页间隐私政策

数据使用原则

• 不出售用户数据；仅在提供产品必要功能及适用允许情形下向服务提供方披露或转移必要数据。
• 仅为页间整理、管理、备份及可选同步收藏这一单一目的使用或转移用户数据。
• 不使用或转移用户数据来确定信用评级或提供贷款。

Chrome Web Store 数据使用限制

页间处理用户信息（包括从 Google APIs 获得的信息）时，遵循 Chrome Web Store User Data Policy 及 Limited Use 要求。只为公开说明的产品功能使用数据；向服务方提供数据仅限功能所需、必要安全处理或法律要求，不用于个性化、再营销或兴趣广告。

不作常规人工查阅。人工阅读仅限你明确同意读取的具体支持内容、必要安全处理、法律要求，或符合适用隐私及法律要求、已聚合且匿名化的内部运营数据；这些例外不表示新增广告或行为分析功能。

查看官方 Limited Use 要求

数据类别与具体范围

以下对应 Chrome 商店“现在或将来”披露口径中的七类数据。本机处理与云端处理分别说明；类别名称不代表采集该类别下的所有内容，具体付款状态见下方说明。

个人身份信息

可选账号使用 Google 稳定身份标识、已验证邮箱及内部账号标识，不保存本版 profile 头像或显示名。

身份验证信息

页间扩展在本机自动加密保存访问/刷新令牌；服务器记录令牌摘要、会话身份与必要时间和撤销状态。本机密钥及旧数据迁移或旧备份导入使用的旧密码不上云。不采集 Google 密码或浏览器保存的密码，不访问 Gmail 或 Drive。

浏览记录

当前标签的网址、标题、窗口、位置和固定状态用于本机展示、选择收藏及定位网页；用户选择保存的完整 URL 可进入收藏。仅支持普通非隐身 HTTP/HTTPS 网页，不读取 Chrome 过往访问记录，也不上传实时标签列表。

用户活动

收藏创建/修改时间、操作回执、备份提醒、会话最近使用及试用领取时间用于收藏和账号管理。没有广告或行为分析服务；本机设置与恢复记录不上云。

网站内容

范围是网页标题、保存的完整 URL，以及你命名的目录和合集等有限元数据，不采集网页正文、图片、视频或表单内容。云端只同步你确认的已保存收藏与必要元数据，不同步网页运行状态或原始书签树。

财务和付款信息

仅在你选择创建或查询订单、购买、手动续费或申请退款时，按需处理必要的账号关联订单、金额／币种、购买时长、订单状态、创建／到期／付款／退款时间、商户单号、交易／退款编号、支付事件摘要和权益状态，用于核实到账、账单、对账、退款和防止重复授予权益。付款在支付宝收银台完成；不保存卡号、银行卡信息、支付密码或支付通知原文。

位置

范围仅为后台及托管网络处理的连接 IP，用于必要安全与内存限流；地址可能来自代理。没有 GPS、精确坐标、设备周边信息或 IP 地理定位功能。当前页间 API 的 Nginx 访问日志关闭；必要运行输出进入 systemd journal，目前没有固定按天的保留期限。

扩展不提供健康信息或个人通信内容采集功能，不读取你的邮件、聊天正文、网页正文、Cookie 或浏览器保存的密码。你主动发给客服的来信按下方运营标准处理，不代表扩展访问你的收件箱。书签权限仅在你主动授权并预览确认后用于复制，不自动删除、移动或改名原书签。

1. 当前标签与收藏

工具栏和当前标签面板读取普通窗口的标签网址、标题、位置、窗口、固定与隐身状态，用于展示、选择、拖入合集和执行你明确选择的关闭操作。实时标签列表不上传账号服务器；隐身标签不纳入收藏。

保存的目录、合集、完整 URL、标题、标识、时间和顺序会存入工作台。URL 中的 query 和 hash 可能包含搜索词、访问参数或私人资源标识。收藏不保存网页正文、表单内容或运行快照。只支持普通非隐身 HTTP/HTTPS 网页；浏览器内部页、扩展页、本地文件及含内嵌账号密码的网址不在收藏范围。

2. 本机加密、备份与账号

页间扩展自动生成本机 AES-GCM 密钥，以非导出的 CryptoKey 保存在本机 IndexedDB，用于加密收藏、账号缓存、访问/刷新凭据、恢复记录及含用户内容的本机状态。密钥不上传服务器或 Google。密钥与密文仍位于同一 Chrome 配置，这不是用户密码保护、硬件保护或端到端加密，也不保证抗完整配置复制或已被控制的运行设备。云端收藏仍可由服务器处理。新安装和正常使用无需本机密码；仅旧数据迁移或主动导入旧加密备份可能在本机处理旧密码，不上传该密码。

已有 0.12.3 旧加密数据优先用合法旧会话自动迁移。若更新清除了旧会话，仅迁移旧数据时需要输入一次原密码；失败保留原数据，完成后不再日常解锁。只有主动导入旧版加密备份时，才需当时导出使用的旧密码。

默认导出普通可读 JSON，不需要密码，包含收藏和显示设置，不包含认证凭据。持有文件的人可读取完整网页地址、标题和合集名称，请妥善保管。导入仍先校验、预览，再由你确认合并；导出文件不自动上传或变成云备份。

本机偏好、有限撤销/恢复记录及备份信息不上云。书签权限按需请求，复制前可预览；不会自动移动、删除或改名原书签，Chrome 自身的书签同步由浏览器管理。导入书签或备份恢复得到的当前收藏，可由你选择是否同步。

Google 登录可选，请求 openid、email、profile 用于认证，记录稳定 Google 身份标识、已验证邮箱、内部账号、会话令牌摘要及试用/权益时间；不读取 Google 密码、Gmail 或 Drive。登录收藏按账号及后台地址隔离。设备列表代表登录会话，记录创建、最近使用、到期和撤销状态，不建立硬件、IP 或 User-Agent 设备画像。

3. 同步范围、地区、服务商与日志

先预览，再由你决定是否把本机收藏复制到账号。开启同步且主动领取一次 14 天免卡试用或拥有有效 Pro 后，才允许云端写入及云历史恢复；登录不自动开启试用。到期后本机功能仍可用，已有云收藏可读、云历史可预览。

云端仅同步已保存目录、合集、网页完整网址、标题、标识、时间、顺序及删除标识，不上传实时标签、网页正文、运行状态、表单、Cookie、密码、界面设置、原始书签树或本机恢复记录。账号服务托管于 DigitalOcean 的新加坡 Droplet，使用云功能会将账号信息与上述收藏传输并存储在那里。Google 承担你选择的认证流程；网站图标使用 Chrome 缓存。

后台与托管网络会处理连接 IP，用于必要安全及内存限流；没有 GPS、精确位置、广告或行为分析功能。API 的 Nginx 访问日志关闭、错误日志丢弃，必要运行日志进入 systemd journal，尚无固定按天保留期限。关闭访问日志不代表完全不处理 IP。

4. 安全、保留与删除边界

云端使用 HTTPS 传输；新加坡服务器的数据库、临时文件、删除清单、运行密钥和私有配置存于 LUKS2 加密卷，灾备及独立删除清单使用 AES-256-GCM。云同步不是端到端加密，服务器为同步功能处理收藏；人工阅读仅限上述 Limited Use 例外。本机应用加密不保护已被控制的运行设备，也不保证历史 Chrome 文件块、供应商快照或旧介质块已物理擦除。

本机收藏留到你删除、清除扩展数据或卸载；本机恢复最多 5 条，与收藏及单步撤销共用 8 MiB 容量限制，不按固定天数保留。云历史最多 10 份、30 天、合计 32 MiB，任一限制均可能提前移除旧记录；这些限制不是账号主数据或灾备的保留期限。

服务端每日生成加密灾备、每小时清理，灾备从生成起最长保留 30 个自然日，满 29 日提前清理、满 30 日拒绝恢复；删除请求不延长寿命。恢复必须使用当前可信删除清单，缺清单、错误密钥或超期副本均拒绝，恢复副本的会话会撤销。离机副本由负责人手动维护，删除后及例行保留维护时更新清单、盘点并清理；未配置持续自动离机复制。服务器重启后需人工解锁，期间云登录与同步暂不可用，本机收藏仍可管理及导出，无需日常密码。

OAuth 流程 5 分钟、交换码 60 秒、访问令牌 15 分钟、登录会话最多 30 天；过期临时记录定期清理，不保证某一秒物理擦除。账号身份、主云收藏、试用与主要账本没有统一的自动保留截止日，会话到期不等于账号数据删除。

5. 数据请求与删除

通过下方邮箱提出支持或账号数据请求，负责人在 7 个工作日内回复，并人工核验身份。核验后 30 个自然日内删除账号及在线云数据；不是即时自动自助删除。在线删除与灾备最终清除是两个步骤；未结算或依法需保留的数据另行核验，并说明实际依据。

涉及付款、退款或待结算订单的删除请求转人工核对。身份核验后，账号及在线云内容仍按 30 个自然日标准处理。负责人将依法确需保留的最小结算、退款及财务归档记录与账号／云内容删除分开处理，仅用于必要财务事项，不作为继续保存云收藏或无关 Google 登录身份的理由。保留范围与期限按实际财务归档依据、必要处理及未解决争议确定，并据此复核、清理；不把原始业务订单或全部身份资料一律视为会计凭证长期保存，不提供自助或自动财务分离，也不承诺无条件全删。

当前独立删除清单防止旧备份恢复已删除账号，不能被旧清单覆盖；只保存带密钥的内部账号摘要（HMAC）及删除时间，不保存原 Google 身份、邮箱或收藏。相关可恢复副本核查清除后，由负责人处理最小标识，不提前丢弃清单。

你可以不登录、导出备份、暂停同步、退出账号、撤销会话或书签权限。退出或撤销会话不会自动删除本机账号缓存或云数据；云账号删除也不远程清理本机收藏、导出文件和 Chrome 书签副本，需你自行清除。删除目录仅把其合集移至默认目录，不删除合集及网页。

主动发给客服的邮箱、来信及最小工单证据用于回复和核验，个案完成后 30 天内人工清理不再必要的内容；有依法额外保留需求时说明依据。请勿发送密码、验证码、支付密码或完整私人收藏。

6. 付款、请求与变更

Pro 价格为人民币 9.90 元／月或 79 元／年（12 个月），两个时长的功能相同。手动续费，不自动扣款，仅支持支付宝。云端写入与云历史恢复需要 Pro 或主动开启一次 14 天免卡试用；到期后本机功能继续免费，已有云收藏可读取，云历史可预览。

仅在你选择创建或查询订单、购买、手动续费或申请退款时，按需处理必要的账号关联订单、金额／币种、购买时长、订单状态、创建／到期／付款／退款时间、商户单号、交易／退款编号、支付事件摘要和权益状态，用于核实到账、账单、对账、退款和防止重复授予权益。付款在支付宝收银台完成；不保存卡号、银行卡信息、支付密码或支付通知原文。

成功付款起 7 日内，可联系 nemo.wangxx@gmail.com 申请对应订单的人工全额退款。到账以支付宝处理为准，不承诺即时到账。退款后仅撤销该笔付费权益，本机收藏、备份和原试用保留；重复扣款或未提供服务另行处理。

联系与数据请求

公开邮箱由负责人本人直接管理，用于产品问题、账号数据请求及订单／退款咨询；收到请求后 7 个工作日内回复，身份核验后按 30 个自然日标准删除账号及在线云内容。涉及付款、退款或待结算订单转人工财务核对，负责人将最小必要财务记录与云内容分别处理。请勿发送密码、验证码、支付密码或完整私人收藏。

nemo.wangxx@gmail.com