隐私政策

谁负责

本文所述数据处理的控制者（GDPR 意义上）为 Andrey Fedyukov，地址：Mecumstraße 52, 40225 Düsseldorf, 德国。

如对个人数据有任何疑问，请发送邮件至 [email protected]。也可以向居住地所在欧盟国家的数据保护监管机构投诉。

我们存储哪些数据

创建账户后的账户数据：电子邮件地址、所用登录方式的标识符（通过 Apple 或 Google 登录时）以及会话的技术时间戳。

账本本身：交易、账户、分类、定期交易、计划付款、预算、货币设置以及写下的备注。共享账本时，还包括该群组的成员和邀请码。

购买 Topf Plus 时：购买已完成这一事实及其有效期、购买服务为此次安装分配的匿名标识符，以及（如有账户）二者之间的关联。不包括银行卡、Apple 账户或 Google 账号：这些由应用商店保管，商店不会向我们显示其中任何一项。

使用账户进行语音输入时：每个自然月计入该账户的成功语音输入次数，用于执行相应的限额——免费版本设有每月限额，Plus 则设有防止滥用的上限。保存的内容是自然月、次数以及最后一次变更的时间；说出的语句和由此生成的草稿不会保存。在共享账本中，没有自己 Plus 的成员所做的语音输入计入群组所有者的账户。

使用账户进行小票扫描时：每个自然月为该账户读取的小票数量，用于执行相应的限额。与语音输入相同，保存的内容是自然月、数量以及最后一次变更的时间；小票照片和由此生成的草稿不会保存。在共享账本中，没有自己 Plus 的成员所做的扫描计入群组所有者的账户。

以上就是随账户保存的完整清单。应用中没有广告标识符、没有设备指纹，也没有第三方追踪；下文所述的使用统计不与账户关联。

不使用账户时

不注册也可以使用 Topf。此时账本只保存在设备上，不会上传。语音输入和小票扫描需要联网，使用时会发送数据。Plus 的购买通过 App Store 或 Google Play 以及购买服务完成。应用还会发送匿名使用统计，可以关闭。详情见下文。

处理数据的目的和法律依据

提供所选择使用的产品：保存账本、在设备之间同步，以及在新设备上恢复。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

实现登录：将登录码发送到电子邮件地址。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

确认是否拥有 Plus：通过购买服务核验购买，并在我们的服务器上保存其当前状态。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

执行语音输入和小票扫描的每月限额：按自然月分别统计两者的次数，因为免费版本只包含有限的次数。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

了解应用的使用情况并加以改进：使用统计。法律依据：正当利益（GDPR 第 6 条第 1 款 (f) 项）。

保持服务运行，并防止语音输入和小票扫描被滥用。法律依据：正当利益（GDPR 第 6 条第 1 款 (f) 项）。

数据存放在哪里

账本的完整副本保存在设备上的本地数据库中，无需网络即可使用。

拥有账户时，同样的数据还存放在 Supabase 位于德国法兰克福的 PostgreSQL 数据库中（AWS eu-central-1），并通过 PowerSync 同步服务传送到各台设备。访问权限通过行级安全（row-level security）按用户限制：一个账户读取自己的账本，若属于某个共享账本，也读取该账本。

语音输入

使用语音输入时，语句通常由设备的语音识别服务转为文字。在 iPhone 上是 Apple 的服务；在 Android 上是系统中选定的服务，通常是 Google 的。该服务可能在设备上运行，也可能按服务提供方自己的条款在其服务器上运行。只有识别出的文字会发送到我们的服务器，同时附带理解这段文字所需的上下文：界面语言、当天日期、时区、主货币，以及启用中的账户和分类名称。

这段文字会发送给 OpenAI，由其转换为交易草稿。草稿返回设备并显示出来；确认之前，账本中不会写入任何内容。

设备的语音识别不可用时，改为发送录音本身，由同一服务商转写。两种情况下，音频和文字都只在内存中经过我们的函数，我们不会保存——既不存入数据库，也不写入文件或日志。使用账户时，一次成功的输入只会让上文所述的当月次数加一。

OpenAI 作为受托处理者，按我们的指示处理这些数据。其 API 以不将提交的数据用于模型训练的设置使用；为监测滥用，服务商可能会将请求及其响应最长保留30天；如法律要求，或为保护其服务或第三方免受损害而合理必要，保留期可能更长。请不要口述任何不希望受托处理者看到的内容。

小票扫描

扫描小票时，可以在应用中拍下小票，或从照片中选择一张；应用只能拿到所选的那张照片。照片离开设备之前会被缩小，并去掉拍摄地点和时间等元数据后重新保存。在应用中允许之前不会发送任何内容；这项许可可以随时在设置 → 隐私中撤回。

照片会连同读取所需的上下文一起发送到我们的服务器：界面语言、今天的日期、时区、主要货币以及支出类别的名称。随后照片被转交给 OpenAI，由它读取小票并转换为交易草稿。草稿返回设备并显示出来；在确认之前，不会向账本写入任何内容。

小票上印着的所有内容都会随照片一起发送：如果上面印有姓名、地址或电子邮件地址，OpenAI 也会收到。照片只在内存中经过我们的函数，我们不会保存它，无论是数据库、文件还是日志。使用账户时，每读取一张小票，当月扫描次数加一；什么也没读出的照片不计入。

OpenAI 作为受托处理者，按我们的指示处理这些数据，其设置以及为监测滥用而保留的方式与语音输入相同。请不要扫描任何不希望受托处理者看到的内容。

电子邮件

登录码通过 Amazon Simple Email Service（AWS，德国法兰克福）发送。该服务获取电子邮件地址以投递邮件。我们不发送营销邮件，也没有邮件列表。

汇率

每日汇率来自公开服务 api.frankfurter.dev。请求由我们的服务器每天为所有人统一发出一次，而不是由设备发出——因此使用多种货币不会让该服务得知任何个人信息。

购买

Topf Plus 在 iPhone 上通过 Apple 的 App Store 购买，在 Android 上通过 Google Play 购买，有无账户均可。付款本身、银行卡和 Apple 账户或 Google 账号都留在应用商店，我们从不接触。Apple 和 Google 作为独立的控制者，按各自的隐私政策处理购买。RevenueCat（RevenueCat, Inc.，美国）会收到商店的购买凭证（App Store 收据或 Google Play 购买令牌）、此次安装的匿名标识符，以及（如有账户）账户标识符，并告知应用和我们的服务器 Plus 是否有效、有效期到何时。RevenueCat 作为受托处理者，按我们的指示处理这些数据；向美国传输数据以欧盟标准合同条款为依据。

使用统计

为了了解人们在哪里遇到困难、哪些地方需要改进，应用会向 PostHog（PostHog Inc.，美国；数据存储在欧盟法兰克福）发送使用统计，即应用的使用方式：打开了哪些页面、在应用中进行了哪些操作。每个事件都附带应用版本、操作系统及其版本、语言、时区和此次安装的随机标识符。

从不发送：金额、备注、账户和类别名称、说出的内容、电子邮件地址以及账户标识符。IP 地址会被丢弃，不用于确定位置。统计数据不与账户关联；重新安装应用后，安装标识符会是新的。可以在应用中关闭发送：设置 → 隐私 → 使用统计。

法律依据：我们改进应用的正当利益（GDPR 第 6 条第 1 款 (f) 项）。PostHog 作为受托处理者，按我们的指示处理这些数据；向美国传输数据以欧盟标准合同条款为依据。事件在一年内可用于分析；更早的事件不再出现在报告中，但 PostHog 可能将其保存在自己的归档中。由于统计数据不与个人关联，我们无法单独找出或删除某一次安装的事件。

本网站

本网站托管在 Cloudflare Pages 上。网站没有表单、没有 Cookie、没有分析工具，也没有嵌入的第三方内容。只有首页会读取浏览器中设置的语言，以便用其中一种语言打开，这些信息不会被保存。Cloudflare 会处理任何网络服务器都能看到的技术数据——IP 地址、请求的地址、user agent——以便传送页面并保护服务。

还有谁能看到数据

只有上文列出的受托处理者，每一方只负责自己的那一项工作：

• Supabase——托管数据库和登录服务；
• PowerSync——在数据库和设备之间同步；
• OpenAI——把说出的语句或小票照片转换为草稿；
• Amazon Web Services——投递邮件，并提供数据库运行的基础设施；
• RevenueCat——处理应用内购买以及 Plus 权益的状态；
• PostHog——应用的使用统计；
• Cloudflare——托管本网站和域名。

对于我们向其传输用户数据的第三方，我们确保其对这些数据提供与本隐私政策所述及适用于本应用的数据保护要求相同或同等水平的保护。

数据不会被出售、出租、提供给广告商，也不会用于训练任何人的模型。

数据保存多久

账户存在多久，就保存多久。删除账户会删除服务器上的账本；已同步到自己设备上的副本，会在退出登录或删除应用时消失。

在应用中删除的交易会立即从账本和所有合计中消失；删除后片刻内还可以撤销。在服务器上，它会带着“已删除”标记保留，直到删除账户为止。

权利

根据 GDPR，享有访问、更正、删除、限制处理和数据可携带的权利，以及反对基于正当利益进行处理的权利。

删除功能内置于应用中：“设置”→“账户”→“删除账户”会删除服务器上的数据；如果通过 Apple 登录，也会同时撤销该授权。其他任何事项，请发送邮件至 [email protected]。

儿童

Topf 并非面向儿童，也不适合未满 16 岁的人使用。

变更

本政策发生变更时，顶部的日期也会随之更新。若变更会实质影响数据的处理方式，将在生效前在应用内提前告知。