 文字、PDF 正文、抓取到的网页正文，以及你在「问」里输入的问题和被检索到的记录摘录。
- Claude (Anthropic)
api.anthropic.com，用你自己的 API Key 或你自己登录的 Claude 账号- OpenRouter
openrouter.ai，再由它转发给你选的模型提供方- 自定义接口
- 你自己填的 base URL（LM Studio / vLLM / DeepSeek 等）
- 本地模型 (Ollama)
127.0.0.1:11434— 不出本机
这是转发，不是我们收集。briffy 不保存、不代理、也看不到这些请求——它们从你的电脑直连服务商，用的是你自己的凭据。不想让任何内容离开本机，就选 Ollama，或者干脆不配：不配时程序照常可用，标题退回文件名，摘要退化为清单，「问」这一页仍然能在本地检索。
你主动接入的外部服务
- Notion
- 你在授权页勾选的页面，读取内容存进工作区
- Gmail
gmail.readonly— 只读，不发信、不改标签、不删邮件
OAuth 授权用的是你自己的凭据，令牌用系统钥匙串加密保存在本机，可以在设置里断开。
下载（不含任何用户数据）
huggingface.co- 语音识别模型（也可在设置里改成
hf-mirror.com） github.com- 说话人分段模型
ollama.com- 列出可用的本地模型
api.zeroeval.com- 一天一次读取公开的模型评测榜，用来推荐模型
- 你保存的那个网址
- 你存了一个链接，就得去读它
这些请求里没有你的任何数据——只有一个 user-agent: briffy。
浏览器扩展
扩展只和同一台电脑上的 briffy 说话（127.0.0.1:47831）。它没有自己的服务器，也不向任何第三方发送东西。
- 你勾选的媒体
- 面板里勾中的图片、视频、音频，交给本机的 briffy
- 你收藏的页面
- 你按了网页自己的「收藏」时，那一页连正文一起存进 briffy
- 媒体请求的地址
- 只看经过的地址，用来找出 DOM 里看不见的视频流。不拦截、不改写、不读响应内容
- 当前页的地址和标题
- 默认关闭。只有 briffy 明确要求时才发（让存下来的东西知道自己来自哪儿）
- 当前页的正文
- 默认关闭。只有你在 briffy 里打开「不用动手存的那一层」之后才发
后两项默认是关着的：扩展启动时它们都是 false，要等本机的 briffy 在回应里明确要求才会打开——也就是说 briffy 必须正在运行，而且那个设置是你自己开的。
扩展不监视浏览：认收藏那一层平时什么都不做，只有一次保存手势真的发生之后才去读页面。它不需要账号，也不存任何东西到云上。
端口可以在 设置 里改，也可以把这个本机接口整个关掉。
我们不做什么
没有遥测、没有分析、没有崩溃上报。代码里没有任何统计 SDK；源码是公开的，这一条可以自己 grep 验证。
没有 briffy 的服务器。上面所有目的地都是第三方或本机，没有一个是我们的。
不做广告、不做画像、不追踪、不卖数据、不与任何人共享。也不因为「同步」而上传——briffy 不做云同步。
权限
每一项都可以在「系统设置 › 隐私与安全性」里随时收回。不给的那一项功能关着，别的照常。
- 屏幕录制
- 截图。没有后台连续录屏——只在你按快捷键或点 briffy 的那一下
- 麦克风
- 语音笔记，以及你自己打开的自动录音
- 自动化（Apple 事件）
- 知道你当时在看哪个窗口；用 macOS 自带的图像识别描述图片
- 辅助功能
- 只有滚动长截图需要
- 桌面 / 文档 / 下载
- 复制你拖进来或批量导入的文件
你的数据由你处置
- 看
- 工作区就是普通的文件夹：JSON + PNG + WAV + Markdown，用任何工具都能打开
- 导出
- 直接拷贝那个文件夹
- 删
- 删除工作区目录，或在应用内删除单条记录。没有回收站，没有副本
- 搬
- 在设置里换一个工作区位置
- 卸载
- 删掉 briffy.app，再删掉
~/Library/Application Support/briffy/。钥匙串里名为 briffy 的条目可在「钥匙串访问」中删除
其余
儿童
briffy 不面向 13 岁以下儿童，也不有意收集他们的信息。
变更
政策变更会更新本页顶部的版本与日期，并写进发布说明。实质性变更（例如新增一个会发送数据的目的地）会在应用内说明。