请在注册云端账号前阅读本政策。本地模式无需注册，账本数据仅保存在当前设备。
一、主体与适用范围
绒绒记账由绒绒记账软件官方运营和维护。本政策适用于绒绒记账 Android 应用及与其直接相关的云同步、账号、反馈和更新服务。
二、我们处理的信息
- 账号信息：用户主动提供的邮箱、手机号，以及用于展示的昵称、头像、生日、年龄和性别。手机号及个人资料均为可选信息。
- 记账数据：账本、账户、分类、收支与转账记录、预算、备注和相关时间信息。
- 安全信息：登录令牌、PIN 的加盐哈希、同步状态和必要的错误状态。PIN 原文不会上传云端。
- 反馈信息：用户主动提交的建议内容及用于回复的账号邮箱。
- 更新信息：应用版本号、安装包下载状态及完整性校验结果。我们不进行广告追踪或跨应用画像。
三、处理目的与存储位置
- 本地模式：数据保存在设备内的应用私有数据库中，清除应用数据或卸载应用后可能无法恢复。
- 云端账号：登录后，用户选择同步的数据会加密传输至 Supabase 托管的数据库和对象存储，当前项目区域为新加坡。
- 邮箱验证码：由我们配置的邮件发送服务完成投递，服务商只处理完成邮件投递所必需的信息，不会获得账目内容。
- 短信验证码：仅在短信服务可用且用户主动选择手机号功能时，由短信服务商处理手机号和验证码投递信息。
四、共享、委托处理与公开披露
我们不会出售用户信息。为提供账号、同步、邮件、短信和安装包下载服务，我们可能委托基础设施服务商处理完成服务所必需的信息。除法律法规要求、保护用户或公众安全，或取得用户单独同意外，我们不会向其他第三方披露账目内容。
五、权限说明
- 网络访问：用于登录、云同步、反馈和检查应用更新。
- 安装未知应用：仅在用户主动下载更新包后，用于调起 Android 系统安装器；是否安装由用户再次确认。
- 照片选择：仅在用户主动更换头像时调用系统照片选择器。应用不会扫描整个相册。
- 生物识别：仅由 Android 系统完成本地身份核验，应用不会获得指纹或面部模板。
六、安全措施
我们采用 Android Keystore、应用私有存储、传输加密、数据库行级访问控制、最小权限、安装包 SHA-256 校验和软删除等措施。客户端不包含后端管理员密钥，日志不记录完整邮箱、手机号、金额明细和备注。
七、用户权利
用户可以在应用内查看和修改个人资料，导出账目，退出账号，关闭云同步，或发起账号注销。用户也可以通过支持邮箱请求查询、更正或删除相关个人信息。
八、账号注销与保存期限
账号注销入口位于“我的 - 设置 - 注销账号”。注销确认后，云端账号及其关联业务数据将进入删除流程，且无法恢复。本地模式数据可通过清除应用数据或卸载应用删除。为满足安全、争议解决或法律义务，必要记录可能在法定期限内有限保存。
九、未成年人保护
本应用不专门面向不满十四周岁的未成年人。未满十四周岁的用户应在监护人同意和指导下使用；如监护人发现相关信息被不当处理，可联系我们删除。
十、政策更新
发生重要变化时，我们会通过应用信箱、版本更新说明或本页面告知。涉及处理目的、方式或范围的重大变化时，我们会依法重新取得必要同意。
十一、联系我们
运营及研发主体：绒绒记账软件官方
支持邮箱：support@xiaoxing.online