隐私政策

1. HTML 转换与本地保存

文件会临时上传用于转换；浏览器成功接收并保存结果后发起删除，异常残留由定时任务清理。工作区和编辑草稿仍保存在当前浏览器。 Supabase 保存临时私有对象及会话元数据（文件名、字节大小、归属、凭据摘要、经密钥散列的网络标识及到期时间），用于转换、权限控制和防滥用。会话通常可在 30 分钟内重试；上传权限持续两小时，清理记录保留更久以回收迟到上传。清理延迟或故障可能延长保留时间，不承诺在某一分钟绝对删除。

原 HTML、文件名、转换结果、任务信息和编辑草稿存储在当前浏览器的 IndexedDB 中。任务创建满 7 天后，在网站下一次运行清理时删除。你也可以提前删除任务或清空本地历史。下载到设备的副本由你自行保管和删除。

2. 广场存储与公开展示

广场投稿默认关闭。开放后，原始 HTML 保存在 Cloudflare R2 私有桶中；Supabase 保存作品名称、分类、语言、账户标识、确认版本、文件大小、内容校验值、创建时间、审核状态和公开状态。管理员的审核可能包含简短说明和审核时间。审核前，仅作者和现有管理员可以访问。使用 gallery-share-v1 授权的新投稿审核通过后公开预览，并向登录用户提供原始 HTML 下载及导入 PageOn 编辑的入口；早期 private-review-v1 投稿保持私密。

投稿不适用临时转换清理规则或浏览器工作区的 7 天保留期。文件保存在私有对象存储中，应用根据审核和公开状态控制访问。可在「我的投稿」中永久删除源文件和作品信息。删除时先撤回访问；如果存储清理失败，页面会显示删除处理中，并允许重试。仅在清理未完成时保留文件定位信息，以便运营方完成清理。下载量统计成功受理的下载请求，不代表用户已经保存到设备。为避免 7 天内的重试重复计数，我们保存下载请求标识、模板标识、账户标识和请求时间。过期记录会在后续下载时逐步清理，每次最多清理 100 条，不承诺恰好在 7 天时删除；累计下载量长期保留。

将广场模板导入 PageOn 时，会保存应用标识、模板标识、账户标识和创建时间。应用次数与下载量分开统计：同一编辑任务在编辑器报告首次成功导出时计入一次，并记录完成时间；重试或同一任务的后续导出不会重复计数。这些最小回执及累计次数可长期保存用于去重，源作品删除后也可保留；其中不包含 HTML 或文件名，不适用浏览器工作区的 7 天清理规则。为避免重复发放投稿奖励，还会保留包含投稿标识、5 积分奖励数额和发放时间的最小奖励回执。

删除完成后，为执行滚动 24 小时防滥用限额，会保留关联账户的最小投稿标识和原始创建时间。这些记录在限额窗口到期后可被清除，并由同一账户的下一次投稿或运营方清理删除，不承诺精确到时删除。服务提供方可能依其备份保留规则保留备份副本。若删除长期未完成，或希望移除关联账户的记录，请联系下方运营方。服务器删除不会影响你已经下载的副本和本地工作区。

3. 投稿隐私检查与审核邮件

选择提交模板时，PageOn 网站后台会使用库和规则检查文件及作品标题中提取的文本，提示可能存在的联系方式、密钥及其他支持的格式。姓名、公司候选仅限带明确字段标记的内容，不能识别任意正文中的人名或公司名。检查不会自动修改文件，也不替代人工审核。发现匹配项、只完成部分检查或检查失败时，你可以先编辑、重试，或自行确认后继续投稿。

扫描服务不持久保存原始片段和检查报告，应用错误不包含这些内容；结果仅保留在当前投稿弹窗中。图片文字、外部资源和运行脚本生成的内容不在检查范围内；自动识别可能漏报或误报。

Resend 向管理员发送待审核通知，并向投稿人的已验证账户邮箱发送审核通过通知。邮件包含投稿标识、相关入口和已确认的奖励，不附带 HTML 或敏感信息命中内容。服务保留最小发送状态、尝试次数和时间，用于失败重试及避免重复通知；邮件服务商处理收件地址和邮件投递信息。

4. 账户信息

使用 GitHub 或 Google 登录时，身份验证由你选择的登录服务和 Supabase 处理。我们接收登录流程提供的用户标识、邮箱、姓名、头像等账户资料，不会获得你的登录服务密码。使用邮箱注册时，邮箱和密码直接提交给 Supabase 进行验证；注册验证和密码重置通过邮件完成，PageOn 不会将密码写入本地存储、业务日志或统计事件。

Supabase 保存身份验证信息及账户积分权益。这些信息用于登录、展示账户、关联购买和防止未经授权的积分扣除。无需账户也可以使用本地编辑和普通导出。

5. 支付与导出记录

结算页面显示的支付渠道（目前可能是 Paddle 或 Dodo Payments）按照其隐私声明处理结算和支付信息。PageOn 不收集或保存完整银行卡号和安全码。结算时会使用 PageOn 账户标识关联购买。

应用保存渠道名称、支付通知及交易标识、账户标识、订单和价格信息、发放积分数量和时间，用于交付购买内容并避免重复发放。高级导出扣次记录包括导出标识、账户标识、使用积分数和时间，不包含 HTML 或文件名，并安排在 7 天后清理。

独立的积分收支明细从功能启用起记录账户标识、变动数量、变更后余额、原因和时间，不保存 HTML、文件名或银行卡信息，不补记此前流水。明细随账户保留，不随 7 天导出重试记录清理删除。7 天规则不适用于账户信息、积分余额或购买记录。这些信息会在运营账户、处理支付问题及履行适用义务所需期间保留。各支付渠道独立管理其记录与保留期限。

6. 浏览器偏好与外部请求

浏览器存储还用于记住登录会话、语言、外观偏好和不含敏感内容的渠道参数。退出登录会移除本地登录会话，不会删除本地 HTML 工作区或账户；清空本地历史也不等于注销账户。

发起购买时，网站会跳转到所选渠道的结算页或加载其结算脚本。你提交的 HTML 也可能引用外部图片、字体、样式或嵌入内容。即使预览禁用了文档脚本，加载这些资源仍可能向其提供方发送 IP 地址和常规请求信息。

托管及服务提供商可能处理 IP 地址、浏览器信息、时间和错误信息等技术请求数据，以交付和保护服务。我们不会有意将文档正文写入应用日志。

7. 统计分析与会话回放

启用统计功能后，PageOn 使用百度统计收集页面访问、流量来源、渠道参数、概括性的设备和语言类别，以及上传、编辑、下载、登录和结算等少量产品事件。我们不会有意把文件名、HTML 内容、邮箱、访问令牌、支付详情或完整错误信息作为埋点属性发送。

Microsoft Clarity 可能用于首页和政策页等公开页面的热力图与会话回放；编辑器、任务、结算和管理页面默认禁用。账户信息及源于用户文件的标签还会显式遮罩。浏览器插件、网络策略或第三方服务故障可能阻止统计，但不会影响 PageOn 核心功能。

8. 服务提供商与处理目的

我们使用托管服务、GitHub 或 Google 登录、Supabase 身份验证和账户数据服务、Cloudflare R2 广场文件存储、Resend 审核通知、Paddle 或 Dodo Payments 结算服务、百度统计流量分析及 Microsoft Clarity 行为分析。各提供商接收提供相应服务所需的信息。根据提供商及部署位置，数据可能在你所在国家或地区以外处理。

信息用于提供你请求的服务、了解和改进产品使用情况、维护安全与稳定性、处理支持及支付问题和履行适用义务。需要另行取得许可的处理，我们会征求相应许可。我们不出售你的 HTML 内容，也不将其用于训练 AI 模型。

9. 你的选择与请求

你可以通过网站下载文件、删除本地任务、清空本地历史和退出登录。清除浏览器数据也会删除本地工作及偏好，请先下载需要保留的内容。

根据适用法律，你可以申请访问、更正或删除账户信息，或对某些处理提出异议或限制请求。账户和隐私请求请联系下方列明的运营方。处理前可能需要验证账户归属；部分记录可能因法律或支付原因需要保留。

数据处理方式变化时，我们会更新本页。下方日期标明当前版本。