隐私政策

任务内容全部存在你自己的浏览器里（IndexedDB），服务端没有你的任务、课表、专注记录、成绩或笔记 —— 不是"承诺不看"，是技术上读不到。

本地数据库名为 student-task-workbench（名字沿用早期版本，这样你已有的数据不会读不到）。启用账号之后，每个账号用各自独立的一份库（student-task-workbench@账号 id）：换个人登录看到的是他自己的账本，两个人不会互相读到。

这也意味着：清除浏览器数据、换设备、重装系统都会把它们一并带走。请在设置页定期导出备份（JSON）。

唯一存在服务端的是账号信息：用户名、密码的哈希值（scrypt，不存明文，也无法反推）、创建与最后登录时间，写在部署者那台机器的 data/users.json 里。除此之外没有别的。

除了任务数据，本站还会写入少量本地存储。它们都只在本机使用，不会上传：

Cookie 只有一个：stwb-session（登录状态；HttpOnly，页面脚本读不到它）。除此之外一个都不写 —— 没有统计 Cookie、没有广告 Cookie、没有第三方 Cookie。删掉它就等于退出登录。

默认情况下，你的任务、课表、专注记录一步都不出这台设备。只有下面三件事会让内容（或某个时间点）离开它，而且三件都是你亲手打开的：

一、AI 增强（默认开启，可一键关掉）：「AI 增强」开启时，有两类内容会发给我们配置的模型服务商（当前是 DeepSeek 的接口）：

二、跨设备同步：只有你在某台设备上主动打开，那台设备才会把内容传上服务器 —— 目的是让手机和电脑看到同一本账。

上传的是任务、学期、课程、课次、专注记录、成绩这几类业务数据；不上传你的 AI 密钥（它只存在浏览器里）、也不上传主题或绩点换算制这类设备偏好。

存在哪里：部署这套系统的服务器（就是你或你信任的那个人自己那台机器）上的 `data/sync/<账号>.json`，一个账号一个文件。它不是第三方云服务，没有别人参与。

怎么关：设置页把「跨设备同步」关掉，这台设备立刻停止上传；已经传上去的那份不会自动消失（"关掉同步"和"删除数据"是两回事）——要一起清掉，可以在「注销账号」时勾选，或让部署者删掉那个文件。

合并规则：以"改得更晚的"为准；任务额外遵守完成态优先 —— 任意一台设备上完成过，同步后就是完成，不会被另一台的未完成状态覆盖回去。

三、手机通知（默认关闭）：开启后服务端只知道"什么时候该提醒"，不知道提醒什么（内容由手机本地算，见第六条）。

你可以不带部署者的密钥，而是在设置页填一份自己的：那之后 AI 调用花的是你自己的额度，请求也发往你自己指定的端点（默认仍是 DeepSeek）。

这份密钥只存在你这台设备的浏览器里（按账号分开存放），服务端不保存、不写日志、不进审计；调用时由浏览器随请求带上，服务端转一次手就丢掉。它也不会被导出进备份文件 —— 备份是要发给别人或传网盘的东西，凭据不该在里面。

一条要说清楚的边界：请求仍然经过这个部署的服务器（浏览器直连模型服务商通常会被跨域策略挡住），所以理论上部署者能在转发的那一刻看到你的密钥。若你不能接受这一点，就别填自己的密钥，改用部署者那份。

在设置页把「AI 增强」关掉即可。关掉之后，应用一次模型请求都不会发，快速录入、课表时间预算、排程、四象限、专注计时、周复盘、备份导出全部照常可用。

AI 的输出永远不会直接写进你的数据库：所有改动都要经过你确认，模型不可用时界面会明确降级说明，而不是假装成功。

设置页有一块「使用数据（本机）」：它统计打开应用、建任务、完成任务、次日回访这几件事，用来让你自己看清有没有真的在用。

它只记事件名与发生时刻，不记任务标题、不记标签、不记任何标识信息，并且从不出设备。设置页可以一键清空。

站内提醒完全在本机计算（逾期、两小时内截止、上课前提醒），不经过任何服务器。

手机通知（Web Push）已经可用，默认关闭，要你在某台设备上主动打开。开启之后：服务端只保存"这台设备的推送地址"，并在这里认为该提醒你的时刻发一条不含任何内容的推送；通知里写什么（哪些逾期、哪些今天到期）由手机自己读本地数据算出来。也就是说：提醒的时间点会经过服务器，提醒的内容不会。

开启时会弹出浏览器的通知授权，你可以拒绝，拒绝不影响其它功能；不想用了在设置页关掉即可（这台设备的订阅会被删掉）。

以下几条是明确承诺，也是这个产品的取向：

因为数据只在你手上，"查看、导出、修改、删除"这几件事你随时可以自己完成，不需要向我们申请：

账号已上线（2026-09）。它解决的问题是"这个账本是谁的"：服务端只保存用户名、密码的哈希值与登录时间，用来认出你。

跨设备同步也已上线，但默认关闭：打开它，那台设备才会把任务/课表/专注记录传到你自己那台服务器的 `data/sync/` 下（见第三之三节）。关着的时候，服务端上除了账号那一行，没有你的任何内容。

服务器端不保存：AI 密钥、主题等设备偏好、使用数据（打开/建任务这类事件）、提醒账本 —— 这些要么留在浏览器里，要么根本不出设备。

注销账号会同时删掉服务器上属于你的那份同步数据（`data/sync/<账号>.json` 会被改名归档，不再参与任何服务）。

本产品面向在校学生。若你未满 14 周岁，请在监护人指导下使用，并由监护人阅读本政策。

政策有实质变化时，本页顶部的更新日期会改，并在应用内提示一次。

反馈问题：设置页最下面的「问题反馈」可以按分类写清问题，并一键生成诊断包。诊断包里只有版本、页面、数据条数、最近的事件名与时刻，没有任务标题、课程名、标签或备注。诊断包不会自动上传，生成后由你自己决定发给谁。

这里目前没有客服邮箱，也没有工单系统。所有数据都在你自己的设备上，我们无法代你查看。正式发布前会在此处补上可用的联系方式。

这个工作台现在需要账号：用户名 + 密码，注册即登录。它的作用是认出"这是谁"，好把每个人的本地账本分开；同时挡住"别人白用部署者的模型额度"。

账号不改变数据放在哪里。每个人的任务与课表仍然只存在各自的浏览器里，而且是各自独立的一份库；服务端不会因为你登录了，就收到你的内容。

密码只以哈希值（scrypt）形式存下来，明文不落盘、也无法反推；忘记密码没有找回通道 —— 请自己记牢，或重新注册一个账号（本地数据属于浏览器，不会跟着账号走，需要时可用备份导入）。

登录状态靠一个 Cookie 记着（stwb-session，HttpOnly、SameSite=Lax，默认 30 天），设置页可以随时退出登录。连续输错会被短暂限流（同一出口 IP 共享计数），防止有人用脚本慢慢试。

部署者可以要求一个注册码才允许注册（学生小范围使用时常见）。没有注册码时任何能打开这个地址的人都能建号。