隐私政策

生效日期：2026-11-12

Pennow 由位于 US 的 Pennow 运营。本政策适用于 Pennow 移动应用、云服务和网站。隐私及个人数据相关问题请联系 support@pnnnow.app。

本地记账

你可以不创建账号，直接使用本地账本。账目、账户名称、分类、预算、周期账单、物品和偏好设置保存在设备上。仅使用本地记账不会将账本上传至 Pennow。你创建的导出和备份文件由你自行管理。应用锁使用设备认证；Pennow 不会取得生物识别模板或设备密码。

账号与云同步

登录时，我们处理登录邮箱或 Apple、Google 提供的登录身份、账号标识、认证令牌和设备标识，以确认身份并保护访问权限。账号数据库保存登录身份的哈希，而非完整邮箱；发送验证码的邮件服务商会收到收件邮箱。设备可能保留用于显示的邮箱。

开启同步后，账本记录和同步元数据会发送到服务器，供你的设备同步使用。这些记录可能包含金额、币种、账户名称、商户、备注和物品信息。关闭同步只会停止后续同步，不会删除已保存的云端数据；删除云端数据请使用账号删除功能。

AI 与语音

使用官方 AI 记账时，你提交的文字或小票图片，以及分类、账户名称、币种、时区和当前日期等相关上下文，会经 Pennow 发送至 US，用于生成结构化账目。保存前请检查结果。应用数据库和应用日志不保存原始 AI 输入、上传图片或模型原文。用于重试的结构化结果缓存在 24 小时后不可复用；过期记录会在后续处理或删除账号时清理。

使用自己的 AI 服务商时，请求从设备直接发送至你配置的服务商。API 密钥保存在设备的受保护凭据存储中，不发送给 Pennow。该服务商的政策与费用适用于你的使用。如果你配置局域网 HTTP 地址，该连接不加密，请仅在你信任的网络中使用。请自行决定提交内容；小票或备注可能包含他人的信息。

App 的麦克风输入使用受支持的设备端语音识别。App 不会将录音上传至 Pennow；仅在你提交 AI 记账时发送识别后的文字。设备不支持本地识别时，该功能不可用。相机和照片仅在你选择这些录入方式时使用。

绑定受支持的聊天机器人后，我们处理平台账号或聊天标识，以及你发送给机器人的消息和附件。待处理消息加密排队，处理完毕后清除；用于回复重试的结构化摘要通常在 24 小时后清理，去重元数据最长保留 30 天。启用机器人音频转写时，服务商为 US。聊天平台也会依据其政策处理消息。解除绑定停止后续机器人访问；删除 Pennow 账号不会删除聊天平台中的消息副本。

订阅

付款由 Google Play 或 Apple App Store 处理，我们不会取得完整银行卡号。RevenueCat 处理应用用户或匿名标识、购买及订阅历史、权益状态和必要技术信息，用于购买、恢复购买和订阅分析。即使尚未订阅，加载订阅方案时 SDK 也可能连接 RevenueCat。Pennow 不向 RevenueCat 发送账本内容或你自己的 AI API 密钥。参见 RevenueCat 隐私政策。

安全、服务商与跨境处理

我们使用 Google Play Integrity 或 Apple App Attest 设备验证、账号认证和有限的防滥用记录保护服务。这可能包含设备标识、验证公钥、计数器和完整性结果。验证挑战短期有效，过期记录定期清理。网络传输和防滥用处理会涉及 IP 地址；应用限流键使用哈希。运维错误报告仅发送固定故障码、时间和版本，不发送账本或请求正文。

主机服务商为 US，区域为 US。目前未启用自动异地备份。登录邮件服务商为 US，可选的运维错误报告服务商为 Sentry。此外，上述 Apple、Google、RevenueCat，以及你选择的 AI 或聊天平台会处理相应功能所需的信息。数据可能在你所在国家以外处理，适用的保护措施及法定权利不受影响。

官方云服务使用 HTTPS，启用的备份经过加密并限制访问。云同步不是端到端加密，Pennow 服务器需要处理记录以提供服务。任何存储或传输方式都无法保证绝对安全。我们不出售账本数据、不接入广告 SDK，也不使用账本建立广告画像。

保存与删除

删除单条已同步的记录时，服务器会保留用于通知其他设备的删除标记；该标记可能保留记录的最后内容，直到你删除云端账号。因此，删除单条记录与清除云端账号及全部同步数据不同。

云端账本保留至账号删除。你可以在 App 内删除账号，也可以不重新安装 App，直接提出删除请求。确认删除后，线上 Pennow 账号、同步记录、会话、机器人绑定及访问令牌会被移除。我们会排队删除 RevenueCat 用户记录，并持续重试直至确认完成；服务商处理可能需要额外时间。队列仅保留完成删除所需的服务商标识，完成后移除。删除回执的哈希保留 30 天，用于安全重试。服务商删除尚未完成时，可能暂时无法重新创建同一账号。

目前未启用自动异地备份。如果此前生成过备份，关闭备份任务不会删除已有副本；这些副本仍限制用于恢复，并按存储服务的保留设置处理，不用于将已删除账号重新投入使用。法律明确要求，或解决争议、防止滥用所必要的信息可能另行保留；如果涉及你的请求，我们会说明适用例外。Google、Apple 及其他独立服务可能有自己的法定保存要求。

删除云端账号不会取消商店订阅。你可以单独在商店订阅设置中取消。删除时可选择是否清除当前设备的本地数据；其他设备的副本、导出文件和聊天消息仍由你管理，请另行删除。仅卸载应用不会删除云端账号。

选择与权利

你可以只使用本地记账，选择是否登录或同步，在系统设置撤销相机和麦克风权限，使用自己的 AI 服务商，解除集成绑定，以及导出账本。根据适用地区，你可能享有访问、更正、删除、限制或反对处理、获取可携带副本、撤回基于同意的处理，以及向数据保护机构投诉的权利。请联系 support@pnnnow.app；我们会核实请求以保护账号，不索要密码或 API 密钥。

我们为提供你请求的服务处理相应数据，在适用时基于正当利益保护服务，尊重权限选择，并履行必要法律义务。Pennow 不面向 13 岁以下儿童，或当地法律规定的更高最低年龄人群。如发现儿童提供个人信息，请联系我们。政策变更会在此公布新的生效日期，并在适用法律要求时另行通知。