隐私政策

谁负责

本文所述数据处理的控制者（GDPR 意义上）为 Andrey Fedyukov，地址：Mecumstraße 52, 40225 Düsseldorf, 德国。

如对个人数据有任何疑问，请发送邮件至 [email protected]。也可以向居住地所在欧盟国家的数据保护监管机构投诉。

我们存储哪些数据

创建账户后的账户数据：电子邮件地址、所用登录方式的标识符（通过 Apple 或 Google 登录时）以及会话的技术时间戳。

账本本身：交易、账户、分类、定期交易、计划付款、预算、货币设置以及写下的备注。共享账本时，还包括该群组的成员和邀请码。

购买 Topf Plus 时：购买已完成这一事实及其有效期、购买服务为此次安装分配的匿名标识符，以及（如有账户）二者之间的关联。不包括银行卡、Apple 账户或 Google 账号：这些由应用商店保管，商店不会向我们显示其中任何一项。

使用账户进行语音输入时：每个自然月计入该账户的成功语音输入次数，用于执行相应的限额——免费版本设有每月限额，Plus 则设有防止滥用的上限。保存的内容是自然月、次数以及最后一次变更的时间；说出的语句和由此生成的草稿不会保存。在共享账本中，没有自己 Plus 的成员所做的语音输入计入群组所有者的账户。

使用账户进行小票扫描时：每个自然月为该账户读取的小票数量，用于执行相应的限额。与语音输入相同，保存的内容是自然月、数量以及最后一次变更的时间；小票照片和由此生成的草稿不会保存。在共享账本中，没有自己 Plus 的成员所做的扫描计入群组所有者的账户。

使用账户使用 Topf AI 时：每个自然月为该账户计入的提问次数，用于执行相应的限额；以及在回答某个问题期间，一条表示该问题已计入的记录，十五分钟后失效。问题本身、随问题发送的账本内容和回答都不会保存。在共享账本中，没有自己 Plus 的成员的提问计入群组所有者的账户。

自动记账，如果你在使用：它记下的每笔交易的付款来源（Apple Pay、银行通知或银行短信）、钱包中显示的卡片名称，以及 Topf 是否自动记录、在哪个月记录；还有账本的记忆，即商户对应哪个分类、卡片或银行记入哪个账户。付款终端的标签和 Apple Pay 给出的金额会随交易一起同步，因此账本的所有设备和共享账本的所有成员都能看到。银行消息的文字只保留在收到它的设备上。使用账户时，我们按日历月记录模型为你的账户读取了多少笔付款，以便执行相应的限额。

以上就是随账户保存的完整清单。应用中没有广告标识符、没有设备指纹，也没有第三方追踪；下文所述的使用统计不与账户关联。

不使用账户时

不注册也可以使用 Topf。此时账本只保存在设备上，不会上传。语音输入和小票扫描需要联网，使用时会发送数据。Plus 的购买通过 App Store 或 Google Play 以及购买服务完成。应用还会发送匿名使用统计，可以关闭。详情见下文。

不使用账户也能使用自动记账；它在何时发送什么，见下文。

Topf AI 需要账户，因为每个问题都计入提问的账户。

处理数据的目的和法律依据

提供所选择使用的产品：保存账本、在设备之间同步，以及在新设备上恢复。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

实现登录：将登录码发送到电子邮件地址。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

确认是否拥有 Plus：通过购买服务核验购买，并在我们的服务器上保存其当前状态。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

执行语音输入和小票扫描的每月限额：按自然月分别统计两者的次数，因为免费版本只包含有限的次数。法律依据：履行合同（GDPR 第 6 条第 1 款 (b) 项）。

为执行 Topf AI 提问的每月限额：我们按自然月计数，因为免费版包含的提问次数有限。法律依据：履行合同（GDPR 第 6 条第 1 款 b 项）。

了解应用的使用情况并加以改进：使用统计。法律依据：正当利益（GDPR 第 6 条第 1 款 (f) 项）。

保持服务运行，并防止语音输入和小票扫描被滥用。法律依据：正当利益（GDPR 第 6 条第 1 款 (f) 项）。

执行自动记账的限额：按日历月统计 Topf 自动记录的付款和模型读取的付款。法律依据：履行合同（GDPR 第6条第1款b项）。

数据存放在哪里

账本的完整副本保存在设备上的本地数据库中，无需网络即可使用。

拥有账户时，同样的数据还存放在 Supabase 位于德国法兰克福的 PostgreSQL 数据库中（AWS eu-central-1），并通过 PowerSync 同步服务传送到各台设备。访问权限通过行级安全（row-level security）按用户限制：一个账户读取自己的账本，若属于某个共享账本，也读取该账本。

语音输入

使用语音输入时，语句通常由设备的语音识别服务转为文字。在 iPhone 上是 Apple 的服务；在 Android 上是系统中选定的服务，通常是 Google 的。该服务可能在设备上运行，也可能按服务提供方自己的条款在其服务器上运行。只有识别出的文字会发送到我们的服务器，同时附带理解这段文字所需的上下文：界面语言、当天日期、时区、主货币，以及启用中的账户和分类名称。

这段文字会发送给 OpenAI，由其转换为交易草稿。草稿返回设备并显示出来；确认之前，账本中不会写入任何内容。

设备的语音识别不可用时，改为发送录音本身，由同一服务商转写。两种情况下，音频和文字都只在内存中经过我们的函数，我们不会保存——既不存入数据库，也不写入文件或日志。使用账户时，一次成功的输入只会让上文所述的当月次数加一。

OpenAI 作为受托处理者，按我们的指示处理这些数据。其 API 以不将提交的数据用于模型训练的设置使用；为监测滥用，服务商可能会将请求及其响应最长保留30天；如法律要求，或为保护其服务或第三方免受损害而合理必要，保留期可能更长。请不要口述任何不希望受托处理者看到的内容。

小票扫描

扫描小票时，可以在应用中拍下小票，或从照片中选择一张；应用只能拿到所选的那张照片。照片离开设备之前会被缩小，并去掉拍摄地点和时间等元数据后重新保存。在应用中允许之前不会发送任何内容；这项许可可以随时在设置 → 隐私中撤回。

照片会连同读取所需的上下文一起发送到我们的服务器：界面语言、今天的日期、时区、主要货币以及支出类别的名称。随后照片被转交给 OpenAI，由它读取小票并转换为交易草稿。草稿返回设备并显示出来；在确认之前，不会向账本写入任何内容。

小票上印着的所有内容都会随照片一起发送：如果上面印有姓名、地址或电子邮件地址，OpenAI 也会收到。照片只在内存中经过我们的函数，我们不会保存它，无论是数据库、文件还是日志。使用账户时，每读取一张小票，当月扫描次数加一；什么也没读出的照片不计入。

OpenAI 作为受托处理者，按我们的指示处理这些数据，其设置以及为监测滥用而保留的方式与语音输入相同。请不要扫描任何不希望受托处理者看到的内容。

自动记账

自动记账通过你在 iPhone 上 Apple 的“快捷指令”App 中设置的个人自动化运行：当你用 Apple Pay 付款，或银行发来通知或短信时，自动化把这笔付款交给 Topf。Topf 本身无法读取你的钱包、你的信息或其他 App 的通知；它只接收你的自动化传来的内容，并先保存在你的设备上。

在 Topf 已经认识的商户用 Apple Pay 付款时，会根据你账本的记忆在设备上直接记录，不发送任何内容进行解析。对于 Apple Pay 中的新商户，以及每一条银行消息（无论 Topf 是否认识该商户），付款会连同读取所需的上下文发送到我们的服务器：Apple Pay 提供的商户名称和金额，或银行原样写下的消息文字，以及你的界面语言、付款到达的日期和时间、时区、主要货币和你的分类名称。服务器再把它交给 OpenAI，由其读取金额和商户并选择分类。

银行消息中可能包含你的余额或卡号的最后几位；由于文字按银行原样发送，这些也会被发送。它在我们的函数中仅在内存里经过，不会保存在我们的服务器上。在你于 App 中允许之前，不会向 OpenAI 发送任何内容；选择“不使用 OpenAI”则不会向 OpenAI 发送任何内容，这项许可可以随时在设置 → 隐私中撤回。

OpenAI 作为受托处理者，按我们的指示处理这些数据，其设置以及为监测滥用而保留的方式与语音输入相同。

Topf AI

Topf AI 根据你的账本回答关于你的钱的问题。它只能在登录账户后使用，在你于应用中允许之前不会发送任何内容；这项许可保存在你的设备上。这项许可可以随时在设置 → 隐私中撤回。

每次提问时，我们的服务器会把你的问题、应用语言、今天的日期、你的时区、主要货币以及你的账户和分类名称发送给 OpenAI。为了回答，模型会向应用索取所需的内容；应用在你设备上的账本中查找，并只发回这些内容：找到的交易及其日期、金额、分类、账户和备注，按分类、月份或账户的汇总，各账户余额，本期预算和定期交易。此前的对话会随回答的每一步一起发送。你的电子邮箱和账户标识不会发送给 OpenAI。

语音提问会在你的设备上录音，发送到我们的服务器，由 OpenAI 转写后以文字返回。在 Topf AI 中添加的小票走上文所述的小票扫描流程，不会展示给模型。Topf AI 不会自行更改账本：交易草稿以及对分类、账户、预算和定期交易的更改，只有在你确认后才会写入。

问题、录音、随之发送的账本内容和回答只在内存中经过我们的函数，我们不会保存；对话会留在应用中，直到你开始新的对话或关闭应用。使用账户时，无论回答需要多少步，一个问题都会使上文所述的每月计数加一。OpenAI 作为受托处理者，按我们的指示处理这些数据，其设置以及为监测滥用而保留的方式与语音输入相同。请不要提出任何不希望受托处理者看到的问题。

电子邮件

登录码通过 Amazon Simple Email Service（AWS，德国法兰克福）发送。该服务获取电子邮件地址以投递邮件。我们不发送营销邮件，也没有邮件列表。

汇率

每日汇率来自公开服务 api.frankfurter.dev。请求由我们的服务器每天为所有人统一发出一次，而不是由设备发出——因此使用多种货币不会让该服务得知任何个人信息。

购买

Topf Plus 在 iPhone 上通过 Apple 的 App Store 购买，在 Android 上通过 Google Play 购买，有无账户均可。付款本身、银行卡和 Apple 账户或 Google 账号都留在应用商店，我们从不接触。Apple 和 Google 作为独立的控制者，按各自的隐私政策处理购买。RevenueCat（RevenueCat, Inc.，美国）会收到商店的购买凭证（App Store 收据或 Google Play 购买令牌）、此次安装的匿名标识符，以及（如有账户）账户标识符，并告知应用和我们的服务器 Plus 是否有效、有效期到何时。RevenueCat 作为受托处理者，按我们的指示处理这些数据；向美国传输数据以欧盟标准合同条款为依据。

使用统计

为了了解人们在哪里遇到困难、哪些地方需要改进，应用会向 PostHog（PostHog Inc.，美国；数据存储在欧盟法兰克福）发送使用统计，即应用的使用方式：打开了哪些页面、在应用中进行了哪些操作。每个事件都附带应用版本、操作系统及其版本、语言、时区和此次安装的随机标识符。

从不发送：金额、备注、账户和类别名称、说出的内容、电子邮件地址以及账户标识符。IP 地址会被丢弃，不用于确定位置。统计数据不与账户关联；重新安装应用后，安装标识符会是新的。可以在应用中关闭发送：设置 → 隐私 → 使用统计。

法律依据：我们改进应用的正当利益（GDPR 第 6 条第 1 款 (f) 项）。PostHog 作为受托处理者，按我们的指示处理这些数据；向美国传输数据以欧盟标准合同条款为依据。事件在一年内可用于分析；更早的事件不再出现在报告中，但 PostHog 可能将其保存在自己的归档中。由于统计数据不与个人关联，我们无法单独找出或删除某一次安装的事件。

本网站

本网站托管在 Cloudflare Pages 上。网站没有表单、没有 Cookie、没有分析工具，也没有嵌入的第三方内容。只有首页会读取浏览器中设置的语言，以便用其中一种语言打开，这些信息不会被保存。Cloudflare 会处理任何网络服务器都能看到的技术数据——IP 地址、请求的地址、user agent——以便传送页面并保护服务。

还有谁能看到数据

只有上文列出的受托处理者，每一方只负责自己的那一项工作：

• Supabase——托管数据库和登录服务；
• PowerSync——在数据库和设备之间同步；
• OpenAI——把说出的语句、小票照片或付款消息转换为草稿和分类，以及在 Topf AI 中回答关于你账本的问题；
• Amazon Web Services——投递邮件，并提供数据库运行的基础设施；
• RevenueCat——处理应用内购买以及 Plus 权益的状态；
• PostHog——应用的使用统计；
• Cloudflare——托管本网站和域名。

对于我们向其传输用户数据的第三方，我们确保其对这些数据提供与本隐私政策所述及适用于本应用的数据保护要求相同或同等水平的保护。

数据不会被出售、出租、提供给广告商，也不会用于训练任何人的模型。

数据保存多久

账户存在多久，就保存多久。删除账户会删除服务器上的账本；已同步到自己设备上的副本，会在退出登录或删除应用时消失。

在应用中删除的交易会立即从账本和所有合计中消失；删除后片刻内还可以撤销。在服务器上，它会带着“已删除”标记保留，直到删除账户为止。

权利

根据 GDPR，享有访问、更正、删除、限制处理和数据可携带的权利，以及反对基于正当利益进行处理的权利。

删除功能内置于应用中：“设置”→“账户”→“删除账户”会删除服务器上的数据；如果通过 Apple 登录，也会同时撤销该授权。其他任何事项，请发送邮件至 [email protected]。

儿童

Topf 并非面向儿童，也不适合未满 16 岁的人使用。

变更

本政策发生变更时，顶部的日期也会随之更新。若变更会实质影响数据的处理方式，将在生效前在应用内提前告知。