隐私与安全

生效日期：2026年7月5日（最近更新：2026年9月3日）。本文档为 FlowCrate 发布的 TabBoy Chrome 扩展程序的隐私政策。适用于目前发行的版本（V1：纯本地、免费、无需账号）。标注为“未来可选高级服务”的部分描述尚未上线的服务。

数据边界

标签页、窗口和标签组数据完全在您的设备本地扩展程序内部处理。
建议与保存的数据（规则、收藏集、保存的标签组、扫描元数据）均保存在本地浏览器存储中。
JSON 导出均为用户主动发起的下载，TabBoy 绝不会自动上传。
V1 版本无云端后台、无账号体系且无遥测数据。
默认情况下，TabBoy 不发起任何外发网络请求。 在常规操作（标签页扫描、规则评估、重复项清理和会话恢复）中，任何标签页 URL、标题或页面内容均不会离开您的设备。
仅当您主动开启可选功能时，才会产生外发网络连接：
- 自带 API 密钥 (BYOK) AI 摘要：请求直接从您的浏览器发送至您自行配置的 AI 服务商（详见下文）。
如需查看磁盘存储位置、存储键清单及本地数据保障，请参阅您的数据存储位置。
如需了解六大黄金法则与核心架构隐私承诺，请参阅信任宪章。

权限说明

当前 Chrome 权限及其用途：

storage：用于本地规则、收藏集、保存的标签组、扫描元数据与建议的存储。
tabs：用于读取标签页/窗口、打开控制面板、二次确认后关闭以及恢复标签页。
tabGroups：用于读取、创建、更新与恢复 Chrome 标签组。
contextMenus：在浏览器右键菜单中提供“使用 TabBoy 扫描”快捷操作。
pageCapture：在执行破坏性标签页操作前生成本地离线 MHTML 快照作为安全防线（仅保存在本地 IndexedDB 中，绝不上载）。
sidePanel：在 Chrome 侧边栏中显示 TabBoy 界面。

以上标准权限均不会用于将数据传输到您的设备之外。TabBoy 不需要任何强制性的 host_permissions。

运行时动态可选权限

TabBoy 在清单中声明了可选权限，这些权限在安装时绝不会被默认授予，仅在用户明确同意时按需申请：

scripting 与指定精确 HTTPS 来源的权限：仅当您在阅读队列中主动选择提取网页文章正文时按需申请。且仅申请当前页面的精确来源，绝非全网通配符。
AI 服务商来源权限 (BYOK)：在“选项”页面配置服务商接入点时，TabBoy 仅申请您所配置的精确域名权限（如 https://api.openai.com/*）。

可选 AI 摘要：自带密钥 (BYOK)

TabBoy 为阅读队列中的文章提供了严格保护隐私的可选 AI 摘要功能：

完全自愿 (Opt-in)：除非您在“选项”中主动配置自己的 API 密钥和服务端点，否则 BYOK 功能保持完全停用。
浏览器直连服务商：请求由扩展程序直接发送至您指定的 OpenAI 兼容端点（如 OpenAI、OpenRouter 或 Groq）。FlowCrate 服务器绝不在网络链路中，绝无法查看、拦截或记录您的 API 密钥、URL、页面内容或摘要。
临时凭证存储：您的 BYOK API 密钥仅临时保存在浏览器的会话内存中（chrome.storage.session），绝不写入磁盘，不包含在备份或诊断导出中，并在浏览器完全退出后自动销毁。
传输最小化：发往服务商的正文严格截断在 12,000 字符以内。TabBoy 绝不发送任何浏览历史或其他标签页。
完全独立：BYOK 永远免费、无调用次数限制，且与未来的任何 TabBoy Pro 付费服务完全解耦。

未来可选高级服务（尚未上线）

TabBoy 未来可能会提供云端托管功能：

TabBoy Pro (托管版)：可选的付费订阅服务，支持端到端零知识加密 (E2EE) 的多设备同步。此服务尚未上线，上线前将提前公布明确条款。
BYOK 服务将始终保持免费独立。

安全不变性

无任何隐藏的破坏性浏览器操作。
破坏性的关闭、保存与删除流程均需要用户明确二次确认。
导入的备份与规则预设在使用前均经过 Zod 校验。
规则仅为纯数据：禁用 $where、函数、任意 JavaScript 代码及远程代码。

诊断信息

问题排查始于本地诊断导出。TabBoy 绝不会自动上传诊断信息。在下载 JSON 之前您可以预览摘要，并自主决定是否提交到 GitHub Issue 中。

您的权利与联系方式

由于 TabBoy 没有用户账号体系，不收集任何遥测数据，且不向 FlowCrate 服务器传输任何个人数据，FlowCrate 不保存您的任何个人数据。您的数据完全保留在您自己的浏览器存储中。

如对隐私有任何疑问，请通过 GitHub Issues 联系。

隐私政策变更

任何重大变更（特别是增加新网络连接或新可选服务）都会在相关功能发布前在此更新，并在更新日志中说明。