更新日期：2026 年 8 月 2 日
听写文本、历史、个人词典、偏好、应用语气和用户填写的 API Key 保存在当前 Mac 的 Application Support 目录。API Key 以明文写入 preferences.json，目录权限为 0700，文件权限为 0600；当前 macOS 用户权限下运行的软件仍可读取该文件。原始音频默认不保存，只有用户在“音频”设置中明确开启后才会随历史保留。应用不包含遥测、广告或账号上传。
Apple Speech 可能按系统机制下载语言资源。本地 AI 仅在用户明确确认后从 Hugging Face 公开仓库以无账户令牌方式下载所选 MLX 模型，默认模型约 3.03 GB。Hugging Face 会接收下载连接的 IP、User-Agent 和请求时间；语音、转写、词典和上下文不会发送到该服务。
用户选择 API 模型后，Lerro 会直接向用户配置的 DeepSeek、OpenAI、Gemini 或兼容端点发送请求。请求可以包含原始转写、应用名称与类型、窗口标题、光标前 80 个 UTF-16 单元、光标后 40 个、当前任务需要的选中文字、用户语气和最多 12 个命中词典条目。连接测试只发送固定合成内容。第三方服务会按其条款处理内容、IP、请求时间和账户计费信息。
Lerro 每 24 小时以及用户主动检查时访问 updates.lerroapp.com 的签名更新清单；发现新版本后会从同一域名下载更新 ZIP。Cloudflare 会接收常规 HTTPS 连接元数据，以及用于选择更新的应用版本和平台信息。Cloudflare 私有 R2 与 D1 只保存公开发布 ZIP 和版本、build、签名、长度、校验值、发布时间等 release 元数据；语音、转写、焦点文本、选区、词典、prompt、模型回答和 API Key 不会发送到更新服务。下载后的 ZIP 由应用内 Sparkle 公钥验证。
麦克风用于采集语音；语音识别用于本机转写；辅助功能用于读取当前应用的有限上下文并插入结果；输入监控用于全局快捷键。权限可随时在“系统设置”中撤销。
历史和词典可在应用内删除。“清除已保存的 Key”会从 JSON 配置中移除 API Key，并切换到原始听写。删除带音频的历史时，应用先删除对应本地音频，再移除历史索引；启动时还会清理未被历史引用的录音。设置“永不保存”只停止写入新历史，既有记录会保留。系统备份或手动复制 Application Support 时可能同时复制明文 API Key。