隐私与权限
Cordy 如何处理你的数据——自带密钥、浏览器直连、无后端、无遥测——以及每项权限的通俗说明和撤销方式。
Cordy 的设计让你的数据始终属于你。本页说明究竟发送了什么、存储在哪里、你会看到的一次性同意，以及每项 Chrome 权限的用途。
简短版
- 自带密钥。 你使用自己的服务商 API 密钥；没有 Cordy 账号。
- 浏览器直连、无后端。 提示词从你的浏览器直接发往你所配置的服务商。Cordy 自身不运行任何服务器——它无法看到、代理或存储你的流量。
- 无遥测。 Cordy 不收集任何使用分析数据，也不向任何服务器回传。
- 本地优先。 对话、设置、书签和密钥都存放在你的设备上。密钥经过加密。
- 按需授权。 读取页面内容、历史记录和书签均为可选，且在首次使用时才请求——绝不会在安装时悄悄获取。
发送了什么，何时发送
Cordy 仅在你操作时发送数据——当你发送聊天消息或执行文本操作（翻译、解释、总结、朗读）时。届时，你的文本以及你附加的任何页面内容会发送给你所配置的 AI 服务商。不会在后台发送任何内容，也不会收集关于你浏览行为的任何信息。
如果你使用本地设备端模型，连这次发送也留在你的机器上——见 本地与设备端 AI。
你的数据存储在哪里
- API 密钥——通过 Cordy 的安全存储加密后仅保存在本机。除你用它调用的那家服务商外，绝不上传到任何地方。
- 对话、设置、书签、已保存标签页——存放在你设备的本地浏览器存储中。
- 不向 Cordy 服务器同步任何内容，因为根本没有这样的服务器。
云端同意闸门
首次向云端模型发送任何内容时，Cordy 会显示一次性弹窗——「发送到云端 AI 服务？」——它会明确说明发送了什么、只发往你所配置的服务商，以及你的密钥和对话都留在你的设备上。你只需同意一次。
这个单一闸门覆盖所有云端路径——聊天、翻译、上下文压缩、总结、书签分类和云端语音合成——并且失败即拒绝：若你尚未同意，云端请求不会发出。本地设备端模型从不触发它。
你可以随时在设置 → 数据与隐私中撤回同意；下次云端请求前会再次征询你。
权限
Chrome 扩展需声明权限。Cordy 将其分为一小组常驻权限，和一组更大的、仅在你使用相关功能时才请求的可选权限。
常驻（安装时请求）
| 权限 | 用途 |
|---|---|
sidePanel | 显示 Cordy 的侧边栏界面 |
storage | 在本地保存你的设置、对话和已保存项 |
tabs / activeTab | 查看标签页标题/网址，并为标签页工具和切换器管理标签页 |
scripting | 在你已授权的站点上运行 Cordy 的页面内功能 |
contextMenus | 右键的引用到 AI菜单项 |
offscreen | 在后台文档中运行本地模型和语音合成 |
alarms | 安排后台维护（自动归档、存储清理、保持工作进程存活） |
值得注意的是，这组权限不包含对网站内容的广泛访问——读取页面文本需要下面的可选网站访问权限。
可选（首次使用时请求）
| 权限 | 用途 | 何时请求 |
|---|---|---|
| 网站访问（host） | 运行页面内功能并读取当前页面内容 | 当你启用页面内功能时 |
history | 搜索并显示你的浏览历史，以及 @history 提及 | 当你首次使用历史时 |
bookmarks | 管理和同步你的书签 | 当你首次打开书签管理器或同步时 |
browsingData | 清除某站点的缓存/Cookie/存储（「清理站点数据」操作） | 当该操作首次运行时 |
topSites | 建议快捷链接 | 相关时 |
为什么没有「读取你的所有数据」警告
由于 Cordy 不声明任何安装时的 host 权限，Chrome 在安装时不会显示那条令人不安的「读取和更改你在所有网站上的所有数据」警告。网站访问改为一项可选权限，当你想使用页面内功能时从按钮授予——且 Cordy 只有在你允许之后才注册其页面内脚本。
授予与撤销权限
- 网站访问——在设置 → 通用 → 页面内功能中授予或撤销。撤销后 Cordy 不再在页面上运行；聊天和面板功能照常工作。
- 历史 / 书签——在首次使用时授予；可在 Chrome 的扩展设置中管理或移除。
- 云端同意——在设置 → 数据与隐私中撤回同意。
重大升级后，可选的网站访问可能会重置。如果页面内功能停止工作，请重新启用一次——见 安装。
提示注入安全
你阅读的页面可能包含试图劫持助手的文本。Cordy 将所有浏览器派生数据——页面内容、选区和工具返回——都视为不可信，与你的指令分离，因此恶意页面无法发号施令。破坏性工具始终需要你明确批准。
导出与删除你的数据
一切都在设置 → 数据管理下：
- 备份数据——把你的对话、设置、已保存标签页和书签导出为文件。（壁纸图片和 API 密钥不包含在内，因此恢复后需重新输入密钥。）
- 恢复数据——导入备份。
- 全部删除——永久移除聊天消息及相关数据。
- 选择性删除——只移除聊天、段落锚点或书签。
移除扩展也会删除其本地数据——如想保留，请先导出备份。
日志
Cordy 保留本地、脱敏的警告和错误日志以帮助排障。它们不含你的消息、模型回复和 API 密钥，且不上传任何内容。你可以在设置 → 日志中将其导出为 JSON 以附在问题反馈中，或清空它们。