栞隐私与数据
哪些数据留在你的电脑上、栞在什么时候联系哪些服务、网站保存什么、Cookie，以及指纹和云端功能的同意。
- 桌面版0.2.8 已提供
- 网页版已可用
本地优先#
你的书架、游玩记录、截图、存档备份和设置都保存在这台电脑的 %LOCALAPPDATA%\GalShelf 中。不登录账号、不使用任何在线服务，桌面客户端也能正常工作。
栞会联系的服务#
只有在你使用需要联网的功能时，栞才会联系对应的服务：
- 你搜索或刷新资料时使用的目录来源：VNDB、鲲 Galgame、Shionlib、Bangumi、誠也の部屋、NextMoe 和 TouchGal（仅在配置密钥后）；
- 关联 Steam 或从 Steam 导入时的 Steam；
- 登录、上传、查询指纹（开启时）或使用 NextMoe 日历时的 galshelf.com 栞服务；
- 你配置的 galbd 接口；
- 你为小助手配置的模型服务；
- 检查更新时的公开发布页。
栞不收集一般使用遥测。开启网站存档状态后，服务会收到下文明确列出的备份活动摘要。
不发送到 GalShelf 服务器的内容#
- 网站存档状态和指纹贡献不包含存档文件、快照清单、存档文件名、存档哈希、绝对本地路径、游戏文件内容或服务商凭据。存档文件和清单只进入你选择的备份服务商或文件夹。
- 导出内容从不包含配对密钥或 Steam 密钥。
书架同步和账号上传都会包含你的笔记（每部作品最多 20,000 字），请不要在要同步的笔记中写入私密信息。可选的 QQ 群排行只会分享作品编号、VNDB 编号、标题、游玩分钟数、游玩次数和评分。
网站保存的内容#
- 你的账号书架、账号信息和已关联的服务。
- 密码只以加盐、不可逆的哈希保存。
- 对于通过 QQ 群流程授权的浏览器：访问 IP、浏览器设备标识和授权的客户端，作为安全记录保留 90 天。
- 账号审计日志，保留 180 天。
- Steam 开发者密钥只保存在服务器上。
- 开启时的私有存档状态摘要：作品编号、账号范围内的不透明存档线和设备标识、服务商类型、报告的备份与来源时间、代数、文件数、总字节数和粗略状态。不接收存档文件、清单、文件列表、文件哈希、位置模板、私人标签、服务商令牌或对象链接。
密钥与凭据存放在哪里#
- 在你的电脑上，GalShelf 登录状态和 Steam 关联按当前 Windows 用户加密（DPAPI）；QQ 凭据文件只允许当前 Windows 用户访问。
- 在服务器上，NextMoe 令牌只在加密后保存，Steam 与 Bangumi 关联信息也经过加密封存。
Cookie#
网站只使用功能性 Cookie：你的登录会话、记录所选语言的 galshelf_lang，以及记录文档浅色 / 深色主题的 galshelf_docs_theme。它们都不会追踪你。
游戏指纹#
指纹查询和贡献是两项独立选择。首次开启 Cloud Saves 时，两项新选择会明确显示为开启，说明外发内容，并允许分别关闭。已有明确关闭的隐私选择会保留；仅升级程序不会开始新的外发行为。同意后，自动查询和有界贡献可用于识别兼容发行版与通用存档位置。贡献与账号关联以防止滥用，并非对 GalShelf 匿名。不发送存档及其哈希、文件内容、绝对路径、用户名、截图、密钥、目录树，也不把相对模板内的私人自定义名称当成匿名信息。裸文件名仍有独立控制。详见游戏指纹。
云存储与云存档#
存档文件与快照清单只进入 Google Drive 的应用数据区、OneDrive 的“应用 › GalShelf”或所选备份文件夹，不进入 GalShelf 服务器。清单可能包含 {install_dir}/savedata 这样的便携逻辑位置；绝对本地路径留在设备上。私人自定义名称并不自动适合贡献到社区。服务商的存储加密不是端到端加密；可选的端到端加密使用你的口令，口令丢失后无人能够恢复。加密配置缺失不会静默降级为明文备份。详见云存储和云存档。
私有网站存档状态#
网站存档状态是开启 Cloud Saves 时单独展示的选择，也能独立关闭。只有你的登录账号能读取这些元数据。不同设备分别报告，显示来源时间、服务器接收时间和新鲜度；旧报告或离线报告不等于实时云盘状态。网站不能决定冲突、恢复存档或删除服务商上的历史。网站不可用不会阻断桌面客户端与备份服务商之间的存档操作。
使用隐藏并删除网站存档状态可停用发送、清理待发送更新并删除账号当前的索引元数据。重新开启需要明确操作。这不会删除实际存档、云端历史或指纹数据。账号 / 索引和指纹数据库分别保存在受限的加密运维备份中，并有有限保留期；已删除的元数据可能在备份保留期结束前仍存在于这些受保护的备份中。恢复所需密钥保存在独立加密的备份内，备份密钥另行保管。