PoLang 隱私政策

最後更新日期：2026年9月18日 | 生效日期：2026年9月18日

查看简体版 · View in English

1. 我們蒐集哪些資訊

PoLang 僅在功能必需的最小範圍內存取您的裝置和資料。根據您使用的功能，可能涉及以下資訊類型：

1.1 相機與圖像資料

資料類型	用途	處理方式
相機預覽幀	即時美顏預覽、拍照	僅本機 GPU 處理，不上傳
拍攝照片	儲存至相簿、本機編輯	儲存於裝置本機相簿，不上傳
人臉關鍵點	驅動美顏效果（瘦臉、大眼等）	本機 MediaPipe/MNN 即時運算，不上傳
相簿圖片/影片	相簿瀏覽、編輯既有照片	僅本機讀取，不上傳

1.2 語音資料

資料類型	用途	處理方式
語音指令錄音	語音控制相機功能	本機 ASR 辨識後即刻丟棄，不上傳
喚醒詞音訊	喚醒詞觸發語音互動	本機即時偵測，不上傳

1.3 裝置與網路資訊

資料類型	用途	處理方式
網路連線狀態	判斷能否使用遠端 LLM 編排（可選）	僅本機判斷，不蒐集網路詳情
藍牙狀態	偵測藍牙配件（如遙控器）	僅本機偵測，不上傳
裝置儲存空間	模型下載前檢查可用空間	僅本機判斷，不上傳

1.4 帳號資料（信箱註冊）

資料類型	用途	處理方式
電子郵件地址	帳號註冊與登入識別、LLM 免費試用額度計費（預設 100 次/帳戶）	儲存於 api.polang.net，僅保存電子郵件與登入 token 的 SHA-256 雜湊；不蒐集明文密碼（驗證碼登入）

1.5 設備識別（訪客試用額度）

資料類型	用途	處理方式
設備識別（Android 裝置 ID / 本機產生 ID）	未註冊訪客的 LLM 免費試用額度計數	傳送至 api.polang.net，僅按識別統計呼叫次數；不用於識別個人身分，不與第三方共享。可在 app「設定 → 資料與隱私 → 清除訪客資料」刪除

2. 應用程式權限說明

PoLang 申請以下 Android 系統權限，每項權限均與具體功能直接對應：

權限名稱	權限級別	功能用途	是否必需
CAMERA	危險權限	相機預覽、拍照、錄影	是（核心功能）
RECORD_AUDIO	危險權限	語音指令錄製、影片錄音	否（語音功能可選）
READ_MEDIA_IMAGES	危險權限	讀取相簿圖片進行整理、搜尋與編輯	是（相簿核心功能）
READ_MEDIA_VIDEO	危險權限	讀取相簿影片進行整理與播放	是（相簿核心功能）
ACCESS_MEDIA_LOCATION	危險權限	讀取照片 EXIF 位置資訊，用於地點分組與地點搜尋（僅本機處理，不上傳）	否（地點功能可選）
MANAGE_MEDIA	危險權限	「刪除不再詢問」開關（預設關閉）：開啟後刪除/回收操作免系統確認彈窗，仍移入系統垃圾桶可復原	否（預設關閉，需使用者手動授權）
READ_EXTERNAL_STORAGE	危險權限	Android 12 及以下讀取相簿	否（相簿功能可選）
WRITE_EXTERNAL_STORAGE	危險權限	Android 9 及以下儲存照片	否（僅舊系統）
BLUETOOTH_CONNECT	一般權限	連接藍牙配件（如拍照遙控器）	否（配件功能可選）
INTERNET	一般權限	AI 對話遠端推論（僅文字/中繼資料，不含照片影片）	否（媒體功能可離線；AI 對話需連網）
ACCESS_NETWORK_STATE	一般權限	網路狀態偵測（如僅 WiFi 下靜默預先下載模型）	是
POST_NOTIFICATIONS	一般權限	模型下載與相簿掃描進度/完成通知	否（通知可選）
FOREGROUND_SERVICE	一般權限	背景模型下載服務	是（模型下載）
FOREGROUND_SERVICE_DATA_SYNC	一般權限	相簿打標掃描前台服務（資料同步類型，全部本機處理）	是（打標掃描）
SCHEDULE_EXACT_ALARM	一般權限	閒時自動掃描的定時調度	否（自動掃描可選）
WAKE_LOCK	一般權限	掃描/下載執行期間保持 CPU 喚醒，防止任務中斷	是（背景任務）
SYSTEM_ALERT_WINDOW	危險權限	懸浮聊天氣泡（在其他應用程式上層顯示 AI 助手入口，預設關閉）	否（懸浮氣泡可選，需使用者手動授權）
REQUEST_IGNORE_BATTERY_OPTIMIZATIONS	一般權限	背景掃描保活（請求加入電池最佳化白名單，預設不請求）	否（可選，需使用者手動授權）

3. 資料處理方式

3.1 端側優先原則

PoLang 的核心架構設計遵循端側優先原則：

• 本機 VLM 打標：Qwen3-VL-2B 視覺語言模型在裝置本機為圖片生成標籤，圖片內容不上傳
• 本機人臉偵測：MediaPipe / MNN 多引擎人臉偵測全部在本機 GPU/CPU 執行
• 本機 OCR 辨識：ML Kit 文字辨識在端側完成
• 本機美顏渲染：OpenGL ES 渲染管線完全本機執行

3.2 隱私分級守衛

PoLang 內建 PrivacyGuard 隱私分級系統，自動對指令進行分級處理：

分級	資料類型	處理策略
RESTRICTED	座標、人臉資料	強制本機執行，絕不允許網路傳輸
SENSITIVE	照片、OCR 內容	強制本機執行，絕不允許網路傳輸
PUBLIC	相機控制指令（如「拍一張」）	本機優先，使用者可設定是否允許遠端編排

3.3 AI 對話推論（遠端）

AI 對話與指令解析透過遠端大模型（DeepSeek / 通義等 OpenAI 相容介面）完成，需連網：

• 對話文字、指令等非媒體資料會傳送至遠端推論服務以生成回覆；使用者圖片/影片檔案絕不上傳
• 人臉偵測、OCR、美顏、打標、去背等媒體處理始終在端側執行，不受遠端推論影響
• 登入 PoLang 帳號後，可使用官方 api.polang.net 閘道享免費推論額度；該閘道僅記錄呼叫次數與 Token 用量，不儲存對話內容
• 您也可在設定中自行配置其它 OpenAI 相容 API（使用您自己的 Token，PoLang 不持有、不中轉任何憑證）

4. 資料儲存與保留

4.1 照片與影片

• 拍攝的照片和影片儲存在裝置系統相簿中，由 Android 系統管理
• PoLang 不會在應用程式私有目錄中保留額外的照片副本
• 使用者可隨時透過系統相簿刪除照片

4.2 對話記憶

• Agent 對話歷史完整儲存在裝置本機資料庫中，支援跨會話查看，不出裝置
• 傳送給遠端模型的上下文最多攜帶最近 10 則訊息（僅文字）
• 使用者可在設定中清除所有對話記憶
• 解除安裝應用程式後，所有本機資料將被系統清除

4.3 模型檔案

• AI 模型檔案（LLM、人臉偵測、ASR 等）下載後儲存在應用程式私有目錄
• 模型檔案僅在本機用於推論，不會上傳
• 使用者可在設定中刪除已下載的模型以釋放空間

4.4 帳號資料保留

• 您刪除帳號後，帳號資料將保留 90 天（用於反詐騙與誤刪找回），期滿後徹底刪除，包括用量日誌
• 刪除入口見 app「設定 → 帳號 → 刪除帳號」，亦可電子郵件 budao.gs@gmail.com 申請刪除

5. 資料共享與第三方

PoLang 使用的第三方開源元件及其資料處理情況：

元件	用途	資料處理方式
MediaPipe	人臉關鍵點偵測	完全本機執行，無網路通訊
MNN	神經網路推論引擎	完全本機執行，無網路通訊
ML Kit	OCR 文字辨識	完全本機執行，無網路通訊
Sherpa-ONNX	語音辨識（ASR）	完全本機執行，無網路通訊

6. 使用者權利

作為 PoLang 使用者，您擁有以下權利：

• 存取權：您拍攝的所有照片和影片均儲存在本機，您可隨時存取
• 刪除權：您可隨時刪除照片、清除對話記憶、刪除下載的模型；登入帳號的使用者可在 app「設定 → 帳號 → 刪除帳號」刪除帳號及關聯資料；未註冊訪客可在「設定 → 資料與隱私 → 清除訪客資料」刪除裝置級訪客記錄；亦可電子郵件申請刪除
• 撤回同意權：您可隨時在系統設定中撤銷任何已授予的權限
• 離線使用權：打標、人臉偵測、美顏、相簿搜尋等媒體功能可離線使用；AI 對話需連網
• 資料可攜帶權：您的照片儲存在標準相簿中，可自由匯出

7. 兒童隱私

PoLang 不面向 13 歲以下兒童。我們不會故意蒐集 13 歲以下兒童的個人資料。如果您發現我們可能蒐集了兒童的資訊，請立即聯絡我們，我們將儘快刪除相關資料。

8. 安全措施

PoLang 採取以下技術和組織措施保護您的資料：

• 本機處理架構：敏感資料不出裝置，從根本上降低外洩風險
• 最小權限原則：僅申請功能必需的權限，不過度索取
• 開源可稽核：核心程式碼開源，接受社群安全稽核
• 帳號資料最小化：信箱註冊僅保存電子郵件與 token 的 SHA-256 雜湊，不蒐集明文密碼（驗證碼登入），並提供帳號刪除入口

9. 政策更新

我們可能會不定時更新本隱私政策。任何重大變更將透過應用程式內通知或更新日誌告知使用者。繼續使用 PoLang 即表示您同意修訂後的政策。

10. 聯絡我們

如果您對本隱私政策有任何疑問或建議，請透過以下方式聯絡我們：

• GitHub Issues：https://github.com/littleseven/polang/issues
• 專案首頁：https://github.com/littleseven/polang
• 電子郵件：budao.gs@gmail.com