隱私權政策

誰負責

本文所述資料處理的控管者（GDPR 所稱）為 Andrey Fedyukov，地址：Mecumstraße 52, 40225 Düsseldorf, 德國。

如對個人資料有任何疑問，請寄信至 [email protected]。也可以向居住地所在歐盟國家的資料保護監管機關提出申訴。

我們儲存哪些資料

建立帳戶後的帳戶資料：電子郵件地址、所用登入方式的識別碼（透過 Apple 或 Google 登入時），以及工作階段的技術時間戳記。

帳本本身：交易、帳戶、分類、定期交易、預計付款、預算、貨幣設定以及寫下的備註。共用帳本時，還包括該群組的成員和邀請碼。

購買 Topf Plus 時：購買已完成這項事實及其有效期限、購買服務為此次安裝指派的匿名識別碼，以及（如有帳戶）兩者之間的關聯。不包括付款卡片、Apple 帳號或 Google 帳戶：這些由商店保管，商店不會向我們顯示其中任何一項。

使用帳戶進行語音輸入時：每個日曆月計入該帳戶的成功語音輸入次數，用於執行適用的限額——免費版本設有每月限額，Plus 則設有防止濫用的上限。保存的內容是日曆月、次數以及最後一次變更的時間；說出的語句和由此產生的草稿不會保存。在共用帳本中，沒有自己 Plus 的成員所做的語音輸入計入群組擁有者的帳戶。

使用帳戶進行收據掃描時：每個日曆月為該帳戶讀取的收據數量，用於執行適用的限額。與語音輸入相同，保存的內容是日曆月、數量以及最後一次變更的時間；收據照片和由此產生的草稿不會保存。在共用帳本中，沒有自己 Plus 的成員所做的掃描計入群組擁有者的帳戶。

以上就是隨帳戶儲存的完整清單。App 中沒有廣告識別碼、沒有裝置指紋，也沒有第三方追蹤；下文所述的使用統計不與帳戶連結。

不使用帳戶時

不註冊也可以使用 Topf。此時帳本只存在裝置上，不會上傳。語音輸入和收據掃描需要連上網路，使用時會傳送資料。Plus 的購買透過 App Store 或 Google Play 以及購買服務完成。App 也會傳送匿名使用統計，可以關閉。詳情見下文。

處理資料的目的與法律依據

提供所選擇使用的產品：保存帳本、在裝置之間同步，以及在新裝置上還原。法律依據：履行契約（GDPR 第 6 條第 1 項第 b 款）。

讓登入得以進行：將登入碼寄到電子郵件地址。法律依據：履行契約（GDPR 第 6 條第 1 項第 b 款）。

確認是否擁有 Plus：透過購買服務核對購買，並在我們的伺服器上保存其目前狀態。法律依據：履行契約（GDPR 第 6 條第 1 項第 b 款）。

執行語音輸入和收據掃描的每月限額：按日曆月分別計算兩者的次數，因為免費版本只包含有限的次數。法律依據：履行契約（GDPR 第 6 條第 1 項第 b 款）。

了解 App 的使用情形並加以改進：使用統計。法律依據：正當利益（GDPR 第 6 條第 1 項第 f 款）。

維持服務運作，並防止語音輸入和收據掃描遭到濫用。法律依據：正當利益（GDPR 第 6 條第 1 項第 f 款）。

資料存放在哪裡

帳本的完整副本存放在裝置上的本機資料庫中，不需要網路就能使用。

擁有帳戶時，同樣的資料還存放在 Supabase 位於德國法蘭克福的 PostgreSQL 資料庫中（AWS eu-central-1），並透過 PowerSync 同步服務傳送到各台裝置。存取權限透過列層級安全性（row-level security）依使用者限制：一個帳戶讀取自己的帳本，若屬於某個共用帳本，也讀取該帳本。

語音輸入

使用語音輸入時，語句通常由裝置的語音辨識服務轉為文字。在 iPhone 上是 Apple 的服務；在 Android 上是系統中選定的服務，通常是 Google 的。該服務可能在裝置上執行，也可能依服務提供者自己的條款在其伺服器上執行。只有辨識出的文字會傳送到我們的伺服器，同時附帶理解這段文字所需的脈絡：介面語言、當天日期、時區、主要貨幣，以及啟用中的帳戶和分類名稱。

這段文字會傳送給 OpenAI，由其轉換為交易草稿。草稿回到裝置上並顯示出來；確認之前，帳本中不會寫入任何內容。

裝置的語音辨識無法使用時，改為傳送錄音本身，由同一家服務供應商轉寫。兩種情況下，音訊和文字都只在記憶體中經過我們的函式，我們不會保存——既不存入資料庫，也不寫入檔案或記錄檔。使用帳戶時，一次成功的輸入只會讓上文所述的當月次數加一。

OpenAI 以受託處理者的身分，依我們的指示處理這些資料。其 API 以不將送出的資料用於模型訓練的設定使用；為監控濫用，服務供應商可能會將請求及其回應最長保留 30 天；如法律要求，或為保護其服務或第三方免受損害而合理必要，保留期間可能更長。請不要口述任何不希望受託處理者看到的內容。

收據掃描

掃描收據時，可以在 App 中拍下收據，或從照片中選擇一張；App 只能取得所選的那張照片。照片離開裝置之前會被縮小，並去除拍攝地點和時間等中繼資料後重新儲存。在 App 中允許之前不會傳送任何內容；這項許可可以隨時在設定 → 隱私中撤回。

照片會連同讀取所需的脈絡一起傳送到我們的伺服器：介面語言、今天的日期、時區、主要貨幣以及支出類別的名稱。接著照片會轉交給 OpenAI，由它讀取收據並轉換為交易草稿。草稿會傳回裝置並顯示出來；在確認之前，不會寫入帳本。

收據上印著的所有內容都會隨照片一起傳送：如果上面印有姓名、地址或電子郵件地址，OpenAI 也會收到。照片只在記憶體中經過我們的函式，我們不會保存它，無論是資料庫、檔案還是日誌。使用帳戶時，每讀取一張收據，當月掃描次數加一；什麼也沒讀出的照片不計入。

OpenAI 以受託處理者的身分，依我們的指示處理這些資料，其設定以及為監控濫用而保留的方式與語音輸入相同。請不要掃描任何不希望受託處理者看到的內容。

電子郵件

登入碼透過 Amazon Simple Email Service（AWS，德國法蘭克福）寄出。該服務取得電子郵件地址以投遞郵件。我們不寄送行銷郵件，也沒有郵寄名單。

匯率

每日匯率來自公開服務 api.frankfurter.dev。請求由我們的伺服器每天為所有人統一發出一次，而不是由裝置發出——因此使用多種貨幣不會讓該服務得知任何個人資訊。

購買

Topf Plus 在 iPhone 上透過 Apple 的 App Store 購買，在 Android 上透過 Google Play 購買，有沒有帳戶都可以。付款本身、付款卡片和 Apple 帳號或 Google 帳戶都留在商店，我們從不接觸。Apple 和 Google 以獨立控管者的身分，依各自的隱私權政策處理購買。RevenueCat（RevenueCat, Inc.，美國）會收到商店的購買證明（App Store 收據或 Google Play 購買權杖）、此次安裝的匿名識別碼，以及（如有帳戶）帳戶識別碼，並告知 App 和我們的伺服器 Plus 是否有效、效期到何時。RevenueCat 以受託處理者的身分，依我們的指示處理這些資料；傳輸資料至美國以歐盟標準契約條款為依據。

使用統計

為了了解大家在哪裡卡住、哪些地方需要改進，App 會向 PostHog（PostHog Inc.，美國；資料儲存在歐盟法蘭克福）傳送使用統計，即 App 的使用方式：開啟了哪些頁面、在 App 中進行了哪些操作。每個事件都附帶 App 版本、作業系統及其版本、語言、時區和此次安裝的隨機識別碼。

從不傳送：金額、備註、帳戶和類別名稱、說出的內容、電子郵件地址以及帳戶識別碼。IP 位址會被捨棄，不用於判斷位置。統計資料不與帳戶連結；重新安裝 App 後，安裝識別碼會是新的。可以在 App 中關閉傳送：設定 → 隱私 → 使用統計。

法律依據：我們改進 App 的正當利益（GDPR 第 6 條第 1 項第 f 款）。PostHog 以受託處理者的身分，依我們的指示處理這些資料；傳輸資料至美國以歐盟標準契約條款為依據。事件在一年內可用於分析；更早的事件不再出現在報告中，但 PostHog 可能將其保存在自己的歸檔中。由於統計資料不與個人連結，我們無法單獨找出或刪除某一次安裝的事件。

本網站

本網站託管在 Cloudflare Pages 上。網站沒有表單、沒有 Cookie、沒有分析工具，也沒有嵌入的第三方內容。只有首頁會讀取瀏覽器中設定的語言，以便用其中一種語言開啟，這些資訊不會被保存。Cloudflare 會處理任何網頁伺服器都看得到的技術資料——IP 位址、請求的網址、user agent——以便傳送頁面並保護服務。

還有誰看得到資料

只有上文列出的受託處理者，每一方只負責自己的那一項工作：

• Supabase——託管資料庫和登入服務；
• PowerSync——在資料庫和裝置之間同步；
• OpenAI——把說出的語句或收據照片轉換為草稿；
• Amazon Web Services——投遞郵件，並提供資料庫運作的基礎設施；
• RevenueCat——處理 App 內購買以及 Plus 權益的狀態；
• PostHog——App 的使用統計；
• Cloudflare——託管本網站和網域。

對於我們向其傳輸使用者資料的第三方，我們確保其對這些資料提供與本隱私權政策所述及適用於本 App 的資料保護要求相同或同等水準的保護。

資料不會被出售、出租、提供給廣告商，也不會用於訓練任何人的模型。

資料保存多久

帳戶存在多久，就保存多久。刪除帳戶會刪除伺服器上的帳本；已同步到自己裝置上的副本，會在登出或刪除 App 時消失。

在 App 中刪除的交易會立即從帳本和所有合計中消失；刪除後片刻內還可以復原。在伺服器上，它會帶著「已刪除」標記保留，直到刪除帳號為止。

權利

依據 GDPR，享有查閱、更正、刪除、限制處理及資料可攜的權利，以及反對基於正當利益進行處理的權利。

刪除功能內建於 App 中：「設定」→「帳戶」→「刪除帳戶」會刪除伺服器上的資料；如果透過 Apple 登入，也會同時撤銷該授權。其他任何事項，請寄信至 [email protected]。

兒童

Topf 並非以兒童為對象，也不適合未滿 16 歲的人使用。

變更

本政策變更時，頂端的日期也會隨之更新。若變更會實質影響資料的處理方式，將在生效前於 App 內事先告知。