Persona

LAPLACE Persona 为本地优先的桌面应用程序。当前版本不设用户账户系统；除可选的 错误报告 机制外，Persona 不会收集、上传或分析任何个人身份信息、面部捕捉数据、Live2D/VRM 模型资产，亦不包含任何用户行为分析埋点。应用自身发起的外部请求仅限于版本更新检查与错误诊断上报（支持完全关闭）。其他网络请求均由用户自行添加的图层内容或已连接的第三方扩展程序触发，完整清单详见 对外请求。

• 进程级沙箱隔离：渲染进程全程运行于严格受限的沙箱环境中，开启 Context Isolation 并彻底禁用 Node.js 原生集成，仅通过经过类型安全校验、白名单受限的 IPC 桥接层与主进程通信。
• 文件系统直接访问拦截：模型与素材文件统一通过自定义的 persona: 协议安全提供，基于不透明资源标识符（Opaque Identifiers）解析实际文件，并在内核层面对符号链接进行严格的目录边界包含性校验（而非脆弱的路径字符串比对）。渲染进程始终无法获知本地绝对路径。
• 素材白名单注册机制：场景仅通过注册表 ID 引用素材。只有通过系统文件对话框选择或由 插件目录 注册的路径才允许访问，防止渲染进程通过修改配置读取任意本地文件。
• 配置与密钥本地保存：窗口状态、场景配置、捕捉配置及 API 授权配置均完整保存在本地磁盘；敏感 Token 存入操作系统级安全凭证存储库（如 Keychain / Credential Manager）。第三方插件通过 API 写入的 存储数据 同样仅保存在本地，按 API Key 严格隔离，吊销对应密钥时关联数据将同步彻底清除。
• 诊断日志本地留存：运行日志与诊断警告均写入配置目录下的 logs/main.log，绝不会自动上传。日志可能包含个人信息，请仅在开发者要求时提供，切勿公开发布。为防止直播叠加层 URL 中携带的身份凭证外泄，网页图层的日志仅记录内部 ID 与目标主机名，URL 查询参数全程脱敏。
• 版本历史本地留存：为模型开启 版本历史 后，保存的版本仅存于配置目录下的 history/ 文件夹，不会上传；Persona 不会推送或拉取这些 Git 仓库，提交作者固定为 LAPLACE Persona，不会写入系统用户名。
• 捕捉数据局域网限定：面部捕捉与姿态捕捉接收端仅在本地网络（LAN）内与设备通信，通信数据绝不转发至外部公网。
• 摄像头与麦克风数据零持久化：摄像头视频流与麦克风音频流仅在应用内存中实时处理，不会录制、保存或上传原始画面与音频，详见 摄像头与麦克风。
• 插件 API 默认停用：插件 API 采用默认关闭策略；开启后默认仅绑定本地回环地址（Loopback）并强制要求 API Key 鉴权。仅在用户主动启用局域网访问选项后，才允许外部设备接入。
• 更新检查与内容目录透明化：Persona 仅在启动后及用户点击版本号时向 downloads.vrp.moe 请求静态版本清单，并在打开控制面板或检查更新时向 marketplace.laplace.live 请求官方内容目录清单。两项请求均不携带任何设备标识、用户信息或已安装列表；应用安装包与目录素材压缩包仅在用户主动确认下载或更新后才从 downloads.vrp.moe 获取。
• 可选错误报告机制：崩溃及严重运行时异常会上报至诊断系统以辅助故障排查。用户可随时在设置中关闭 发送错误报告 开关，彻底停用上报服务。

对外请求复制锚点链接

下表列出 Persona 的对外请求规范。版本更新检查与错误报告由应用系统发起；网页图层与音频流请求则来自用户加载的内容或已授权的第三方插件：

应用界面的渲染脚本、字体库及矢量图标已全部内置在本地安装包中，无需发起任何远程加载请求。文档链接均调用系统默认外部浏览器打开。捕捉数据接收 及 插件 API 仅在本地配置的设备端口之间直连通信。

摄像头追踪 与 麦克风口型同步 同样运行于完全离线的计算环境中。摄像头追踪基于按需下载的 Google MediaPipe 附加组件实现（从 downloads.vrp.moe 下载并校验 SHA-256），该库在初始化加载检测模型时默认会尝试向 odml.pa.googleapis.com 上报遥测统计；Persona 在网络拦截层对该请求执行强制取消，确保零数据外发。

更新检查复制锚点链接

更新检查仅获取对所有客户端完全一致的静态 JSON 清单文件，新版本判定逻辑完全在本地执行，请求头中不附带任何设备唯一标识或用户特征。更新日志一并包含在该清单中，打开更新详情面板无需额外发起请求；安装包仅在用户点击更新按钮后开始下载。

应用目前不提供更新检查的界面开关。如需完全阻断检查，可在网络防火墙中屏蔽 downloads.vrp.moe。Windows 平台的 .msi 企业部署版本原生不支持静默自动更新，因此完全不会发起版本检查请求。

错误报告复制锚点链接

诊断报告汇总传输至 Sentry 位于美国的专用数据收集节点，详见 Sentry 隐私政策。渲染进程捕获的异常经由主进程集中脱敏并聚合。关闭 发送错误报告 开关后，应用将注销 Sentry 客户端，并停止收集主进程及渲染进程的所有事件。该设置保存在 settings.json 中，修改后在下次启动时生效。

错误报告中严格剔除用户账户、姓名、物理路径等个人特征，且已全局禁用屏幕捕获与录屏功能。调用栈涉及的本地文件路径已统一重写为应用相对路径，防止泄露操作系统的用户目录结构。由于近期事件轨迹可能记录图层操作，若所添加的直播叠加层 URL 中包含鉴权 Token 等敏感参数，建议主动关闭错误报告功能。

自行配置的外部连接复制锚点链接

网页图层 运行于独立的沙箱化浏览器会话（Session）中，页面将直接与目标服务器建立网络连接，目标服务器可记录客户端的外网 IP 地址。Persona 不会对该网络流量提供代理。各网页图层的会话环境相互隔离且仅驻留于内存，随应用程序关闭即时清空；所有系统级硬件权限请求（如摄像头、麦克风、地理位置）均强制拒绝。网络请求的 User-Agent 标头基于标准 Chrome 标识，并附带 LAPLACE-Persona/<版本> 扩展字段。

speech.play 支持由插件动态注入音频内容。当插件传入 https: 网络协议地址时，Persona 将通过网络获取该音频；若传入 data:audio/* 内联 Base64 数据，则完全在本地内存中解析播放，不产生网络请求。

摄像头与麦克风复制锚点链接

摄像头追踪 与 麦克风口型同步 默认处于关闭状态。用户开启后，两者均严格在本地应用内存中对视频流与音频流进行实时数学运算与特征提取。Persona 不会录制、保存或上传原始画面与音频流，不会向插件 API 暴露原始音视频数据，也不会通过扬声器回放麦克风拾取的音频。系统仅向下游管线传递推导出的离散数值（如头部旋转、面部表情系数、骨骼关节点、音量分贝与元音口型权重），上述实时数值同样不予保存。

系统设置中仅记录所选硬件设备的标识符及调整参数；摄像头追踪的实时校准参数不会写入磁盘。麦克风声音校准同样不保留原始录音：系统对 2 秒的校准音频进行短时傅里叶变换，仅提取并保留每帧的 12 维梅尔频率倒谱系数（MFCC），随设备名称写入 配置目录 下的 settings.json 中。该数据为抽象的声学频谱特征而非音频信号，长期存储于本地设备中，直至用户点击重置配置清空对应麦克风的调校数据。

关闭启用摄像头追踪将立即释放操作系统摄像头硬件句柄。若启用口型同步开启，或某个活动的 自动化 绑定了麦克风音量触发器，音频输入流将保持监听状态（该触发器独立于口型同步运行）。如需在物理层面上完全阻断访问，可在操作系统的权限控制面板中撤销 Persona 对摄像头或麦克风的访问授权。

经用户授权的 插件 API 客户端可控制追踪功能的启停、枚举音频输入设备，并订阅实时的捕捉系数及音量包络，但无法接触原始音视频流或校准频段数据。在极少见的原生进程崩溃场景下，可选的 错误报告 生成的内存转储可能包含崩溃时刻内存堆栈中的残留数据切片。

LAPLACE Persona Tracker（iOS）复制锚点链接

本节为 iPhone 及 iPad 移动应用 LAPLACE Persona Tracker 的隐私政策。该应用基于 Apple ARKit 面部追踪技术（TrueDepth API），为运行于电脑端的 LAPLACE Persona 提供高精度面部动作捕捉数据。应用完全不设账户系统，无需注册登录，亦不会向 LAPLACE 服务器发送任何网络请求。桌面端涉及的版本检查与错误报告服务均不运行于 iOS 移动端。

应用收集的面部数据复制锚点链接

在取得系统相机权限后，应用利用前置原深感摄像头通过 ARKit 在本地计算并提取以下面部捕捉参数：

• 52 组标准面部表情权重系数（覆盖眼球注视点、眉毛、口型及舌部动作）；
• 头部在三维空间中的旋转四元数、位置位移向量，以及人脸检测置信度；
• 面部拓扑几何网格与眼球中点坐标（仅用于在移动端屏幕绘制实时预览线框）；
• 用户点击校准时生成的中性参考基准姿态（4 个旋转系数与 3 个位置位移分量）。

应用绝不录制、保存或外发摄像头的原始画面、视频流或深度感知数据，亦绝不将面部数据上传至 LAPLACE 服务器或任何第三方机构。

面部数据的用途复制锚点链接

面部参数仅用于在移动端界面呈现即时调试线框、建立用户中性标定姿态，并通过局域网传输至用户指定的电脑端，用以实时驱动 LAPLACE Persona 中的虚拟形象及其自动化流程。面部数据绝不用于生物特征识别、身份认证、广告营销、数据挖掘、用户画像构建或机器学习模型训练。

权限与知情同意复制锚点链接

应用在调用摄像头硬件及访问本地局域网前，均会主动唤起 iOS 原生系统权限请求。面部捕捉数据仅在用户主动点击连接并选定目标主机后，方开始离开移动设备。应用将保存选定主机的网络配置，并在后续运行期间持续串流发送面部数据，直至用户手动断开连接。

应用不会申请麦克风、相册、通讯录、定位或健康等无关系统权限。若缺少相机权限，面部追踪功能将无法工作；若缺少本地网络访问权限，应用仅支持屏幕本地预览，无法将数据同步至电脑端。

用户可随时行使撤回同意的权利：

• 点击更改 → 断开连接立即停止向远端发送数据并清空连接凭据，本地线框预览继续工作；
• 在 iOS 系统「设置」面板中关闭应用的「相机」权限，面部捕捉引擎将立即终止；
• 再次点击校准即可覆盖已保存的中性基准姿态，卸载应用则会将其删除。应用不提供单独的重置选项，也不会把该姿态发送出 iPhone。

数据共享与第三方策略复制锚点链接

应用仅向用户指定的、运行 LAPLACE Persona 的本地电脑传输捕捉参数：包含 52 组表情系数、头部旋转与位移、人脸检测标志位以及基础通信协议序号。系统绝不向外发送图像帧、视频流、深度图、面部网格模型或眼球物理坐标。电脑端的 LAPLACE Persona 完全遵守本隐私政策，相关数据仅在内存中作为渲染输入处理，不会写入磁盘。应用用于局域网节点发现的 UDP 广播仅携带设备型号标识（如 iPhone），不包含任何面部信息。

iOS 客户端内未集成任何第三方 SDK、广告跟踪器、统计分析服务或第三方崩溃捕获组件，绝不与任何数据经纪商或广告平台共享或出售面部数据。

在电脑端，仅当用户开启插件 API 并授予特定客户端连接权限后，第三方工具才可间接获取实时的捕捉数值；该场景受用户选择的第三方软件独立隐私政策约束。

面部数据的存储与生命周期复制锚点链接

在数据捕捉运行期间，面部数据仅驻留于移动设备及接收端电脑的易失性内存（RAM）中，两个应用均不会建立任何历史记录数据库。iOS 应用在本地保存的唯一面部数据是校准生成的中性参考姿态，存储在设备的偏好设置中。应用不提供云端同步功能，但根据用户的系统级备份设置，该配置可能包含于加密的 iCloud 备份或 iTunes/Finder 本地备份中。LAPLACE 无权访问此类备份镜像。

保留与清除机制复制锚点链接

• 实时面部数据：仅在应用运行及捕捉活跃期间留存于易失性内存中，应用退出或进程挂起时即刻从内存彻底释放；
• 校准基准姿态：持续保存在本地，直至用户重新校准将其覆盖或卸载应用；应用不提供单独的重置选项。使用 iOS「卸载 App」（Offload App）功能将保留该配置；系统备份中的副本保留至对应备份集被用户删除。

LAPLACE 服务器端不持有、不转存任何面部数据。如需行使个人信息相关权益，请致信 s@laplace.live。

其他配置信息复制锚点链接

除中性基准姿态外，应用仅在本地保存最近连接的主机名与 IP 地址，以及节能模式和归一化面部网格两项功能开关状态。上述数据均保存于本地偏好设置中，在用户主动更改或卸载应用前保持有效。应用不收集姓名、电子邮箱或联系电话等任何身份凭证，不进行跨应用或跨网站用户跟踪，亦绝不将面部参数与外部数据源进行关联映射。

通信安全复制锚点链接

面部捕捉数据仅定向发送至用户指定的内网主机地址。该连接通常通过受控的私有局域网（Wi-Fi 或有线网络）传输，iOS 系统强制要求获得本地网络权限。由于原始 UDP 数据流未采用端到端加密，建议仅在受信任的专用私有网络中进行面部捕捉传输。