隐私政策

最后更新：2026年10月22日

简要说明。 你在 Lolly 中制作的文档、图像、视频和文件都保存 在你自己的设备上。日常使用无需账户,应用本身不使用 Cookie,代码库中的 任何地方都没有分析或追踪脚本——不是“我们不使用 这些数据”,而是源代码中真的不存在。当软件确实 需要联网时,有一份简短、完整的例外清单,下面会逐一 具体说明:发送了什么、发给谁、何时发送。唯一 涉及个人信息的例外,是你必须主动发起的登录操作。凡是 本文档中没有提到的,就不会发生。

本政策涵盖的内容

Lolly 是开源软件——包括一个引擎、若干应用外壳（web、桌面、 移动端、CLI）以及一个浏览器扩展——任何人都可以运行。本政策分为两个 部分：

• 软件本身：无论运行在何处，它对你的数据做了什么、没做什么。这是 代码本身的属性，因此对每一个 Lolly 部署都成立，无论是我们的 还是他人的。
• lolly.tools，SUSE 运营的参考部署：运行其可选服务端组件时 所做的具体选择（记录什么、保留多久、由谁记录）。

如果你使用的是自托管或企业版 Lolly 实例，下文所述的软件行为 依然适用，但该实例的运营方——而非 SUSE——需对任何服务端 事项负责：他们的渲染端点、他们的 MCP 服务器、他们的 Content Credentials 证书颁发机构（如果他们运行了一个的话）。请向他们索取各自的政策。 运营 Lolly 涉及哪些内容，参见采用与治理。

应用：留在你设备上的内容

Lolly 的 web、桌面和移动端外壳都在客户端本地运行整个渲染引擎。 打开工具、填写输入、预览和导出，这一切都发生在你的 设备上——不涉及任何服务器，应用一旦加载完成即可离线使用。

应用不设置任何 cookie。 为了正常运作，它仅在你的设备上 保留少量数据，从不传输：

• 界面偏好设置——主题、语言、声音设置、侧边栏/缩放 尺寸、排序和视图选择、你已看过哪些引导提示——存储在 localStorage 中，因此在应用启动完成之前就已可用。
• 工具目录和素材预览的离线缓存，让图库无需联网也能使用。
• 本地使用计数，用于你个人资料卡片上的统计信息（导出次数、 使用了哪些工具）——localStorage 中一个有大小上限的小数据块， 我们从不读取，也从不发送到任何地方。
• 你自己的文档、已保存的会话、上传的素材和字体——存储在 你设备上的 IndexedDB 中，从不上传，除你本人外任何人都无法读取。

以上内容都不会被共享、出售，也不会用于识别或跟踪你。没有什么需要你同意的， 因为并没有发生任何收集行为 - 这只是一份说明，让你知道保留了什么、 保存在哪里。你可以随时在浏览器中清除该站点的存储，来清除以上 全部内容；设置 → 存储空间 → 清除我的所有数据也是如此，而且它 还会先关闭同步。（根据 ePrivacy 指令 Art. 5(3)，对于你所请求的服务严格必要的存储无需征得同意 - 只需 保持透明，而这正是本文档和应用内提示 所做的事。）

signed by Lolly2026-10-21vector SVG31 paths~4.2k nodes88 groups58 KB自己验证获取已签名文件 signed by Lolly2026-10-21vector SVG31 paths~4.2k nodes88 groups58 KB自己验证获取已签名文件

你自己制作的这份数据备份 - 由Export my data （导出我的数据）生成的 lolly-backup 压缩包 - 是一个由你保存和掌控的 文件。除非你自己选择发送到某处，否则它永远不会接触到我们的服务器。参见数据 迁移。

设备端工具

部分工具——Strip Hidden Data、Compress PDF以及其他带有 “Runs on your device”（在你设备上运行）徽章的工具——处理的是你提供的文件。 文件会被读入你浏览器的内存中，在本地完成转换，然后作为下载 文件返回。它从不会被上传，因为处理路径中根本没有服务器可供上传。 这些工具可离线使用，其输出不带有我们的任何水印或元数据—— 它们中大多数的目的就是移除并保护数据，而不是增加风险。

signed by Lolly2026-10-21vector SVG2 paths824 nodes5 groups12 KB自己验证获取已签名文件 signed by Lolly2026-10-21vector SVG2 paths824 nodes5 groups12 KB自己验证获取已签名文件

Prepare for sharing 会把工作中的输入内容、隐私检测结果和替换映射 保留在内存中，不会自动把它们加入 History、链接、备份或同步。 检测和替换都不会把文件内容发送到服务器，也不会在线校验凭据。 用户可以选择复制、下载、发送，或明确将结果保存到自己的素材库； 保存后的结果随后遵循素材库常规的备份和同步设置。 配方文件会省略此前的载荷和字面映射。 摘要报告只包含计数、范围 ID 和文件哈希。 CLI 还可以保存一个包含原始值的私密审查文件， 但仅在通过 --review-file 明确请求时才会这样做。 清除或离开浏览器中的准备视图会释放其工作状态；这并不是对浏览器或操作系统内存做取证级清除的承诺。

应用与网络通信的完整情形

下表是应用通过网络获取或发送的全部内容的完整清单。凡是没有列在 这里的，应用就不会去做。

该表格中列出的每一个固定主机,同时也是应用 Content-Security-Policy 中完整的白名单,并由浏览器强制执行。因此这份清单不仅描述了 代码今天的行为,更是浏览器为应用划定的边界:未来若有改动 试图联系其他主机,会被直接拦截,而不会被悄悄放行。其中一行 是刻意留出的例外,其单元格本身就说明了这一点:Send to LinkedIn 仅存在于桌面应用中,因此网页应用的策略中未列出它的任何一个 主机 - 即便代码试图联系它们,网页应用也 无法触及。 另外两行,Bluesky 和 Discord,同样只存在于桌面应用中,出于同样的 原因,它们的主机也未列入网页应用的策略。还有五行没有固定 主机,因为地址是你在使用当下选择的:你要求工具截取的 URL、 你将外壳指向的远程实例,以及你自己的 Mastodon 服务器、WebDAV 服务器或 S3 存储桶(后两者也可作为同步的存放处)。这些都不在 策略之列,而且都只在你输入地址并执行操作时才会发生。Penpot 那一行是通过应用自身的来源访问 Penpot 的,因此已被 'self' 覆盖。 如果某个部署不想启用任何可选项(比如使用自有字体的企业实例), 只需从策略中移除相应主机,相关功能就会直接失效,而不会对外发出请求。

除了两类之外，以上都不会把你的文档、项目、 会话或上传的文件发送到任何地方：它们的作用是把东西带到 你的设备（工具、字体、模型）。这两类分别是“发送”系列的 各行，它们会发送你选定的那一个文件；以及“同步”这一行， 它会把你作品的一份副本发送到你选择的存储位置，而不会 发送到任何 Lolly 服务器。其他例外都会在下文明确指出。

关于我们移除了什么的说明。 Verify 可以检查 SEAL 签名，这是一种 将文件签名密钥发布在 DNS 中的方案。浏览器无法发起 DNS 查询，因此 任何 web 实现都必须通过第三方的 DNS-over-HTTPS 解析器来转发 查询——这会让该运营方看到正在被检查的域名以及你的 IP 地址。 我们过去使用的是 Cloudflare 的解析器。我们现在不再使用它了，也没有替代方案：Verify 现在根本不传入任何解析器，因此 SEAL 验证不会发起任何网络请求。目前没有任何 Lolly 应用会在 DNS 中查找 SEAL 密钥：桌面版和移动版应用运行的是同一个 Verify 视图，而命令行的 lolly validate 不检查 SEAL。SEAL 记录中内联携带密钥的文件会离线检查，Verify 会称该签名内部一致，但不会确认域名。密钥只存放在 DNS 中的文件会显示 SEAL 签名未通过验证，原因为“no key resolver and no inline key”。

signed by Lolly2026-10-21vector SVG11 paths~4.3k nodes18 groups52 KB自己验证获取已签名文件 signed by Lolly2026-10-21vector SVG11 paths~4.3k nodes18 groups52 KB自己验证获取已签名文件 你可以自行验证这一点：本页每一项主张对应的可 grep 校验、 确切命令与预期输出，都可以在 自行验证中找到。

热链渲染 URL

目前在 lolly.tools 上已上线。 现在每一个 https://lolly.tools/tool/<tool-id>.<ext>?<inputs> 格式的 URL 都会真正 完成渲染，输入内容也随这个 URL 一起传递。以下章节说明了这 对你意味着什么，运营方也可以在自己的实例上关闭该功能。

应用本身完全保留在你的设备上。另外，运营方可以单独启用 热链渲染 URL——/tool/<tool-id>.<ext>?<inputs>——这样一条分享出去的 Lolly 链接就可以作为一张实时图像出现在 README、wiki 或仪表盘中。 获取这样一个 URL，会请求服务器根据写入 URL 的输入，渲染 公开的工具和目录数据。

• 无账户,无 Cookie,无状态。 该接口是匿名的, 不会读取你设备上的任何内容。你的文档、会话和上传内容永远不会离开你的 浏览器 - 它们根本不可能出现在这些链接里。
• 但网址本身会被记录。 URL 的查询字符串是请求行的一部分, 因此会像所有被请求的路径一样,出现在托管平台的常规访问日志中。如果链接的 输入内容包含某人的姓名或邮箱 - 例如姓名牌、邮件签名 - 这段文字就会留在那些日志里,任何政策措辞都无法改变这一点。因此热链 URL 并不是存放个人信息的地方： 只应该放入你愿意出现在公开页面上的内容。
• 无论如何,这些输入本身在设计上就是公开的 - 它们就是链接 作者输入到网址中的内容,任何能访问该链接的人都能读到。不要把 秘密信息放进共享链接。对于敏感内容,Lolly 提供链接加密功能。
• 响应会像任何公开图像一样被缓存并限速,并标记为 noindex,以便搜索引擎不会索引你的渲染结果。

自托管 Lolly 但不想要一个公开的渲染入口？设置 LOLLY_DISABLE_RENDER_GET=1，这样每一个这类 URL 都会返回 404。

MCP 服务器（可选，供 AI 代理使用）

AI 代理还可以通过 Model Context Protocol 访问 Lolly - 由运营方运行的一个 端点（lolly.tools 运行着一个；任何人都可以自行托管自己的一个， 包括完全物理隔离的环境）。它延续了渲染路径无账户的姿态， 另外还有四个必然需要处理文件字节的工具：

• lolly_transform（代表调用方代理在服务端运行一个设备端工具）、 lolly_verify（检查 Content Credentials）以及 lolly_redact （涂黑图像或 PDF 中的区域），这三者都会接受调用方传来的 文件字节。它们都是在进程内、在内存中处理的，结果会在同一次 调用中返回 - 文件从不写入磁盘， 请求完成后也从不保留。
• lolly_rebrand（把一份旧的幻灯片文件重新套用到某个设计 系统上，涵盖它的 plan、compile 和 inspect 三个阶段）以同样的方式 接受演示文稿的字节，并且只在这次调用中于内存里处理 - 一旦响应 发出，就不会写入磁盘，也不会保留任何内容。它的第一个阶段 capabilities，会在你发送任何字节之前，用文字说明这些字节将去 往何处：在自托管的本地服务器上，演示文稿永远不会离开那台机器； 在托管服务器上，调用 lolly_rebrand 会把演示文稿发送到那里， 且不超过同一阶段给出的大小和幻灯片数量上限。
• 图像工具（lolly_look、lolly_sample_color 和 lolly_trace_edges）也可以接受调用方传来的图像文件，处理方式相同：在内存中、 只在这次调用中。其他所有工具都依据调用中的参数工作：文本、数字、颜色、URL、 目录素材 id，或调用方提供的文档。
• 访问权限要么是运营方颁发给其信任客户端的共享令牌， 要么是无状态的 OAuth 2.1：针对共享密钥验证的短期签名令牌， 服务端不存储任何内容， 令牌本身也从不写入日志或渲染 URL。

Content Credentials 身份（需要你自己发起的登录）

Lolly 可以将一个加密的 Content Credential 封入你的导出结果，让任何人 都能离线验证，一个文件自离开 Lolly 起就未被更改过。这一部分默认开启且 完全本地化——签名密钥在你的设备上生成，签名本身也是离线完成的。 如果未注册，密钥是一次性的：每次导出都会生成一个全新的密钥对， 并随导出一起丢弃。一旦你完成注册，密钥就会变为长期使用，并以 不可导出的方式生成——就连 Lolly 自己的代码都无法读取它， 只能请求它进行签名。无论哪种方式，密钥都永远不会离开你的设备。 本节所讲的，是在此基础上唯一的可选步骤：注册一个已验证的身份， 这样你的导出结果就会显示 “Verified - signed by \<your email\>”，而不是一个匿名密钥。如果你跳过注册，本节内容 就与你无关，也不会有任何个人数据离开你的设备。

signed by Lolly2026-10-21vector SVG7 paths~2.0k nodes11 groups24 KB自己验证获取已签名文件 signed by Lolly2026-10-21vector SVG7 paths~2.0k nodes11 groups25 KB自己验证获取已签名文件

如果你确实注册了，接下来会发生的事情如下：

1. 你选择一种登录方式 - GitHub、Google、SUSE（id.suse.com）或一封 邮件链接。对于这三种 OIDC 提供方，你会被重定向到该提供方 自己的登录页面，受其自身隐私政策管辖，而非我们的政策。 Lolly 的证书服务只会收回一个已验证的邮箱地址和该提供方的 名称。对于邮件链接方式，你输入的地址会被传给 Resend（一个事务性邮件 API），仅用于发送那一条链接。
2. 一个短期 cookie 保护这次重定向。 这是整个 Lolly 系统 唯一设置的 cookie：lolly_ca_state，HttpOnly，作用域限定在 /api/ca，十分钟内过期。它携带的是一个随机值，而非跟踪 标识符，其存在的唯一目的是防止 OAuth 重定向被伪造。登录一 完成，它就会被清除。
3. 你的 IP 地址会被短暂用于防止登录端点被滥用（这样一个脚本 就无法向某个邮箱发送垃圾邮件或耗尽邮件配额）。Lolly 会先对它 做哈希处理，再创建一个短期的防滥用记录桶；原始地址不会被发送到 那个存储里。这个记录桶大约一分钟后过期，且不用于跟踪。普通的 主机访问日志是另一回事， 在下文另行说明。
4. 证书服务会签发一张短期证书（7、30、90 或 365 天， 由你选择，受运营方策略上限约束），将你已验证的邮箱 与你设备上生成的密钥对的公钥部分绑定。 私钥部分永远不会离开你的浏览器。
5. 签发过程不会被记录任何东西。 证书服务不保留任何签发日志： 不记录你的邮箱、不记录提供方、不记录序列号、不记录时间戳。 没有数据库、没有日志行、没有 webhook。你的邮箱地址只会在请求中 短暂存在，仅够被写入你设备接收到的证书中，之后就在我们这一侧 彻底消失。
6. 此后，在证书的整个有效期内，签名再次变为离线操作。 导出文件从不会联系证书服务 - 只有注册时才会。

权衡取舍，直说了。 该服务早期版本会记录每一次签发，以便 在证书被误签发或被攻破时可以追溯。我们移除了这一点，因为那份 日志是整个 Lolly 系统中唯一会在服务器上留存个人数据的地方， 与其小心翼翼地保存它，我们宁愿不保存它。我们放弃的是服务端 可追溯性：如果某张证书被滥用，我们无法查出是谁获取了它。证书 按设计是短期的——7 到 365 天，由你选择，受运营方上限约束—— 并会自行过期，这正是我们所依赖的缓解措施。自身有审计日志义务的 自托管方可以自行添加一份日志，并因此成为那份数据的控制者。

浏览器扩展

Lolly URL Screenshot 浏览器扩展不为我们收集任何个人数据。 它没有分析工具，没有跟踪，也没有自己的服务器。浏览器扩展 页面介绍了它的工作方式。

它做什么。 Lolly web 应用可以向它请求某个网页的截图，或请求某个页面的内容， 以便从网站创建设计系统。每个请求都会在扩展中打开一个批准窗口，显示发起请求的站点、 它要的是截图还是页面内容，以及页面地址。只有在你按下 Approve once 之后， 扩展才会在一个临时后台标签页中打开该页面，截取屏幕截图或读取该页面，把结果交给 发出请求的那个 Lolly 标签页，然后关闭该标签页。每个请求都需要各自的批准。

数据。

• 我们不收集任何东西。 结果只会交给发出请求的 Lolly 页面，在同一个浏览器中。扩展不存储任何页面内容，也不增加任何其他接收方。
• 网络请求。 你批准的页面会像在任何标签页中那样加载， 连同该页面自己发出的所有请求。读取页面内容时，还会从页面内部获取该页面的 样式表和少量图标与徽标图像，这些获取不会向其他站点发送 Cookie。 扩展不会发出其他请求，也没有任何请求发往 Lolly 服务器。
• 你的浏览器会话。 页面是用你的浏览器会话加载的， 就像你自己打开它一样，所以你已登录的页面可能会把私密信息放进结果里。
• 你批准的地址只用于为那一次请求加载那一个页面。 它们不会被记录或分享。

权限。

• debugger - 通过 DevTools Protocol 截取屏幕截图（与 Lolly 桌面应用使用的机制相同）。
• tabs - 用于打开和关闭临时标签页，并检查自你批准以来， Lolly 页面和目标页面是否都没有发生跳转。
• scripting - 用于在你批准该请求之后，在临时标签页中读取页面内容。
• storage - 用于把临时标签页的 id 记录在会话存储中， 这样即使浏览器在请求期间停止了扩展，这些标签页仍会关闭。不存储任何页面内容。
• *可选的站点访问权限（http:///、https:///） - 安装时不会授予。 当你按下 Approve once* 时，扩展会向 Chrome 申请该请求所涉的那一个站点的 访问权限，Chrome 会在每个站点第一次时询问你。你之前允许过的站点，每个请求 仍然需要重新批准。

以上权限都不会被用来读取、监控或传输你的浏览行为，超出你所批准的那一次请求范围。

基础设施日志

和任何网站一样，lolly.tools 背后的服务器 - 以及任何 Lolly 部署背后的 服务器 - 只要有请求到达，就会生成标准的 web 服务器访问日志：IP 地址、请求路径、时间戳、用户代理。这是托管服务的基线行为， 并非 Lolly 额外添加的东西，其中也从不包含你文档的内容，因为这些 内容本就不会到达服务器。唯一刻意存在的例外，是你明确交给某次 MCP lolly_transform、lolly_verify、lolly_redact 或 lolly_rebrand 调用的文件，如上文所述， 它在内存中处理，从不写入磁盘或日志。

公共服务尽量减少应用日志。 MCP 服务器会记录启动、配置和渲染警告；它自己不保留请求日志， 也不记录令牌或调用方地址。Penpot 透传会记录每个命令名称和 Penpot 的响应状态， 绝不记录标头、令牌或文件。证书服务会记录其启动设置和配置警告，另外在失败时输出两行 脱敏的日志：一行是不含收件地址的发送失败状态码，另一行是不含错误文本、堆栈跟踪或 URL 的固定失败信息（提供方的错误可能携带身份值或凭据）。日志中的其他一切都属于托管平台， 而非我们。

对于 lolly.tools，托管方是 Vercel，访问日志的保留期限遵循 Vercel 针对 我们所用套餐的平台默认设置。我们不配置任何日志导出、不做任何 长期日志导出，也不叠加任何分析或监控产品。我们自己不保留这些 日志的副本，这也意味着我们无法为你检索它们——参见 你的权利。

法律依据、留存期限与接收方

这里几乎没有什么需要法律依据,因为几乎没有任何数据被处理。为完整起见,列出全部清单:

接收方。 接收方类别包括：我们的托管提供商（Vercel Inc.）； 我们的防滥用存储提供商，它只会收到短期、单向派生的 记录桶密钥，绝不会收到原始 IP 地址；以及 - 仅当你使用 电子邮件登录选项时 - 一家交易性电子邮件提供商（Resend）。 如果你使用 GitHub、Google 或 SUSE（id.suse.com）登录， 你是直接与该提供商交互，受其自身隐私政策约束。 他们只告诉我们一个已验证的电子邮件地址，别无其他。我们不与任何其他方共享个人数据， 也不出售数据、投放广告或对用户进行画像。

欧洲经济区（EEA）以外的数据传输。 Vercel 和 Resend 是美国公司。 lolly.tools 的函数计算被固定在 Vercel 的法兰克福（fra1）区域， 因此处理发生在欧盟境内，但作为总部位于美国的供应商， 它们作为处理者仍可能从美国访问数据。这些传输依赖于 欧盟委员会的标准合同条款和/或欧美数据隐私框架， 具体见各提供商的数据处理协议。由于到达这些提供商的 个人数据极为有限 - 一个为发送单条消息而传递的电子邮件地址、 普通的访问日志，以及一个短期的派生防滥用记录桶 - 相应的风险敞口也很小。

自动化决策。 无。不存在画像,也不存在产生法律或类似重大影响的自动化决策(第 22 条)。

儿童隐私

在使用本应用的正常过程中,Lolly 不会明知地收集任何年龄段任何人的个人信息 - 因为根本没有可收集的内容。唯一会收集个人信息(电子邮件地址)的场景是上文所述的 Content Credentials 注册,该场景并非面向或针对儿童设计。

你的权利

由于 Lolly 涉及的几乎所有内容都只存储在你自己的设备上， 数据保护法所称的大多数“你的权利” - 访问、更正、删除、 可携带性 - 都是你自己可以立即完成的事，无需向任何人申请： 你的数据存放在浏览器的存储中，你可以查看、 导出（见上文导出我的数据），或删除 （清除浏览器中该网站的存储，如上文所述）。

正式而言,根据 GDPR 第 15-22 条,你有权访问你的个人数据,更正它,删除它,限制或反对其处理(包括反对我们基于正当利益进行的任何处理),享有数据可携带权,并且 - 在处理依据为同意的情况下 - 有权随时撤回该同意,而不影响撤回前处理行为的合法性。

以下是关于向我们行使这些权利的坦诚说明。由于我们不再保留签发日志， 我们没有任何关于你的、可供查询、更正、导出或删除的个人数据。 如果你写信询问我们掌握了你的哪些信息， 真实的答案是没有，我们也会如实相告。 唯一存在的类别是按 IP 地址索引的托管访问日志， 由我们的托管提供商依其默认留存期限保存。 我们没有任何工具可以搜索或选择性删除这些日志， 我们会如实告知，而不会假装并非如此。 真正属于你的一切都在你的设备上，你可以在无需征得任何人许可的情况下随时读取、导出和销毁它。

你有投诉的权利。 如果你认为我们不当处理了你的数据,你可以向数据保护监管机构提出投诉 - 在欧盟境内,可向你居住国、工作地或你认为侵权发生地的监管机构投诉(第 77 条)。我们的主管监管机构是位于德国安斯巴赫(Ansbach)的巴伐利亚州数据保护监督局(Bayerisches Landesamt für Datenschutzaufsicht,BayLDA)。你不需要先联系我们,不过我们希望有机会先行纠正问题。

我们不出售数据。我们也没有数据可以出售。

本政策的变更

页面顶部的日期会在本文档变更时更新。任何改变离开你设备的内容或留存内容的变更,都会在此单独列出,而不是悄悄修改 - 如果你想了解变更内容,可以询问我们(见下文)或对照公开源码进行比对。

2026 年 10 月 22 日： 更正了对现有行为的描述。浏览器扩展一节现在涵盖了每个请求都有的批准窗口、逐个站点申请的站点访问权限，以及读取网站时对样式表和图标的获取。同时更正的还有：Send to Google Drive 和 Meeting Planner 两行、SEAL 说明（目前没有任何 Lolly 应用会在 DNS 中查找 SEAL 密钥）、组织服务的默认使用遥测级别、MCP 图像工具，以及公共服务的应用日志。软件本身没有改变。

责任方及联系方式

lolly.tools 的数据控制者为:

SUSE Software Solutions Germany GmbH Frankenstraße 146 90461 Nürnberg Germany

SUSE 已任命一名数据保护官,可通过 privacy@suse.com 联系。上文“你的权利”下的任何正式请求,请使用该地址。

关于 Lolly 本身的任何事情 - 它是如何运作的、为什么某项设计是这样的,或对本文档的更正 - 请联系 Andy Fitzsimon,fitzy@suse.com。

对于自托管或企业版 Lolly 实例,请改为联系其运营方:该运营方是其自身部署的控制者。对于它们不运营的部署,SUSE 与 Lolly 开源项目均不持有任何数据。