本隐私政策说明「家庭账本」（以下称「本 App」「我们」）收集哪些数据、为什么收集、存在哪里，以及你对这些数据拥有哪些控制权。本 App 由独立开发者窦炳言开发。联系邮箱：dosmallnw@gmail.com。
就欧盟／英国《通用数据保护条例》（GDPR）而言，独立开发者窦炳言为数据控制者，联系方式：dosmallnw@gmail.com。
| 数据 | 用途 | 存储位置 | GDPR 法律依据 |
|---|---|---|---|
| 邮箱地址 | 创建账号、登录验证，并在你的多台设备间同步账本。 | Supabase（美国，West US 区域）。 | 履行合同（第 6(1)(b) 条） |
| Apple ID 标识（仅在你使用「通过 Apple 登录」时） | 免密码登录。若你选择 Apple 的「隐藏我的邮件地址」，我们只会拿到中转地址。 | Supabase（美国） | 履行合同（第 6(1)(b) 条） |
| 交易记录 —— 金额、收支类型、分类与二级分类、你写的备注、时间、来源，以及可选的地点名称 | 这就是本 App 的核心功能：你的账本。 | 先存本机（SQLite），登录后再同步到 Supabase（美国）。 | 履行合同（第 6(1)(b) 条） |
| 家庭成员标签 —— 你自己输入的名字、颜色、头像 | 让你标记某笔账属于哪位家庭成员。 | 本机，之后同步至 Supabase（美国）。 | 履行合同（第 6(1)(b) 条） |
| 预算与存钱计划 | 计算预算进度与打卡。 | 本机，之后同步至 Supabase（美国）。 | 履行合同（第 6(1)(b) 条） |
| 位置（可选 —— 见第 4 节） | 自动填写你消费地点的名称。 | GPS 坐标仅在本机使用后即丢弃；只有解析出的地点名称（如「大悦城」）随交易保存。 | 同意（第 6(1)(a) 条），可随时撤回 |
| 票据照片（可选 —— 见第 5 节） | 识别票据上的金额与分类，免去手动输入。 | 仅传输中处理，随即丢弃。我们不存储，也不会附在账目上。 | 同意（第 6(1)(a) 条） |
| 语音输入（可选 —— 见第 5 节） | 让你用说的代替打字记账。 | 音频由你设备的操作系统处理，从不到达我们的服务器；只有转写出的文字会被处理。 | 同意（第 6(1)(a) 条） |
| 你粘贴的账单文本（可选）—— 如银行短信、支付 App 导出的文本 | 自动提取金额与分类。 | 仅传输中处理，随即丢弃；只保存提取结果。 | 同意（第 6(1)(a) 条） |
| AI 用量计数 —— 账号 ID、日期、次数 | 执行每日公平使用额度，防止 API 成本被滥用。 | Supabase（美国）。 | 正当利益（第 6(1)(f) 条） |
| 订阅状态（仅在你购买订阅时） | 解锁付费功能、跨设备恢复购买。 | RevenueCat 与 Apple。我们从不接触你的银行卡信息。 | 履行合同（第 6(1)(b) 条） |
尽管名为「家庭账本」，本 App 目前并没有多用户共享账本功能。「家庭成员」只是你在自己账号内创建的标签，用来标记某笔账属于谁。你的数据仅限于你自己的账号，其他任何用户都看不到。这一点在数据库层由行级安全策略（RLS）强制保障。
记一笔账时，本 App 可以自动帮你填上消费地点，省去手动输入。
三项可选功能会用到 AI。它们都经由我们自己部署在 Supabase 上的服务端函数中转，再转发给 Anthropic 的 Claude API。AI 功能设有每日公平使用额度。
当你拍摄或选择一张票据照片时，该图片会被发送到 Anthropic 的 Claude API，用于提取金额、分类和简短描述。图片仅在传输过程中被处理，我们不做任何存储 —— 我们没有部署任何图片存储服务，照片也不会附加到你的账目上。只有提取出的文字字段会被保存。
你的音频录音从不到达我们的服务器，也从不发送给 Anthropic。语音由你设备的操作系统自带的语音识别转成文字。在 iOS 上，取决于你的设备与系统设置，Apple 的语音识别可能在本机完成，也可能在 Apple 的服务器上完成，该处理适用 Apple 隐私政策。之后只有识别出的文字（例如「咖啡 35 块」）会被发送到 Anthropic 的 Claude API 解析成一笔账。
本 App 可以为你当天的消费生成一句话回顾。为此我们发送给 Anthropic 的只有汇总统计数字，绝不包含你的具体账目：日期、笔数、当日支出与收入合计、金额最高的分类及其占比、与上周同一天的差额，以及本月已超预算的分类。你的备注、成员名字、地点名称和逐笔明细都不会被发送。
我们使用的是 Anthropic 的商用 Claude API。根据 Anthropic 的商用条款，Anthropic 不会使用通过该 API 提交的数据训练模型。Anthropic 可能出于信任与安全目的在有限期限内保留请求。详见 Anthropic 隐私政策与商用条款。你的邮箱地址与账号身份不会发送给 Anthropic —— 请求中只包含上述内容。
所有 AI 功能都是可选的，你可以全程手动输入记账。只要你不拍票据、不用语音、不粘贴账单文本，就没有任何内容会被发送给 Anthropic。每日复盘只在你主动打开该功能时才生成；生成失败或不可用时，App 会退回到完全在本机计算的规则式总结。
| 服务商 | 作用 | 会拿到什么 | 隐私政策 |
|---|---|---|---|
| Supabase Inc. | 账号验证、数据库与云同步，服务器位于美国（West US）。 | 你的邮箱地址、账本数据、AI 用量计数。 | supabase.com/privacy |
| Anthropic PBC | 票据识别、语音／账单文本解析、每日复盘的 AI 处理。 | 票据图片、转写文字、粘贴的账单文本、每日汇总统计。不含邮箱地址与账号身份。 | anthropic.com/legal/privacy |
| RevenueCat, Inc. | 管理订阅权益与恢复购买。 | App 专用的用户标识与订阅收据状态。不含银行卡信息。 | revenuecat.com/privacy |
| Apple Inc. | 「通过 Apple 登录」、App Store 支付，以及本 App 使用的系统语音识别与地理反查。 | Apple ID 标识（若使用 Apple 登录）、支付处理、语音识别所需音频、反查所需坐标。 | apple.com/legal/privacy |
我们的服务器位于美国。若你从欧洲经济区、英国或瑞士使用本 App，你的数据将被传输至美国并在当地处理。此类传输依据欧盟委员会的标准合同条款（SCCs）进行，我们的处理方（Supabase、Anthropic、RevenueCat）均已将其纳入各自的数据处理协议。
所有网络传输均使用 HTTPS/TLS。你的会话令牌通过 Secure Store 保存在 iOS 钥匙串中，而非普通存储。所有云端表均启用行级安全策略，确保任何请求只能读写属于当前登录账号的数据。我们的 AI API 密钥仅存在于服务端，绝不打包进 App。但没有任何系统是绝对安全的，我们无法保证万无一失。
如需注销账号并删除全部相关数据，请用你注册时使用的邮箱地址发送邮件至 dosmallnw@gmail.com，主题写「注销家庭账本账号」。我们会核实后在 30 天内删除你的账号，并在完成后邮件确认。此服务免费，也无需说明理由。若你使用 Apple 登录并选择了「隐藏我的邮件地址」，请从该中转地址发送，以便我们匹配到你的账号。如需同时清除本机副本，请从设备上删除 App。
若你身处欧洲经济区、英国或瑞士，你享有以下权利：访问你的个人数据；更正不准确的数据；删除数据（「被遗忘权」）；限制处理；对基于正当利益的处理提出反对；数据可携（App 内的 CSV 导出即以机器可读格式满足这一权利）；以及随时撤回同意（撤回不影响撤回前处理行为的合法性）。行使上述任一权利请发邮件至 dosmallnw@gmail.com，我们将在 30 天内回复。你也有权向当地监管机构投诉。
我们不进行会对你产生法律效果或类似重大影响的自动化决策。AI 功能仅生成文本建议与点评，最终保存什么始终由你审核确认。
若你是加州居民，你有权知悉我们收集哪些个人信息及其目的（见上文第 2 节）、有权要求删除、有权要求更正，并有权在行使这些权利时不受歧视性对待。
我们不出售你的个人信息，在过去 12 个月内也未曾出售。我们不为跨情境行为广告而共享你的个人信息。我们不会将敏感个人信息用于 CPRA 允许范围之外的目的。由于不存在出售或共享行为，我们不提供「请勿出售或共享我的个人信息」链接 —— 因为没有可供退出的项目。我们收集的个人信息类别包括：标识符（邮箱地址、账号 ID）、商业信息（你的交易记录）、地理位置数据（仅在你开启时收集的粗略地点名称）、音视频信息（票据照片与语音，均为瞬时处理且不留存）。这些信息均直接从你处收集。行使加州权利请发邮件至 dosmallnw@gmail.com。你也可以委托授权代理人代为提交请求。
本 App 并非面向儿童设计。它在 App Store 的分级为 4+，仅因其不含任何不良内容，而非因其为儿童设计。
你必须年满 13 周岁才能创建账号；若你身处欧洲经济区或英国，则须年满 16 周岁（或你所在国家依 GDPR 第 8 条规定的更高最低年龄）。依据美国《儿童在线隐私保护法》（COPPA）与 GDPR 第 8 条，我们不会在知情的情况下收集低于上述年龄的儿童的个人信息，也不会询问年龄或刻意为未成年人建立画像。
如果你是家长或监护人，且认为你的孩子已创建账号或向我们提供了个人信息，请发邮件至 dosmallnw@gmail.com，我们将在核实后尽快删除该账号及其数据，最迟不超过 30 天。
如本政策发生变更，我们会更新页面顶部的「最后更新」日期。若变更对你的数据处理方式有实质影响，我们会在生效前于 App 内告知；法律要求时，我们会重新征求你的同意。
关于隐私的任何问题、请求或投诉：
dosmallnw@gmail.com
我们力争 7 天内回复，并始终不超过 GDPR 与 CCPA 要求的 30 天。