ImageFlow 隱私權政策
適用版本：0.17.17 · 由 azureskies 維護
1. ImageFlow 會存取哪些資料？
ImageFlow 用於網頁圖片搜尋、篩選、轉換和下載。當您主動掃描、開始動態偵測或從圖片右鍵選單使用功能時，擴充功能會讀取可存取圖片的來源及備用網址、標題、尺寸、類型，以及來源網頁標題和網址。來源可能包含一般圖片元素、srcset、CSS 背景、SVG、影片封面、開放式 Shadow DOM、來源安全的 Canvas、可讀 Blob 及已載入圖片資源。部分跨來源 iframe 或受保護內容無法存取。
網站授權與自動模式是獨立選項。明確點擊「一次授權所有一般網站」並經 Chrome／Edge 原生權限核准後，可跨分頁手動操作，但不會因此啟用自動掃描。自動掃描與本機視覺分群須另外明確啟用，且一般側邊工作台保持開啟。停用自動模式不會自動撤銷網站權限。ImageFlow 不收集完整瀏覽歷史。
一般工作台的深入掃描可能暫時捲動頁面，結束或取消時嘗試還原位置；動態偵測會短暫觀察 DOM 與圖片更新，最長約 15 秒。可讀 Blob 可能以原始檔或縮小快照呈現。請僅處理您有權存取和使用的圖片。
v0.17.11 GitHub Beta 起的「持續收集」是使用者主動建立的本機任務模式；v0.17.12 另外提供可選擇的來源位元組 SHA-256 去重與下載恢復改善，見第 3、4 節。不會自動記錄瀏覽活動。
2. 本機圖片分析及來源網站連線
縮放、轉檔、透明邊修剪、預覽、ZIP、視覺相似與像素細節估計都在瀏覽器本機執行，不使用遠端 AI 或人物／商品辨識，也不保證相似分組或畫質判斷準確。一般視覺分析每批最多約 72 張，保留來源、並行及時間保護。
v0.17.14 起提供獨立的匿名使用與錯誤統計選擇加入開關，預設關閉，只有您明確同意並在 Chrome 允許專用統計伺服器後，才會經 Cloudflare 傳送經白名單篩選、數值已分級的操作摘要到 Google Analytics；欄位、提示文案、無痕行為與關閉方式詳見第 5 節。2026-10-26 已確認 Cloudflare Relay 後端開關為 true。不將圖片、頁面網址、完整任務紀錄傳送給開發者；沒有廣告 SDK 或遠端影像處理後端。本機處理不等於完全離線。 縮圖、預覽、分析及下載可直接連線圖片來源網站／CDN；來源可能收到 IP、請求 URL（包括既有查詢參數）及一般連線資訊。HTTP 來源不保證加密。
v0.17.12 可在使用者明確下載時，選擇比較已授權、已取得且不超過 24 MiB 的原始來源圖片位元組 SHA-256，辨識跨網址完全相同的檔案。此比較重用既有下載資料，不另發送網路請求；超過 24 MiB 或無法驗證的來源仍可正常下載。SHA-256 不是視覺相似度，無法判斷裁切或不同壓縮的內容一定相同。
本機分析及轉檔／下載的圖片請求保留省略憑證的處理（credentials: omit）；一般縮圖元素依瀏覽器 Cookie 規則載入。ImageFlow 沒有 cookies、history 或 webRequest 權限，不透過這些 API 讀取登入資料。圖片網址本身可能含簽章／存取權杖，分享前請自行檢查。
3. 資料儲存方式及保存期限
| 資料類型 | 儲存／移除方式 |
|---|---|
| 一般工作台的圖片清單、預覽、像素特徵與分群 | 目前一般工作台記憶體；重新掃描、重載或關閉時清除／更新。下列明確建立的持續收集任務是例外。瀏覽器可能保留自己的網路快取。 |
| 右鍵選圖交接 | chrome.storage.session 暫存，由工作台接收後移除，亦受瀏覽器工作階段管理。 |
| 輸出、語言、自動模式偏好 | chrome.storage.local，直到清除擴充功能資料或解除安裝。不透過 storage.sync 同步。 |
| v0.17.8 本機品質操作紀錄 | 最近 30 天最多 120 筆去識別操作摘要，包含結果、數量、版本、耗時與分類錯誤碼；不含來源網域、網址、圖片、檔名、頁面標題或原始錯誤訊息，本機歷史不會整份傳給 ImageFlow 維護者或 GA4；若另行加入匿名統計，僅傳送每次操作經過篩選的粗略摘要。可在「品質診斷」匯出或清除。是否加入匿名統計的設定與邀請卡顯示次數也存在 chrome.storage.local。 |
| v0.17.11 起持續收集任務（GitHub Beta） | 只有建立任務前明確勾選本機保存同意才會建立。 擴充功能 IndexedDB 保存來源網頁和 HTTP(S) 圖片完整網址（可能含簽章／權杖）、有限長度標題、尺寸／類型、勾選、輸出格式，以及該任務產生檔案的下載 ID、檔名、預期大小和結果。v0.17.12 選用去重功能時，還會保存原始來源內容的 SHA-256 和位元組大小（僅已取得且不超過 24 MiB 的檔案）。不保存圖片位元組、Cookie、密碼，不上傳或雲端同步。 最多 10 個任務、每個 20,000 筆中繼資料。任務建立滿 7 天後，在下次開啟持續收集工作區時實際清除，不保證精確到期時刻的背景刪除。可在任務及圖片的「檢視網址」查看內容，並隨時刪除整個任務及其圖片／收據資料。瀏覽器也可能清除或回收本機資料，這不是備份保證。 |
| 網站存取權限 | 由 Chrome／Edge 管理，直到您撤銷、移除擴充功能或瀏覽器政策變更。 |
| 下載檔案與瀏覽器下載歷史 | 位於您選擇的下載資料夾及 Chrome 自身的下載紀錄；刪除任務不會刪除已下載檔案，也不會清除 Chrome 自有歷史。舊 v0.17.6 診斷檔可能有來源網域，v0.17.8 起移除；分享前仍請檢查。 |
4. 權限、授權與撤銷方式
必要權限維持 activeTab、scripting、sidePanel、contextMenus、storage、downloads。HTTP／HTTPS 網站採選用授權，非安裝時永久全網站讀取；拒絕某來源不妨礙其他已授權圖片。工具不繞過登入、付費牆、網站授權、Chrome 內部頁面或跨來源安全限制。
關閉「自動掃描」或「關閉自動模式」會停止自動作業並保留網站授權供手動使用。要撤銷全網站權限，展開「管理設定」按「撤銷全網站授權」，或到 chrome://extensions／edge://extensions 管理網站存取。先前個別授予的圖片來源可能要分別撤銷。本公開政策網站不能直接修改安裝中的權限或下載檔案。
持續收集：使用者明確建立任務，再按「追加一批」／「開始持續收集」才掃描指定來源文件；請自行捲動或載入更多，不自動捲頁、跨網站爬取或關閉後繼續執行。無痕來源不建立持久任務。重新開啟只恢復資料，不自動開始掃描或下載；縮圖預設關閉，勾選顯示後才連線圖片來源。下載需另行點擊，涉及全任務所有頁面已勾選且未完成項目，不僅可見的一頁。格式在產生下載收據後鎖定。
只有代表副本的 ZIP 經 Chrome 確認完成，才能將其他完全相同的來源正式標記為略過。若代表副本的下載紀錄變成未知或檔案遺失，原本略過的項目會恢復為待處理；是否重試由使用者明確決定。也可以選擇保留相同來源的每一份副本，不會自動刪除先前下載的檔案。
恢復時只核對本任務收據相關的 Chrome 下載紀錄。完成狀態、來源擴充功能、可信下載 ID（若下載 ID 因中斷沒有保存才用所產生檔名比對）、存在訊號及預期大小吻合才標為完成；歷史不存在、檔案缺失或結果無法確認時分別顯示，不假設成功。未知項目須明確確認重試，可能產生重複檔案。Chrome 回報不是檔案長期存在或位元組加密完整性的保證；失效的圖片網址不保證恢復。
5. 選擇加入的匿名使用與錯誤統計（v0.17.14 起；本節依 v0.17.17）
預設關閉，必須由您主動同意。新安裝或從未開啟時不會傳送任何統計。只有兩個入口可以開啟，兩者都會在點擊前顯示說明：
- 側邊欄下方的開關（簡易模式與進階模式都看得到，永不預先勾選）：「分享匿名功能使用與錯誤統計（選擇加入）」，旁邊說明：「預設關閉。開啟後，操作類別、結果、分級後的數量與耗時、擴充功能版本會經 Cloudflare 轉送到 Google Analytics；不傳送圖片、網址、檔名、使用者或裝置識別碼，無痕視窗中的操作也不傳送。可隨時取消；不影響本機功能。」
- 簡易模式的一次性邀請卡（只在統計關閉時）：「分享匿名使用與錯誤統計，幫我們改善，不含網址或圖片」，並說明「只傳送操作類別、結果、分級後的數量與耗時、擴充功能版本，經 Cloudflare 轉送到 Google Analytics。預設關閉，可隨時在面板下方取消。」按鈕為「開啟」與「不用了」。邀請卡在第一次完成下載後，或下載／掃描失敗時出現；您拒絕權限或自行取消不算失敗。按「不用了」後不會再自動出現；若都沒選，之後最多再出現一次（合計最多兩次）。失敗時另有「分享這次問題」，只送出這次失敗的一筆匿名事件；若統計尚未開啟，同一次點擊會先完成上述開啟流程，拒絕就不送出。
Chrome 權限提示：開啟時，ImageFlow 只在您的點擊中要求一個網站權限：imageflow-ga4-relay.akin624side731.workers.dev。開關與邀請卡都事先提示：「開啟時 Chrome 可能會詢問是否允許「讀取以及變更你在imageflow-ga4-relay.akin624side731.workers.dev的資料」（通常只在第一次開啟時詢問）；這只讓 ImageFlow 把統計送到這個統計伺服器，不會讀取你瀏覽的網站。」拒絕權限時統計維持關閉、不傳送。這個來源只用於傳送統計（POST /collect），不需要新增安裝時權限。
送出的欄位（每次掃描、動態掃描、視覺分群、預覽、下載／匯出結束後最多一筆；欄位固定，Relay 拒收其他任何欄位）：
| 欄位 | 內容 |
|---|---|
operation | 操作類型：scan、dynamic_scan、visual、preview、export |
result | 結果：success、partial、failure、cancelled、empty |
mode、format | （選填）掃描模式 normal／deep／dynamic／automatic／manual；輸出格式 original／png／jpeg／webp |
code | （選填）固定清單中的錯誤分類代碼，例如 NETWORK、DECODE、FORMAT、SCAN_TIMEOUT；不含原始錯誤訊息 |
attempted、succeeded、found | 數量，在擴充功能內先分桶（先以 350 為上限），只送出區間下限：0 → 0、1 → 1、2–5 → 2、6–20 → 6、21–100 → 21、101 以上 → 101 |
durationMs | 耗時，在擴充功能內先分桶（先以 120000 毫秒為上限）：0–999 毫秒 → 0、1–4.999 秒 → 1000、5–14.999 秒 → 5000、15–59.999 秒 → 15000、60–119.999 秒 → 60000、120 秒以上 → 120000 |
downloaded | 是否有檔案完成下載（是／否） |
version | 擴充功能版本，例如 0.17.17 |
精確數字不會離開瀏覽器。Relay 收到後再轉成區間標籤（例如 21_100、1_4s）送到 GA4。不傳送圖片位元組、來源／圖片 URL、網域、檔名、頁面標題、原始錯誤、Cookie、使用者帳號、固定裝置或使用者識別碼，也不會整批上傳本機品質紀錄。
Relay 與 GA4：傳送路徑為 ImageFlow → Cloudflare Worker → Google Analytics 4（GA4），僅用於品質改善、功能使用次數及錯誤類別統計，不用於廣告或個人追蹤。Relay 為每一筆事件產生新的隨機 client_id 與以當下時間產生的 session_id，不跨事件識別使用者，並將廣告相關同意欄位（ad_user_data、ad_personalization）一律設為 DENIED；因此不提供可靠的使用者留存率、DAU／MAU 或個人漏斗。
IP 位址：Relay 程式只把連線 IP（CF-Connecting-IP）當作 Cloudflare 速率限制（每個 IP 與整體各一）的鍵值，在處理該次請求時使用；Relay 程式不儲存、不記錄 IP，也不把 IP 轉送到 GA4（送往 GA4 的請求由 Relay 伺服器發出，事件中沒有您的 IP）。Cloudflare 與 Google 作為服務提供者，仍可能依各自政策處理一般連線資訊與服務記錄，詳見 Cloudflare 隱私政策 及 Google 隱私權政策。
無痕模式：無痕視窗中的操作不會傳送，也無法在無痕視窗開啟統計，邀請卡不會在無痕視窗出現。ImageFlow 沒有 incognito 設定，Chrome 以共用背景執行，因此側邊欄會為每筆事件附上自己的視窗編號，背景程式在每次傳送前以 chrome.windows.get（已知分頁時再加上 chrome.tabs.get）確認來源是一般視窗才送；無痕視窗、已關閉的視窗、缺少視窗資訊或查詢錯誤一律不送。
傳送上限：擴充功能每小時最多送 40 筆、最多 6 筆等待傳送，不做持久重試；Relay 另有速率限制，維護或異常時可能暫停收件。側邊欄顯示的「Relay 接受」（HTTP 204）只代表 Relay 收下，不代表 GA4 一定入帳或立即出現在報表。
如何關閉：隨時在側邊欄下方取消勾選開關。尚未送出的事件立即清除、進行中的請求中止，同一次點擊也會移除 Chrome 對統計伺服器來源的權限（只移除這一個來源，不影響其他網站或「允許所有網站」；若開著「允許所有網站」，它仍涵蓋該網域，但統計已關閉，不會傳送）。重新開啟時會在點擊中再次要求這個來源，Chrome 可能直接核准而不再顯示提示。在 ImageFlow 中取消「允許所有網站」不會關閉統計，會保留統計伺服器權限；若從 Chrome 設定撤銷導致權限消失，統計會暫停不送，並顯示「重新開啟」。移除擴充功能也會移除這項設定。
2026-10-26 已確認 Relay 已啟用（後端開關為 true）。Relay 啟用與使用者同意是分開的：部署或更新 Relay 不會替任何人開啟統計，仍只有明確選擇加入、並核准 Chrome 專用網站權限的使用者會傳送。
6. 資料使用目的與分享
上述資訊只用於使用者要求的圖片搜尋、整理、分析、轉檔和下載。ImageFlow 不出售資料、不用於廣告剖析、資料仲介、信用評估或其他無關目的。向來源網站發出的必要請求不是向開發者上傳。
對透過 Google API 取得的資訊，遵循 Chrome Web Store User Data Policy，包括 Limited Use。主動寄送客服信件的內容會透過 Email 服務處理，用於回覆與排錯；請勿提交密碼、Cookie、權杖或不必要的私人圖片。
7. 維護者、聯絡與政策修訂
維護者：azureskies（AmpCub）。客服與隱私問題：akin624side731@gmail.com。請提供版本與可公開的重現步驟，不必寄送私人圖片。
本政策適用 ImageFlow v0.17.17 及之後相應版本（Chrome 線上應用程式商店版本以實際安裝版本為準）；2026-10-21 補充本機品質紀錄，2026-10-23 補充 v0.17.11 持續收集與 v0.17.12 來源 SHA-256 去重、恢復行為的 GitHub Beta 揭露。GitHub Beta 發布不代表 Chrome Web Store 已更新，商店使用者以實際安裝版本為準。2026-10-25 補充 v0.17.14 GitHub Beta 的選擇加入匿名功能品質統計及 Cloudflare／GA4 接收者說明。2026-10-29 依 v0.17.17 詳細說明匿名統計的同意方式、提示文案、送出欄位與分桶、無痕行為、IP 只用於速率限制，以及關閉方式。資料處理重要變更會同步更新公開政策與相關商店揭露。
English privacy summary
Ordinary image processing is local and transient. Explicitly created Continuous Capture tasks in v0.17.11+ Beta separately save full source/image URLs (possibly containing signed tokens), bounded metadata, selections and task-generated download receipts in extension-origin IndexedDB. No image bytes or cookies are stored, and no task data is sent to GA4 or the developer. Task creation requires explicit local-storage consent. Tasks expire seven days after creation and are physically removed on the next capture-workspace opening; inspect/delete controls are provided. Restoring does not start work or fetch thumbnails, and deleting tasks does not delete downloaded files or browser history. Direct image requests still contact source hosts. Optional anonymous usage and error stats (since v0.17.14; described here for v0.17.17) are OFF by default; only after explicit opt-in and the dedicated Chrome permission are allowlisted, bucketed operation summaries sent via Cloudflare to GA4, never images, URLs or identifiers. Nothing is sent from incognito windows, the relay uses the IP address only as a rate-limit key and does not store or forward it, and the relay has been verified enabled since October 26, 2026. See the full English policy.