主题
安全与隐私
海慧智擎为政企与数据敏感场景而生：数据全程不出域不是一项附加功能，而是它的架构底线。本页说明它在数据流转、识别处理、软件隔离、完整性校验四个方面的具体做法。
一句话原则：数据不出域
你交给它的合同、发票、台账、报表，以及它产出的成品，都留在你的电脑和企业自有通道之内：
- 模型调用走企业自有网关，不经第三方公有云；
- 扫描件 / 图片的识别在本机完成，文件零字节上传；
- 与既有软件相互隔离，独立配置空间，不读取、不触碰其他工具的数据。
适合谁
要求文件不出本机、模型走自有网关的政企与企业场景——合同审查、报销台账、标书响应、扫描件录入等高频事务，皆可在数据不离域的前提下完成。
模型调用走企业自有网关
每一次模型请求，都经由企业自有的 API 网关转发，由企业自主掌控，不直连任何公有大模型云服务。
- 模型调用经企业自有通道统一接入、已为你预置——你在
~/.hi/settings.json里只需配置 API Key 与 模型两项。 - 走哪条通道、对接哪个模型，由服务方统一配置；你看不到、也无需配置接入端点。
这意味着数据流向是确定且可控的：请求不会"绕路"到未授权的外部服务。
OCR 识别全程在本机，零字节上传
读取纸质合同、发票、扫描件时，文字识别（OCR）完全在你的电脑本地运行：
- 采用本机 RapidOCR（中文识别模型，CPU 运行），不调用模型 API、不读取模型配置；
- 图片 / 扫描件的内容不离开本机——识别过程零字节上传。
区分两类处理
- 识别（OCR）：把图片里的文字"认"出来，全程本地，文件不出域。
- 理解 / 生成：识别出文本之后，若你让它进一步提炼、核验、生成成品，这部分文本会经企业自有网关送往模型。
也就是说，原始图片永远留在本机；只有你明确要求处理的文本内容才会经由企业通道。
与既有软件相互隔离
海慧智擎使用独立的配置空间，与你电脑上其他软件互不干扰：
- 配置、记忆、会话数据集中存放在
~/.hi目录，自成一域； - 只读自己的
~/.hi，不读取、不触碰其他工具的配置或数据； - 不向第三方上报使用数据（出厂未启用任何遥测）。
| 隔离维度 | 说明 |
|---|---|
| 配置目录 | 独占 ~/.hi，与其他软件零重叠 |
| 数据触达 | 不读取其他工具的配置 / 数据 |
| 使用遥测 | 出厂关闭，不向外上报 |
安装包可独立校验（SHA-256）
每个版本的安装包都附带 SHA-256 校验码，你可以在安装前独立验证安装包未被篡改、传输无损。
每版与安装包同目录提供 Hi-Engine-<版本>-SHA256SUMS.txt，按平台执行：
bash
shasum -a 256 Hi-Engine-0.5.5-mac-arm64.pkgpowershell
Get-FileHash .\Hi-Engine-0.5.5-win-x64.exe -Algorithm SHA256把输出值与 SHA256SUMS.txt 文件中的值比对，一致即说明安装包完整、未经篡改。详见安装。
装机不留 license 文件
为保持用户机环境干净，安装时不会在你的电脑（尤其是 ~/.hi）留下任何许可证 / 第三方声明文件。
合规所需的第三方许可证声明，以随版本伴行的方式提供（发布目录中的 Hi-Engine-<版本>-licenses.zip），需要时单独取用即可，不污染运行环境。
自动更新的去向
软件采用静默后台自动更新，下载与更新只走官方域名 dl.hi-engine.cn：
- 后台静默更新，无需人工干预；
- 也可随时手动运行
hi update检查；有新版会自动下载、校验、切换。
更新通道与模型通道相互独立——更新只取程序本身，不涉及你的业务数据。
小结
| 关注点 | 海慧智擎的做法 |
|---|---|
| 模型调用去向 | 经企业自有通道统一接入，由企业自主掌控 |
| 扫描件 / 图片 | OCR 全程本机，零字节上传 |
| 与其他软件 | 独立配置空间，相互隔离，不互相触碰数据 |
| 使用遥测 | 出厂关闭，不向外上报 |
| 安装包完整性 | 附 SHA-256，可独立校验 |
| 用户机洁净 | 装机不留 license 文件 |
| 自动更新 | 仅走 dl.hi-engine.cn，不涉业务数据 |