隐私政策
更新日期：2026 年 11 月 8 日
账户与登录
使用 Apple 登录时，我们保存 Apple 提供的稳定用户标识摘要、你选择共享的已验证邮箱（可为私密中继地址），以及加密的授权撤销凭证，用于登录和删除账号时撤销 Apple 授权。我们不会获取你的 Apple 密码。Apple 授权撤销遇到网络故障时会重试，本地账号和登录会话仍会立即停用。
我们使用邮箱识别账户、发送登录验证码和关联订阅。Google 登录提供已验证的邮箱；我们不读取你的 Gmail 邮件。每次通过网页或手机 App 登录成功时，我们更新该账号最近一次登录的 IP 地址、时间，以及 Cloudflare 提供的粗略国家/地区、省市（可用时），用于账户安全与运营排查；仅授权管理员可查看，随账户记录保留；删除账号后 90 天内仍与你的邮箱关联，之后只以账号编号保留。IP 通常是网络出口，并不能证明居住地址。网站使用 HttpOnly 会话 Cookie，浏览器扩展单独保存登录凭证。你可以在账户页退出当前或所有设备。
在 Chrome、Edge 等支持的浏览器里，登录页会从 accounts.google.com 加载 Google 的登录脚本，让已登录 Google 的浏览器一步完成登录；只有在你未登录、登录表单显示时才加载。加载时 Google 会收到你的 IP 地址、浏览器数据和你的 Google Cookie，因此即使你不选择继续，Google 也能知道这个 Google 账号访问了我们的登录页；Google 按其隐私条款处理这些数据。只有你选择继续时，我们才会收到 Google 签发的登录凭证，并且只使用其中经过验证的邮箱，不保存你的 Google 名称和头像。
此外，网站使用一个非 HttpOnly 的功能性 Cookie（wt.ui.locale）记住你选择的界面语言，使各页面语言保持一致；另有一个同类 Cookie（wt.ref）在你通过好友邀请链接访问时记录邀请码，用于发放邀请奖励，保留 30 天。两者都不含账户信息，可随时在浏览器中清除。
如果你加入桌面版或手机版等候名单，我们保存你填写（或登录所用）的邮箱、所选平台、报名入口（含当时的文件失败类型）、关联的账户和报名时间，只用于在上线时通知你，不用于其他营销；注销账户时一并删除，也可以随时联系我们删除。
如果你在浏览器扩展里点「希望支持」某个网站，我们只记录这个网站的主域名（例如 example.com，不含完整网址、页面标题或视频）、当时扩展显示的状态、渠道、扩展版本、界面语言和时间；登录时关联你的账户，未登录时关联一个只用于这项功能的随机编号（不与账户或免费额度判断关联）。限流用的来源 IP 只以摘要保存约一天。这些记录只用于决定优先支持哪些网站，以及在支持后给登录用户发一次站内消息和邮件；邮件里可以一键退订这类通知。未登录的记录 180 天后删除，通知发出 30 天后删除，未通知的最长保留 365 天，标为暂不支持的网站 90 天后删除；注销账户时你的记录、退订偏好和「网站已支持」站内消息一并删除。
视频与字幕
本地视频的完整文件保留在你的设备上。没有可用原字幕时，服务按需上传用于生成字幕的音频片段；有原字幕时，上传需要翻译的字幕。音频或字幕将发送到本服务配置的识别、翻译提供方处理（OpenRouter、阿里云百炼）。百炼备用语音识别在新加坡地域处理上传的音频片段；百炼翻译在北京地域处理字幕文本。请仅使用你有权访问和处理的内容。
为了解用户翻译了哪些视频，服务端会把每个被翻译的视频和它的来源一起保存：YouTube、X、Bilibili 等站点记录站内的视频编号（YouTube 另会记录公开标题）；在其他网站上点击翻译时，记录该页面的网址（清洗规则同「故障报告」）和网页标题。这些记录只保存在服务端，仅授权运营人员可见，用于运营排查、产品分析和确定推广方向，不展示给其他账户，也不用于广告；它们随该视频的字幕记录长期保存，并可通过翻译记录关联到发起翻译的账户。
在你允许扩展访问的网站上播放视频时，扩展会在浏览器内存里临时保留最近几分钟的声音（不上传、不写入磁盘、关闭页面即清除）；你点了翻译之后，才从中取出语音片段上传转写成字幕。对开启了 YouTube 备用取音的账号（这项功能缺省关闭，由服务端开启：通常按账号逐步开启，YouTube 官方取音故障时也可能对全部用户开启），扩展在 YouTube 页面上同样这样做：在你点翻译之前，只在浏览器内存里临时保留播放器已缓冲的最近几分钟声音、不上传；点了翻译之后，才按需要的片段解码上传。扩展不下载、不保存、不导出视频或音频文件。
部分网站的视频使用标准 AES-128 加密。翻译这类视频时，扩展在你的浏览器内读取该网站提供的解密密钥，解密后取得音频，再按上述方式处理。密钥只临时保留在浏览器内存里，不上传，也不写入磁盘。
上传的临时音频通常在任务结束后删除，异常中断时在服务恢复后清理。当语音识别出现结构异常、降级、两路识别失败或双路识别复核不一致时，我们可能将已经上传的该窗口 WAV 音频作为私有诊断样本保留；诊断样本中的异常与风险样本最长保留 90 天，运行中的服务每小时清理到期文件，容量达到上限时可能提前删除，仅供运维排查与质量评估改进。为评估识别质量，服务每天还会抽样保留少量正常完成窗口的音频，该每日正常样本保留不超过 24 小时，与前述异常样本一样仅用于质量评估与改进。本规则上线时已有语音识别处理记录的账户，仍按上述少量每日正常样本规则留样。首次累计 20 分钟留样范围之后的窗口，也适用上述每日正常样本规则。
对首次使用语音识别的账户（包括本规则上线时，现存服务记录中尚无语音识别处理历史的已有账户），我们会尽力保留首次累计 20 分钟进入语音识别处理尝试的诊断音频，包含失败或未识别到语音的尝试，跨日期与视频累计。这按实际音频时长计算，包含前滚音频，并非观看时长、注册后经过的时间或点数。我们仅使用已有识别请求中已经收到的音频，不额外录音。这些样本自首次留样起最长保留 14 天，仅供授权人员私下进行运维排查与质量评估改进。有限的诊断存储优先用于首次识别留样。留样是尽力而为：容量不足或写入失败时，部分符合条件的音频可能未被保存。该诊断存储空间已满时，我们跳过新留样，保留已保存样本直到到期；重试不会延长保留期限。
所有诊断音频样本均为私有，不用于字幕缓存，也不向其他用户开放。字幕结果以任务记录长期保存，可随时免费复用，不设复用期限；相同视频、片段和语言对应的字幕可跨账户免费复用，服务不会把字幕设置为某个账户独有。也正因为字幕按视频与语言保存并与其他账户共享，无法按单个账户删除某个视频已生成的字幕；账户数据本身的查询、更正与删除见「你的选择」一节。我们不向其他账户展示你的邮箱、点数或付款记录。
整片翻译完成的公开 YouTube 视频，经人工确认后，其开头至多 30 句双语字幕可能以公开字幕页的形式展示在 watchtranslate.com/share，供访客了解字幕内容。页面只显示视频标题、语言与字幕片段，不显示是谁、何时处理了这个视频，也不显示任何账户信息。版权方或视频作者可发邮件至 [email protected] 要求下架，我们会屏蔽该视频的全部公开页面。
App（手机与电脑）
账号：App 使用与网站相同的账号，可通过邮箱验证码或 Google 登录，iOS 另支持原生 Apple 登录。Apple 登录所需的主体标识、邮箱（包括私密转送邮箱）与撤销凭证处理见「账号与登录」。App 的登录凭证保存在手机系统安全存储中，网站登录 Cookie 不会交给 App。网页登录与 App 原生 Apple/Google 登录都会在账号安全记录中更新 IP 及 Cloudflare 提供的粗略国家、地区和城市；缺少可信 IP 或国家时不更新。
视频、音频与字幕：本地视频文件留在你的设备上。需要识别时，App 按请求时段上传短音频窗口（通常约 30 秒，可用于边看边译或提前翻译），不上传画面。音频处理与留样用途、90 天/24 小时/14 天保留规则见「视频与字幕」。识别原文及翻译字幕以任务记录长期保存以供复用，任务及消费记录可关联发起账号；跨账号共享字幕不意味着这些记录匿名。
视频标识：为匹配可复用字幕，App 会发送由文件/媒体内容或规范化网页地址与视频时长计算的稳定摘要。这些翻译请求不直接发送文件名、原始网页地址或视频标题；本机完整浏览记录与收藏不上传。稳定摘要不等于匿名：已知网页地址与时长可以重新计算相同标识，服务器也会把所请求视频的标识与任务、账号和消费记录关联。
使用统计、性能与错误诊断：正式版 App 发送功能使用事件与技术性能量度，包括打开与登录结果、开始翻译与首字幕时延、观看和等字幕/缓冲时长、跳转恢复时延、控件点击、更新提示与安装结果。自定义错误诊断仅含错误类型与去重指纹，不含错误原文、堆栈或页面内容。事件附带系统类型与版本、设备类型（手机、平板或电脑）、系统语言、App 版本、安装渠道与安装方式（商店安装或免安装包）、电脑版是否检测到系统代理、一个首次启动时随机生成的安装标识（卸载重装或清除 App 数据即更换；不是广告标识，也不读取任何硬件标识）以及临时翻译尝试标识。打开视频时记录打开方式（如选择文件、拖入窗口、媒体库）与容器格式类别（如 MKV、MP4），播放失败时记录失败阶段与错误类别。服务器同时记录发送请求的 IP 地址（30 天后清除）与 Cloudflare 提供的国家。登录状态下关联账号，用于产品使用分析、功能效果评估及稳定性排障，不应视为匿名数据。事件不含网址、文件名、视频标题或字幕正文，不带广告标识；App 事件最长保留 180 天。Apple 或 Google 可按你的系统设置提供原生崩溃报告，这与上述自定义错误事件不同。电脑版 App 下次启动时会查看系统为本 App 留下的崩溃报告（macOS 诊断报告、Windows 错误报告），只发送崩溃类别（异常类型与出错模块类别，如播放组件或系统库）、崩溃时的 App 版本与运行时长，不上传报告本身。
付款与运行记录
官网付款由 Stripe 托管处理，iOS 内购由 Apple 处理，我们不接收或保存完整银行卡号。我们保存账户对应的支付标识、订单状态、点数批次和消费记录，以提供订阅、对账和退款后的权益调整。运行日志记录请求类型、任务状态及有限的诊断信息，不应包含登录凭证或原始支付密钥。
iOS 订阅方面，我们处理 Apple 签名验证后的商品、交易及续订/退款状态，并保存这些事实与账号的必要归属，用于交付额度、恢复购买、对账及防止把订阅认领到另一账号。删除账号后，必要交易标识与不可迁移归属仍按「你的选择」保留；我们不接触 Apple 处理的完整银行卡号或银行账户资料。
必要的翻译请求运行诊断会记录当前认证账户、已加载代码版本、当前扩展版本、包分发渠道和自身安装方式，便于排查旧客户端与免费复用问题。这些客户端报告不是签名证明，包渠道不代表首次获客来源，正常 CRX 安装也不单独证明来自商店。关闭扩展使用统计会停止功能使用统计事件，不会停止上述必要请求诊断；这些诊断不新增设备标识、IP、原始 UA、音频、字幕正文或登录凭证。
渠道、稳定性与使用分析
访问公开页面时，我们还会记录固定清单中的页面路由类别，用于统计各页面的浏览次数与去重设备数。语言版本归为同一路由，分享链接只记模板类别，不记录完整页面网址、查询参数或动态分享标识。
仅在公开的官网介绍、价格和指南页面，你可以选择允许 Google Analytics 4。允许后，Google 会收到固定页面路由、可选的来源网站域名和经过筛选的渠道标签，以及统计访客所需的浏览器和 Cookie 数据。Google 还会在接收数据时使用访客 IP 推算粗略地理位置，并在写入数据中心或服务器日志前丢弃该 IP。我们不会向 Google Analytics 发送视频、账号、结账、分享页、文件或字幕内容，并关闭广告相关功能。你同意之前不会加载 Google 统计脚本。选择保存在当前浏览器中，可在此更改。Google 按其隐私条款处理这些数据。
同一个提示还询问是否允许 Microsoft Clarity。允许后，Clarity 只在上述公开页面上记录页面地址与来源网址、页面结构以及鼠标移动、点击和滚动，用于回放和汇总访客如何浏览网站；网站自身的公开文案按原样记录；你输入的内容、账号入口显示的邮箱，以及价格页上的套餐状态、套餐卡片中的个人折扣价、「当前套餐」与「已用完」标记、未完成订单提示、付款提示和对话框，在上传前即被遮盖。Clarity 会设置自己的 Cookie（如 _clck、_clsk），用随机的访客与会话标识串联同一访客浏览的页面；我们不向 Clarity 传送账号、邮箱或本站的设备标识。页面地址带有渠道标签以外的参数时不录制；来源网址只有为空、外部网站的根地址、或本站上述公开页面（不含参数）时才录制。这些数据不与 Microsoft 广告共享。Microsoft 保存回放 30 天，此后按比例抽样保留最多 9 个月；热力图汇总数据最多保留 9 个月。你同意之前不会加载 Clarity 脚本，可通过上面同一入口更改选择。Microsoft 按其隐私声明处理这些数据。
为了解用户从哪个网站访问、产品是否稳定、以及字幕功能是否被实际使用，我们会记录来源域名，以及公开页面访问时浏览器实际提供的外部来源网址（可包含路径和经过筛选的内容标识、渠道查询参数，移除账号密码、片段、搜索词和其它查询参数）与访问 IP 地址、一个随机生成并可随时重置的设备标识、有限的错误诊断信息（错误类型与去重指纹，不含页面内容）、用于排障的粗粒度媒体技术信息（本地文件声明格式与大小分桶、时长与画面档位；本地音轨解析成功时的编码类别、采样率类别和声道数；MP4 音轨配置读取失败时所选音轨条目、配置读取状态和索引布局的有限分类；MP4 音频索引校验失败时索引布局和失败原因的有限分类），以及聚合的字幕可用播放时长（估计值：只统计译文窗口就绪后的向前播放秒数，不含暂停、后台或拖动进度条）与对核心控件的点击动作枚举（如开始/停止翻译、切换语言或字幕来源、切换显示模式、导出等）。这些数据仅用于渠道、可靠性与产品使用分析；当你在登录状态下使用服务时，服务端会把上述统计关联到你的账户，用于在账户页向你本人及运营人员展示使用情况。来源网址与访问 IP 明细保留 30 天，仅运营管理看板可见；网页、Local Player 与浏览器扩展上报的其他统计与诊断事件也会记录发送请求的 IP 地址，同样 30 天后清除。如果你在官网点击下载 App（安卓 APK、App Store 或页面上的 App 按钮）或扫码打开下载页后在 App 中注册，注册时我们会把 App 登录所用的网络（IPv4 地址相同，或 IPv6 前 64 位相同）与 48 小时内在官网有过上述操作、且在该网络中唯一的浏览器设备对应起来，把该设备最早记录到的来源网站或渠道标签记为账号的注册来源并标明为推断（扫码下载时可再对应到同一网络中唯一的另一台访问设备）；对应不唯一时不记录。保存来源结论与匹配到的浏览器设备标识（扫码时至多两台：扫码的手机与出示二维码的电脑），以便运营后台在该账号下显示这些设备在官网的访问（例如看过的页面、价格页与点过的按钮）；不另存匹配所用的 IP 对应关系；浏览器可能只提供来源域名，无法还原被浏览器移除的路径。明细过期后不再展示并在下一次清理时删除，备份可能按其生命周期保留旧副本。除下文「故障报告」所述通用网页翻译的页面网址外，这些分析事件不包含当前播放视频网址、标题、文件名、媒体标识或字幕正文；来源网址自身可能指向外部视频页面。这些数据不向其他账户展示，也不用于广告投放、账号授权或计费。
新版本还记录每次观看随机生成的标识、宿主类别、字幕来源类别、启动至首字幕的同页耗时，以及前台译文观看、字幕缺口、已确认无内容与媒体等待的聚合秒数。展示确认只表示浏览器完成渲染后的展示机会，不证明人眼看到或理解。观看与点击事件及新版本首字幕事件保留最多 31 天；旧版本首字幕与其他分析事件保留最多 180 天。
故障报告
服务质量数据：开始翻译后的首条字幕等待时长、播放中等字幕或缺字幕的秒数、失败环节与错误码、客户端版本。用于保证翻译服务质量，不受「使用统计」开关控制；不含网址、视频标题或字幕正文。
为了排查你遇到的问题，浏览器扩展和 App 在某个操作失败时（例如登录、选择文件、获取字幕、读取音频、扩展内部通信、上传或等待字幕任务失败，也包括随后已由服务端补救成功的失败），会发送一份故障报告：失败发生在哪个环节、错误类别和错误码、HTTP 状态、耗时和重试次数、网站类别（YouTube、X、Bilibili 或其他网站）、客户端版本和安装渠道、浏览器类别，以及本次观看的随机编号。在「其他网站」上使用通用网页翻译时，为了能直接打开出问题的页面排查，故障报告和每次点击翻译的结果记录还会包含该页面的网址（不含 # 之后的片段，但保留以 #/ 开头的页面路由；也不含名称看起来像令牌、签名、会话、密码、验证码、邮箱或手机号的查询参数）和页面所在网站的主域名，准备视频失败时另含媒体文件所在的主机名。这些网址随所在记录最长保留 180 天，不受下文 31 天的限制。除此之外，故障报告不含网页地址、视频地址或视频标识、标题、文件名、字幕文本、音频或原始错误信息。登录时会关联你的账户，只有授权运营人员能在后台查看，仅用于排查和修复问题，保留 31 天。故障报告只在出错时发送，不受「使用统计」开关控制；如果不希望发送，可以卸载扩展或 App。
你的选择
你可以停止翻译、退出登录、卸载扩展或 App，或在订阅管理中取消续费。
你可以在账户页（或 App 的「设置 → 账号 → 删除账号」）删除账号。删除立即生效：账号停用，所有设备退出登录；有进行中的 Stripe 订阅时须先取消；Apple 订阅不阻止删除，但删除账户不会取消 Apple 自动续费，请在 Apple 订阅管理中另行取消，剩余字幕点作废、不退款。删除后我们会把登录邮箱再保留 90 天，仅用于排查滥用（例如反复注册领取免费点数），之后删去，只保留无法还原的邮箱摘要，用于识别同一邮箱重新注册时不再赠送点数；订单与付款记录、点数流水、使用统计与诊断数据以账号编号继续保留，用于账务、法律义务与产品分析，90 天后不再关联你的邮箱；按视频共享的字幕不随账号删除。「希望支持」网站的记录、退订偏好与「网站已支持」站内消息随账号一并删除。Apple 订阅的必要交易标识与不可迁移账户归属在删除后保留，以对账并防止错误恢复给另一账户。付款服务商 Stripe 与 Apple 会按其法律义务保留你付款时使用的邮箱；为防止滥用而记录的登录验证码请求（邮箱与 IP）在 35 天后自动清除。
需要查询或更正账户资料，请联系 [email protected]；为核实请求，可能需要确认账户邮箱。