隐私政策

01 /适用范围与运营者

本政策适用于由 许宇航 运营的“薯条记账”iOS App、配对 Apple Watch App、相关账户与识别服务，以及本官方网站。隐私联系邮箱：xyh36153615@gmail.com。

本政策中的“本机”包括 App 在当前设备上的存储，以及为桌面组件、快捷指令使用的本机共享区域；不表示数据绝不会通过你主动选择的导出、备份或系统服务离开设备。Apple 等独立提供的系统服务同时适用其自身隐私说明。

02 /本地记账与个人资料

你创建的账本、金额、收支类型、分类、时间、备注、商户、支付方式、预算、固定支出，以及选取的凭据图片、手记照片、心情、头像和昵称，用于提供记账、统计、查看、编辑及备份功能，主要保存在本机。我们不将你的完整历史账本或原始图片上传到薯条服务器，不提供账本云同步。

搜索记录和偏好用于本地界面体验。应用锁密码和会话等敏感凭据使用系统钥匙串等受保护存储。启用 Face ID 或设备认证时，App 只接收系统认证结果，无法取得面容或指纹模板。

手动记账及其他不依赖网络的本地功能无需 Apple 登录。你可在 App 内修改或删除记录。卸载 App 可能使未备份的本地内容无法恢复；系统备份的范围由你的设备与 Apple 设置决定。

03 /Apple 登录与账户服务

主动登录时，App 将 Apple 身份令牌、一次性授权码及登录挑战信息经 HTTPS 发送至薯条账户服务，与 Apple 校验身份并建立会话。服务端保存 Apple 用户标识的加密摘要映射、随机账户标识、注册和登录时间、账户状态、会话及必要安全事件，以维持登录、控制访问和防止重放或滥用。

Apple 返回的姓名可用于本机默认昵称；服务端不单独保存姓名或邮箱作为用户资料。服务端业务令牌以摘要保存，必要的 Apple 刷新凭据加密保存；本机会话保存在钥匙串。已有登录状态会在需要时验证或刷新。

登录不会上传或同步账本；退出会保留本机账务、头像和昵称。注销入口及清理范围见下方“你的权利与账户注销”。

04 /图片文字识别与敏感信息

在你明确开启“允许云端图片识别”后，当你选择图片识别或主动运行相关快捷指令时，Apple Vision 先在设备上识别文字。App 经账户鉴权将读取的文字、币种和时区发送至薯条服务端，再调用阿里云百炼进行交易结构化解析。资产页“图片记账自动关联账户”默认关闭。你另行开启后，每次识别还会发送匹配所需的账户候选编号、名称、类型、银行、尾四位和币种，供百炼从候选中选择；候选资料不含账户余额、完整卡号或历史流水。图片文字中已有的金额、账户或其他信息仍会随识别文字发送，请在选择前检查。你可以随时关闭该选项，关闭后不再发送候选账户资料。服务端也处理随机请求标识、时间、状态和用量，以避免重复执行并支持任务恢复。照片原图、其他历史账本、头像和本机锁定密码不随识别请求上传。

云端返回金额、分类、商户等解析结果。结果可能有误，应以你的实际交易为准；是否自动入账按 App 内所选方式执行。你可在设置 → 安全与隐私关闭“允许云端图片识别”，此后不再发起新的云端识别请求；已发送的任务可能已开始处理。手动记账、Apple 登录和会员管理不依赖此授权。使用本地手动记账可以避免该识别资料上传。停止或取消任务会尽力终止后续处理，但已发送给服务商的请求可能已开始执行。

对含敏感信息的文字进行解析，目的仅为完成你选择的记账识别；传输或识别错误可能影响信息保密性或记账准确性。请在提交前确认图片范围。具体服务方与数据范围见第三方服务说明。

05 /手机语音与手表录音接力

手机语音首次使用时会单独说明文字发送范围，并按需请求麦克风及语音识别权限。录音在 iPhone 上通过 Apple Speech 的中文端侧识别转成文字；当前流程不将手机录音上传至薯条服务器。你同意后，转写文字、录音时间、时区、币种和任务标识经薯条服务交给阿里云百炼解析。文字可能包含金额、商家、姓名或其他你口述的信息，请勿录入无关的个人信息。

当前手表接力流程会另行征求同意：录音先保存在手表，通过 Apple WatchConnectivity 传到配对 iPhone，在手机前台且账本解锁时转写和处理。手机持久保存并回执后，手表清理已交接录音；手机已完成入账或明确丢弃的记录会清理对应音频，失败或待核对录音保留供重试、播放和手动补录。手机直接录音在本次处理结束后清理临时音频。传输中断时不代表已经入账，请查看手机语音记录。

旧版手表或旧草稿仍可能使用此前另行授权的音频解析路径：短录音经 HTTPS 发给薯条服务，由阿里云百炼 qwen3-asr-flash 转写后再解析文字。该音频输入加密暂存，派发处理时清除服务端输入；不是当前手机端侧转写的自动降级方式。

可在“设置 → 安全与隐私”关闭手机语音文字授权，在系统设置管理麦克风及语音识别权限；手表接力授权与手机语音授权分别管理。关闭授权不撤回已经送达服务商的请求，不删除已保存账单。端侧转写不可用时可重试或手动填写，不会悄悄切为上传手机录音。

06 /表格账单与 AI 辅助导入

已识别的 CSV/XLSX 账单格式在本机读取，不需要 Apple 登录或联网。对可读取但未知的格式，App 会展示用途和首轮脱敏样本；只有你选择“同意并开始解析”后，才将必要的脱敏表头、工作表结构、代表性单元格、类型与状态以及日期、金额和币种格式证据交给薯条服务和阿里云百炼。文件摘要和随机任务标识用于恢复同一任务；原始文件和完整账本不会上传。

金额、日期和交易类型等格式证据仍可能涉及财务信息；脱敏不等于完全匿名。原始商家、备注和不确定的敏感字段在采样中遮蔽，不向模型发送完整原始表格。模型只返回列关系和解析规则，App 在本机核对整份文件后显示预览；需要时最多补充一次必要的脱敏样本。未解决的问题会阻止保存，不会通过猜测金额强行导入。

你可在授权前取消，在等待时暂停或离开页面，在预览时取消保存。暂停不会撤回已经处理的请求；重新打开同一文件可继续原任务。只有确认保存才新增账本并保留已有记录。已发送的样本与规则按下方期限处理，需要清理服务端记录可通过账户注销或支持邮箱提出。

07 /系统权限与设备能力

相机、位置、麦克风、语音识别、通知及系统认证按功能需要请求，由 iOS 提供授权或设置管理。拒绝非必要权限，不影响手动记账。

• 相机：你主动拍摄小票或手记照片时使用，拒绝后仍可选取已有照片或手动输入。
• 照片：通过系统照片选择器读取你确认选择的图片，不要求完整照片图库访问。你选择“图片识别”后，图片文字会按上文流程解析。
• 位置：授权后用于首页和新增账单的位置、地图选点、地址解析或前台到家检测。位置可保存在本机账单；Apple 地图或地址解析可能联网。不进行持续后台位置追踪，可关闭位置或手动填写。
• 麦克风与语音识别：用于你主动发起的语音记账和手机端侧转写。拒绝后仍能手动填写；权限由对应设备的系统设置管理。
• 通知：用于每日记账、预算或固定支出等本地提醒，可在系统设置中关闭。
• 设备认证：用于解锁、重设应用锁或你启用的快捷操作认证，仅取得认证结果。

完整信息种类、触发条件和关闭路径见个人信息与权限清单。

08 /保存地点、期限与安全

本地账务随你的使用保存在设备，直到你删除相关内容、删除 App 或按系统规则清理。导出到“文件”或其他服务的副本由你管理。App 导出的备份文件未加密，可能包含账单和图片，请妥善保存，避免公开分享。

薯条账户与识别服务部署在中国内地的阿里云杭州服务器，使用 HTTPS 传输，必要凭据、排队识别文字及待领取结果加密保存，并采用访问控制与脱敏日志。

• 识别文字：识别文字及可选账户候选在异步排队时加密暂存；任务完成、失败或取消处理后清除输入正文，未完成任务最长按 7 天过期处理。
• 识别结果：未确认领取的成功结果最长保留 7 天；App 确认后清除结果正文。请求状态、幂等和用量相关元数据通常保留 30 天。累计用量按账户存续及防滥用所需处理。
• 语音与表格导入：语音文字以及兼容旧版的音频输入在排队时加密暂存，派发时清除；语音结果领取确认后清除正文，未领取最长保留7天。AI 导入样本派发时清除，解析规则最长保留7天；文件摘要、两次尝试槽位、状态和用量记录为防重复与限制尝试次数随账户保留，注销后随账户清理。此类导入元数据不适用图片任务通常30天的期限。
• 账户与会话：账户信息在提供服务期间保存，会话到期或撤销后按清理机制处理。账户安全事件通常保留 30 天。
• 注销记录：立即撤销服务端会话并清除相关识别正文；去标识化的账户映射与防滥用标记保留 30 天后清理。去标识化不等于完全匿名化。
• 会员与内购：保存商品、交易编号、账户关联标识、购买及到期时间、退款状态，用于校验、恢复、对账与争议处理，不接收银行卡信息。交易记录在对应订阅周期结束后保留3年，通知去重记录保留30天。首次赠送的去标识化领取标记在活动持续期间保留，避免注销后重复领取；可联系支持邮箱核查。此类必要记录不随账户注销立即删除。注销不会取消Apple自动续订。
• 运维副本：服务器加密备份按 7 天轮换，运行日志按最长 14 天轮换；另有受控的隔离灾备副本，仅用于故障恢复。备份中的历史数据可能在轮换或清理前保留，相关删除请求可通过联系邮箱提出。

Apple 登录、地图和系统服务可能涉及 Apple 的全球基础设施，其处理规则请查阅 Apple 隐私政策。阿里云百炼对推理数据的处理受其服务协议及隐私说明约束。我们不以此承诺所有第三方系统与服务均在设备内或单一地区运行。

09 /第三方、共享与网站访问

当前版本未集成第三方广告、用户行为分析或跨 App 追踪 SDK，不售卖个人信息，不以你的账务用于定向广告。使用的 Apple 系统能力、阿里云基础设施及百炼服务详见第三方服务说明。受托服务仅用于对应功能，不能因提供服务获得你完整历史账本的访问权。

除你主动请求的服务、必要的受托处理、适用法律要求或保障生命财产安全等合法情形外，我们不会擅自向其他主体提供你的个人信息。处理目的、方式或范围发生需要重新授权的变化时，将依法另行告知并取得必要授权。

本官网为静态展示和说明页面，不设置登录、不使用分析或广告脚本，网站自身代码不主动写入 Cookie 或浏览器本地存储。网页由 Cloudflare Pages 托管并通过其全球网络交付；访问时 Cloudflare 会处理 IP 地址、请求路径、时间及浏览器等网络请求信息，用于提供页面、性能与安全防护，可能在中国内地以外处理。这些网络数据的保存与处理适用 Cloudflare 的服务条款及隐私政策，我们不承诺其平台不留存日志。此静态站不接收 App 账户令牌、记账资料或识别请求。详情见网站托管说明；点击外部链接后适用目标网站的规则。

10 /你的权利与账户注销

• 查看、更正与删除：在 App 中管理本地账单、照片、账本与资料；服务端账户相关查询、更正或删除请求可发送至隐私联系邮箱。
• 导出：在“设置 → 导出数据”生成可阅读的文件，在“设置 → 备份与恢复”保存完整备份。导出的副本需要由你自行删除。
• 撤回授权：在 iOS 设置中关闭相机、位置、通知等权限；在“设置 → 安全与隐私”关闭对应的图片识别或手机语音授权，或停止使用并退出账户后，不再发起新的需登录识别请求；表格导入可在每次采样授权前取消。撤回不影响撤回前依法进行的处理。
• 注销账户：已登录状态下进入“设置 → 账户与会员 → 注销账户”，重新验证 Apple 并确认后，删除服务端账户及会话，按上述期限清理剩余记录。注销不会删除本机账本、照片、头像和昵称，也不会替你删除导出备份。本机内容可继续离线使用，并由你另行删除。

如无法在 App 中完成操作，或需行使访问、复制、限制处理等适用权利，请联系 xyh36153615@gmail.com，说明请求类型和必要的账户识别线索。我们会在核实身份后尽快处理；请勿在首次邮件中发送密码、验证码、完整账单或身份证照片。依法不能立即满足请求时，会说明原因和处理方式。

11 /未成年人保护

薯条记账面向日常记账用户，并非专门为儿童设计。未成年人应在监护人指导下使用；不满十四周岁的儿童在提交个人信息或使用联网识别前，应由监护人阅读并同意相关处理。如监护人发现未经授权的儿童信息处理，可通过本政策邮箱联系我们核实、限制或删除。

12 /政策更新与联系我们

我们会在本页面标明更新日期。对于处理目的、信息类型、服务方或权利方式等重要变化，会通过 App 内说明等适当方式另行告知；依法需要重新征得同意的，不以仅更新页面代替授权。

运营者：许宇航
隐私与支持邮箱：xyh36153615@gmail.com
请在邮件主题中注明“薯条记账隐私请求”，便于识别和跟进。