文件隐私

专用 PDF 工具

大多数 /pdf/ 下的工具会完全在浏览器中处理你选择的 PDF；应用服务器只提供静态代码，没有 PDF 上传端点。“签署 PDF”和“填写 PDF 表单”是明确的例外：浏览器在同源环境下进行一次性移交后，它们会打开完整的 FileCarpenter PDF Editor，并把 PDF 发送到临时编辑会话，以便用编辑器的签名引擎放置签名，或更新现有 AcroForm 字段，并对结果进行保留性验证。保存在 IndexedDB 中的移交副本会在编辑器使用前删除。

完整 PDF 编辑器

PDF Editor 会在当前编辑会话期间把所选文档发送到 FileCarpenter 应用服务器。服务器端处理用于结构检查、受支持的编辑和验证后的导出。会话数据是临时的，并会在一段时间无活动后过期。请勿处理你无权处理的文档。

点对点文件传输与 Smart Send

文件传输工具使用 WebRTC 在已配对的浏览器之间移动文件字节。信令服务负责介绍设备并转发连接信息。无法建立直接连接时，TURN 中继可能传送加密的 WebRTC 流量，但 FileCarpenter 不会把传输的文件作为上传对象持久保存。

Smart Send 在发送设备上检查所选媒体，并通过 WebRTC DataChannel 从接收浏览器获得一个小型、临时的能力概况。它只使用平台/浏览器系列、屏幕类别、编解码/图像支持、保存 API，以及粗粒度的浏览器存储/网络类别；不会发送精确 CPU 数量、精确屏幕尺寸、devicePixelRatio、完整硬件指纹或精确剩余磁盘字节。生成的图像副本在发送设备上创建，随附服务器不会持久保存能力概况。

账户、广告与分析

随附部署不要求用户账户，也不包含广告或第三方分析脚本。如果运营者以后添加分析、广告、日志或其他外部服务，应在部署变更前更新此说明。

运行日志

Web 服务器和反向代理可能保留短期运行日志，其中含请求时间、所请求 URL、浏览器信息和网络地址。VPS 上的日志保留时间应符合运营者政策，并且绝不应把房间密码或 PDF 内容写入访问日志。