隐私政策

我们不索取、也不处理：姓名、税号、出生日期、地址、电话号码、性别、身份证件。

每次新登录时，我们会记录：

这些数据仅用于账户安全目的（异常访问检测、防滥用）。它们始终被收集，不受第3.5节所述“改进计划”退出选项的影响。

这些数据存放在我们的远程数据库中（Supabase，欧洲服务器），与用户的昵称和电子邮箱相关联。按照设计，这些数据不含真实身份信息，除非用户自行主动填入（例如包含姓氏的账户名称——我们不鼓励此类做法，参见 /privacy-radicale）。

这些文件的内容在发送前会在用户设备上进行端到端加密，密钥在设备上生成，并由文档密码码（不同于账户密码）保护；24个恢复助记词（BIP39 种子）是该密钥的备份副本。未加密的密钥永不离开设备：服务器上只保存其加密后的版本，对于文件内容，我们只能看到一堆数字噪音。不过，为便于搜索和整理，用户与文件关联的信息仍然可读：标题、备注、日期、类型和大小、保修和保单信息，以及与交易的关联。

为改进应用，我们会测量：

这些数据在收集时即经过假名化处理，通常以汇总形式分析（GDPR 第 4 条第 5 款）。数据保留在我们位于欧洲的 Supabase 服务器上：不使用任何第三方服务（Google Analytics、Mixpanel、Amplitude、Sentry、Firebase Analytics 等）。

与账户之间的技术关联仍然必要，并且在数量有限的情况下，我们团队的成员可能会查看与单个账户相关的使用数据。这出于四个目的，均与服务的运行和改进有关：(a) 落实按用户的退出选择（要停止收集你账户的数据，我们必须知道哪些是你的）；(b) 按操作系统衡量覆盖情况（测试者优先级与平台支持）；(c) 回复你的支持请求，此时了解你使用了哪些功能、遇到了哪些错误，往往是理解问题的唯一途径；(d) 诊断只影响少数人的故障，这类故障在汇总数字中天然不可见。

在上述目的之外，我们不会使用这些数据：不做商业画像、不投放广告、不对你作出自动化决定，不向第三方出售或共享。使用数据不会影响你支付的价格或我们向你提供的条件，也不用于构建营销用的行为画像。

你可以随时在应用设置的“改进计划”中关闭收集。

注册之前。 从首次启动到首次登录，应用会以匿名方式统计新安装到达了哪些步骤（打开、欢迎、登录、注册、确认电子邮件）。发送到服务器的只有步骤名称、操作系统和应用版本：没有账户、没有设备标识符，也不保存 IP 地址。数字按天汇总，每个步骤只计一次，并在首次登录时停止统计。这些是无法关联到个人的匿名数据，因此不受改进计划的约束，因为在创建账户之前改进计划并不存在。

仅在你主动选择订阅时才会处理。托管这些信息的第三方服务见 §5（ActiveCampaign）。对于发布候补名单，我们还会在欧洲数据库中保留一行——邮箱、语言和日期——只有一个原因：了解登记的人中有多少随后创建了账户。除此之外没有其他用途，也不做任何画像。除了每封邮件中的退订链接，你也可以写信到 privacy@cashfulness.com 请求删除。

不由 Cashfulness 直接处理。订阅付款通过以下渠道进行：

Apple App Store 和 Google Play 作为名义销售方（merchant of record）运作：它们处理用户的姓名、地址、信用卡、银行账号（IBAN），并按各自的政策及所在国法规负责向最终用户开具发票或财税收据。就这两个渠道而言，Cashfulness 仅收到净收益及一个不透明的订阅标识符（例如 sub_abc123）：我们从不会看到客户姓名、地址、税号、信用卡或银行账号。

在网站上，销售方同样不是我们。对于通过网站购买的订阅，销售方为 Link（Sold through Link, LLC，Stripe 集团旗下公司），其作为名义销售方（merchant of record）运作：收取付款，计算并缴纳客户所在国家的税款，开具收据和发票，并处理退款和争议。Link 和 Stripe 以销售方身份，按照其各自的隐私政策处理这些数据。为计算税款，Stripe 会要求提供姓名和账单地址：Vittorio Giusti srl 可以在 Stripe 后台看到这些信息，以及电子邮箱、卡种及卡号后4位、支付结果和一个客户标识符，但姓名和地址绝不会进入应用的数据库。我们绝不会收到完整的信用卡号或安全数据（CVV）。为将付款与账户关联，Cashfulness 会向 Stripe 发送电子邮箱和用户标识符；收到付款后，我们会保存用户与 Stripe 客户标识符之间的对应关系。

我们在 Stripe 后台看到的网站渠道支付数据，由 Vittorio Giusti srl 出于履行合同的目的处理（GDPR 第6条第1款(b)项），以及为履行与向 Link 开具的月度发票相关的会计义务而处理（GDPR 第6条第1款(c)项）；参见第4节及第7节。

如果你开启推送通知，我们会处理：

令牌和发送队列保留在我们位于欧洲的 Supabase 服务器上。投递经由 Google Firebase Cloud Messaging，在 iPhone 上则经由 Apple Push Notification service：两者都能看到令牌、通知的标题和文本（参见第5节）。在 Mac、Windows 和 Linux 上不存在推送通知：提醒在设备上生成，不会离开应用。

法律依据：履行合同（GDPR 第6条第1款(b)项），因为通知是你通过开启而主动要求的。你可以随时在应用设置或操作系统中关闭；令牌会随账户一起停用并删除。

当你写信到 info@、support@ 或 beta@cashfulness.com，或从应用内发送反馈时，我们会处理你发给我们的内容：消息文本、你的电子邮箱、昵称、平台和应用版本，以及任何附件。我们如何使用这些内容、使用哪些工具，写在第5.1节。

支持请求。 发送到 info@、support@ 和 beta@cashfulness.com 的请求以及从应用内发送的反馈，由我们团队的一名成员阅读。为了对其分类并准备第一版回复草稿，我们使用 Anthropic 的人工智能工具 Claude：请求的文本，以及对于来自应用的反馈，昵称、电子邮箱、平台、应用版本和任何附件，会由 Anthropic 在美国进行处理。我们通过个人订阅使用 Claude，受 Anthropic 面向个人用户的使用条款约束：我们与 Anthropic 之间不存在数据处理协议（DPA），并且我们已在账户设置中关闭了将内容用于训练模型的功能。草稿始终由人工审阅、修改并发送：没有任何回复会自动发出。我们正在将这项处理迁移到 Vittorio Giusti srl 位于意大利的一台服务器上：完成后，Anthropic 将不再收到这些数据，我们也会更新本隐私政策。

应用内助手。 应用中包含一个回答有关 Cashfulness 使用问题的助手，是否可用取决于你的方案。当你向它提问时，模型会收到你的问题、语言、同一对话中最近的消息，以及手册的几段摘录。它不会收到你的会计数据：账户、余额、交易和文件都留在外面。模型在 Vittorio Giusti srl 位于意大利的一台计算机上运行，通过 Tailscale 提供的加密连接访问，该服务无法读取其内容（参见第5节）。问题的文本会按你所写的原样发送：请不要填入你不愿分享的个人数据。对话保存在我们位于欧洲的 Supabase 服务器上，并随账户一起删除。助手提供的是关于应用使用的指引，而非财务、税务或法律建议。

网站聊天。 cashfulness.com 上的聊天窗口没有连接任何人工智能服务，也不会向第三方发送数据。如果我们将其启用，会先更新本隐私政策。

我们不会使用你的数据来训练人工智能模型，无论是我们自己的还是第三方的，也不会向 AI 供应商转让数据集。

用户可通过以下方式行使上述任一权利：

我们将在请求提出后30日内予以答复（对特别复杂的请求，根据 GDPR 第12条第3款，可再延长60日；届时将通知用户）。