只收集功能需要的数据。
PageTack 是 Chrome 扩展。它让你在网页上评论和编辑；如果你登录并使用协作功能，相关评论会保存到 PageTack 自有后端用于同步。我们不接入广告网络、不做跨站追踪；仅收集与账号无关的匿名使用统计（见「匿名使用统计」一节）。
你主动提供或登录时产生的信息。
| 数据 | 何时产生 | 用途 |
|---|---|---|
| Google 账户：邮箱、显示名称、头像、Google 唯一标识（sub） | 你选择「Google 登录」时 | 建立账号身份、显示头像/昵称、把批注绑定到你本人 |
| 邮箱账户：邮箱地址、加盐哈希后的密码（服务器不存明文）、验证码哈希（10 分钟有效，验证后删除） | 你选择「邮箱注册 / 登录」时 | 建立账号身份；你的昵称即邮箱地址，用于在团队中标识你 |
| 免密码邀请身份：邮箱地址、邀请码与验证码哈希（10 分钟有效，验证后删除；不设置密码） | 你选择使用邀请码 + 邮箱加入团队时 | 验证邮箱归属、加入指定团队并签发当前设备会话 |
| 批注内容：你写下的评论文字、你选中的网页原文片段（quote）、选区位置 | 你创建或编辑一条批注时（登录并使用协作功能） | 让批注能保存、展示、并跨页面版本自动重新定位 |
| 团队关系：你加入/创建了哪个团队、团队名称、邀请码 | 你加入团队或新建团队时 | 团队成员间共享同一份批注并与其他团队相互隔离 |
| 在线状态：你正在查看哪个文档（只显示人数与身份，不含浏览内容） | 你打开某文档的侧边栏时 | 在同一团队内显示「谁在线」，便于协作 |
浏览器本地存储（不上传我们的服务器）：未登录或本地模式下，批注保存在你浏览器的 IndexedDB 中，完全不离开你的电脑。登录后，会话凭证（session token）保存在本设备的 chrome.storage.local 中（不随 Chrome 账号跨设备同步），仅用于后续请求鉴权；编辑快照、候选版本历史等也只保存在本机。
我们不会持续监控你的完整浏览历史，也不收集完整网页内容、键盘输入、设备指纹、精确位置或财务信息，不接入广告或跨站追踪 SDK。只有在你主动批注或使用团队协作时，系统才会处理被批注页面的网址、选中文本和评论；服务器安全日志可能短暂记录来源 IP 以用于限流和防止滥用。匿名功能使用统计见「匿名使用统计」一节。
你主动发起时，内容只交给你的本机 Agent。
当你点击「发送给 Codex / Claude Code / GitHub Copilot」时（可选功能，目前支持 macOS），选中的评论、相关页面内容和修改契约经浏览器 Native Messaging 发送给你电脑上已安装并登录的 Agent。PageTack 不会将这部分页面内容、评论或 Agent 凭证上传给作者或任何服务端。
- 不读取、不保存 API Key、Token、Cookie 或 Agent 登录态。
- 不列举、读取、接管或注入你已经在运行的外部 Agent 会话。
- Agent 只生成独立候选版本（如 原名V1.1.html），不自动覆盖你的原 HTML，候选内容不上传。
- Codex / Claude Code / GitHub Copilot 各有其独立的隐私政策，约束它们如何处理你交给它们的内容。
协作数据服务于同步，而不是广告或训练。
如果你选择登录或通过邮箱邀请加入并使用协作评论，系统会处理账号基础身份信息和评论内容，以便显示作者、保存、同步和执行作者权限控制。我们不出售个人信息，不接入广告网络。
- Google 登录只使用 openid、email、profile 等基础范围。
- 邮箱登录：注册时需通过邮箱验证码确认地址有效（验证码只存哈希、10 分钟有效）；密码只以加盐哈希形式保存，绝不存明文。
- 免密码邀请：邀请码有效时会向所填邮箱发送一次验证码；验证成功后加入对应团队，不创建密码。
- 你主动点击「复制全站评论给 AI」时，扩展只读取当前团队、当前网站域名下的未解决评论，按页面分组后写入本机剪贴板；不会读取其他团队或其他网站的评论，也不会自动发送给任何 AI。
- 团队所有者可按邮箱地址查找已注册用户并将其加入团队；邮箱地址不用于任何群发或营销。
- 你可以编辑或删除自己创建的评论；作者身份用于保护这项权限。
数据只为功能运转，共享只发生在必要环节。
- 提供登录、身份识别与团队协作功能；在团队成员之间实时同步批注（SSE 推送）。
- 在你注册或使用免密码邀请验证时，通过阿里云邮件推送（DirectMail）向你的邮箱发送一封验证码邮件——这是你的邮箱地址唯一会被共享给第三方的场景，且仅用于投递该邮件。
- 我们保存按天聚合的服务连接数统计（不含任何个人标识），仅用于容量评估。
- 除上述必要环节外，我们不与任何第三方共享你的数据，也不出售、不用于跨站追踪或画像。
存储与传输：服务器端数据存放在我们自有控制的云端服务数据库中；扩展与后端之间的所有通信均通过 HTTPS（TLS）加密。服务端运行日志（用于排查故障与防止滥用）可能短暂记录请求路径、时间、状态码与来源 IP 地址，不含批注正文，且定期清除；IP 仅用于限流与安全防护，不与账号关联展示。
第三方登录服务：Google 登录由 Google Identity Services 提供，只读取 openid、email、profile 三个基础范围，受 Google 隐私政策约束。
为了解功能是否好用，我们收集完全匿名的使用事件。
扩展会记录功能的使用事件（例如：打开侧边栏、登录、进入编辑、创建评论、发送任务、任务成功或失败），并定期上报用于统计。每条事件只包含三类信息：事件名称、少量固定的枚举参数（例如你使用的 Agent 是 Codex 还是 Claude Code）、以及安装扩展时随机生成的匿名标识。
数据去向：默认发送到 PageTack 自有服务器；若你的网络可以访问 Google，同一批事件也会发送给 Google Analytics（GA4）用于可视化统计——发送内容与上述完全相同，不含任何可识别个人身份的信息。上报在后台静默进行、失败自动放弃，不影响任何功能；移除或停用扩展即停止收集。
你控制自己的内容。
- 你可以随时在侧边栏编辑或删除自己创建的评论（仅作者本人可操作）。
- 退出登录会使当前设备的会话凭证立即失效。
- 彻底注销账号 / 删除全部数据：通过本页底部的 GitHub 仓库联系我们，我们会在合理时间内从后端数据库删除你的账号、团队关系及其名下批注。
每一项 Chrome 权限都对应一个明确功能。
- sidePanel：在当前网页显示评论与编辑界面。
- tabs：在你切换标签页时保持侧边栏与当前页面的评论状态同步。
- storage：保存本机偏好、登录会话和本地评论状态。
- identity：完成 Google 登录（邮箱登录不需要此权限）。
- nativeMessaging：仅在你主动使用本机 Agent 时，与本机 bridge 通信。
- notifications / offscreen：候选版本完成时显示本机通知和提示音。
- host permissions：在任意网页上读取/标注你选中的文本，并与我们的后端通信以保存与同步评论。
出问题时，你可以选择上传诊断信息帮我们排查。
只有在【你主动点击「报告问题」并确认】，或【你开启了「以后出错自动上报」开关】时，扩展才会收集并上传一份诊断包。内容包括：扩展 / Chrome / 操作系统版本、本地连接组件（bridge）的状态与版本、已连接 Agent 的状态、最近一次失败的错误信息，以及该次任务中 Agent 的实时输出（这部分可能包含你当时正在编辑的页面内容或评论）。诊断包仅用于排查问题，不用于广告或训练。
本扩展不面向儿童。
本扩展不面向 13 岁以下儿童，我们也不会在知情的情况下收集儿童信息。如发现误收，请联系我们删除。
有疑问或要行使删除权，随时联系我们。
- 如对本政策有任何问题，或希望注销账号、删除数据，请通过 GitHub 仓库 chenerzhong123-cloud/htmlGenius 留言。
- 本政策如有重大变更，我们会更新本页顶部的「生效日期」。