隐私政策

谁负责

本文所述数据处理的控制者（GDPR 意义上）为 Andrey Fedyukov，地址：Mecumstraße 52, 40225 Düsseldorf, 德国。

如对个人数据有任何疑问，请发送邮件至 [email protected]。也可以向居住地所在欧盟国家的数据保护监管机构投诉。

我们存储哪些数据

创建账户后的账户数据：电子邮件地址、所用登录方式的标识符（通过 Apple 或 Google 登录时）以及会话的技术时间戳。

账本本身：交易、账户、分类、定期交易、计划付款、货币设置以及写下的备注。共享账本时，还包括该群组的成员和邀请码。

购买 Topf Plus 时：购买已完成这一事实及其有效期、购买服务为此次安装分配的匿名标识符，以及（如有账户）二者之间的关联。不包括银行卡和 Apple 账户：这些由 Apple 保管，Apple 不会向我们显示其中任何一项。

以上就是完整清单。应用中没有广告标识符、没有设备指纹、没有行为分析，也没有第三方追踪 SDK。

不使用账户时

不注册也可以使用 Topf。这种情况下，账本只保存在设备上，不会上传任何内容，我们也不掌握任何相关数据。有两个例外，下文会说明：需要网络的语音输入，以及通过 Apple 和购买服务进行的 Topf Plus 购买。账本本身不涉及其中任何一项。

处理数据的目的和法律依据

提供所选择使用的产品：保存账本、在设备之间同步，以及在新设备上恢复。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

实现登录：将登录码发送到电子邮件地址。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

确认是否拥有 Plus：通过购买服务核验购买，并在我们的服务器上保存其当前状态。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

保持服务运行，并防止语音输入被滥用。法律依据：正当利益（GDPR 第 6 条第 1 款 (f) 项）。

数据存放在哪里

账本的完整副本保存在设备上的本地数据库中，无需网络即可使用。

拥有账户时，同样的数据还存放在 Supabase 位于德国法兰克福的 PostgreSQL 数据库中（AWS eu-central-1），并通过 PowerSync 同步服务传送到各台设备。访问权限通过行级安全（row-level security）按用户限制：一个账户读取自己的账本，若属于某个共享账本，也读取该账本。

语音输入

使用语音输入时，语句通常由设备自带的语音识别功能识别，只有识别出的文字会发送到我们的服务器，同时附带理解这段文字所需的上下文：界面语言、当天日期、时区、主货币，以及启用中的账户和分类名称。

这段文字会发送给 OpenAI，由其转换为交易草稿。草稿返回设备并显示出来；确认之前，账本中不会写入任何内容。

设备的语音识别不可用时，改为发送录音本身，由同一服务商转写。两种情况下，音频和文字都只在内存中经过我们的函数，我们不会保存——既不存入数据库，也不写入文件或日志。

OpenAI 作为受托处理者，按我们的指示处理这些数据。其 API 以不将提交的数据用于模型训练的设置使用；为监测滥用，服务商可能会将请求及其响应最长保留30天；如法律要求，或为保护其服务或第三方免受损害而合理必要，保留期可能更长。请不要口述任何不希望受托处理者看到的内容。

电子邮件

登录码通过 Amazon Simple Email Service（AWS，德国法兰克福）发送。该服务获取电子邮件地址以投递邮件。我们不发送营销邮件，也没有邮件列表。

汇率

每日汇率来自公开服务 api.frankfurter.dev。请求由我们的服务器每天为所有人统一发出一次，而不是由设备发出——因此使用多种货币不会让该服务得知任何个人信息。

购买

Topf Plus 通过 Apple 的 App Store 购买，有无账户均可。付款本身、银行卡和 Apple 账户都留在 Apple，我们从不接触。RevenueCat（RevenueCat, Inc.，美国）会收到 App Store 收据、此次安装的匿名标识符，以及（如有账户）账户标识符，并告知应用和我们的服务器 Plus 是否有效、有效期到何时。RevenueCat 作为受托处理者，按我们的指示处理这些数据；向美国传输数据以欧盟标准合同条款为依据。

本网站

本网站托管在 Cloudflare Pages 上。网站没有表单、没有 Cookie、没有分析工具，也没有嵌入的第三方内容。只有首页会读取浏览器中设置的语言，以便用其中一种语言打开，这些信息不会被保存。Cloudflare 会处理任何网络服务器都能看到的技术数据——IP 地址、请求的地址、user agent——以便传送页面并保护服务。

还有谁能看到数据

只有上文列出的受托处理者，每一方只负责自己的那一项工作：

• Supabase——托管数据库和登录服务；
• PowerSync——在数据库和设备之间同步；
• OpenAI——把说出的语句转换为草稿；
• Amazon Web Services——投递邮件，并提供数据库运行的基础设施；
• RevenueCat——处理应用内购买以及 Plus 权益的状态；
• Cloudflare——托管本网站和域名。

对于我们向其传输用户数据的第三方，我们确保其对这些数据提供与本隐私政策所述及适用于本应用的数据保护要求相同或同等水平的保护。

数据不会被出售、出租、提供给广告商，也不会用于训练任何人的模型。

数据保存多久

账户存在多久，就保存多久。删除账户会删除服务器上的账本；已同步到自己设备上的副本，会在退出登录或删除应用时消失。

在应用中删除的交易会在短时间内保持可恢复状态，避免误删无法挽回，之后会被彻底删除。

权利

根据 GDPR，享有访问、更正、删除、限制处理和数据可携带的权利，以及反对基于正当利益进行处理的权利。

删除功能内置于应用中：“设置”→“账户”→“删除账户”会删除服务器上的数据；如果通过 Apple 登录，也会同时撤销该授权。其他任何事项，请发送邮件至 [email protected]。

儿童

Topf 并非面向儿童，也不适合未满 16 岁的人使用。

变更

本政策发生变更时，顶部的日期也会随之更新。若变更会实质影响数据的处理方式，将在生效前在应用内提前告知。