我们的隐私承诺：为什么你的文件永不离开设备

隐私政策常常是十页法律术语，归结为"我们尽力"。对 Ai2Done 我们想要更简单的东西：一种产品架构，让你的大部分文件无法被收集——不是因为我们抵御诱惑，而是因为它们从不经过我们可控的路径。本文解释这意味着什么、边界在哪里，以及在 2026 年我们如何思考"信任"。

旧的交易——以及我们为何拒绝

传统在线工具要求你上传文件以"处理"。哪怕意图善良的公司也要面对数据泄露、传票、配置错误的桶、以及缓慢漂移的数据保留策略。用户只能祈祷每一方都保持完美。我们换了个问题问：如果敏感步骤本就不需要祈祷呢？

本地优先处理

对我们核心的文档、图像、视频工作流，处理在你的浏览器里通过 WebAssembly 与客户端运行时进行。你的 PDF 合并、视频裁剪、ONNX 增强——字节留在你的机器上，CPU（或 GPU）干活。我们的服务器交付 HTML、CSS、JavaScript 和 WASM 二进制——与提供一个静态站点的方式一致——而不是你的机密附件。

这个设计选择不是噱头，而是 Ai2Done 与"处理 HR 文件、医疗文书、未发布创作、或任何不会随手扔进随机云转换器的内容"用户之间关系的脊梁。

还有什么仍接触服务器（以及为什么）

没有现代 Web 应用 100% 离线。你可能要登录、搜索工具目录、加载本地化字符串。这些交互会产生元数据——例如账号存在——而不是你合并 PDF 的内容。我们让这部分面尽量小、且与变换管线分离。

我们说"你的文件永不离开设备"指的是该操作的文件字节不被上传处理。如果某功能天然需要服务端工作，我们会响亮标注。我们的默认偏向本地。

安全不止于隐私

没有安全的隐私不完整。我们用 HTTPS 交付资产、在适当流程里使用安全 Cookie、对登录流加固。WASM 模块带版本号，从我们嵌入的静态包提供——你不必为核心变换从十几个 CDN 拉取来历不明的代码。

透明胜过营销

我们宁愿解释一个限制——浏览器内存上限、编解码器支持、模型大小——也不躲在含糊的"企业级"形容词背后。理解取舍的用户做更好决定，我们晚上也睡得更香。

关于责任

本地处理把控制权交还你：如果恶意软件已经在你机器上，任何架构都不能魔法般修复。我们仍然建议保持浏览器更新、文件卫生与系统级保护。我们的承诺是不增加一个叫"把一切上传给我们"的巨大攻击面。

关于人的一面

Ai2Done 背后是同样在自己"下载"文件夹里有银行流水、家庭照片、NDA 的工程师。我们做了自己想用的产品：快、能干、且安静地尊重"你的数据"真正的含义。

感谢你的阅读——也感谢你以我们设立的标准要求我们。