隐私政策

Sumova（“本应用”）是一款面向 iOS 和 Android 的本地优先个人记账应用。本政策说明本应用处理哪些数据、这些数据存放在哪里，以及本应用自身会将数据发送出设备的唯一情形。

1. 保存在你设备上的数据

你的所有数据都保存在设备本地的数据库中：

• 账户（名称、图标、余额），
• 交易（类型、金额、日期、分类、可选备注），
• 分类，
• 债务（对方姓名、金额、可选备注、到期日）及其还款记录，
• 应用设置（货币、语言、主题、每周起始日、崩溃报告偏好设置）。

以上任何数据都不会被传送给我们或任何其他人。我们没有服务器，没有用户账号，也没有任何方式访问你的数据。卸载本应用会删除全部数据（iOS 上有一个很小的应用锁例外，详见第 7 章）。

2. 应用锁（PIN 码与生物识别）

如果你启用了应用锁：

• 你的 PIN 码仅以加盐加密哈希值的形式存储在设备的安全存储中（iOS 钥匙串 / Android 密钥库）——PIN 码本身永远不会被存储，也不会离开设备；
• Face ID、Touch ID 或指纹验证完全由操作系统完成——本应用不会看到或存储你的生物识别数据。

PIN 码哈希值和任何锁定数据都不会包含在备份文件中。

3. 崩溃报告（可选——本应用自身唯一会发送的数据）

为了修复问题，本应用在发生错误时可能会自动发送崩溃报告。这会使用Sentry（由 Functional Software, Inc. 运营的崩溃报告服务，sentry.io/privacy），作为我们的数据处理方。崩溃报告通过加密连接（HTTPS）发送。

崩溃报告包含的内容：

• 技术性错误信息和堆栈跟踪（崩溃发生在应用代码的哪个位置），
• 应用版本、操作系统名称和版本，
• 设备型号和硬件诊断信息（例如内存、电池电量、屏幕方向），
• 设备的语言区域和时区。

崩溃报告绝不会包含的内容：

• 你的财务数据——不包含任何金额、交易、账户、分类、债务或备注，
• 你的 PIN 码、生物识别数据或备份内容，
• 你的姓名、邮箱或任何账号标识（本应用本来就没有账号），
• 设备的个人化名称（例如“小明的 iPhone”）——发送前会先被移除，
• 你的 IP 地址——本应用从不附加它，我们的 Sentry 项目也设置为在接收时就丢弃连接 IP，因此永远不会被存储，
• 截图、屏幕录制，或任何关于你点击或查看内容的记录。

你的控制权：崩溃报告默认开启，你可以随时通过设置中的崩溃报告开关关闭它。关闭后，即使是应用启动过程中发生的崩溃，也不会发送任何内容。

法律依据与保留期限：我们基于保持应用稳定运行的正当利益（《通用数据保护条例》第 6(1)(f) 条）处理崩溃报告。由于依据的是正当利益，你有权随时对此处理提出异议（第 21 条）——设置中的崩溃报告开关就是行使这项权利的方式。崩溃报告最长会在 90 天后被 Sentry 自动删除。Sentry 可能会在位于美国的服务器上处理数据；这些数据传输受标准合同条款保护，Sentry 另外还在欧盟—美国数据隐私框架下完成了自我认证。你可以从 Sentry 位于 sentry.io/legal/dpa 的数据处理附录中获取这些保护措施的副本。

4. 备份（导出与恢复）

你可以在设置 → 备份与恢复中将数据导出为 JSON 文件。整个过程完全由你自己发起：

• 文件在你的设备上生成，并交给系统的分享菜单——发送到哪里（你的云盘、邮箱、另一台设备等）由你决定；
• 我们永远不会接收、查看或存储你的备份；
• 导出时你可以设置密码：设置后，文件会在你的设备上加密，没有密码无法读取。未设置密码时，文件不会加密——它以可读形式包含你的财务数据，请保存在你信任的地方。我们永远不会获取你的密码，忘记的密码也无法找回。

恢复备份同样完全在本地完成。

5. 联系我们

打开“联系我们”界面会启动你自己的邮件应用，收件地址为support@sumova.app。你发送的任何内容都会像普通邮件一样，由你的邮件服务商传输；我们只会用它来回复你。我们不会把你加入任何邮件列表。

6. Sumova 不会做的事

• 没有用户账号或注册。
• 没有广告，也不使用任何广告 SDK。
• 不进行数据分析、用户画像或行为追踪。
• 不会向第三方出售或分享数据（Sentry 仅作为第 3 章所述崩溃报告的处理方参与）。
• 除可选的崩溃报告外，本应用不会主动发起任何网络连接（备份和邮件由你自己选择的应用发送——见第 4、5 章）。

7. 删除你的数据

• 在应用内：设置 →“清除所有数据”会永久删除应用在你设备上存储的一切。
• 卸载本应用会移除设备上的本地数据库。在 iOS 上，应用锁的一小部分数据（加盐的 PIN 码哈希值）可能会保留在系统钥匙串中，直到重新安装应用为止——它不包含任何财务数据，也无法反推出你的 PIN 码，应用会在下次安装后首次启动时自动清除它。如果想立即清除一切，请在卸载前使用“清除所有数据”。
• 崩溃报告：已提交的报告不包含任何能识别你身份的数据，最长 90 天后会自动失效。你也可以通过上面的联系方式请求提前删除——但由于报告是匿名的，我们可能无法确定哪些报告属于你。

8. 你的权利

如果你位于欧盟/欧洲经济区，或适用类似法律的地区，你对我们处理的个人数据拥有访问、更正、删除、限制处理、可携带和反对的权利。实际上，这只涉及崩溃报告，而这些报告并不与你的身份相关联。请通过第 5 章中的地址联系我们。你也有权向所在地区的数据保护主管机关投诉——在立陶宛，这是国家数据保护监察局（vdai.lrv.lt）。我们不出售或分享个人信息，也不属于《加州消费者隐私法案》（CCPA）所定义的“企业”。

由于所有应用数据都保存在你的设备上，导出数据（数据可携带性）和删除数据都完全由你自己掌控——详见第 4 章和第 7 章。

9. 儿童

Sumova 并非面向 13 岁以下儿童（或你所在司法辖区规定的同等最低年龄以下人群）设计。我们不会主动收集任何个人数据——我们收到的唯一数据是匿名的崩溃报告（第 3 章），其中不包含任何能识别你身份的信息。

10. 本政策的变更

如果我们变更本政策——例如应用新增功能时——我们会更新本文档及其生效日期，并在应用的更新说明中注明重大变更。变更自发布之时起生效，绝不会追溯适用于已经处理过的数据。