隐私政策动辄上万字，但真正影响你的只有五处：收集什么、存多久、给谁、能不能删、有没有跨区传输。
注册一个新工具之前，花三分钟看隐私政策是值得的。不需要逐字读完，按下面五处定位就够了。
一、收集了什么
找"我们收集的信息"这一节，通常分两类：你主动提供的（账号、邮箱、上传的文件）和自动收集的（IP、设备信息、浏览行为、Cookie）。
重点看自动收集那部分有没有超出必要范围。一个在线图片压缩工具，如果需要读取通讯录或精确定位，就值得警惕。
二、保存多久
搜"保留""retention"这类关键词。合规的写法会给出具体期限，比如"上传文件在处理完成后 24 小时内删除""账号注销后 30 天内清除"。
写着"在必要期限内保留"却没有具体天数的，等于没有承诺。这时候可以看它有没有单独的"文件处理说明"页，那里面有时会写得更细。
三、给谁了
找"共享""第三方""sub-processor"相关段落。常见的三类是：云服务商（存数据）、分析服务（统计行为）、支付服务（处理付款）。
需要留意的是"关联公司"和"业务转移"条款——前者意味着数据可能在集团内部流动，后者意味着公司被收购时数据会一并转移。
四、能不能删、能不能导出
GDPR 和国内的个人信息保护法都给了删除与可携带的权利，但落地方式不同。看它有没有提供自助删除入口，还是必须发邮件申请。
对工具类产品，这一条直接决定迁移成本。能导出全部数据的产品，用起来心理负担小很多。
五、数据存在哪
跨境传输条款常常单独成节。如果你的数据涉及个人信息，而服务商把数据存在境外，需要评估合规要求。
三分钟的操作顺序
1. 打开隐私政策，用浏览器搜索框依次搜：collect、retention、third party、delete、transfer。 2. 每一处读前后两段，不必读全文。 3. 找不到具体承诺（只有笼统表述）时，按"没有承诺"处理。 4. 决定使用后，把政策页链接存进备忘录，并记下查看日期——政策会改，出问题时这份记录有用。
最后一句：隐私政策是承诺，不是事实。承诺写得再好，也要看产品实际行为是否一致。对敏感文件，最稳妥的选择仍然是本地处理。