页面访问与来源
匿名访客与会话标识、页面路径和标题、上一页面、落地页、来源网址、UTM 参数、客户端时间与时钟偏移。敏感查询参数会在浏览器发送前被替换。
PRIVACY & ANALYTICS
隐私与分析
这里公开说明官网会收集什么、为什么收集、保存多久，以及你如何退出或重新允许本浏览器进行分析尝试。
YOUR PREFERENCE
你的分析偏好
Global Privacy Control（GPC）或 Do Not Track（DNT）会在读取或创建匿名标识前自动退出。你也可以手动退出；这会删除本网站拥有的访客和会话标识。
当前页面会立即停止继续创建分析事件；其他同源页面通过本网站自有存储、具名退出 Cookie 和实时同步尽力继承。退出 Cookie 只保存数值 1；256 位随机撤销凭据只保存在本网站拥有的 localStorage 标记中，服务器仅保存使用独立密钥生成的摘要。
重新启用会先保留凭据并向服务器登记、撤销当前凭据；只有服务器确认后才清除本地标记和退出 Cookie。离线或服务不可用时会继续保持退出并显示重试状态。GPC / DNT 始终优先，其他已经打开的页面不会被远程切换为启用。
无法读取本浏览器的分析偏好；未开启分析发送
COLLECTION
收集的数据类别
只处理浏览器和请求无需额外权限即可提供、且属于下列范围的信息。
设备与浏览器
浏览器和客户端提示、语言与平台、屏幕和视口、网络估计、隐私信号、设备能力、固定字体列表结果，以及浏览器直接提供的电池和存储容量估计。普通字段还包括标准（masked WebGL）vendor、renderer 与能力上限。
治理门禁下的敏感浏览器字段
unmasked WebGL vendor/renderer、canvas hash 和 combined fingerprint 只有在负责人真实签署治理 ACK，且干净构建时注入的标识与签署记录精确匹配后才可能启用。当前生产配置未启用这些字段，相关数据不会被采集或落库。
性能
导航与资源计时、TTFB、FCP、LCP、CLS、INP、长任务汇总和浏览器支持时的内存汇总，用来定位页面速度与稳定性问题。
下载入口点击
记录产品、平台、渠道和版本对应的下载入口点击。TestFlight 加入入口点击只表示有人打开邀请入口，不代表安装、激活或持续使用。
请求与安全信息
服务器接收时间、已清理的请求信息、请求编号、机器人分类，以及由可信代理确认的 IP 数据。原始 IP 加密保存，IP 摘要与密文分开处理。
PURPOSE
处理用途
分析用于网站运营和产品入口趋势，不用于广告画像或出售个人信息。
改进网站
了解页面是否易用、来源是否清楚，并据此调整信息结构和发布内容。
保障可靠性
测量加载和交互性能，发现异常、失败请求与兼容性问题。
理解公测关注
比较各产品和平台的入口点击趋势，不把点击推断成安装或活跃用户。
控制滥用
使用 IP 摘要进行限流、退出状态匹配、安全排查和去标识化趋势汇总。
PROTECTION & ACCESS
加密、访问与审计
原始 IP 使用版本化密钥加密保存，只能在原始事件保留期内由有业务需要的认证管理员进行短期受控查看。IP 摘要使用独立密钥生成，用于限流、退出状态匹配和安全趋势，不用于公开识别个人。
管理员访问受身份验证和权限限制；敏感查看、导出、删除及治理变更会写入审计记录。
180 天原始分析事件、性能记录与下载入口点击
365 天管理员访问和操作审计记录
无限期经验证且不含原始事件内容的每日聚合
撤销凭据声明与服务器退出标记最多保留 365 天，并以受控周期刷新；过期声明先清理，只有同一 IP 摘要下没有其他有效声明时才清理父级退出标记。共享 NAT 下的多个浏览器声明相互独立，只有持有原凭据且仍处于原网络上下文的浏览器能够撤销自己的声明。
超过 180 天未活动的访客、已过期会话、无引用的设备资料与来源字段会通过受限维护任务清理；任务只返回删除数量，失败会让维护状态保持失败并触发运营告警。管理员审计保留 365 天，原始事件保留 180 天，已验证聚合无限期保留。
本地期限为：访客 Cookie 最长 180 天，手动退出 Cookie 最长 365 天，sessionStorage 随浏览器会话结束；localStorage 中的版本化手动退出标记保留到用户清理或服务器确认撤销，访客标识在退出时删除，否则保留到浏览器或用户清理。
EXCLUDED
明确排除的数据
我们不会请求精确定位或读取权限状态、剪贴板、相机、麦克风、联系人、蓝牙、USB、串口或 HID；不会收集表单内容、按键、认证令牌、任意请求正文、无关 DOM 内容、原始画布像素或音频样本。
客户端分析程序只访问自己的三个存储键，不会读取或解析整条浏览器 Cookie 字符串；它只写入自己拥有的访客与退出 Cookie，也不枚举其他 localStorage、sessionStorage、IndexedDB 或缓存内容。服务器接收请求时只匹配自有退出标记，不解析其他 Cookie。
原始事件、性能和下载点击保留 180 天，审计与退出生命周期记录保留 365 天，经验证聚合无限期保留。手动退出会让当前页面立即停止；重新启用只有在当前撤销凭据得到服务器确认后完成，网络失败不会恢复收集。生产敏感字段仍受真实治理 ACK 与 Task 12 干净构建清单硬门禁约束。