生效日期：2026-07-17
运营者：Y1Z（个人开发者）
联系方式：support@tomoshi.app
Tomoshi 是一款日语学习词典应用。本政策说明桌面应用及配套浏览器扩展（下称「本应用」） 处理哪些数据、哪些数据会离开你的设备、发送给谁、保留多久,以及你如何控制。
我们的总原则:本地优先、数据最小化。本应用没有账号系统,不投放广告,不嵌入任何 第三方统计/分析工具（如 Google Analytics）,不出售或向第三方共享你的数据用于营销。
1. 完全保留在你设备上的数据
以下数据只存储在你的电脑本地,不会上传:
- 词典查询与浏览:查询本地词典数据库完成,查了什么词不会发送到任何服务器 （触发云端功能时除外,见第 2 节,均有明确说明）;
- 搜索历史、生词本与复习进度;
- 应用设置;
- 剪贴板读取:全局快捷键取词会读取剪贴板文本用于本地查询,该文本不会自动上传;
- 浏览器扩展:扩展只与你电脑上运行的 Tomoshi 应用通信（本机回环地址）, 不直接连接任何外部服务器。
卸载应用或在应用内删除（历史/生词本支持逐条与全部清除）即彻底删除,我们无从恢复—— 因为我们从未拥有过这些数据。
2. 联网功能与发送的数据
本应用的云端功能经由我们自营的网关服务器（api.tomoshi.app）提供。各功能发送的
内容、目的与留存如下。
2.1 匿名设备标识
首次使用云端功能时,应用会向服务器注册一个随机生成的匿名设备标识,用于每日 用量配额管理与滥用防护。它不含、也无法反推出你的姓名、邮箱或设备硬件信息;我们 没有把它与任何真实身份关联的手段。
2.2 云端语音合成（发音朗读）
点击发音按钮时,被朗读的词或例句文本与所选音色会发送到服务器以合成语音。 语音由 Microsoft Azure AI Speech 合成（见第 5 节）。合成结果按文本内容缓存以便 复用,缓存不关联设备标识——无法从缓存反查「谁朗读过什么」。
2.3 AI 解析
以下情形中,**你查询的文本（词或句子）**会发送到服务器,由大语言模型生成解析:
- 你主动点击「AI 解析」等按钮;
- 你输入的搜索词未命中本地词典时,应用会自动发起 AI 解析（通过全局快捷键 取词的剪贴板文本除外——那需要你手动点击才会发送）。
模型推理由第三方大模型服务完成（当前经 OpenRouter 调用 DeepSeek 系列模型,见 第 5 节）。为节约重复生成,解析结果会进入共享缓存约 90 天:缓存以查询文本 本身为键,不关联设备标识;命中缓存的查询不会再次发送到模型服务商。
主动分享:你明确点击分享/共享按钮以换取额度时,该次解析的授权记录会与你的 匿名设备标识关联留存（用于计分与撤回),这是唯一把「内容」与「设备」相关联的 情形,且仅在你主动操作时发生,可在应用内撤回。
2.4 用户反馈（你主动提交）
通过应用内反馈入口提交的内容（报错的词条、你填写的描述）连同应用版本、操作系统 类型和匿名设备标识发送给我们,用于处理反馈。保留最长 180 天后自动删除。
2.5 崩溃与错误报告（自动,可关闭）
为了发现并修复缺陷,应用在崩溃或出现内部错误时会自动向我们发送一份技术报告。
- 发送的内容:程序错误消息与调用栈、错误发生位置（代码文件/行号）、线程名、 发生时刻、应用版本、操作系统类型（如 windows/macos）、匿名设备标识（见 2.1）。
- 明确不包含:你查询的任何词句、剪贴板内容、生词本/历史等任何输入与学习数据, 也不包含姓名、邮箱、IP 地址、硬件序列号等身份信息。
- 发送时机:程序崩溃时报告先保存在本地,下次启动时发送;界面内部错误 实时发送。每次会话有去重与数量上限,不会重复刷送。
- 接收方:仅发送到我们自营的服务器（
api.tomoshi.app),不经过任何第三方 错误收集服务（如 Sentry）。 - 保留期:最长 180 天后自动删除。
- 如何关闭:设置 → 通用 → 诊断 → 关闭「自动发送崩溃报告」。关闭后立即生效, 本地暂存的未发送报告也会被丢弃。关闭不影响任何功能。
2.6 服务器日志与用量统计
我们的服务器为排障与容量规划记录技术元数据:请求的接口、时间、状态码、延迟、 缓存命中与限流结果、模型档位,以及匿名设备标识。服务器日志与统计中永远不含 你查询的内容——这是我们的架构约束,不是事后过滤。逐请求日志保留约 7 天, 聚合统计保留约 3 个月。
与任何互联网服务一样,服务器在处理请求时会接触你的 IP 地址,仅用于注册环节的 频率限制与滥用防护,不与查询内容关联,不用于识别或追踪个人。
3. 我们不做的事
- 不设账号,不收集姓名、邮箱、电话等身份信息;
- 不嵌入第三方广告或统计/分析 SDK;
- 不出售、出租数据,不与第三方共享数据用于营销;
- 不读取与取词无关的浏览器浏览记录（扩展仅在你触发取词时工作）;
- 应用当前不含自动更新检查;若未来加入,将更新本政策说明其发送的信息。
4. 数据保留一览
| 数据 | 存储位置 | 保留期 |
|---|---|---|
| 词典查询、历史、生词本、设置 | 仅本地 | 由你控制,随时可删 |
| 匿名设备标识与配额计数 | 服务器 | 配额计数按日滚动;服务器不保存设备清单,标识仅出现在日志/统计/授权记录中,随各自留存期删除 |
| 语音合成缓存（不关联设备） | 服务器 | 长期（内容寻址,无身份） |
| AI 解析共享缓存（不关联设备） | 服务器 | 约 90 天 |
| 分享授权记录（关联设备,你主动触发） | 服务器 | 与共享缓存同周期,可撤回 |
| 用户反馈 | 服务器 | 最长 180 天 |
| 崩溃与错误报告 | 服务器 | 最长 180 天 |
| 服务器日志 / 聚合统计（元数据） | 服务器 | 约 7 天 / 约 3 个月 |
5. 数据托管与外部处理方
我们不「共享」数据给第三方,但以下基础设施与模型服务在提供功能时会受托处理 相应数据:
| 处理方 | 处理内容 | 目的 |
|---|---|---|
| Cloudflare, Inc. | 全部服务器请求（我们的网关部署在 Cloudflare Workers 上） | 托管与分发 |
| Microsoft（Azure AI Speech） | 被朗读的词句文本 | 语音合成 |
| OpenRouter / DeepSeek | AI 解析的查询文本（缓存未命中时） | 生成解析内容 |
发送给模型/语音服务商的文本不附带你的设备标识。各处理方按其服务条款处理数据; 我们选择的接口均为 API 用途,不用于其模型训练的默认承诺以各服务商当时条款为准。
6. 你的选择与控制
- 关闭崩溃报告:设置 → 通用 → 诊断（见 2.5）;
- 不使用云端功能:不点击发音与 AI 解析即不触发相应上传;词典查询、生词本、 复习等核心功能完全离线可用;
- 删除本地数据:应用内清除历史/生词本,或卸载应用;
- 反馈与询问:通过应用内反馈入口或 support@tomoshi.app 联系我们。
7. 面向日本用户的说明（外部送信規律）
依《電気通信事業法》外部送信規律的要求,本应用自你的设备向外部发送的信息、目的 与接收方已在第 2 节逐项列明,汇总如下:
| 发送的信息 | 触发时机 | 接收方 | 目的 |
|---|---|---|---|
| 朗读文本、音色 | 点击发音 | 自营服务器（经 Microsoft 合成） | 语音合成 |
| 查询文本 | AI 解析（含词典未命中时自动触发） | 自营服务器（经 OpenRouter/DeepSeek 生成） | 生成解析 |
| 匿名设备标识 | 各云端请求 | 自营服务器 | 配额与防滥用 |
| 反馈内容、版本、系统类型 | 你主动提交 | 自营服务器 | 处理反馈 |
| 错误栈、版本、系统类型 | 崩溃/内部错误（可关闭） | 自营服务器 | 缺陷修复 |
8. 未成年人
本应用面向一般语言学习者,不针对儿童设计,也不收集可识别个人的信息。
9. 政策变更
政策更新时,我们会更新本页并注明生效日期;涉及新增数据收集的实质性变更会在应用内 显著提示。
本政策的中文版本为原始版本。