靠架构而不是靠承诺的私密转写应用

大多数隐私主张,是一家公司关于如何处置它已经持有的数据的承诺。这一条不是。这是关于数据在哪里的陈述:在你的设备上,由你设备上的模型转成文字,链路里没有服务器,而且这一切都不挂在任何账号下面。

一个只能相信的承诺,和一个你能亲手验证的设计

每一家托管转写服务都有隐私政策,而且多数写得诚恳。但政策是关于公司已经持有的数据如何处置的承诺:它可以被修订,可以被攻破,可以被强制要求交出,而且只在公司还存在时有效。一个从不传输录音的应用,做的是另一种主张 —— 另一端没有东西可以被误用、被传唤或被泄露,因为什么都没发过去。而且你不必只听我们说:把设备切到飞行模式,看着文字稿照样出现。

没有账号,所以没有档案: 没有注册、没有邮箱、没有密码。应用里根本没有「你是谁」这个概念,因此录音也无从与身份挂钩。
声纹留在它诞生的地方: 要跨录音认出同一个人,就需要一份关于这个人声音的模型。那是生物特征数据,它被保存在生成它的那台设备上,不会被上传。
是你的 iCloud,不是我们的云: iCloud 同步是可选的,在你开启之前不会运行。开启后,文件通过你自己的私人 iCloud 账户同步 —— 我们看不到。
没有要审的供应商,也没有要谈的合同: 客户通话、诊疗对话、人事面谈、需要保护的信源:没有第三方被引入,因此既没有要评估的供应商,也没有要签的数据处理协议。

并排来看

本机应用 vs 云端转写服务

Murmur 与典型云端转写服务的对比
项目	Murmur(本机)	典型云端服务
转写在哪里发生	在你自己的设备上	在服务商的服务器上
录音是否上传	否	是 —— 它就是这么工作的
是否需要账号	不需要	通常需要
没信号能不能用	能,下载一次模型之后	不能
说话人标注	本机完成,跨录音记住同一个人	服务端,取决于套餐是否包含
文字稿翻译	本机逐行翻译	服务端,若有提供
转写手上已有的文件	可以,在本机处理	可以,需先上传
导出格式	纯文本、Markdown、PDF、Word	因套餐而异
还有谁能读到文字稿	除非你分享,否则没有别人	你和服务商
服务故障或停运时	毫无影响,一切都在本地	你会失去访问权

「本机」要怎样才算数

这个词被用得很松。有的应用说自己是本机的,因为音频在上传前先加密;有的则只是把一小部分工作 —— 比如判断有没有人在说话 —— 放在本地,识别本身依然在远端跑。Murmur 指的是整条链路:录音、语音识别、说话人分离、已知声音的名录、翻译、搜索和导出,全部在你的设备上执行;在你决定分享之前,这份文字稿不存在于任何别的地方。

我们能看到什么,又看不到什么

我们看不到你的录音、你的文字稿、你给说话人起的名字,也看不到你录了多少,因为这些都不会传给我们。反过来,值得说清楚而不是含糊带过的是:App Store 和 Google Play 会告诉我们有多少人下载了这个应用;下载一个语音模型也和任何别的下载一样,是一次网络请求。这两件事都不携带你所录内容的任何部分。