Why First 隐私政策

Why First 是一款本地优先（Local-first）的浏览器扩展：你浏览了什么，永远不会到达我们这里。本政策说明四类确实会离开你设备或到达我们服务的内容——Pro 许可证请求、可选的 AI 判定、你购买商品时产生的账号与订单记录，以及由我们的记账方代为处理的支付。

留在你浏览器里的东西

默认情况下，扩展保存的一切都存放在浏览器的扩展本地存储（browser.storage.local）中，其中没有任何内容会发送给我们：

• 你配置的网站与 URL 规则列表。
• 你在意图确认时可选填写的简短备注（「理由」）。
• 原始使用统计：每条规则每天的访问次数与停留时长。
• 仅存本地的一些状态：你的判定评价、当天的破例额度，以及下面提到的签名 Pro 凭证。

我们不运营浏览数据后端：扩展不会向我们发送任何域名、URL、备注、页面内容或统计数据，我们也不持有关于你的浏览历史。

扩展能看到什么

当你导航到一个配置了规则的网站时，扩展会看到你正要前往的域名与 URL 路径，用于判断是否展示确认页。它永远不会读取页面正文、表单字段、cookies，或你在其他网站输入的任何内容。

AI 判定（可选，默认关闭）

AI 判定用于判断你填写的备注是否对得上你正在打开的网站。它默认关闭；关闭期间不会发送任何内容，改用本地检查。当你开启它并有一条备注需要判定时，扩展会把你的备注、该域名，以及你为这个网站填写的站点说明发送到你选择的 AI 端点：

• 你自己的服务商或端点（由你提供 API 密钥）：请求从浏览器直接发往该服务商，绝不经过 Why First。
• Why First 内置的默认 AI 端点（api.typesafe.ai），或经由你的 Why First 账号完成的判定：请求会到达我们的 AI 判定服务，并由它转交我们的 AI 供应商。

我们的判定服务只保存一次判定的账务信息——消耗了多少次判定、何时执行、由哪个供应商回答——并刻意不保存备注原文、提示词与判定结论。扩展会在发送之前告诉你当前生效的是哪一种去向，且任何情况下都不会发送你的浏览历史、URL 或页面内容。

你购买商品时我们会保存什么

购买 Pro 或 AI 意图判定次数需要一个 Why First 账号，以邮箱地址标识、由密码保护。账号存在的理由，是让订单、权益与判定次数余额有归属。账号里保存：

• 账号信息： 你的邮箱地址，以及注册时填写的姓名。
• 登录会话： 每次登录对应一条会话记录，其中包含创建该会话时的 IP 地址与 User-Agent，以便撤销会话。
• 订单： 每笔完成的支付一行——商品、金额与币种、支付伙伴的交易与客户标识，以及该订单是否已退款或拒付。
• 权益： 当前是哪一笔购买（或人工授予）为你开通了 Pro。
• AI 意图判定次数： 你的余额、一份只可追加的流水账本（发放、消耗、冲正），以及经由我们完成的判定的用量账务。
• 支付事件： 支付伙伴自身推送的 Webhook 报文，原样保存用于对账，并在事件结清 30 天后清空为空报文；原报文的哈希会保留。
• 运维审计记录： 哪位工作人员、对哪个账号、出于什么原因执行了操作——余额调整与账号停用必须有这类记录。

这些内容里没有域名、URL、意图备注、页面或访问记录。删除规则、备注或统计不会影响这些记录，反之亦然。

支付与记账方

Pro 与 AI 意图判定次数通过作为**记账方（Merchant of Record）**的支付伙伴销售。它在其自有的托管结账页面向你销售、代收代缴税费、出具收据，并按消费者与税务法律的要求保存订单、客户与退款记录；这部分处理受其自身隐私政策约束。我们永远不会看到或保存你的卡信息。

当我们的收银流程能够预填支付页面时，我们会把你账号上的邮箱地址发送给该伙伴。支付伙伴的记录与我们的记录通过订单号与交易号对应，因此伙伴报告的退款能够匹配到它所对应的购买——退款正是以这种方式撤销权益以及该笔购买发放的判定次数。

Pro 许可证校验

购买 Pro 后你会获得一枚许可证密钥，由扩展进行激活。激活是原始密钥唯一一次离开你设备的时刻：一次激活请求包含许可证密钥、在你设备上生成的匿名安装 ID（不是硬件指纹）、产品 ID、应用版本，以及浏览器类型。它绝不包含域名、URL、备注、统计数据或页面内容，也不包含任何支付或账单信息。

我们的许可证服务向支付伙伴核验该笔购买，然后返回一份签名凭证，保存在你浏览器的扩展本地存储中。激活之后扩展不再保留原始密钥；此后的每一次请求（后台刷新与解绑）都只发送该签名凭证与应用版本，别无其他。许可证服务不保存任何浏览数据，也不建立账号：它只就支付伙伴已持有的购买回答一个授权问题。

签名凭证带有离线宽限期——默认 60 天，可配置为 30 到 90 天，从最近一次成功签发起算。离线期间，Pro 在宽限期内继续可用。超过宽限期、直到下一次校验成功之前，Pro 功能关闭并降级为 Free；你的规则、统计与备注都不会被删除，一次成功的校验或重新激活即可恢复 Pro。

在有网状态下，扩展会在后台刷新许可证，通常大约每一到两周一次。如果你在设置中解绑 Pro，扩展会发送同一份签名凭证与应用版本，让许可证服务释放该设备的激活。已退款或已撤销的密钥会在下一次校验成功时失效，因此我们不承诺固定的撤销生效时间。

跨设备同步

扩展可选的「规则与设置跨设备同步」已经实现，但本版本尚未开放，因此今天不会有任何规则或设置为了跨设备而离开你的设备。若我们开放该功能，它将经由浏览器自带的同步服务（Chrome 为 Google，Firefox 为 Mozilla）按你的浏览器账号条款运行，只承载规则与设置；浏览历史、意图备注与统计数据永不参与。Why First 不参与这一传输过程，也无法读取同步的数据。

第三方

• 我们的记账方销售 Pro 与 AI 意图判定次数、代收税费，并按税务与消费者保护法律保存订单与客户记录。当它的结账页可以预填时，它会收到你账号上的邮箱地址，除此之外不会收到任何关于你浏览的内容。
• 我们的 AI 供应商会收到经由 Why First 完成的判定所涉及的备注、域名与站点说明，用于回答该判定。我们没有让它据以识别你身份的约定，也不会向它发送任何账号标识。
• 你自己的 AI 服务商或端点由你自行配置，直接从你的浏览器接收你的备注。你提供它的密钥，该请求受它自身条款约束。
• 你的浏览器厂商：仅在未来开启跨设备同步时才会涉及。

保存期限

• 浏览数据：从不在我们的服务器上，因此我们没有可保存的东西。
• 账号、订单、权益与判定次数记录：在你的账号存续期间保存；订单记录按税务与消费者保护法律要求的期限保存。
• 支付事件报文：事件结清 30 天后清空，原报文哈希保留。
• 判定次数账本与运维审计记录按设计只可追加：订正是一条新记录，而不是修改旧记录。
• 登录会话：直到你退出登录、会话过期，或工作人员撤销它。

你的控制权与权利

• 随时在扩展设置中删除任何规则、备注、统计或评价。
• 设置中的「清除全部本地数据」会移除扩展存储的所有内容，包括本地的 Pro 凭证。
• 卸载扩展即删除所有本地存储的数据。
• 请写信至 privacy@shiquda.com 咨询你的账号数据：索取我们保存的副本、要求更正，或删除你的账号。我们将在 30 天内答复。若某笔订单依法必须保留，我们会明确告知，并且只保留该记录。

变更

我们可能更新本政策。重大变更会在扩展更新日志与本页面中注明，并更新「最近更新」日期。