关于你照片的一切都不会离开你的设备。
逐项写。一份描述行业惯例而不是描述这份代码的隐私说明，不值得读。
你的照片
你选择的文件由浏览器用 File API 读取，就在你正看着的这个页面里解析。没有上传，没有服务端流程，除了这个标签页之外没有任何一份你图片的副本。清理或编辑会生成一个新文件，同样在这个标签页里生成，再由浏览器按保存任何下载的方式存下来。你磁盘上的那个文件不会被改动。关掉标签页，这件事就结束了。
统计到底记了什么
页面浏览由 Umami 统计，它不设 cookie、不设标识符，也无法跟着你去别的网站。除此之外，使用一个功能会记录六个字段，不多不少：用了哪个功能、浏览器报告的文件类型、这个文件有没有带 GPS，以及它是不是一张可编辑的 JPEG。文件本身、文件名、坐标和每一个标签值都留在标签页里。照片有没有位置，记录为真或假；那个位置在哪里，完全不记录。
广告
说明类页面可以承载 Google AdSense 广告。任何带工作区的页面都没有，而这不是靠自觉：允许投放广告脚本的页面清单写在一个文件里，默认拒绝，一旦有工作区页面被加进去，测试就会失败。在没有配置发布商 ID 的情况下，广告脚本根本不会被请求——不是用样式藏起来，也不是加载了不用。
没有任何东西需要你提交
没有账号、没有登录、没有表单、没有订阅、没有评论、没有上传。没有任何地方向你索取地址或姓名，所以也不存在这类信息可以被存储、泄露或交出去。字体从本域提供，而不是从字体网络加载，所以打开一个页面不会在你做任何事之前就把这次访问告诉第三方。
这个页面管不到的地方
把这些文件发给你的那台服务器，会像每一台 Web 服务器那样看到一次请求——地址、时间、User-Agent——因为 HTTP 就是这么工作的。在广告脚本确实运行的地方，Google 拿它做什么由 Google 决定，不由这个页面决定。说成别的样子，就是在对代码之外的东西宣称管辖权，而那正是整个网站极力避免的那种失败。