隐私政策

SafeToSpend（以下简称”本应用""我们”）帮助收入忽高忽低的你把波动收入平滑成一份稳定的虚拟工资，并告诉你今天能安全花多少。本政策说明我们收集什么、为何收集，以及你如何掌控自己的数据。我们不连接你的银行账户，不展示第三方广告，不在其他应用或网站上追踪你，也绝不出售你的数据。

我们的隐私原则

• 不连银行。 本应用不接入任何银行、信用卡或账户聚合服务。你的所有收支都由你手动录入，或通过拍照/转发收据录入。
• 本地优先。 现金流计算（缓冲池、今日安全可花、虚拟工资）在你的设备上本地完成，无需网络也能用。

我们收集的信息

• 账号邮箱。 当你通过「Sign in with Apple」或 Google 登录时，我们会收到你的邮箱地址，仅用于创建并认证你的账号。使用 Sign in with Apple 时，你可以选择隐藏真实邮箱，由 Apple 提供中转地址。
• 你录入的财务数据。 你录入的收入、支出、目标月薪、固定支出、缓冲池与虚拟工资记录会存储在我们的后端（Supabase），以便应用保存并在你的账号下保留这些数据。这些数据受行级安全策略（RLS）强隔离，仅你本人可访问。
• 订阅状态。 你是否为 Pro 用户的订阅状态由 RevenueCat 管理（见下文「订阅」）。

我们如何使用这些信息

• 对你进行认证并保障账号安全。
• 提供核心功能：保存并展示你的账本、缓冲池与虚拟工资历史。
• 绝不将你的财务数据用于广告、跨应用追踪，也不会出售给任何人。

AI 功能与数据处理（重要）

本应用包含两项可选的 AI 功能：AI 现金流教练（用大白话解释你的数字、给一般性预算建议）与收据 OCR（自动识别收据上的金额与日期）。

• 首次使用前需同意。 在你首次使用任何 AI 功能前，应用会在内部明确请求你的同意（含具名接收方 OpenAI）。未同意则不会发送任何数据给 AI，并可随时在「设置 → AI 数据共享」关闭。
• 会发送什么。 使用 AI 教练时，与你提问相关的现金流数据（如安全可花、缓冲池余额、近期收支摘要）会被发送以生成解释；使用收据 OCR 时，你拍摄/选择的收据图片会被发送以识别金额与日期。
• 接收方是谁。 上述数据经我们自部署的服务端 AI 网关转发给 OpenAI 的 AI 模型（现金流教练用 GPT-5.4、收据 OCR 用 GPT-4o），仅用于生成你主动请求的解释或识别结果。处理为即用即弃——不用于模型训练、不长期留存原始收据图片。客户端不持有任何 AI 模型密钥。
• AI 内容的性质。 AI 教练的回答为一般性信息，不构成理财、投资或税务建议，每条回答都附带这一免责说明。

订阅

订阅通过 Apple 应用内购买 / Google Play 结算完成，订阅状态由 RevenueCat 管理。我们不接收、不存储你的支付卡信息——这些完全由 Apple / Google 处理。

数据共享

我们仅与运行本应用所必需的基础设施提供商共享数据：

• Supabase — 账号认证与你的财务数据存储。
• OpenAI（经我们自部署的 AI 网关转发） — 仅在你使用 AI 功能且已同意时，转发相关数据以生成教练解释或收据 OCR 结果。
• RevenueCat — 管理你的订阅状态。

我们不与广告或追踪网络共享数据，不集成第三方分析或广告 SDK，也不出售你的数据。

数据保留与删除

• 在你的账号处于活跃状态期间，我们会保留你录入的财务数据，以便你随时查阅。
• 你可随时在应用内删除账号（设置 → 账号 → 删除账号）。这会永久且不可逆地移除你的账号，并级联删除全部关联数据——你录入的收支、缓冲池、虚拟工资历史、固定支出与目标设置。

数据安全

数据通过行业标准的加密传输（TLS/SSL）在你的设备与我们的后端之间传输，并在 Supabase 上以行级安全策略强隔离存储，仅你本人可访问。

儿童

SafeToSpend 不面向 13 岁以下儿童，我们也不会在知情的情况下收集他们的个人信息。

本政策的变更

如有重大变更，我们将更新本页面及上方的”最后更新”日期，并在应用内通知你。

联系我们

有隐私相关疑问？请发邮件至 [email protected]。