白話版（TL;DR）
- 你的資料受安全保護 — 所有資料透過 HTTPS 安全傳輸，以認證 Token 控管存取權限
- 我們不收集個人資料 — 不需要帳號、不記錄 Email、不追蹤你是誰。唯一例外是你忘記登入驗證、自己填表申請救援時給的 Email：只有管理者看得到，伺服器仍然收不到（見二）
- 你的書預設都不公開 — 只有你主動開放的書才會出現在家庭書櫃
- 程式碼完全公開 — 你可以自己檢查，也可以自己架設
- 解綁家庭不影響你的設定 — 你的開放偏好會保留，換家庭不用重設
一、資料收集
本擴充功能不收集以下資訊：
- ✗ 個人識別資訊（姓名、Email、電話；救援申請的例外見二）
- ✗ 讀墨帳號密碼
- ✗ 瀏覽紀錄
- ✗ 裝置識別碼
本擴充功能收集的資訊（僅限以下項目）：
- ✓ 您主動選擇開放的書單資料（書名、作者、ISBN）
- ✓ 您的開放/關閉偏好設定
- ✓ 上述資料透過 HTTPS 安全傳輸，以認證 Token 控管存取
二、使用者識別方式
本擴充功能從讀墨「個人帳戶」頁面讀取您的 Email 地址。
本擴充功能也會從讀墨網站的登入 Cookie 讀取目前登入帳號的 Email，用來確認登入的仍是當初設定的帳號，說明見「七、Cookie 與追蹤」。
Email 經過加入應用程式專屬前綴後進行 SHA-256 雜湊，轉為匿名的使用者識別碼（User ID），無法被反推回原始 Email。
原始 Email 永遠不會離開您的瀏覽器，也不會存下來。不論從「個人帳戶」頁面還是登入 Cookie 讀到的 Email，都只用來轉成識別碼、比對帳號。
舊版擴充功能曾把從「個人帳戶」頁面讀到的 Email 存在本機
chrome.storage.local，擴充功能更新後會自動刪除。
伺服器只會收到雜湊後的匿名識別碼，無法反推出您的 Email。
您使用官方伺服器、忘記登入驗證方式而申請救援時，會自己在回報表單（Google 表單）填寫讀墨註冊 Email。這個 Email 會送到 Google 表單，由管理者看到，只用來處理這一次救援：管理者把臨時 PIN 寄到這個信箱，處理完就刪除那筆申請。擴充功能和 PWA 不會替您填寫這個 Email，伺服器本身仍只收到雜湊後的識別碼。
三、資料儲存
所有書單資料與開放設定以明文 JSON 格式儲存於 Cloudflare KV，透過認證 Token 控管存取權限。
顯示名稱以明文儲存於家庭群組記錄中。顯示名稱由使用者自行設定，不包含讀墨帳號資訊。
個人開放設定持久保存，不因家庭帳號解綁而刪除。
家庭 ID 可透過 Chrome 瀏覽器的同步功能（chrome.storage.sync）在同一 Google 帳號的裝置間同步，以便跨裝置使用。此同步由 Chrome 瀏覽器原生提供，資料不經由本專案伺服器。
家庭群組資料可設有 TTL 過期機制。
四、資料分享與隱私控制
所有書籍預設不開放，您必須主動選擇要分享的書籍。
新購買的書籍預設為不開放。唯一的例外是您自己在擴充功能設定開啟「新書預設開放」：之後同步時個人書櫃裡還沒有的書（例如新購買的書、從封存移回書櫃的書）會自動開放給家人，也會出現在您的公開書櫃；第一次同步、封存的書，以及一次新增超過 100 本書時，都不會自動開放。這個設定預設關閉，您可以隨時關閉，也可以在「個人書櫃管理」把個別的書改回不開放並儲存。從個人書櫃移除的書（例如同步時發現讀墨書櫃裡已經沒有而移除的書），之後再同步回來時，移除前設為不開放的書會維持不開放，即使這個設定開啟也一樣；移除前設為開放的書，則會算作個人書櫃裡還沒有的書，依照上面的規則處理。
變更開放設定後，需手動儲存才會同步至伺服器。
僅同一家庭群組的成員（持有家庭同步碼）可瀏覽您開放的書籍。
家庭成員僅能瀏覽，無法修改您的開放設定。
解綁家庭帳號後，其他成員立即無法存取您的書籍。
我們不會將您的資料提供給任何第三方。
五、開源與透明
本專案原始碼完全公開於 GitHub。
任何人都可以審查程式碼，確認沒有惡意行為。
進階使用者可以自行部署 Cloudflare Worker，將資料完全存放在自己的帳號下。
擴充功能與手機版 均支援自訂 API 端點，不強制使用本專案的預設伺服器。
六、資料刪除
離開家庭：退出家庭群組後，伺服器端的家庭成員關聯會立即移除，其他成員無法再存取您的書籍資料。
移除帳戶：在擴充功能或手機版的「設定」裡按「移除帳戶」，伺服器會刪除您的個人書櫃與開放設定、公開書櫃與它的分享連結、「新書預設開放」設定、手機版登入驗證設定（PIN 碼、圖形或驗證碼），以及您的家庭成員資格與登入資訊；您是家庭裡唯一的成員時，家庭也會解散。您是管理者、家庭裡還有其他成員時，要先轉移管理權才能移除帳戶。家人向您借書的紀錄和還沒歸還的借閱會留在家庭裡，和您有借閱往來的家人仍看得到。伺服器若有每日備份，移除前已寫入的備份仍可能留有您的資料，備份正常運作時約 14 天後刪除。自行部署伺服器的使用者，也可以直接在自己的 Cloudflare 帳號刪除資料。
本機資料：瀏覽器中的本機資料（顯示名稱、家庭 ID 等）可透過擴充功能管理頁面移除。家庭 ID 同時儲存於 Chrome 同步儲存空間（chrome.storage.sync），會隨 Google 帳號保留以便跨裝置或重新安裝後恢復使用；如需徹底清除，可登出 Google 帳號或在 Chrome 設定中清除同步資料。
七、Cookie 與追蹤
本擴充功能不會設定、也不會修改任何 Cookie。
本擴充功能只讀取一個 Cookie：讀墨網站自己的登入
Cookie（ReadmooNext.email），裡面是目前登入帳號的
Email。這個 Email
只在您的瀏覽器裡處理：用「二、使用者識別方式」的同一種方式轉成匿名識別碼，再和本機存放的識別碼比對。目的是確認目前登入的讀墨帳號就是當初設定的帳號，避免同一個瀏覽器上的其他讀墨帳號看到您的資料。
從這個 Cookie 讀到的 Email 不會儲存，也不會傳送到任何地方。
本擴充功能不嵌入任何追蹤器或分析工具。
八、聯絡方式
如有任何隱私相關問題，歡迎透過 GitHub Issues 聯繫。