数据的边界，清楚可见。

1. 谁提供服务

项目由 JSerForge 开发维护。隐私问题或删除请求请联系 semgz23@yeehaiglobal.net。请不要在邮件、截图或聊天中提供密钥和令牌。

2. 授权与账户访问

公开介绍和帮助页不要求登录，也不为展示概览调用广告接口。工具仅允许配置在白名单中的 Google 邮箱使用；白名单不授予 Google Ads 权限。我们通过 OAuth 获取邮箱用于准入，并读取用户有权限的客户/经理账户名称、ID、路由、币种与时区。账户列表不代表已识别用户的准确角色。

OAuth access token 及 Google 签发时的 refresh token 存于 AES-GCM 加密、Secure、HttpOnly Cookie，默认可配置的 30 天滚动会话；没有 refresh token 时约 50 分钟。令牌不返回给浏览器 JavaScript，不写入 localStorage。登出清除本应用会话，不等于撤销 Google 账号中的授权。

3. 关键词研究

研究功能读取关键词建议、历史搜索量、竞争、出价范围及可用的历史指标，不修改广告。查询账户、语言、地区与权限由服务端校验。不同区域组和共享指标不能随意相加；缺失数据不作为零。

本地工作台将查询条件及完整成功结果保存在当前浏览器，按登录邮箱区分：包括关键词、地区、语言、模式、账户名称/ID、经理路由、币种、时间、指标、批次和月度趋势。恢复历史是原时间快照，不是实时更新；恢复或加载模板可能需要只读权限和选项校验，但不会自动重新运行关键词规划。

4. 只读账户诊断与 DeepSeek

诊断读取 Search、Demand Gen 和 Performance Max 的可用表现。按账户时区比较两个周期，涵盖可用的系列、每日表现、关键词、搜索字词、设备、地域、广告或资产组。各类型支持的维度不同，查询故障、缺失、部分覆盖、不适用与未请求会区分展示。Ads 转化不等于 CRM 有效线索。

选择账户不会自动加载系列清单。用户显式加载清单、设置目标并同意本批数据共享及费用后，系统才读取报表并自动推进 AI 成功步骤。模型会接收经处理的事实、指标、证据及必要的业务文本，可能包含关键词和搜索字词。我们不为分析向模型提供 Google OAuth 凭据、登录邮箱或原始客户 ID。用户须获得公司及客户的必要授权。

DeepSeek 按其服务条款与保留政策处理 API 请求，我们不承诺第三方零保留。AI 建议需要人工审查，可能不准确；程序不会自动修改预算、出价或否词，也不会以本地规则冒充 AI 结论。

模型密钥由用户在本人会话中提供，只允许官方 DeepSeek 地址。密钥通过 HTTPS 提交，在与该 Google 登录绑定的 Secure、HttpOnly、SameSite 加密会话 Cookie 中保存，不回显、不写入本地模板或应用任务记录。重新授权或退出会清除此配置；浏览器恢复会话时可能恢复会话 Cookie，因此不能保证关闭浏览器即失效。GET models 验证不代表付费生成必然成功。

付费请求失败、超时或结果未知时不会自动补发。取消只停止后续步骤；已发送的请求可能仍计费。用户确认重试可能再次产生费用。

5. 短期任务状态与恢复

为支持分页、分批处理、防并发重复调用和刷新后恢复，服务端短期保存加密的诊断事实、任务状态、模型结果与会话绑定索引。存储依运行环境使用 Netlify Blobs 或容器持久存储，不将 DeepSeek 密钥写入任务记录。

任务有效期最多约 2 小时且不超过创建时的登录有效期，不因查看而无限延长；过期后拒绝读取并按清理机制处理。恢复入口仅返回当前会话所属任务，不能凭别人的任务 ID 访问。查看状态不调用 Google Ads 或 DeepSeek；继续执行需要用户再次确认，模型配置发生变化可能无法沿用旧任务。

短期恢复不是永久报告库，不保证跨登录、过期后或平台故障下仍可恢复。请及时下载需要保留的结果。

6. 浏览器本地数据与跨工具联动

关键词工作台最多保留 20 个模板和 10 条完整历史，总量约 2 MiB UTF-16 JSON；旧历史优先淘汰，超大单条保存会明确失败。另保存最多 50 个收藏账户和 10 个近期账户及当前选择，偏好仅含客户/经理路由 ID。

诊断配置模板与人工跟进记录也只保存在本浏览器、按邮箱及适当的账户/快照范围隔离，页面提供容量提示和清除入口。模板不保存密钥或登录令牌；“已处理”只表示人工记录，并不代表 Google Ads 已执行修改。

用户主动将诊断词项送入关键词研究时，同一浏览器标签页的 sessionStorage 暂存所选词、来源周期与账户元信息，有效约 10 分钟，不含令牌或密钥。接收后仍需明确确认市场、语言和账户，不自动开始查询。

邮箱分区是界面隔离，不是本地数据加密。能访问浏览器配置、开发者工具或同源脚本的人可能读取这些内容。本地存储可能被浏览器清理或禁用，不提供自动跨设备同步。

7. 清除、退出与下载文件

用户可删除模板/历史、清除对应邮箱的本地工作台及偏好，或使用诊断本地数据清除入口。清除浏览器站点数据会影响所有邮箱数据并可能删除登录 Cookie。退出不会自动删除本地记录或撤销 Google 授权；已完成关键词结果可能仍显示在当前页，换邮箱会清除前一邮箱的页面结果。共用电脑请先清除页面与本地数据，再退出。

下载的 Excel、ZIP、CSV、Markdown 或打印保存文件由用户自行保管。导出可能含业务关键词、账户元信息、指标与人工备注，请仅向获授权人员分享。

8. 安全与基础设施

客户端不包含服务端凭据；接口执行会话、来源、账户和输入校验，错误不故意回显密钥或原始上游响应。Google/DeepSeek 调用由服务端发起。正式访问须使用有效 HTTPS；预发布环境若存在证书警告，不要绕过警告登录或输入密钥。

Netlify、Hyperlift/Spaceship 等实际托管提供方可能为运行和安全处理 IP、请求时间及日志，保留规则由各提供方决定。我们不出售 Ads 账户信息，也不向广告商共享这些数据。任何系统都无法保证绝对安全。

9. 政策更新

若长期历史、团队共享、定时任务、自动写入广告等能力发生变化，我们会更新数据处理说明，并对新增共享、权限或费用取得适当确认。