隐私政策
Privacy policy
简体中文
本政策说明合记（Heji）服务运营者如何处理你使用 iOS 应用和 heji.kuaapi.com 服务时的信息。隐私联系邮箱：dwhou@icloud.com。
我们处理哪些信息
- 账号与登录：Apple 提供的应用专属用户标识、你授权提供的姓名（如有）、你设置的昵称、登录会话、Apple 授权码和身份令牌。授权码用于登录交换；用于撤销授权的 Apple 刷新令牌会加密保存。
- 记账与家庭：金额、币种、日期、分类、备注、付款人、退款、修改记录、家庭名称、成员关系、邀请码与使用状态、管理与转让操作，以及币种和时区偏好。
- 设备本地：登录会话保存在系统钥匙串；语言偏好和未提交草稿保存在设备。CSV 导出由你主动操作并通过系统分享功能交给你选择的目标。
- 运行与网络：服务请求所需的 IP 地址、请求时间及网络信息可能由基础设施处理；服务可能产生故障诊断日志。我们未集成广告、第三方行为分析或跨应用跟踪 SDK。
用途与可见范围
上述信息用于登录、保存账目、家庭协作、统计、同步、导出、账号删除和服务安全。私密账目仅向本人账号开放，家庭管理员也不能通过应用查看；家庭账目及相关修改记录向当前家庭成员开放。把私密记录移入家庭时，记录和退款将共享，此前的私密修改历史不共享。
“私密”是账号访问权限，不代表端到端加密。账目存储在运营者管理的服务器中，具有服务器访问权限的运营者可以接触数据。请勿在备注中填写密码或其他不必要的敏感信息。
服务提供方与传输
Apple 提供“通过 Apple 登录”并处理对应授权。我们使用 Cloudflare Tunnel 提供公共 HTTPS 接入；Cloudflare 终止 HTTPS，可能处理连接 IP、请求头和请求内容。信息可能经过用户所在地区以外的基础设施。服务器当前由运营者管理的 Mac mini 承载。我们不会出售你的信息，也不将其用于广告画像。
保留、退出与删除
你可以在应用内退出家庭或删除账号。管理员需先转让家庭或解散仅自己一人的家庭。账号删除先向 Apple 撤销已保存的授权；若撤销失败，删除不会完成，你可以稍后重试。成功后，活动数据库中的私密账目及其退款和修改记录、会话与 Apple 授权记录会删除；原家庭共享历史会保留，账号显示名改为“已删除账号”。共享备注、家庭名称等自由文本不会自动去除你曾填写的身份信息。
删除单笔账目会隐藏记录并保留修改审计；解散家庭会归档家庭并保留历史。为阻止旧授权再次使用，服务保留 Apple 用户标识的不可逆摘要和删除时间；防重放摘要在到期后的清理中删除。活跃账号和共享历史没有自动到期删除期限。
运营者在发布或维护时可能制作包含数据库、配置及密钥的本地备份。备份可能含删除前的数据，目前没有自动定期备份或自动过期清理；备份保留至运营者手动删除。恢复旧备份可能恢复旧数据，运营者应在恢复后重新处理已收到的删除请求。你可以通过上述邮箱申请核查或清理备份中的个人信息；我们会根据共享记录、技术条件和适用要求处理并答复，不保证即时或逐条修改历史备份。
你的选择与联系
你可以修改昵称、语言与默认币种，编辑或删除有权限操作的记录，导出可访问账目、退出登录、退出家庭或申请删除账号。家庭成员权限变化后，应用会重新获取访问范围；已由其他成员导出或复制的内容无法通过服务器删除收回。如需访问、更正、删除或了解数据处理，请联系 dwhou@icloud.com。政策更新将在本页显示新的日期。
繁體中文
本政策說明合記（Heji）服務營運者如何處理你使用 iOS 應用程式及 heji.kuaapi.com 服務時的資訊。隱私聯絡信箱：dwhou@icloud.com。
處理的資訊與用途
我們處理 Apple 的應用程式專屬使用者識別碼、你授權提供的姓名（如有）、暱稱、登入工作階段、Apple 授權碼及身分權杖。授權碼用於登入交換；供撤銷授權使用的 Apple 更新權杖會加密儲存。我們也儲存金額、幣別、日期、分類、備註、付款人、退款、修改紀錄、家庭名稱、成員關係、邀請碼與狀態、管理與轉讓操作，以及幣別和時區偏好。
這些資訊用於登入、記帳、家庭協作、統計、同步、匯出、刪除帳號和服務安全。裝置鑰匙圈儲存登入工作階段；裝置儲存語言偏好及尚未送出的草稿。CSV 匯出由你操作，並透過系統分享交給你選擇的目標。基礎設施可能處理 IP 位址、請求時間及網路資訊；服務可能產生故障診斷日誌。我們未整合廣告、第三方行為分析或跨應用程式追蹤 SDK，不出售資訊或將其用於廣告側寫。
可見範圍與服務提供方
私人帳目僅供本人帳號存取，家庭管理員無法透過應用程式查看。家庭帳目及相關修改紀錄提供目前家庭成員存取。將私人紀錄移入家庭後，紀錄及退款會分享，先前的私人修改歷史不分享。
「私人」是帳號存取權限，並非端對端加密。帳目保存在營運者管理的伺服器，具有伺服器存取權限的營運者可以接觸資料。
Apple 提供「透過 Apple 登入」。Cloudflare Tunnel 提供公共 HTTPS 連線，Cloudflare 終止 HTTPS 並可能處理連線 IP、請求標頭及內容。資訊可能經過使用者所在地區以外的基礎設施。伺服器目前由營運者管理的 Mac mini 提供。
保留與刪除
你可在應用程式內退出家庭或刪除帳號；管理員需先轉讓家庭，或解散僅剩自己的家庭。刪除帳號前會先向 Apple 撤銷已儲存的授權；若撤銷失敗，刪除不會完成，可稍後重試。成功後，活動資料庫中的私人帳目、退款、修改紀錄、登入工作階段及 Apple 授權紀錄會刪除。家庭共享歷史保留，帳號顯示名稱改為「已刪除帳號」；共享備註與家庭名稱等自由文字中的個人資訊不會自動移除。
刪除單筆帳目會隱藏紀錄並保留修改稽核；解散家庭會封存家庭並保留歷史。服務會保留 Apple 使用者識別碼的不可逆摘要及帳號刪除時間，以阻止重用舊授權；防重播摘要在到期後清理。使用中的帳號與共享歷史沒有自動到期刪除期限。
營運者可能在發布或維護時製作包含資料庫、設定及金鑰的本機備份。備份可能含刪除前資料；目前沒有自動定期備份或自動到期清理，保留至營運者手動刪除。還原舊備份可能還原舊資料，營運者應於還原後重新處理已收到的刪除請求。你可來信申請核查或清理備份中的個人資訊；我們會依共享紀錄、技術條件及適用要求處理和答覆，不保證即時或逐筆修改歷史備份。
選擇與聯絡
你可修改暱稱、語言與預設幣別，編輯或刪除有權操作的紀錄，匯出可存取帳目、登出、退出家庭或刪除帳號。家庭權限變更後會重新取得存取範圍；其他成員已匯出或複製的內容無法透過伺服器收回。存取、更正、刪除與隱私問題請聯絡 dwhou@icloud.com。政策更新將於本頁顯示新日期。
English
This policy explains how the operator of Heji handles information when you use the iOS app and heji.kuaapi.com. Privacy contact: dwhou@icloud.com.
Information and purposes
We process your app-specific Apple user identifier, name supplied with your permission (if any), nickname, login sessions, and Apple authorization codes and identity tokens. Codes are exchanged to sign you in. Apple refresh tokens needed to revoke authorization are stored encrypted. We store amounts, currencies, dates, categories, notes, payers, refunds, edit history, household names and membership, invitations and their status, administration and transfer actions, and currency and time-zone preferences.
This information supports sign-in, bookkeeping, household collaboration, summaries, synchronization, export, account deletion, and service security. Sessions are stored in the device Keychain; language preferences and unsent drafts are stored on your device. You initiate CSV exports and choose their destination through system sharing. Infrastructure may process IP addresses, request times, and network information; the service may produce diagnostic logs. We do not integrate advertising, third-party behavioral analytics, or cross-app tracking SDKs, sell your information, or use it for advertising profiles.
Visibility, storage, and providers
Private entries are accessible only through your account; household administrators cannot read them through the app. Household entries and related edit history are available to current household members. Moving a private entry into a household shares the entry and refunds, but does not share earlier private edit history.
“Private” describes account access controls, not end-to-end encryption. Financial records are stored on an operator-managed server, and operators with server access can access this data.
Apple provides Sign in with Apple and handles authorization. Cloudflare Tunnel provides public HTTPS access. Cloudflare terminates HTTPS and may process connection IP addresses, headers, and request content. Information may pass through infrastructure outside your region. The server currently runs on an operator-managed Mac mini.
Retention and deletion
You can leave a household or delete your account in the app. An administrator must first transfer the household or dissolve it if they are its only member. Account deletion first revokes stored Apple authorization. If revocation fails, deletion does not complete and you can retry. Successful deletion removes private entries and their refunds and edit history, sessions, and Apple grants from the active database. Shared household history remains with the account name changed to “Deleted account.” Personal information you entered into free-text shared notes or household names is not automatically scrubbed.
Deleting an individual entry hides it while retaining audit history. Dissolving a household archives it and retains its history. An irreversible hash of your Apple identifier and the account-deletion time remain to block old authorization from being reused; replay-protection hashes are cleaned up after expiration. Active accounts and shared history have no automatic expiration period.
The operator may make local backups of the database, configuration, and keys during releases or maintenance. These may contain data from before deletion. There is currently no automatic periodic backup or automatic expiration cleanup; backups remain until manually deleted by the operator. Restoring an old backup may restore old data, so the operator should reapply deletion requests after restoration. Contact us to request review or removal of personal information in backups. We will respond and handle requests in light of shared records, technical constraints, and applicable requirements; immediate or record-by-record alteration of historical backups is not guaranteed.
Your choices and contact
You can change your nickname, language, and default currency; edit or delete records you are authorized to manage; export accessible entries; sign out; leave a household; or delete your account. Household access is refreshed after membership changes. Copies already exported or made by other members cannot be recalled by deleting server data. For access, correction, deletion, or questions about processing, contact dwhou@icloud.com. Policy changes will be published here with a revised date.
日本語
本ポリシーは、合記（Heji）の運営者が iOS アプリおよび heji.kuaapi.com の利用時に情報をどのように取り扱うかを説明します。お問い合わせ：dwhou@icloud.com。
取り扱う情報と利用目的
Apple が提供するアプリ専用のユーザー識別子、許可して提供した氏名（ある場合）、ニックネーム、ログインセッション、Apple の認証コードと ID トークンを取り扱います。認証コードはログインのための交換に使い、認証の取り消しに必要な Apple のリフレッシュトークンは暗号化して保存します。金額、通貨、日付、分類、メモ、支払者、返金、編集履歴、家族名、所属情報、招待コードと状態、管理・引き継ぎ操作、通貨とタイムゾーンの設定も保存します。
これらはログイン、記帳、家族との共有、集計、同期、エクスポート、アカウント削除、サービスの安全確保に利用します。端末のキーチェーンにログインセッションを保存し、言語設定と未送信の下書きは端末に保存します。CSV は利用者の操作により作成され、システムの共有機能で選んだ宛先に渡されます。基盤サービスが IP アドレス、リクエスト時刻、通信情報を処理する場合があり、サービスが障害診断ログを生成する場合があります。広告、第三者の行動分析、アプリ間追跡の SDK は組み込んでおらず、情報の販売や広告用プロファイルへの利用は行いません。
公開範囲とサービス提供者
個人の記録は本人のアカウントからのみアクセスでき、家族の管理者もアプリ経由では閲覧できません。家族の記録と関連する編集履歴は現在の家族メンバーが閲覧できます。個人の記録を家族へ移動すると記録と返金を共有しますが、移動前の個人の編集履歴は共有しません。
「個人」はアカウントのアクセス制御を意味し、エンドツーエンド暗号化ではありません。記録は運営者が管理するサーバーに保存され、サーバーへの権限を持つ運営者はデータにアクセスできます。
Apple が「Apple でサインイン」と認証処理を提供します。Cloudflare Tunnel により公開 HTTPS 接続を提供し、Cloudflare は HTTPS を終端して接続元 IP、ヘッダー、リクエスト内容を処理する場合があります。情報が利用者の地域外の基盤を通過する場合があります。現在、サーバーは運営者管理の Mac mini で稼働します。
保存と削除
アプリ内で家族から退出し、またはアカウントを削除できます。管理者は先に家族を引き継ぐか、自分だけの家族を解散する必要があります。アカウント削除は保存済み Apple 認証の取り消しを先に実行し、取り消しに失敗した場合は削除を完了せず、後から再試行できます。成功すると稼働中のデータベースから個人の記録・返金・編集履歴、ログインセッション、Apple 認証記録を削除します。家族の共有履歴は保持し、表示名を「削除されたアカウント」に変更します。共有メモや家族名などの自由入力に記載した個人情報は自動では除去しません。
個別記録の削除では記録を非表示にし、監査履歴を保持します。家族の解散では家族をアーカイブして履歴を保持します。古い認証の再使用を防ぐため、Apple 識別子の不可逆ハッシュと削除時刻を保持します。再送防止ハッシュは有効期限後のクリーンアップで削除します。利用中のアカウントと共有履歴に自動削除期限はありません。
公開・保守時に、運営者がデータベース、設定、鍵のローカルバックアップを作成する場合があります。削除前のデータが含まれる可能性があり、現在は自動の定期バックアップや期限による自動削除を行っていません。バックアップは運営者が手動で削除するまで残ります。古いバックアップの復元により過去のデータが戻る可能性があるため、運営者は復元後に受け付けた削除依頼を再適用する必要があります。バックアップ内の個人情報の確認や削除はメールで依頼できます。共有記録、技術的条件、適用される要件を踏まえて対応し回答しますが、履歴バックアップの即時または個別レコード単位の変更は保証しません。
選択とお問い合わせ
ニックネーム、言語、既定通貨の変更、権限のある記録の編集・削除、閲覧可能な帳簿のエクスポート、サインアウト、家族からの退出、アカウント削除ができます。家族の権限変更後はアクセス範囲を再取得します。他のメンバーがすでに書き出し・複製した内容はサーバーから削除しても回収できません。閲覧、訂正、削除、情報の取り扱いについては dwhou@icloud.com へご連絡ください。変更時には本ページの日付を更新します。