Why First 隐私政策

Why First 是一款本地优先（Local-first）的浏览器扩展：你浏览了什么，永远不会到达我们这里。本政策说明五类确实会离开你设备或到达我们服务的内容——每日匿名版本检查、Pro 许可证请求、可选的 AI 判定、你购买商品时产生的账号与订单记录，以及由我们的记账方代为处理的支付。

留在你浏览器里的东西

默认情况下，扩展保存的一切都存放在浏览器的扩展本地存储（browser.storage.local）中，其中没有任何内容会发送给我们：

• 你配置的网站与 URL 规则列表。
• 你在意图确认时可选填写的简短备注（「理由」）。
• 原始使用统计：每条规则每天的访问次数与停留时长。
• 仅存本地的一些状态：你的判定评价、当天的破例额度，以及下面提到的签名 Pro 凭证。

我们不运营浏览数据后端：扩展不会向我们发送任何域名、URL、备注、页面内容或浏览统计数据，我们也不持有关于你的浏览历史。

匿名每日版本检查

扩展每天向我们的服务发送一次请求，检查是否有新版本可用。该请求携带三个字段：在你设备上生成的随机安装 ID（不是硬件指纹）、扩展的构建版本，以及浏览器类型（Chromium 或 Firefox）。它不携带任何账号、凭证、域名、URL、备注、页面内容或浏览数据。

我们的服务按 UTC 日存储该安装 ID 的加盐哈希（以服务端密钥为盐的 HMAC-SHA256），以及浏览器类型与版本，用于统计每日活跃安装数与 30 天留存率。哈希意味着服务能跨日识别同一安装——这正是留存统计所需——但服务端不存储原始安装 ID。该记录不含浏览数据，也不与任何账号、订单或许可证关联。

在扩展设置中选择「清除全部数据」会删除安装 ID。下次检查时会生成新的随机 ID，因此服务无法将旧记录与新 ID 关联——该安装会被视为全新安装。版本检查本身没有用户可见的开关；如果构建时未配置托管服务地址，则不会发送任何内容。

扩展能看到什么

当你导航到一个配置了规则的网站时，扩展会看到你正要前往的域名与 URL 路径，用于判断是否展示确认页。它永远不会读取页面正文、表单字段、cookies，或你在其他网站输入的任何内容。

AI 判定（可选，默认关闭）

AI 判定用于判断你填写的备注是否对得上你正在打开的网站。它默认关闭；关闭期间不会发送任何内容，改用本地检查。当你开启它并有一条备注需要判定时，扩展会把**你的备注、该域名，以及你为这个网站填写的站点说明或站点约定（Pro）**发送到你选择的 AI 端点：

• 你自己的服务商或端点（由你提供 API 密钥）：请求从浏览器直接发往该服务商，绝不经过 Why First。
• Why First 自带的判定服务（api.whyfirst.app，由它把每次判定转交我们的 AI 供应商 TypeSafe），或经由你的 Why First 账号完成的判定：请求会到达我们的判定服务，并转交 TypeSafe 作答。

我们的判定服务只保存一次判定的账务信息——消耗了多少次判定、何时执行、由哪个供应商回答——并刻意不保存备注原文、提示词与判定结论。扩展会在发送之前告诉你当前生效的是哪一种去向，且任何情况下都不会发送你的浏览历史、URL 或页面内容。

你购买商品时我们会保存什么

购买 Pro 或 AI 意图判定次数需要一个 Why First 账号，以邮箱地址标识、由密码保护。账号存在的理由，是让订单、权益与判定次数余额有归属。账号里保存：

• 账号信息： 你的邮箱地址，以及注册时填写的姓名。
• 登录会话： 每次登录对应一条会话记录，其中包含创建该会话时的 IP 地址与 User-Agent，以便撤销会话。
• 订单： 每笔完成的支付一行——商品、金额与币种、支付伙伴的交易与客户标识，以及该订单是否已退款或拒付。
• 权益： 当前是哪一笔购买（或人工授予）为你开通了 Pro。
• AI 意图判定次数： 你的余额、一份只可追加的流水账本（发放、消耗、冲正），以及经由我们完成的判定的用量账务。
• 支付事件： 支付伙伴自身推送的 Webhook 报文，原样保存用于对账，并在事件结清 30 天后清空为空报文；原报文的哈希会保留。
• 运维审计记录： 哪位工作人员、对哪个账号、出于什么原因执行了操作——余额调整与账号停用必须有这类记录。

这些内容里没有域名、URL、意图备注、页面或访问记录。删除规则、备注或统计不会影响这些记录，反之亦然。

支付与记账方

Pro 与 AI 意图判定次数通过作为**记账方（Merchant of Record）**的支付伙伴销售。它在其自有的托管结账页面向你销售、代收代缴税费、出具收据，并按消费者与税务法律的要求保存订单、客户与退款记录；这部分处理受其自身隐私政策约束。我们永远不会看到或保存你的卡信息。

当我们的收银流程能够预填支付页面时，我们会把你账号上的邮箱地址发送给该伙伴。支付伙伴的记录与我们的记录通过订单号与交易号对应，因此伙伴报告的退款能够匹配到它所对应的购买——退款正是以这种方式撤销权益以及该笔购买发放的判定次数。

Pro 权益与离线凭证校验

当你购买 Pro 后，权益会在结账成功后直接绑定至你的 Why First 账号。当你在扩展中登录账号时，服务端会核验你的账号权益，并签发一份可离线验签的防篡改数字凭证，保存在你浏览器的扩展本地存储中。

签名凭证带有离线宽限期——默认 60 天，可配置为 30 到 90 天，从最近一次成功签发起算。离线期间，Pro 在宽限期内继续可用。超过宽限期、直到下一次校验成功之前，Pro 功能关闭并降级为 Free；你的规则、统计与备注都不会被删除，一次成功的联网校验即可恢复 Pro。

在有网状态下，扩展会在后台自动定期刷新。如果你退出登录或清除本地数据，签名凭证会从本地存储中彻底清除。已退款或已撤销的订单会在下一次联网校验成功时生效失效，因此我们不承诺固定的即时撤销生效时间。

跨设备同步

扩展可选的「规则与设置跨设备同步」已经实现，但本版本尚未开放，因此今天不会有任何规则或设置为了跨设备而离开你的设备。若我们开放该功能，它将经由浏览器自带的同步服务（Chrome 为 Google，Firefox 为 Mozilla）按你的浏览器账号条款运行，只承载规则与设置；浏览历史、意图备注与统计数据永不参与。Why First 不参与这一传输过程，也无法读取同步的数据。

第三方

• 我们的记账方销售 Pro 与 AI 意图判定次数、代收税费，并按税务与消费者保护法律保存订单与客户记录。当它的结账页可以预填时，它会收到你账号上的邮箱地址，除此之外不会收到任何关于你浏览的内容。
• **我们的 AI 供应商（TypeSafe）**会收到经由 Why First 完成的判定所涉及的备注、域名与站点说明或站点约定，用于回答该判定。我们没有让它据以识别你身份的约定，也不会向它发送任何账号标识。
• 你自己的 AI 服务商或端点由你自行配置，直接从你的浏览器接收你的备注。你提供它的密钥，该请求受它自身条款约束。
• 你的浏览器厂商：仅在未来开启跨设备同步时才会涉及。

保存期限

• 浏览数据：从不在我们的服务器上，因此我们没有可保存的东西。
• 账号、订单、权益与判定次数记录：在你的账号存续期间保存；订单记录按税务与消费者保护法律要求的期限保存。
• 支付事件报文：事件结清 30 天后清空，原报文哈希保留。
• 判定次数账本与运维审计记录按设计只可追加：订正是一条新记录，而不是修改旧记录。
• 登录会话：直到你退出登录、会话过期，或工作人员撤销它。

你的控制权与权利

• 随时在扩展设置中删除任何规则、备注、统计或评价。
• 设置中的「清除全部本地数据」会移除扩展存储的所有内容，包括本地的 Pro 凭证。
• 卸载扩展即删除所有本地存储的数据。
• 请写信至 support@whyfirst.app 咨询你的账号数据：索取我们保存的副本、要求更正，或删除你的账号。我们将在 30 天内答复。若某笔订单依法必须保留，我们会明确告知，并且只保留该记录。

联系我们

对本政策、产品、购买或账号数据的所有疑问，都请发邮件到同一个地址：support@whyfirst.app。

变更

我们可能更新本政策。重大变更会在扩展更新日志与本页面中注明，并更新「最近更新」日期。