只收集运行服务所需的信息

邮箱、Google 登录与账户记录

Google 登录仅申请身份、已验证的邮箱、昵称和头像，不读取 Gmail、Google Drive 或其他 Google 文件。Google 密码不会传给本站；完成登录后不保留 Google 的长期访问令牌。登录会话通过仅供服务器读取的 Cookie 保存，服务端仅保存会话令牌的哈希，最长有效期为 30 天，退出会撤销当前会话。

登录后，账户收藏（包括分享地址和已保存的提取码）及观看记录、进度会以结构化数据保存在本站现有 Cloudflare D1 中，仅通过该账户的有效登录会话访问。这与原有同步码的端到端加密收藏库不同。游客记录不会自动上传，只有主动选择导入才会进入账户；退出后恢复原有游客记录。基础搜索和播放不要求登录。

邮箱验证码通过 Cloudflare Email Service 发送，仅用于验证邮箱控制权。验证码最长有效10分钟，服务器仅保存验证码的带密钥哈希，并限制发送和尝试次数；过期记录会分批清理。邮箱登录和已验证的同邮箱账户可以共用记录；出现多个历史账户时不自动合并。

公开片单与推广记录

片单默认仅自己可见；主动选择公开后，持有链接的任何人可查看片单名称、介绍、作者昵称、作品名称和年份。公开片单不会自动包含私人收藏地址、提取码或观看记录；管理员可因违规将片单下架。

打开含邀请码的链接时，本站使用有签名的匿名访客Cookie和网络信息的带密钥哈希去重并识别滥用，不在推广表保存原始IP。分享记录先待审核，审核通过才参与已配置的月度固定奖池；账户可查看自己的结算与领取申请。领取审核不等于已打款，当前不支持自动打款。管理员访问账号和结算数据受权限控制，管理操作保留审计记录。

浏览器本地保存的信息

主题偏好、搜索设置、未开启同步的收藏和匿名访问标识主要保存在浏览器本地。匿名标识用于计算访客和会话，不包含姓名、手机号或账号信息。清除站点数据会移除这些信息，本站不会要求用户为了基础搜索创建账号。

服务端处理的信息

为完成搜索和改善热门推荐，服务会处理用户提交的关键词。访问分析由本站管理的 InsightFlare 服务在 Cloudflare 上处理，记录匿名访客与会话、访问页面、来源、基于网络估算的地区、设备与浏览器信息、性能指标，以及搜索、资源点击和播放等行为。请求中的 IP 和 User-Agent 可用于地域判断、识别机器人和生成匿名标识；这些统计标识不会主动与用户的真实身份关联。

统计脚本不采集当前页面的查询参数或地址片段，后台和内部测试页面不计入访问统计。搜索行为中的邮箱、手机号和链接会先脱敏，资源点击不会附带下载地址、提取码或账号令牌，客户端错误事件不包含错误堆栈。来源地址和浏览器信息可能被统计服务记录，请勿在公开页面地址、页面标题或搜索词中填写敏感信息。链接健康反馈使用不可逆标识区分独立报告者，收藏同步仅保存完成该功能所需的加密或结构化数据。

访问统计的隐私选择

浏览器启用 Do Not Track 或 Global Privacy Control 时，本站不加载访问统计脚本。清除站点数据可移除浏览器保存的匿名标识。统计用于维护服务与改善使用体验，不用于广告画像；必要的搜索处理、故障日志和防滥用措施不因关闭访问统计而停止。

安全和保留期限

必要日志用于故障排查、速率限制和防止滥用，并按运行需要限制保留范围。链接健康报告按 30 天窗口重新计算，过期记录不会继续影响当前判断。