Persona

LAPLACE Persona 為本機優先的桌面應用程式。目前版本不設使用者帳號系統；除選用的 錯誤回報 機制外，Persona 不會收集、上傳或分析任何個人身分資訊、臉部捕捉資料、Live2D/VRM 模型資產，亦不包含任何使用者行為分析埋點。應用程式自身發起的外部請求僅限於版本更新檢查與錯誤診斷回報（支援完全關閉）。其他網路請求均由使用者自行新增的圖層內容或已連線的第三方外掛擴充程式觸發，完整清單詳見 對外請求。

• 處理程序層級沙箱隔離：渲染處理程序全程於嚴格受限的沙箱環境中執行，啟用 Context Isolation 並徹底停用 Node.js 原生整合，僅透過具備型別安全驗證與白名單限制的 IPC 橋接層與主處理程序通訊。
• 檔案系統直接存取攔截：模型與素材檔案統一透過自訂的 persona: 協定安全提供，基於不透明資源識別碼（Opaque Identifiers）解析實際檔案，並在核心層面對符號連結進行嚴格的目錄邊界驗證（而非脆弱的路徑字串比對）。渲染處理程序始終無法獲知本機絕對路徑。
• 素材白名單註冊機制：場景僅透過註冊表 ID 參照素材。只有透過系統檔案對話方塊選取或由 外掛目錄 註冊的路徑才允許存取，防止渲染處理程序透過修改設定讀取任意本機檔案。
• 設定與金鑰本機儲存：視窗狀態、場景設定、捕捉設定及 API 授權設定均完整儲存在本機磁碟；敏感權杖存入作業系統層級安全憑證存放庫（如 Keychain / Credential Manager）。第三方外掛透過 API 寫入的 儲存資料 同樣僅儲存在本機，依 API Key 嚴格隔離，撤銷對應金鑰時關聯資料將同步徹底清除。
• 診斷日誌本機留存：執行日誌與診斷警告均寫入設定目錄下的 logs/main.log，絕不會自動上傳。日誌可能包含個人資訊，請僅在開發者要求時提供，切勿公開張貼。為防止直播疊加層 URL 中攜帶的身分憑證外洩，網頁圖層的日誌僅記錄內部 ID 與目標主機名稱，URL 查詢參數全程去識別化。
• 版本歷史本機留存：為模型開啟 版本歷史 後，儲存的版本僅存於設定目錄下的 history/ 資料夾，不會上傳；Persona 不會推送或擷取這些 Git 存放庫，提交作者固定為 LAPLACE Persona，不會寫入系統使用者名稱。
• 捕捉資料區域網路限定：臉部捕捉與姿勢捕捉接收端僅在區域網路（LAN）內與裝置通訊，通訊資料絕不轉發至外部公網。
• 攝影機與麥克風資料零持久化：攝影機視訊串流與麥克風音訊串流僅在應用程式記憶體中即時處理，不會錄製、儲存或上傳原始畫面與音訊，詳見 攝影機與麥克風。
• 外掛 API 預設停用：外掛 API 採用預設關閉策略；開啟後預設僅繫結本機回送位址（Loopback）並強制要求 API Key 驗證。僅在使用者主動啟用區域網路存取選項後，才允許外部裝置連線。
• 更新檢查與內容目錄透明化：Persona 僅在啟動後及使用者點擊版本號時向 downloads.vrp.moe 請求靜態版本資訊清單，並在開啟控制面板或檢查更新時向 marketplace.laplace.live 請求官方內容目錄清單。兩項請求均不攜帶任何裝置識別碼、使用者資訊或已安裝清單；應用程式安裝套件與目錄素材壓縮檔僅在使用者主動確認下載或更新後才從 downloads.vrp.moe 取得。
• 選用錯誤回報機制：當機及嚴重執行階段例外狀況會回報至診斷系統以輔助疑難排查。使用者可隨時在設定中關閉 傳送錯誤回報 開關，徹底停用回報服務。

對外請求複製錨點連結

下表列出 Persona 的對外請求規範。版本更新檢查與錯誤回報由應用系統發起；網頁圖層與音訊串流請求則來自使用者載入的內容或已授權的第三方外掛：

應用程式介面的渲染指令碼、字型庫及向量圖示已全部內建於本機安裝套件中，無需發起任何遠端載入請求。文件連結均呼叫系統預設外部瀏覽器開啟。動態捕捉資料接收 及 外掛 API 僅在本機設定的裝置連接埠之間直連通訊。

網路攝影機追蹤 與 麥克風口型同步 同樣執行於完全離線的運算環境中。攝影機追蹤基於按需下載的 Google MediaPipe 附加元件實作（從 downloads.vrp.moe 下載並驗證 SHA-256），該程式庫在初始化載入偵測模型時預設會嘗試向 odml.pa.googleapis.com 回報遙測統計；Persona 在網路攔截層對該請求執行強制取消，確保零資料外發。

更新檢查複製錨點連結

更新檢查僅取得對所有用戶端完全一致的靜態 JSON 清單檔案，新版本判定邏輯完全在本機執行，請求標頭中不附帶任何裝置唯一識別碼或使用者特徵。更新說明一併包含在該清單中，開啟更新詳細資訊面板無需額外發起請求；安裝套件僅在使用者點擊更新按鈕後開始下載。

應用程式目前未提供更新檢查的介面開關。若需完全阻斷檢查，可在網路防火牆中封鎖 downloads.vrp.moe。Windows 平台的 .msi 企業部署版本不包含自動更新功能，因此完全不會發起版本檢查請求。

錯誤回報複製錨點連結

診斷報告彙總傳輸至 Sentry 位於美國的專用資料收集端點，詳見 Sentry 隱私權政策。渲染處理程序擷取的例外狀況經由主處理程序集中去識別化並彙總。關閉 傳送錯誤回報 開關後，應用程式將停用 Sentry 用戶端，並停止收集主處理程序及渲染處理程序的所有事件。該設定儲存於 settings.json 中，修改後在下次啟動時生效。

錯誤回報中嚴格剔除使用者帳號、姓名、實體路徑等個人特徵，且已全域停用螢幕擷取與螢幕錄影功能。呼叫堆疊涉及的本機檔案路徑已統一重寫為應用程式相對路徑，防止洩漏作業系統的使用者目錄結構。由於近期事件軌跡可能記錄圖層操作，若所新增的直播疊加層 URL 中包含驗證權杖等敏感參數，建議主動關閉錯誤回報功能。

自行設定的外部連線複製錨點連結

網頁圖層 執行於獨立的沙箱化瀏覽器工作階段（Session）中，頁面將直接與目標伺服器建立網路連線，目標伺服器可記錄用戶端的外網 IP 位址。Persona 不會對該網路流量提供代理。各網頁圖層的工作階段環境相互隔離且僅駐留於記憶體，隨應用程式關閉即時清空；所有系統層級硬體權限請求（如攝影機、麥克風、地理位置）均強制拒絕。網路請求的 User-Agent 標頭基於標準 Chrome 識別碼，並附帶 LAPLACE-Persona/<版本> 擴充欄位。

speech.play 支援由外掛動態載入音訊內容。當外掛傳入 https: 網路協定位址時，Persona 將透過網路取得該音訊；若傳入 data:audio/* 內嵌 Base64 資料，則完全在本機記憶體中解析播放，不產生網路請求。

攝影機與麥克風複製錨點連結

網路攝影機追蹤 與 麥克風口型同步 預設處於關閉狀態。使用者開啟後，兩者均嚴格在本機應用程式記憶體中對視訊串流與音訊串流進行即時數學運算與特徵擷取。Persona 不會錄製、儲存或上傳原始畫面與音訊串流，不會向外掛 API 暴露原始音訊視訊資料，也不會透過揚聲器播放麥克風收取的音訊。系統僅向下游管線傳遞推導出的離散數值（如頭部旋轉、臉部表情係數、骨骼關節點、音量分貝與母音口型權重），上述即時數值同樣不予儲存。

系統設定中僅記錄所選硬體裝置的識別碼及調整參數；攝影機追蹤的即時校準參數不會寫入磁碟。麥克風聲音校準同樣不保留原始錄音：系統對 2 秒的校準音訊進行短時傅立葉轉換，僅擷取並保留每影格的 12 維梅爾頻率倒譜係數（MFCC），隨裝置名稱寫入 設定目錄 下的 settings.json 中。該資料為抽象的聲學頻譜特徵而非音訊訊號，長期儲存於本機裝置中，直至使用者點擊重設設定檔清空對應麥克風的校準資料。

關閉啟用攝影機追蹤將立即釋放作業系統攝影機硬體控制代碼。若啟用口型同步開啟，或某個使用中的 自動化 綁定了麥克風音量觸發條件，音訊輸入串流將保持監聽狀態（該觸發條件獨立於口型同步運作）。若需在實體層面上完全阻斷存取，可在作業系統的權限控制面板中撤銷 Persona 對攝影機或麥克風的存取授權。

經使用者授權的 外掛 API 用戶端可控制追蹤功能的啟閉、列舉音訊輸入裝置，並訂閱即時的捕捉係數及音量包絡，但無法接觸原始音訊視訊串流或校準頻段資料。在極少見的原生處理程序當機情境下，選用的 錯誤回報 產生的記憶體傾印可能包含當機時刻記憶體堆疊中的殘留資料片段。

LAPLACE Persona Tracker（iOS）複製錨點連結

本節為 iPhone 及 iPad 行動應用程式 LAPLACE Persona Tracker 的隱私權政策。該應用程式基於 Apple ARKit 臉部追蹤技術（TrueDepth API），為執行於電腦端的 LAPLACE Persona 提供高精度臉部動態捕捉資料。應用程式完全不設帳號系統，無需註冊登入，亦不會向 LAPLACE 伺服器發送任何網路請求。桌面端涉及的版本檢查與錯誤回報服務均不執行於 iOS 行動端。

應用程式收集的臉部資料複製錨點連結

在取得系統相機權限後，應用程式利用前置原深感測相機透過 ARKit 在本機計算並擷取以下臉部捕捉參數：

• 52 組標準臉部表情權重係數（涵蓋眼球注視點、眉毛、口型及舌頭動作）；
• 頭部在三維空間中的旋轉四元數、位置位移向量，以及人臉偵測信賴度；
• 臉部拓撲幾何網格與眼球中點座標（僅用於在行動端螢幕繪製即時預覽線框）；
• 使用者點擊校正時產生的中性參考基準姿態（4 個旋轉係數與 3 個位置位移分量）。

應用程式絕不錄製、儲存或外發相機的原始畫面、視訊串流或深度感知資料，亦絕不將臉部資料上傳至 LAPLACE 伺服器或任何第三方機構。

臉部資料的用途複製錨點連結

臉部參數僅用於在行動端介面呈現即時除錯線框、建立使用者中性校準姿態，並透過區域網路傳輸至使用者指定的電腦端，用以即時驅動 LAPLACE Persona 中的虛擬形象及其自動化工作流程。臉部資料絕不用於生物特徵辨識、身分驗證、廣告行銷、資料探勘、使用者畫像構建或機器學習模型訓練。

權限與知情同意複製錨點連結

應用程式在呼叫相機硬體及存取區域網路前，均會主動喚起 iOS 原生系統權限請求。臉部捕捉資料僅在使用者主動點擊連線並選定目標主機後，才開始離開行動裝置。應用程式將儲存選定主機的網路設定，並在後續執行期間持續串流發送臉部資料，直至使用者手動中斷連線。

應用程式不會申請麥克風、相簿、聯絡人、定位或健康等無關系統權限。若缺少相機權限，臉部追蹤功能將無法運作；若缺少區域網路存取權限，應用程式僅支援螢幕本機預覽，無法將資料同步至電腦端。

使用者可隨時行使撤回同意的權利：

• 點擊變更 → 中斷連線立即停止向遠端發送資料並清空連線憑據，本機線框預覽繼續運作；
• 在 iOS 系統「設定」面板中關閉應用程式的「相機」權限，臉部捕捉引擎將立即終止；
• 再次點擊校正即可覆寫已儲存的中性基準姿態，解除安裝應用程式則會將其刪除。應用程式不提供單獨的重設選項，也不會把該姿態傳送出 iPhone。

資料共享與第三方策略複製錨點連結

應用程式僅向使用者指定的、執行 LAPLACE Persona 的本機電腦傳輸捕捉參數：包含 52 組表情係數、頭部旋轉與位移、人臉偵測旗標以及基礎通訊協定序號。系統絕不向外發送影像訊框、視訊串流、深度圖、臉部網格模型或眼球物理座標。電腦端的 LAPLACE Persona 完全遵守本隱私權政策，相關資料僅在記憶體中作為渲染輸入處理，不會寫入磁碟。應用程式用於區域網路節點搜尋的 UDP 廣播僅攜帶裝置型號識別碼（如 iPhone），不包含任何臉部資訊。

iOS 用戶端內未整合任何第三方 SDK、廣告追蹤器、統計分析服務或第三方當機捕獲元件，絕不與任何資料經紀商或廣告平台共享或出售臉部資料。

在電腦端，僅當使用者開啟外掛 API 並授予特定用戶端連線權限後，第三方工具才可間接取得即時的捕捉數值；該情境受使用者選擇的第三方軟體獨立隱私權政策約束。

臉部資料的儲存與生命週期複製錨點連結

在資料捕捉執行期間，臉部資料僅駐留於行動裝置及接收端電腦的揮發性記憶體（RAM）中，兩個應用程式均不會建立任何歷程記錄資料庫。iOS 應用程式在本機儲存的唯一臉部資料是校準產生的中性參考姿態，儲存於裝置的偏好設定中。應用程式不提供雲端同步功能，但根據使用者的系統層級備份設定，該設定可能包含於加密的 iCloud 備份或 iTunes/Finder 本機備份中。LAPLACE 無權存取此類備份映像。

保留與清除機制複製錨點連結

• 即時臉部資料：僅在應用程式執行及捕捉活躍期間留存於揮發性記憶體中，應用程式結束或處理程序暫停時即刻從記憶體徹底釋放；
• 校準基準姿態：持續儲存在本機，直至使用者重新校正將其覆寫或解除安裝應用程式；應用程式不提供單獨的重設選項。使用 iOS「卸載 App」（Offload App）功能將保留該設定；系統備份中的複本保留至對應備份集被使用者刪除。

LAPLACE 伺服器端不持有、不轉存任何臉部資料。如需行使個人資訊相關權益，請寄信至 s@laplace.live。

其他設定資訊複製錨點連結

除中性基準姿態外，應用程式僅在本機儲存最近連線的主機名稱與 IP 位址，以及省電模式和正規化臉部網格兩項功能開關狀態。上述資料均儲存於本機偏好設定中，在使用者主動變更或解除安裝應用程式前保持有效。應用程式不收集姓名、電子郵件地址或聯絡電話等任何身分憑證，不進行跨應用程式或跨網站使用者追蹤，亦絕不將臉部參數與外部資料來源進行關聯對應。

通訊安全複製錨點連結

臉部捕捉資料僅定向發送至使用者指定的內部網路主機位址。該通訊連結通常依託於使用者受控的專用區域網路（Wi-Fi 或實體專網），iOS 系統強制要求獲得區域網路權限。由於原始 UDP 資料串流未採用端對端加密，建議使用者僅在受信任的專用私人網路中進行動態捕捉串流。