Soniva 插件隐私政策

我们收集哪些数据

Soniva 不收集、不出售、不共享任何用户个人数据，也绝不上传会话内容——导出的标题、正文、图片始终只在本机处理。唯一离开本机的数据是导出操作本身的匿名使用统计，见下节。

扩展仅在用户主动点击导出按钮后，读取当前打开的受支持 AI 会话页面中的会话内容、会话标题、消息文本以及会话引用的图片资源，用于在本地浏览器内生成 Markdown 文件和 ZIP 压缩包。

使用情况上报（匿名统计）

用户每次点击导出（无论成功或失败），扩展会向开发者自建的 Supabase 数据库写入一条匿名事件，用于统计站点使用情况、验证导出真实生效，并在失败时远程定位适配器问题。

每条事件只包含以下字段，不含会话内容、标题、图片、账号或任何可识别个人身份的信息，超出白名单的数据在代码层面直接丢弃：

• 导出站点的品牌名（如 deepseek / kimi）与域名
• 扩展版本号
• 阶段（本地导出 / 转发桌面端）与结果（成功 / 失败）
• 导出的分段数量
• 失败时的错误提示文案（不含会话正文）

该数据库对公网只开放匿名写入（无法被读取或查询），数据仅开发者可见。发送失败的事件最多在本机暂存 10 条、下次导出时自动补投，超出即丢弃。

数据如何处理

所有会话解析、Markdown 生成、图片资源处理和 ZIP 打包逻辑均在用户本地浏览器中完成。扩展不会将会话内容发送到 Soniva 的服务器，也不会发送到任何第三方服务器。

导出文件通过浏览器下载能力保存到用户本地设备，如何保存、移动、删除或分享由用户自行决定。

权限说明

Soniva 使用以下浏览器权限，用途逐项如下：

• activeTab：仅在用户主动点击扩展时访问当前标签页，判断是否为支持的会话页面
• scripting：在当前会话页面执行导出脚本，读取页面上下文并生成本地导出文件
• storage / unlimitedStorage：本地保存扩展设置（语言、主题、手势偏好等）与受支持站点的会话捕获缓存（每站点至多保留最近 10 条，仅存本机）
• downloads：仅在用户选择「导入 Soniva 桌面端」且本机直连不可用时，把 ZIP 中转到「下载/Soniva导入/」文件夹并读取本地路径，用于唤起桌面端完成导入
• contextMenus：提供右键菜单「导入到 Soniva 素材库」，仅在用户点击该菜单时读取所点图片的地址
• notifications：图片导入失败且页内气泡无法送达时，用本地系统通知如实告知（成功反馈一律走页内气泡）
• 127.0.0.1：本机回环访问，把导出内容或选中的图片直接交给本机运行的 Soniva 桌面端，数据不出本机
• Supabase 接口：仅用于「使用情况上报」的匿名事件写入（只写不可读），不发送任何会话内容

关于全站权限（<all_urls>）

<all_urls> 服务于两个明确用途，不会用于广告、追踪或分析：

• 网页图片快捷入库：图片手势（修饰键 + 右键）与拖拽面板两个页内脚本需要在任意网页上待命，仅在用户主动做出手势或拖拽时读取该页图片并存入本机桌面端
• 受支持 AI 站点的会话捕获：网络探针与捕获桥脚本只注入 ChatGPT、DeepSeek、Kimi、千问、MiniMax、腾讯元宝、豆包、小米 MiMo、Grok、GLM、文心、Gemini 的官方站点，且只在页面自身加载会话时被动记录接口响应，供用户点击导出时在本地解析

其余站点上只运行图片入库脚本，不读取任何会话数据。这些权限仅服务于「导出用户当前会话」与「用户主动存图」两个单一功能。

与 Soniva 桌面端的联动

用户主动点击「导入 Soniva 桌面端」时，扩展通过 soniva:// 协议唤起本机已安装的 Soniva 桌面客户端，并把中转 ZIP 的本地路径递给它完成导入。整个过程只发生在本机的两个本地软件之间，不经过任何网络服务器。不安装桌面端时，全部导出功能照常可用，此联动不会被触发。

第三方服务

Soniva 不集成广告 SDK、分析 SDK、远程代码加载服务或第三方数据收集服务。唯一的外部服务是开发者自建的 Supabase（supabase.co），且只用于「使用情况上报」的匿名事件写入，不涉及会话内容。

扩展只会在用户已登录对应平台并主动点击导出按钮时，与用户当前访问的受支持 AI 站点官方页面和相关资源域名交互，以完成用户请求的本地导出操作。

数据留存

Soniva 不运营用于存储用户会话内容的服务器，因此不会保留用户导出的会话数据。导出文件只存在于用户本地设备或用户自行选择保存的位置。

政策变更

如果隐私政策发生变化，我们会在扩展发布页面或项目文档中更新本政策，并标注新的生效日期。