隱私權政策

最後更新：2026年10月22日

簡短版本。 你在 Lolly 中製作的文件、圖片、影片與檔案都留在你的裝置上。一般 使用沒有帳號,應用程式本身不使用 Cookie,原始碼中沒有任何分析或追蹤機制—— 不是「我們不使用這些資料」這種說法,而是原始碼中確實不存在。當軟體真的與 網路通訊時,會有一份簡短、完整的例外清單,以下逐一具體說明:傳出了什麼、 傳給誰、何時傳出。唯一涉及個人資料的例外,是你必須主動開始的登入動作。 凡是本文件未提及的,就不會發生。

本政策涵蓋的內容

Lolly 是開放原始碼軟體——包含一個引擎、多個應用程式殼層（網頁、桌面、 行動裝置、CLI）以及一個瀏覽器擴充功能——任何人都能執行。本政策分為兩 個部分：

• 軟體本身：無論在何處執行，它對你的資料會做什麼、不會做什麼。這是原始碼 的特性，因此適用於每一個 Lolly 部署實例，無論是我們的還是任何其他人的。
• lolly.tools，SUSE 營運的參考部署實例：其可選伺服器端元件的具體選擇 （記錄什麼、保留多久、由誰記錄）。

若你使用自行架設或企業版的 Lolly 實例，以下的軟體行為依然適用，但該實例 的營運方——而非 SUSE——須對任何伺服器端的部分負責：他們的算繪端點、 他們的 MCP 伺服器，以及他們的 Content Credentials 憑證授權機構（若有架設的話）。 請向他們索取其自身的政策。營運 Lolly 涉及哪些事項，請參閱 採用與治理。

應用程式：留在你裝置上的內容

Lolly 的網頁、桌面與行動裝置殼層，會在用戶端執行整個算繪引擎。開啟工具、 填寫輸入內容、預覽與匯出，全都在你的裝置上完成——不涉及任何伺服器， 且應用程式載入後即可離線運作。

應用程式不會設置任何 Cookie。 為了運作，它會保留少量資料僅存於你的 裝置上，從不傳輸出去：

• 介面偏好設定——主題、語言、聲音設定、側邊欄／縮放大小、排序與檢視 選擇、你已看過哪些引導提示——存於 localStorage，讓應用程式在完成 啟動前就能取得這些設定。
• 工具目錄與素材預覽的離線快取，讓圖庫在沒有連線時仍可使用。
• 本機使用計數器，用於你個人資料卡的統計資料（匯出次數、使用哪些 工具）——存於 localStorage 中一個小型且有限的資料區塊，我們從不讀取， 也從不傳送到任何地方。
• 你自己的文件、已儲存的工作階段、上傳的素材與字型——儲存於你裝置上 的 IndexedDB 中，從不上傳，除了你本人以外沒有任何人能讀取。

以上任何一項都不會被分享、出售，或用來識別或追蹤你。沒有任何需要同意的 事項，因為根本沒有發生任何蒐集行為 - 這裡只是一份通知，讓你知道保留了 什麼、存在何處。你可以隨時清除瀏覽器中這個網站的儲存空間，來清除所有 這些資料；設定 → 儲存空間 → 清除我的所有資料也是如此，而且它 還會先關閉同步。（根據 ePrivacy Directive 第 5(3) 條，對你所要求的服務而言絕對必要的儲存，不需要取得同意 - 只需 要透明度，而這正是本文件與應用程式內通知 所提供的。）

signed by Lolly2026-10-21vector SVG31 paths~4.2k nodes88 groups58 KB自己驗證取得已簽署檔案 signed by Lolly2026-10-21vector SVG31 paths~4.2k nodes88 groups58 KB自己驗證取得已簽署檔案

這份資料的備份 - 由Export my data （匯出我的資料）功能產生的 lolly-backup 套件 - 是一個由你保管與控制的 檔案。除非你自行選擇將它傳送到某處，否則它絕不會經過我們的伺服器。詳見 資料傳輸。

裝置端工具

部分工具——例如Strip Hidden Data（去除隱藏資料）、Compress PDF （壓縮 PDF）以及其他帶有「Runs on your device」（在你的裝置上執行） 標章的工具——會處理你提供的檔案。該檔案會被讀入瀏覽器的記憶體中，在本機 完成轉換後，以下載檔案的形式提供給你。它絕不會被上傳，因為整個流程中 根本沒有可供上傳的伺服器。這些工具可離線運作，且其輸出內容不帶有我們 加上的任何浮水印或中繼資料——其中大多數工具的目的是移除並保護資料， 而非增加風險。

signed by Lolly2026-10-21vector SVG2 paths824 nodes5 groups12 KB自己驗證取得已簽署檔案 signed by Lolly2026-10-21vector SVG2 paths824 nodes5 groups12 KB自己驗證取得已簽署檔案

Prepare for sharing 會把工作中的輸入內容、隱私偵測結果與替換對照 保留在記憶體中，不會自動把它們加入 History、連結、備份或同步。 偵測與替換都不會把檔案內容傳送到伺服器，也不會連線驗證憑證。 使用者可以選擇複製、下載、傳送，或明確將結果儲存到自己的素材庫； 已儲存的結果隨後會遵循素材庫一般的備份與同步設定。 配方檔案會省略先前的酬載與字面對照。 摘要報告只包含計數、範圍 ID 與檔案雜湊。 CLI 還可以儲存一個包含原始值的私密審閱檔案， 但僅在透過 --review-file 明確要求時才會這麼做。 清除或離開瀏覽器中的準備檢視會釋放其工作狀態；這並不是對瀏覽器或作業系統記憶體做鑑識等級清除的承諾。

應用程式與網路通訊的完整清單

下表是應用程式透過網路擷取或傳送之所有內容的完整清單。凡不在此表中的 事項，應用程式就不會執行。

該表格中的每個固定主機,同時也是應用程式 Content-Security-Policy 中完整的允許清單,並由瀏覽器強制執行。因此這份清單不僅描述了 程式碼目前的行為,更是瀏覽器用來約束應用程式的邊界:未來若有 變更嘗試連往其他主機,會被封鎖,而不會被悄悄放行。其中一列 是刻意設下的例外,其自身欄位也如此註明:Send to LinkedIn 僅存在於桌面應用程式中,因此網頁應用程式的原則並未列出它的 兩個主機 - 即使程式碼嘗試連線,網頁應用程式也 無法連上它們。 另外兩列,Bluesky 和 Discord,同樣只存在於桌面應用程式中,基於 相同的原因,它們的主機也未列在網頁應用程式的原則裡。還有五列 沒有固定主機,因為位址是您在使用當下才選定的:您要求工具擷取 的網址、您將殼層指向的遠端執行個體,以及您自己的 Mastodon 伺服器、WebDAV 伺服器或 S3 儲存貯體(後兩者也可作為同步的存放處)。 這些都不在原則之中,而且僅在您輸入位址並實際執行時才會發生。 Penpot 那一列是透過應用程式自身的來源連往 Penpot 的,因此已由 'self' 涵蓋。若某個部署不需要任何選用項目(例如採用自有字體的 企業執行個體),只要從其原則中移除這些主機,相關功能便會封閉式失效,而不會對外連線。

除了兩類之外，以上都不會把你的文件、專案、 工作階段或上傳的檔案傳送到任何地方：它們的作用是把東西帶到 你的裝置（工具、字型、模型）。這兩類分別是「傳送」系列的 各列，它們會傳送你選定的那一個檔案；以及「同步」這一列， 它會把你作品的一份副本傳送到你選擇的儲存位置，而不會 傳送到任何 Lolly 伺服器。其他例外都會在下文明確指出。

關於我們移除的內容的說明。 Verify 可以檢查 SEAL 簽章，這是一種將檔案 簽署金鑰發布於 DNS 中的機制。瀏覽器無法直接發出 DNS 查詢，因此任何網頁 實作都必須透過第三方的 DNS-over-HTTPS 解析器來執行查詢——這會讓該營運方 看到被檢查的網域名稱以及你的 IP 位址。我們過去使用的是 Cloudflare 的服務。 我們現在已不再使用，也沒有替代方案：Verify 現在完全不傳遞任何解析器，因此 SEAL 驗證不會發出任何網路請求。目前沒有任何 Lolly 應用程式會在 DNS 中查詢 SEAL 金鑰：桌面版和行動版應用程式執行的是同一個 Verify 檢視，而命令列的 lolly validate 不檢查 SEAL。若檔案的 SEAL 紀錄將金鑰內嵌其中，會離線檢查，Verify 會稱該簽章內部一致，但不會確認網域。金鑰只存放在 DNS 中的檔案會顯示 SEAL 簽章未通過驗證，原因為「no key resolver and no inline key」。

signed by Lolly2026-10-21vector SVG11 paths~4.3k nodes18 groups52 KB自己驗證取得已簽署檔案 signed by Lolly2026-10-21vector SVG11 paths~4.3k nodes18 groups52 KB自己驗證取得已簽署檔案 你可以自行確認這一點：本頁面中這項與每一項 其他主張的可用 grep 指令檢查，連同確切的指令與預期輸出，都收錄於 Verify It Yourself（自行驗證）。

熱連結算繪網址

目前在 lolly.tools 上已上線。 現在每一個 https://lolly.tools/tool/<tool-id>.<ext>?<inputs> 網址都會真正完成算繪， 輸入內容也會隨著這個網址一起傳遞。下方段落說明了這對你 代表什麼意義，營運方也可以在自己的部署實例上關閉此功能。

應用程式本身完全留在你的裝置上。除此之外，營運方可以啟用熱連結算繪 網址——/tool/<tool-id>.<ext>?<inputs>——讓分享出去的 Lolly 連結能以 即時圖片的形式，出現在 README、wiki 或儀表板中。擷取這樣的網址，會要求 伺服器以寫入該網址中的輸入內容，算繪公開的工具與目錄資料。

• 沒有帳號、沒有 Cookie、沒有狀態。 此端點是匿名的, 你裝置上的任何內容都不會被讀取。你的文件、工作階段與上傳內容永遠不會 離開你的瀏覽器 - 它們完全不可能出現在這些連結中。
• 但網址本身會被記錄。 網址的查詢字串是請求列的一部分, 因此會像所有請求路徑一樣,出現在託管平台一般的存取記錄中。如果連結的 輸入內容包含某人的姓名或電子郵件 - 例如姓名識別證、電子郵件簽名 - 那些文字就會留在那些記錄中,再多的政策文字也無法改變這一點。因此 熱連結網址並不是存放個人資訊的地方： 只該放入你願意出現在公開頁面上的內容。
• 這些輸入內容本來就是公開的 - 它們是連結建立者輸入到 網址中的任何內容,任何取得連結的人都能讀取。請勿在共用連結中放入 機密資訊。Lolly 為敏感內容提供連結加密功能。
• 回應會像任何公開圖片一樣被快取並限制速率,並標記為 noindex,讓搜尋引擎不會將你的算繪結果編入索引。

若你自行架設 Lolly，且不想要有公開的算繪介面？設定 LOLLY_DISABLE_RENDER_GET=1，之後每一個這類網址都會回傳 404。

MCP 伺服器（可選，供 AI 代理程式使用）

AI 代理程式也可以透過 Model Context Protocol 連接 Lolly - 這是一個由 營運方架設的端點（lolly.tools 有架設一個；任何人都可以自行架設自己的 端點，包括完全氣隙隔離的環境）。它沿用了算繪路徑那種無帳號的原則， 另外還有四個必然需要處理檔案位元組的工具：

• lolly_transform（代表呼叫端代理程式，於伺服器端執行裝置端工具）、 lolly_verify（檢查 Content Credentials）以及 lolly_redact（塗黑 圖片或 PDF 中的區域），這三者都會接收呼叫端傳來的檔案位元組。它們會在 同一行程內、於記憶體中處理，結果會在同一次呼叫中回傳 - 檔案絕不會 寫入磁碟， 請求完成後也不會被儲存。
• lolly_rebrand（把一份舊的投影片檔案重新套用到某個設計 系統上，涵蓋它的 plan、compile 與 inspect 三個階段）以同樣的方式 接收簡報的位元組，並且只在這次呼叫中於記憶體裡處理 - 一旦回應 送出，就不會寫入磁碟，也不會保留任何內容。它的第一個階段 capabilities，會在你傳送任何位元組之前，用文字說明這些位元組將 前往何處：在自行架設的本機伺服器上，簡報永遠不會離開那台機器； 在託管伺服器上，呼叫 lolly_rebrand 會把簡報傳送到那裡， 且不超過同一階段給出的大小與投影片數量上限。
• 圖像工具（lolly_look、lolly_sample_color 和 lolly_trace_edges）也可以接收呼叫端傳來的圖片檔案，處理方式相同：在記憶體中、 只在這次呼叫中。其他每一個工具都依據呼叫中的參數運作：文字、數字、顏色、網址、 目錄素材 ID，或呼叫端提供的文件。
• 存取權限，來自營運方核發給其信任用戶端的共用權杖， 或是無狀態的 OAuth 2.1：以共用密鑰驗證的短效簽章權杖， 伺服器端不儲存任何內容， 且權杖本身絕不會被寫入日誌或算繪網址中。

Content Credentials 身分（你必須自行啟動的登入）

Lolly 可以在你的匯出檔案中封入加密的 Content Credential，讓任何人都能 離線驗證某個檔案自離開 Lolly 後未曾被更改。這部分預設開啟且完全在本機 進行——簽署金鑰在你的裝置上產生，簽署動作本身也是離線完成的。若未 註冊身分，該金鑰是一次性的：每次匯出都會產生一組新的金鑰對，並隨匯出 檔案一起捨棄。一旦你完成註冊，該金鑰就會變成長效金鑰，並以不可匯出 的方式產生——就連 Lolly 自己的程式碼也無法讀取它，只能請求它進行簽署。 無論哪一種情況，它都絕不會離開你的裝置。本節說明在此基礎上可選的 額外步驟：註冊一個已驗證的身分，讓你的匯出檔案顯示「Verified - signed by \<your email\>」，而不是一組匿名金鑰。若你略過註冊，本節內容就與你 無關，也絕不會有任何個人資料離開你的裝置。

signed by Lolly2026-10-21vector SVG7 paths~2.0k nodes11 groups24 KB自己驗證取得已簽署檔案 signed by Lolly2026-10-21vector SVG7 paths~2.0k nodes11 groups25 KB自己驗證取得已簽署檔案

若你確實進行註冊，以下就是實際發生的事：

1. 你選擇一種登入方式 - GitHub、Google、SUSE（id.suse.com）或電子郵件 連結。若使用三種 OIDC 供應商之一，你會被重新導向至該供應商自己的 登入頁面，受其自身的隱私權政策規範，而非我們的政策。Lolly 的憑證服務 收到的回傳資訊，僅有經驗證的電子郵件地址與供應商名稱。若使用電子 郵件連結，你輸入的地址會被傳送給 Resend（一個交易型電子郵件 API）， 純粹只是為了寄送那一則連結。
2. 一個短效 Cookie 用來保護重新導向流程。 這是整個 Lolly 系統唯一會 設置的 Cookie：lolly_ca_state，屬性為 HttpOnly， 範圍限於 /api/ca，十分鐘內即過期。它帶有一個隨機值，而非追蹤識別碼， 其存在的唯一目的是防止 OAuth 重新導向遭到偽造。 登入一完成，它就會被清除。
3. 你的 IP 位址會被短暫用於防止登入端點遭到濫用（避免有腳本濫發 郵件或耗盡電子郵件配額）。Lolly 會先對它做雜湊處理， 再建立一個短效的防濫用記錄貯體；原始位址不會被送到 那個儲存裡。這個記錄貯體大約一分鐘後就會過期，且不會用於追蹤。 一般的主機存取日誌是另一回事， 在下文另行說明。
4. 憑證服務會核發一張短效憑證（7、30、90 或 365 天， 由你選擇，並受營運方政策所設上限約束），將你經驗證的 電子郵件，綁定至你裝置上產生的金鑰對中公開的那一半。 私密的那一半絕不會離開你的瀏覽器。
5. 核發過程完全不會被記錄。 憑證服務不會保留任何核發日誌： 不記錄你的電子郵件、供應商、序號，也不記錄時間戳記。 沒有資料庫、沒有日誌列、沒有 webhook。 你的電子郵件地址只會在請求過程中短暫存在，剛好足以被寫入 你裝置所收到的憑證中，之後便完全從我們這一端消失。
6. 在那之後，簽署動作在憑證的整個有效期限內再次完全離線進行。 匯出檔案絕不會聯繫憑證服務 - 只有註冊步驟才會。

直白地說明這項取捨。 這項服務較早的版本確實會記錄每一次核發，以便 在憑證被誤發或遭到入侵時能夠追溯。我們移除了這項記錄，因為那是整個 Lolly 中唯一一個個人資料會停留在伺服器上的地方，而我們寧可完全不保有 這些資料，也不願小心翼翼地保管它們。我們因此放棄的是伺服器端的可追溯 性：若憑證遭到濫用，我們無法查出是誰取得了它。憑證在設計上就是短效的 ——由你選擇 7 到 365 天，並受營運方所設上限約束——會自行到期，這正是 我們所依賴的緩解措施。若自行架設者因自身義務而需要稽核日誌，可以自行 新增一份，並因此成為該筆資料的控制者。

瀏覽器擴充功能

Lolly URL Screenshot（Lolly 網址截圖）瀏覽器擴充功能不會為我們蒐集任何個人資料。 它沒有分析工具、沒有追蹤，也沒有自己的伺服器。瀏覽器擴充功能 頁面說明了它的運作方式。

它的運作方式。 Lolly 網頁應用程式可以向它請求某個網頁的截圖，或請求某個頁面的內容， 以便從網站建立設計系統。每個請求都會在擴充功能中開啟一個核准視窗，顯示發出請求的網站、 它要的是截圖還是頁面內容，以及頁面網址。只有在你按下 Approve once 之後， 擴充功能才會在一個暫時的背景分頁中開啟該頁面，擷取截圖或讀取該頁面，把結果交給 發出請求的那個 Lolly 分頁，然後關閉該分頁。每個請求都需要各自的核准。

資料。

• 我們不蒐集任何內容。 結果只會交給發出請求的 Lolly 頁面，在同一個瀏覽器中。擴充功能不儲存任何頁面內容，也不增加任何其他接收方。
• 網路請求。 你核准的頁面會像在任何分頁中那樣載入， 連同該頁面自己發出的所有請求。讀取頁面內容時，還會從頁面內部擷取該頁面的 樣式表和少量圖示與標誌圖片，這些擷取不會向其他網站傳送 cookie。 擴充功能不會發出其他請求，也沒有任何請求送往 Lolly 伺服器。
• 你的瀏覽器工作階段。 頁面是用你的瀏覽器工作階段載入的， 就像你自己開啟它一樣，所以你已登入的頁面可能會把私人資訊放進結果裡。
• 你核准的網址只用於為那一次請求載入那一個頁面。 它們不會被記錄或分享。

權限。

• debugger - 用於透過 DevTools Protocol 擷取截圖（與 Lolly 桌面應用程式所使用的機制相同）。
• tabs - 用於開啟並關閉暫時分頁，並檢查自你核准以來， Lolly 頁面和目標頁面是否都沒有跳轉。
• scripting - 用於在你核准該請求之後，在暫時分頁中讀取頁面內容。
• storage - 用於把暫時分頁的 ID 記錄在工作階段儲存空間中， 這樣即使瀏覽器在請求期間停止了擴充功能，這些分頁仍會關閉。不儲存任何頁面內容。
• *選用的網站存取權限（http:///、https:///） - 安裝時不會授予。 當你按下 Approve once* 時，擴充功能會向 Chrome 申請該請求所涉的那一個網站的 存取權限，Chrome 會在每個網站第一次時詢問你。你之前允許過的網站，每個請求 仍然需要重新核准。

以上這些權限都不會被用來讀取、監控或傳輸你所核准的那一次請求以外的瀏覽活動。

基礎架構日誌

如同任何網站，lolly.tools 背後的伺服器 - 以及任何 Lolly 部署實例背後的 伺服器 - 只要有請求送達，就會產生標準的網頁伺服器存取日誌：IP 位址、 請求的路徑、時間戳記、使用者代理字串。這是基本的主機代管行為，並非 Lolly 額外加上的功能，且其中絕不會包含你文件的內容，因為那些內容一開始 就從未到達伺服器。唯一刻意的例外，是你明確交給 MCP lolly_transform、 lolly_verify、lolly_redact 或 lolly_rebrand 呼叫的檔案， 如上文所述，這類檔案僅於記憶體 中處理，絕不會寫入磁碟或日誌。

公共服務盡量減少應用程式日誌。 MCP 伺服器會記錄啟動、設定和算繪警告；它自己不保留請求日誌， 也不記錄權杖或呼叫端位址。Penpot 轉送層會記錄每個命令名稱和 Penpot 的回應狀態， 絕不記錄標頭、權杖或檔案。憑證服務會記錄其啟動設定和設定警告，另外在失敗時輸出兩行 精簡過的記錄：一行是不含收件人地址的傳送失敗狀態碼，另一行是不含錯誤文字、堆疊追蹤或網址 的固定失敗訊息（提供者的錯誤可能帶有身分值或憑證）。日誌中其餘的一切都屬於託管平台， 而非我們的。

就 lolly.tools 而言，代管服務為 Vercel，存取日誌的保留期限遵循 Vercel 對 我們所使用方案的平台預設值。我們沒有另外設定日誌匯出、沒有長期日誌 匯出，也沒有加裝任何分析或監控產品。我們自己不保留這些日誌的副本， 這也代表我們無法替你搜尋這些日誌——詳見你的權利。

法律依據、保留期限與接收方

這裡幾乎沒有任何項目需要法律依據,因為幾乎沒有任何處理行為。為求完整,以下是完整清單:

接收方。 接收方類別包括：我們的主機服務供應商（Vercel Inc.）； 我們的防濫用儲存供應商，它只會收到短效、單向衍生的 記錄貯體金鑰，絕不會收到原始 IP 位址；以及 - 僅在你使用 電子郵件登入選項時 - 交易性電子郵件供應商（Resend）。 若你使用 GitHub、Google 或 SUSE（id.suse.com）登入， 你是直接與該供應商互動，並適用其自身的隱私權政策。 他們只會告訴我們一個已驗證的電子郵件地址，別無其他。我們不會與任何其他人共享個人資料， 也不會出售資料、投放廣告或建立使用者剖繪。

歐洲經濟區（EEA）以外的資料傳輸。 Vercel 與 Resend 為美國公司。 lolly.tools 的函式運算固定於 Vercel 法蘭克福（fra1）區域， 因此處理作業在歐盟境內進行，但作為總部設於美國的供應商， 他們作為處理者仍可能從美國存取資料。這些傳輸依賴 歐洲委員會的標準契約條款及/或歐盟-美國資料隱私架構， 詳如各供應商的資料處理協議所載。由於傳達給這些供應商的 個人資料極為有限 - 一個為寄送一封訊息而傳遞的電子郵件地址、 一般的存取記錄，以及一個短效的衍生防濫用記錄貯體 - 相應的曝險程度也很小。

自動化決策。 沒有。不存在剖繪,也沒有產生法律效力或類似重大影響的自動化決策(第 22 條)。

兒童隱私

Lolly 在正常使用應用程式的過程中,不會刻意收集任何年齡層任何人的個人資訊 - 因為根本沒有東西可收集。唯一會蒐集個人資訊(電子郵件地址)的地方是上述的 Content Credentials 註冊,而這並非針對兒童或為兒童而設計。

你的權利

由於 Lolly 所接觸的幾乎一切都僅儲存在你自己的裝置上， 資料保護法所稱的「你的權利」- 存取、更正、刪除、 可攜性 - 大多數你早已能自行、立即完成，無需詢問任何人： 你的資料存放在瀏覽器的儲存空間中，你可以檢視、 匯出（見上方Export my data），或刪除 （清除瀏覽器中這個網站的儲存空間，如上方所述）。

正式而言,依據 GDPR 第 15-22 條,你有權存取你的個人資料、更正它、刪除它、限制或反對其處理(包括反對我們基於正當利益所做的任何處理)、資料可攜性,以及 - 在處理以同意為基礎時 - 隨時撤回該同意,且不影響撤回前處理行為的合法性。

以下是就對我們行使這些權利的誠實立場。由於我們已不再保留核發記錄， 我們手上沒有任何可供查詢、更正、匯出或刪除的關於你的個人資料。 如果你寫信詢問我們持有哪些關於你的資料， 誠實的答案是沒有，我們也會如實告知。 唯一確實存在的類別，是我們主機服務供應商依其保留預設值 所持有、以 IP 位址索引的主機存取記錄。 我們沒有搜尋或選擇性刪除這些記錄的機制， 我們會如實告知你這一點，而非佯裝並非如此。 真正屬於你的一切都在你的裝置上，你早已可以在不需徵求任何人同意的情況下讀取、匯出並銷毀它。

你有投訴的權利。 若你認為我們不當處理了你的資料,你可以向資料保護監督機關提出投訴 - 在歐盟,你可向你居住地、工作地或你認為侵權發生地所在國家的機關提出(第 77 條)。我們的主要監督機關是德國安斯巴赫的 Bayerisches Landesamt für Datenschutzaufsicht(BayLDA)。你不需要先聯絡我們,不過我們很樂意有機會補正。

我們不出售資料。我們也沒有資料可賣。

本政策的變更

本文件頂端的日期會在本文件變更時一併更新。凡是改變離開你裝置的資料範圍或保留內容的變更,都會在此獨立記上一筆,而非悄悄修改 - 若你想了解變更內容,請詢問我們(見下方)或比對公開原始碼。

2026 年 10 月 22 日： 更正了對現有行為的描述。瀏覽器擴充功能一節現在涵蓋了每個請求都有的核准視窗、逐一網站申請的網站存取權限，以及讀取網站時對樣式表和圖示的擷取。同時更正的還有：Send to Google Drive 和 Meeting Planner 兩列、SEAL 說明（目前沒有任何 Lolly 應用程式會在 DNS 中查詢 SEAL 金鑰）、組織服務的預設使用遙測層級、MCP 圖像工具，以及公共服務的應用程式日誌。軟體本身沒有改變。

負責單位與聯絡方式

lolly.tools 的資料控管者為:

SUSE Software Solutions Germany GmbH Frankenstraße 146 90461 Nürnberg Germany

SUSE 已指派一名資料保護官,聯絡方式為 privacy@suse.com。上述「你的權利」項下的任何正式請求,請使用此聯絡方式。

若有關於 Lolly 本身的任何事項 - 運作方式、為何如此設計,或本文件的更正 - 請聯絡 Andy Fitzsimon,fitzy@suse.com。

若為自架或企業版 Lolly 執行個體,請改為聯絡其營運方:該操作者是其自身部署的控管者。SUSE 與 Lolly 開放原始碼專案不持有非其自行營運之部署的任何資料。