隐私政策清楚知道，资料去哪里。

界面语言支持 English 与简体中文，可选择跟随浏览器，与阅读及回复语言独立。扩展仅在本机保存该界面偏好，不纳入普通云同步或本地备份；官网使用第一方语言偏好 Cookie，最长一年，可由浏览器清除，不用于身份识别或跟踪。

通过网页右键菜单回复时，仅将主动选中的段落带入当前网页的悬浮窗，与 X 助手共用同一窗口，不读取整页或作者，不保存或发送来源网址，自动翻译沿用全局设置：开启后打开或刷新选段会复用缓存，并向已配置的模型服务请求缺少的译文；关闭时需手动翻译。生成回复仍需主动点击。contextMenus 提供右键菜单，activeTab 与 scripting 仅在你主动使用该菜单后临时注入随包浮窗，不取得所有网站的常驻访问权。选中文字直接传入内存，不再作为中转草稿存储。受限会话存储仅保存浮窗的标签 ID、文档 ID 和随机选段 ID，用于核对请求来源；新选段覆盖记录，关闭标签或结束浏览器会话清除。超过 18,000 字符会截断并提示。在你点击翻译、生成回复，或开启自动翻译后打开或刷新对话或选段时，将所选帖子、已加载的对话消息和作者用户名及补充发送至所配置的模型服务商。密钥由你提供，默认只保留到浏览器会话结束；选择记住时明文保存在本机，普通同步不包含密钥。

扩展开发者不接收帖子或明文密钥，不建立阅读历史日志、不收集远程分析数据，不自动发布。为避免重复翻译，译文会自动缓存于仅可信扩展上下文可访问的会话存储，最多 100 条或 2 MB，有效期 24 小时，按最近使用淘汰；过期项在下一次缓存操作时清理，浏览器会话结束全部清除。仅保存译文、SHA-256 输入指纹和缓存时间，不保存原始正文、作者、原始帖子 ID、网址或密钥。不同评论可共用主帖译文，不缓存候选回复。设置的高级设置可清除翻译缓存，删除模型设置也会清除；「重新翻译」跳过已完成缓存。补齐缺少的译文或生成回复时，已缓存消息的原文仍可作为上下文发送；全部命中的翻译请求不调用模型。本地发布统计在扩展安装后自动记录，没有单独开关。

仅被动观察可信发送操作、编辑区域结构和页面发布提示中的新帖子链接，自动统计能识别成功的评论（含回复）及引用；不读取草稿正文。没有可靠证据、类型不明、发送重叠或超时就跳过，不提供人工录入、补录或确认，数字可能漏计，不是账号全部发布量。不拦截或修改网络请求／响应、不替换 fetch/XHR、不请求隐藏数据，不取消网站事件、不自动点击、填写或提交，不追溯发布历史。DOM 观察仅在回复弹窗绑定或发送等待窗口内运行；统计配置读取失败时卸载统计监听与观察器。仅本机保留最多 366 个有记录日期的汇总和最近 1,000 个加盐去重哈希，以及随机盐和偏好版本。新帖原始 ID 仅在扩展后台临时处理后哈希，不保存正文、作者、草稿、原始帖子 ID 或来源链接，不上传统计。

清空汇总会保留最近去重哈希以避免延迟重复计数；清空使未完成识别失效。旧助手用量和旧发布记录独立保留，可导出或删除，不混入新数字；停止新增助手用量记录。统计失败不阻塞网站操作或助手功能。取消请求不会撤回已发送的数据，也不保证服务商不计费。可在设置中删除本地设置及密钥。

在设置的「回复素材」菜单主动创建素材，最多保存 200 张。卡片的标题、正文、自定义分类、使用提醒、版本与时间信息、使用次数及最近使用时间保存在本机。整个卡片库最多 6 个分类，已保存分类可直接选择；中文最多 6 字、英文最多 12 字符，混合输入中文按 2、其他字符按 1 计算，总长度不超过 12。移走或删除某分类的最后一张卡片后释放名额。回复时可选择最多 3 张；点击生成时才把所选卡片内容发送给配置的模型服务商，翻译与自动翻译不附带卡片。Top 3 按使用次数排序，同次数按最近使用时间排序，不自动选中。每次成功生成候选回复，每张已选卡片计 1 次，选择、悬停、失败、取消、复制及发布不累加。

最多保留最近 1000 次成功使用的请求 ID，供本地去重；次数和时间不会发送给模型或开发者。编辑保留次数，删除卡片清除该卡片及其次数。卡片保留至逐张删除或卸载扩展；删除模型设置与密钥不会删除卡片。

可在设置主动导出或导入本地 JSON 文件，包含已保存的模型、语言、生成偏好及素材，最多 3 MB。新版 v2 另包含策略文本与默认选择，仍可读取 v1；导入不恢复付费权益。文件未加密，可能含私人素材，请妥善保管；不含 API Key、数据使用确认、记住密钥和自动翻译偏好、设备权限、统计、素材次数或翻译缓存。导入前展示范围，不调用模型或上传文件；配置先填入表单，核对地址及本机密钥、重新确认数据说明后保存。素材确认后立即保存：合并跳过相同内容，同 ID 冲突保留副本；替换会删除文件中没有的本机素材及次数。同 ID 保留本机次数，新素材从 0 开始。超出素材／分类上限或预览后素材已被编辑时拒绝导入。下载的文件独立于扩展存储，删除设置或卸载扩展不会删除备份文件。

开发版新增可选的「账号与同步」入口，免费本机功能无需登录。主动连接并授权平台域名后，正式扩展固定访问官方产品平台 https://reply.hboot.fun（仅开发构建允许切换测试地址），平台通过 unified-auth 验证身份及产品会话。产品保存经验证的用户对应关系、随机浏览器安装标识、自填设备名称、会话关联、最近活动及撤销状态。连接证明和服务端加密临时会话结果最多有效 5 分钟；领取后最多再保留 2 分钟且不超过原期限，维护进程清理过期记录。刷新结果加密暂存 1 分钟以处理重复请求，随后由维护进程清理；应用不记录请求正文或凭据。用户及设备记录保留至通过支持渠道请求移除。基础设施访问日志可能含请求元数据；unified-auth 按其自身说明处理登录资料。

网页使用 HttpOnly 会话 Cookie，扩展登录凭据仅在可信扩展上下文保存，不交给网页脚本、内容脚本、网址参数、普通备份或模型。选择「保持登录」才在本机持久保存产品刷新凭据，与「记住模型 Key」分别控制；未选择时随浏览器会话结束清除。退出清除本机账号凭据，保留模型配置、Key 及素材；服务器撤销未确认时会提示，可到用户中心撤销设备的平台访问，无法远程删除设备已保存资料。移除产品用户／设备记录可联系支持；退出、撤销设备与删除模型设置是不同操作，产品资料合并和账号注销尚未提供自助入口。登录本身不会上传工作资料。开发版普通云同步需要有效 Pro 权益，并在扩展中另行预览、选择范围和确认开启。所选的模型与语言偏好、素材和策略会保存在产品平台，普通资料未端到端加密；帖子、对话、译文、候选、统计、缓存、模型明文 Key、确认和设备权限不进入普通同步。自定义策略可在本机保存，并在主动生成时发送给所选模型服务；创建／编辑和使用需要有效 Pro，普通云同步仅在单独确认后包含策略。Key 保险库为待独立验收的开发版能力；商品上下架、收款及退款申请权限由 Billing 平台管理。

同步基线、待提交资料和冲突副本保存在可信扩展后台使用的本机 IndexedDB，支持重启后继续核对和重试。最多保留 10 份、30 天的云端可恢复历史；当前云端资料可在扩展或用户中心导出和清空，导出文件未加密。清空同时移除可恢复历史并更换同步世代、暂停所有设备，保留本机资料。平台保留最小账号／世代删除标记防止旧队列或基础设施恢复重新引入已删除资料；基础设施备份恢复须先重放独立保存的删除记录。退出后旧队列不改绑给其他账号。关闭同步不会删除现有云端资料。

商品、价格、有效天数和收款／退款申请权限由 Billing 平台管理。用户明确购买时，产品将把随机购买标识、商品编号和 web 来源标记提交给 unified-billing，保存账号与订单对应关系、确认的商品／价格／币种／时长／退款规则、付款及退款事件摘要、权益来源和重试任务。签名通知通过后才更新权益，不保存银行卡资料；收银台与支付服务按其说明处理付款资料。浏览器本地存储保留未确认的购买意图以安全重试，确认订单后清除。交易与权益核对记录独立于云同步资料，清空资料不会删除交易记录；相关移除或退款请求可联系支持。到期提示保存在产品平台，包含用户、权益版本、截止时间、当前提醒窗口与展示／关闭时间；旧权益版本的提示超过三十天后清理。提醒只在用户中心或扩展账号页读取时显示，不发送邮件或系统通知。

保险库为独立选择的开发版能力：仅在你设置同步密码、保存恢复码并明确确认后上传客户端加密的封装。密码和恢复码不发给平台，平台保存必要的用户／库／世代、完整模型服务地址、条目标识、KDF 参数、包裹后的数据密钥及 Key 密文，不能仅凭账号登录解密。普通同步资料不因此加密，普通备份与默认导出不包含保险库。

保险库使用随扩展打包的 Argon2id 与 AES-256-GCM；不远程加载加密代码。解锁材料只在可信扩展会话保存，最长三十分钟，创建和应用票据最长五分钟；退出、换账号、手动锁定和到期处理会清除对应材料。明文 Key 仅由可信后台按完整服务来源核对，再通过设置页的明确保存应用，应用流程只向设置页返回来源与票据，不返回明文 Key；内容脚本始终不接收 Key。应用后的明文 Key 仍遵守你选择的仅会话／记住方式。

改密码不撤销旧恢复码；轮换数据密钥会生成新恢复码，但不能撤回其他设备已经解密保存的模型 Key。所有解锁材料遗失后无法找回旧 Key，可在近期登录后重置；重置及普通云端清空都会删除云端密文并记录最小世代日志，支持备份恢复时防止复活。密文可另行选择导出，文件不含密码、恢复码、DEK 或明文 Key。密码封装和跨设备验收尚未完成，当前不作为正式收费安全验收通过的声明。