为 AI 换脸选择照片后，文件不会只停留在浏览器中。它需要上传、提供给处理服务、关联到任务，并作为生成结果返回。这些步骤涉及多个系统和不同类型的记录。
本文以实际产品流程解释当前 faceswap 工作方式。它不是隐私政策的替代品；如果本文摘要与隐私政策存在差异，应以隐私政策为准。
简要流程
一次正常请求会经历：
- 登录账户并选择目标照片。
- 浏览器把文件上传到 faceswap 配置的存储服务。
- 使用内置参考图，或上传有权使用的自定义参考图。
- faceswap 将目标图和参考图地址发送给 PiAPI。
- PiAPI 创建换脸任务并返回任务标识。
- faceswap 记录任务状态和运行信息。
- 处理成功后，系统获得结果地址，并可能把结果复制到配置的存储。
- 结果显示在账户流程中，供你审核和下载。
关闭浏览器标签页不会自动撤销已经发生的服务器端步骤。
第一步：在浏览器中选择文件
上传前，文件选择器或拖拽界面只持有你所选本地文件的引用。此时浏览器可以显示预览，而不一定已经把完整文件发送到服务器。
上传开始后，浏览器会把文件发送到 faceswap 上传接口，该接口要求已登录账户。
当前界面主要支持 JPG、PNG 和 WebP，并显示有效文件大小限制。服务器还会验证文件数量、体积和媒体类型。文件过大或类型不支持时，应在 AI 任务创建前被拒绝。
不要依赖改扩展名。把 photo.exe 改成 photo.jpg 并不会将其变成图片；验证与后续解码依赖真实文件内容和媒体类型。
第二步：AI 处理前的对象存储
AI 服务商需要能够读取目标图片，因此上传字节会保存到 faceswap 配置的对象存储，目前可能是 Cloudflare R2 或其他兼容 S3 的服务。
对象存储与浏览器临时预览不同。它会在服务器端创建带存储键和 URL 或代理访问路径的对象。对于完全相同的重复上传，应用也可能复用已存在的对象，而不是再次保存。
这意味着：
- 从浏览器表单删除缩略图可能只改变界面；
- 关闭标签页不一定删除已存储对象；
- 文件可能保留到足以完成处理、交付、客服和安全调查；
- 存储副本与备份副本可能采用不同删除周期；
- 文件可能保留上传时已有的元数据。
如果照片含敏感 GPS 或设备信息，应在上传前从副本中移除。具体见 JPEG、PNG、WebP 与元数据指南。
第三步：目标图与人脸参考图
换脸需要两类视觉输入：
- **目标图片：**提供需要变换的场景、身体、姿势、表情、光线和脸部区域。
- **换脸或参考图片：**提供需要应用的身份信息。
faceswap 标准戏仿流程提供内置参考图，界面也可以允许上传自定义参考图。你有责任确保两张图都具备必要权利和同意。
应用会把目标 URL 和参考 URL 作为任务输入。第三方处理服务需要通过地址读取图片，因此目标图和自定义参考图都可能为完成请求而披露给 AI 服务商。
自定义参考图背景中如有无关私人信息，应在上传前裁成有权使用、只包含相关人物的肖像。
第四步：提交给 PiAPI
faceswap 当前使用第三方处理商 PiAPI 执行换脸。应用会发送任务请求，说明换脸操作并包含目标与参考图地址。
PiAPI 返回服务商任务标识和状态。faceswap 使用该标识查询任务是在等待、运行、完成还是失败。服务商任务与浏览器会话相互独立，即使你离开页面，它仍可能继续处理。
PiAPI 会依据其自身系统、安全控制、条款和隐私做法处理图片。faceswap 无法控制服务商内部每一种保留或诊断流程。不能因为输出只是幽默内容，就上传高度机密材料。
第五步：任务与执行记录
可靠服务不能只保留最终图片。faceswap 会记录运营请求所需信息，包括：
- 换脸任务内部标识；
- 账户标识；
- 服务商与模型名称；
- 目标图、参考图等任务选项及存储地址；
- 服务商任务标识；
- 提交、接受和完成时间；
- 当前状态；
- 积分消耗与任务是否已保存；
- 输出地址或服务商结果信息；
- 经处理的错误、重试、耗时和失败阶段信息。
这些记录用于回答：
- 服务商是否接受请求？
- 错误发生在积分检查前还是后？
- 任务仍在运行还是已经失败？
- 哪个输出属于哪个账户请求？
- 重复错误来自上传、服务配置还是结果交付？
运行记录不需要包含完整银行卡号。付款由结账页面显示的支付商处理，faceswap 保存的是账户与账单支持所需的订单和交易引用。
第六步：状态更新与结果交付
提交后，应用可以接收服务商通知，或主动向 PiAPI 查询状态。任务成功时，服务商响应会包含输出信息。
如果启用了自定义存储，faceswap 可能从服务商下载生成文件，并在配置的对象存储中保存一份副本。这样可以减少对临时服务商 URL 的依赖，通过本站存储路径交付结果。
输出随后与任务记录关联，并显示在账户活动或生成器流程中。根据系统行为和存储配置，关闭页面后输出 URL 仍可能可访问。
请下载需要的结果，但不要把账户历史或外部 URL 当成唯一存档。服务商链接、账户访问和产品功能都可能变化。
AI 服务商可能接收什么？
标准请求中，服务商为处理和返回任务可能接收：
- 目标图片 URL 与图片内容；
- 自定义或内置参考图 URL 与内容；
- 请求操作和模型标识；
- 用于任务状态的回调信息；
- 服务商任务标识；
- 服务商产生的时间戳与网络日志等技术信息。
faceswap 不需要有意把密码或完整银行卡信息发送给 AI 服务商。但图片中可见的文字、文件、工牌、屏幕、地点和其他人物都属于图片内容，会随图片一起处理。
上传前应裁掉或永久遮盖无关敏感内容。遮盖应已经写入导出副本，而不是编辑器中可移除的临时图层。
图片会保留多久？
整个流程中的不同副本无法用一个诚实的固定时长概括。保留期可能因以下系统而不同：
- 应用对象存储；
- PiAPI 处理系统；
- 生成结果存储；
- 任务与诊断记录；
- 加密备份；
- 反欺诈和安全记录；
- 会计、争议或法律合规必须保存的记录。
根据隐私政策，faceswap 只在服务交付、支持、安全、争议和法律义务合理需要的期间保留信息。当前代码没有承诺所有上传文件会在固定小时或天数后自动删除。
这一点很重要：一个没有实现的“24 小时自动删除”承诺，不如准确政策和真实可用的请求渠道更保护用户。
如何请求删除
如需请求删除或行使其他适用隐私权，请发送邮件至 support@charliekirkface.net，主题填写 Privacy Request。
请提供足以定位数据的信息：
- 账户关联邮箱；
- 相关任务标识或活动日期（如有）；
- 请求涉及上传、输出、任务记录、账户还是全部适用数据；
- 如依据特定法律行使权利，请说明相关国家或地区。
不要通过邮件发送密码、完整卡号或再次附上敏感图片。为了防止他人删除你的账户或记录，客服可能要求合理身份验证。
删除可能受到法律义务、付款记录、反欺诈、未解决争议、安全需要或技术隔离备份限制。经验证的删除请求也不一定能立即清除独立服务商根据合法保留周期持有的副本。
删除账户与删除图片不一定相同
账户包含身份验证、活动、积分、订单和任务关系；图片对象单独存储；支付商又依据自身义务保存交易记录。删除一项记录，并不能证明所有关联副本在同一时刻消失。
提交请求时应明确范围。例如，“删除我的账户以及法律不要求保留的个人上传和输出”比“删掉我的图片”更清楚。
如果只需要下架公开或已分享的输出，请提供准确 URL，并说明受到影响的权利。隐私、著作权、肖像或安全举报都可使用同一支持邮箱。
上传前隐私检查表
- 我拥有照片或有权处理它吗？
- 我是否具备处理可识别人物所需的同意或合法依据？
- 图片是否显示儿童、私人住宅、医疗场景、身份证件、金融记录、工牌、车牌或电脑屏幕？
- 文件是否包含我不愿分享的 GPS 或设备元数据？
- 能否裁掉无关人物或私人背景？
- 自定义参考图是否只包含一张相关肖像？
- 即使明确标注为戏仿，结果是否仍会产生隐私或安全风险？
- 我是否接受图片由应用存储和第三方 AI 服务商处理？
最后一项回答为“否”时，不要上传。
不夸大安全能力
faceswap 使用身份验证请求、HTTPS 传输、受限服务凭证和存储服务商控制。Cloudflare R2 与兼容基础设施也提供各自安全功能。这些措施可以降低风险，但不能让互联网传输或 AI 处理变成零风险。
你可以通过以下方式减少暴露：
- 使用专门的上传副本；
- 移除不必要元数据；
- 裁掉私人环境；
- 避免机密文件和屏幕；
- 使用独立密码或可信第三方登录保护账户；
- 只把结果下载到自己控制的设备；
- 发现异常账户活动时立即报告。
不要公开包含私人任务信息的存储 URL、浏览器开发日志或客服回复。
关闭标签页能做什么、不能做什么
关闭浏览器标签页：
- 会停止你查看当前页面；
- 可能中止尚未完成的浏览器上传；
- 不会取消服务商已接受的任务；
- 不会自动删除已上传对象；
- 不会清除已保存的任务记录；
- 不会撤回已经下载或分享的副本。
如果提交了错误图片，应查看活动页面，并用任务信息联系支持。不要把离开页面当成删除操作。
最终结论
换脸是一个数据处理流程，不是完全在本地运行的滤镜。目标图和参考图从浏览器进入应用存储，再由 PiAPI 处理；任务和执行记录把请求与账户关联；生成结果可能复制到应用存储以便交付。
因此，源图片权利、同意、元数据、保留和删除说明必须在生成前考虑，而不是等到出问题后才处理。
请阅读完整的隐私政策、服务条款和内容政策。如果图片适合处理，并且你接受上述数据路径，可以继续使用 faceswap 工具。
