证书与控制措施不是一回事
合规徽章只能告诉您，某位审计师在某一天审视过一家公司。它不会告诉您，您通话中的音频是否被写入过磁盘，也不会告诉您其中的话语经过了哪些网络。这是两个不同的问题，而在决定是否让翻译工具处理一场保密会议时，真正重要的是第二个。
因此，本页的写法正好相反。我们不展示徽章，而是在每个部分写明机制、说明数据去向，并指出您可以在哪里核实。我们没有任何证书，也没有第三方鉴证——下文会明确说明这一点，同时列出我们无法声称的其他一切。
您的数据实际去向何处
VoxisLive 在您的电脑上运行，并与两类服务器通信：一类是我们自己的服务器，它了解您的账户和分钟数；另一类是云端翻译引擎，它接收音频并回传翻译后的语音。具体使用哪个引擎，取决于您选择收听的语言——一些目标语言由 Google 提供服务，另一些由 Alibaba Cloud 提供服务。
| 内容 | 去向 | 会话结束后是否保留？ |
|---|---|---|
| 来自您的扬声器或麦克风的实时音频 | 通过加密的 WebSocket 传输到为您的目标语言提供服务的云端引擎——Google 或 Alibaba Cloud | 不保留。属于瞬时数据，不会写入磁盘。 |
| 您的账户和分钟余额 | 我们自己的服务器 | 保留——您的分钟套餐和余额正是由这些数据构成的。 |
| 语音检测和说话人变化检测 | 您自己的 CPU | 没有任何内容离开您的电脑。 |
| 转写记录和导出文件 | 您磁盘上的“文档\Voxis\Transcripts” | 保留，直到您将其删除。 |
| 您选择发送的问题报告 | 我们的服务器，日志已先在您的设备上完成脱敏 | 仅保留您勾选附带的内容。 |
| 您在本网站助手中输入的问题 | Anthropic 的 API，由其撰写并核对答案；我们的服务器保存对话，其中的个人信息已被遮蔽 | 在我们的服务器上保存 30 天；Anthropic 会在 30 天内删除 |
这种路由并不是一个需要您单方面信任我们的偏好：它由您在应用中选择的目标语言决定，而承载它的音频路径属于我们公开的代码摘录的一部分——关于该代码库是什么、不是什么，请参阅许可说明。
哪些内容留在您的电脑上
人们以为属于云端功能的几项处理，其实运行在您自己的 CPU 上，因为在那里处理成本更低，泄露的可能也更小：
- 语音检测。一个 Silero 语音活动检测模型在本地运行，判断音频流中哪些部分是语音。静音不会变成网络流量。
- 说话人变化检测。一个 CAM++ 模型在您的 CPU 上计算声音嵌入，用来察觉房间里的说话声是否发生了变化，从而把转写记录拆分为 S1 / S2。该嵌入绝不会离开设备。它所做的是说话人变化检测：它只察觉声音变了，并不判断说话的是谁，也不保留任何声纹。
- 免费方案的语音。在免费方案中，播放的语音由您自己电脑上的神经网络语音在本地合成，首次使用时下载一次。
- 问题报告脱敏。当您发送报告时，日志会先在设备上完成脱敏再发送，而且脱敏采用失败即阻断（fail-closed）的方式：如果脱敏无法完成，则完全不会发送任何内容。
您的会议文本留在您的磁盘上
转写记录写入您自己电脑上的文档\Voxis\Transcripts，每个会话一个文件夹，您生成的任何 TXT、SRT 或 VTT 导出文件也保存在其中。它们不会被上传、不会被建立索引，我们也无法读取。删除文件夹即删除记录——我们这边没有任何副本可供您追问。
只有一个例外，而且需要由您来按下。会话结束后的 AI 摘要按钮，会应您的请求，把该会话已保存的转写文本发送到云端模型进行摘要，仅限这一次会话。不会自动生成任何摘要；您从未按下它的会话，其内容永远不会离开磁盘。
实现这些的代码可供阅读
我们公开了一份经过挑选的、只读的音频处理代码摘录——包括捕获、上述设备端检测、通向引擎的网络传输、播放，以及本地转写存储——让您的安全团队能够阅读这些说法实际实现时的样子，而不是营销页面所陈述的样子。
对此有两点坦率的限制。它只是摘录：其中有意省略了构建或运行应用所需的文件，因此它用于核查，而不是用于编译您自己的副本。此外，它以保留所有权利的方式发布，而不是采用开源许可证。完整条款，以及阅读它允许和不允许做什么，请参阅许可说明。
使用自己的密钥：我们退出音频路径
如果您的法务团队真正关心的问题是“能否完全避免新增一个数据处理者”，BYOK 解锁就是答案。使用您自己的 Google Gemini 或 Alibaba Qwen API 密钥时，应用会用您的密钥开启引擎会话，这意味着音频根本不会到达 Voxis 的服务器——处理关系直接建立在您与您已签订合同的引擎供应商之间。
密钥本身通过 Windows DPAPI 加密保存在您的设备上，与您的账户和该次安装绑定，并不保存在我们这一侧。BYOK 是一次性付费的解锁，而不是免费模式；其涵盖范围请参阅价格和许可说明。
面向团队：将许可固定到单一引擎
一些组织的审查只通过了某一家云供应商，而没有通过另一家，这类组织通常无法接受在两家之间按语言路由。对这样的许可，运营方可以将引擎路由固定为单一引擎，这样无论目标语言是什么，该许可下的每个会话都使用您的审查所批准的供应商。
这是运营方对许可进行的设置，而不是应用内的开关，因此要在组织方案创建时安排——请联系我们，并告知您的审查通过的是哪个引擎。会议相关的行为请参阅会议使用场景页面。
我们不作的声明
这是大多数信任页面都会略去的部分，所以值得多读两遍。
- 没有证书。我们没有通过 ISO 27001 认证，也没有 SOC 2 报告。我们不展示合规徽章，因为我们没有可展示的徽章。
- 没有第三方鉴证。没有任何独立方审计过本页的说法。我们提供的证据，是公开的代码摘录以及您在自己电脑上能观察到的行为——这是一种与审计不同、也更弱的保证，我们不会把它称作审计。
- 没有 BAA。我们不签署商业伙伴协议（Business Associate Agreement），因此不适用于要求签署该协议的工作流程。
- 不保证仅在欧盟境内处理。音频会发往为您的目标语言提供服务的云端引擎；我们不承诺音频只在欧盟境内处理，也不会为了通过采购表单而假装如此。
- 不保证准确性。这是延迟几秒的机器口译。它不是经过认证的口译员，也不应作为任何具有法律约束力事项的记录。
如果您的流程现在就要求上述任何一项，我们就不适合该工作流程——现在说清楚，比到了安全审查阶段才被发现，让大家付出的代价更小。
子处理者与文件材料
在默认配置下，音频路径上除您之外有两方：为您的目标语言提供服务的云端翻译引擎（Google 或 Alibaba Cloud），以及我们自己的服务器——它能看到您的账户和您用掉的分钟数，但看不到音频。在 BYOK 模式下，只剩引擎供应商，使用的是您自己的密钥。当前的名单，以及我们这边保留什么、保留多久，都记录在隐私政策中；合同方面的内容见服务条款。
如果您的法务团队需要这些文件之外的数据处理文件材料，请通过联系我们页面写信告知，并说明其中必须包含什么。我们会逐案处理，也宁愿尽早告诉您哪些内容我们无法签署，而不是绕开这个问题。
您的安全问卷，我们已提前填好
大多数安全审查一开始都会发来一张要我们填写的表格。我们已经提前填好了一份：云安全联盟（Cloud Security Alliance）的 CAIQ v4.1，业界通行的云安全问卷。全部 283 个问题，涵盖 17 个云控制矩阵（Cloud Controls Matrix）领域，均依据我们实际运行的情况作答。
打开之前请先了解两点。它是自我评估，而不是审计——没有独立方核查过这些答案，文件本身也明确写明了这一点。而且大多数答案都是否：200 个“否”、47 个“不适用”、36 个“是”。一家只有一个人的公司没有安全委员会、没有 SIEM，也没有渗透测试，我们如实写下，而不是勉强写成“是”。我们回答“是”的领域，是架构本身能够支撑的那些——数据处理、传输加密，以及哪些内容永远不会离开您的电脑。下载已填写完成的 CAIQ v4.1（Excel）。
同一份问卷也发布在 CSA STAR Registry 中，这是云安全联盟的云服务公开登记册，自 2026 年 9 月 14 日起以 VoxisLive 的名称登记。请准确理解这意味着什么：STAR 第 1 级是自我评估级别，所以登记只表示 CSA 把我们的答案公开发布，任何人都可以获取——并不表示有任何独立方核查过。那里的文件与您可以从上方下载的是同一份。查看 STAR Registry 中的条目。