1. 本地账本与图片
CapMoney 不要求创建应用账户。消费名称、金额、币种、分类、时间、预算与贴纸附件存放在设备的应用私有目录中，不会作为完整账本上传到我们的服务器。你可以在应用内修改或删除消费及其对应附件。系统备份或设备迁移可能复制应用数据，其处理取决于你的 Apple 设置。iCloud 可用时，App 默认通过 Apple CloudKit 把账本和附件同步到你自己的 iCloud 账户，可在“设置 → iCloud 同步”中关闭；同步内容存放在你的 iCloud 私有数据库中，我们无法访问。共享账本存放在创建者的 iCloud 中，仅向受邀成员开放。iCloud 数据由 Apple 依据其政策处理。
2. 可选的在线照片识别
只有你明确允许在线识别后，应用才会通过 HTTPS 将压缩后的照片及分类列表发送至我们的识别服务，并转交阿里云百炼 Qwen，以建议名称、分类、票据金额及币种。照片画面和自定义分类可能包含个人信息，包括商家、地址及购买记录。识别结果需要你核对，确认保存后才成为账本记录。拒绝或关闭识别不影响本地图片处理与手动记账；撤回授权不影响撤回前已发生的处理。
3. 识别服务、日志与处理地域
识别代理部署在阿里云中国北京、中国香港、新加坡、美国弗吉尼亚、德国法兰克福和日本东京，分别使用对应百炼业务空间接入点。支持地区优先选择的版本在你允许在线识别后，通过 Cloudflare 根据网络出口 IP 查询国家或地区及大洲，不读取 GPS、不请求定位权限。查询不包含照片、分类或设备标识；地区查询服务不保存查询结果，应用仅在内存中临时缓存节点。应用优先检查对应地区的识别入口，仅在首选不可用或无法判断地区时探测备用入口，并将本地抠图后的主体图片和分类发送给选中的一个入口。抠图失败时可手动填写，不自动上传完整原图。网络变化或请求失败后会重新选择。早期自动选节点版本使用最快健康响应，更早版本通过域名解析分流，通常中国大陆使用北京、境外使用新加坡。VPN 或代理可能使判断结果成为网络出口所在地，而非实际所在地。网络设置、代理、解析器位置和缓存均可能影响选择，不能保证请求在用户所在地区处理；境外请求也可能传输至中国。接入地域不等于全部模型推理或备份的位置。代理不建立照片档案，应用错误日志仅记录错误类别，不主动写入照片正文或识别内容。健康检查、服务运行和网络安全仍可能涉及 IP 地址、请求时间、状态及诊断信息；已启用的服务日志目前保留 30 天。该期限不等于百炼照片或调用数据的保留期限。
4. 第三方数据留存
百炼公开说明会存储模型与应用调用数据，并说明不会将调用数据用于模型训练。我们不承诺调用完成后立即删除，也不将本地删除等同于第三方删除。供应商的处理、备份与保留适用其协议及法定义务；如需提出相关请求，请通过下方邮箱联系我们，我们会核查可识别的数据并联系相关服务提供方。详见 百炼隐私说明。
5. 相机、相册与位置
相机用于拍照，系统照片选择器用于导入你选择的图片。位置是可选的：保存消费不会主动请求定位权限；在已有授权且有近期有效定位时可能附上位置，你也可主动补充地点。获取地点名称时，系统地图服务可能向 Apple 发送坐标。位置字段不会单独发送给 Qwen，但照片画面可能包含地址。你可以在 iOS 设置中管理相机和位置权限。
6. 购买与订阅
付款由 Apple 处理，我们使用经验证的 StoreKit 交易和权益信息来确认 Pro 状态与恢复购买。我们不获取你的银行卡号或支付密码。Apple 依据其自身政策处理付款与账户数据。照片中可见的票据购买信息属于在线识别内容，与 App 内订阅付款不同。订阅状态由 RevenueCat（RevenueCat, Inc.）代为管理：App 会把 App Store 交易与购买记录、RevenueCat 自动生成的匿名用户 ID、地区和币种、App 与系统版本发送给 RevenueCat，用于确认 Pro 状态、恢复购买和处理订阅管理与退款请求。我们没有向 RevenueCat 提供姓名、邮箱或其他身份信息，也不使用广告标识符。详见 RevenueCat 隐私政策。
7. 使用分析（Microsoft Clarity）
App 启动时会运行 Microsoft Clarity 移动 SDK，用于了解功能的使用情况、排查崩溃与卡顿并改进体验。它会收集设备类型、品牌、型号、系统版本、屏幕尺寸、App 错误与性能信息、点击和手势、浏览的页面及使用时长，Microsoft 还会根据 IP 地址推断大致地区。这些信息用于还原匿名的使用过程和统计使用情况。我们对 App 的页面和弹窗启用了遮罩：按 Microsoft 的说明，被遮罩的文字和图片不会被采集或上传，因此消费名称、金额、照片和账本内容不应出现在分析数据中。我们没有向 Clarity 提供姓名、邮箱、Apple 账户或其他身份标识，也不将这些数据用于广告或跨应用追踪。Microsoft 说明使用过程回放数据保留 30 天，热图及被标记的会话保留 9 个月，之后删除。你可以在“设置 → 使用分析”中关闭（较早版本没有该开关，可联系我们）：关闭后 App 会立即暂停采集，之后启动也不再运行 Clarity；关闭前已上传的数据按上述期限保留。详见 Microsoft 隐私声明及 Clarity 移动 SDK 隐私说明。
8. 官网与客服
官网由 Cloudflare 托管。为交付网页和保护服务，Cloudflare 可能处理 IP 地址、请求信息与安全日志，涉及其全球网络；详见 Cloudflare 隐私政策。我们未在官网加入广告、行为追踪脚本、分析 SDK 或非必要 Cookie。发至 support@capmoney.app 的邮件通过 Cloudflare Email Routing 转交我们的客服邮箱，邮件服务商会处理地址、邮件正文与附件。客服信息用于回复、排障及处理请求，仅在完成这些目的、解决争议或履行法定义务所需期间保留。
9. 用途、依据与披露
我们为提供你请求的功能、处理客服及履行法定义务处理必要信息。可选的在线识别和设备权限以你的授权为前提；在适用法律下，必要的服务安全与维护，以及第 7 节所述的使用分析，也可能基于合法利益。我们不出售个人信息，不将信息用于跨应用广告追踪。信息仅在提供相应服务所需范围内交给上述服务提供方，或在法律要求、保护合法权益的必要情况下披露。
10. 你的选择与权利
你可以修改或删除本地记录、关闭在线识别、iCloud 同步和使用分析，并管理设备权限。根据所在地区的适用法律，你还可能享有访问、更正、删除、获取副本、限制处理、反对处理、撤回同意及向监管机构投诉的权利。请邮件联系 support@capmoney.app；我们仅要求处理请求所必需的核实信息，并在法定期限内回复。由于没有 CapMoney 账户且不维护云端账本，我们可能无法将已处理的识别请求与你对应；会向你说明可执行范围与法律上的保留要求。
11. 儿童、保护措施与更新
本服务并非专为儿童设计。未成年人应在监护人指导下使用；如你认为儿童在未经必要授权时提供了个人信息，请联系我们。我们使用传输加密、设备私有存储及服务访问控制等措施保护信息，但不能保证任何系统绝无风险。本政策发生变化时会更新本页日期；涉及需要重新取得授权的处理时，会按适用要求另行说明并征求授权。