碎银是一款家庭共享记账 App。这份隐私政策说明我们收集哪些信息、为什么收集、存在哪里，以及你怎么把它们删掉。
一句话概括：我们只收集记账这件事本身必需的信息，全部存在我们自己的服务器上；没有广告、没有统计分析、没有任何第三方 SDK，不向任何人出售你的数据。唯一交给外部处理的是语音记账那几秒的录音、识别出的那句话，以及你账本的分类名称列表（转完即弃，见第四节）。你记的每一笔账不会离开我们的服务器。
一、我们收集哪些信息
| 类别 | 具体内容 | 为什么需要 |
|---|---|---|
| 账号信息 | 邮箱地址、密码、昵称。使用「通过 Apple 登录」时，是 Apple 提供的用户标识和邮箱（你可以选择隐藏真实邮箱）。 | 用来识别你的身份，让你换手机后还能拿回自己的账本。 |
| 记账数据 | 每一笔的金额、收支方向、分类、备注、发生日期。 | 这就是 App 的功能本身。 |
| 账本信息 | 账本名称、邀请码、你和家人的成员关系。 | 用来把一家人的账归到同一本上。 |
| 按住说话时的录音 | 你按住麦克风那几秒的声音。仅限安卓，详见下面一节。 | 转成文字。转完即弃，不写入数据库。 |
| 语音识别出的文字 | 你说的那句话转成的文字，例如「今天买菜花了四十五块五」。 | 解析出金额、分类和日期，填进待确认的记账界面。 |
关于语音，说明白一点
- iOS 和鸿蒙：录音不离开你的手机。语音转文字用的是系统自带的识别能力（iOS 的语音识别、鸿蒙的 CoreSpeechKit），我们的服务器拿不到音频。系统在设备上识别不了时可能交给它自己的服务完成，那部分适用该系统厂商（Apple、华为）的隐私政策。
- 安卓：录音会经过我们的服务器。安卓上系统自带的识别在国内大量机型上不可用（要么设备根本没有可用的识别服务，要么它需要连接境外服务器），所以按住说话时的音频会通过加密连接发到我们的服务器，再转给火山引擎（北京火山引擎科技有限公司）完成识别。音频只在这一次传输中经过，识别完就丢弃，不写入我们的数据库；火山引擎对该数据的处理适用其自身的隐私条款。
只有你按住麦克风的那几秒才会录音——App 不会在后台监听。 - 识别出来的文字会上传到我们的服务器解析成金额、分类和日期，解析完立即返回结果，不写入数据库、不留存。绝大多数句子由服务器上的规则直接解析完成；只有规则认不出来的那些（比如没提取到金额、或者归不了类），才会再交给火山引擎的豆包大模型补一次，同样不留存。走到这一步时会连同你账本的分类名称列表一起发过去——不给模型这份清单它就没法归类，详见第四节。
- 最终只有你确认保存的那笔账会被存下来。你没有确认的，什么都不会留下。
二、我们不收集哪些信息
以下这些我们既不收集也不请求权限：
- 位置信息
- 通讯录、相册、日历
- 广告标识符（IDFA）、设备指纹
- 你在其他 App 或网站上的行为
App 内没有集成任何第三方 SDK——没有统计分析、没有崩溃上报、没有广告、没有推送服务。这不是承诺，是可以从行为上验证的：App 除了我们自己的服务器（suiyin.sikkau.com）和手机系统自带的服务（Apple、华为等）之外，不会向任何其他地址发起网络请求——语音识别也是发到我们自己的服务器，由服务器再转出去，App 本身不直连任何第三方。
三、信息存在哪里、怎么保护
- 数据存放在我们租用的云服务器上，位于中国境内。
- 手机和服务器之间的通信全程使用 HTTPS 加密。
- 密码不以明文保存，只保存经过 bcrypt 加盐哈希后的结果，我们无法还原出你的密码。
- 登录凭证保存在你手机的钥匙串（Keychain）里。
- 记账数据同时保存在你手机本地，所以断网也能记账；联网后自动同步。
关于服务器运行日志
服务器会记录运行日志，用来排查故障。日志里记的是出错时的信息，不是你的账目：
- 正常记账、正常语音识别不会在日志里留下你说的话或你记的账。
- 唯一的例外：语音解析交给大模型、而模型返回的内容格式不对时，我们会把模型返回的那段回答截前 200 个字符记下来，否则这种问题无从查起。它是模型的输出而不是你的原话，但可能间接反映出那一笔账的内容。
- 日志滚动覆盖，每个服务最多留 30 MB（10 MB 一份、保留 3 份），写满就把最旧的冲掉，不长期保留，也不用于分析你的消费行为。
四、我们不会出售你的数据
我们不会向任何第三方出售、出租或交易你的个人信息。唯一会看到你记账数据的其他人，是你自己邀请加入同一个账本的家人——这是共享账本的设计本意。拿到邀请码的人能看到该账本内的全部账目，所以请只把邀请码发给你信任的人；邀请码可以随时更换，旧码立即失效。
唯一的委托处理方：火山引擎
为了让语音记账在国内的安卓手机上能用，我们委托北京火山引擎科技有限公司处理下面这些数据，仅限语音记账这一个功能：
- 按住说话时的录音（仅安卓）——用于转成文字；
- 识别出来的那句话——仅当服务器上的规则解析不出来时（没认出金额，或者归不了类），才交给豆包大模型补一次。绝大多数句子走不到这一步。
- 你账本里的分类名称列表——只在上一条发生时一并送出，包含你自建的分类名（比如「宠物」「房贷」）。不给模型这份清单，它就没有分类可选，只能一律归到「其他」。送出的只有分类的名字，不含任何金额和账目。
这些数据都是转完即弃的：我们不写入数据库，也不用于任何其他用途。
不会提供给火山引擎的：你记的每一笔账（金额、备注、日期）、邮箱、密码、昵称、账本名称和邀请码，以及你的家人信息。
这部分数据的处理同时适用火山引擎自身的隐私条款。
法律法规明确要求时，我们会依法配合提供必要信息。
五、你的权利
查看和修改
你的全部记账数据在 App 内随时可查、可改、可删。昵称和账本名称在「设置」里可以修改。
导出
「设置 → 数据 → 导出数据」可以把全部已同步的账目导出为 CSV 文件，你可以自行保存或转到别处使用。
退出账本
「设置 → 家庭账本 → 退出账本」只把你从这个账本里移出，账号仍然保留。你之前记的账会留在原账本里，家人照样看得见。拿同一张邀请码可以回去。
注销账号
「设置 → 账号 → 注销账号」可以直接在 App 内删除账号，不需要联系我们、不需要填表。注销后：
- 你的邮箱、密码、Apple 登录标识、昵称会被立即抹除，无法恢复。你的邮箱会被释放出来，将来还可以用它重新注册。
- 本机上的所有数据会被清空。
- 你此前记在共享账本里的账目会保留，但会与你解除关联，显示为「已注销成员」。这是因为那些账是「这个家花了多少钱」的一部分，删掉会让你家人的历史账目和统计凭空缺一块。如果你希望连这些账目一并删除，请在注销之前在 App 内自行删除它们，或通过下方邮箱联系我们协助处理。
六、未成年人
碎银不面向 14 周岁以下的儿童。我们不会有意收集儿童的个人信息。如果你认为我们无意中收集了，请联系我们，我们会尽快删除。
七、政策更新
如果这份政策有实质性变化，我们会更新本页顶部的「最近更新」日期，并在 App 内以显著方式告知你。
八、联系我们
对这份政策有任何疑问，或想要行使上述任何权利，请发邮件到：benjiaozhou@gmail.com。我们通常在 3 个工作日内回复。