隐私政策

欢迎使用「叙账」（英文显示为 xLife，以下简称「本 App」）。本 App 的个人信息处理者与运营者为 王义磊（个人），联系地区为江苏省南京市浦口区。 Apple Developer 与 App Store 中的卖方显示名 yilei wang 是同一自然人的英文显示名。

本政策说明我们在提供本 App、网站及可选在线服务时如何处理个人信息，以及您如何访问、更正、删除、撤回同意、注销账号或联系我们。 请在使用相关功能前仔细阅读；需要单独授权或同意的功能，会在启用时另行提示。

1. 适用范围

本政策适用于：

• 叙账 iOS 客户端；
• 网站 xuzhangapp.com 及其法律页面；
• 账号、短信登录、自动备份、购买校验和联网整理等由 api.xuzhangapp.com 提供的可选在线服务。

第三方服务另有隐私规则时，其规则同时适用于该第三方的处理活动，但不减轻我们依法应承担的告知、选择和安全保护义务。

2. 一页看懂数据边界

• 无需登录也能完整记账：手动记账、基础统计、账单列表、本地分类与习惯预填默认在设备完成。
• 照片默认只在本机：记忆照片、OCR 原图、分享图、照片像素、人脸区域框、显著性、画质、裁切安全和动态色板不上传到叙账服务器或大模型服务。
• 自动备份需要您主动开启：开启后同步账单信息和派生上下文；照片仍只在本机，不能从云端恢复。
• 联网整理需要您主动开启：本机规则先生成结果；开启后，只发送受控、去标识化的结构化事实给 DeepSeek，不发送手机号、登录令牌、照片、账单 UUID 或用户敏感原句。
• 天气互动需要定位授权：Apple WeatherKit 只获得请求当前天气所需的位置和网络信息，不接收账单、照片或账号凭据。
• 不出售、不做广告画像：我们不出售个人信息，也不使用账单、位置或照片进行跨 App 广告追踪。

3. 我们处理哪些信息

3.1 本机账本、照片与智能处理

• 账本信息：您输入或确认的标题/备注、金额、分类、日期时间、来源、情绪标签、品牌、草稿状态、用户修改标记、场景标签，以及为天气和城市语境生成的派生信息。
• 照片与 OCR：只有在您主动选图时才读取所选照片。OCR 在设备本地处理；记忆照片保存在本机文件存储中。
• 本机照片分析：Apple Vision 与 Core Image 可在本机计算人脸区域、注意力显著性、画质、裁切安全与色板，仅用于封面排版。我们不做人脸身份识别，不建立生物识别模板。
• 本地分类与习惯：App 可依据当前输入以及设备内历史记录，在本机进行品牌匹配、分类建议、个人习惯预填、生活线索和回放准备；不会仅依据金额臆测明确商品或生活事实。
• 本地使用统计：App 可在设备内记录有限的功能事件和耗时区间用于性能诊断，事件白名单不包含自由文本、照片、精确金额或位置，默认不上传。

3.2 账号、自动备份与购买

• 手机号与验证码：仅在您选择手机号登录并同意相关协议后使用，用于发送验证码、创建账号、身份校验和防止滥用。
• 账号信息：用户 ID、显示名称、登录会话和保存在设备 Keychain 的访问令牌。宠物昵称保存在本机设置中。
• 自动备份：登录并开启后，同步记录标识、标题/备注、金额、分类、来源、创建/修改时间、情绪与品牌标识、草稿状态、用户修改标记、分类纠正来源、场景标识，以及天气种类、温度、城市和“本城/外地”等派生上下文。记忆照片、OCR 原图和分享图不上传。
• 购买与会员：商品 ID、交易 ID、原始交易 ID、App Account Token、购买环境、会员档位和期限。付款由 Apple 处理，我们不接触银行卡号或完整支付账户。

3.3 定位、城市与天气

只有在您开启天气互动并授予定位权限后，App 才通过 CoreLocation 获取约三公里精度的当前位置，并使用 Apple WeatherKit 请求当前温度和天气状况； Apple CLGeocoder 可将坐标反查为城市。请求会向 Apple 暴露实现服务所需的坐标和 IP，但不会包含账单、照片、手机号或登录令牌。

当前坐标和天气快照在内存中短时缓存约 30 分钟；本机保存的常用城市以及已经附着到记录的天气、温度、城市和“本城/外地”派生上下文会随相应设置或记录一起保留。 若您开启自动备份，这些记录上下文也会同步。拒绝或撤回定位权限不影响基础记账。

3.4 联网整理与 AI 封面导演

本机规则始终先生成可用结果。只有在您登录并开启「联网整理」后，我们才会经叙账后端和 AI 代理调用 DeepSeek 的 deepseek-chat：

• 轻润色可能发送日期范围、分类、金额/次数汇总、受控场景标签、匿名证据代号和内容指纹；
• AI 封面导演可能发送候选模板、照片数量、横竖方向、质量档位和是否适合作为封面等本机派生描述，但不发送照片、像素、人脸框、色板、图片引用或本机 UUID；
• 不会发送手机号、验证码、访问令牌、照片、账单 UUID、医疗/债务等敏感标题或用户明确敏感原句；
• 模型返回结果会经过本机事实、证据、格式和隐私校验；失败、超时或不合格时直接使用本机结果。

界面会以「AI」「联网整理」或相近方式标识相关能力。模型输出可能不准确，仅用于生活回望，不构成理财、税务、医疗或法律建议。

3.5 网站、邮件与安全日志

• 服务器日志：为防攻击、限流、故障排查和安全审计，服务器可能记录 IP、请求时间、接口路径、状态码、设备网络信息和不含完整账单的错误原因。Nginx 访问日志当前按日轮转，通常保留约 14 天；安全事件依法需要更久留存的除外。
• 联系邮件：您向支持邮箱发信时，我们和 Cloudflare Email Routing 会处理发件/收件地址、邮件内容、时间与投递元数据，用于回复请求、处理权利申请和排查滥用。
• 内容安全：昵称、备注以及进入联网或分享流程的文本可能经过本机或服务端基础风险检查，以阻止凭据、违法信息或明显敏感内容外泄。

4. 处理目的与依据

• 履行您选择使用的服务：记账、登录、自动备份、购买校验、天气互动和联网整理；
• 依据您的同意处理手机号、定位、相册选择、自动备份和联网整理等可选信息；您可以随时关闭相应开关或系统权限；
• 履行法定义务、保护账号与网络安全、处理争议，并在必要范围内防止欺诈和滥用；
• 未经新的告知和必要同意，不把上述信息改用于个性化广告、征信或与原目的无关的画像。

5. 第三方服务与委托处理

• 阿里云：中国大陆上海区域的服务器、数据库基础设施，以及号码认证/短信验证码服务。短信环节处理手机号、国家/地区码、验证码、模板/签名参数和调用日志。适用主体包括阿里巴巴云计算（北京）有限公司、阿里云计算有限公司及实际签约主体。阿里云隐私政策。
• DeepSeek 开放平台：杭州深度求索人工智能基础技术研究有限公司；仅在您开启联网整理后处理第 3.4 节所述受控事实和输出。DeepSeek 隐私政策与开放平台服务协议。
• Apple 及其适用关联方：App Store 分发、StoreKit 购买、CoreLocation/CLGeocoder、WeatherKit、Photos、Vision、Core Image 和系统权限。天气设置中提供 Apple Weather 归因和法律页。Apple 隐私政策与定位服务与隐私。
• Cloudflare Email Routing：仅在您主动向 support@xuzhang.app 或 hello@xuzhang.app 发信时提供邮件路由和反滥用处理。Cloudflare 隐私政策。

第三方公开条款未给出叙账实际合同下的固定 API 日志保留天数时，我们不会宣称“零留存”或擅自承诺具体天数；我们会在实现目的所需的最短范围内配置、审查和约束处理。

6. 共享、转让、公开披露与跨境

• 除本政策列明的委托处理、取得您的单独同意或法律法规另有要求外，我们不向其他主体共享个人信息。
• 如发生合并、分立、资产转让等导致个人信息处理者变更的情形，我们会告知接收方名称和联系方式，并要求其继续受本政策约束；处理目的或方式变化时重新取得必要同意。
• 我们不会公开披露您的账单、照片或位置，除非取得单独同意或依法必须披露。
• 叙账自有账号和云端账本存储在中国大陆上海。Apple 系统服务与 Cloudflare 邮件路由可能依其全球基础设施和适用规则处理网络、位置或邮件信息；如具体处理依法构成个人信息出境，我们会在启用前履行适用的告知、单独同意和出境合规义务。

7. 保存期限与删除

• 本机账本和照片：保留到您主动删除、清空本机数据或卸载 App；自动备份不包含照片。
• 账号与云端账本：在账号存续和实现自动备份所需期间保留。您可删除单笔/全部云端记录，或注销账号。
• 注销：注销会删除活动系统中的账号、会话、同步账本和购买绑定，并使旧访问令牌失效；法律、交易、争议或安全审计要求保留的信息仅在必要期限内隔离保存。备份副本如存在，将在既定备份周期内清除，期间不用于日常业务。
• 验证码与第三方日志：验证码到期后失效；阿里云、DeepSeek、Apple 与 Cloudflare 的独立日志按其适用合同、政策和法律要求处理。

8. 您的权利

在适用法律范围内，您可以：

• 在 App 中访问、更正显示名称和账本，删除本机或云端记录；
• 导出包含账单信息和导出时可读取照片的本地备份包；
• 关闭自动备份、联网整理、天气互动、宠物陪伴，或在 iOS 设置中撤回定位/相册权限；
• 退出登录、注销账号，并选择保留或清空本机账本；注销不会自动取消 Apple 订阅；
• 要求解释处理规则，或申请查阅、复制、更正、补充、删除、限制或拒绝处理个人信息；
• 对我们的处理提出投诉，或向有权监管机关反映。

请通过 support@xuzhang.app 提交请求。为保护账号，我们可能进行必要身份核验；通常在 15 个工作日内答复，法律另有规定或请求复杂时会说明原因。

9. 信息安全与事件响应

我们使用 HTTPS、访问令牌、Keychain、账号隔离、接口限流、最小权限、数据库访问控制、内容风险检查和日志审计等措施。 注销后旧令牌会被服务端拒绝。互联网与设备环境无法保证绝对安全；若发生或可能发生个人信息泄露、篡改或丢失，我们会依法采取补救、评估影响，并通过 App、网站、邮件或监管要求的方式告知。

10. 未成年人保护

本 App 主要面向成年人，不专门面向不满 14 周岁的儿童。若您不满 14 周岁，请在监护人阅读并同意后使用；若我们发现未经监护人同意处理了儿童个人信息，会在核实后尽快删除或匿名化。 14 周岁以上未成年人也应在监护人指导下审慎使用购买、同步和联网功能。

11. 政策更新

我们会根据功能、法律或第三方服务变化更新本政策，并在页面顶部标明版本和生效日期。 对处理目的、信息种类、共享对象或您的权利有重大影响的更新，会通过 App 内提示、网站公告等显著方式告知，并在法律要求时重新取得同意；不会仅以“继续使用”替代依法需要的同意。

12. 联系我们

• 个人信息处理者：王义磊（个人）
• 联系地区：江苏省南京市浦口区
• 用户支持与权利请求：support@xuzhang.app
• 一般咨询：hello@xuzhang.app
• 网站：https://xuzhangapp.com

本政策依据当前已上线及拟随新版发布的真实功能编写。它不替代针对具体业务的专业法律意见；功能或处理边界变化时，我们会先更新实现与告知。