页间隐私政策

一、本地笔记与使用范围

页间提供手写笔记、文件管理和交互教具。您无需注册应用账号即可使用离线笔记和内置教具。笔迹、文字、导入图片与文件、教具内容在设备上处理，保存在应用目录或您选择的文件夹中。

应用在本机保存设置、最近打开记录、会话恢复数据、缩略图，以及您添加的字体、贴纸和主题。这些数据用于恢复编辑状态和展示笔记，不会因打开应用、书写或使用内置教具而自动上传给模型服务。

学习助手按当前文档在应用私有目录保存对话、草稿、原始回复和作品版本，不在历史中保存 API 密钥、访问码或圈选截图。主动圈选网页的定位文字、元素及源码片段可随当前对话保存在本机，用于继续修改。对话历史不参与系统备份和换机迁移；卸载应用会清除这些历史。

电脑 AI 内容库由您主动刷新、搜索和接收，只向填写的电脑服务查询内容，不上传本机手写笔记或调用模型。接收后在当前文件夹新建独立多页笔记，可离线书写；电脑的新版本不会自动覆盖本机笔迹。服务地址保存在本机，访问码只在内存。接入电脑端 MCP 的 AI 客户端可以读取、创建与修改该电脑内容库，是否向自己的模型发送资料由客户端配置与服务商决定；MCP 不访问设备上原有笔记或模型密钥。

二、您主动使用 AI 时发送什么

AI 为可选功能。首次使用时，您可以选择仅离线使用；明确启用 AI 后，还需要在生成面板点击“生成并预览”，或在对话中点击“发送”“发送修改”才会请求模型。仅导入图片、圈选内容或打开预览，不会发送模型请求。

平板直连模式会把您的描述、所选教具风格、教具生成规范，以及您勾选附带的内容截图发送到您填写的模型接口。模型名称和 API 密钥用于访问该接口。电脑服务模式则先发送到您填写的电脑服务，由电脑转发到其配置的模型服务；模型密钥保留在电脑。接收请求的服务可能获取网络来源地址等连接信息。

对话创作和继续修改时，请求会包含最近的相关对话及您当前选中的作品源码。使用网页圈选画笔后，还会附上所圈区域的位置、对应网页元素、文字和小段源码，帮助定位修改处；它只读取当前预览的网页。仅查看历史、切换作品版本、画圈或粘贴回复不会请求模型；只有点击发送后才发送这些资料。

“圈选笔记生成”和“导入图片题目”会在本机制作并展示截图，默认勾选附图。您可以取消附图或取消生成。截图可包含选区内的笔迹、原生文字、图形、导入题图及页面底图；不会读取其他应用或交互教具网页。附图且未填写描述时，应用会增加识别题目和制作教具的通用指导。

返回的教具先供您预览，确认放入笔记后才保存；已有教具需要确认替换。取消或失败会保留原笔记和已导入题图。不要向模型发送不必要的个人信息、他人隐私或密钥。服务支持的输入、输出质量、费用和保留规则由您选择的服务商决定，请在使用前阅读其说明。

三、可选账号与多设备同步

新账号注册需验证邮箱。邮箱地址和验证码由配置的发信服务处理；账号服务保存用于验证、唯一性校验和防滥用的邮箱及验证码摘要、有效期、尝试次数与验证记录，不保存验证码明文。一个邮箱只能注册一个账号。验证码 10 分钟有效，重发及验证尝试有频率限制；已有账号仍可使用原账号密码登录。

已验证注册邮箱的账号可以申请邮箱验证码找回密码。发信服务处理实际收件地址，账号服务保存验证码摘要、设备标识、尝试与限流记录，以及用于核实重置结果的回执；不保存验证码或新密码明文。成功重置会撤销所有设备的原登录会话，保留笔记与有效会员权益。未绑定邮箱的历史账号需联系实际账号服务维护者核验；旧版服务器可能不支持自助找回。

使用平台提供的模型时，账号服务保存每日调用次数、短期调用凭证状态和结果状态；普通账号每日 100 次，VIP 每日 1000 次，按北京时间零点重置，多设备共享。您的描述、相关对话、作品源码及您选择附带的图片会经页间服务器转发给模型上游，模型回复也经页间服务器返回设备。转发服务不主动持久保存这些模型内容，也不将其写入应用运行日志；您主动保存和同步的笔记仍按同步规则处理。原始模型密钥仅保存在服务器私密配置，不下发到客户端。兑换 VIP 时，服务保存兑换码摘要、开通天数、账号及到期时间，保留防重复兑换的记录。

只有您注册或登录并使用同步服务时，配置的服务才会处理用户名、口令验证信息、会话令牌、设备标识、设备名称、平台及同步时间。服务端用带随机盐的 scrypt 保存口令验证值；不能因此认为弱口令安全。Android 登录令牌通过 Android Keystore 加密保存在本机，网页与电脑端的会话和本地笔记受该设备及浏览器存储保护。

启用同步后，笔记标题、页、笔迹、批注、图片、教具源码及相关文档元数据会发送到配置的账号服务器，并可能下载到您登录的其他设备。首次登录可能将当前尚未归属账号的本地笔记关联到该账号并开始同步，请在登录前核对当前设备及笔记。AI 密钥不随笔记同步。

同步服务保存当前文档及历史修订，直到按保留与清理流程处理。当前备份工具保留最近两份备份，备份轮换前可能仍包含已删除的数据；退出登录、撤回公开副本或卸载应用都不等于立即清除全部服务器备份。自建服务器由其运营者负责实际保存期限、备份、日志、访问权限和删除请求。

四、公开市场与外部插件

发布笔记、教具或插件到市场前需由您主动选择内容并确认公开；发布的标题、说明、作者标识、所选页面与资源将可被其他用户查看、下载或复制。评论、回复、点赞、收藏及举报会向市场服务发送相应内容和账号标识；举报另向维护者提供处理线索。请勿公开学生信息、私人笔记、受限教材或凭据。撤回后无法删除他人已经下载的副本。

安装外部插件前请检查来源和权限。插件清单、代码及必要资源保存在本机；Android SDK 1 代码在有限额的离线 QuickJS 沙箱中运行，通过宿主校验的接口使用文档、界面或 AI 等声明能力。AI 相关权限仍须遵守用户的 AI 使用选择。宿主隔离不能替代对插件来源的判断；自由创作内容可按下文说明加载 HTTPS 外部资源。

五、网络连接

平板直连模型只接受 HTTPS，使用系统证书与主机名校验，不跟随模型接口重定向。正式版电脑服务连接只接受 HTTPS；账号与跨网络同步也使用配置的 HTTPS 服务。开发测试版可在可信私有局域网使用 HTTP，这种连接未加密，请勿用于公开网络。

离线笔记和内置教具不需要连接模型。传统教学教具的脚本运行在受限环境中，不能直接读取本机文件、模型密钥或设备权限，不能提交表单、打开其他页面或直接调用网络接口；外部资源默认阻止。插件可调用的宿主能力另由其声明权限与宿主检查约束。

自由创作的网页为显示您收到的图片、样式、字体、音视频和脚本，可以加载作品引用的 HTTPS 资源。打开或查看此类作品时，资源提供方可能收到网络地址及资源请求信息；断网或资源失效时相应内容可能无法显示。React 和 TypeScript 渲染所需组件已内置，不为它们额外请求外部服务。

六、权限与文件选择

应用内检查更新会向官方 HTTPS 下载站请求版本信息；点击下载后才获取更新包，并验证大小和 SHA-256。Android 额外校验包名、版本和签名，读取网络状态以选择直连网络；安装应用权限仅用于您主动发起的更新，并由系统确认安装。Windows 在保存笔记后退出并替换程序文件，保留上一版用于恢复；更新不卸载应用或清除笔记与账号资料。

应用使用互联网权限访问您选择的模型或电脑服务。导入题图、PDF、笔记，选择笔记文件夹以及导出分享时，由您通过系统文件选择器或分享面板选择来源和目标。选择文件夹可能授予应用对该文件夹的持续访问权限，便于以后打开和保存笔记。

应用不申请相机、麦克风、定位、通讯录或电话权限，不读取短信，也不跨应用截屏。您主动选择分享目标后，该应用或文件提供方会按其规则处理接收到的内容。

七、本地保存、密钥与系统备份

平板直连的地址、模型和 API 密钥可仅在本次运行中使用。只有点击“加密保存到本机”时，应用才会将这些配置通过 Android Keystore 管理的密钥加密保存；保存位置不参与系统云备份和设备迁移。更换接口地址不会自动沿用旧密钥，您可以在 AI 面板清除已保存配置。

电脑服务地址保存在应用设置中；电脑服务访问码仅保存在当前运行时内存，不写入笔记或偏好设置。教具 HTML 随笔记保存，可能包含您的描述或模型输出。发布安装包不包含用户或开发者的模型密钥。

应用的系统云备份范围仅包含设置目录，不包含应用自有笔记、字体、贴纸及临时会话。Android 12 及以上设备迁移规则允许迁移应用自有笔记、设置、字体、贴纸和主题；另选文件夹的内容由其文件提供方管理。是否实际备份或迁移还取决于系统版本、厂商、系统设置与额度。重要笔记请主动导出或复制。

启用 AI 的选择不参与备份或迁移，迁移或卸载后重装需重新作出选择。本地加密和运行隔离有其限度；设备被解锁、安装恶意软件或被取得系统权限时，不能保证数据绝对安全。

八、第三方服务与诊断

应用没有内置广告或行为分析服务，也不会自动上传使用记录或崩溃报告。用于笔迹、文档和教具展示的开源组件在本机运行；组件与字体署名可在“关于 → 开源许可与字体署名”查看。

您选择的模型服务、电脑服务、系统备份、文件提供方和分享目标分别处理您交给它们的内容。服务的实际位置、保留期限、再使用与删除规则可能不同，应由您在选择时了解。本应用无法撤回已经发送到这些服务的数据。

电脑服务在模型请求失败时可记录状态码等运行诊断，不主动把描述、内容截图或凭据写入应用日志；电脑部署环境、反向代理和服务商自身的日志由其管理者负责。应用内“复制诊断”和“分享反馈”由您主动触发，发送前请检查内容。

九、保存期限与您的选择

笔记和相关本地数据保留在您选择的位置，直到您主动删除或由系统清理。移入应用回收站的文件仍可恢复，永久移除需在回收站处理。会话和缩略图等缓存用于编辑恢复和展示，可由应用更新或清理；关闭 AI 不会删除您的笔记。

电脑端回收站只管理本机笔记。移入后暂停该笔记在本机的同步，恢复后可继续编辑与同步；永久删除需输入笔记标题确认，并清除本机原稿。本机保留有限的删除操作记录及账号笔记隐藏标记，避免被同步重新拉回。回收站操作不会删除云端、其他设备、已导出的副本、既有备份或市场中的公开副本。

您可以查看、编辑、导出和删除笔记，也可以撤回 AI 使用选择、清除保存的模型配置。卸载或清除应用数据会移除应用私有数据，但不会自动删除另选文件夹、导出副本、系统备份以及已发送到第三方服务的数据。换机、卸载或清除数据前，请先备份重要笔记。

账号与同步为可选功能。退出账号会停止该账号在本机的同步，不等于删除服务器数据。您可以导出本机原稿、撤回公开发布。支持自助注销的服务器可在“页间账号 → 隐私与账号数据”中验证账号密码并明确确认注销；旧版或自行部署的服务器未提供此能力时，界面会说明并提示联系该服务维护者。注销前请下载并导出重要云端原稿。

注销成功后，所有设备的账号会话撤销，私有云端笔记、本人公开发布、点赞、收藏、本人举报内容和评论正文从运行服务中移除。本机原稿不删除，仍可查看和导出。文件由服务回收流程清理，已有传输和备份租约结束前可能仍保留文件；用户名保留以防冒用，评论线程中仅保留匿名的已删除记录，并保留必要的注销回执及安全审计记录。注销请求结果不明时会暂停同步，保留原请求供核实，不把网络错误当作注销成功。

他人已经保存或导出的副本、既有离线备份以及外部模型服务保存的数据不因注销自动撤回。备份由实际服务维护者按其备份周期轮换；恢复旧备份时必须合并最新注销记录，避免恢复已注销账号。历史数据或其他个人信息处理请求请联系实际服务维护者，公开反馈中只描述诉求，不要提供密码、令牌、私人笔记或身份资料；后续由维护者安排非公开核验。模型服务的数据需向相应服务商提出请求。

注销会移除有效 VIP 权益和管理员权限；为防止反复注册获取额度或重复兑换，保留最少的邮箱唯一性摘要、兑换及调用安全记录。恢复旧备份时会合并最新账号、邮箱及兑换记录，不恢复已使用兑换码或已撤销会话。

十、如何关闭 AI 或清除配置

在“关于 → 隐私与数据使用”可以关闭 AI，也可以重新阅读说明后明确启用。关闭会取消进行中的生成请求，但不能撤回已发送给服务商的数据；离线书写、文件管理和内置教具继续可用。

平板直连配置可在 AI 面板中清除。删除本地密钥配置不等于吊销服务商密钥；如果密钥已泄露，还需要在服务商处撤销或更换。不要把 API 密钥发送到反馈或诊断内容中。

十一、未成年人使用

未成年人应在监护人指导下使用本应用和外部 AI 服务。未满十四周岁的使用者在向外部服务发送个人信息前，应取得监护人同意。课堂演示宜使用匿名题目，避免上传学生姓名、联系方式、证件信息或其他无关个人资料。

本应用不要求提供年龄或身份信息。监护人对本机笔记或已发送至服务商的数据有疑问时，可使用本地删除、关闭 AI 等功能，并联系实际接收数据的服务商；涉及本应用的疑问可通过本页联系信息反馈。

十二、说明更新

本页标明说明版本和更新日期，完整正文保存在安装包中，可离线阅读。公开政策页应与对应发布版本的正文一致。涉及新增数据发送用途、范围或接收方的变化，应在相关操作前另行说明并由您明确选择。

十三、联系与反馈

本测试版由 GitHub 开发者 LiJzd 发布，公开联系入口为 https://github.com/LiJzd/yejian/issues，公开政策为 https://github.com/LiJzd/yejian/blob/main/PRIVACY.md。一般问题可以提交 Issue；数据使用、删除或更正请求请先描述诉求，由维护者安排必要的非公开核验。公开反馈中不要发送 API 密钥、密码、令牌、私人笔记或身份资料。安全漏洞请按仓库 SECURITY.md 使用私密漏洞报告渠道。