隐私政策

适用范围与联系

本政策适用于文件资源管理器（App Store 渠道）、Mac Explorer（官网渠道）桌面应用及官方项目网站。项目由官方仓库维护者维护，隐私咨询、访问、更正或删除请求请发送至 xulezuo@hotmail.com。无需注册项目账号即可使用文件管理功能。不同版本和发行渠道提供的功能可能不同；以下网络处理仅在对应功能可用及其触发条件满足时发生。

本机处理与保存

应用为浏览、搜索、预览和整理文件，在本机读取文件名称、路径、大小、日期、类型及相关元数据，并可提取文件正文、图片与 PDF 文字、图片分类、人脸特征、照片日期、相机信息和照片已有的 GPS 坐标。索引、分析结果、缩略图、标签与收藏关系、设置、目录授权、页签、最近使用记录和 Copilot 会话历史保存在本机应用数据或缓存目录。内置 OCR、图片分析、缩略图、文件转换及普通本地搜索由本机进程或随包帮助程序处理。文件操作可能按你的指令写入或删除文件、标签和元数据。应用没有内置广告或行为分析 SDK，不为广告跟踪生成设备标识，也不将上述本地数据默认上传给项目维护者。

目录访问与发行渠道

Mac App Store 渠道使用系统沙盒和文件选择器授权，可保存安全作用域书签以在以后访问你选择的位置；你可在设置中移除授权或重新选择文件夹。授权损坏、离线或读取失败时会显示原因并提供恢复入口；保存失败不会扩大访问范围。官网渠道的访问范围还受 macOS 文件权限及你授予的系统权限限制。移除授权会结束应用对应的访问范围，但不删除原文件、先前的本地索引、收藏或历史。两渠道有独立应用数据位置。

照片地点联网解析

照片 GPS 坐标可在本机提取。将坐标解析为地点名称的联网功能默认关闭，仅在你明确允许后才将照片已有的 GPS 经纬度发送给 Apple 的 CoreLocation 地理编码服务，用于获得地点名称；此功能不向项目维护者发送照片，也不用于获取你设备的实时位置。你可在设置中关闭后续联网解析，拒绝仍可保留本地坐标、OCR 和其他分析功能。开启或关闭不会自动重分析已有照片，本地已有地点结果继续保留。Apple 对收到的数据按其适用隐私政策处理。

Copilot 与第三方 AI

Copilot 是可选功能，连接你配置的 API 地址和模型。首次发送前会展示当前接收方并请求分享文件信息的许可；许可在应用内持久保存，跨对话、窗口及重启复用，API 地址、模型或 API 密钥变化后也会沿用。你可在设置中撤回，撤回后再次发送需要重新授权。对话文字、当前路径、选中文件名称、附件路径、工具搜索返回的名称、元数据或匹配结果，以及模型回复和工具过程，可随请求发送到该接收方，以回答问题和执行你的请求。附件暂存只记录路径，不会因为拖入文件就自动发送全文。读取并向 AI 发送文件正文需要独立审批，拒绝后不执行该正文读取计划。文件操作也按应用的审批流程执行。会话和工具记录存于本机，API 密钥存于应用本机 SQLite 数据库（未额外加密）。

AI 许可撤回与接收方处理

你可在设置中撤回 Copilot 文件信息分享许可，后续请求及工具结果续传会重新检查许可；可在历史列表删除本地会话。撤回不等于删除本地记录，也无法收回已经发出的数据或接收方已处理的请求。接收方可以是你选择的云服务、自建服务或本地服务，其数据用途、保存期限、模型训练设置、处理地区与删除方式由该服务及你的配置决定。应用不能为任意 AI 服务承诺不保存、不训练或特定保存期限；使用前请核对接收方政策，必要时直接提出删除请求。拒绝 AI 许可不会阻止普通文件管理。

远程连接、网络发现与凭据

网络页面打开时，通过 Bonjour 和 WS-Discovery 在本地网络发现共享电脑，交换服务名称、地址及端口等发现信息；关闭最后一个网络页面后停止发现。SMB 连接由 macOS 系统处理，向你指定的服务器发送认证所需信息，并按你的操作读取目录、访问或传输文件。共享挂载后可供其他应用访问，退出本应用或删除连接配置不会自动卸载；主动弹出会同时影响其他正在使用该共享的应用。SMB 连接密码与现有远程凭据保存在本机应用数据库中，数据库不是加密凭据保险箱；本应用不主动将密码写入连接地址、配置 JSON、日志或系统钥匙串。你在系统连接界面主动保存的凭据由 macOS 管理。

SFTP 连接你指定的远程服务器，发送连接所需的用户名及认证信息，按你的操作传输路径、目录列表和文件数据。首次连接需要核对并明确信任 SHA256 主机指纹；信任记录按主机与端口保存在本机，密钥变更时拒绝连接，可在远程连接窗口撤销指定主机信任。账号密码与私钥解密口令是不同凭据。私钥文件由你选择并在本机读取，私钥解密口令默认仅本次使用；只有你明确选择保存时才写入应用本机数据库。口令不写入连接 JSON 或日志。已保存的账号密码使用应用本机数据库（未额外加密）；旧钥匙串凭据不再读取，需要重新填写一次；旧版本配置中的明文密码会尝试迁移，迁移失败时保留原配置并提示重试，因此旧配置或备份仍可能含有旧密码。删除连接或切换认证并保存会清理对应的不再使用的凭据。私钥本体不会作为文件发送给服务器；服务器验证认证并按其规则保存远程操作记录和文件。

LocalSend 局域网传输

启用 LocalSend 后，应用会监听网络、进行局域网发现及按需探测，向网络中的对端提供设备别名、设备类型、地址、端口和随机证书指纹等连接信息。指纹用于设备身份与传输校验，不是广告标识。你选择发送对象后传输文件名称、大小及文件内容；接收前需要确认，文件存入你选择的接收目录。应用可保存证书、已验证设备信息及传输相关本地记录。接收方可以保留收到的文件。你可在设置中关闭发现、监听和活动传输；关闭设置保存失败时当前进程仍停止网络活动，界面提示重启风险并允许重试保存。

官网渠道更新、插件与外部链接

官网渠道会查询 thankful.top 的更新接口，发送应用产品标识，接收版本与下载信息；使用插件市场时，向市场接口发送平台、架构、插件 API 版本、搜索关键词和分页参数，下载请求发送到对应资源服务。网络服务会接收连接 IP、请求时间和常规 HTTP 请求信息，用于提供服务及安全运行；本政策不承诺这些服务的固定日志保存期限。更新检查当前还存在 HTTP 接口，相关产品标识和网络请求可能被网络中间节点看到。市场浏览及安装本身不要求你在桌面应用中注册发布者账号；独立的插件发布服务有自己的登录、邮箱验证和发布流程，不应与本地文件管理混同。

插件处理边界

官网渠道安装的外部插件以官网版应用可用的权限运行，可处理文件、调用网络或外部程序，具体用途及接收方取决于插件。某些插件还可自行提供账号登录、试用或购买授权界面，并向其服务发送账号、授权状态及处理请求；这些由插件实现，不表示应用为插件建立了独立的文件访问沙盒。请核对插件声明与发布者政策；停用或卸载可阻止其后续运行，但不撤回它已发出的数据。Mac App Store 渠道禁用外部插件安装、动态执行、外部脚本及官网自更新，保留随包功能，更新由商店机制提供。点击外部链接后，对应网站或服务按其政策处理请求。

官方网站与反馈

官方站点由 GitHub Pages 托管。浏览页面时，GitHub 及其网络基础设施会接收你的 IP、请求的页面和资源地址、时间以及浏览器发送的常规请求信息。当前站点的样式、脚本、图标和演示资源由同站点提供，未嵌入第三方广告或访问统计脚本；浏览器本地存储只用于保存浅色或深色外观偏好，可在浏览器清除网站数据。点击 GitHub 链接、下载或发送邮件后相应服务会接收请求。公开问题反馈会公开你提交的内容；隐私请求请使用邮箱，不要在公开反馈中发送密码、私钥、敏感路径或文件正文。

保存、删除与安全

应用本地记录通常保留至你删除对应记录、清理应用数据或相关缓存被替换；不会承诺所有数据在固定天数后自动清除。可通过应用删除 Copilot 会话、远程连接、主机信任和收藏等对应记录。关闭授权与网络功能仅影响后续处理。完整清理时，请先退出应用，按发行渠道清理应用的 Application Support、Caches 或沙盒容器，旧版遗留的钥匙串凭据可在系统钥匙串中手动移除；浏览器站点数据可单独清除。卸载应用不一定清除钥匙串、备份、接收文件或你自己的原文件。需要帮助确定当前版本位置时可联系维护者。

接收方数据与用户权利

应用使用 macOS 权限、沙盒渠道目录授权、主机指纹核对及传输校验降低未经许可访问的风险，但没有系统能保证绝对安全。你的本机备份、系统同步设置及你选择的外部服务也可能保存副本。已发送给 Apple、AI 服务、SFTP 服务器、LocalSend 对端或网站基础设施的数据，不会因清理本机自动删除，需按对应服务渠道处理。根据适用法律，你可以对维护者实际持有的个人信息提出访问、更正、删除、限制或撤回同意请求；维护者会核实请求并按适用要求处理。对于仅存在你设备上的数据，我们可提供清理指导，无法远程读取或代为删除；对于第三方持有的数据，请联系实际接收方。联系我们时仅提供处理请求所需的信息。

政策变更

功能、接收方或法律要求变化时，本政策会更新并注明日期。影响可选数据分享的变更会在应用相应许可或功能入口说明，并在需要时重新征得同意。官网发布政策不代表任何尚未发布的应用版本已经可下载；具体行为请结合你使用版本的设置与许可提示。