判別も変換もすべてブラウザ内で完結します。ファイルがサーバーに送られることはありません。
ファイルや入力の中身は、どこにも送りません。そのうえで、このページが読み込みや送信に使える通信先を、Content-Security-Policy でこのサイトとアクセス解析（Google アナリティクス・Cloudflare Web Analytics・Ahrefs Web Analytics）だけに制限しています。
ExcelでそのままCSVを開くなら「UTF-8 (BOM付き)」か「Shift_JIS」。BOMなしのUTF-8はExcelが文字化けさせます。
文字コードの判別、Excel向けの設定、ファイルの扱いについて回答します。
BOM、ISO-2022-JPのエスケープシーケンス、UTF-8として妥当なバイト列かどうかを順に確認し、それでも決まらない場合はShift_JISとEUC-JPのバイト構造と日本語の出現頻度から推定します。推定結果はファイルごとに手動で上書きできます。
いいえ。判別も変換もすべてブラウザ内で完結し、ファイルがサーバーへ送信・保存されることはありません。
「UTF-8 (BOM付き)」または「Shift_JIS」を選んでください。BOMなしのUTF-8はExcelがShift_JISとして開いてしまい、文字化けの原因になります。
変換前に該当する文字と出現回数を一覧表示します。置き換え方法は「?」に置換、数値文字参照に置換、削除の3種類から選べます。
件数の上限は設けていません。ブラウザのメモリが許す限りまとめて変換でき、2件以上ならZIPでダウンロードできます。
このページのプログラムは、ファイルや入力の中身を送る処理を持っていません。そのうえで Content-Security-Policy（CSP）により、ページが読み込みや送信に使える通信先を、このサイトとアクセス解析（Google アナリティクス、Cloudflare Web Analytics、Ahrefs Web Analytics）だけに制限しています。アクセス解析が受け取るのは閲覧状況だけです。寄付の窓口（Ko-fi）を開いたときの埋め込み表示は別の枠として許可していますが、この枠からページの中身は読めません。設定はページのソースの先頭（Content-Security-Policy の meta タグ）で誰でも確認できます。