隱私權政策

誰負責

本文所述資料處理的控管者（GDPR 所稱）為 Andrey Fedyukov，地址：Mecumstraße 52, 40225 Düsseldorf, 德國。

如對個人資料有任何疑問，請寄信至 [email protected]。也可以向居住地所在歐盟國家的資料保護監管機關提出申訴。

我們儲存哪些資料

建立帳戶後的帳戶資料：電子郵件地址、所用登入方式的識別碼（透過 Apple 或 Google 登入時），以及工作階段的技術時間戳記。

帳本本身：交易、帳戶、分類、定期交易、預計付款、預算、貨幣設定以及寫下的備註。共用帳本時，還包括該群組的成員和邀請碼。

購買 Topf Plus 時：購買已完成這項事實及其有效期限、購買服務為此次安裝指派的匿名識別碼，以及（如有帳戶）兩者之間的關聯。不包括付款卡片、Apple 帳號或 Google 帳戶：這些由商店保管，商店不會向我們顯示其中任何一項。

使用帳戶進行語音輸入時：每個日曆月計入該帳戶的成功語音輸入次數，用於執行適用的限額——免費版本設有每月限額，Plus 則設有防止濫用的上限。保存的內容是日曆月、次數以及最後一次變更的時間；說出的語句和由此產生的草稿不會保存。在共用帳本中，沒有自己 Plus 的成員所做的語音輸入計入群組擁有者的帳戶。

使用帳戶進行收據掃描時：每個日曆月為該帳戶讀取的收據數量，用於執行適用的限額。與語音輸入相同，保存的內容是日曆月、數量以及最後一次變更的時間；收據照片和由此產生的草稿不會保存。在共用帳本中，沒有自己 Plus 的成員所做的掃描計入群組擁有者的帳戶。

使用帳戶使用 Topf AI 時：每個日曆月為該帳戶計入的提問次數，用於執行適用的限額；以及在回答某個問題期間，一筆表示該問題已計入的紀錄，十五分鐘後失效。問題本身、隨問題傳送的帳本內容和回答都不會保存。在共用帳本中，沒有自己 Plus 的成員的提問計入群組擁有者的帳戶。

自動記帳，如果你在使用：它記下的每筆交易的付款來源（Apple Pay、銀行通知或銀行簡訊）、錢包中顯示的卡片名稱，以及 Topf 是否自動記錄、在哪個月記錄；還有帳本的記憶，即商家對應哪個分類、卡片或銀行記入哪個帳戶。付款終端機的標籤和 Apple Pay 給出的金額會隨交易一起同步，因此帳本的所有裝置和共用帳本的所有成員都能看到。銀行訊息的文字只保留在收到它的裝置上。使用帳號時，我們按日曆月記錄模型為你的帳號讀取了多少筆付款，以便執行相應的限額。

以上就是隨帳戶儲存的完整清單。App 中沒有廣告識別碼、沒有裝置指紋，也沒有第三方追蹤；下文所述的使用統計不與帳戶連結。

不使用帳戶時

不註冊也可以使用 Topf。此時帳本只存在裝置上，不會上傳。語音輸入和收據掃描需要連上網路，使用時會傳送資料。Plus 的購買透過 App Store 或 Google Play 以及購買服務完成。App 也會傳送匿名使用統計，可以關閉。詳情見下文。

不使用帳號也能使用自動記帳；它在何時傳送什麼，見下文。

Topf AI 需要帳戶，因為每個問題都計入提問的帳戶。

處理資料的目的與法律依據

提供所選擇使用的產品：保存帳本、在裝置之間同步，以及在新裝置上還原。法律依據：履行契約（GDPR 第 6 條第 1 項第 b 款）。

讓登入得以進行：將登入碼寄到電子郵件地址。法律依據：履行契約（GDPR 第 6 條第 1 項第 b 款）。

確認是否擁有 Plus：透過購買服務核對購買，並在我們的伺服器上保存其目前狀態。法律依據：履行契約（GDPR 第 6 條第 1 項第 b 款）。

執行語音輸入和收據掃描的每月限額：按日曆月分別計算兩者的次數，因為免費版本只包含有限的次數。法律依據：履行契約（GDPR 第 6 條第 1 項第 b 款）。

為執行 Topf AI 提問的每月限額：我們按日曆月計數，因為免費版包含的提問次數有限。法律依據：履行契約（GDPR 第 6 條第 1 項 b 款）。

了解 App 的使用情形並加以改進：使用統計。法律依據：正當利益（GDPR 第 6 條第 1 項第 f 款）。

維持服務運作，並防止語音輸入和收據掃描遭到濫用。法律依據：正當利益（GDPR 第 6 條第 1 項第 f 款）。

執行自動記帳的限額：按日曆月統計 Topf 自動記錄的付款和模型讀取的付款。法律依據：履行契約（GDPR 第6條第1項b款）。

資料存放在哪裡

帳本的完整副本存放在裝置上的本機資料庫中，不需要網路就能使用。

擁有帳戶時，同樣的資料還存放在 Supabase 位於德國法蘭克福的 PostgreSQL 資料庫中（AWS eu-central-1），並透過 PowerSync 同步服務傳送到各台裝置。存取權限透過列層級安全性（row-level security）依使用者限制：一個帳戶讀取自己的帳本，若屬於某個共用帳本，也讀取該帳本。

語音輸入

使用語音輸入時，語句通常由裝置的語音辨識服務轉為文字。在 iPhone 上是 Apple 的服務；在 Android 上是系統中選定的服務，通常是 Google 的。該服務可能在裝置上執行，也可能依服務提供者自己的條款在其伺服器上執行。只有辨識出的文字會傳送到我們的伺服器，同時附帶理解這段文字所需的脈絡：介面語言、當天日期、時區、主要貨幣，以及啟用中的帳戶和分類名稱。

這段文字會傳送給 OpenAI，由其轉換為交易草稿。草稿回到裝置上並顯示出來；確認之前，帳本中不會寫入任何內容。

裝置的語音辨識無法使用時，改為傳送錄音本身，由同一家服務供應商轉寫。兩種情況下，音訊和文字都只在記憶體中經過我們的函式，我們不會保存——既不存入資料庫，也不寫入檔案或記錄檔。使用帳戶時，一次成功的輸入只會讓上文所述的當月次數加一。

OpenAI 以受託處理者的身分，依我們的指示處理這些資料。其 API 以不將送出的資料用於模型訓練的設定使用；為監控濫用，服務供應商可能會將請求及其回應最長保留 30 天；如法律要求，或為保護其服務或第三方免受損害而合理必要，保留期間可能更長。請不要口述任何不希望受託處理者看到的內容。

收據掃描

掃描收據時，可以在 App 中拍下收據，或從照片中選擇一張；App 只能取得所選的那張照片。照片離開裝置之前會被縮小，並去除拍攝地點和時間等中繼資料後重新儲存。在 App 中允許之前不會傳送任何內容；這項許可可以隨時在設定 → 隱私中撤回。

照片會連同讀取所需的脈絡一起傳送到我們的伺服器：介面語言、今天的日期、時區、主要貨幣以及支出類別的名稱。接著照片會轉交給 OpenAI，由它讀取收據並轉換為交易草稿。草稿會傳回裝置並顯示出來；在確認之前，不會寫入帳本。

收據上印著的所有內容都會隨照片一起傳送：如果上面印有姓名、地址或電子郵件地址，OpenAI 也會收到。照片只在記憶體中經過我們的函式，我們不會保存它，無論是資料庫、檔案還是日誌。使用帳戶時，每讀取一張收據，當月掃描次數加一；什麼也沒讀出的照片不計入。

OpenAI 以受託處理者的身分，依我們的指示處理這些資料，其設定以及為監控濫用而保留的方式與語音輸入相同。請不要掃描任何不希望受託處理者看到的內容。

自動記帳

自動記帳透過你在 iPhone 上 Apple 的「捷徑」App 中設定的個人自動化操作運作：當你用 Apple Pay 付款，或銀行傳來通知或簡訊時，自動化操作會把這筆付款交給 Topf。Topf 本身無法讀取你的錢包、你的訊息或其他 App 的通知；它只接收你的自動化操作傳來的內容，並先儲存在你的裝置上。

在 Topf 已經認識的商家用 Apple Pay 付款時，會根據你帳本的記憶在裝置上直接記錄，不傳送任何內容進行解析。對於 Apple Pay 中的新商家，以及每一則銀行訊息（無論 Topf 是否認識該商家），付款會連同讀取所需的脈絡傳送到我們的伺服器：Apple Pay 提供的商家名稱和金額，或銀行原樣寫下的訊息文字，以及你的介面語言、付款到達的日期和時間、時區、主要貨幣和你的分類名稱。伺服器再把它交給 OpenAI，由其讀取金額和商家並選擇分類。

銀行訊息中可能包含你的餘額或卡號的最後幾碼；由於文字按銀行原樣傳送，這些也會被傳送。它在我們的函式中僅於記憶體內經過，不會儲存在我們的伺服器上。在你於 App 中允許之前，不會向 OpenAI 傳送任何內容；選擇「不使用 OpenAI」則不會向 OpenAI 傳送任何內容，這項許可可以隨時在設定 → 隱私中撤回。

OpenAI 以受託處理者的身分，依我們的指示處理這些資料，其設定以及為監控濫用而保留的方式與語音輸入相同。

Topf AI

Topf AI 根據你的帳本回答關於你的錢的問題。它只能在登入帳戶後使用，在你於 App 中允許之前不會傳送任何內容；這項許可保存在你的裝置上。這項許可可以隨時在設定 → 隱私中撤回。

每次提問時，我們的伺服器會把你的問題、App 語言、今天的日期、你的時區、主要貨幣以及你的帳戶和類別名稱傳送給 OpenAI。為了回答，模型會向 App 索取所需的內容；App 在你裝置上的帳本中查找，並只傳回這些內容：找到的交易及其日期、金額、類別、帳戶和備註，按類別、月份或帳戶的合計，各帳戶餘額，本期預算和週期交易。此前的對話會隨回答的每一步一起傳送。你的電子郵件地址和帳戶識別碼不會傳送給 OpenAI。

語音提問會在你的裝置上錄音，傳送到我們的伺服器，由 OpenAI 轉寫後以文字傳回。在 Topf AI 中加入的收據走上文所述的收據掃描流程，不會顯示給模型。Topf AI 不會自行更改帳本：交易草稿以及對類別、帳戶、預算和週期交易的更改，只有在你確認後才會寫入。

問題、錄音、隨之傳送的帳本內容和回答只在記憶體中經過我們的函式，我們不會保存；對話會留在 App 中，直到你開始新的對話或關閉 App。使用帳戶時，無論回答需要多少步，一個問題都會使上文所述的每月計數加一。OpenAI 以受託處理者的身分，依我們的指示處理這些資料，其設定以及為監控濫用而保留的方式與語音輸入相同。請不要提出任何不希望受託處理者看到的問題。

電子郵件

登入碼透過 Amazon Simple Email Service（AWS，德國法蘭克福）寄出。該服務取得電子郵件地址以投遞郵件。我們不寄送行銷郵件，也沒有郵寄名單。

匯率

每日匯率來自公開服務 api.frankfurter.dev。請求由我們的伺服器每天為所有人統一發出一次，而不是由裝置發出——因此使用多種貨幣不會讓該服務得知任何個人資訊。

購買

Topf Plus 在 iPhone 上透過 Apple 的 App Store 購買，在 Android 上透過 Google Play 購買，有沒有帳戶都可以。付款本身、付款卡片和 Apple 帳號或 Google 帳戶都留在商店，我們從不接觸。Apple 和 Google 以獨立控管者的身分，依各自的隱私權政策處理購買。RevenueCat（RevenueCat, Inc.，美國）會收到商店的購買證明（App Store 收據或 Google Play 購買權杖）、此次安裝的匿名識別碼，以及（如有帳戶）帳戶識別碼，並告知 App 和我們的伺服器 Plus 是否有效、效期到何時。RevenueCat 以受託處理者的身分，依我們的指示處理這些資料；傳輸資料至美國以歐盟標準契約條款為依據。

使用統計

為了了解大家在哪裡卡住、哪些地方需要改進，App 會向 PostHog（PostHog Inc.，美國；資料儲存在歐盟法蘭克福）傳送使用統計，即 App 的使用方式：開啟了哪些頁面、在 App 中進行了哪些操作。每個事件都附帶 App 版本、作業系統及其版本、語言、時區和此次安裝的隨機識別碼。

從不傳送：金額、備註、帳戶和類別名稱、說出的內容、電子郵件地址以及帳戶識別碼。IP 位址會被捨棄，不用於判斷位置。統計資料不與帳戶連結；重新安裝 App 後，安裝識別碼會是新的。可以在 App 中關閉傳送：設定 → 隱私 → 使用統計。

法律依據：我們改進 App 的正當利益（GDPR 第 6 條第 1 項第 f 款）。PostHog 以受託處理者的身分，依我們的指示處理這些資料；傳輸資料至美國以歐盟標準契約條款為依據。事件在一年內可用於分析；更早的事件不再出現在報告中，但 PostHog 可能將其保存在自己的歸檔中。由於統計資料不與個人連結，我們無法單獨找出或刪除某一次安裝的事件。

本網站

本網站託管在 Cloudflare Pages 上。網站沒有表單、沒有 Cookie、沒有分析工具，也沒有嵌入的第三方內容。只有首頁會讀取瀏覽器中設定的語言，以便用其中一種語言開啟，這些資訊不會被保存。Cloudflare 會處理任何網頁伺服器都看得到的技術資料——IP 位址、請求的網址、user agent——以便傳送頁面並保護服務。

還有誰看得到資料

只有上文列出的受託處理者，每一方只負責自己的那一項工作：

• Supabase——託管資料庫和登入服務；
• PowerSync——在資料庫和裝置之間同步；
• OpenAI——把說出的語句、收據照片或付款訊息轉換為草稿和分類，以及在 Topf AI 中回答關於你帳本的問題；
• Amazon Web Services——投遞郵件，並提供資料庫運作的基礎設施；
• RevenueCat——處理 App 內購買以及 Plus 權益的狀態；
• PostHog——App 的使用統計；
• Cloudflare——託管本網站和網域。

對於我們向其傳輸使用者資料的第三方，我們確保其對這些資料提供與本隱私權政策所述及適用於本 App 的資料保護要求相同或同等水準的保護。

資料不會被出售、出租、提供給廣告商，也不會用於訓練任何人的模型。

資料保存多久

帳戶存在多久，就保存多久。刪除帳戶會刪除伺服器上的帳本；已同步到自己裝置上的副本，會在登出或刪除 App 時消失。

在 App 中刪除的交易會立即從帳本和所有合計中消失；刪除後片刻內還可以復原。在伺服器上，它會帶著「已刪除」標記保留，直到刪除帳號為止。

權利

依據 GDPR，享有查閱、更正、刪除、限制處理及資料可攜的權利，以及反對基於正當利益進行處理的權利。

刪除功能內建於 App 中：「設定」→「帳戶」→「刪除帳戶」會刪除伺服器上的資料；如果透過 Apple 登入，也會同時撤銷該授權。其他任何事項，請寄信至 [email protected]。

兒童

Topf 並非以兒童為對象，也不適合未滿 16 歲的人使用。

變更

本政策變更時，頂端的日期也會隨之更新。若變更會實質影響資料的處理方式，將在生效前於 App 內事先告知。