隐私政策

谁负责

Olstad Digital（注册号 938 090 432，Selma Ellefsens vei 3H, 0581 Oslo, 挪威）是此处所述处理活动的负责方。联系方式：kontakt@nordicdigitalapp.no。

简而言之

• 你的预算保存在手机上。没有账户时我们无法看到。
• 账户是可选的（Apple、Google、Facebook 或电子邮件）。有账户和 Pro 时，预算会同步到我们位于欧盟（爱尔兰）的服务器，便于在多台设备上使用。
• 没有银行连接。
• 来自银行的 CSV 和 Excel 文件只在你的手机上读取。文件本身绝不会被保存、复制或发送。
• 只有在你使用 Pro 同步时，应用才会把预算发送到我们的服务器；只有在你同意后，才会发送用于 AI 读取的图片。如果你在手机上开启了备份，Apple（iCloud）或 Google（你的 Google 账号）会把应用的数据包含在备份中。
• 崩溃报告不包含姓名、电子邮件、账户或 IP 地址。
• 你可以在应用中免费导出和删除所有内容。

保存在你手机上的内容

应用将以下内容保存在手机上自己的存储空间中。这些内容不会发送给我们，并会在你在应用中删除所有数据或卸载应用时被删除：

• 你创建的账户（你取的名称、余额和币种；不是银行账户）。
• 你的明细：日期、金额、币种、分类、商户和可选备注。
• 固定项目、储蓄目标、自定义分类，以及为每个商户记住的分类。
• 设置：发薪日、月度预算、语言和币种，以及你是否允许 AI 读取。
• 一个随机设备 ID。它只会以单向代码的形式离开手机，用于统计 AI 读取次数（见下文）。
• 登录后：你的登录信息，保存在手机的安全存储中（iPhone 上的钥匙串、Android Keystore）。它绝不会被包含在备份中。
• 导入后你选择保留的图片。

付款参考号绝不会被保存，完整的账号也不会。应用可能会保存账号的后四位，用来识别账户。

手机备份

如果开启了备份，手机会把应用的数据包含在备份中：在 Android 上是你 Google 账号中的备份，在 iPhone 上是 iCloud。这样，换到新手机时预算也会恢复。备份由 Apple 和 Google 按各自的条款保存，你可以在手机设置中开启或关闭。

登录信息和安全存储中的内容绝不会被包含在备份中，因此在新手机上需要重新登录。

导入 CSV 和 Excel 文件

当你从银行导入 CSV 或 Excel 文件时，文件只在你的手机上读取。文件本身绝不会被保存、复制或发送，既不会发到服务器，也不会发给 AI。

文件中只保存日期（文件中有记账日期时也保存记账日期）、说明、金额、商户、用于核对账户的银行余额，以及用于识别账户的账号后四位。付款参考号、其他参考号和文件中的其他列都不会保存。

银行尚未入账的交易会作为普通交易保存，并立即计入。如果之后从银行导入的数据中没有这笔交易，应用会询问你是否要删除它。它绝不会被自动删除。

应用会记住文件中各列的排列方式（不含内容），让下次导入更快。当你使用 Pro 登录时，这会与你的其他设置一起同步。

AI 读取只用于图片和 PDF，并且只在你同意后使用。

用 AI 读取对账单、收据和账单（可选）

当你导入对账单的截图或照片，或扫描收据、账单时，可以让 AI 读取。应用会先征求你的许可，你也可以随时在导入页面关闭。没有许可时，一切都在手机上读取，不会发送任何内容。

获得许可后，图片、今天的日期、币种、你所在的国家、应用的分类（以代码形式）以及该账户的列标题（仅标题，不含内容）会通过我们在 Supabase（爱尔兰）上的服务器发送给 Anthropic（美国），由其 AI 模型（Claude）读取各条明细并返回。请求会经过离你最近的 Supabase 服务器；我们和 Supabase 都不会保存图片或明细。Anthropic 不会使用通过其 API 发送的数据训练模型，并会在 30 天内删除（privacy.claude.com）。

为了让服务保持在限额内，我们的服务器会按设备和日期统计 AI 读取次数。手机只发送由随机设备 ID 生成的单向代码，服务器在保存前会再用密钥从中生成新的代码，因此该计数无法与你或你的账户关联。只保存代码、日期和次数，计数会在 30 天后自动删除。

仅限免费版：为执行 AI 扫描上限，手机会发送由手机 ID 生成的单向代码，绝不发送 ID 本身。服务器再用密钥从中生成新的代码，并只保存该代码、月份、是否为测试版本以及次数。哈希设备 ID 仅用于统计免费 AI 扫描，不用于跟踪，统计会在 13 个月后自动删除。使用 Pro 时不会发送手机 ID。

扫描收据和账单

当你扫描收据或账单时，图片会在手机上读取，或在你同意后由 AI 读取（见上文）。图片读取后会立即删除，即使你取消或出现错误也一样。图片中只保存商店、日期、金额和分类。付款参考号和账号绝不会被保存。

崩溃报告

当应用崩溃或出错时，会向 Sentry（欧盟，德国）发送报告：出了什么问题、发生在应用的哪里、出错前刚发生了什么（不含预算内容）、应用版本，以及手机型号和系统版本。Sentry 不保存 IP 地址，报告中也不包含姓名、电子邮件或账户。报告最多保存 90 天，仅用于修复错误。

应用更新

应用每次启动时，都会向提供更新的服务 Expo（美国）查询是否有新的更新。此时 Expo 会获得 IP 地址、平台（iOS 或 Android）、应用版本和一个代表此次安装的随机 ID——不含任何关于你或你预算的信息。

购买 Pro

Pro 在 App Store 或 Google Play 购买。付款由 Apple 或 Google 按其各自的隐私政策处理，我们从不会看到你的卡信息。

RevenueCat（美国）记录你是否拥有 Pro。应用每次启动时都会联系 RevenueCat（免费版也是如此），使用 RevenueCat 生成的匿名客户 ID，或在你登录时使用你的账户 ID，使 Pro 跟随你的账户。RevenueCat 会获得来自商店的购买和收据、平台以及应用版本。在测试版本中以及进行测试购买时，客户会被标记为测试。即使你删除账户，购买记录仍会保留在商店和 RevenueCat，因此你的购买不会丢失。

关于 Pro 订阅仍在生效的通知

如果你有按月或按年续订的 Pro 订阅，应用至少每六个月会显示一次通知，告诉你订阅仍在生效、费用多少以及如何取消。如果你已登录，还会通过电子邮件收到通知。挪威法律（digitalytelsesloven 第 33 条）要求发出此通知，我们会记录每一次通知，以便证明已经告知。记录包含：

• 用密钥生成的你的 RevenueCat 客户代码，以及商店的购买 ID。
• 商店、产品和方案（按月或按年）。
• 通知所对应的日期、通知显示和关闭的时间（附手机的时区），以及你是否点按了“管理订阅”。
• 渠道（应用内、手机上预约的通知、推送通知或电子邮件）、语言、价格和币种，以及你收到的文本版本（附文本的代码）。
• 电子邮件：发送时间以及 Resend 的邮件 ID。

记录中绝不包含你的姓名、电子邮件地址或账户 ID。为了能发送电子邮件，我们会单独保存账户 ID 和下一次通知的日期；你删除账户时它们会被删除。

如果你已登录并在手机上允许了应用的通知，这条通知也可能以推送通知的形式送达。此时我们会保存手机的推送令牌（Apple 或 Google 用来把通知送到这台手机的地址），并与你的账户 ID 关联，仅用于发送这条通知。通知通过 Expo（美国）发送，再由 Expo 转交给 Apple Push Notification service（iPhone）或 Google Firebase Cloud Messaging（Android）。通知只包含有关订阅的文字，不包含你的预算内容。在你退出登录、删除账户或关闭通知时（届时应用会将其删除），以及 Apple 或 Google 告知令牌已失效时，令牌会被删除。你可以在手机设置中关闭应用的通知。

发送通知并保存推送令牌的依据是法定义务（第 6 条第 1 款 (c) 项）：法律要求我们告知仍在生效的订阅（挪威的 digitalytelsesloven 第 33 条，以及其他国家的类似规定）。是否允许应用发送推送通知，由你在手机设置中自行选择。没有推送时，你会在应用内收到通知；如果已登录，还会通过电子邮件收到。

记录在订阅最后一个有效日之后保存 3 年；即使你删除账户也会保留，但届时不再包含任何能将其与你关联的信息。依据是我们能够证明已提供法律所要求信息的正当利益（第 6 条第 1 款 (f) 项）。

可选账户与同步（Pro）

你可以用 Apple、Google、Facebook（Meta）或电子邮件登录。登录由 Supabase 在位于爱尔兰的服务器上处理。届时我们会保存你的电子邮件地址、账户 ID、提供方共享时的姓名、应用语言，以及测试版本中的测试标记。使用 Apple 时你可以隐藏邮箱地址，此时我们只能看到 Apple 的中转地址。

使用 Pro 时，预算会同步到你的账户：账户、明细、固定项目、预算、储蓄目标、自定义分类、应用记住的商户，以及随你同步的设置（发薪日、工资、预算）。每次更改都会记录时间和设备。数据在传输和存储时均已加密，且只有你的账户能读取。

登录验证码和链接通过 Resend（美国）以电子邮件发送，包含你的地址和语言。链接会打开托管在 Vercel 上的我们的网站，再将你转到应用。为确保每封邮件只发送一次，我们的服务器仅保留消息 ID、类型和状态 7 天，从不保留地址。

你可以随时退出登录，数据会保留在手机上。“删除账户”会删除账户以及我们服务器上与之一同保存的所有数据。会保留的内容：商店和 RevenueCat 的购买记录、不含姓名或账户的计数（分别在 30 天和 13 个月后删除），以及各服务按其条款保留的自身日志。

小组件和提醒

小组件显示来自手机上数据的数字，固定项目的提醒在手机上设置。两者都不会发送任何内容。

我们与谁共享数据

• Supabase（爱尔兰，欧盟）：登录、Pro 同步，以及 AI 读取的服务器和计数。
• Anthropic（美国）：AI 读取，仅在你允许时。
• Resend（美国）：包含登录验证码和链接的电子邮件。
• RevenueCat（美国）：Pro 状态和购买。
• Sentry（欧盟，德国）：崩溃报告，不含 IP 地址。
• Expo（美国）：应用更新，以及转发有关订阅的推送通知。
• Vercel（美国）：我们的网站，包括登录链接打开的页面。
• Apple、Google 和 Meta：App Store、Google Play、你选择时通过它们登录、手机备份，以及推送通知的投递（Apple Push Notification service 和 Google Firebase Cloud Messaging）。
• 汇率：我们的服务器从 Frankfurter 和 ExchangeRate-API 获取汇率。不会向它们发送任何关于你的数据。

当数据传往美国时，提供方使用欧盟标准合同条款或 EU–US Data Privacy Framework。我们从不出售数据，应用没有广告和跟踪。

法律依据

• 为提供你使用的应用（GDPR 第 6 条第 1 款 (b) 项）：账户和同步（Supabase）、使用 Apple、Google、Facebook 或电子邮件登录（Resend），以及购买 Pro（App Store、Google Play 和 RevenueCat）。
• 你对 AI 读取的同意（第 6 条第 1 款 (a) 项），数据经由 Supabase 发送给 Anthropic。你可以随时撤回。
• 我们在修复错误（Sentry）、提供应用更新（Expo）、让服务保持在限额内（计数）以及运营网站（Vercel）方面的正当利益（第 6 条第 1 款 (f) 项）。

数据保存多久

• 在手机上：直到你在应用中删除或卸载应用。
• 你的账户和同步数据：直到你在应用中删除账户。
• 用于 AI 读取的图片：我们不保存。在 Anthropic：30 天内删除，被标记为滥用的请求除外（privacy.claude.com）。
• 你导入的 CSV 和 Excel 文件：不保存。只保留你保存的记录和文件各列的排列方式。
• AI 读取计数（单向代码、日期和次数）：30 天。
• 免费 AI 扫描计数（哈希设备 ID、月份和次数）：13 个月。
• 登录邮件日志（不含地址）：7 天。
• 用于订阅通知的推送令牌：保存到你退出登录、删除账户或关闭通知为止。
• 崩溃报告：最多 90 天。
• Resend 上的登录邮件：30 天（resend.com）。Supabase 自身的日志和备份：最多 7 天（supabase.com）。RevenueCat（revenuecat.com）、Expo（expo.dev）和 Vercel（vercel.com）：按其条款，条款中未规定固定期限。
• 手机备份：保存在 Apple 或 Google，按其条款，直到你删除为止。

你的权利

你可以在应用中查看、更正和导出所有数据（我 → 导出数据，所有人免费），也可以删除数据（我 → 删除这部手机上的所有数据）。你可以随时反对处理，并撤回对 AI 读取的同意。

如有疑问，请写信至 kontakt@nordicdigitalapp.no。监管机构是挪威数据保护机构（Datatilsynet），你可以向其投诉。如果你居住在欧盟/欧洲经济区，也可以向你本国的数据保护机构投诉。

儿童

Saldo Pocket 不是为 13 岁以下儿童设计的，我们不会有意处理他们的数据。

变更

如果我们修改本政策，会更新此页面和顶部的日期。如果变更影响你的数据的使用方式，我们会在应用中告诉你。