隐私政策

本扩展以「数据不出本机」为设计原则：不收集、不上传、不分享任何个人数据，不存在任何远程统计、埋点或分析服务。

数据处理位置

以下数据全部在你的浏览器本地处理，不会发送到网络：

• 摄像头视频帧：仅在你主动开启「摄像头面捕」后，通过 getUserMedia 获取，在扩展的离屏文档（offscreen document）中由 MediaPipe FaceLandmarker 本地推理人脸关键点，用于驱动模型头部、眼睛、视线、嘴形。视频帧本身不显示、不录制、不保存。
• 麦克风音频：仅在你主动开启「麦克风口型」后获取，只通过 Web Audio AnalyserNode 计算实时音量（RMS）驱动 ParamMouthOpenY。不录音、不做语音识别、不保存音频。
• 键盘与鼠标状态：仅在内存中保留最近若干个按键用于悬浮状态条显示，松手即失效，不记录历史。在密码、支付、验证码、contenteditable 等敏感输入框中，按键只显示为「正在输入」，不显示具体键值。
• 人脸关键点 / 面部参数：仅存在于内存中，用于逐帧渲染，不写入存储。
• 设置项 / 收藏夹（含标签）/ 剪贴板历史 / 使用同意记录：通过 chrome.storage.local 保存在你本机，包括 VTube Studio 授权令牌、你主动收藏的网址列表与标签、自动记录的复制文本、首次安装时是否同意条款的记录。
• 剪贴板历史：仅在网页发生复制操作时记录被复制的文本（最多 50 条、单条最长 2000 字符、置顶条目不占额度），只保存在你本机；密码、支付等敏感输入框中的内容浏览器不会向扩展暴露，因此不会进入剪贴板历史。
• 浏览历史 / 标签页：仅在你展开爱莉右键菜单的「历史 / 标签」子菜单时，才会在本地读取近 7 天浏览历史与当前打开的标签页（用于展示、切换、加入收藏与去重），不持续监听、不上传。标签页的关闭 / 固定 / 静音等操作仅在子菜单中你主动点击对应按钮时才执行。

网络通信

• 本扩展不加载任何远程脚本，所有运行时代码与模型资源均打包在扩展内。
• 唯一的网络连接是可选的 VTube Studio 联动：仅当你主动开启时，连接本机 ws://localhost:8001（回环地址），不经过外网。授权令牌只保存在本地。
• 翻译功能（可选）：仅当你主动使用右键翻译（选中文字 / 当前页面）时，会把那段文本发送到你选择的翻译服务——默认 Google 翻译（translate.googleapis.com），可在设置切换到 MyMemory（api.mymemory.translated.net）或 OpenAI 兼容接口（如 DeepSeek / OpenAI / 通义千问 / 智谱 GLM / 本地 Ollama）——以获得译文。文本仅用于本次翻译，不被本扩展留存；已翻译文本的本地缓存只存在浏览器会话内（chrome.storage.session），用于减少对翻译接口的重复请求，浏览器会话结束 / 卸载扩展即清空；关闭「启用右键翻译」即完全停止该网络请求。

权限

• storage：保存设置、收藏（含标签）、剪贴板历史、使用同意记录与 VTS 令牌。
• offscreen：在离屏文档中运行摄像头/麦克风处理。
• alarms：VTS 断线重连定时。
• history：右键「历史」子菜单按需读取近 7 天浏览历史。
• tabs：右键「标签」子菜单按需读取/管理打开的标签页（搜索、切换、关闭、固定、静音、去重）。
• contextMenus：在网页上注册「翻译」右键菜单项。
• host_permissions：仅翻译接口域名（Google / MyMemory / OpenAI 兼容接口），用于后台调用翻译服务。
• 摄像头/麦克风权限在运行时按需请求，你可以随时在 Chrome 设置或扩展弹窗中关闭。

使用同意

首次安装时，本扩展会展示「使用同意页」，请你确认：服务条款与隐私政策、Live2D 专有许可、模型授权（禁止二次售卖）、翻译外发提示、摄像头 / 麦克风按需授权说明。只有在你勾选全部同意项后才会写入本地 consent 记录（同意时间与版本号）并进入使用；该记录只保存在本机，卸载即删除。未来条款发生变更时，会再次征得你的同意。

数据删除

卸载本扩展即删除全部本地设置、收藏、剪贴板历史与同意记录。关闭摄像头/麦克风开关会立即停止相应的媒体流（释放摄像头指示灯与设备占用）。