隐私模型

隐私边界总表

应用不会发送什么

BatchMint 应用请求不包含所选图片字节、解码像素、原文件名、水印文字、本地 Logo 文件或处理结果。重型操作在本地 Worker 中运行，并将浏览器 Blob 返回页面。这是核心隐私表述，它的范围比“整个网站完全离线”或“网页不发出任何网络请求”更窄，也更容易验证。

可以预期的网络活动

• 静态应用使用的 HTML、JavaScript 和 CSS。
• 字体、图标、Service Worker 文件和同源资源。
• 尚未缓存时需要下载的 JPEG、PNG、WebP 或 AVIF WASM 编解码资源。
• 用于阻止中国大陆流量加载 AdSense 的同源 Cloudflare 国家信号。
• 工作台之外公共说明页面上的已批准广告和同意管理资源。

为什么工作台和公共内容页分开处理

图片处理工作台设置为 noindex，并且不加载 AdSense 站点脚本或广告域名预连接。用户选择和变换本地文件时，可以减少无关的第三方活动。公共文章、工具说明和政策页面承担内容说明用途，可能按照公开政策加载已批准广告或同意管理服务。

本地存储和删除

预设和品牌套件通过 IndexedDB 保存在当前浏览器配置中，主题偏好保存在 Local Storage。BatchMint 不提供这些记录的账号同步。清除该网站的浏览器数据会移除它们。下载的图片、ZIP 和 CSV 报告不属于网站存储，会继续保存在用户选择的文件位置。

不需要远程图片删除计划

当前应用不会把所选图片上传到 BatchMint 图片处理服务，因此不需要为这些文件创建服务器存储桶或定时删除任务。这不代表用户设备上的原图、下载结果、浏览器缓存，或之后上传到其他平台的文件会自动删除；这些副本由设备所有者或目标服务负责。

怎样测试这条隐私边界

• 处理有代表性的 JPEG、PNG 和 WebP，同时记录浏览器网络请求。
• 检查请求正文、URL 和分析属性中是否出现图片字节、文件名或水印文字。
• 确认工作台构建不包含 AdSense 加载器和广告域名预连接。
• 在编解码器未缓存的情况下重复测试，避免把正常资源下载误判为图片上传。
• 记录异常和限制，不把隐私表述扩大到实测范围之外。

BatchMint 无法控制的范围

• 浏览器扩展、操作系统软件、恶意程序和设备管理员。
• 使用同一浏览器配置或下载文件夹的其他人。
• 之后收到导出图片的电商平台、网盘、邮件服务或社交网络。
• 用户主动进行的截图、剪贴板复制或文件分享。
• 浏览器自身存储、下载和权限系统的可用性与行为。

政策、解释与纠错入口

• 为什么本地处理能减少图片暴露

  面向普通读者的数据最小化说明，以及仍然存在的设备风险。

• 隐私政策

  网站数据、第三方服务和用户请求的公开政策。

• 测试方法

  证据等级和网络隐私测试范围。

FAQ