我们收集什么

文件本身：一个字节都不发送

PDF 与图片的解析、渲染、编辑、导出全部在这个页面里完成。没有任何一步需要把文件交出去，所以也没有「我们承诺不看」这回事——文件根本没有离开的路径。

• 不发送文件内容、文件名、文件哈希
• 不发送页面文本、缩略图或任何渲染结果
• 不上传到我们的服务器，也不上传到任何其他服务器
• 最直接的验证：首次加载完成后断开网络，全部功能照常工作

匿名事件：发送这些

发往本站自己的 /_a 路径，不经过任何第三方分析脚本。没有 Cookie，没有跨会话标识。

页面浏览

{"type":"page_view","path":"/merge-pdf"}

加入了文件（只发体积档与页数档，不发精确值）

{"type":"file_added","kind":"pdf","size":"10-50MB","pages":"200+"}

用了哪个操作

{"type":"op_used","op":"merge"}

导出开始 / 完成 / 失败

{"type":"export_completed","ms":1240,"pages":"11-50"}

首个缩略图耗时

{"type":"first_thumbnail","ms":253,"cold":true}

国家/地区、设备类型、浏览器

由边缘节点的 CF-IPCountry 请求头得到，IP 本身不进入应用层、不写日志

会话内随机编号

{"s":"k3f9a2b1c8"} — 仅存在于内存，刷新页面即改变，无法跨会话关联

明确不发送这些

• 精确文件体积 —— 只发 <1MB / 1-10MB / 10-50MB / >50MB 四档
• 精确页数 —— 只发 1-10 / 11-50 / 51-200 / 200+ 四档
• Cookie、localStorage 中的持久标识、浏览器指纹
• IP 地址（不进入应用层，不写入日志，不落库）
• 任何能把两次访问关联起来的东西

我们写进浏览器的全部内容

两项，都是你自己的设置，都不是标识——它们记录你选了什么，不记录你是谁，也无法把两次访问关联起来。除此之外，正常使用不写入任何持久内容。

关闭匿名统计后写入（不关就不写）

localStorage: pdf-workspace:telemetry-off = "1"

缩略图大小，调过滑块后写入

localStorage: pdf-workspace:tile-width = "132"

为什么我们不说「没有第三方」

因为那不诚实。站点托管在 Cloudflare 上，无论我们怎么设计，你的 IP 都会经过它的边缘网络——它是基础设施提供方，也是数据处理方。我们能说、也能兑现的是：页面不加载任何第三方广告或分析脚本，浏览器不会向任何第三方域发起请求。这一条你能用开发者工具当场核实；「没有第三方处理」你核实不了，所以我们不说。

怎么关掉

工作台顶部的「?」面板里有开关，关掉后不再发送任何事件。关闭状态记在本机，下次打开依然有效。产品的全部功能都不依赖遥测。