领航全球办公网络隐私与资料留存说明
本页说明当前功能处理信息的用途、已实现的清理方式，以及尚待确定的运营政策。浏览器扩展用于领航会员的浏览器代理连接、出口核验和恢复；商店发行状态以对应商店页面为准。
恢复按钮清除领航自己的浏览器代理设置及当前扩展会话凭据，不会删除官网账户、订单、会员、邮件或后台操作记录。
一、我们为哪些功能处理信息
标准方案为注册、登录、会员核验和设备连接处理用户名、邮箱、密码校验摘要、会员有效期、订单及设备随机标识。密码采用带随机盐的摘要保存；原生连接配置在服务端加密保存。客户界面不显示后台连接凭据，并不代表设备拥有者无法提取本机运行所需的信息。
付款会使用订单号、套餐、金额、支付宝交易状态及付款／退款时间等信息核验权益。支付页面及支付账户信息由支付宝处理；领航不提供银行卡信息输入表单。秘钥方案会处理下单邮箱、有效期及加密交付资料，并将密钥、二维码与指引发送给所填写的邮箱。
后台授权管理员可查看必要的账户、会员、设备、订单和连接状态，处理停用、撤销及退款等操作。后台操作会记录操作者、目标、时间、操作理由和结果。目前没有客户自助删除账户及整套历史记录的入口。
二、浏览器扩展的范围与信息
扩展只接受领航官网发起的一次性连接票据，经会员核验后设置 HTTPS 代理，并校验公网出口和基本 HTTPS 连通性。代理仅作用于当前浏览器普通窗口经规则路由的 HTTP／HTTPS 请求；无痕窗口不继承领航这层代理。官网账户接口与 localhost 等明确绕过地址不走该代理。
扩展不建立全设备 VPN，不接管其他应用，也不承诺 UDP、WebRTC 或全部 DNS 流量受到保护。点击平台官网链接不保证该平台一定可访问，连接验证也不能替代全部流量或泄漏测试。
扩展会使用设备随机标识、一次性票据、短期代理认证令牌、账号显示名称、授权到期时间和连接状态。认证令牌保存于浏览器的会话存储；内容脚本与弹窗只能获取公开状态，不接收认证令牌。设备标识和无凭据的代理启用记录保存在扩展本地存储。关闭弹窗不会结束连接。
扩展在自己的 IndexedDB 中保存不可导出的 P256 签名私钥，公钥与设备随机标识用于服务端设备绑定。连接票据和代理请求需要一次性挑战证明；签名不向网页提供私钥。相同扩展安装身份的正常更新保留本地密钥；卸载、清除扩展资料或换商店安装身份可能需要重新登记设备，不会自动删除服务端账户。
offscreen 权限用于在隐藏的扩展文档及其工作线程中执行固定的出口 IP 和 HTTPS 连通性请求，使验证请求经过当前浏览器代理。它不读取打开标签页的正文或浏览历史；关闭验证文档不等于关闭连接。验证服务收到请求 IP 和正常网络元数据。
代理、存储、定时检查和代理认证权限用于上述单一连接用途。网址访问权限用于响应各网站请求触发的领航代理认证；票据桥仅在 www.linghang.world 加载。认证只响应授权代理的准确主机与端口，不响应目标网站登录认证。当前扩展没有广告、分析 SDK 或读取网页正文及浏览历史的采集功能。
运行与故障统计
客户端在登录后、服务端启用统计时，报告启动、连接开始、连接成功或失败、断开成功及恢复失败等固定事件。字段限于平台、版本、连接模式、节点标识、可选设备随机标识、耗时与固定错误代码；不发送访问网址、目标 IP、浏览内容、原始错误堆栈、密码、密钥或登录令牌。统计请求使用现有账户授权，失败不会阻止连接。
统计保存在领航后台，最多保存 30 天且全局最多 50,000 条；有新事件写入时清理。管理员只能查看必要的汇总及去除账户与设备标识的故障列表。服务端可关闭采集。报告中的成功率仅以实际收到的连接结果为分母，不代表全部用户或实时在线人数。
三、网络转发与外部服务
代理节点须在转发时处理连接来源、目标主机与端口、连接状态和传输数据。明文 HTTP 的网址、请求及响应可被节点处理；HTTPS CONNECT 保留浏览器与目标网站间的 TLS。本扩展不安装解密证书，不解密目标网站的 HTTPS 内容。
已核对的领航浏览器代理应用代码没有把转发内容、目标网址写入专门的访问历史表；当前连接对象和账户限速状态主要在进程内存中使用。连接结果、设备和授权记录则会保存。主机、托管、系统日志和备份的实际安排仍需运营方核对，因此本页不作“任何一方都不留日志”的承诺。
| 服务 | 必要处理 |
|---|---|
| 网站托管与 VPS 主机 | 网站请求、连接转发及账户／订单存储。日志、备份、地区和清理安排须另行核对。 |
| 支付宝 | 付款、交易查询及退款。由其处理支付账户信息，领航核验与订单有关的返回结果。 |
| Resend 发信服务 | 收件地址、邮件内容、密钥二维码附件及发信事件。邮件接受请求不等于进入收件箱；邮件可被收件端归入垃圾邮件。 |
| Namecheap 收信转发与客服邮箱 | 发送给 delivery@linghang.world 的来信由 Namecheap 转发至客服邮箱，处理来信地址、正文与附件，用于回复问题及处理资料请求。该收信线路不经过 Resend 入站邮件服务。 |
| ipify 与 Google | 扩展分别查询公网出口 IP、请求 HTTPS 连通性检查。服务会收到请求 IP 及正常网络元数据。 |
| Cloudflare 测速服务 | 内部管理后台按管理员选择，由旗下 VPS 发起下载、上传和 HTTPS 延迟请求。测速服务接收该 VPS 的 IP 及网络元数据。 |
| 内部 IP 信息查询 | 管理员手动输入公网 IP 后，查询地址发送至所标明的地理与风险数据源，包括 ProxyCheck 与 FFraud。后台记录来源、时间和各来源的分数与标记；不同来源可能不一致，未提供数据不表示安全。 |
| 平台图标与官网入口 | 部分平台图标由 Google 图标服务加载，加载时该服务会收到请求 IP 等信息；点击平台链接后，由对应平台按其自身规则处理访问。 |
服务可能涉及境外节点或外部服务。各服务的数据保存地区、保留期限和处理安排待运营方完成核对；本页未代替这些服务各自的隐私政策。
四、当前资料如何留存与清理
| 资料 | 当前行为 |
|---|---|
| 官网登录授权 | 客户端账户页使用标签页会话存储；退出登录或明确授权失效时清理。服务端保存令牌摘要及到期时间，默认登录授权为 24 小时，实际以签发期限为准。过期会话由维护流程清理。 |
| 扩展登录与代理授权 | 令牌使用扩展会话存储；恢复时清理。代理启用记录也会清理，设备随机标识仍保留。卸载可清除扩展本地资料，不删除服务端账户记录。 |
| 连接票据与状态 | 票据默认两分钟且只能兑换一次；到期后失效不等于删除连接历史。服务端保存连接状态、错误代码、设备及时间，目前未设置该历史记录的自动整行删除期限。 |
| 账户、会员、订单与审计 | 服务端持久保存，目前未设置统一自动删除期限。会员到期、退出或停用不等于删除这些记录。具体保留政策与数据删除流程待运营方确定。 |
| 秘钥交付与邮件状态 | 到期／撤销按维护流程回收连接权限，并清理交付页密钥字段；订单及其余加密交付资料不随到期全部删除。邮件服务接受记录及已核验的邮件事件会保存，目前未设置统一自动删除期限。 |
| 测速与设备检测 | 原公开检测入口已关闭，相关工具仅在内部管理后台提供。管理员手动触发 VPS 测速、延迟或输入公网 IP 查询；查询地址会发送至所标明的外部 IP 数据源。测试和检测记录保存在后台，记录来源、时间、结果和备注；不采集访问者设备指纹。 |
| 客户端运行与故障事件 | 最多 30 天、全局最多 50,000 条；新事件入库时清理，服务端可关闭。无样本不推定连接成功。 |
| 运维日志、备份与服务商记录 | 实际保存内容、期限、访问权限和删除安排尚未完成核对，不能以应用没有访问历史表推定这些记录不存在。 |
五、停止连接和保护交付资料
点击扩展的“恢复浏览器原有代理”，无需登录、会员或后台可用。操作清理领航当前代理层及旧版本残留层，回到原来的系统／个人配置／其他扩展层，不改写组织策略或其他扩展的设置。恢复代理设置不保证强制断开所有已建立的浏览器会话；已打开网页可需重新加载。
请保密账号密码、访问密钥、二维码及交付邮件。联系客服时提供订单号、设备类型和问题现象即可，不要在公开位置张贴完整凭据或含凭据截图。
六、联系、数据请求与待确定事项
数据查询、删除或使用问题可发邮件至 delivery@linghang.world，也可直接回复交付邮件。该地址用于交付，来信通过 Namecheap 转发至客服邮箱处理；收信转发已于2026年10月14日实测确认。发件和转发邮件仍可能受收件端过滤或网络故障影响。本页不承诺即时回复；处理期限待运营方确定。最新联系信息请查看使用帮助。
- 运营主体名称及数据请求处理期限。
- 账户、订单、连接历史、审计和邮件事件的具体保留期限与删除流程。
- 网站托管、主机、发信服务的日志、备份、保存地区与删除安排。
- 各商店披露资料、实际安装身份及公开支持信息的核对。
这些事项未确定前，不将本页描述为商店已审核通过的隐私政策，也不宣称浏览器扩展已正式上架。