实用指南
判断视频字幕隐私，先画出数据流
本地文件选择器只说明在哪里选文件，不说明在哪里处理。比较字幕工具时，先问完整视频、音频、字幕文字和账号数据中哪些跨过设备边界。ClipLocale 的视频留在本地，识别音频和翻译文本仍在线完成。
打开示例工作台内容更新：
三种流程的边界不同
本地提取音频可避免把画面传给不需要画面的语音服务，但声音仍可能识别说话人或泄露私密谈话，去掉画面不等于完整匿名化。全离线流程则要求识别与翻译模型均真正本地执行，下载模型、更新和统计请求要另行检查。
| 流程 | 远程处理的媒体 | 需要核对 |
|---|---|---|
| 本地提取 + 在线模型 | 音频与字幕文本 | 上游音频／文本政策与请求 |
| 整段视频远程处理 | 视频与衍生内容 | 存储、删除、处理与分享条款 |
| 离线识别与翻译 | 真正离线时不远程处理媒体 | 本地模型、运行请求与设备资源 |
ClipLocale 的处理边界
浏览器通过 MediaBunny/WebCodecs 分块提取音频，发给同源 Worker，再转 OpenRouter 识别；带时间的字幕文字随后用于翻译，返回浏览器预览、编辑与下载。完整视频不作为识别输入上传。
本站不把视频、音频或字幕正文保存成项目库，账号会话、处理余额和必要账务另存。本站实现不等于上游零留存，保密材料仍需核对对应服务商政策。
- 设备内：视频浏览器读取、提取音频；画面留本地
- 在线：音频 → 原文同源 Worker → OpenRouter 识别
- 在线：原文 → 译文字幕文本发送给文本模型
- 设备内：校对与下载原文、译文或双语 SRT/VTT
用无敏感信息的短片检查请求
另录一个不含私人姓名、人脸和谈话的测试短片，打开浏览器开发者工具的 Network，清空列表后选择视频。选择文件应只做本地检查，真正生成才开始授权的处理请求。
筛选 /api/transcribe 和 /api/translate，前者应传提取的音频，后者传字幕文本；核对有没有意料之外的第三方接收媒体。浏览器只能证明到服务端的请求，不能展示所有服务端转发或证明上游保留时间。
- 准备无敏感内容的样本，清空 Network。
- 选文件，观察开始识别前的本地检查。
- 只有获得处理费用授权后，才对短范围开始识别。
- 查看目标和数据类别，不公开原始网络归档。
分清统计与媒体处理
统计记录页面分类、处理结果、字幕下载格式、结账动作和匿名 visitor/session；不把文件名、字幕正文、账号标识或任意查询参数作为事件属性。它与识别所需的音频、翻译所需的文字请求是不同链路。
真实会话的请求体或 HAR 可能包含 Cookie、token、付款资料和私人文本。求助时只分享脱敏后的目标与类别说明，不发布原始请求档案。
按保密要求选择
如果要求任何音频与字幕都不能离开设备，ClipLocale 的在线模型流程不满足，应核验适合的离线模型与运行方式。如果要求画面不发给识别服务，本地提取音频有意义，但仍需检查音频和文字政策。
本文比较的是处理方法，不冒称已经测评某个竞品，也不由方法类别推断留存保证。涉及敏感内容时查各服务的当前隐私条款。