隐私政策

本政策说明你使用Billy时你的数据会如何处理。Billy是一款适用于iPhone的信封预算法记账App，由独立开发者Felipe Passos（下称“我们”）开发。本政策描述的是这款App的实际做法，而不是一份通用模板。

简而言之：Billy没有账号，也没有保存你预算的服务器。你的预算、交易、小票，以及你放进Billy的其他一切，都保存在你的iPhone上，我们永远看不到。Billy会把少量与一个随机分析ID相关联的使用数据和崩溃报告发送到PostHog（一项托管在欧盟的分析服务），帮助我们了解App的使用情况并修复问题。这些数据绝不包含你输入或选择的关于你自己或你预算的任何内容，例如金额、余额、交易对象、备注、名称或你在新手引导中的回答。没有广告，没有跟踪，我们也绝不出售数据。

1. 你的预算只保存在你的iPhone上

你在Billy中创建的一切（预算、账户、罐子、交易、目标、交易对象、备注、小票图片、导入的账单以及你的设置）都只存储在你的设备上，位于Billy的私有存储空间中。Billy的小组件和控件读取的是同一设备上的同一份数据。没有Billy账号，也没有保存这些内容的服务器，因此我们没有任何副本，也无法访问这些数据。

和其他App的数据一样，如果你开启了iPhone备份（iCloud 云备份，或备份到电脑），Billy的数据也会包含在其中。Billy本身不会把你的数据同步到iCloud。

Billy从不索要你的银行登录信息，也从不连接你的银行。它掌握的财务信息，只有你自己输入或导入的内容。

2. 小票与相机

Billy只在你扫描小票时使用相机。小票上的文字由Apple的设备端文字识别功能在你的iPhone上读取，用于填写金额、日期和商家。小票图片会和对应的交易一起保存在你的设备上，绝不会上传。如果你改为从照片中选择小票，Billy只会收到你选中的那张图片。

3. 账单导入

当你导入银行账单（CSV、OFX、QFX、CAMT.053或MT940）时，Billy会在你的iPhone上读取你选择的文件。文件绝不会上传。对于CSV文件，Billy会记住各列的对应方式，让你下次导入同一家银行的账单时更快。你可以在Billy的“设置”中删除这些“导入配置”。

4. 面容 ID与App锁定

如果你开启App锁定，面容 ID或你的密码由iOS处理。Billy只会得知解锁是否成功。生物识别数据绝不会传到Billy。

5. 提醒

账单提醒和Billy的其他通知都在你的iPhone上安排。Billy不使用推送通知，因此不会向任何地方发送通知令牌。

6. 购买

Billy Pro（连续包月或永久版）由Apple销售和收费，我们绝不会收到你的付款信息。Billy在你的设备上向Apple核验你的购买，并把结果记在你的设备上，因此离线时也能正常使用。你购买Billy Pro时，App会把它的分析ID（见第7节）关联到这笔购买。这样我们就能把购买与App的使用数据对应起来。Apple向我们提供的销售报告不会识别出你的身份。

7. 使用分析

为了解Billy的使用情况以及可以改进的地方，App会向分析服务PostHog发送一小组固定的事件，使用的是PostHog位于欧盟的服务器（PostHog Cloud EU，位于德国法兰克福）。这些事件涵盖以下三类：

• 使用情况：App被打开过、使用了多长时间，以及使用了哪些功能，例如添加交易、扫描小票、导入账单、在罐子之间移动资金或完成月度总结。
• 购买：购买页面是否显示过，选择了哪个方案，购买或恢复购买是否成功。
• 进度：到达或完成了新手引导的哪些步骤，某项操作是完成、取消还是失败，错误代码，以及在App请求时你是否允许了通知。

你输入或选择的关于你自己或你预算的任何内容都不会作为分析数据发送：不包括新手引导中的回答或目标、金额或余额、交易对象、备注或类别、罐子或账户的名称、小票图片或账单内容，也不包括你输入的任何文字。每个事件只代表一次操作，例如添加了一笔交易，不附带任何金额、交易对象或类别。事件中唯一可能出现的价格，是你为Billy Pro支付的金额：你购买时，购买事件会包含产品、其价格和币种，以及这笔购买的原始交易ID，但绝不包含你的App Store收据或付款信息。

每个事件还会附带技术信息：App版本和构建版本、iOS版本、设备型号、设备的语言与地区设置和Billy的语言、时区、App Store国家或地区、是否为TestFlight（测试版）构建版本、App的安装时间和当前会话的一个随机ID，以及PostHog的SDK添加的几项基本信息，例如设备类型、App是否在Mac或模拟器上运行、SDK版本。此外，在你安装Billy后，App会通过Apple的AdServices框架查询一次这次安装是否来自Apple Ads广告系列，并发送查询结果（例如广告系列、广告组和关键词，或者这次安装并非来自广告）。这不会使用你设备的广告标识符，也不涉及App Tracking Transparency，不属于跟踪。

事件按一个随机分析ID归组，这个ID在你首次打开Billy时生成，并保存在你iPhone的钥匙串中（如果钥匙串不可用，则保存在App自己的存储空间中）。它不是账号，也不是你的姓名、Apple 账户、广告标识符或设备标识符。Billy还会把它关联到Billy Pro的购买（见第6节），以便把购买与使用情况对应起来。由于所有事件都带有这个ID，这些数据属于假名化数据，而不是匿名数据：我们能看到Billy的某一次安装做了什么，但无法知道你是谁。分析ID也是PostHog用来标识你这次安装的标识符，因此PostHog会以该ID保存一份假名化的用户档案，其中包含这次安装的事件以及上文所述的Apple Ads查询结果。iOS通常会在App被删除后仍保留钥匙串中的项目，因此如果你删除并重新安装Billy，它通常会继续使用同一个分析ID。当你要求我们删除你的分析数据（见第11节）时，我们会从PostHog中删除该ID的用户档案及其事件；但ID本身仍保留在你的iPhone上，因此你之后在Billy中的操作会再次以该ID记录。

除崩溃报告（见第8节）外，我们关闭了PostHog的所有自动采集功能，例如屏幕浏览和轻点操作，因此App只会发送本节所述的事件。会话录制、问卷调查和功能开关都已关闭，SDK本身也不会向用户档案添加设备信息；不过，PostHog会从事件中复制几项基本信息到用户档案中，例如App版本、iOS版本和设备类型。

PostHog会收到你的IP地址，因为数据在互联网上就是这样传输的，但我们已在自己的PostHog项目中设置丢弃IP地址，因此它不会被存储。Billy还会为每个事件关闭PostHog的位置查询功能，因此你的IP地址不会被用来推断你所在的位置。我们掌握的与位置相关的信息仅限于上文列出的内容：你的App Store国家或地区、你的时区和你设备的地区设置（如果安装来自Apple Ads广告系列，还包括该广告系列的国家或地区）。

Billy的开发版本从不发送分析数据。TestFlight（测试版）版本和App Store版本会发送，来自测试版的事件会被标记为测试版。

我们使用这些数据，只是为了维持Billy正常运行并加以改进。我们不会将其用于广告，不会出售，也不会与其他公司的数据合并。

8. 崩溃报告

如果Billy崩溃，App会通过PostHog的错误跟踪功能发送一份崩溃报告，并附带同一个分析ID，内容包括错误类型及其消息、显示问题出在Billy代码中哪个位置的堆栈跟踪、App版本和构建版本、设备型号以及iOS版本，此外还有与其他事件相同的技术信息，以及堆栈跟踪中出现的App程序库名称（用于让堆栈跟踪易于阅读）。其中不包含屏幕内容，不包含你的预算数据，也不包含你输入的任何内容。它能让我们知道出了什么问题、问题出在哪里，以便我们修复。

如果你在iPhone的“设置”中（依次进入“隐私与安全性”和“分析与改进”）选择了与App开发者共享分析数据，Apple也可能依据Apple的隐私政策，与我们共享崩溃报告和使用统计数据。

9. 我们不做的事

• 没有广告，也没有广告SDK。
• 没有会话录制，也没有屏幕录制。Billy中唯一的第三方软件是PostHog的SDK（包括其内置的崩溃报告功能），用于发送上文所述的分析数据和崩溃报告。
• 没有跟踪：我们不会把来自Billy的数据与来自其他公司的App或网站的数据合并，也不使用你设备的广告标识符。
• 我们绝不出售、出租或交换你的数据。
• 不连接银行，也不与数据经纪商往来。
• 没有账号，因此无需登录。

这些Billy页面同样不使用分析工具或Cookie。

10. 为我们处理数据的服务商

• PostHog, Inc.：接收上文所述的使用分析数据和崩溃报告，并依据PostHog的数据处理协议（DPA），将其存储在欧盟（PostHog Cloud EU，位于德国法兰克福）。请参阅PostHog的隐私政策。
• Apple：依据Apple的隐私政策，处理购买、下载、Apple Ads归因、你选择共享的崩溃报告以及你创建的任何iPhone备份。

如果欧盟《通用数据保护条例》（GDPR）或巴西的LGPD（《通用数据保护法》）等法律要求具备合法性基础，我们依据的是维持Billy正常运行并加以改进的正当利益，且只使用上文所述的有限的假名化数据。

11. 数据的保留与删除

你的预算会一直保存在你的iPhone上，直到你将其删除。要清除所有内容，请打开Billy的“设置”，进入“数据”，然后轻点“删除所有数据”，或者直接删除App。在此之前的数据可能仍会保留在较早的iPhone备份中，直到这些备份被替换。

你通过Billy的“设置”创建的导出文件和备份，是你自行保存到任意位置的文件，例如“文件”App或iCloud 云盘。从那时起，这些文件由你掌控，并受你所保存到的服务的条款约束。

分析事件和崩溃报告会在PostHog中保留最多7年，这是我们PostHog项目的数据保留期限。你随时可以要求我们提前删除：请发送电子邮件至support@getcorpus.app，并附上Billy“设置”中显示的分析ID，我们会从PostHog中删除该ID的用户档案及其事件。删除Billy或其中的数据，不会删除已经发送的分析数据。

12. 你的权利

根据你居住地的不同（例如欧盟和英国的GDPR、巴西的LGPD，或美国加州的CCPA，即《加州消费者隐私法》），你可能有权访问、更正、导出或删除你的个人数据，并有权反对对其进行的处理。你的预算数据完全掌握在你自己手中：你随时可以在Billy的“设置”中导出或删除这些数据。如有其他需求（包括与分析数据有关的需求），请发送电子邮件至support@getcorpus.app（涉及分析数据时，请附上Billy“设置”中显示的分析ID）。你也可以联系当地的数据保护监管机构。

13. 儿童

Billy并非面向13岁以下的儿童（或你所在国家或地区规定的最低年龄以下的儿童），我们也不会在知情的情况下收集他们的数据。

14. 本政策的变更

如果本政策发生实质性变更，我们会更新本页顶部的日期；如有重大变更，还会在App内告知你。

15. 联系方式

Felipe Passos，support@getcorpus.app。请在邮件主题中注明Billy。