页间隐私政策

数据使用原则

• 不出售用户数据；仅在提供产品必要功能及适用允许情形下向服务提供方披露或转移必要数据。
• 仅为页间整理、管理、备份及可选同步收藏这一单一目的使用或转移用户数据。
• 不使用或转移用户数据来确定信用评级或提供贷款。

Chrome Web Store 数据使用限制

页间处理用户信息（包括从 Google APIs 获得的信息）时，遵循 Chrome Web Store User Data Policy 及 Limited Use 要求。只为公开说明的产品功能使用数据；向服务方提供数据仅限功能所需、必要安全处理或法律要求，不用于个性化、再营销或兴趣广告。

不作常规人工查阅。人工阅读仅限你明确同意读取的具体支持内容、必要安全处理、法律要求，或符合适用隐私及法律要求、已聚合且匿名化的内部运营数据；这些例外不表示新增广告或行为分析功能。

查看官方 Limited Use 要求

数据类别与具体范围

以下对应 Chrome 商店“现在或将来”披露口径中的七类数据。本机处理与云端处理分别说明；类别名称不代表采集该类别下的所有内容，也不代表未来付款已经开放。

个人身份信息

可选账号使用 Google 稳定身份标识、已验证邮箱及内部账号标识，不保存本版 profile 头像或显示名。

身份验证信息

页间访问/刷新令牌在 0.12.3 客户端本机应用层加密保存；服务器记录令牌摘要、会话身份与必要时间和撤销状态。本机解锁密码不上云。不采集 Google 密码或浏览器保存的密码，不访问 Gmail 或 Drive。

浏览记录

当前标签的网址、标题、窗口、位置和固定状态用于本机展示、选择收藏及定位网页；用户选择保存的完整 URL 可进入收藏。仅支持普通非隐身 HTTP/HTTPS 网页，不读取 Chrome 过往访问记录，也不上传实时标签列表。

用户活动

收藏创建/修改时间、操作回执、备份提醒、会话最近使用及试用领取时间用于收藏和账号管理。没有广告或行为分析服务；本机设置与恢复记录不上云。

网站内容

范围是网页标题、保存的完整 URL，以及你命名的目录和合集等有限元数据，不采集网页正文、图片、视频或表单内容。云端只同步你确认的已保存收藏与必要元数据，不同步网页运行状态或原始书签树。

财务和付款信息

计划的支付宝功能涉及订单、金额、币种、周期、交易/退款状态及标识、权益记录。当前真实付款关闭；不收集卡号、银行卡信息或支付密码。付款数据保留与退款流程仍需在开放前核准。

位置

范围仅为后台及托管网络处理的连接 IP，用于必要安全与内存限流；地址可能来自代理。没有 GPS、精确坐标、设备周边信息或 IP 地理定位功能。当前页间 API 的 Nginx 访问日志关闭；必要运行输出进入 systemd journal，目前没有固定按天的保留期限。

扩展不提供健康信息或个人通信内容采集功能，不读取你的邮件、聊天正文、网页正文、Cookie 或浏览器保存的密码。你主动发给客服的来信按下方运营标准处理，不代表扩展访问你的收件箱。书签权限仅在你主动授权并预览确认后用于复制，不自动删除、移动或改名原书签。

1. 当前标签与收藏

工具栏和当前标签面板读取普通窗口的标签网址、标题、位置、窗口、固定与隐身状态，用于展示、选择、拖入合集和执行你明确选择的关闭操作。实时标签列表不上传账号服务器；隐身标签不纳入收藏。

保存的目录、合集、完整 URL、标题、标识、时间和顺序会存入工作台。URL 中的 query 和 hash 可能包含搜索词、访问参数或私人资源标识。收藏不保存网页正文、表单内容或运行快照。只支持普通非隐身 HTTP/HTTPS 网页；浏览器内部页、扩展页、本地文件及含内嵌账号密码的网址不在收藏范围。

2. 本机密码、备份与账号

0.12.3 客户端使用本机解锁密码，以 AES-256-GCM 加密收藏、账号缓存与同步基线、登录凭据、撤销/恢复记录、含用户内容的操作记录及偏好。首次使用或升级时设置密码；浏览器重启、扩展更新或重新加载后解锁一次，普通后台线程休眠不要求重复输入。锁定隐藏工作台并暂停同步，不关闭已打开网页。

密码和解密密钥不随产品业务数据持久保存，也不发送给页间服务器或 Google；运行期密钥仅供当前浏览器会话使用。默认导出是加密备份，使用导出当时的本机密码；可读 JSON 仅在你明确确认后导出，需自行妥善保管。加密导入先验证密码与完整性，再由你预览、确认合并。忘记同一密码后，对应的密文备份也无法解锁；可恢复范围仅限已有云收藏或可读 JSON 备份。

本机偏好、有限撤销/恢复记录及备份信息不上云。书签权限按需请求，复制前可预览；不会自动移动、删除或改名原书签，Chrome 自身的书签同步由浏览器管理。导入书签或备份恢复得到的当前收藏，可由你选择是否同步。

Google 登录可选，请求 openid、email、profile 用于认证，记录稳定 Google 身份标识、已验证邮箱、内部账号、会话令牌摘要及试用/权益时间；不读取 Google 密码、Gmail 或 Drive。登录收藏按账号及后台地址隔离。设备列表代表登录会话，记录创建、最近使用、到期和撤销状态，不建立硬件、IP 或 User-Agent 设备画像。

3. 同步范围、地区、服务商与日志

先预览，再由你决定是否把本机收藏复制到账号。开启同步且主动领取一次 14 天免卡试用或拥有有效 Pro 后，才允许云端写入及云历史恢复；登录不自动开启试用。到期后本机功能仍可用，已有云收藏可读、云历史可预览。

云端仅同步已保存目录、合集、网页完整网址、标题、标识、时间、顺序及删除标识，不上传实时标签、网页正文、运行状态、表单、Cookie、密码、界面设置、原始书签树或本机恢复记录。账号服务托管于 DigitalOcean 的新加坡 Droplet，使用云功能会将账号信息与上述收藏传输并存储在那里。Google 承担你选择的认证流程；网站图标使用 Chrome 缓存。

后台与托管网络会处理连接 IP，用于必要安全及内存限流；没有 GPS、精确位置、广告或行为分析功能。API 的 Nginx 访问日志关闭、错误日志丢弃，必要运行日志进入 systemd journal，尚无固定按天保留期限。关闭访问日志不代表完全不处理 IP。

4. 安全、保留与删除边界

云端使用 HTTPS 传输；新加坡服务器的数据库、临时文件、删除清单、运行密钥和私有配置存于 LUKS2 加密卷，灾备及独立删除清单使用 AES-256-GCM。云同步不是端到端加密，服务器为同步功能处理收藏；人工阅读仅限上述 Limited Use 例外。本机应用加密不保护已被控制的运行设备，也不保证历史 Chrome 文件块、供应商快照或旧介质块已物理擦除。

本机收藏留到你删除、清除扩展数据或卸载；本机恢复最多 5 条，与收藏及单步撤销共用 8 MiB 容量限制，不按固定天数保留。云历史最多 10 份、30 天、合计 32 MiB，任一限制均可能提前移除旧记录；这些限制不是账号主数据或灾备的保留期限。

服务端每日生成加密灾备、每小时清理，灾备从生成起最长保留 30 个自然日，满 29 日提前清理、满 30 日拒绝恢复；删除请求不延长寿命。恢复必须使用当前可信删除清单，缺清单、错误密钥或超期副本均拒绝，恢复副本的会话会撤销。离机副本由负责人手动维护，删除后及例行保留维护时更新清单、盘点并清理；未配置持续自动离机复制。服务器重启后需人工解锁，期间云登录与同步暂不可用，已解锁的本机收藏仍可管理及导出。

OAuth 流程 5 分钟、交换码 60 秒、访问令牌 15 分钟、登录会话最多 30 天；过期临时记录定期清理，不保证某一秒物理擦除。账号身份、主云收藏、试用与主要账本没有统一的自动保留截止日，会话到期不等于账号数据删除。

5. 数据请求与删除

通过下方邮箱提出支持或账号数据请求，负责人在 7 个工作日内回复，并人工核验身份。核验后 30 个自然日内删除账号及在线云数据；不是即时自动自助删除。在线删除与灾备最终清除是两个步骤；未结算或依法需保留的数据另行核验，并说明实际依据。

当前独立删除清单防止旧备份恢复已删除账号，不能被旧清单覆盖；只保存带密钥的内部账号摘要（HMAC）及删除时间，不保存原 Google 身份、邮箱或收藏。相关可恢复副本核查清除后，由负责人处理最小标识，不提前丢弃清单。

你可以不登录、导出备份、暂停同步、退出账号、撤销会话或书签权限。退出或撤销会话不会自动删除本机账号缓存或云数据；云账号删除也不远程清理本机收藏、导出文件和 Chrome 书签副本，需你自行清除。删除目录仅把其合集移至默认目录，不删除合集及网页。

主动发给客服的邮箱、来信及最小工单证据用于回复和核验，个案完成后 30 天内人工清理不再必要的内容；有依法额外保留需求时说明依据。请勿发送密码、验证码、支付密码或完整私人收藏。

6. 付款、请求与变更

付款目前关闭，不会自动续费。未来仅计划使用支付宝，付款数据保留及退款流程须在开放前核准并更新政策；不收集卡号、银行卡信息或支付密码。已付款、退款、未结算或不确定订单涉及的请求转人工核验，不设置未经确认的多年或无限期留存例外。生效及更新日期以本页标示为准。

联系与数据请求

公开邮箱由负责人本人直接管理，用于产品问题、账号数据请求及未来退款咨询；收到请求后 7 个工作日内回复，身份核验后 30 个自然日内删除账号及在线云数据。付款保持关闭。请勿发送密码、验证码、支付密码或完整私人收藏。

nemo.wangxx@gmail.com