隐私透明，始于对掌控权的尊重。

平台版本区分与本地存储物理边界

1. 版本区分：TabHub 包含两套运行环境：

• Chrome 浏览器扩展版（CWS Local-First 模式）：作为浏览器新标签页（New Tab Page）运行，遵循严格的离线与本地优先原则。扩展包内所有脚本随包离线加载，不依赖远程动态脚本，不加载百度统计、Sentry 或任何第三方遥测 SDK。
• 官方网站在线演示版（tabhub.link）：仅作为产品展示与静态文档托管站点。

2. 本地存储边界：您在扩展中创建的所有个人桌面数据均完全存储在您的本地计算机浏览器沙盒中：

• 桌面布局与配置偏好：网站图标排列位置、自定义分类文件夹、Dock 栏状态、小组件开关、壁纸主题偏好及小游戏记录（2048、扫雷）等，持久化存储在本地沙盒 localStorage 中；
• 私人组件业务正文：备忘便签（Memo）记事文本、待办清单（Todo）条目、重要日子倒数日等小组件数据，统一由本地存储仓储存储在 IndexedDB（THDB.widgetData）中；
• 公开只读数据本地缓存：多源热搜榜单（hotsearchCache，缓存有效期 10 分钟）、实时天气预报（weatherCache，缓存有效期 30 分钟）及精选推荐站点目录（appIconCache，缓存有效期 24 小时）均缓存在本地 IndexedDB 中；
• 离线换算器：内置 28 项常用单位换算工具完全在前端客户端本地 JavaScript 引擎中计算完成，不产生任何网络通信。

上述私人桌面数据完全处于用户设备的本地物理控制之下，TabHub 官方服务器无法访问、无法检索，亦未设置任何将此类个人数据自动回传服务器的逻辑代码。

浏览器权限使用规范：严格按需与最小化授权

TabHub 遵循 Chrome Web Store「最小权限原则（Principle of Least Privilege）」。扩展声明的每项权限均对应特定的用户可见功能，绝不在后台静默探测无关信息：

• storage（必选）：用于将您的桌面图标排列、小组件开关、便签待办及外观偏好持久化保存在本地浏览器存储中。
• unlimitedStorage（必选）：用于允许本地 IndexedDB 存储推荐站点目录缓存、壁纸缩略图与用户自定义上传的图标素材，避免因浏览器临时存储配额限制导致本地配置意外逐出。
• search（必选）：通过 Chrome 原生 chrome.search.query API 发起网页搜索。TabHub 严格遵循您在 Chrome 设置中配置的默认搜索引擎，绝不修改、覆盖或劫持您的默认搜索提供商。
• bookmarks（可选权限，按需授权）：仅在您主动打开桌面「书签管理」小组件并明确点击授权后启用。授权后仅在本地内存中读取书签树并展示以便快速导航。数据绝不上传至任何服务器。
• history（可选权限，按需授权）：仅在您主动打开桌面「历史记录」小组件并明确点击授权后启用。授权后在本地查询和展示您的最近浏览记录。数据完全在本地计算渲染，绝不外传。
• downloads（可选权限，按需授权）：仅在您主动打开桌面「下载管理」小组件并明确点击授权后启用。授权后在本地查询下载文件状态。数据绝不发送给第三方。
• https://api.tabhub.link/*（主机权限）：扩展声明的唯一主机权限，仅用于请求官方公开只读数据服务（天气、热搜与公开推荐站点目录）。不包含任何第三方主机权限。

若您拒绝授予上述任何可选权限（书签、历史、下载），您依然可以正常使用新标签页的全部其余核心功能；您亦可随时在 Chrome 扩展管理界面（chrome://extensions）中撤回这些授权。

无云端账号体系与本地备份恢复说明

1. 无账号与云同步：当前 TabHub Chrome 扩展版（CWS Local-First 模式）彻底移除了用户注册、账号登录、凭据管理、云端多端同步与云端备份功能。扩展内部不包含任何向远程服务器提交用户密码、邮箱凭据或桌面数据镜像的 API 调用。

2. 本地备份与恢复机制：为满足用户在更换电脑或重装浏览器时的数据迁移需求，TabHub 提供了完全由用户主动掌控的「本地备份导出与导入」功能：

• 备份覆盖范围：涵盖用户当前的桌面网格布局、快捷图标、分类文件夹、Dock 栏设置、便签与待办事项、小组件偏好与外观主题；
• 本地文件保存：点击导出时，浏览器将上述本地数据打包序列化为单份 .json 文件直接下载至用户本地硬盘；
• 离线导入恢复：点击导入时，用户在本地选择该 .json 文件，浏览器在本地内存解析并覆盖更新本地 IndexedDB 与 localStorage；
• 零网络参与：备份文件的生成、读取与恢复全程在浏览器内部离线完成，绝不向任何外部服务器上传备份文件内容。

公开只读网络请求与第三方资源披露

为了在桌面展示必要的公共信息，扩展内置了受控的网络策略守卫（localNetworkPolicy.ts），仅放行受安全审查的公开只读 GET 请求：

• 天气与城市查询（GET /api/v1/weather、GET /api/v1/weather/search）：
  当您启用天气组件或手动切换城市时，扩展向 https://api.tabhub.link 发送查询请求。传递的业务参数仅为城市名称（如“北京”或拼音）或位置代码。TabHub 不调用浏览器 GPS 地理定位权限，服务端返回天气状况与预报气温，客户端在本地缓存 30 分钟。
• 公开推荐站点目录（GET /api/v1/website/list）：
  当您打开“添加快捷方式”抽屉时，扩展向 https://api.tabhub.link 获取精选公开网站索引。传递参数包含分页页码、分类标识及检索关键词（仅在您主动在推荐库输入搜索词时传输）。为减少网络请求，客户端通过 IndexedDB 对目录数据进行多层持久化本地缓存（缓存有效期 24 小时）。
• 多源公开热搜榜单（GET /api/v1/hotsearch/[source]）：
  按需拉取百度、微博、知乎或 GitHub Trending 的公开热门榜单标题与链接。仅为只读获取公共资讯，不传输任何个人识别信息，客户端在本地 IndexedDB 缓存 10 分钟。
• 官方受控图标 CDN（https://res.tabhub.link）：
  当推荐站点未打包本地矢量图标时，扩展按需从官方图床加载站点公开矢量图标。扩展内的图标解析引擎对非受控外部来源（包括 Google Favicon）进行了安全阻断，未收录站点直接降级为本地首字母占位图标。
• 按需第三方壁纸与多媒体资源：
  - 微软必应每日壁纸：仅在您主动将壁纸源切换为“必应壁纸”时，浏览器直接请求 https://cn.bing.com 或 https://*.bing.com 图片；
  - Unsplash 在线壁纸：仅在您主动浏览在线壁纸库时，按需从 https://images.unsplash.com 加载公开摄影图片；
  - 离线白噪音音频：内置 6 款高品质白噪音音频（雨声、海浪、森林、风声、篝火、咖啡馆）完全打包随扩展本地分发，100% 离线播放。

已彻底移除的服务说明：当前版本已隐藏并停止提供在线股票行情（原 qt.gtimg.cn）和在线翻译服务（原 Google 翻译与 MyMemory），换算器已完全转为 28 项离线计算。扩展不会向这些旧第三方地址发送任何网络流量。

网络请求元数据与服务端日志声明

TabHub 遵循诚实、合规原则，坚决不进行虚假宣传，不宣称未经验证的“零收集”或“绝对零日志”。我们对网络传输元数据与基础设施日志作如下界定：

• 业务参数：指用户主动执行搜索或查询时输入的纯文本（如城市名、推荐目录搜索词）。此类参数不含任何用户账号、身份标识或私人正文。
• 网络传输元数据：根据计算机网络底层协议（TCP/IP 与 HTTPS），当您的浏览器向官方 API 或 CDN 发起任何网络请求时，服务器网关与 CDN 节点在网络层必然会接收到通信元数据，包括：客户端公网 IP 地址、User-Agent（浏览器版本及操作系统）、请求时间戳与请求 URI。
• 服务端访问日志（Access Logs）：官方服务器（Nginx / CDN 网关）可能会在标准访问日志中自动记录上述网络请求元数据，其合法正当用途仅限于：网络攻击防御（如缓解 DDoS 攻击、防范恶意暴力爬取）、服务稳定性监控以及网络故障排查诊断。此类日志绝不用于用户跨站画像或商业追踪。

数据掌控权、单空间安全重置与数据销毁

1. 数据掌控权：用户享有对其本地数据的最高控制权。您可以随时编辑、重命名、拖拽排序或删除桌面上的任意网站捷径、便签、待办项及小组件。

2. 单空间安全重置与撤销机制：扩展设置中提供了「重置当前桌面」功能：

• 该操作将当前工作空间的网格布局恢复为出厂预置状态；
• 在执行重置前，系统会自动创建本地安全快照（Checkpoint），并提供即时「撤销（Undo）」功能，最大限度防止误触带来的数据损失。

3. 全量本地数据物理销毁与边界说明：若您希望彻底清除 TabHub 在您设备上的本地痕迹：

• 本地清除与卸载：您可以在 Chrome 浏览器扩展管理页面（chrome://extensions）中找到 TabHub，进入详细信息页面点击「清除数据」，或直接选择「移除扩展」；
• 物理销毁效果：浏览器底层将立即永久物理删除沙盒中所有的本地数据库文件（IndexedDB）、配置文件（localStorage）与运行缓存，不可恢复；
• 明确不覆盖范围：卸载扩展仅清除浏览器本地沙盒内的数据，不会自动删除您此前已主动导出并存储在本地硬盘上的 JSON 备份文件，亦无法自动删除服务器基础设施接收公开只读请求时产生的传输层网络访问日志。

4. 如实说明全量服务端数据清除不可用：由于当前 Chrome 扩展版不连接云端账号体系，亦不维护任何云端用户私有数据库，因此不存在亦无需提供所谓的“服务端全量个人数据一键注销”接口。对于只读网络请求在服务器端留下的基础设施访问日志，受限于系统隔离性，不支持用户发起按个人维度的定向检索或删除。

Chrome Web Store 用户数据政策与 Limited Use 承诺

TabHub 郑重声明，本扩展对从 Chrome API 获得的所有用户数据与权限的使用，严格遵守 Chrome Web Store 开发者计划政策（Developer Program Policies），包括其「有限使用（Limited Use）」条款：

• 单一用途保证：获取的数据仅用于提供或改进已向用户明确披露的个性化新标签页桌面功能及必要的运行稳定性维护；
• 严禁个性化广告：绝不将用户数据用于向用户展示个性化、基于兴趣的重定向广告；
• 严禁信贷或借贷评估：绝不将用户数据用于评估用户的信用价值或贷款资格；
• 严禁向第三方出售：绝不出售、出租或转让任何用户数据给广告平台、数据经纪商（Data Brokers）或信息中介；
• 禁止无关人工审阅：除用户就特定故障明确授权人工协助诊断、法律法规强制要求或系统遭遇严重安全威胁外，任何人无权查看用户的任何个人数据。

支持渠道、隐私疑问与联系方式

如果您对本隐私政策条款、TabHub 的本地存储机制或网络通信有任何疑问、建议或隐私合规诉求，欢迎通过以下官方渠道与开发者团队取得联系：

• 官方客服与隐私事务邮箱：support@tabhub.link
• 扩展应用内反馈：点击新标签页左下角或设置菜单中的「意见与反馈」
• 官方网站：https://www.tabhub.link/

我们承诺在收到您的邮件后，于 3 个工作日内予以正式答复与处理。