Amunta 隐私政策
一个旨在保护您财务生活隐私的个人财务账本。
摘要
Amunta 是由 Pixun.dev 开发的个人财务账本。它的设计旨在最大限度地减少集中式数据收集，让用户完全掌控自己的记录。
- 使用 Amunta 无需注册账户。
- 除非您选择导出、分享或同步，否则您的交易、发票、债务、预算、联系人、收据照片、设置和备份 都存储在您的设备本地。
- 跨设备同步是可选的，默认关闭。
- 启用同步后，消息采用端到端加密。我们的中继服务器无法读取您的 财务内容。
- 使用应用时，我们不会索取您的姓名、电话号码、电子邮件地址、精确位置或支付信息。
- 我们不会出售个人数据、展示广告或使用广告追踪器。
1. 我们是谁
Amunta 由 Pixun.dev 开发和维护。
- 电子邮件：developer@pixun.dev
- 网站：amunta.pixun.dev
2. 最低年龄
作为一般内容年龄分级，Amunta 适合 9 岁及以上 的用户。它是一款 个人财务实用工具，并非专为儿童设计、推广或提交。
13 岁以下的用户应仅在父母或监护人陪同下使用本应用。Amunta 不包含广告、公开的 社交功能、开放聊天、公开用户生成内容或行为追踪。
3. 我们处理的数据
3.1 保留在您设备上的内容
您在 Amunta 中输入的所有内容都存储在您的设备本地：
- 交易、支出、收入、债务和发票——包含所有金额、备注和日期。
- 预算、类别、余额和应用设置。
- 您从通讯录中为交易记录选择的联系人。
- 您附加的收据或发票照片。
- 如果您设置了 PIN 码，它会以受保护的本地形式存储。
- 您创建的加密备份文件。
除非您使用明确移动数据的可选功能（如云备份或同步），否则这些内容都不会到达我们的服务器。
3.2 可选：Google Drive 备份
当您启用 Google Drive 备份时，您的数据会发送到您自己的 Google 账户——而非我们的服务器。具体来说：
- 备份文件在上传前会在您的设备上加密。我们不持有加密密钥。
- 该文件会存放在您 Drive 中一个私有的应用文件夹里，对您不可见，其他任何应用都无法访问。
- 收据照片可选择性地同步到该隐藏文件夹内的一个私有子文件夹中。
- 我们仅使用 Google 登录来获取 Drive 访问权限。我们从不查看或存储您的 Google 账户密码或个人资料。
您的 Google 账户数据受 Google 隐私政策 约束。
3.3 可选：跨设备同步
当您关联两台设备时，我们的中继服务器充当安全信箱：它仅在需要将加密消息传递到您的另一台设备的时间内保留这些消息，然后将其删除。它无法读取内容。
为使其正常工作，中继服务器会为每台设备存储一条小型路由记录：
| 存储的内容 | 原因 |
|---|---|
| 服务器分配的随机设备 ID | 标识哪台设备应接收每条消息 |
| 公钥 | 让另一台设备能够密封消息，使只有您能打开 |
| 您选择的货币代码 | 仅用于路由 |
| 最后活动时间戳 | 让我们能够清理 12 个月未活动的记录 |
您的姓名、电子邮件、电话号码、财务记录和联系人永远不会成为此路由数据的一部分。传输中的消息采用端到端加密，并在送达后删除（如未送达则在 3 天后删除）。
3.4 匿名应用诊断
为了帮助我们修复错误并了解需要支持哪些设备和功能，应用会自动向我们的服务器发送少量非个人技术信息。您的任何财务数据、联系人或照片都不会成为其中的一部分。
| 发送的内容 | 何时发送 | 是否包含财务数据？ | 是否与您的身份关联？ |
|---|---|---|---|
| 设备型号、操作系统版本、应用版本、语言、货币代码 | 首次启动时及大约每 30 天一次 | 否 | 否——合并为匿名指纹 |
| 功能使用计数器（例如创建的交易数量、备份是否开启） | 每天一次 | 否——仅计数，不含金额或描述 | 否——绑定到随机本地 ID，而非您本人 |
| 应用崩溃或遇到错误时的错误类型和堆栈跟踪 | 发生错误时 | 否——仅代码路径，非您的记录 | 否——仅包含上述相同的匿名设备信息 |
可以将其视为您的电视或浏览器在检查更新时发送的那类信息——它告诉我们实际使用中存在哪些硬件和版本，仅此而已。
3.5 您选择发送的反馈
如果您使用应用内反馈表单，仅发送您输入的内容——消息文本、类别（如"建议"）和平台（Android/iOS）。不附加姓名、账户或联系方式。请不要在反馈消息中包含个人或财务信息。提交次数限制为每周 10 次。
当您在产品目录中合并两个产品名称（将一个标记为另一个的别名）时，应用会将别名和您选择的货币代码发送到我们的服务器，以降低该名称在共享建议列表中的显著性。不包含价格、数量、交易记录或身份信息。
4. 权限
| 权限 | 用途 | 是否可选？ |
|---|---|---|
| 网络及网络状态 | 同步中继通信和诊断报告。检查网络状态以便在设备离线时推迟同步。 | 应用可离线使用，但在线功能需要此权限。 |
| 联系人 | 让您在创建交易时选择联系人。 | 是。 |
| 相机 | 扫描设备关联的二维码并拍摄收据照片。 | 是。 |
| 照片或媒体库 | 让您附加现有的收据或发票图片。 | 是。 |
| Google 账户（Drive 权限范围） | 将加密备份和附件照片上传到您的私有 Drive 应用文件夹。 | 是——仅当您启用 Google Drive 备份时。 |
我们不请求麦克风、精确位置、健康、日历或类似的无关敏感权限。
5. 安全
- 服务器通信使用 HTTPS。
- 同步消息在到达我们的中继服务器之前采用端到端加密。
- 数字签名有助于检测伪造或被篡改的消息。
- 可选的 PIN 保护可限制本地应用访问。
- 手动备份文件使用您选择的密码加密。
没有任何系统能保证绝对安全。请保护好您的设备、PIN 码和备份密码。
6. 第三方
我们在 pixun.dev 运营自己的中继服务器。该服务器接收同步路由记录（第 3.3 节）、匿名应用诊断数据（第 3.4 节）以及用户提交的反馈（第 3.5 节）。它不接收财务内容或个人身份信息。
我们使用托管基础设施来运行此服务器。托管方无法读取端到端加密的 同步消息内容。
我们在 Amunta 中不使用 Google Analytics、Firebase Analytics、Facebook SDK、AdMob、广告网络或行为 营销 SDK。
7. 数据保留
| 数据类型 | 保留期限 |
|---|---|
| 本地财务数据 | 直到您删除它、清除应用数据或卸载应用为止。 |
| 已送达的同步消息 | 送达后删除。 |
| 未送达的同步消息 | 3 天后删除。 |
| 不活跃的同步标识符 | 12 个月不活跃后删除。 |
| Google Drive 备份文件 | 直到您从 Drive 或应用内删除为止。 |
| 设备注册记录 | 12 个月不活跃后删除。 |
| 匿名分析批次 | 聚合计数器无限期保留；每次安装的哈希值在活跃期间保留。 |
| 错误报告 | 通常在相关错误修复后删除。未解决的报告在 6 个月后删除，除非该错误频繁发生（10 次以上），在这种情况下可能会保留更长时间。 |
8. 删除您的数据
本节说明 Amunta 用户如何删除其应用数据，以及可选的同步路由记录 如何被移除。
8.1 删除本地数据
- 打开应用，进入设置，使用"删除所有数据"选项来移除交易、发票、债务、 预算、联系人及相关本地记录。此操作需要明确确认。
- 卸载应用会根据您操作系统的行为从设备中移除本地应用数据。
- 在 Android 上，您也可以从系统设置中清除应用数据。
- 您创建的加密备份文件必须从您保存或分享它们的位置删除。
8.2 删除同步数据
如果您启用了同步，中继服务器可能会保留您的随机同步标识符、公钥、选定的 货币、最后活动时间戳及相关路由数据。不活跃的同步记录会在 12 个月后自动删除。
由于 Amunta 不收集您的姓名、电子邮件地址、电话号码、登录账户或其他身份 信息，我们没有可靠的方法知道某个特定同步标识符属于谁。
9. 您的控制权
Amunta 的设计使您能够直接在自己的设备上控制大部分数据。
- 您可以在应用内直接查看和编辑您的记录。
- 如果您的版本支持，您可以使用应用的备份功能导出数据。
- 您可以通过应用、设备设置或卸载应用来删除本地数据。
- 您可以选择不启用同步，或者如果您的版本支持该选项，可以将其禁用。
- 您可以随时从设置 → 隐私与诊断关闭使用情况报告。
- 您可以就同步路由记录的隐私问题与我们联系。
10. 本政策的变更
当应用、我们的基础设施或我们的隐私实践发生变化时，我们可能会更新本政策。更新内容将 以新的生效日期发布在本页面上。
11. 免费应用免责声明
Amunta 作为免费的个人财务工具提供。我们努力使应用保持私密、简单和实用，但它 是按原样提供的，不提供付费支持、正常运行时间保证、数据恢复保证、法律咨询 服务，也不对损失进行赔偿。
您有责任保护您的设备、确保备份文件和密码的安全、检查您自己的 财务记录，并决定该应用是否适合您的需求。
我们会在合理可能的情况下处理手动支持问题。由于应用是免费的，我们无法保证 固定的响应时间，也无法提供会产生额外运营、法律或财务成本的服务。
12. 联系我们
如有隐私问题或安全疑虑，请通过以下方式联系我们：
- 电子邮件：developer@pixun.dev
- 网站：amunta.pixun.dev
我们会在合理可能的情况下尽力回复，但无法保证响应时间。